AgentPublic/cnil huggingface dataset:
Sur l’information et le droit d’accès 
L’information des personnes est actuellement effectuée au moyen des mentions d’information portées sur la fiche de renseignement, destinée aux responsables légaux des élèves scolarisés dans les établissements de formation initiale. Le ministère a indiqué que, conformément aux recommandations de la Commission, une information individuelle orale était également délivrée lors de la première prise de contact avec les jeunes décrocheurs.Il a en outre précisé qu’en 2016 serait mis en place, au sein de la plate-forme de suivi RIO, un « assistant de contact » qui intégrera cette information en début d'entretien téléphonique.Ces modalités d’information des personnes concernées sont satisfaisantes. Les modalités d’exercice des autres droits des personnes, qui n’ont pas été modifiées, n’appellent pas d’observation particulière de la Commission.
Sur les mesures de sécurité
Dans le cadre de la présente modification, le ministère souhaite élargir de façon conséquente l’accès en « mode suivi » à l’application RIO. La Commission rappelle l’importance d’adapter le droit d’accès aux modifications introduites et de supprimer les permissions d'accès pour tout utilisateur n'étant plus habilité à accéder au traitement.La Commission estime que, dans le cadre de la modification examinée, le niveau de sécurité entourant les données traitées a été abaissé. En effet, le ministère souhaite abandonner la méthode d’authentification forte par clé cryptographique retenue en 2010 pour la remplacer par un système d’authentification impliquant, pour accéder au module RIO suivi, une première authentification par identifiant/mot de passe puis une seconde authentification par digicode à saisir sur un clavier virtuel. Or, si les données traitées ne sont pas « sensibles » au sens de la loi du 6 janvier 1978 modifiée, elles doivent néanmoins s’accompagner de mesures de protection renforcées, dès lors qu’elles sont relatives à la situation de décrochage scolaire d’une personne souvent mineure, qui peut être mal vécue par celle-ci. Dès lors, afin de limiter les accès non désirés à l’application RIO, la Commission demande à ce que ses serveurs n’acceptent que les connections de terminaux identifiés comme étant attribués à un agent habilité, ce qui peut notamment s’effectuer avec un filtrage d’adresse IP ou d’adresse MAC.Le responsable de traitement a mis en place une
politique de mot de passe respectueuse des recommandations de la Commission qui rappelle à cet égard que les mots de passe doivent être régulièrement renouvelés et ne doivent pas être stockés e n clair. La Commission souligne en outre que chaque utilisateur doit disposer d'un identifiant qui lui est propre.Le reste du traitement demeurant inchangé, celui-ci n’appelle aucune observation de la Commission.Sous réserve des précédentes observations, les nouvelles mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
La modification opérée ne porte aucune modification de la durée de conservation des données. Toutefois, la Commission rappelle que les données du jeune ne doivent pas être conservées plus de deux ans après la prise en charge initiale de celui-ci.
Autorise, conformément à la présente délibération, le ministère de l’éducation nationale à mettre en œuvre la modification de traitement susmentionnée.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1226370V7)
La Commission nationale de l’informatique et des libertés, 
Saisie par le Conseil national de l’Ordre des pharmaciens (CNOP), le 18 septembre 2015, d’une modification du dossier pharmaceutique portant allongement des durées de conservation des données relatives à la dispensation des vaccins et des médicaments biologiques ; 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le Code de la santé publique et notamment ses articles L. 1111-8, L. 1111-8-1, L. 1111-23 et R. 1111-20-1 à R. 1111-20-11 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2008-1326 du 15 décembre 2008 relatif au dossier pharmaceutique ;
Vu le décret n° 2015-208 du 24 février 2015 portant sur les durées d’accessibilité et de conservation dans le dossier pharmaceutique des données relatives à la dispensation des vaccins et des médicaments biologiques ;
Vu les délibérations n° 2007-106, n° 2008-041, n° 2008-302, n° 2008-487, n° 2010-116, n° 2012-286, n° 2012-409, n° 2013-26 et 2014-233 en date des 15 mai 2007, 14 février 2008, 17 juillet 2008, 2 décembre 2008, 6 mai 2010, 19 juillet 2012, 22 novembre 2012, 17 janvier 2013 et 27 mai 2014 ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean Alexandre SILVY, commissaire du Gouvernement, 
Emet l’avis suivant :
Le Conseil national de l’Ordre des pharmaciens (CNOP) a saisi la Commission Nationale de l’Informatique et des Libertés le 15 septembre 2015, d’une demande d’extension de la durée de conservation des données du dossier pharmaceutique relatives à la dispensation des vaccins et des médicaments biologiques. 
En ce qui concerne le cadre juridique applicable :
1. Institué par la loi n° 2007-127 du 30 janvier 2007 ratifiant l’ordonnance du 26 août 2005 relative à l’organisation de certaines professions de santé, le dossier pharmaceutique (DP) est un outil professionnel dématérialisé, hébergé auprès d’un hébergeur de données de santé agréé, sélectionné par le Conseil national de l’Ordre des pharmaciens (CNOP), mis à la disposition des pharmaciens et destiné à sécuriser la dispensation des médicaments.
Le DP, dossier partagé au niveau national permet, en effet, aux pharmaciens d’officine et à ceux exerçant dans une pharmacie à usage intérieur (PUI) d’avoir accès à l’historique des médicaments dispensés à un patient au cours des quatre derniers mois, dans l’ensemble des pharmacies. Le logiciel du pharmacien est alors en mesure de calculer les risques d’interactions médicamenteuses à partir de l’historique global des dispensations sur l’ensemble du territoire. 
Le « réseau DP » permet également de diffuser, à la demande des pouvoirs publics, des alertes sanitaires, en temps réel, auprès de l’ensemble des pharmacies raccordées. Cela justifie qu’au-delà du délai de consultation de quatre mois pour les pharmaciens, un délai d’ « archivage » de trente-deux mois supplémentaires chez l’hébergeur est prévu, afin de permettre, en cas d'alerte sanitaire relative à un médicament, d'en informer les patients auxquels ce médicament a été dispensé. Au terme de la durée totale de trois ans, les données sont supprimées par l’hébergeur, conformément aux dispositions de l’article R. 1111-20-11 du code de la santé publique. 
L’article L. 1111-23 du code de la santé publique qui institue le DP renvoie ses conditions d’application à un décret en Conseil d’Etat, pris après avis de la CNIL et du CNOP.
Le cadre réglementaire du DP est fixé par les articles R. 1111-20-1 à R. 1111-20-11 du code de la santé publique.
2. Le 2 décembre 2008, la CNIL a autorisé la généralisation du dossier pharmaceutique dans l’ensemble des officines françaises après avoir validé les déploiements successifs du dispositif. Le dossier pharmaceutique dont la généralisation a ainsi été autorisée est un dossier autonome n’alimentant pas pour l’instant le dossier médical personnel (DMP). 
Le 17 janvier 2013, la CNIL a autorisé la généralisation à usage intérieur du dossier pharmaceutique  dans les pharmacies après avoir validé son expérimentation dans cinq pharmacies hospitalières pratiquant la vente de médicaments aux patients non hospitalisés.
3. La CNIL s’est prononcée le 27 mai 2014 sur le projet de décret en Conseil d’Etat modifiant l’article R. 1111-20-11 du code de la santé publique portant sur les durées d’accessibilité et de conservation des données relatives aux dispensations de médicaments dans le DP et qui est devenu le décret n° 2015-208 du 24 février 2015.
Le décret précité porte la durée de conservation des données du DP de quatre mois à vingt-et-un ans pour les vaccins, afin d'informer les patients sur leurs vaccinations et, en cas d'alerte sanitaire relative à un vaccin, d'informer les patients auxquels ce vaccin a été dispensé, et à trois ans pour les médicaments biologiques, afin de permettre la continuité du traitement et, en cas d'alerte sanitaire relative à un médicament biologique, d'informer les patients auxquels ce médicament a été dispensé. Il précise que les données sont ensuite archivées par l’hébergeur pendant une durée supplémentaire de trente-deux mois.
En dernier lieu, en application du décret, le CNOP a saisi la Commission d’un dossier relatif à l’extension de la durée de conservation des données relatives à la dispensation des vaccins et des médicaments biologiques aux termes duquel il est indiqué que le DP conservera les données de dispensations de vaccins et de médicaments biologiques dispensés par les officines pendant une durée conforme au décret.
La Commission en prend acte.
Le CNOP a indiqué que les documents d’information seront modifiés afin d’y intégrer l’introduction du nouveau service sur les dispensations de vaccins et des médicaments biologiques. La Commission en prend acte.  
Les autres caractéristiques des traitements demeurent inchangées.
En outre, la Commission rappelle au CNOP la nécessité d’informer clairement le patient sur les conditions d’ouverture et d’utilisation du dossier pharmaceutique pour lui permettre de participer activement au dispositif et d’exercer pleinement ses droits. Il appartient, en particulier, au CNOP de veiller à l’édition par les logiciels métiers de la copie papier du document électronique par lequel le pharmacien atteste avoir procédé à l’information du patient et recueilli son consentement exprès et à sa remise effective au patient. 
Dans ces conditions, la Commission autorise la modification des traitements nécessaires à la mise en œuvre du dossier pharmaceutique portant allongement de la durée de conservation des données relatives à la dispensation des vaccins et des médicaments biologiques conformément au décret n° 2015-208 du 24 février 2015.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1746769)
La Commission nationale de l'informatique et des libertés,
Saisie par lasociété par actions simplifiée CORNING d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion d’activités contentieuses et précontentieuses ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment les dispositions du 3° du I de son article 25 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société CORNING est une société par actions simplifiée, spécialisée dans la fabrication et le façonnage d’articles en verre. 
Sur la finalité
La société CORNING a saisi la Commission d’une demande d’autorisation, préalablement à la mise en œuvre d’un traitement automatisé ayant pour finalité la préparation, l’exercice et le suivi d’une action disciplinaire ou d’un recours en justice et, le cas échéant, l’exécution de la décision rendue. Dans la mesure où ce traitement peut notamment porter sur des données relatives à des infractions ou condamnations pénales, il y a lieu de faire application des dispositions du 3° du I de l’article 25 de la loi du 6 janvier 1978 modifiée, aux termes desquelles la Commission doit autoriser la mise en œuvre des traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté, sauf ceux qui sont mis en œuvre par des auxiliaires de justice pour les besoins de leurs missions de défense des personnes concernées.La Commission considère que la finalité précitée est déterminée, explicite et légitime.
Sur les données traitées
Les données à caractère personnel enregistrées et traitées sont relatives :
à l'identification des personnes mises en cause, des victimes, des témoins et des auxiliaires de justice mandatés dans la procédure (nom ; nom d'usage ; prénoms ; sexe ; date et lieu de naissance ; nationalité ; adresse ; numéros de téléphone et de fax ; adresse électronique) ;
à la vie professionnelle, en particulier les faits susceptibles de constituer une faute  disciplinaire et les conséquences associées ;
à des infractions, condamnations ou mesure de sûreté, en particulier :
les faits litigieux à l’origine de la procédure ;
les documents recueillis et pièces tendant à caractériser le caractère litigieux d'un comportement (constat ; témoignage ; attestation ; mise en demeure ; images extraites d'un dispositif de vidéoprotection ; « log » extrait d’un outil de sécurisation des ressources informatiques ou d’un système de contrôle d’accès ; fiche de constat des faits ; dépôt de plainte ; certificat médical en lien avec une expertise médico-légale) ;
les caractéristiques d’une action disciplinaire, d’un pré-contentieux et/ou d’un contentieux (date de début et de clôture du litige, juridiction saisie, date de l'assignation, date d'audience, état de la procédure, nature et objet des demandes, griefs, argumentations, observations et avis des représentants légaux, date du jugement.) ; 
la date, la nature, les motifs et les montants des condamnations ; 
les commentaires relatifs à la description et au suivi de la procédure.
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard de la finalité pour laquelle elles sont collectées et de leurs traitements  ultérieurs.
Sur les destinataires
Seules les personnes habilitées au sein de la société CORNING chargées de la gestion des actions disciplinaires, des précontentieux, des contentieux et, le cas échéant, de la réalisation des enquêtes associées peuvent accéder aux données du présent traitement, à savoir les services chargés des affaires juridiques, de la sécurité, de la sécurité de l'information, de la propriété intellectuelle, des ressources humaines, ainsi que la direction. Le personnel habilité du service informatique de la société et de son sous-traitant peuvent, quant à eux, accéder à ces données uniquement pour assurer l’hébergement et la maintenance du système informatique.La Commission considère que ces destinataires présentent un intérêt légitime à accéder aux données du présent traitement, sous réserve que les données rendues accessibles présentent effectivement un lien direct et nécessaire avec leurs fonctions.
Sur l’information et le droit d’accès
Les personnes concernées par le présent traitement sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par la remise d’un livret d’accueil, des notices d’information relatives aux outils de surveillance, une charte informatique annexée au règlement intérieur et, enfin, des panneaux d’affichage s’agissant de la vidéosurveillance. Les droits d’accès et de rectification, prévus par les articles 39 et 40 de la loi du 6 janvier 1978 modifiée, s’exercent auprès du Data Privacy Officer de la société CORNING.La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
L’authentification des utilisateurs est assurée par des mots de passe respectant les recommandations de la Commission en la matière, à savoir des mots de passe de huit caractères comprenant des chiffres et des caractères spéciaux et régulièrement renouvelés.Des profils d’habilitation définissent par ailleurs les données et les fonctionnalités accessibles en fonction des rôles des utilisateurs. La gestion des habilitations fait l’objet de procédures formalisées validées par le responsable de traitement, portées à la connaissance des utilisateurs, et est régulièrement mise à jour.Les échanges de données sont réalisés au moyen de canaux sécurisés, en particulier par le recours à des réseaux privés, l’utilisation du protocole  SSL  et le chiffrement des fichiers transmis par Internet.Des sauvegardes régulières permettent de garantir l’intégrité et la disponibilité du système. Les sauvegardes sont stockées dans un lieu garantissant leur confidentialité.Des mesures de sécurité physiques protègent l'accès aux locaux et les équipements. Une fonctionnalité de journalisation a été définie pour les opérations de consultation, de création, de  mise à jour et/ou de suppression en fonction des outils. Les accès aux applications et aux fichiers de données à caractère personnel font notamment l’objet d’une journalisation répertoriant l’identification de l’utilisateur, un horodatage et l’opération effectuée. Sous réserve de son observation relative à la procédure d’habilitation, la
Commission estime que les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité, au regard de la réévaluation régulière des risques et de l’évolution des technologies.
Les données sont conservées en base active pour une durée d’un an à compter de la clôture d’une enquête.A l’issue de ce délai, les données sont archivées jusqu’à la prescription des actions en justice correspondantes.Lorsque des poursuites judiciaires sont engagées, les données sont conservées pendant la durée de la procédure, puis archivées jusqu’à la prescription de l'action en exécution d'une décision de justice passée en force de chose jugée.La Commission estime que ces durées de conservation ne sont pas excessives au regard des finalités pour lesquelles les données sont collectées et traitées.Les transferts de données réalisés vers la maison mère du groupe CORNING basée aux Etats Unis d’Amérique ont pour finalité l’hébergement et la maintenance des systèmes informatiques, ainsi que la réalisation d’enquêtes sur les agissements et infractions soupçonnés ou détectés. Ils sont encadrés par des règles internes d’entreprise (Binding Corporate Rules ou BCR) adoptées par le responsable de traitement et reconnues par la Commission et les autorités de protection des données personnelles compétentes comme offrant un cadre juridique satisfaisant pour effectuer des transferts de données en dehors de l’Union européenne. Les transferts de données réalisés vers un prestataire basé en Inde ont pour finalités l’hébergement et la maintenance des systèmes informatiques de la société CORNING. Ils sont encadrés par un contrat rédigé sur le modèle des clauses contractuelles élaborées par la
Commission européenne relatives aux transferts de données de responsable de traitement à sous-traitant.
Autorise, conformément à la présente délibération, la société par actions simplifiée CORNING à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie par le CNAM, le 12 octobre 2015, d'une demande de renouvellement de label concernant le module intitulé  Le droit à la protection des données : enjeux et conséquences pour les professionnels  d'une formation consacrée au  Droit des technologies de l'information et de la communication  ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 11 3°c ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés notamment ses articles 32 et suivants ;
Vu la délibération n° 2011-315 du 6 octobre 2011 portant adoption d'un référentiel pour la délivrance de labels en matière de formation tendant à la protection des personnes à l'égard du traitement des données à caractère personnel ;
Vu la délibération n° 2013-078 du 28 mars 2013 portant labellisation du module intitulé  Le droit à la protection des données : enjeux et conséquences pour les professionnels   (Unité d'enseignement DRA 104) d'une formation consacrée au  droit des technologies de l'information et de la communication  présentée par le  Conservatoire National des Arts et Métiers (CNAM) ;Vu le dossier et ses compléments ;Sur la proposition de M. Jean-Luc VIVET, commissaire, membre du Comité de labellisation et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
L'article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL  délivre un label à des produits ou à des procédures tendant à la protection des personnes à l'égard du traitement des données à caractère personnel .
L'article 44 du règlement intérieur de la CNIL prévoit que le titulaire d'un label, précédemment délivré par la Commission, peut transmettre une demande de renouvellement.
En l'espèce, le CNAM a obtenu, le 28 mars 2013 et pour une durée de trois ans, un label CNIL pour le module intitulé  Le droit à la protection des données : enjeux et conséquences pour les professionnels  d'une formation consacrée au  Droit des technologies de l'information et de la communication . 
Le 12 octobre 2015, l'organisme a transmis à la Commission une demande de renouvellement.
Pour rappel, la formation, objet de la demande, se compose comme suit :