AgentPublic/cnil huggingface dataset:
M. Spyridon Makris, juriste au service des affaires européennes et internationales ;
M. Lucas Malaval, juriste au service des plaintes - affaires publiques, sociales et financières à la direction de l'exercice des droits et des plaintes ;
M. Erevan Malroux, analyste intelligence artificielle au service de l'intelligence artificielle à la direction des technologies, de l'innovation et de l'intelligence artificielle ;
Mme Alexandrine Mandron, juriste au service des sanctions et du contentieux 1 à la direction des contrôles et des sanctions  ;
Mme Isabelle Mantz, juriste au service des sanctions et du contentieux 2 à la direction des contrôles et des sanctions  ;
Mme Delphine Margulis, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de l'exercice des droits et des plaintes ;
M. Tony Martin, chef du service des contrôles à la direction des contrôles et des sanctions  ;
Mme Clothilde Maulin, juriste au service des sanctions et du contentieux 2 à la direction des contrôles et des sanctions  ;
Mme Oriane Maurice, juriste au service des sanctions et du contentieux 2 à la direction des contrôles et des sanctions  ;
Mme Nina Mc Evoy, juriste au service des sanctions et du contentieux 1 à la direction des contrôles et des sanctions  ;
Mme Lynda Mekki, ingénieure cybersécurité spécialisée en traitement des incidents au service de l'expertise technologique à la direction des technologies, de l'innovation et de l'intelligence artificielle ;  
M. Francis Mordelet, juriste au service des affaires européennes et internationales ;
M. Mathias Moulin, secrétaire général adjoint  ;
M. Victor Nicolle, directeur des contrôles et des sanctions  ;
Mme Rabia Ouaddah, juriste au service des plaintes - affaires publiques, sociales et financières à la direction de l'exercice des droits et des plaintes  ;
Mme Adélaïde Paternoga, juriste au service des plaintes - affaires publiques, sociales et financières à la direction de l'exercice des droits et des plaintes  ;
M. Romain Pialat, ingénieur recherche & développement au service laboratoire d'innovation numérique de la CNIL à la direction des technologies, de l'innovation et de l'intelligence artificielle ;
M. Benjamin Poilvé, ingénieur expert au service de l'expertise technologique à la direction des technologies, de l'innovation et de l'intelligence artificielle ;
Mme Rebecca Pradel, juriste au service des sanctions et du contentieux 1 à la direction des contrôles et des sanctions  ;
Mme Sophie Prosper, adjointe au chef du service de l'exercice des droits et des plaintes à la direction de l'exercice des droits et des plaintes ;
M. Quentin Rabouin, auditeur des systèmes d'information au service des contrôles - affaires économiques à la direction des contrôles et des sanctions  ;
Mme Délia Rahal-Lofskog, chargée de mission au service des affaires européennes et internationales  ;
Mme Marine Revel, juriste au service des affaires européennes et internationales ;
Mme Myriam Richard, assistante au service des contrôles - travail, santé, affaires publiques, à la direction des contrôles et des sanctions ;
Mme Albane Richet, cheffe du service des plaintes - affaires numériques et commerciales à la direction de l'exercice des droits et des plaintes ;
Mme Caroline Rilos Macias, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de l'exercice des droits et des plaintes ;
Mme Anne-Charlotte Rougelin, juriste conseil au service d'information du public à la direction des relations avec les publics  ;
Mme Claudine Sanlaville, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de l'exercice des droits et des plaintes ;
M. Benoit Seguin, chef du service de l'exercice des droits et des plaintes à la direction de l'exercice des droits et des plaintes ;
M. Hugo Senaya, juriste conseil au service de l'exercice des droits et des plaintes à la direction de l'exercice des droits et des plaintes ;
Mme Laëtitia Simon, juriste au service des plaintes - affaires numériques et commerciales à la direction de l'exercice des droits et des plaintes ;
M. Abdoulaye Tall, auditeur des systèmes d'information au service des contrôles - travail, santé, affaires publiques, à la direction des contrôles et des sanctions  ;
Mme Ahlem Tamouza, adjointe à la cheffe du service des affaires régaliennes et des libertés publiques à la direction de l'accompagnement juridique  ;
Mme Jamila Tazi, juriste au service des plaintes - affaires numériques et commerciales à la direction de l'exercice des droits et des plaintes ;
M. Vincent Toubiana, chef du service laboratoire d'innovation numérique de la CNIL à la direction des technologies, de l'innovation et de l'intelligence artificielle ;
Mme Rokia Traore, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de l'exercice des droits et des plaintes ;
M. Félicien Vallet, chef du service de l'intelligence artificielle à la direction des technologies, de l'innovation et de l'intelligence artificielle ;
M. Marco Vermeil, chargé de mission sensibilisation aux droits au service de sensibilisation du public à la direction des relations avec les publics  ;
Mme Mathilde Vidalot, juriste au service des affaires régaliennes et des libertés publiques à la direction de l'accompagnement juridique  ;
M. Vincent Villette, secrétaire général ;
M. Christophe Vivent, ingénieur cybersécurité spécialisé en traitement des incidents au service de l'expertise technologique à la direction des technologies, de l'innovation et de l'intelligence artificielle ;
Mme Clémentine Voisard, chargée de mission au service d'information du public à la direction des relations avec les publics .
Article 2
La délibération n° HAB-2025-004 du 26 juin 2025 habilitant des agents de la CNIL à procéder à des missions de vérification est abrogée.
Article 3
Les habilitations mentionnées à l'article 1er sont délivrées pour une durée de cinq ans.
Article 4
La présente décision sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), notamment ses articles 40 et 41 et 57 ; 
Vu la délibération n°2020-050 du 30 avril 2020 portant adoption d’un référentiel relatif à l’agrément des organismes chargés de contrôler le respect des codes de conduite ;
Vu la délibération n° 2021-065 portant approbation du code de conduite européen porté par Cloud Infrastructure Service Providers Europe (CISPE) ;
Sur la proposition de Mme Anne Debet, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,
Formule les observations suivantes :
 
Le 23 septembre 2021, par une délibération n°2021-112, la Commission a reconnu que la demande d’agrément présentée par le LNE était bien conforme au référentiel d’agrément adopté le 30 avril 2020 et a décidé de la délivrance d’un agrément au LNE en tant qu’organisme de contrôle du code de conduite européen porté par Cloud Infrastructure Service Providers Europe (CISPE) pour une durée de cinq ans.
Le 2 juin 2025, le LNE a informé la Commission de la création d’une nouvelle structure qui reprendra notamment son activité d’organisme de contrôle du code CISPE. Le LNE sollicite un transfert de son agrément au profit de la société BYCYB. 
 
Décide : 
 
La Commission prend acte du transfert de l’agrément du LNE vers la société BYCYB.
La présidente,
 
M.-L. Denis
N° de demande d’avis : 2239683
Thématiques : Recherche scientifique (hors santé)
Organisme(s) à l’origine de la saisine : Centre national de la recherche scientifique (CNRS)
Fondement de la saisine :
Article 44.6° d
e la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés
L’essentiel :
Le CNRS a saisi la CNIL pour avis sur un traitement de données à caractère personnel nécessaire à la réalisation d’une recherche relative à la mise en œuvre d’un laboratoire commun d’expérimentation SYNAPSES entre le CNRS et le journal Ouest-France.
 
Les finalités de recherche scientifique poursuivies par ce traitement sont légitimes.
 
La CNIL émet des observations sur, en particulier : 
la nécessité de réfléchir à la possibilité d’exclure certaines données de l’expérimentation, en vertu du principe de minimisation ;
l’importance de garantir l’exercice du droit à la rectification pour le traitement ayant pour finalité la recherche scientifique. 
 
­­­­­­­­­­­­­­­­­­­­­­­­­­­­___________________
 
La Commission nationale de l'informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (loi "informatique et libertés") ;
Après avoir entendu le rapport de Mme Laurence FRANCESCHINI, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement,
 
Adopte la délibération suivante :
 
I. La saisine
 
A. Le contexte
 
 
Le traitement projeté s’inscrit dans le cadre d’un projet de recherche scientifique conduit par le Centre national de la recherche scientifique (CNRS), en co-responsabilité avec le journal Ouest-France. Il est élaboré par le laboratoire de recherche commun à Ouest-France et au CNRS dénommé "SYNAPSES", et fait l’objet d’un financement de l’Agence nationale de la recherche (ANR) via l’appel à projets "LabCom V2".
 
Il s’agit d’une expérimentation qui vise à :
faciliter la valorisation des archives issues des publications du journal Ouest-France et, à plus long terme, des archives journalistiques de manière générale ;
adapter les parutions scientifiques existantes en matière d’intelligence artificielle aux activités journalistiques.
 
 
La méthodologie de la recherche repose sur trois axes : l’extraction d’informations d’archives multimédias, la modélisation des connaissances issues de ces archives par un modèle d’IA, la structuration, l’exploration et la restitution des archives.
Les données traitées sont les informations contenues dans les archives du journal Ouest-France. Elles sont issues d’articles de journaux publiés par Ouest-France et possédant un numéro d’agrément de la Commission paritaire des publications et agences de presse (CPPAP).
 
Les résultats de recherche seront publiés sous la forme d’un rapport décrivant les différents processus utilisés et évaluant l’efficacité des méthodes de recherche algorithmiques utilisées.
 
 
B. L’objet de la saisine
 
 
La CNIL a été saisie par le CNRS pour avis sur un traitement de données à caractère personnel ayant pour finalité la recherche et le développement de la connaissance que l'on peut extraire des contenus de Ouest-France. La recherche a pour objet de démontrer la robustesse d’un apprentissage automatique nécessitant moins de données d’entraînement par la création d’un algorithme adapté aux besoins spécifiques des journalistes.
 
Dans le cadre du laboratoire commun de recherche, les responsables de traitement prévoient la mise en œuvre de deux traitements distincts :
un traitement à des fins de recherche scientifique avec deux sous-finalités (le développement de la connaissance scientifique en matière d’IA en lien avec le journalisme et la valorisation des résultats de la recherche) ;
un traitement à des fins journalistiques pour l’exploitation des résultats à des fins journalistiques.
La CNIL est saisie sur le traitement à des fins de recherche scientifique qui porte notamment sur des données sensibles au sens de l’article 9 du RGPD. Ainsi, il doit faire l’objet d’un avis préalable de la CNIL conformément aux dispositions de l’article 44.6° de la loi "informatique et libertés".
 
 
II. L’avis de la CNIL
 
A. Sur le périmètre de la saisine
 
 
Dans le cadre de l’expérimentation, les responsables de traitement indiquent qu’ils mettent en œuvre un traitement à des fins de recherche scientifique ainsi qu’un traitement à des fins journalistiques.
 
Lors d’une saisine sur le fondement de l’article 44.6° de la LIL, la CNIL se prononce sur les traitements "nécessaires à des fins de recherche publique" au sens de l’article L. 112 du code de la recherche.
 
A cet égard, la CNIL rappelle que pour déterminer si un traitement entre dans le cadre de recherche scientifique il faut se référer à :
la nature du responsable de traitement (une université, un organisme de recherche tel que le CNRS) ;
le mode de financement - les projets de recherche pouvant être financés soit par des fonds publics, soit par des fonds privés, soit par des fonds mixtes (v. CNIL, SP, 31 mai 2024,Recommandation sur les réutilisateurs de données publiées sur internet, publiée le 12 juin 2024).
Dans la mesure où il est en partie mis en œuvre par le CNRS d’une part, et financé par l’ANR d’autre part, le traitement relève de la recherche scientifique et sera déployé à cette fin.
La CNIL rappelle par ailleurs que le traitement mis en œuvre par Ouest-France à des fins journalistiques, dans le cadre de l’expérimentation, n’est pas couvert par l’avis rendu. Ce traitement doit en tout état de cause être réalisé en conformité avec le RGPD.
 
 
B. Sur la base légale du traitement
 
Il ressort de l’analyse d’impact relative à la protection des données (AIPD) et de la note d’information transmises par le CNRS que le traitement est mis en œuvre conjointement par le CNRS (organisme public) et le journal Ouest-France (organisme privé).
 
Les responsables de traitement indiquent que celui-ci s’inscrit dans le cadre de l’exercice d’une mission d’intérêt public à des fins de recherche scientifique, dans le cadre des missions du CNRS (art. R. 322-1 à R. 322-33 du code de la recherche).
 
Le dernier alinéa de l’article 6.1 du RGPD prévoit qu’un traitement réalisé dans le cadre des missions d’un organisme public ne peut pas être basé sur l’intérêt légitime. Par ailleurs, la base légale de la mission d’intérêt public peut fonder le traitement exercé par un organisme privé dès lors qu’il poursuit une mission d’intérêt public ou est doté de prérogatives de puissance publique.
 
La CNIL considère que la mobilisation de la base légale de la mission d’intérêt public est possible pour un traitement réalisé conjointement par un organisme public et un organisme privé dès lors que l’organisme public agit dans le cadre de ses missions.
 
 
C. Sur les finalités
Les données sont issues de la base de données du journal Ouest-France et réutilisées à des fins de recherche. Cette recherche a pour objet de développer et d’approfondir les informations et la connaissance que l'on peut extraire des contenus produits ou publiés par Ouest-France ainsi que de démontrer la robustesse d’un apprentissage automatique nécessitant moins de données d’entraînement.
 
En vertu de l’article 5.1b) du RGPD, le traitement à des fins de recherche scientifique n’est pas considéré comme incompatible avec les finalités journalistiques initiales (rédaction d’articles de presse).
 
Les finalités sont légitimes et compatibles avec les finalités journalistiques initiales, des lors que le traitement est mis en œuvre à des fins de recherche scientifique.
 
 
D. Sur les catégories de données collectées
 
Les responsables de traitement indiquent qu’ils collecteront l’intégralité des données d’archives publiées du journal Ouest-France.
 
Les jeux de données comprennent notamment des données sensibles au sens de l’article 9 du RGPD, par exemple :
des données relatives aux opinions politiques issues d’articles publiés dans le cadre d’élections ;
des données relatives à l’appartenance syndicale publiées dans des articles relatant des mouvements sociaux ;
des données révélant des convictions religieuses ou philosophiques publiées dans des interviews de personnalités religieuses, ou de responsables de mouvements écologiques.
Elles peuvent également contenir des données de personnes vulnérables, notamment des mineurs ou des personnes sous tutelle, ou des données relatives aux condamnations pénales ou aux infractions.
 
De manière générale, la CNIL relève que certaines données traitées relèvent de la catégorie des données relatives aux condamnations pénales et aux infractions au sens de l’article 10 du RGPD. À cet égard, elle considère, au vu des missions octroyées au CNRS par les articles R. 322-2 et R. 322-3 du code de la recherche, qu’il peut se prévaloir de l’exception prévue au 1° de l’article 46 de la loi du 6 janvier 1978 susvisée pour traiter de telles données pour la finalité envisagée (CNIL, Délibération n° 2020-093 du 24 septembre 2020).
 
Seules les données issues du travail journalistique (interviews préalables à la rédaction de l’article, documents obtenus et consultés par les journalistes etc.) et des avis de décès ne seront pas collectées dans le cadre de la recherche, le reste des données contenues dans les archives seront traitées dans le cadre de l’expérimentation.
La CNIL rappelle cependant que les données collectées doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités annoncées, conformément à l’article 5-1-c du RGPD. En vertu du principe de minimisation, elle invite les responsables de traitement à réfléchir à la possibilité d’exclure le traitement de certaines données au stade de l’expérimentation, par les données issues de certaines rubriques journalistiques comportant des données sensibles ou concernant des personnes mineures.
 
 
E. Sur les durées de conservation 
 
Les responsables de traitement indiquent qu’ils conservent les jeux de données dans le cadre de l’expérimentation.
 
Les résultats de la recherche seront valorisés sous la forme de publications d’articles à destination de la communauté scientifique, afin de présenter le processus de recherche et les résultats de l’expérimentation. Ces publications ne contiendront pas de données nominatives.
 
La CNIL prend acte de ce que les données seront intégralement supprimées à l’issue du processus de recherche, en 2028. Elle invite les responsables de traitement à porter une attention particulière à ne pas faire figurer de données identifiantes dans les publications scientifiques mises à disposition de la communauté scientifique et des journalistes.
 
F. Sur les droits des personnes
Les personnes concernées peuvent exercer leurs droits auprès des délégués à la protection des données de Ouest France ou du CNRS dont les coordonnées sont précisées sur la note d'information publique.
 
La CNIL invite les responsables de traitement à
 préciser les modalités concrètes d’exercice des droits dans leur AIPD.
 
 
- Sur le droit à l’information 
 
Les responsables de traitement ont indiqué procéder à une information générale sur leurs sites web respectifs ainsi que par le biais de la publication d’articles dans le journal Ouest-France. La CNIL rappelle qu’une information individuelle doit être faite conformément à l’article 14 du RGPD, sauf à démontrer que la fourniture de cette information exigerait des efforts disproportionnés ou risquerait de rendre impossible ou de compromettre gravement la réalisation des objectifs du traitement (article 14-5 b) du RGPD).
 
Les responsables de traitement indiquent que les données de contact n’ont pas été collectées et que les données concernent un très grand nombre de personnes (toutes les personnes ayant fait l’objet d’un article de presse publié et archivé).
 
La CNIL prend acte des éléments apportés par les responsables de traitement qui caractérisent que le fait de procéder à une information individuelle nécessiterait des efforts disproportionnés. Elle accueille favorablement les efforts déployés pour procéder à une information générale la plus effective possible. 
 
- Sur le droit à la rectification
Les responsables de traitement indiquent que, dans le cadre de l’exercice du droit à la rectification, les demandes adressées à l’équipe de recherche seront transmises aux délégués à la protection des données de Ouest-France pour analyse.
 
En vertu de l’article 80 de la LIL, le droit à la rectification (article 50 de la LIL) est exclu pour les traitements aux fins d’expression littéraire et artistiques et d’exercice, à titre professionnel, de l’activité de journaliste, dans le respect des règles déontologiques de cette profession.
 
La CNIL rappelle que, bien que le droit à la rectification ne soit pas applicable pour les traitements journalistiques mis en œuvre par Ouest-France, les données collectées aux fins du traitement projeté à des fins de recherche scientifique peuvent faire l’objet d’une rectification par les personnes concernées. Elle souligne l’importance de ce droit tant pour garantir la rigueur et la fiabilité scientifique, que pour répondre aux enjeux de lutte contre la désinformation, qui constitue l’un des objectifs du projet de recherche.
 
Les personnes conservent, en tout état de cause leur droit d’opposition.
 
 
G. Sur les mesures de sécurité 
 
Les responsables de traitement indiquent que le transfert des données sera chiffré avant leur transfert sur un outil sécurisé sur le système d’information de l’INRIA. Elles seront par la suite systématiquement conservées chiffrées, tant qu’elles seront dans le système d’information de l’INRIA.
La CNIL n’a pas d’observation particulière sur les mesures de sécurité.
 
 
 
La présidente,
 
 
M.-L. Denis
N° de demande d’avis : 25012372
Thématiques : lutte contre la fraude, secret fiscal, BNDP, FICOVIE, PATRIM, PATUELA
Organisme(s) à l’origine de la saisine : Ministère du Travail, de la Santé, des Solidarités et des Familles
Fondement de la saisine :
Article 8.I.4°.a 
de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés
L’essentiel :
1. La CNIL considère que la lutte contre la fraude aux prestations versées par les organismes sociaux, qui constitue un objectif à valeur constitutionnelle, est une finalité précise, licite et légitime au sens de la règlementation en matière de protection des données à caractère personnel.
 
2. Etant donné le caractère particulièrement sensible des données couvertes par le secret fiscal, la CNIL rappelle que tout nouvel accès à ces données doit être entouré de garanties fortes. En l’espèce, les conditions, le champ et les modalités d’accès aux informations couvertes par le secret fiscal doivent être définies de manière à ce que cet accès soit strictement limité aux besoins des missions des agents compétents en matière de lutte contre les infractions prévues à l'article L. 114-16-2 du code de la sécurité sociale.
3. En l’espèce, elle estime que les garanties prévues dans le projet d’acte législatif remplissent ces objectifs. Toutefois, étant donné le contexte actuel de multiplication des violations des données, elle restera particulièrement vigilante dans l’évaluation de leur mise en œuvre concrète dans le cadre des saisines relatives à la modification des actes réglementaires d’application.
­­­­­­­­­­­­­­­­­­­­­­­­­­­­___________________
 
La Commission nationale de l'informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ("loi informatique et libertés"), notamment son article 8.I.4°.a ;
Après avoir entendu le rapport de M. Philippe Latombe, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
 
Adopte la délibération suivante :
 
I. La saisine
 
A. Le contexte
 
L’article L. 134 D du livre des procédures fiscales (ci-après "LPF") a été introduit par la loi n° 2018-898 du 23 octobre 2018 relative à la lutte contre la fraude.