AgentPublic/cnil huggingface dataset:
m) les mécanismes permettant de communiquer à l'autorité de contrôle compétente toutes les obligations juridiques auxquelles une entité du groupe d'entreprises est soumise dans un pays tiers, et qui sont susceptibles d'avoir un effet négatif important sur les garanties fournies par les règles d'entreprise contraignantes, sont décrits à l’article 10.2 des BCR ;
n) enfin, l’article 8.2 des BCR prévoit une formation appropriée en matière de protection des données pour le personnel ayant un accès permanent ou régulier aux données à caractère personnel.
 
Le CEPD a rendu l’avis n°9/2025 en date du 5 mai 2025, conformément à l’article 64- 1-f du RGPD. La Commission a tenu compte de cet avis.
 
 
Décide : 
 
La CNIL approuve les BCR sous-traitant présentées par le groupe Worldline, en ce qu’elles fournissent des garanties appropriées pour le transfert de données à caractère personnel conformément aux articles 46-1, 46-2-b, 47-1 et 47-2 du RGPD. Afin de dissiper toute ambiguïté, la CNIL rappelle que l’approbation des BCR n’implique pas l’approbation de transferts spécifiques de données à caractère personnel effectués sur la base des BCR. En conséquence, l’approbation des BCR ne peut être interprétée comme une approbation des transferts vers des pays tiers inclus dans les BCR pour lesquels un niveau de protection substantiellement équivalent à celui assuré au sein de l'UE ne peut être garanti.
La mise en œuvre des BCR approuvées ne nécessite pas d’autorisation supplémentaire spécifique de la part des autorités européennes de protection des données concernées.
 
Conformément à l’article 58-2-j du RGPD, chaque autorité de protection des données concernée dispose du pouvoir d’ordonner la suspension des flux de données adressés à un destinataire situé dans un pays tiers ou à une organisation internationale dans le cas où les garanties appropriées prévues par les BCR sous-traitant du groupe Worldline ne seraient pas respectées.
 
La présidente,
 
 
M.-L. Denis
 
 
 
 
 
Cette décision peut faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
 
ANNEXE AU PROJET DE DECISION
 
 
Les BCR sous-traitant du groupe Worldline approuvées par la présente décision s’étendent au périmètre décrit ci-après :
 
a. Champ d’application.
 
Ces BCR sous-traitant s’appliquent à toutes les données personnelles traitées et transférées au sein du groupe par les entités Worldline agissant en tant que sous-traitants et/ou sous-traitants ultérieurs pour le compte d'entités non Worldline agissant en tant que responsables du traitement. Tout transfert d'une entité Worldline au sein de l'UE/EEE (agissant en tant que sous-traitant ou sous-traitant ultérieur) vers une entité Worldline en dehors de l'UE/EEE (agissant en tant que sous-traitant ultérieur) et tout transfert ultérieur sont couverts.
b. Etats membres de l’EEE depuis lesquels les transferts sont effectués.
 
Les États membres de l’EEE depuis lesquels les transferts sont effectués sont visés à l’annexe 1 des BCR et sont les suivants : Allemagne, Autriche, Belgique, Danemark, Espagne, Estonie, Finlande, France, Grèce, Hongrie, Italie, Lettonie, Lituanie, Luxembourg, Malte, Norvège, Pays-Bas, Pologne, Portugal, République tchèque, Roumanie, Slovaquie, Slovénie et Suède.
 
c. Pays tiers vers lesquels les transferts sont effectués.
 
Les pays tiers vers lesquels les transferts sont effectués sont visés à l’annexe 1 des BCR et sont les suivants : Argentine, Australie, Brésil, Canada, Chine, États-Unis, Hong Kong, Inde, Indonésie, Japon, Malaisie, Mexique, Nouvelle-Zélande, Philippines, Royaume-Uni, Singapour et Taïwan.
 
d. Les finalités des transferts.
 
Les finalités des transferts sont détaillées dans l’annexe 2 des BCR. Elles comprennent notamment les finalités suivantes :
Embarquement des commerçants ;
Examens périodiques ;
Lutte contre la fraude ;
Analyse des modèles, examen des transactions de paiement ;
Support des commerçants : Surveillance, gestion du support, maintenance, provisionnement.
 
 
 
 
e. Catégories de personnes concernées.
 
Les catégories de personnes concernées sont détaillées dans l’annexe 2 des BCR et comprennent les :
Commerçants et représentants des commerçants ;
Consommateurs finaux.
 
f.Catégories de données à caractère personnel transférées.
Les catégories de données à caractère personnel transférées sont détaillées dans l’annexe 2 des BCR.
 
[1] Approuvé par le CEPD le 25 mai 2018.
N° de demande d'avis : 25001425.
			Thématiques : commissaire de justice ; registre des saisies des rémunérations ; procédures civiles d'exécution.
Organisme(s) à l'origine de la saisine : ministère de la justice.
			Fondement de la saisine : article 16, 12 bis de l'ordonnance n° 2016-728 du 2 juin 2016 relative au statut de commissaire de justice.
L'essentiel :
L'article 16, 12° bis de l'ordonnance du 2 juin 2016 relative au statut de commissaire de justice a attribué à la chambre nationale des commissaires de justice (CNCJ) la mise en place, sous sa responsabilité, d'un registre des saisies des rémunérations. Le décret soumis à l'avis de la CNIL procède à la création et à la mise en œuvre de ce registre.
Ce registre numérique vise à assurer l'identification des parties et des acteurs impliqués dans les procédures de saisie des rémunérations et permet d'assurer leur suivi aux fins de leur bonne exécution. En raison du caractère d'utilité publique attaché au registre, le droit d'opposition des personnes concernées par le traitement de leurs données est exclu.
La CNIL recommande de réduire la durée maximale de conservation des données enregistrées au registre, de limiter la conservation des données en base active et de prévoir l'anonymisation des données identifiantes en base d'archivage définitif ainsi que des modalités d'effacement plus explicites.
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ( loi informatique et libertés ) ;
Après avoir entendu le rapport de M. Vincent Lesclous, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
Adopte la délibération suivante :
I. - La saisine
A. - Le contexte
Le 12° bis de l'article 16 de l'ordonnance du 2 juin 2016 relative au statut de commissaire de justice prévoit la mise en place par la chambre nationale des commissaires de justice (CNCJ), sous sa responsabilité, d'un registre numérique des saisies des rémunérations, dans les conditions fixées par un décret en Conseil d'Etat pris après avis de la CNIL.
Ce traitement s'inscrit dans un processus de déjudiciarisation de la procédure de saisie des rémunérations, antérieurement confiée au juge de l'exécution.
Ce registre vise à traiter et conserver les informations nécessaires à l'identification de l'ensemble des parties et acteurs de la procédure de saisie des rémunérations et permettre ainsi le suivi des procédures aux fins de leur bonne exécution. Dans le cadre de ses attributions, la CNCJ doit également transmettre au ministre de la justice les données statistiques du registre ainsi qu'un rapport annuel relatif à la mise en œuvre de la procédure.
B. - L'objet de la saisine
La CNIL a été saisie pour avis, sur le fondement de l'article 16, 12 bis de l'ordonnance n° 2016-728 du 2 juin 2016 relative au statut de commissaire de justice, par le ministère de la justice, d'un projet de décret portant création du registre des saisies des rémunérations.
Le projet de décret :
- prévoit que le registre des saisies des rémunérations est tenu par la CNCJ ;
- détaille la nature et le périmètre des données traitées en renvoyant leur déclinaison à l'adoption ultérieure d'un arrêté du ministre de la justice ;
- réglemente les durées de conservation correspondantes ;
- identifie les personnes autorisées à procéder à des inscriptions, modifications, suppressions ainsi qu'à la consultation des données enregistrées ;
- régit les conditions permettant l'exercice des droits des personnes concernées par l'inscription de leurs données à caractère personnel au registre.
II. - L'avis de la CNIL
A. - Sur les catégories de données traitées
L'article 2 du projet de décret liste la nature et le périmètre des données pouvant être inscrites dans le registre, dont le contenu devra être précisé par arrêté.
A la lecture du décret, les données pouvant être inscrites au registre peuvent être classées dans deux catégories :
- les données d'identification des personnes physiques parties et acteurs de la procédure ;
- les données de procédure relatives à l'identification des créances et de tous les actes relatifs aux procédures de saisie des rémunérations, de paiement direct et à la traçabilité des accès et actions des acteurs de la saisie des rémunérations.
Ces données correspondent à des données de procédure qui peuvent contenir des informations bancaires et financières dans la mesure où elles portent directement sur des actes de procédure civile d'exécution relatifs à la saisie des rémunérations des personnes physiques. Considérant leur nature et leur périmètre, ces données peuvent également contenir certaines informations relatives à la relation de travail du débiteur (CC, Décision n° 2023-855 DC du 16 novembre 2023, § 124).
L'enregistrement de ces catégories de données est indispensable au suivi des procédures de saisie des rémunérations et participe à rendre l'action des commissaires de justice plus transparente, sous réserve de ne comporter que les seules informations strictement nécessaires à l'exécution de la mesure de saisie.
Dans un souci de minimisation du traitement des données à caractère personnel, l'arrêté envisagé ne devra permettre l'inscription au registre que des données adéquates, pertinentes et strictement nécessaires à l'identification et au suivi de l'état des procédures de saisie des rémunérations.
B. - Sur les durées de conservation
En premier lieu, l'article 5 du projet de décret prévoit la conservation en base active de l'ensemble des données inscrites au registre jusqu'à la radiation des procédures de saisie des rémunérations. L'absence de délai de conservation défini de ces données est justifiée par le caractère imprévisible de la durée de la procédure de saisie des rémunérations. Cette phase permet l'inscription, la modification, la consultation et le traitement des données conformément aux règles prévues par le projet de décret.
La durée de conservation en base active doit apparaitre strictement nécessaire à la réalisation de l'objectif du traitement ayant justifié l'enregistrement des données.
Consciente du caractère imprévisible de la durée de la procédure de saisie susceptible de s'étendre sur plusieurs années, la CNIL recommande de fixer un délai maximum de conservation en base active. La Commission prend acte de la proposition du ministère de limiter la conservation des données en base active à une durée maximale de dix ans renouvelable, après relance automatique générée par le registre et sur confirmation du commissaire de justice répartiteur. A défaut de réponse du commissaire de justice répartiteur dans un délai d'un mois à compter de l'alerte, le ministère précise qu'il sera procédé à la radiation automatique de la procédure.
En deuxième lieu, le projet de décret prévoit, à l'issue du délai d'un mois, une phase d'archivage au sens strict des données inscrites au registre. Lors de cette phase, seule la CNCJ pourra consulter les données enregistrées pendant une période de 5 ans. Ce délai pourra néanmoins être prolongé en cas de contentieux. La CNIL estime que la durée de conservation de cinq années en base d'archivage apparait nécessaire et proportionnée au regard des finalités du registre.
Sur le partage des données avec l'autorité ministérielle à des fins statistiques, la CNIL prend acte de ce qu'un arrêté du garde des sceaux relatif au registre numérique de saisies des rémunérations et au traitement des données à caractère personnel mis en œuvre par la CNCJ devra expressément prévoir que le partage des données avec l'autorité ministérielle à des fins statistiques ne peut porter que sur des données anonymisées .
Enfin, le projet d'article fixe une durée maximale de conservation des données de 100 ans à compter de l'enregistrement du premier acte de la procédure de saisie des rémunérations. Le ministère précise que la fixation de ce délai vise à renforcer la protection des données en établissant un délai butoir incompressible et à s'adapter au délai particulièrement long de certaines procédures (plus de 30 ans). La Commission prend acte de l'engagement du ministère de réduire cette durée à soixante ans, de manière à satisfaire aux particularités de la procédure des saisies des rémunérations sans porter une atteinte excessive à la protection des données.
C. - Sur les droits des personnes concernées par le traitement
L'article 6 du projet de décret prévoit que les droits d'accès, de rectification et de limitation s'exercent directement auprès de la CNCJ selon les conditions des articles 15, 16, 18 et 21 du RGPD. La CNIL observe que le gouvernement n'a pas entendu déroger à l'obligation d'information des personnes concernées par le traitement de leurs données à caractère personnel prévue par le RGPD.
Les autres dispositions du projet de décret n'appellent pas d'observations de la part de la CNIL.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-2°-b) ;
Après avoir entendu le rapport Mme Aminata Niakaté, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement 
Formule les observations suivantes :
Dans le cadre des démarches de promotion de l’égalité des chances et de lutte contre les discriminations, de nombreuses entreprises et institutions expriment leur volonté de mesurer la diversité au sein de leurs effectifs. Ces dispositifs visent à établir un diagnostic - en collectant de nombreuses données à caractère personnel, parfois sensibles, - sur la base duquel sont ensuite analysés les écarts de situation entre les salariés/agents, généralement par catégorie et selon les critères de discrimination prohibés par le code du travail.
Depuis l’entrée en application du RGPD, les services de la CNIL sont régulièrement interrogés sur la mise en œuvre de ces outils. Dans ce contexte, a été rédigé un projet de recommandation sur les enquêtes de mesure de la diversité au travail, mis en consultation publique du 9 juillet 2024 au 13 septembre 2024 afin de recueillir les retours de l’écosystème. Ceux-ci ont été analysés et le cas échéant pris en compte lors de l’édition de la version finale de la recommandation.
La CNIL adopte par conséquent la présente recommandation. 
Décide : 
 
Article 1er : La recommandation figurant en annexe est adoptée. 
Article 2 : La présente délibération sera publiée au Journal officiel de la République française. 
 
La présidente
 
M.-L. Denis
 
 
Annexe 
Vous pouvez consulter l'intégralité du texte à l'adresse suivante : https://www.cnil.fr/fr/recommandation-mesure-diversite-travail
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 janvier 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité 
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 12 décembre 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception de la nature des données traitées (appariement déterministe des données cliniques avec celles du SNDS.). 
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel. 
Réutilisation des données d’une base existante 
Les données de l’étude LUCA-pi RETRO (dont le traitement a été réalisé dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-004) seront réutilisées dans le cadre de la présente étude.
Catégories particulières de données traitées (autres que données de santé) 
Les données de l’étude feront l'objet d'un rapprochement avec les données issues du SNDS par l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR), du sexe et de la date de naissance complète des participants. Le dossier de demande mentionne que le circuit d’appariement sera conforme à la fiche pratique RT / centre unique / eCRF sans NIR publiée par la CNIL. A cet égard, les données identifiantes seront transmises, à la CNAM qui effectuera le rapprochement avec les données du SNDS.
Ces données devront être chiffrées au sein des centres et être transmises au tiers sous forme de fichiers chiffrés. Les algorithmes et les procédures de gestion de clés devront être conformes à l'annexe B1 du référentiel général de sécurité.
Des mesures de sécurité renforcées pour les tables de correspondance devront être mises en place. À cet égard, les équipements mobiles doivent faire l'objet de mesures de chiffrement afin de garantir la confidentialité des données qu'ils contiennent en cas de perte ou de vol de l'équipement. 
Utilisation de données issues du SNDS historique 
Composantes concernées : SNIIRAM et PMSI. 
Années concernées : 2017 à 2023
Modalités de consultation : portail de la CNAM.
Information et droits des personnes 
Tous les participants recevront une note d’information individuelle.
Durées d’accès et de conservation des données
Les NIR et les dates de naissance complètes des patients ne seront pas conservés après l’appariement.
Données du SNDS : trois ans à compter de la mise à disposition des données.
 
AUTORISE les HOPITAUX UNIVERSITAIRES DE MARSEILLE à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 janvier 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité 
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 3 avril 2025.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception des modalités d’information des personnes concernées. 
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence.
Réutilisation des données de bases existantes
Seront réutilisées dans le cadre de la présente étude les données des essais cliniques PROVECS , MECANO et VECAR placés sous la responsabilité de promoteurs établis en France (dont les traitements ont été réalisés dans le cadre d’une déclaration de conformité à la méthodologie de référence MR-001).
 
En fonction du calendrier de l’étude, seront par ailleurs susceptibles d’être réutilisées dans le cadre de la présente étude les données de quatre essais en cours de mise en œuvre en Chine et aux Etats-Unis (ChiCTR1800015261, NCT01522222, NCT04978636 et NCT03288558) par des promoteurs chinois et états-uniens. 
 
Le dossier de demande mentionne que ces essais sont réalisés dans le respect de la règlementation locale applicable.
Information et droits des personnes
En application du b) du 5 de l’article 14 du RGPD, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information exigerait des efforts disproportionnés.
En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre à travers la diffusion d’une note d’information sur le site web du responsable de traitement et sur les sites web des responsables de traitement des essais cliniques dont les données seront réutilisées dans le cadre de l’étude MELODIC .
Durée de conservation des données
Base active : cinq ans
Archivage : dix ans.
 
AUTORISE l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT