AgentPublic/cnil huggingface dataset:
Cette donnée devra être conservée chiffrée sur les serveurs de la CNAV. Les algorithmes et les procédures de gestion de clés utilisées à cet effet devront être conformes à l'annexe B1 du référentiel général de sécurité. Des mesures de sécurité renforcées pour la conservation des tables de correspondance devront être mises en place notamment : 
celles-ci doivent être stockées séparément des données de l’étude pseudonymisées et avec un chiffrement distinct spécifique ;
l’accès aux tables de correspondance devra être limité aux personnes habilitées et strictement encadré. Comme mentionné dans le dossier de demande, l’équipe en charge de l’étude n’aura pas accès à la table de correspondance comprenant le NIR.
 
S’agissant des autres catégories de données traitées
 :
La collecte de la pratique d'une activité religieuse a été scientifiquement justifiée dans le dossier de demande. 
 
S’agissant des zones de commentaires libres figurant dans les questionnaires : 
Les données contenues dans des zones commentaires doivent, comme toute information à caractère personnel enregistrée dans un traitement et appelée à y être conservée, être pertinentes, adéquates et limitées à ce qui est nécessaire au regard de la finalité du traitement. Les données contenues dans ces zones de texte libre doivent être communiquées aux personnes exerçant leur droit d’accès. 
Destinataires des données directement identifiantes
La collecte des nom, prénom ainsi que des coordonnées postales, téléphoniques et électroniques est nécessaire pour assurer le suivi des participants par la CNAV. Ils devront en être informés.
Le sous-traitant pourra avoir accès à ces informations présentes sur le questionnaire uniquement lors du scan des réponses pour envoi à la CNAV.
Les données directement identifiantes devront être traitées dans une base de données distincte des données de santé. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes.
Information et droits des personnes
Tous les participants recevront une note d’information individuelle qui devra être complétée avant de leur être adressée afin de comporter l’ensemble des mentions prévues par le RGPD, s’agissant notamment des destinataires des données directement identifiantes.
Une note d’information dédiée devra être remise au tuteur du participant et une note d’information spécifique devra être prévue dans l’hypothèse où celui-ci bénéficie d’une mesure de curatelle.
Le terme "anonymisé" qui est inapproprié, devra être remplacé par les termes données "codées" ou pseudonymisées , en précisant que les noms et prénoms des personnes ne seront pas traités pour analyse dans le cadre de cette étude (mais uniquement afin d’assurer le suivi des participants).
Conformément aux dispositions de l’article 74 de la loi "informatique et libertés", les personnes disposent du droit de s’opposer au traitement de leurs données à des fins de recherche. Les personnes ayant fait exercice de leur droit d’opposition ne devront pas être contactées dans le cadre des appels téléphoniques.
Durées de conservation en base active et en archivage
Les données administratives d’identification des non-répondants sur le fichier de contact seront supprimées au fur et à mesure par les standardistes. 
Les données administratives d’identification et les NIR des non-répondants au questionnaire seront également supprimées au bout de trois mois à compter du début de la collecte. 
Les données administratives d’identification des répondants ayant accepté d’être recontactés seront conservées pendant cinq ans à compter du début de la collecte.
Les autres données de l’étude seront conservées pendant dix ans en base active.
AUTORISE un consortium composé DE LA CAISSE NATIONALE D'ASSURANCE VIEILLESSE, DE L’UNIVERSITE DE TOURS, DU CENTRE HOSPITALIER UNIVERSITAIRE DE TOURS, DE NANTES UNIVERSITE, DE L’UNIVERSITE D’ANGERS, DE L’UNIVERSITE DE CAEN, DE L’UNIVERSITE DE BORDEAUX, DE L’INSTITUT DES POLITIQUES PUBLIQUES, DE L’ECOLE DES HAUTES ETUDES EN SANTE PUBLIQUE, DE L’INSTITUT NATIONAL D'ETUDES DEMOGRAPHIQUES ET DE LA DIRECTION DE LA RECHERCHE, DES ÉTUDES, DE L'ÉVALUATION ET DES STATISTIQUES DU MINISTERE DE LA SANTE ET DE LA PREVENTION à mettre en œuvre le traitement décrit ci-dessus.
 
Le Directeur adjoint de l’accompagnement juridique
 
Paul HEBERT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Avis du comité
Avis favorable du Comité de protection des personnes Sud-Est VI du 5 mai 2023.
Points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003, à l'exception de la nature des données traitées et des destinataires des données directement identifiantes.
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Catégories particulières de données traitées (autres que des données de santé) et leurs destinataires 
L’équipe de l’étude "ATENA" rattachée au centre hospitalier universitaire de Bordeaux sera destinataire des données administratives d’identification suivantes :
La collecte des prénoms, de la première lettre du nom ainsi que des mois et années de naissance des enfants et des mères est nécessaire pour assurer le suivi des participants.
Les coordonnées postales des mères seront traitées aux fins de vérification du critère d’inclusion. Les coordonnées postales des mères et des pères seront également traitées au sein du questionnaire environnemental de l’étude. 
Les coordonnées électroniques des mères et des pères seront traitées afin d’envoyer le lien du questionnaire environnemental de l’étude.
Les coordonnées téléphoniques des mères seront traitées afin de les contacter en cas de complétion partielle ou de non réponse au questionnaire environnemental.
Les données directement identifiantes doivent être traitées de façon séparée des données de santé. 
Information et droits des personnes
Le dossier de demande mentionne que les deux titulaires de l’exercice de l’autorité parentale recevront une note d’information individuelle en vue de la participation à l’étude de la mère et de l’enfant à naître. Une note d’information sera également adressée lors de l’envoi du questionnaire environnemental. Ces notes d’information devront être 
 complétées avant le début de l’étude afin de comporter l’ensemble des mentions prévues par le RGPD.
Les courriers électroniques adressés aux participants ne devront révéler aucune information sur leur état de santé réel ou supposé ou sur celui de leur enfant.
En cas de complétion partielle ou de non réponse au questionnaire, les participants sont susceptibles d’être relancés. S’ils ont fait exercice de leur droit d’opposition en refusant de continuer à participer à l’étude, ils ne devront pas être contactés à nouveau conformément aux dispositions de l’article 74 de la loi "informatique et libertés".
Mesures de sécurité
La solution de cahier d’observation électronique sera hébergée localement au sein du CHU de Bordeaux. Différents serveurs seront utilisés afin de cloisonner l’applicatif et la base de données. Les données issues du questionnaire seront conservées séparément de l’éventuel entrepôt qui sera constitué dans un second temps et qui fera l’objet de formalités adéquates.
Les connexions à cette solution seront soumises à une authentification multifacteur comprenant au moins deux facteurs d’authentification différents. Tous les mots de passe utilisés devront être conformes à la délibération n° 2022-100 du 21 juillet 2022 portant adoption d'une recommandation relative aux mots de passe et autres secrets partagés.
Les données stockées et transmises seront chiffrées au repos et en transit par des protocoles et algorithmes à l’état de l’art. Les sauvegardes seront également chiffrées au repos via des algorithmes à l’état de l’art. Les tables de correspondance seront stockées dans un fichier séparé des données cliniques. Ce fichier identifiant est chiffré et localisé sur un serveur protégé du CHU de Bordeaux dédié au projet.
Seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel pourra accéder aux données directement identifiantes au moyen d’une authentification multifacteur.
Les journaux et traces techniques devront être conservés conformément aux recommandations de la délibération n° 2021-122 du 14 octobre 2021 portant adoption d'une recommandation relative à la journalisation, plus précisément entre six mois et un an. Une analyse manuelle ou automatique des journaux d’accès et de connexion devra être réalisée fréquemment en raison du non-cloisonnement des adresses email dans le projet de questionnaire.
Les mesures de sécurité décrites dans le dossier de demande ont pour objectif de répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD. A cet égard ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, le responsable de traitement demeure pleinement responsable du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de leur conformité à tout moment.
Durées de conservation des données
Les coordonnées téléphoniques et électroniques des participants seront supprimées au bout d’un an.
Les autres données administratives d’identification (prénoms, première lettre du nom ainsi que des mois et années de naissance et coordonnées postales) ne devront pas être conservés une fois le suivi des participants effectué.
Autres données : 
Base active : cinq ans. 
Archivage : quinze ans. 
Observations particulières
Les bases de données pérennes comprenant des données de santé et constituées en vue de leur réutilisation à des fins de recherche dans le domaine de santé sont des entrepôts de données. Sauf en cas de recueil du consentement des personnes concernées, ces traitements relèvent du régime de formalités préalables prévu par les articles 66 et suivants de la loi "informatique et libertés" (déclaration de conformité au référentiel entrepôt de données de santé ou, en cas de non-conformité au référentiel, autorisation de la CNIL).
 
AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE BORDEAUX à mettre en œuvre le traitement décrit ci-dessus.
 
Le Directeur adjoint de l’accompagnement juridique
Paul HEBERT
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Bertrand du MARAIS, Mmes Laurence FRANCESCINI et Isabelle LATOURNARIE-WILLEMS, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après le " Règlement " ou " RGPD ") ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (ci-après " la loi Informatique et Libertés " ou " loi du 6 janvier 1978 modifiée "), notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2022-160C du 29 septembre 2022, de la présidente de la Commission nationale de l’informatique et des libertés (ci-après " la Commission " ou " la CNIL ") de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société […] ou pour son compte ;
Vu les procès-verbaux n° 2022-160/1 et 2022-160/2 des 17 et 20 octobre 2022, notifiés à la société […] les 19 et 24 octobre 2022 ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte du 5 mars 2024 ; 
Vu le rapport de Madame Sophie LAMBREMON, commissaire rapporteur, notifié à la société […] le 31 mai 2024 ; 
Vu les observations écrites de la société […] reçues le 16 juillet 2024 ;
Vu la réponse de la rapporteure notifiée à la société […] le 7 août 2024 ; 
Vu les observations écrites de la société […] reçues le 23 septembre 2024 ; 
Vu la clôture de l’instruction notifiée à la société […] le 11 octobre 2024 ;
Vu les observations orales formulées lors de la séance de la formation restreinte du 14 novembre 2024 ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 14 novembre 2024 :
- Madame Sophie LAMBREMON, commissaire, entendue en son rapport ;
En qualité de représentants de la société […] :
- […]
Le président ayant vérifié l’identité des représentants du mis en cause, présenté le déroulé de la séance et rappelé que les mis en cause peuvent, s’ils le souhaitent, présenter des observations orales introductives ou en réponse aux questions des membres de la formation restreinte. 
La société […] ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. Faits et procédure
1. La société […] (ci-après " la société "), société par actions simplifiée dont le siège social est situé […], a un établissement secondaire situé […]. La société, qui exerce une activité d’agence immobilière, propose notamment à sa clientèle, majoritairement des acheteurs professionnels, d’identifier les biens immobiliers présentant la plus forte rentabilité.
2. En 2022, la société employait environ […] personnes, majoritairement des alternants. Pour la période du 1er avril 2020 au 31 décembre 2021, la société a réalisé un chiffre d’affaires de […] euros pour un résultat net de […] euros, puis, en 2022, un chiffre d’affaires de […] euros pour un résultat net de […] euros. En 2023, la société a réalisé un chiffre d’affaires de […] euros, pour un résultat net de […] euros.
3. La société a mis en place le logiciel TIME DOCTOR (ci-après " le logiciel ") dans le cadre du télétravail de ses employés à compter du mois de septembre 2021, pour le suivi de leur activité, puis l’a désactivé le 17 octobre 2022. Installé sur les ordinateurs utilisés par les salariés non cadres de ses départements " marketing/communication ", " chasse ", " gestion locative " et " tech ", les données qu’il collectait étaient consultables par les encadrants à travers une application web.
4. Le logiciel était installé sous deux versions, la première, dite " interactive ", sur les ordinateurs personnels des employés, nécessitant une activation et une désactivation manuelle par ces derniers pendant leur temps de travail et de pause, et la seconde, dite " silencieuse ", installée sur les ordinateurs fournis par la société, pour laquelle l’activation et la désactivation étaient automatiques lors du démarrage et de l’arrêt des ordinateurs.
5. La société a en outre mis en place au sein de son établissement secondaire, en juillet 2022, un dispositif vidéo composé de deux caméras, afin de prévenir les atteintes aux biens (vols). 
6. Les 17 et 20 octobre 2022, une délégation de la CNIL a procédé à un contrôle dans les locaux de l’établissement secondaire de la société. Celui-ci avait pour but de vérifier le respect des dispositions de la loi Informatique et Libertés et des autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l'Union européenne et les engagements internationaux de la France. Les procès-verbaux dressés à l’issue ont été notifiés à la société […] les 19 et 24 octobre 2022.
7. Entre octobre et décembre 2022, la société a fourni les éléments d’information complémentaires sollicités par la délégation lors des missions de contrôle. 
II. Motifs de la décision 
A. Sur les griefs de la société en lien avec la procédure
1) Sur l’absence de communication des plaintes
8. L’article 40. I. paragraphe 7 du décret n° 2019-536 du 29 mai 2019 énonce que " lorsque la procédure a pour origine une réclamation ou une plainte, l'identité de son auteur n'est pas communiquée au mis en cause, à moins que cela soit indispensable à la cessation du ou des manquements constatés ou lorsque les éléments de preuve opposés au mis en cause pour l'établissement du ou des manquements allégués ont été fournis par l'auteur de la plainte ou de la réclamation ".
9. La société fait valoir que les plaintes ayant donné lieu au contrôle d’octobre 2022 ne lui ont pas été communiquées, en méconnaissance du principe du contradictoire et de l’article 6 de la convention européenne des droits de l’homme. Elle estime que la communication de ces plaintes lui aurait permis de prendre connaissance des griefs énoncés, de leur contexte et d’exercer ses droits. 
10. La formation restreinte relève qu’il résulte des dispositions de l’article 40. I, paragraphe 7 du décret susvisé que lorsqu’une plainte est à l’origine d’une procédure de sanction, l’identité de son auteur n’est pas communiquée au mis en cause, sauf dans les cas explicitement prévus à cet article.
11. La formation restreinte relève qu’en l’espèce, si des plaintes ont été à l’origine des opérations de contrôle de la CNIL, elles n’ont pas pour autant constitué des éléments de preuve sur lesquels repose l’établissement des manquements que la rapporteure a proposé à la formation restreinte de retenir, ceux-ci étant caractérisés au regard des éléments constatés dans les procès-verbaux de contrôle et des éléments communiqués par la société en réponse aux demandes faites par la délégation, comme cela ressort du rapport de sanction et des observations de la rapporteure. Les éléments de preuve opposés à la société pour l'établissement des manquements n’ont ainsi pas été fournis par les auteurs des plaintes. La formation restreinte relève que la communication de l’identité des plaignants n’était pas non plus indispensable à la cessation des manquements relevés. 
12. Par conséquent, la formation restreinte considère que le principe du contradictoire et le respect des droits de la défense n’ont pas été méconnus.
2) Sur l’absence de mesure d’avertissement ou de mise en demeure prise à l’encontre de la société
13. La société fait valoir qu’elle a pleinement coopéré avec la CNIL qui aurait dû prononcer à son égard une mesure d’avertissement ou de mise en demeure, afin qu’elle puisse déterminer si les mesures ainsi mises en œuvre lui permettaient de garantir la conformité des traitements.
14. La formation restreinte rappelle que les dispositions de l’article 20, paragraphe IV de la loi Informatique et Libertés prévoient que la décision de saisir la formation restreinte relève des pouvoirs de la présidente de la CNIL, sans qu’une telle décision soit conditionnée au prononcé d’une mise en demeure préalable (CE, 10ème, 26 avril 2022, Optical Center, n° 449284, inédit). En outre, conformément à ce même article, une mesure d’avertissement ne peut être mise en œuvre que pour avertir un organisme que le traitement qu’il envisage est susceptible de méconnaître les textes applicables, à un stade où ce traitement n’est pas encore déployé, ce qui n’était pas le cas en l’espèce.
15. Compte tenu de ce qui précède, la formation restreinte considère qu’il ressort des dispositions de l’article 20 de la loi Informatique et Libertés que l’autorité de contrôle dispose d’un ensemble de mesures correctrices, adaptées selon les caractéristiques propres à chaque cas, qui peuvent être combinées entre elles et être précédées ou non d’une mise en demeure, les mesures correctrices pouvant être prises directement dans tous les cas (en ce sens, CNIL, FR, sanction n°SAN-2021-021 du 28 décembre 2021). 
16. Par conséquent, la formation restreinte considère que la CNIL n’a pas méconnu l’étendue de sa compétence en engageant la présente procédure de sanction à l’encontre de la société, sans avertissement ou mise en demeure préalable.
3) Sur le cadre applicable aux manquements
17. Aux termes de l’article 8, 2° de la loi informatique et libertés, la CNIL " veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l'Union européenne et les engagements internationaux de la France. "
18. La société soutient que, la CNIL étant chargée de sanctionner un éventuel non-respect de ses obligations vis-à-vis du RGPD ou de la loi Informatique et Libertés, il n’entre pas dans ses compétences d’évaluer d’éventuels manquements au regard d’autres dispositions légales ou réglementaires applicables telles que le code du travail, ainsi qu’à la jurisprudence de la Cour de cassation et du Conseil d’Etat. 
19. La formation restreinte rappelle que, en vertu de l’article 8, I, 2° de la loi informatique et libertés, la CNIL est compétente pour sanctionner tous manquements au regard notamment des dispositions du RGPD et de la loi Informatique et Libertés. A cet égard, l’article 16 de ladite loi confie à la formation restreinte la compétence pour sanctionner les responsables de traitement ou les sous-traitants qui ne respectent pas les obligations découlant du RGPD et de cette loi.
20. La formation restreinte relève avoir sanctionné, dans un précédent dossier, des manquements aux dispositions de l’article 6 du RGPD, dès lors que le traitement en cause porte une atteinte disproportionnée aux droits des salariés à la vie privée, à la protection de leurs données personnelles, à des conditions de travail qui respectent leur sécurité, leur santé et leur dignité, et en particulier au droit de ne pas faire l’objet d’une surveillance excessive en application de l’article L. 1121-1 du code du travail (CNIL, Sanction SAN-2023-021 du 27 décembre 2023). 
21. En effet, pour se prévaloir de la base légale de l’intérêt légitime, le responsable de traitement doit opérer un contrôle de proportionnalité entre les intérêts poursuivis et l’atteinte portée aux droits et intérêts des personnes dont les données sont traitées ; ce contrôle s’effectue en tenant compte du cadre juridique spécifique applicable au traitement, en l’espèce le droit du travail. Un tel raisonnement, à la lumière des dispositions du code du travail, avait été antérieurement confirmé par le Conseil d’Etat (CE, 15 décembre 2017, 10ème et 9ème Ch. réunies, Société Odeolis, n°403776).