Nicolas-BZRD/CNIL_opendata huggingface dataset:
Délibération n° 2018-268 du 21 juin 2018 portant labellisation de la procédure de gouvernance RGPD présentée par la société Azursoft
(Saisine n° 18006437)
La Commission nationale de l’informatique et des libertés,
Saisie par la société Azursoft, le 24 mars 2018, d’une demande de délivrance de label concernant la conformité de sa procédure de gouvernance au Règlement européen Général sur la Protection des Données ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2017-219 du 13 juillet 2017 portant modification du référentiel pour la délivrance de labels en matière de procédure de gouvernance tendant à assurer la protection des données ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, membre du Comité de labellisation et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La Commission reconnaît que la procédure de gouvernance portant sur le Règlement Général sur la Protection des Données présentée est conforme au référentiel auquel il se rapporte, conformément à l’article 37 du règlement intérieur.

De la délivrance du label CNIL « Gouvernance RGPD » pour la procédure de gouvernance tendant à assurer la protection des données au sein de la société Azursoft.
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
La Présidente
I. FALQUE-PIERROTIN
Délibération n° 2018-275 du 21 juin 2018 portant labellisation de la procédure de gouvernance RGPD présentée par la société EURO CRM
(Saisine n° 18006713)
La Commission nationale de l’informatique et des libertés,
Saisie par la société EURO CRM, le 29 mars 2018, d’une demande de délivrance de label concernant la conformité de sa procédure de gouvernance au Règlement européen Général sur la Protection des Données ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2017-219 du 13 juillet 2017 portant modification du référentiel pour la délivrance de labels en matière de procédure de gouvernance tendant à assurer la protection des données ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, membre du Comité de labellisation et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La Commission reconnaît que la procédure de gouvernance portant sur le Règlement Général sur la Protection des Données présentée est conforme au référentiel auquel il se rapporte, conformément à l’article 37 du règlement intérieur.

De la délivrance du label CNIL « Gouvernance RGPD » pour la procédure de gouvernance tendant à assurer la protection des données au sein de la société EURO CRM.
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
La Présidente
I. FALQUE-PIERROTIN
Délibération n° 2018-276 du 21 juin 2018 portant labellisation de la procédure d’audit RGPD intitulée « Audit de conformité à la protection des données » présentée par le cabinet Privacy Impact
(Saisine n° 18006853)
La Commission nationale de l’informatique et des libertés,
Saisie par le cabinet Privacy Impact, le 29 mars 2018, d’une demande de délivrance de label concernant sa procédure d’audit RGPD intitulée « Audit de conformité à la protection des données » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2011-316 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de procédure d’audit tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Maurice RONAI, commissaire, président du Comité de labellisation et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La Commission reconnaît que l’audit de traitements présenté est conforme au référentiel auquel elle se rapporte, conformément à l’article 37 de son règlement intérieur.

De la délivrance du label CNIL « audit de traitement RGPD » pour la procédure d’audit intitulée «Audit de conformité à la protection des données » du cabinet Privacy Impact.
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
La Présidente
I. FALQUE-PIERROTIN
Délibération n° 2018-277 du 21 juin 2018 portant labellisation de la procédure de gouvernance RGPD présentée par la société CDISCOUNT
(Saisine n° 18006955)
La Commission nationale de l’informatique et des libertés,
Saisie par la société CDISCOUNT, le 30 mars 2018, d’une demande de délivrance de label concernant la conformité de sa procédure de gouvernance au Règlement européen Général sur la Protection des Données ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2017-219 du 13 juillet 2017 portant modification du référentiel pour la délivrance de labels en matière de procédure de gouvernance tendant à assurer la protection des données ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Maurice RONAI, commissaire, président du Comité de labellisation et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La Commission reconnaît que la procédure de gouvernance portant sur le Règlement Général sur la Protection des Données présentée est conforme au référentiel auquel il se rapporte, conformément à l’article 37 du règlement intérieur.

De la délivrance du label CNIL « Gouvernance RGPD » pour la procédure de gouvernance tendant à assurer la protection des données au sein de la société CDISCOUNT.
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
La Présidente
I. FALQUE-PIERROTIN
Délibération n° 2018-279 du 21 juin 2018 portant labellisation de la procédure de gouvernance RGPD présentée par l’Agence de Mutualisation des Universités et Etablissements d’enseignement supérieur
(Saisine n° 18007138)
La Commission nationale de l’informatique et des libertés,
Saisie par l’Agence de Mutualisation des Universités et Etablissements d’enseignement supérieur, le 30 mars 2018, d’une demande de délivrance de label concernant la conformité de sa procédure de gouvernance  au Règlement européen Général sur la protection des Données ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2017-219 du 13 juillet 2017 portant modification du référentiel pour la délivrance de labels en matière de procédure de gouvernance tendant à assurer la protection des données ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, membre du Comité de labellisation et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La Commission reconnaît que la procédure de gouvernance portant sur le Règlement Général sur la Protection des Données présentée est conforme au référentiel auquel il se rapporte, conformément à l’article 37 du règlement intérieur.

De la délivrance du label CNIL « Gouvernance RGPD » pour la procédure de gouvernance tendant à assurer la protection des données au sein de l’Agence de Mutualisation des Universités et Etablissements d’enseignement supérieur.
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
La Présidente
I. FALQUE-PIERROTIN
La Président
PAR PORTEUR
Paris, le 24 octobre 2018
Références à rappeler dans toute correspondance :
N/Réf. : [...]
Monsieur le Directeur Général,
Je fais suite à la décision n° MED-2018-007 du 5 mars 2018 mettant en demeure la société X, ainsi qu’aux échanges qui ont suivi.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture de votre dossier ainsi que de la procédure de contrôle n° 2016-277C.
En outre, comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet Legifrance et sur celui de la CNIL.
Je vous informe, par ailleurs, que si la persistance ou la réitération des manquements visés dans la mise en demeure était constatée à l’occasion de vérifications ultérieures, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement.
Je vous indique que le Règlement général sur la protection des données, entré en application le 25 mai 2018, s’inscrit dans la continuité de la loi Informatique et Libertés et participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne. Aussi, j’attire votre attention sur la nécessité de veiller au respect de ses dispositions.
Les services de la Commission [...] se tiennent à votre disposition pour tout renseignement complémentaire.
Je vous prie d’agréer, Monsieur le Directeur Général, l’expression de mes salutations distinguées.
Isabelle FALQUE-PIERROTIN
DELIBERATION N°91-098 DU 8 OCTOBRE 1991 PORTANT SUR UNE VERIFICATION SUR PLACE AUPRES DE BRIGADES DE GENDARMERIE D'ILE-DE-FRANCE
La Connnission Nationale de l'Informatique et des Libertés;
Vu la Convention du Conseil de l'Europe pour la Protection des Personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment son article 21 alinéa 2;
Vu le décret n° 78-774 du 17 juillet 1978 pris pour l'application de la loi susvisée ;
Vu le règlement intérieur de la Connnission et notamment ses articles 55 et 56 ;
Après avoir entendu Monsieur Jean-Pierre MICHEL en son rapport et Madame Charlotte-Marie PITRAT en ses observations ;
Considérant que les brigades de gendarmerie collectent et conservent des informations relstives aux personnes dans des fichiers manuels en application du décret du 20 mai 1903 et de l'instruction n° 52000 du 13 décembre 1971 susvisés
Considérant qu'il convient donc de vérifier sur place les conditions de collecte et de conservation des données par les brigades de gendarmerie ;

- de procéder à des vérifications sur place auprès de brigades de gendarmerie d'Ile-de-France ;
- d'en charger le Commissaire-Rapporteur et les agents de la
Connnission que le Président désignera,
LE PRESIDENT
Jacques FAUVET
La Présidente



Paris, le 3 octobre 2018
Monsieur le Directeur général,
Je fais suite à la décision n° 2018-022 que j’ai prise le 25 juin 2018 mettant en demeure la société X, ainsi qu’aux échanges qui ont suivi.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture en l’état de votre dossier ainsi que des procédures de contrôle n° 2017-108C et n°2017-216C
Je prends acte des mesures prises vis-à-vis de la société Google afin qu’une clause relative aux obligations du sous-traitant en matière de sécurité et de confidentialité des données à caractère personnel soit insérée dans le contrat conclu avec cette dernière.
En outre, comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet
www.legifrance.fr
Je vous informe, par ailleurs, que si la persistance ou la réitération des manquements visés dans la mise en demeure était constatée à l’occasion de vérifications ultérieures, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement.
Je vous indique que le Règlement Général sur la Protection des Données, entré en application le 25 mai 2018, s’inscrit dans la continuité de la Loi Informatique et Libertés et participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne. Aussi, j’attire votre attention sur la nécessité de veiller au respect de ses dispositions.
Les services de la Commission (X, juriste au service des sanctions […]) se tiennent à votre disposition pour tout renseignement complémentaire.
Je vous prie d’agréer, Monsieur le Directeur général, l’expression de mes salutations distinguées.
Isabelle FALQUE-PIERROTIN
La Présidente
PAR PORTEUR
Références à rappeler dans toute correspondance :
N/Réf. : […]/CTX 2018-018

Monsieur le Directeur,
Je fais suite à la décision n° 2018-024 prise le 2 juillet 2018 mettant en demeure la société X ainsi qu’aux échanges qui ont suivi.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture de ce dossier ainsi que de la procédure de contrôle n° 2018-027C.
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet https://www.legifrance.gouv.fr/ et sur celui de la CNIL.
Je vous informe, par ailleurs, que si la persistance ou la réitération des manquements visés dans la mise en demeure était constatée à l’occasion de vérifications ultérieures, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 20 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée.
Enfin, je vous indique que le règlement général sur la protection des données n°2016/679 du 27 avril 2016, entré en application le 25 mai 2018, s’inscrit dans la continuité de la loi Informatique et Libertés et participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne. Aussi, j’attire votre attention sur la nécessité de veiller au respect de chacune de ses dispositions.
Les services de la Commission […] se tiennent à votre disposition pour tout renseignement complémentaire.
Je vous prie d’agréer, Monsieur le Directeur, l’expression de mes salutations distinguées.
Marie-Laure DENIS
La Présidente

Paris, le 20 février 2020
LRAR n°[…]
Références à rappeler dans toute correspondance :
N/Réf. : [...]
Monsieur le Président,
Je fais suite à la décision n° 2019-025 prise le 5 novembre 2019 mettant en demeure la société X, ainsi qu’aux échanges qui ont suivi.
Au regard des éléments de réponse apportés et des mesures prises dans le sens d’une mise en conformité, je vous informe que j’ai décidé de procéder à la clôture partielle de votre dossier correspondant à la première phase de la mise en demeure relative au traitement des images issues du dispositif de vidéosurveillance et des mesures de sécurité relatives à l’accès aux flux vidéo des caméras connectées.
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture partielle fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet " www.legifrance.fr " et sur celui de la CNIL.
Je vous rappelle que la clôture en totalité de la procédure de mise en demeure ne pourra intervenir qu’une fois que vous nous aurez adressé, à l’issue du délai de deux mois et demi qui vous a été accordé, les documents attestant de votre mise en conformité quant à l’obligation de tenir un registre des activités de traitement, de délivrer une information spécifique relative à la vidéosurveillance auprès des salariés et de conclure un contrat avec votre prestataire informatique.
Je vous informe, également, que si la persistance ou la réitération des manquements visés dans la mise en demeure était constatée à l’occasion de vérifications ultérieures, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 20 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement.
Les services de la Commission ([…]) se tiennent à la disposition des vôtres pour tout renseignement complémentaire.
Je vous prie d’agréer, Monsieur le Président, l’expression de mes salutations distinguées.
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 52, 108 et 118 ;
Vu le décret n° 2019-539 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 141 à 143 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la délibération n° 2019-016 du 21 février 2019 portant désignation des membres de la Commission nationale de l'informatique et des libertés chargés de l'exercice indirect des droits des personnes concernées prévu aux articles 41, 42 et 70-22 de la loi du 6 janvier 1978 modifiée ;
Après démission de M. Marc DANDELOT de ses fonctions de président du collège des membres de la Commission nationale de l'informatique et des libertés chargés de l'exercice indirect des droits ;
Après avoir procédé le 31 janvier 2020 à un vote dans les conditions fixées par l'article 71 du règlement intérieur,


Mme Sophie LAMBREMON, conseiller honoraire à la Cour de cassation, est élue présidente du collège des membres de la Commission nationale de l'informatique et des libertés chargés de l'exercice indirect des droits.

La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Présidente



Paris, le 6 avril 2020
Par mail : [...]
Références à rappeler dans toute correspondance :
N/Réf. : XX
Monsieur le Président,
Je fais suite à la décision n° 2019-025 prise le 5 novembre 2019 mettant en demeure la société X, ainsi qu’aux échanges qui ont suivi.
Au regard des éléments de réponse apportés pour satisfaire au second palier de la mise en demeure et des mesures prises quant à la tenue d’un registre des activités de traitement, à l’information des salariés relative au dispositif de vidéosurveillance et à la conclusion d’un contrat avec vos sous-traitants, je vous informe que j’ai décidé de procéder à la clôture de votre dossier.
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet www.legifrance.fr et sur celui de la CNIL.
Je vous informe, par ailleurs, que si la persistance ou la réitération des manquements visés dans la mise en demeure était constatée à l’occasion de vérifications ultérieures, je pourrai saisir la formation restreinte de la CNIL, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement, afin que soit prononcée, le cas échéant, l’une ou plusieurs des sanctions prévues par les articles 20 et suivants de la loi du 6 janvier 1978.
Les services de la Commission (Madame X) se tiennent à la disposition des vôtres pour tout renseignement complémentaire.
Je vous prie d’agréer, Monsieur le Président, l’expression de mes salutations distinguées.
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 13 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 modifiée, notamment son article 3 ;
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission ;
Après qu'il a été procédé au vote en la présence du Commissaire du gouvernement ;
Constate :
Article 1er : Mme Isabelle FALQUE-PIERROTIN est élue présidente.
Article 2 : La présidente de la Commission est chargée de l'exécution de la présente délibération qui sera publiée au Journal Officiel.
Le Vice-président délégué
Emmanuel de GIVRY
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 13 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 modifiée, notamment son article 3 ;
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission ;
Après qu'il a été procédé au vote en la présence du Commissaire du gouvernement ;
Constate :
Article 1er : M. Jean-Paul AMOUDRY est élu Vice-président de la Commission nationale de l'informatique et des libertés.
Article 2 : La Présidente de la Commission est chargée de l'exécution de la présente délibération, qui sera publiée au Journal Officiel.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la loi n° 2009-526 du 12 mai 2009 de simplification et de clarification du droit et d'allégement des procédures ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la délibération n° 2011-249 du 8 septembre 2011 portant modification de l'article 69 du règlement intérieur de la Commission nationale de l'informatique et des libertés et insérant un chapitre IV bis intitulé  Procédure de labellisation
Après avoir entendu M. Jean-François Carrez, en son rapport, et Mme Elisabeth Rolin, commissaire du Gouvernement, en ses observations ;
L'article 11 (3°, c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL délivre un label à des produits ou à des procédures tendant à la protection des personnes à l'égard du traitement des données à caractère personnel, après qu'elle les a reconnus conformes aux dispositions de la loi du 6 janvier 1978 modifiée. Conformément aux dispositions de l'article 13 de la loi susvisée, elle modifie le règlement intérieur afin de préciser les modalités de mise en œuvre de la procédure de labellisation.
La présente délibération prend acte et corrige des erreurs matérielles concernant certaines dispositions du chapitre IV bis du règlement intérieur, qui fixe la procédure applicable à la délivrance des labels.

Article 1 : L'article 53-1 du règlement intérieur est ainsi modifié : le mot  désigné  est remplacé par le mot  désignés .
Article 2 : L'alinéa 1er de l'article 53-7 du règlement intérieur est ainsi modifié : après le mot  section , le chiffre  4  est remplacé par le chiffre  3 .
Article 3 : L'article 58-12 du règlement intérieur est ainsi modifié : dans la première phrase  La délibération portant délivrance ou de refus d'un label [...] , le mot  de  est supprimé.
Article 4 : Au lieu de  article 58-12  lire  article 53-12 .
Article 5 : La présente délibération est publiée au Journal officiel de la République française.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n°1406585v1)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la délibération de la CNIL n°2005-305 du 8 décembre 2005 portant autorisation unique AU-004 de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle, telle que modifiée le 14 octobre 2010 ;
Vu la demande d’autorisation, présentée par la société CASINO SERVICES, le 29 décembre 2009, portant sur un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle ;
Vu la demande de modification, reçue le 8 juin 2011 visant à prendre en compte la qualité de responsable de traitement de la société CASINO SERVICES pour l’ensemble des dispositifs d’alerte professionnelle déclinés au sein des filiales titulaires du « label diversité » au sein du groupe CASINO;
Sur le rapport de M. Emmanuel de GIVRY, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
Par une délibération n°2011-065 du 3 mars 2011, la Commission a autorisé la société CASINO SERVICES à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle permettant aux salariés de signaler des faits de discriminations dont ils pensent être victimes.
La société CASINO SERVICES a saisi la Commission d’une demande de modification afin que soit notifiée dans la délibération que l’autorisation couvre toutes les sociétés du groupe CASINO mentionnées dans l’accord collectif signé avec les partenaires sociaux et relatif à la « promotion de la Diversité ».
La Commission prend acte que la société CASINO SERVICES déclare être seule responsable de traitement en ce qu’elle détermine les finalités et les moyens du traitement.
Est inséré dans la délibération n°2011-065 du 3 mars 2011 un paragraphe ainsi rédigé :
« La société CASINO SERVICES agit en qualité de responsable de traitement pour l’ensemble des sociétés du groupe CASINO concernées par le dispositif d’alerte professionnelle. En effet, la Commission constate qu’elle détermine les finalités et les moyens du traitement. »
La Présidente,
La Commission Nationale de l’Informatique et des Libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée, notamment son article 25-1-5° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Dominique RICHARD, commissaire, et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la commune de Bayonne à mettre en œuvre, un traitement de données à caractère personnel comportant des données prévues à l’article 25 - I - 3°, 6° et 7° de la loi « Informatique et Libertés » ayant pour finalité l’archivage, jusqu’à la majorité du mineur, des données personnelles collectées lors des audiences du Conseil pour les Droits et Devoirs des Familles (CCDF).
Le Président
Alex TURK
Responsable du traitement
La commune de BAYONNE

La commune de BAYONNE souhaite procéder à l’archivage des données personnelles collectées lors des audiences du CCDF
Données traitées
Concernant les mineurs dont le CCDF a examiné la situation :
Ces données seront conservées au titre d’archives intermédiaires, elles ne deviendront pas archives définitives et seront détruites à la majorité du mineur.
Nom – prénom – adresse – date et lieu de naissance
Situation familiale
Scolarité/formation

Infractions
Difficultés parentales
Destinataires
Les données ne seront pas transmises aux archives départementales pour archivage définitif.
Les personnes autorisées à accéder aux fichiers archivés sont les archivistes de la commune et le coordonnateur du CCDF, spécialement habilités.
L’accès se fait au moyen d’un mot de passe individuel, régulièrement renouvelé.
Information et droit d’accès
Les personnes concernées par le traitement, seront informées de la finalité du traitement, des destinataires des informations, de l’existence et des modalités d’exercice de leurs droits par l’envoi d’un courrier personnalisé.
Le droit d’accès et de rectification défini au chapitre V de la loi s’exerce par courrier postal auprès de:
MAIRIE DE BAYONNE
Conseil pour les Droits et Devoirs des Familles.
Hôtel de Ville
1, Avenue du Maréchal Leclerc
64100 BAYONNE
Et par courriel à affaires.sociales@bayonne.fr
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, telle que modifiée par la loi n° 2004-801 du 6 août 2004, notamment son article 13 ;
Vu la loi n° 2011-334 du 29 mars 2011 relative au Défenseur des droits, et notamment son article 5 ;
Après qu'il a été procédé au vote en présence du commissaire du Gouvernement,
Constate :

Mme Claire DAVAL, MM. Jean-François CARREZ, Jean-Marie COTTERET, Claude DOMEIZEL, Sébastien HUYGHE et Dominique RICHARD sont élus membres de la formation restreinte de la Commission nationale de l'informatique et des libertés.

Mme Claire DAVAL est élue présidente de la formation restreinte.

La formation restreinte de la commission est ainsi composée :
Mme Claire DAVAL, présidente ;
M. Jean-François CARREZ ;
M. Jean-Marie COTTERET ;
M. Claude DOMEIZEL ;
M. Sébastien HUYGHE ;
M. Dominique RICHARD.

Le président de la commission est chargé de l'exécution de la présente délibération, qui sera publiée au Journal officiel de la République française.
Fait le 5 mai 2011.
Le président,
La Commission nationale de l'informatique et des libertés,
Vu la convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, ensemble le décret no 78-774 du 17 juillet 1978 ;
Vu la délibération no 87-25 du 10 février 1987 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Après avoir entendu M. Gentot (Michel), président, en son rapport, et Mme Pitrat (Charlotte-Marie), commissaire du Gouvernement, en ses observations ;
Considérant qu'il y a lieu de renforcer le caractère contradictoire de la procédure relative aux missions d'investigation, de contrôle ou de vérification sur place,

Art. 1er. - L'article 57 du règlement intérieur de la commission est ainsi rédigé :
La mission fait l'objet d'un rapport signé par le membre ou l'agent de la commission qui y a procédé. Ce rapport comporte le compte rendu de mission et les conclusions du rapporteur. Il est communiqué à la personne concernée qui est informée qu'elle dispose d'un délai de quinze jours à compter de la réception du rapport pour faire connaître ses observations et qu'elle peut demander à être entendue, assistée ou non d'un conseil, par la commission. Cette audition est de droit lorsque le rapport de mission conclut à un avertissement ou une dénonciation au parquet. Dans les autres cas, le bureau de la commission apprécie la suite à donner à la demande d'audition qui est présentée.
Art. 2. - La présente décision sera publiée au Journal officiel de la République française.
Le président,
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la déclaration n° 1323017 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société BD FRANCE à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Le Président
Société responsable du transfert

Finalité du transfert
Gestion des carrières et de la mobilité des salariés
Gestion des primes de performance
Catégories de données transférées
Données d’identification
-     Moyen de déplacement des personnes
Nom, prénom, sexe, initiale,
N° d’ordre,
Date et lieu de naissance,
N° d’identification du salarié,
Fonction, titre,
Date d’embauche,
Job groupe (calcul et allocation des primes de performance),
Niveau de performance
Unité, manager

Localisation géographique,
Catégories de personnes concernées par le transfert
Salariés de BD FRANCE
Identité(s) du(des) destinataire(s)
BECTON, DICKINSON and Company
1 Becton Drive, Franklin Lakes, NJ USA 07417
Pays d’établissement du(des) destinataire(s)

Service auprès duquel s’exerce le droit d’accès des personnes concernées

11, rue Aristide Bergès – ZI des Iles – BP 4
38801 LE PONT-DE-CLAIX Cedex
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Signature d’un contrat conforme aux clauses types adoptées par la Commission européenne dans sa décision du 15 juin 2001
Observations particulières
Durée de conservation des données limitée à 3 ans
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée, notamment ses  articles 27 et 29 ;
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par le décret n°2007-401 du 25 mars 2007 ;
Vu l’avis n°2009-213 de la Commission Nationale de l’Informatique et des Libertés en date du 30 avril 2009 ;
Vu la décision du 30 avril 2009 du Président de la CNIL relative à la mise en œuvre, par le service des correspondants informatique et des libertés d’un site web dédié aux correspondants à la protection des données à caractère personnel.
Vu le projet de décision du Président de la CNIL modifiant la décision susvisée du 30 avril 2009 ;
Vu l’avis de la CNIL en date du 16 novembre 2010

ARTICLE 1 : sont ajoutées à l’article 3 de la décision du 30 avril 2009 susvisée, dans le prolongement de la dernière phrase, les catégories de données suivantes : « éléments liés à la personnalisation du profil utilisé dans le cadre du forum (lieu, occupation, centres d’intérêt, biographie, signature et avatar) et historique des messages postés sur le forum ».
ARTICLE 2 : est ajoutée à la fin de l’article 4 de la décision du 30 avril 2009 susvisée la phrase suivante : « Dans le cadre de l’utilisation du forum, l’identité et les éléments de personnalisation du profil sont accessibles à tous les abonnés de l’extranet aux seules fins de connaître l’auteur d’un message, de lui répondre ou de le contacter par un message privé ».
La Commission nationale de l’informatique et des libertés,
Vu la Convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004 et notamment en son article 25-I-4 ;
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Dominique RICHARD, Commissaire rapporteur et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société Dom Ville à mettre en œuvre un traitement de données à caractère personnel dont les caractéristiques sont résumées dans le tableau ci-dessous.
Le Président
Alex TURK
Responsable du traitement
La société Dom Ville (chaîne nationale gérant la location de résidences immobilières).

Le dispositif présenté concerne la prévention des impayés et l’exclusion des prestations de la société, notamment du service de résidences hôtelières Apart’City (service de location d'appartements meublés et équipés), des personnes ayant contracté une dette impayée.
Il y a donc lieu de faire application de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée le 6 août 2004 qui soumet à autorisation préalable de la CNIL les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire.
Données traitées
Le traitement ne comprend aucune zone de commentaire libre.
Nom, prénom, adresse ;
Date et lieu de naissance ;
Adresse de facturation si différente, email, téléphone ;
Historique des facturations.
Destinataires
Collaborateurs des différents établissements des résidences Appart’City ;
Siège de la société (service comptabilité).
Durée de conservation
Si ce délai est inférieur à 5 ans : jusqu’au recouvrement de la créance ;
5 ans en cas de non recouvrement.
Information et droit d’accès
Conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées seront informées préalablement à la fourniture de leurs données personnelles, des conditions générales de traitement de leurs données.
En cas d’incident de paiement, la personne concernée est informée par l’envoi de courriers de relance au moment de l’incident, et s’il n’a pas régularisé sa situation.
En cas d’impayé, elle recevra également un courrier personnalisé.
Les droits d’accès et de rectification s’exerceront auprès de la société DOM VILLE SERVICES, APPART’CITY, 12 rue de la Verrerie, 44100 NANTES.