Nicolas-BZRD/CNIL_opendata huggingface dataset:
La Présidente

Paris, le 25 mars 2021
PAR PORTEUR
Références à rappeler dans toute correspondance :
N/Réf. : xxx
Monsieur […],
Je fais suite à la décision MED n° 2019-027 du 12 novembre 2019 mettant en demeure X et aux échanges qui ont suivi.
Au regard des éléments de réponse apportés et des mesures prises dans le sens d’une mise en conformité, je vous informe que j’ai décidé de procéder à la clôture de votre dossier ainsi que de la procédure de contrôle n° 2018-071C.
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet www.legifrance.fr et sur celui de la CNIL.
Mes services (X, juriste au service des sanctions – […]) se tiennent à la disposition des vôtres pour tout renseignement complémentaire.
Je vous prie d'agréer, Monsieur […], mes salutations distinguées.
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (notamment ses articles 40, 41 et 57) ;
Vu la délibération n° 2020-050 du 30 avril 2020 portant adoption d’un référentiel relatif à l’agrément des organismes chargés de contrôler le respect des codes de conduite ;
Vu la délibération n° 2021-065 portant approbation du code de conduite européen porté par Cloud Infrastructure Service Providers Europe (CISPE) ;
Après avoir entendu le rapport de Mme Anne DEBET, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Observe que :
L’article 41 du règlement général relatif à la protection des données (RGPD) prévoit que l’organisme chargé de contrôler le respect d’un code de conduite par les responsables de traitements ou les sous-traitants doit être agréé par l’autorité de contrôle compétente au titre de l’article 57.1 (q) du RGPD.
Le code de conduite européen porté par Cloud Infrastructure Service Providers Europe (CISPE) a été approuvé par la Commission le 3 juin 2021. Il identifie la CNIL comme autorité de contrôle compétente conformément aux dispositions de l’article 40.5 du RGPD. En conséquence, la CNIL est compétente pour l’instruction et la délivrance de l’agrément aux organismes de contrôle désignés par le code de conduite porté par CISPE.
Ce code de conduite a désigné en tant qu’organisme de contrôle EY CERTIFYPOINT B.V. .
Le 27 mai 2021, la Commission a été saisie par EY CERTIFYPOINT B.V. d’une demande d’agrément en tant qu’organisme de contrôle du code de conduite porté par CISPE, conformément aux dispositions de la délibération n° 2020-050 du 30 avril 2020 portant adoption d’un référentiel relatif à l’agrément des organismes chargés de contrôler le respect des codes de conduite.
La demande d’agrément a fait l’objet d’une évaluation par les services de la CNIL.
La Commission reconnaît que la demande d’agrément présentée est conforme au référentiel d’agrément adopté le 30 avril 2020.

De la délivrance de l’agrément à EY CERTIFYPOINT B.V. en tant qu’organisme de contrôle du code de conduite européen porté par Cloud Infrastructure Service Providers Europe (CISPE).
Cet agrément est délivré pour une durée de cinq ans à compter de la présente délibération.
Si les exigences relatives à l’agrément ne sont pas ou plus respectées, l’agrément peut être révoqué conformément aux dispositions de l’article 41.5 du RGPD et de l’article 23 de la loi n° 78-17 du 6 janvier 1978 modifiée.
La Présidente
Marie-Laure DENIS
La Présidente



PAR PORTEUR
Et par courrier électronique à l’attention de […]
Paris, le 4 mai 2021
Références à rappeler dans toute correspondance :
N/Réf. : […]-CTX-2019-021
Madame la Présidente,
Je fais suite à la décision n°MED-2019-036 que j’ai prise le 31 décembre 2019 mettant en demeure la société X et aux échanges qui ont suivi.
Au regard des éléments de réponse apportés et des mesures prises dans le sens d’une mise en conformité, je vous informe que j’ai décidé de procéder à la clôture de votre dossier ainsi que de la procédure de contrôle n° 2019-024C.
Je vous informe, par ailleurs, que si la persistance ou la réitération des manquements visés dans la mise en demeure était constatée à l’occasion de vérifications ultérieures, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 20 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement.
Mes services ([…]) se tiennent à la disposition des vôtres pour tout renseignement complémentaire.
Je vous prie d’agréer, Madame la Présidente, mes salutations distinguées.
Marie-Laure DENIS
La Présidente


PAR PORTEUR
Et par courrier électronique à l’attention de […]

Références à rappeler dans toute correspondance :
N/Réf. : JDE/JMN/MDMXXX
Monsieur le Président,
Je fais suite à la décision n° 2019-035, qui vous a été notifiée le 10 février 2020, mettant en demeure la société X, ainsi qu’aux échanges qui ont suivi.
Au regard des éléments de réponse apportés les 6 octobre et 23 novembre 2020 et des mesures prises dans le sens d’une mise en conformité, je vous informe que j’ai décidé de procéder à la clôture en l’état de votre dossier ainsi que de la procédure de contrôle n° 2019-023C.
Je souhaite néanmoins vous faire part des observations suivantes.
En premier lieu, s’agissant du recueil du consentement, j’ai pris bonne note de ce que la première case intitulée choisir le suivi de consommation quotidien n’est pas pré-cochée et que, si la dernière case intitulée vous ne souhaitez pas activer de suivi de consommation quotidien n’est pas cochée par le client, cela équivaut à une absence de consentement pour le traitement des données journalières et infra-journalières. En l’absence de toute coche, je note qu’X ne collecte que les données mensuelles de consommation du client.
Je prends également acte que Toutes les données, enregistrées avant la mise en demeure, des clients qui ne se sont pas repositionnés sur ce nouveau parcours de consentement ou se sont repositionnés négativement ont été effacées sur les mois d’octobre et de novembre , ainsi que vous l’indiquez dans votre courrier du 23 novembre 2020.
En second lieu, s’agissant des durées de conservation, je prends note que les données de consommation sont conservées trois ans en base active pour les données quotidiennes et deux ans pour les données infra-quotidiennes aux fins de leur mise à disposition dans l’espace client de l’abonné, conformément aux dispositions de l’article D. 224-27 du code de la consommation. Je relève que les données relatives aux consommations mensuelles sont quant à elles conservées au maximum trois ans en base active puis quatre ans en archivage en vue de la gestion de la relation contractuelle, sauf impayé, auquel cas elles sont conservées pour toute la durée du recouvrement puis archivées pendant cinq ans dans l'éventualité d’un contentieux.
Je vous informe, par ailleurs, que si la persistance ou la réitération des manquements visés dans la mise en demeure était constatée à l’occasion de vérifications ultérieures, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 20 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement.
Les services de la Commission […], se tiennent à la disposition des vôtres pour tout renseignement complémentaire.
Je vous prie d’agréer, Monsieur le Président, mes salutations distinguées.
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 13 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment son article 70 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 modifiée portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés, notamment son article 16 ;
Après avoir procédé au vote, en présence de Mme Nacima BELKACEM, commissaire du Gouvernement,
Constate :

M. Philippe-Pierre CABOURDIN, Mme Anne DEBET, Mme Sylvie LEMMET, M. Alexandre LINDEN et Mme Christine MAUGÜE sont élus membres de la formation restreinte de la commission.

M. Alexandre LINDEN est élu président de la formation restreinte de la commission.

M. Philippe-Pierre CABOURDIN est élu vice-président de la formation restreinte de la commission.

La formation restreinte de la commission est ainsi composée de :
M. Alexandre LINDEN, président.
M. Philippe-Pierre CABOURDIN, vice-président.
Mme Anne DEBET.
M. Philippe GOSSELIN.
Mme Sylvie LEMMET.
Mme Christine MAUGÜE.

La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 13 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment son article 3 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 modifiée portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés, notamment son article 16 ;
Après avoir procédé au vote, en présence de Mme Nacima BELKACEM, commissaire du Gouvernement,
Constate :

Mme Sophie LAMBREMON est élue vice-présidente déléguée de la Commission.

Le bureau de la Commission nationale de l'informatique et des libertés est ainsi composé de Mme Marie-Laure DENIS, présidente de la Commission, Mme Sophie LAMBREMON, vice-présidente déléguée, et de M. Eric PERES, vice-président.

La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, notamment son article 35 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2018-327 du 11 octobre 2018 portant adoption de la liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données est requise ;
Vu les lignes directrices du Comité européen de la protection des données concernant l'analyse d'impact relative à la protection des données (AIPD) et la manière de déterminer si le traitement est susceptible d'engendrer un risque élevé aux fins du règlement (UE) 2016/679 adoptées le 4 avril 2017 ;
Vu l'avis 9/2018 du Comité européen de la protection des données relatif au projet de liste de l'autorité de contrôle française portant sur les types d'opération de traitements pour lesquelles une analyse d'impact relative à la protection des données (article 35.4 du RGPD), adopté le 25 septembre 2018 ;
Après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,

De modifier l'annexe de la délibération n° 2018-327 du 11 octobre 2018, dans la rubrique Traitement de données biométriques aux fins de reconnaissance des personnes parmi lesquelles figurent des personnes dites vulnérables (élèves, personnes âgées, patients, demandeurs d'asile, etc.) en remplaçant, les mots : aux fins de reconnaissance des personnes par la formulation : aux fins d'identifier une personne physique de manière unique .
La présente délibération sera publiée au Journal officiel de la République française.
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la loi n° 2004-575 du 21 juin 2004 modifiée pour la confiance dans l'économie numérique, notamment son article 6-1 ;
Vu le décret n° 2015-125 du 5 février 2015 relatif au blocage des sites provoquant à des actes de terrorisme ou en faisant l'apologie et des sites diffusant des images et représentations de mineurs à caractère pornographique, notamment son article 5 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 modifiée portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés, notamment son article 16 ;
Après avoir procédé au vote, en présence de Mme Nacima BELKACEM, commissaire du Gouvernement,
Constate :
Article 1 En savoir plus sur cet article...
M. Alexandre LINDEN est désigné comme personnalité qualifiée mentionnée au troisième alinéa de l'article 6-1 de la loi du 21 juin 2004 susvisée.

La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu le code de la défense, notamment ses articles R. 2311-7 à R. 2311-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 41, 42 et 70-22 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 86 à 89 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 modifiée portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés, notamment son article 72 ;
Après avoir entendu Mme Marie-Laure DENIS, commissaire, en son rapport et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,


Sont désignés, aux fins de l'application de l'article 41 de la loi du 6 janvier 1978 modifiée, les membres suivants de la Commission, spécifiquement habilités à cet effet :
M. Marc DANDELOT, conseiller d'Etat honoraire.
Mme Marie-Laure DENIS, conseillère d'Etat.
M. Bertrand du MARAIS, conseiller d'Etat.
Mme Christine MAUGÜE, conseillère d'Etat.
Mme Sophie LAMBREMON, conseillère honoraire à la Cour de cassation.
M. Alexandre LINDEN, conseiller honoraire à la Cour de cassation.
M. Philippe-Pierre CABOURDIN, conseiller maître à la Cour des comptes.
Mme Sylvie LEMMET-SEVERINO, conseillère maître à la Cour des comptes.

Les membres de la Commission désignés mènent les investigations utiles dans le cadre de l'exercice indirect des droits des personnes concernées tel que prévu aux articles 41, 42 et 70-22 de la loi du 6 janvier 1978 modifiée. Dans le cadre de ces vérifications, ils sont chargés de faire procéder aux modifications et suppressions nécessaires et de déterminer, en accord avec le responsable du traitement, si le résultat des vérifications menées ainsi que, le cas échéant, les données en cause peuvent être communiqués au requérant.

La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 41, 42 et 70-22 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 86 à 89 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 modifiée portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés, notamment son article 71 ;
Vu la délibération n° 2019-016 du 21 février 2019 portant désignation des membres de la Commission nationale de l'informatique et des libertés chargés de l'exercice indirect des droits des personnes concernées prévu aux articles 41, 42 et 70-22 de la loi du 6 janvier 1978 modifiée ;
Après avoir procédé au vote le 22 février 2019,
Constate :

M. Marc DANDELOT, conseiller d'Etat honoraire, est élu président du collège des membres en charge de l'exercice indirect des droits.

La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la Directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 16 ;
Vu le décret du 31 janvier 2019 portant nomination de la présidente de la Commission nationale de l'informatique et des libertés - Mme DENIS (Marie-Laure) ;
Vu la délibération n° 2019-014 du 21 février 2019 portant élection du vice-président délégué de la Commission nationale de l'informatique et des libertés ;
Après avoir entendu Mme Marie-Laure DENIS, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,


En application de l' article 16 de la loi du 6 janvier 1978 susvisée, il est donné délégation au bureau de la Commission nationale de l'informatique et des libertés à l'effet d'exercer l'attribution mentionnée au dernier alinéa de l'article 19 de la même loi.

La délibération n° 2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés est abrogée.

Le président de la Commission est chargé de l'exécution de la présente délibération, qui sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Présidente

PAR PORTEUR
Références à rappeler dans toute correspondance :
N/Réf. : […]/CTX-2018-043
Monsieur le Président,
Je fais suite à la décision n° 2018-041 prise le 8 octobre 2018 mettant en demeure X, ainsi qu’aux échanges qui ont suivi.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture de votre dossier ainsi que de la procédure de contrôle n° 2018-030C.
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet https://www.legifrance.gouv.fr/ et sur celui de la CNIL.
J’attire toutefois votre attention sur le fait que le processus de conservation des données des candidats ayant échoué aux tests d’admissibilité sur internet ne peut, au regard des catégories de données conservées (en particulier le prénom et le nom qui sont directement identifiants), être qualifié de pseudonymisation.
Je vous informe, par ailleurs, que si la persistance ou la réitération des manquements visés dans la mise en demeure était constatée à l’occasion de vérifications ultérieures, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 20 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée.
Les services de la Commission [… ]se tiennent à votre disposition pour tout renseignement complémentaire.
Je vous prie d’agréer, Monsieur le Président, l’expression de mes salutations distinguées.
Marie-Laure DENIS
La Présidente


PAR PORTEUR
Références à rappeler dans toute correspondance :
N/Réf. : […]
Monsieur le Président,
Je fais suite à la décision n° MED-2018-037 du 25 septembre 2018 mettant en demeure la société X, ainsi qu’aux échanges qui ont suivi.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture de votre dossier ainsi que de la procédure de contrôle n° 2018-023C.
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet
www.legifrance.fr
Je vous informe, par ailleurs, que si la persistance ou la réitération des manquements visés dans la mise en demeure était constatée à l’occasion de vérifications ultérieures, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée.
Je vous indique que le Règlement général sur la protection des données, entré en application le 25 mai 2018, s’inscrit dans la continuité de la loi Informatique et Libertés et participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne. Aussi, j’attire votre attention sur la nécessité de veiller au respect de ses dispositions.
Pour toute information complémentaire, vous pouvez contacter […], juriste au service des sanctions ([…]) ou […], assistante au service des sanctions ([…]).
Je vous prie d’agréer, Monsieur le Président, l’expression de mes salutations distinguées.
Marie-Laure DENIS
La Présidente


PAR PORTEUR
Références à rappeler dans toute correspondance :
N/Réf. : […]
Monsieur le Président,
Je fais suite à la décision n° MED-2018-034 du 25 septembre 2018 mettant en demeure la société X, ainsi qu’aux échanges qui ont suivi.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture de votre dossier ainsi que des procédures de contrôle n° 2018-044C et 2019-025C.
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet
www.legifrance.fr
Je vous informe, par ailleurs, que si la persistance ou la réitération des manquements visés dans la mise en demeure était constatée à l’occasion de vérifications ultérieures, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée.
Je vous indique que le Règlement général sur la protection des données, entré en application le 25 mai 2018, s’inscrit dans la continuité de la loi Informatique et Libertés et participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne. Aussi, j’attire votre attention sur la nécessité de veiller au respect de ses dispositions.
Pour toute information complémentaire, vous pouvez contacter […], juriste au service des sanctions ([…]) ou […], assistante au service des sanctions ([…]).
Je vous prie d’agréer, Monsieur le Président, l’expression de mes salutations distinguées.
Marie-Laure DENIS
La Présidente


PAR HUISSIER
Références à rappeler dans toute correspondance :

Monsieur le Président,
Je fais suite à la décision n° MED-2018-035 du 25 septembre 2018 mettant en demeure la société X, ainsi qu’aux échanges qui ont suivi.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture de votre dossier ainsi que de la procédure de contrôle n° 2018-023C.
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet
www.legifrance.fr
Je vous informe, par ailleurs, que si la persistance ou la réitération des manquements visés dans la mise en demeure était constatée à l’occasion de vérifications ultérieures, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée.
Je vous indique que le Règlement général sur la protection des données, entré en application le 25 mai 2018, s’inscrit dans la continuité de la loi Informatique et Libertés et participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne. Aussi, j’attire votre attention sur la nécessité de veiller au respect de ses dispositions.
Pour toute information complémentaire, vous pouvez contacter […], juriste au service des sanctions ([…]) ou […], assistante au service des sanctions ([…]).
Je vous prie d’agréer, Monsieur le Président, l’expression de mes salutations distinguées.
Marie-Laure DENIS
La Présidente


PAR PORTEUR
Références à rappeler dans toute correspondance :
N/Réf. : […]
Monsieur le Président,
Je fais suite à la décision n° MED-2018-038 du 25 septembre 2018 mettant en demeure la société X, ainsi qu’aux échanges qui ont suivi.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture de votre dossier ainsi que de la procédure de contrôle n° 2018-023C.
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet
www.legifrance.fr
Je vous informe, par ailleurs, que si la persistance ou la réitération des manquements visés dans la mise en demeure était constatée à l’occasion de vérifications ultérieures, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée.
Je vous indique que le Règlement général sur la protection des données, entré en application le 25 mai 2018, s’inscrit dans la continuité de la loi Informatique et Libertés et participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne. Aussi, j’attire votre attention sur la nécessité de veiller au respect de ses dispositions.
Pour toute information complémentaire, vous pouvez contacter […], juriste au service des sanctions ([…]) ou […], assistante au service des sanctions ([…]).
Je vous prie d’agréer, Monsieur le Président, l’expression de mes salutations distinguées.
Marie-Laure DENIS
La Présidente


PAR PORTEUR
Références à rappeler dans toute correspondance :

Monsieur le Directeur Général,
Je fais suite à la décision n° MED-2018-036 du 25 septembre 2018 mettant en demeure la société X, ainsi qu’aux échanges qui ont suivi.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture de votre dossier ainsi que des procédures de contrôle n° 2018-044C et 2019-026C.
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet
www.legifrance.fr
Je vous informe, par ailleurs, que si la persistance ou la réitération des manquements visés dans la mise en demeure était constatée à l’occasion de vérifications ultérieures, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée.
Je vous indique que le Règlement général sur la protection des données, entré en application le 25 mai 2018, s’inscrit dans la continuité de la loi Informatique et Libertés et participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne. Aussi, j’attire votre attention sur la nécessité de veiller au respect de ses dispositions.
Pour toute information complémentaire, vous pouvez contacter […], juriste au service des sanctions ([…]) ou […], assistante au service des sanctions ([…]).
Je vous prie d’agréer, Monsieur le Directeur Général, l’expression de mes salutations distinguées.
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par la direction de la sécurité sociale d'une demande d'avis concernant l'abondement du compte personnel de formation des victimes d'accident du travail ou de maladie professionnelle ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-I-1° ;
Vu l'ordonnance n° 2017-1389 du 22 septembre 2017 relative à la prévention et à la prise en compte des effets de l'exposition à certains facteurs de risques professionnels et au compte professionnel de prévention ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Marie-France Mazars, commissaire, en son rapport, et M. Michel TEIXEIRA, adjoint au commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
L'ordonnance n° 2017-1389 du 22 septembre 2017 relative à la prévention et à la prise en compte des effets de l'exposition à certains facteurs de risques professionnels et au compte professionnel de prévention prévoit que les victimes d'un accident ou d'une maladie d'origine professionnelle, dont le taux d'incapacité permanente atteint un certain seuil, bénéficient d'un abondement de leur compte personnel de formation (CPF) à hauteur de cinq cents heures. Ces heures sont financées par la branche accidents du travail et maladies professionnelles de la sécurité sociale.
Afin de mettre en application ces dispositions, un décret en Conseil d'Etat, sur lequel l'avis de la commission a été sollicité, fixe les modalités de l'abondement du compte personnel de formation des victimes d'accident du travail ou de maladie professionnelle.
Le présent projet de décret modifie les modalités de détermination des taux de cotisation des employeurs au titre des accidents du travail et des maladies professionnelles, s'agissant du régime général et du régime des salariés agricoles. Cette modification permet de financer l'abondement du CPF des victimes d'accident du travail et de maladie professionnelle.
Le texte fixe également à 10 % le taux d'incapacité permanente ouvrant droit à l'abondement du CPF au titre des accidents du travail et des maladies professionnelles.
Ce projet de décret n'appelle aucune observation de la part de la commission.
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars
La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Sur la proposition de M. Maurice RONAI, commissaire, président du Comité de labellisation et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Le règlement européen invite les autorités de protection des données à développer les mécanismes de certification en matière de protection des données, afin d'assister les responsables de traitement dans leurs démarches de conformité.
Compte tenu de cette orientation européenne et afin de concentrer ses efforts et ressources sur la mise en œuvre de ce nouveau dispositif, la Commission cesse son activité de labellisation.


Les référentiels suivants sont abrogés à compter du 30 juin 2018 :
- référentiel pour la délivrance de labels en matière de formation relative à la protection des personnes à l'égard du traitement des données à caractère personnel, adopté par délibération n° 2017-220 du 13 juillet 2017 ;
- référentiel pour la délivrance de labels en matière de procédures de gouvernance tendant à assurer la protection des données, adopté par délibération n° 2017-219 du 13 juillet 2017 ;
- référentiel pour la délivrance de labels en matière de services de coffre-fort numérique, adopté par délibération n° 2014-017 du 23 janvier 2014 ;
- référentiel pour la délivrance de labels en matière de procédure d'audit tendant à la protection des personnes à l'égard du traitement des données à caractère personnel, adopté par délibération n° 2011-316 du 6 octobre 2011.
Les labels délivrés avant cette date restent valables jusqu'à la fin de la durée prévue par les décisions respectives de délivrance.

Pour assurer la mise en œuvre de l'article 1er, la Commission ne recevra plus de nouvelle demande de labellisation au vu des référentiels à compter du 30 mars 2018.

La présidente de la CNIL est chargée de l'exécution de la présente délibération.
La présidente,
I. Falque-Pierrotin
La Présidente

PAR PORTEUR
Références à rappeler dans toute correspondance :



Je fais suite à la décision n° 2017-053 que j’ai prise le 30 août 2017 mettant en demeure […], ainsi qu’à votre courrier de réponse reçu le 27 décembre 2017.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture de ce dossier ainsi que de la procédure de contrôle n° 2017-072C.
Conformément à l’article 46 alinéa 2 de la loi n° 78-17 du 6 janvier 1978, cette clôture fera l’objet de la même mesure de publicité que celle de la mise en demeure. Ce courrier sera donc publié sur le site internet
www.legifrance.fr
Je vous informe cependant que de nouveaux contrôles de la CNIL sont susceptibles d’être réalisés afin de vérifier la conformité à la loi Informatique et Libertés du futur dispositif de préinscription des candidats dans l’enseignement supérieur.
Je vous précise à cet égard que si la persistance ou la réitération des manquements visés dans la mise en demeure était constatée à l’occasion de vérifications ultérieures, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement.
En tout état de cause, j’attire votre attention sur la nécessité de veiller au respect de la loi Informatique et Libertés qui participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne.
Pour toute information complémentaire, vous pouvez contacter […], juriste au service des sanctions ([…]).
Je vous prie d’agréer, […], l’expression de mes salutations distinguées.
Isabelle FALQUE-PIERROTIN
(Saisine n° 18003096)
La Commission nationale de l’informatique et des libertés,
Saisie par le cabinet HAAS Avocats, le 08 février 2018, d’une demande de délivrance de label concernant sa procédure d’audit intitulée « Audit Informatique et Libertés » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2011-316 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de procédure d’audit tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, membre du Comité de labellisation et après avoir entendu les observations de Mme. Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La Commission reconnaît que l’audit de traitements présenté est conforme au référentiel auquel elle se rapporte, conformément à l’article 37 de son règlement intérieur.

De la délivrance du label CNIL « audit de traitement » pour la procédure d’audit intitulée « Audit Informatique et Libertés » Du cabinet HAAS Avocats.
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
La Présidente
I. FALQUE-PIERROTIN
(Saisine n° 17023553)
La Commission nationale de l’informatique et des libertés,
Saisie par la société OPTIMEX, le 21 novembre 2017, d’une demande de délivrance de label concernant sa formation intitulée « sensibilisation à la protection des données » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2017-220 du 13 juillet 2017 portant modification du référentiel pour la délivrance de labels en matière de formation relative à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, membre du Comité de labellisation et après avoir entendu les observations de Mme. Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La formation, objet de la demande, se compose comme suit :
- Introduction à la loi Informatique et Libertés et au RGPD ;
- Les principes fondamentaux relatifs aux traitements de données à caractère personnel ;
- La Commission Nationale de l’Informatique et des Libertés.
La demande de label n’inclut aucun des modules complémentaires du référentiel.
La Commission reconnaît que la formation présentée est conforme au référentiel auquel elle se rapporte, conformément à l’article 37 de son règlement intérieur.

De la délivrance du label CNIL « formation RGPD » pour la formation intitulée « sensibilisation à la protection des données » de la société OPTIMEX.
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
La Présidente
I. FALQUE-PIERROTIN
(Saisine n° 17017183)
La Commission nationale de l’informatique et des libertés,
Saisie par le cabinet HARLAY AVOCATS et la société ITRUST, le 22 août 2017, d’une demande de délivrance de label concernant leur procédure d’audit intitulée « Audit de conformité des traitements de données à caractère personnel » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2011-316 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de procédure d’audit tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Maurice RONAI, commissaire, président du Comité de labellisation et après avoir entendu les observations de Mme. Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La Commission reconnaît que l’audit de traitements présenté est conforme au référentiel auquel elle se rapporte, conformément à l’article 37 de son règlement intérieur.

De la délivrance du label CNIL « audit de traitement » pour la procédure d’audit intitulée « Audit de conformité des traitements de données à caractère personnel »  du cabinet HARLAY AVOCAT et de la société ITRUST.
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
La Présidente
I. FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, telle que modifiée par la loi n° 2004-801 du 6 août 2004, notamment son article 13,
Constate :

Mme Dominique CASTERA est élue membre de la formation restreinte de la Commission nationale de l'informatique et des libertés.

La formation restreinte de la Commission est ainsi composée :
M. Jean-François CARREZ, président ;
Mme Dominique CASTERA ;
M. Philippe GOSSELIN ;
M. Alexandre LINDEN ;
M. Marie-Hélène MITJAVILE ;
M. Maurice RONAI.

La présidente de la Commission est chargée de l'exécution de la présente délibération, qui sera publiée au Journal officiel de la République française.
La présidente,
I. Falque-Pierrotin
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 13 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 modifiée, notamment son article 3 ;
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la commission,
Constate :

M. Eric PERES est élu vice-président de la Commission nationale de l'informatique et des libertés.

La présidente de la commission est chargée de l'exécution de la présente délibération, qui sera publiée au Journal officiel de la République française.
La présidente,
I. Falque-Pierrotin
(saisine 14032012)
La Commission nationale de l'informatique et des libertés,
Saisie conjointement par DELOITTE CONSEIL SAS et TAJ SELAFA, le 7 novembre 214, d’une demande de délivrance de label concernant leur procédure d’audit intitulée « Audit technique et juridique des systèmes d’information gérant des données à caractère personnel  » ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11 3°c ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés notamment ses articles 32 et suivants ;
Vu la délibération n° 2011-316 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de procédure d’audit tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, membre du Comité de labellisation et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La Commission reconnaît que l’audit de traitements présenté est conforme au référentiel auquel il se rapporte, conformément à l’article 37 de son règlement intérieur.

De la délivrance du label CNIL « audit de traitements » pour la procédure d’audit intitulée « Audit technique et juridique des systèmes d’information gérant des données à caractère personnel  » de DELOITTE CONSEIL SAS et TAJ SELAFA.
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
La Présidente
I. FALQUE-PIERROTIN