Nicolas-BZRD/CNIL_opendata huggingface dataset:
Le bureau de la Commission nationale de l'informatique et des libertés, réuni le 17 janvier 2012 sous la présidence de Mme Isabelle FALQUE-PIERROTIN ;
Etant aussi présents M. Emmanuel de GIVRY, Vice-président délégué, et M. Jean-Paul AMOUDRY, Vice-président ;
Vu la Convention n°108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ;
Vu la loi n° 95-73 du 21 janvier 1995 modifiée d'orientation et de programmation relative à la sécurité ;
Vu le décret n°2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n°78¬ 17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, et notamment son article 70 ;
Vu la décision n° 2011-036 du 16 décembre 2011 de la Présidente de la Commission mettant en demeure la société X ;
A adopté la délibération suivante :
Par décision du 16 décembre 2011, la Présidente de la Commission a, sur le fondement de l'article 45 de la loi du 6 janvier 1978 modifiée, mis en demeure la société X, sise [...], de faire cesser sous un délai de six semaines les manquements constatés à cette même loi, ainsi qu'à la loi du 21 janvier 1995 précitées.
En application de l'article 46 deuxième alinéa de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.
Le bureau a été réuni à cette fin le 17 janvier 2012.
Après en avoir délibéré, le bureau relève que le dispositif de surveillance des salariés mis en oeuvre par la direction de la société X revêt un caractère particulièrement intrusif en plaçant sous surveillance constante et permanente lesdits salariés; en particulier, il s'agit d'une petite entreprise comprenant huit personnes et le dispositif installé comporte huit caméras, chacune équipée d'un microphone permettant l'écoute sonore et d'un haut-parleur.
En conséquence, compte tenu de la nature et de la gravité des manquements commis, le bureau de la Commission nationale de l'informatique et des libertés décide de rendre publique la décision n°2011-036 de la Présidente de la CNIL mettant en demeure la société X.
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d'une sanction. A ce titre, aucune suite ne sera donnée à la procédure si l'organisme concerné se conforme en tous points aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l'objet d'une clôture qui sera également rendue publique.
La Présidente,
Isabelle FALQUE-PIERROTIN
Le bureau de la Commission nationale de l'informatique et des libertés, réuni le 17 janvier 2012 sous la présidence de Mme Isabelle FALQUE-P1ERROTIN ;
Etant aussi présents M. Emmanuel de GIVRY, Vice-Président délégué, et M. Jean-Paul AMOUDRY, Vice-Président ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78¬17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 70 ;
Vu la décision n° 2011-037 du 22 décembre 2011 mettant en demeure X ;
A adopté la délibération suivante :
Par décision du 22 décembre 2011, la Présidente de la Commission nationale de l'informatique et des libertés (CNIL) a, sur le fondement de l'article 45 de la loi du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, mis en demeure X, sis [...], de faire cesser sous un délai de deux mois les manquements constatés à la loi Informatique et Libertés précitée.
En application de l'article 46 deuxième alinéa de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL, a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.
Le bureau a été réuni à cette fin le 17 janvier 2012.
Après en avoir délibéré, le bureau considère que la publicité de la décision de mise en demeure se justifie par la gravité des manquements relevés (mise en oeuvre d'un traitement automatisé comportant notamment des données à caractère personnel relatives à des infractions, condamnations et mesures de sécurité sans autorisation préalable de la CNIL, enregistrement de données à caractère personnel relatives à la santé des personnes, de commentaires non pertinents et inadéquats au regard de la finalité du traitement, durée de conservation des données excessive, défaut de sécurité des données), le statut et la taille de l'organisme en cause ainsi que le nombre de locataires concernés.
En conséquence, le bureau de la Commission nationale de l'informatique et des libertés décide de rendre publique la décision n°2011-037 de la Présidente de la CN1L mettant en demeure X.
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d'une sanction. A ce titre, aucune suite ne sera donnée à la procédure si l'organisme concerné se conforme en tous points aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l'objet d'une clôture qui sera également rendue publique.
La Présidente,
Isabelle FALQUE-PIERROTIN
La Présidente

RECOMMANDE AR n° 2C 054 549 8022 9
Références à rappeler dans toute correspondance :
CTX 2013-030

Paris, le 14 avril 2014,
Monsieur le Président,
Je fais suite à la décision n° 2013-029 que j'ai prise le 12 juillet 2013 mettant en demeure X qui exploite l'enseigne Y à [...] ainsi qu'aux échanges qui ont suivi.
Au regard des éléments de réponse apportés, je vous informe que j'ai décidé de procéder à la clôture en l'état de votre dossier ainsi que de la procédure de contrôle n° 2012-363C, dès lors que toute caméra filmant les postes de sécurité est réorientée uniquement sur les portes d'accès.
Je vous informe par ailleurs que s'il était constaté à l'occasion de vérifications ultérieures la persistance ou la réitération des manquements visés dans la mise en demeure, une procédure de sanction pourra être engagée à votre encontre conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée.
En tout état de cause, j'attire votre attention sur la nécessité de veiller au respect de la loi Informatique et Libertés qui participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne.
A cette fin, je vous invite à étudier avec la plus grande attention la possibilité de désigner un correspondant Informatique et Libertés qui constitue un moyen efficace de veiller à la bonne application de la loi, tout en exonérant l'organisme qui s'en est doté de toute obligation de déclaration de ses fichiers. Vous trouverez toutes les informations nécessaires sur le site Internet de la Commission (www.cnil.fr).
Le service des sanctions reste à votre disposition pour tout complément d'information.
Je vous prie d'agréer, Monsieur le Président, l'expression de mes salutations distinguées.
Isabelle FALQUE-PIERROTIN
La Présidente

RECOMMANDE AR n° 2C054 549 7907 0
Références à rappeler dans toute correspondance :
CTX- 2013-037
CTRL n° 2013-164C
Paris, le 17 octobre 2013,
Monsieur le Directeur,
Je fais suite à la décision n° 2013-037 du 25 septembre 2013 que j'ai prise vous mettant en demeure et à votre courrier de réponse reçu le 7 octobre 2013.
Vous m'indiquez dans votre réponse avoir défini et mis en œuvre une nouvelle procédure garantissant que le prestataire spécialisé dans l'optimisation du recodage des actes médicaux relatifs aux séjours hospitaliers dans votre établissement n'aura plus accès aux dossiers médicaux des patients
Je prends note par ailleurs de ce que l'accès aux dossiers médicaux informatisés, ouvert au prestataire le jour de son arrivée sur le site, a été définitivement supprimé et ce dès le jour de son départ de l'établissement.
De ce fait, je prends acte qu'aucune donnée nominative ne sera désormais plus accessible à ce prestataire.
Vous précisez à cet égard qu'au terme d'une procédure désormais en place au sein de l'établissement, seul le médecin responsable de l'information médicale et les personnes habilitées par l'établissement pourront consulter les dossiers des patients (informatisés et en version papier) pour y chercher les éléments requis par le prestataire en vue d'un éventuel recodage des actes médicaux.
Au regard des éléments de réponse apportés, je vous informe que j'ai décidé de procéder à la clôture de votre dossier ainsi que de la procédure de contrôle n°2013-164C.
Je vous précise que la clôture de la mise en demeure ne préjuge en aucune manière des suites données à des vérifications ultérieures qui pourraient être effectuées par la Commission.
En tout état de cause, j'attire votre attention sur la nécessité de veiller au respect de la loi Informatique et Libertés qui participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne.
A cette fin, je vous invite à étudier avec la plus grande attention la possibilité de désigner un correspondant Informatique et Libertés qui constitue un moyen efficace de veiller à la bonne application de la loi, tout en exonérant l'organisme qui s'en est doté de toute obligation de déclaration de ses fichiers. Vous trouverez toutes les informations nécessaires sur le site Internet de la Commission (www.cnil.fr).
Le service des sanctions, reste à votre disposition pour tout complément d'information.
Je vous prie, Monsieur le Directeur, d'agréer l'expression de mes salutations distinguées.
Isabelle FALQUE-PIERROTIN
Le bureau de la Commission nationale de l'informatique et des libertés, réuni le 13 juin 2013 sous la présidence de Mme, Isabelle FALQUE-PIERROTIN ;
Etant aussi présents M. Emmanuel de GIVRY, Vice-président délégué, et M. Jean-Paul AMOUDRY, Vice-président ;
Vu la convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78¬17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la décision n°2013-025 du 10 juin 2013 de la Présidente de la Commission mettant en demeure la société X ;
A adopté la délibération suivante :
Par décision du 10 juin 2013, la Présidente de la Commission a, sur le fondement de l'article 45 de la loi du 6 janvier 1978 modifiée, mis en demeure la société X, sise [...], de faire cesser sous un délai de trois mois les manquements constatés à cette même loi.
En application de l'article 46 deuxième alinéa de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.
Le bureau a été réuni à cette fin le 13 juin 2013.
Après en avoir délibéré, le bureau considère que la publicité de la décision de mise en demeure se justifie par la gravité des manquements constatés et de l'atteinte consécutive aux intérêts et droits et libertés fondamentaux des personnes concernées s'agissant notamment de l'absence de détermination de finalités déterminées et explicites, de l'absence de consentement des internautes aux opérations de combinaison de données entre services, du caractère déloyal de la collecte et du traitement des données des utilisateurs passifs.
Le bureau estime également que la mesure de publicité se fonde sur le statut et la taille de l'organisme en cause, leader mondial sur le marché de la recherche d'information sur Internet et de la fourniture de services associés, et sur le nombre de personnes concernées par ses traitements (plusieurs millions d'utilisateurs sur le territoire national).
En conséquence, le bureau de la Commission nationale de l'informatique et des libertés décide de rendre publique la décision n°2013-025 de la Présidente de la CN1L mettant en demeure la société X.
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d'une sanction. A ce titre, aucune suite ne sera donnée à la procédure si l'organisme concerné se conforme en tous points aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l'objet d'une clôture qui sera également rendue publique.
La Présidente,
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par la société anonyme Paris Saint Germain Football d'une  demande d'autorisation concernant un traitement automatisé de données à  caractère personnel ayant pour finalité la constitution d'une liste  d'exclusion de clients ;
Vu la   Convention n° 108 du Conseil de l'Europe pour la protection  des personnes à l'égard du traitement automatisé des données à caractère  personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du  24 octobre 1995 relative à la protection des personnes physiques à l'égard du  traitement des données à caractère personnel et à la libre circulation de ces  données ;
Vu le code du sport, notamment ses articles L. 332-11, L.  332-15 et L. 332-16 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à  l'informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour  l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique,  aux fichiers et aux libertés ;
Vu la décision n° 377194 du 13 juin 2016 du Conseil d'Etat ;
Vu la délibération n° 2014-043 du 30 janvier 2014 de la Commission nationale de l'informatique et  des libertés portant autorisation de mise en œuvre par la société Paris Saint  Germain Football d'un traitement automatisé de données à caractère personnel  ayant pour finalité la constitution d'une liste d'exclusion de clients ;
Après avoir entendu Monsieur Eric PERES, commissaire, en son  rapport, et Monsieur Jean-Alexandre   SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission nationale de l'informatique et des libertés décide de modifier la délibération n° 2014-043 du 30 janvier 2014 portant autorisation de mise en œuvre par la société Paris Saint Germain Football d'un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d'une liste d'exclusion de clients de la manière suivante :
Le paragraphe suivant de la partie de la délibération portant sur les durées de conservation est supprimé :
Elle estime toutefois que la durée d'une suspension ou d'une exclusion doit être proportionnée au regard de son motif et, lorsque la situation est régularisable, ne pas perdurer au-delà de la régularisation. En particulier, lorsque l'exclusion est justifiée par l'existence d'un impayé, une mesure de suspension ou d'exclusion doit cesser à compter du complet paiement de la somme due par le débiteur
Le paragraphe supprimé, reproduit ci-dessus, est remplacé par le paragraphe suivant :
Elle estime par ailleurs, s'agissant des impayés, que lorsque la situation à l'origine de la mesure de suspension ou d'exclusion est régularisée, il appartient au responsable de traitement de mettre à jour les données et de tirer les éventuelles conséquences de cette régularisation en conservant les données relatives aux incidents de cette nature dans un délai maximal d'un an au-delà du règlement de la somme due, afin de prévenir le renouvellement de tels incidents
La  Présidente
Isabelle  FALQUE-PIERROTIN
Je fais suite à la décision n° 2015-061 que j’ai prise le 24 juin 2015 mettant en demeure la société X située […].
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture de votre dossier ainsi que des procédures de contrôle n°
2014-274C, 2014-275C, 2014-276C, 2014-277C, 2014-278C
Je vous informe par ailleurs que si était constatée, à l’occasion de vérifications ultérieures, la persistance ou la réitération des manquements visés dans la mise en demeure, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement.
Je vous informe de l’application prochaine du règlement européen 2016/679 sur la protection des données (mai 2018), qui prévoit notamment l'obligation pour de nombreux organismes, sous peine de sanctions, de désigner un délégué à la protection des données.
Dans cette perspective, la désignation d’un correspondant Informatique et Libertés (CIL) contribue à réduire vos risques juridiques tout en bénéficiant de l’accompagnement de la CNIL et vous prépare d’ores et déjà aux obligations envisagées dans ce nouveau cadre de la protection des données personnelles.
Vous trouverez toutes les informations relatives au CIL (appelé à devenir délégué à la protection des données en mai 2018) sur le site de la CNIL (www.cnil.fr) ou en contactant le Service des CIL à l’adresse suivante correspondants@cnil.fr ou par téléphone au 01.53.73.22.22 (de 9h à 12h).
Le service des sanctions se tient à votre disposition pour tout renseignement complémentaire.
Je vous prie d’agréer, Monsieur, l’expression de mes salutations distinguées.
Isabelle FALQUE-PIERROTIN
Le secrétaire général de la Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 19 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris en application de la loi n° 78-17 relative à l'informatique, aux fichiers et aux libertés, notamment son article 4-1 ;
Vu la décision du 4 février 2014 portant délégation de signature,


Délégation est donnée à M. Olivier Tournut, directeur administratif et financier, à l'effet de signer, dans la limite de ses attributions et au nom du secrétaire général, tous actes ayant pour objet le recrutement, la gestion et la rémunération du personnel de la commission, la gestion de son budget ainsi que tous marchés et conventions et tous actes nécessaires au respect des procédures, conformément au code des marchés publics.

Délégation est donnée à Mme Kahina Cheref, chef du service des ressources humaines à la direction administrative et financière, à l'effet de signer, dans la limite de ses attributions et au nom du secrétaire général, tous actes ayant pour objet le recrutement, la gestion et la rémunération du personnel de la Commission nationale de l'informatique et des libertés.

Délégation est donnée à Mme Emeline Vandeven, chef du service des finances et des marchés publics à la direction administrative et financière, à l'effet de signer, dans la limite de ses attributions et au nom du secrétaire général, tous actes ayant pour objet la gestion du budget ainsi que tous marchés et conventions et tous actes nécessaires au respect des procédures, conformément au code des marchés publics.

En cas d'absence ou d'empêchement du secrétaire général, M. Edouard Geffray, délégation est donnée à M. Olivier Tournut à l'effet de signer, dans la limite de ses attributions et au nom du secrétaire général, tous actes ayant pour objet le recrutement, la gestion et la rémunération du personnel de la commission, la gestion de son budget ainsi que tous marchés et conventions et tous actes nécessaires au respect des procédures, conformément au code des marchés publics.

En cas d'absence ou d'empêchement du directeur administratif et financier, M. Olivier Tournut, délégation est donnée à Mme Kahina Cheref à l'effet de signer, dans la limite de ses attributions et au nom du directeur administratif et financier, tous actes ayant pour objet la gestion du budget ainsi que tous marchés et conventions et tous actes nécessaires au respect des procédures, conformément au code des marchés publics.

La décision du 20 novembre 2014 portant délégation de signature est abrogée.

La présente décision sera publiée au Journal officiel de la République française.
Fait le 1er juillet 2016.
E. Geffray
La Commission nationale de l'informatique et des libertés,
Saisie par la société DIGITEMIS, le 29 mars 2016, d'une demande de délivrance de label concernant sa procédure d'audit intitulée  audit protection des données personnelles - secteur logement social  ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés notamment ses articles 32 et suivants ;
Vu la délibération n° 2011-316 du 6 octobre 2011 portant adoption d'un référentiel pour la délivrance de labels en matière de procédure d'audit tendant à la protection des personnes à l'égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, membre du Comité de labellisation, et après avoir entendu les observations de  M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
L'article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL  délivre un label à des produits ou à des procédures tendant à la protection des personnes à l'égard du traitement des données à caractère personnel .
La Commission reconnaît que l'audit de traitements présenté est conforme au référentiel auquel il se rapporte, conformément à l'article 37 de son règlement intérieur.

De la délivrance du label CNIL  audit de traitements  pour la procédure d'audit intitulée  audit protection des données personnelles - secteur logement social de la société DIGITEMIS.
Ce label est délivré pour une durée de trois ans conformément à l'article 39 du règlement intérieur de la Commission.
L'utilisation de la marque LABEL CNIL est soumise au respect du règlement d'usage de la marque collective.
L'organisme s'engage à fournir à la CNIL un bilan d'activité au terme de la première année.
Pour La Présidente,
Le Vice-Président délégué,
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par la société DIGITEMIS, le 1er décembre 2015, d'une demande de délivrance de label concernant sa procédure d'audit intitulée  Audit protection des données personnelles des compteurs communicants  ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés notamment ses articles 32 et suivants ;
Vu la délibération n° 2011-316 du 6 octobre 2011 portant adoption d'un référentiel pour la délivrance de labels en matière de procédure d'audit tendant à la protection des personnes à l'égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, membre du Comité de labellisation, et après avoir entendu les observations de  M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
L'article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL  délivre un label à des produits ou à des procédures tendant à la protection des personnes à l'égard du traitement des données à caractère personnel .
La Commission reconnaît que l'audit de traitements présenté est conforme au référentiel auquel il se rapporte, conformément à l'article 37 de son règlement intérieur.

De la délivrance du label CNIL  audit de traitements  pour la procédure d'audit intitulée  Audit protection des données personnelles des compteurs
communicants  de la société DIGITEMIS.
Ce label est délivré pour une durée de trois ans conformément à l'article 39 du règlement intérieur de la Commission.
L'utilisation de la marque LABEL CNIL est soumise au respect du règlement d'usage de la marque collective.
L'organisme s'engage à fournir à la CNIL un bilan d'activité au terme de la première année.
Pour La Présidente,
Le Vice-Président délégué,
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par la société DIGITEMIS, le 1er décembre 2015, d'une demande de délivrance de label concernant sa procédure d'audit intitulée  Audit protection des données personnelles - Secteur Assurance  ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés notamment ses articles 32 et suivants ;
Vu la délibération n° 2011-316 du 6 octobre 2011 portant adoption d'un référentiel pour la délivrance de labels en matière de procédure d'audit tendant à la protection des personnes à l'égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, membre du Comité de labellisation, et après avoir entendu les observations de  M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
L'article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL  délivre un label à des produits ou à des procédures tendant à la protection des personnes à l'égard du traitement des données à caractère personnel .
La Commission reconnaît que l'audit de traitements présenté est conforme au référentiel auquel il se rapporte, conformément à l'article 37 de son règlement intérieur.

De la délivrance du label CNIL  audit de traitements  pour la procédure d'audit intitulée  Audit protection des données personnelles - Secteur Assurance  de la société DIGITEMIS.
Ce label est délivré pour une durée de trois ans conformément à l'article 39 du règlement intérieur de la Commission.
L'utilisation de la marque LABEL CNIL est soumise au respect du règlement d'usage de la marque collective.
L'organisme s'engage à fournir à la CNIL un bilan d'activité au terme de la première année.
Pour La Présidente,
Le Vice-Président délégué,
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par la société DIGITEMIS, le 1er décembre 2015, d'une demande de délivrance de label concernant sa procédure d'audit intitulée  Audit protection des données personnelles  ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés notamment ses articles 32 et suivants ;
Vu la délibération n° 2011-316 du 6 octobre 2011 portant adoption d'un référentiel pour la délivrance de labels en matière de procédure d'audit tendant à la protection des personnes à l'égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, membre du Comité de labellisation, et après avoir entendu les observations de  M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
L'article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL  délivre un label à des produits ou à des procédures tendant à la protection des personnes à l'égard du traitement des données à caractère personnel .
La Commission reconnaît que l'audit de traitements présenté est conforme au référentiel auquel il se rapporte, conformément à l'article 37 de son règlement intérieur.

De la délivrance du label CNIL  audit de traitements  pour la procédure d'audit intitulée  Audit protection des données personnelles  de la société DIGITEMIS.
Ce label est délivré pour une durée de trois ans conformément à l'article 39 du règlement intérieur de la Commission.
L'utilisation de la marque LABEL CNIL est soumise au respect du règlement d'usage de la marque collective.
L'organisme s'engage à fournir à la CNIL un bilan d'activité au terme de la première année.
Pour La Présidente,
Le Vice-Président délégué,
Marie-France MAZARS
MESSIEURS LES GERANTS

RECOMMANDE AR n° 2C 112 353 2811 1
Références à rappeler dans toute correspondance :
APR/MDM151063/CTX 2015-019
CTRL n° 2015-253C

Messieurs,
Je fais suite à la décision n° 2015-049 que j’ai prise le 24 juin 2015 mettant en demeure la société X située […], ainsi qu’à vos courriers en réponse reçus les 7 août 2015, 1er et 12 février 2016.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture en l’état de votre dossier ainsi que de la procédure de contrôle n° 2015-253C. Je prends note de la mise en œuvre de mots de passe complexes. J’appelle toutefois votre attention sur la nécessité que ces derniers soient composés de 8 caractères alphanumériques – majuscules et minuscules – et spéciaux.
Je vous informe par ailleurs que si était constatée, à l’occasion de vérifications ultérieures, la persistance ou la réitération des manquements visés dans la mise en demeure, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement.
Le service des sanctions se tient à votre disposition pour tout renseignement complémentaire.
Je vous prie d’agréer, Messieurs, l’expression de mes salutations distinguées.
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par le cabinet FIDAL, le 7 mars 2016, d'une demande de délivrance de label concernant sa procédure d'audit intitulée  Fidalement Secure  ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés notamment ses articles 32 et suivants ;
Vu la délibération n° 2011-316 du 6 octobre 2011 portant adoption d'un référentiel pour la délivrance de labels en matière de procédure d'audit tendant à la protection des personnes à l'égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Maurice RONAI, commissaire, président du Comité de labellisation et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
L'article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL  délivre un label à des produits ou à des procédures tendant à la protection des personnes à l'égard du traitement des données à caractère personnel .
La Commission reconnaît que l'audit de traitements présenté est conforme au référentiel auquel il se rapporte, conformément à l'article 37 de son règlement intérieur.

De la délivrance du label CNIL  audit de traitements  pour la procédure d'audit intitulée  Fidalement Secure  du cabinet FIDAL.
Ce label est délivré pour une durée de trois ans conformément à l'article 39 du règlement intérieur de la Commission.
L'utilisation de la marque LABEL CNIL est soumise au respect du règlement d'usage de la marque collective.
L'organisme s'engage à fournir à la CNIL un bilan d'activité au terme de la première année.
Pour La Présidente
Le Vice-Président Délégué
Marie-France MAZARS
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M.Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société HEWITT à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Le Président
Société responsable du transfert

Finalité du transfert
Enquêtes sur les rémunérations
Catégories de données transférées
Données d’identification : nom et  prénom ( uniquement dans l’hypothèse des rapports comprenant une partie « positionnement individuel »), date de naissance
Situation familiale : statut marital
Formation : identification de la formation et des diplômes obtenus
Vie professionnelle : date d’embauche dans l’entreprise
Situation économique et financière : salaires fixe/variable, retraite, avantages sociaux
Identité(s) du(des) destinataire(s)
Les personnes habilitées de la société Hewitt Inde (consultants, analystes, statisticiens, informaticiens)
Pays d’établissement du(des) destinataire(s)

Service auprès duquel s’exerce le droit d’accès des personnes concernées
Le droit d’accès s’exerce directement auprès de chaque entité cliente de Hewitt qui sont les employeurs des salariés dont les données sont traitées
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles issues de la Décision n° 2002/16/CE de la Commission européenne du 27 décembre 2001 concernant  les transferts de responsable de traitement à sous-traitant..
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la déclaration n° 1299404 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société ARCELORMITTAL FRANCE à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Le Président
Société responsable du transfert
ARCELORMITTAL FRANCE
Finalité du transfert
Gestion de recrutement interne et externe par le biais d’une application WEB
Catégories de données transférées
Données d’identification
Nom, prénom, pays de résidence,
Cursus scolaire,
Adresse e-mail – n° de téléphone,
Expériences et compétences professionnelles – langues pratiquées
Catégories de personnes concernées par le transfert
Salariés ARCELORMITTAL FRANCE
Candidats externes
Identité(s) du(des) destinataire(s)
Mittal STEEL IT – filiale du groupe ARCELORMITTAL
It Services FZ LLC
Office 165-166, Building 17 PO Box : 502261, DUBAI INTERNET CITY, DUBAI, United Arab Emirates
Pays d’établissement du(des) destinataire(s)
UNITED ARAB EMIRATES (U.A.E.)
Service auprès duquel s’exerce le droit d’accès des personnes concernées
ARCELORMITTAL FRANCE
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Signature d’un contrat conforme aux clauses types adoptées par la Commission européenne dans sa décision du 15 juin 2001
Observations particulières
Durée de conservation limitée à la durée du contrat pour les candidatures internes,
Durée de conservation des données limitée à 2 ans pour les candidatures externes,
Accord express et préalable des personnes concernées
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société MTV NETWORKS SARL à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Le Président
Société responsable du transfert
MTV NETWORKS SARL
Finalité du transfert
Prévention des conflits d’intérêt, tenu des registres des salariés et de gestion des ressources humaines.
Catégories de données transférées
nom, prénom, numéro matricule interne du salarié
adresse e-mail, numéro de téléphone
langue usuelle
fonction et code statutaire
site géographique et code budgétaire
identité du supérieur hiérarchique
situations de conflits d’intérêt.
Identité(s) du(des) destinataire(s)
MTV NETWORKS COMPANY
1515 Boradway 10036
New-York - USA
Pays d’établissement du(des) destinataire(s)
Etats-Unis
Service auprès duquel s’exerce le droit d’accès des personnes concernées
MTV NETWORKS COMPANY
1515 Boradway 10036
New-York - USA
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la Décision 2004/915/CE de la Commission européenne du 27 décembre 2004 concernant les transferts de responsable de traitement à responsable de traitement.
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la déclaration n° 1319300 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société CEMEX GRANULATS SUD-OUEST à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Le Président,
Société responsable du transfert
CEMEX GRANULATS SUD-OUEST
Finalité du transfert
Gestion de la formation
Catégories de données transférées
Données d’identification des salariés
-  éventuellement, score obtenu à la formation
Nom, prénom,
Dates de formation,
Organisme de formation,
Coût de la formation,
Catégories de personnes concernées par le transfert
Salariés CEMEX GRANULATS SUD OUEST
Identité(s) du(des) destinataire(s)
Les personnes habilitées de la société CEMEX CENTRAL SA de CV - Av. Ricardo Margain Zozaya 325 CP
66265 PEDRO GARZA GARCIA, N.L., MEXIQUE
Pays d’établissement du(des) destinataire(s)

Copie des données hébergée aux USA dans le Data Center de secours à ATLANTA
Service auprès duquel s’exerce le droit d’accès des personnes concernées
SOCIETE CEMEX GRANULATS SUD-OUEST
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Signature d’un contrat conforme aux clauses types adoptées par la Commission européenne dans sa décision du 15 juin 2001
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la déclaration n° 1319306 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société CEMEX GRANULATS à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Le Président,
Société responsable du transfert
SOCIETE CEMEX GRANULATS
Finalité du transfert
Gestion de la formation
Catégories de données transférées
Données d’identification des salariés
-   éventuellement, score obtenu à la formation
Nom, prénom,
Dates de formation,
Organisme de formation,
Coût de la formation,
Catégories de personnes concernées par le transfert
Salariés SOCIETE CEMEX GRANULATS
Identité(s) du(des) destinataire(s)
Les personnes habilitées de la société CEMEX CENTRAL SA de CV - Av. Ricardo Margain Zozaya 325 CP
66265 PEDRO GARZA GARCIA, N.L., MEXIQUE
Pays d’établissement du(des) destinataire(s)

Copie des données hébergée aux USA dans le Data Center de secours à ATLANTA
Service auprès duquel s’exerce le droit d’accès des personnes concernées
SOCIETE CEMEX GRANULATS
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Signature d’un contrat conforme aux clauses types adoptées par la Commission européenne dans sa décision du 15 juin 2001