Nicolas-BZRD/CNIL_opendata huggingface dataset:
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la déclaration n° 1386983 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de  Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments,  HEXAGRAM à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Le Président,
Société responsable du transfert

Finalité du transfert
Gestion de candidatures :
Recherche et identification de candidats et de profils,
Consultation de données,
Mise en relation avec les candidats en fonction des données communiquées,
Gestion des données du candidat en vue de l’embauche de celui-ci.
Catégories de données transférées
Nom, prénom,

Adresse postale,
Adresse électronique
Formation professionnelle, diplômes,

I Catégories de personnes concernées par le transfert
Les candidats au recrutement
Identité(s) du(des) destinataire(s)
Les personnes habilitées au sein des départements des ressources humaines du groupe RICHEMONT aux Emirats Arabes Unis (DUBAI)
Pays d’établissement du(des) destinataire(s)
Emirats Arabes Unis (DUBAI),
Service auprès duquel s’exerce le droit d’accès des personnes concernées

Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision de la Commission européenne n° 95/46/EC du 15 juin 2001 concernant les transferts de responsable de traitement à responsable de traitement
Observations particulières
Sécurisation des accès au système par mots de passe et profils d’autorisation sécurisés,
Impression et stockage des CV des candidats dans des locaux fermés à clés,
Destruction régulière des CV imprimés,
Durée de conservation : 1 an renouvelable avec l’accord du candidat
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Bernard PEYRAT, commissaire et les observations de  Mme Elisabeth ROLIN, commissaire adjointe du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société EGENCIA France SAS à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Le Président
Société responsable du transfert
EGENCIA France SAS
Finalité du transfert
Sites www.egencia.fr et www.premium.egencia.fr (consolidation des données, sauvegarde et sécurité des données et statistiques sur la gestion des fichiers clients et prospects)
Catégories de données transférées
Nom, prénom, sexe, date et lieu de naissance, adresse  postale, adresse électronique, téléphone, goûts, loisirs, consommation de biens ou services, formation, diplômes, curriculum vitae, préférences voyage
Identité(s) du(des) destinataire(s)
Les sociétés sœurs et mère de EGENCIA France SAS établies aux Etats-Unis :
EXPEDIA INC. ;
HOTEL.COM LLP ;
TRAVELSCAPE LLC ;
EXPEDIA CORPORATE TRAVEL LLC ;
TRIPADVISOR LLC ;
HOTWIRE INC ;
Les éventuels sous-traitants de ces sociétés.
Pays d’établissement du(des) destinataire(s)
Etats-Unis.
Service auprès duquel s’exerce le droit d’accès des personnes concernées
EGENCIA France SAS
Service client
TOUR FRANKLIN 13EME ETAGE DEFENSE 8
92042 PARIS LA DEFENSE CEDEX
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Contrat reprenant les clauses contractuelles européennes issues de la décision 2001/497/CE du 15 juin 2001 concernant les transferts de responsable de traitement à responsable de traitement.
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de  Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments,  la société ELSEIVER MASSON SAS de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Le Président,
Société responsable du transfert
Société ELSEIVER MASSON SAS
Finalité du transfert
Hébergement de données relatives aux ressources humaines et consultation de ces données par les filiales du groupe Reed Elsevier.
Catégories de données transférées
Nom et prénom du salarié concerné, nationalité, photographie, données relatives au poste occupé, données relatives aux supérieurs hiérarchiques et aux personnes subordonnées, langues pratiquées, données relatives à l’évaluation du salarié concerné, données relatives à la carrière et aux candidatures, données relatives à la formation du salarié concerné.
Identité(s) du(des) destinataire(s)
Les personnels habilités de le société Reed Elsevier Inc., 2, newton place – suite 350 – MA 02458 – Etats-Unis pour l’hébergement.
Les personnels habilités des services ressources humaines des filiales du groupe Reed Elsevier Group pour la consultation des données.
Pays d’établissement du(des) destinataire(s)
Etats-Unis
Service auprès duquel s’exerce le droit d’accès des personnes concernées
REED ELSEIVER Uk Limited - HR Recrutement system
1-3  Strand WC2N51R Londres Royaume-Uni
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision de la Commission européenne n° 95/46/EC du 15 juin 2001 concernant les transferts de responsable de traitement à responsable de traitement
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de  Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments,  la société GIE EDI DATA PARIS de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Le Président,
Société responsable du transfert
Société GIE EDI DATA PARIS
Finalité du transfert
Hébergement de données relatives aux ressources humaines et consultation de ces données par les filiales du groupe Reed Elsevier.
Catégories de données transférées
Nom et prénom du salarié concerné, nationalité, photographie, données relatives au poste occupé, données relatives aux supérieurs hiérarchiques et aux personnes subordonnées, langues pratiquées, données relatives à l’évaluation du salarié concerné, données relatives à la carrière et aux candidatures, données relatives à la formation du salarié concerné.
Identité(s) du(des) destinataire(s)
Les personnels habilités de le société Reed Elsevier Inc., 2, newton place – suite 350 – MA 02458 – Etats-Unis pour l’hébergement.
Les personnels habilités des services ressources humaines des filiales du groupe Reed Elsevier Group pour la consultation des données.
Pays d’établissement du(des) destinataire(s)
Etats-Unis
Service auprès duquel s’exerce le droit d’accès des personnes concernées
REED ELSEIVER Uk Limited - HR Recrutement system
1-3  Strand WC2N51R Londres Royaume-Uni
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision de la Commission européenne n° 95/46/EC du 15 juin 2001 concernant les transferts de responsable de traitement à responsable de traitement
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Bernard PEYRAT, commissaire et les observations de  Mme Elisabeth ROLIN, commissaire adjointe du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société EXPEDIA France à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Le Président
Société responsable du transfert
EXPEDIA France
Finalité du transfert
Sites www.expedia.fr, www.jeu.expedia.fr, www.jeux.expedia.fr, www.promosejours.expedia.fr (consolidation des données, sauvegarde et sécurité des données et statistiques sur la gestion des fichiers clients et prospects)
Catégories de données transférées
Nom, prénom, sexe, date et lieu de naissance, nationalité, adresse  postale, adresse électronique, téléphone, photographie, situation familiale, goûts, loisirs, consommation de biens ou services, information sur l’équipement informatique, formation, diplômes, curriculum vitae, profession, catégorie socio-professionnelle, ressources, revenus, références bancaires, habitudes alimentaires
Identité(s) du(des) destinataire(s)
Les sociétés sœurs et mère de EXPEDIA France SAS établies aux Etats-Unis :
EXPEDIA INC. ;
HOTEL.COM LLP ;
TRAVELSCAPE LLC ;
EXPEDIA CORPORATE TRAVEL LLC ;
TRIPADVISOR LLC ;
HOTWIRE INC ;
Les éventuels sous-traitants de ces sociétés.
Pays d’établissement du(des) destinataire(s)
Etats-Unis.
Service auprès duquel s’exerce le droit d’accès des personnes concernées
EXPEDIA FRANCE
54, AVENUE HOCHE
75008 PARIS
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Contrat reprenant les clauses contractuelles européennes issues de la décision 2001/497/CE du 15 juin 2001 concernant les transferts de responsable de traitement à responsable de traitement.
Délibération n°2009-592 du 26 novembre 2009 autorisant
VCA INTERNATIONAL à mettre en œuvre un traitement automatisé
de données à caractère personnel hors de l’Union Européenne
ayant pour finalité « la gestion de candidatures »
(autorisation n°1388970)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la déclaration n° 1388970 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de  Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments,  VCA INTERNATIONAL à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Le Président,
Société responsable du transfert
VCA INTERNATIONAL
Finalité du transfert
Gestion de candidatures :
Recherche et identification de candidats et de profils,
Consultation de données,
Mise en relation avec les candidats en fonction des données communiquées,
Gestion des données du candidat en vue de l’embauche de celui-ci.
Catégories de données transférées
Nom, prénom,

Adresse postale,
Adresse électronique
Formation professionnelle, diplômes,

I Catégories de personnes concernées par le transfert
Les candidats au recrutement
Identité(s) du(des) destinataire(s)
Les personnes habilitées au sein des départements des ressources humaines du groupe RICHEMONT aux Emirats Arabes Unis (DUBAI)
Pays d’établissement du(des) destinataire(s)
Emirats Arabes Unis (DUBAI)
Service auprès duquel s’exerce le droit d’accès des personnes concernées
VCA INTERNATIONAL
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision de la Commission européenne n° 95/46/EC du 15 juin 2001 concernant les transferts de responsable de traitement à responsable de traitement
Observations particulières
Sécurisation des accès au système par mots de passe et profils d’autorisation sécurisés,
Impression et stockage des CV des candidats dans des locaux fermés à clés,
Destruction régulière des CV imprimés,
Durée de conservation : 1 an renouvelable avec l’accord du candidat
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de  Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments,  la société REED ORGANISATION FRANCE SAS de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Le Président,
Société responsable du transfert
Société REED ORGANISATION FRANCE SAS
Finalité du transfert
Hébergement de données relatives aux ressources humaines et consultation de ces données par les filiales du groupe Reed Elsevier.
Catégories de données transférées
Nom et prénom du salarié concerné, nationalité, photographie, données relatives au poste occupé, données relatives aux supérieurs hiérarchiques et aux personnes subordonnées, langues pratiquées, données relatives à l’évaluation du salarié concerné, données relatives à la carrière et aux candidatures, données relatives à la formation du salarié concerné.
Identité(s) du(des) destinataire(s)
Les personnels habilités de le société Reed Elsevier Inc., 2, newton place – suite 350 – MA 02458 – Etats-Unis pour l’hébergement.
Les personnels habilités des services ressources humaines des filiales du groupe Reed Elsevier Group pour la consultation des données.
Pays d’établissement du(des) destinataire(s)
Etats-Unis
Service auprès duquel s’exerce le droit d’accès des personnes concernées
REED ELSEIVER Uk Limited - HR Recrutement system
1-3  Strand WC2N51R Londres Royaume-Uni
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision de la Commission européenne n° 95/46/EC du 15 juin 2001 concernant les transferts de responsable de traitement à responsable de traitement
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de  Mme Elisabeth ROLIN, commissaire adjointe du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société CAID SA ANYWAY à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Le Président
Société responsable du transfert
CAID SA ANYWAY
Finalité du transfert
Paie et gestion du personnel (consolidation des données, sauvegarde et sécurité des données et statistiques sur la gestion des ressources humaines).
Catégories de données transférées
Identité, numéro de sécurité sociale, situation familiale, logement, vie professionnelle, situation économique et financière
Identité(s) du(des) destinataire(s)
Les sociétés sœurs et mère de CAID SA ANYWAY établies aux Etats-Unis :
EXPEDIA INC. ;
HOTEL.COM LLP ;
TRAVELSCAPE LLC ;
EXPEDIA CORPORATE TRAVEL LLC ;
TRIPADVISOR LLC ;
HOTWIRE INC ;
Les éventuels sous-traitants de ces sociétés.
Pays d’établissement du(des) destinataire(s)
Etats-Unis.
Service auprès duquel s’exerce le droit d’accès des personnes concernées
CAID SA ANYWAY
76 BIS RUE VIEILLE DU TEMPLE
75003 PARIS
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Contrat reprenant les clauses contractuelles européennes issues de la décision 2001/497/CE du 15 juin 2001 concernant les transferts de responsable de traitement à responsable de traitement.
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de  Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments,  la société LEXISNEXIS INTELLIGENCE SOLUTIONS HOLDING PARIS de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Le Président,
Société responsable du transfert
Société LEXISNEXIS INTELLIGENCE SOLUTIONS HOLDING PARIS
Finalité du transfert
Hébergement de données relatives aux ressources humaines et consultation de ces données par les filiales du groupe Reed Elsevier.
Catégories de données transférées
Nom et prénom du salarié concerné, nationalité, photographie, données relatives au poste occupé, données relatives aux supérieurs hiérarchiques et aux personnes subordonnées, langues pratiquées, données relatives à l’évaluation du salarié concerné, données relatives à la carrière et aux candidatures, données relatives à la formation du salarié concerné.
Identité(s) du(des) destinataire(s)
Les personnels habilités de le société Reed Elsevier Inc., 2, newton place – suite 350 – MA 02458 – Etats-Unis pour l’hébergement.
Les personnels habilités des services ressources humaines des filiales du groupe Reed Elsevier Group pour la consultation des données.
Pays d’établissement du(des) destinataire(s)
Etats-Unis
Service auprès duquel s’exerce le droit d’accès des personnes concernées
REED ELSEIVER Uk Limited - HR Recrutement system
1-3  Strand WC2N51R Londres Royaume-Uni
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision de la Commission européenne n° 95/46/EC du 15 juin 2001 concernant les transferts de responsable de traitement à responsable de traitement
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la déclaration n° 1387131 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de  Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments,  CARTIER PARFUMS LUNETTES SAS à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Le Président,
Société responsable du transfert
CARTIER PARFUMS LUNETTES SAS
Finalité du transfert
Gestion de candidatures :
Recherche et identification de candidats et de profils,
Consultation de données,
Mise en relation avec les candidats en fonction des données communiquées,
Gestion des données du candidat en vue de l’embauche de celui-ci.
Catégories de données transférées
Nom, prénom,

Adresse postale,
Adresse électronique
Formation professionnelle, diplômes,

I Catégories de personnes concernées par le transfert
Les candidats au recrutement
Identité(s) du(des) destinataire(s)
Les personnes habilitées au sein des départements des ressources humaines du groupe RICHEMONT aux Emirats Arabes Unis (DUBAI)
Pays d’établissement du(des) destinataire(s)
Emirats Arabes Unis (DUBAI),
Service auprès duquel s’exerce le droit d’accès des personnes concernées
CARTIER PARFUMS LUNETTES SAS
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision de la Commission européenne n° 95/46/EC du 15 juin 2001 concernant les transferts de responsable de traitement à responsable de traitement
Observations particulières
Sécurisation des accès au système par mots de passe et profils d’autorisation sécurisés,
Impression et stockage des CV des candidats dans des locaux fermés à clés,
Destruction régulière des CV imprimés,
Durée de conservation : 1 an renouvelable avec l’accord du candidat
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la déclaration n° 1391803 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de  Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments,  LOGICA TRAINING FRANCE à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Société responsable du transfert
LOGICA TRAINING FRANCE
Finalité du transfert
Gestion de candidatures
Le Président,
Catégories de données transférées
Fiche candidat :
Nom, prénom,
Date de naissance (facultative),
N° de téléphone obligatoire,
Adresse postale (facultative),
Niveau d’études – diplôme, écoles obligatoires – formation complémentaire (facultative)

I Catégories de personnes concernées par le transfert
- Les candidats qui postulent à des salons et des forums,
- Tous les candidats jeunes diplômés et stagiaires qui ont postulé via une candidature spontanée uniquement
Identité(s) du(des) destinataire(s)
Les personnes habilitées au sein LOGICA NORTH AFRICA SAS
Bâtiments Shore 5, 2ème étage, Casablanca Nearshore Park,
1100 Bd Al Qods, Quartier Sidi Maârouf,
CASABLANCA
Pays d’établissement du(des) destinataire(s)

Service auprès duquel s’exerce le droit d’accès des personnes concernées
LOGICA TRAINING FRANCE
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision de la Commission européenne n° 95/46/CE du 27 décembre 2001 concernant les transferts de responsable de traitement à sous-traitant
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de  Mme Elisabeth ROLIN, commissaire adjointe du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société FR FRANCE à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Le Président
Société responsable du transfert

Finalité du transfert
Conservation et archivage des emails des salariés.
Catégories de données transférées
Nom, prénom, email, numéro de téléphone, numéro de fax, fonction dans l’entreprise
Identité(s) du(des) destinataire(s)
FAST RETAILING CO. Ltd
Pays d’établissement du(des) destinataire(s)

Service auprès duquel s’exerce le droit d’accès des personnes concernées

Service informatique
17, avenue de l’Opéra
75001 PARIS
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Contrat reprenant les clauses contractuelles européennes issues de la décision 2001/497/CE du 15 juin 2001 concernant les transferts de responsable de traitement à responsable de traitement.
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de  Mme Elisabeth ROLIN, commissaire adjointe du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société UNIQLO France à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Le Président
Société responsable du transfert
UNIQLO FRANCE
Finalité du transfert
Conservation et archivage des emails des salariés.
Catégories de données transférées
Nom, prénom, email, numéro de téléphone, numéro de fax, fonction dans l’entreprise
Identité(s) du(des) destinataire(s)
FAST RETAILING CO. Ltd
Pays d’établissement du(des) destinataire(s)

Service auprès duquel s’exerce le droit d’accès des personnes concernées
UNIQLO FRANCE
Service informatique
17, avenue de l’Opéra
75001 PARIS
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Contrat reprenant les clauses contractuelles européennes issues de la décision 2001/497/CE du 15 juin 2001 concernant les transferts de responsable de traitement à responsable de traitement.
La Commission nationale de l'informatique et des libertés,
Vu le code de la défense, notamment ses articles R. 2311-7 à R. 2311-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 52, 108 et 118 ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 141 et suivants ;
Vu la délibération n° 2013-175 du 4 juillet 2013 modifiée portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés, notamment son article 72 ;
Après avoir entendu Mme Marie-Laure DENIS, commissaire, en son rapport, et Monsieur Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations,



Sont désignés, aux fins de l’application des articles 108 et 118 de la loi du 6 janvier 1978 modifiée, les membres suivants de la Commission, spécifiquement habilités à cet effet :
Mme Marie-Laure DENIS, conseillère d'Etat,
M. Bertrand du MARAIS, conseiller d’Etat,
Mme Christine MAUGÜE, conseillère d’Etat,
Mme Sophie LAMBREMON, conseillère honoraire à la Cour de cassation,
M. Alexandre LINDEN, conseiller honoraire à la Cour de cassation,
M. Philippe-Pierre CABOURDIN, conseiller maître à la Cour des comptes,
Mme Isabelle LATOURNARIE-WILLEMS, conseillère maître à la Cour des comptes.

Les membres de la Commission désignés mènent les investigations utiles dans le cadre de l’exercice indirect des droits des personnes concernées tel que prévu aux articles 52, 108 et 118 de la loi du 6 janvier 1978 modifiée. Dans le cadre de ces vérifications, ils sont chargés de faire procéder aux modifications et suppressions nécessaires et de déterminer, en accord avec le responsable du traitement, si le résultat des vérifications menées ainsi que, le cas échéant, les données en cause, peuvent être communiqués au requérant.

La présente délibération sera publiée au Journal officiel de la République française.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 52, 108 et 118 ;
Vu le décret n° 2019-539 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 141 à 143 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la délibération n° 2021-113 du 30 septembre 2021 portant désignation des membres de la Commission nationale de l'informatique et des libertés chargés de l'exercice indirect des droits des personnes concernées prévu aux articles 52, 108 et 118 de la loi du 6 janvier 1978 modifiée ;
Après avoir procédé le 21 octobre 2021 à un vote dans les conditions fixées par l'article 71 du règlement intérieur,
Constate :
Article 1 :
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (notamment ses articles 40, 41 et 57) ;
Vu la délibération n° 2020-050 du 30 avril 2020 portant adoption d’un référentiel relatif à l’agrément des organismes chargés de contrôler le respect des codes de conduite ;
Vu la délibération n° 2021-065 portant approbation du code de conduite européen porté par Cloud Infrastructure Service Providers Europe (CISPE) ;
Sur la proposition de Mme Anne DEBET, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 41 du règlement général relatif à la protection des données (RGPD) prévoit que l’organisme chargé de contrôler le respect d’un code de conduite par les responsables de traitements ou les sous-traitants doit être agréé par l’autorité de contrôle compétente au titre de l’article 57.1 (q) du RGPD.
Le code de conduite européen porté par Cloud Infrastructure Service Providers Europe (CISPE) a été approuvé par la Commission le 3 juin 2021. Il identifie la CNIL comme autorité de contrôle compétente conformément aux dispositions de l’article 40.5 du RGPD. En conséquence, la CNIL est compétente pour l’instruction et la délivrance de l’agrément aux organismes de contrôle désignés par le code de conduite porté par CISPE.
Ce code de conduite a désigné en tant qu’organisme de contrôle la société Bureau Veritas Italia Spa.
Le 21 septembre 2021, la Commission a été saisie par Bureau Veritas Italia Spa d’une demande d’agrément en tant qu’organisme de contrôle du code de conduite porté par CISPE, conformément à la délibération n° 2020-050 du 30 avril 2020 portant adoption d’un référentiel relatif à l’agrément des organismes chargés de contrôler le respect des codes de conduite.
La demande d’agrément a fait l’objet d’une évaluation par les services de la CNIL.
La Commission reconnaît que la demande d’agrément présentée est conforme au référentiel d’agrément adopté le 30 avril 2020.

De la délivrance de l’agrément à Bureau Veritas Italia Spa en tant qu’organisme de contrôle du code de conduite européen porté par Cloud Infrastructure Service Providers Europe (CISPE).
Cet agrément est délivré pour une durée de cinq ans à compter de la présente délibération.
Si les exigences relatives à l’agrément ne sont pas ou plus respectées, l’agrément peut être révoqué conformément aux dispositions de l’article 41.5 du RGPD et de l’article 23 de la loi n° 78-17 du 6 janvier 1978 modifiée.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (notamment ses articles 40, 41 et 57) ;
Vu la délibération n° 2020-050 du 30 avril 2020 portant adoption d’un référentiel relatif à l’agrément des organismes chargés de contrôler le respect des codes de conduite ;
Vu la délibération n° 2021-065 portant approbation du code de conduite européen porté par Cloud Infrastructure Service Providers Europe (CISPE) ;
Sur la proposition de Mme Anne DEBET, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 41 du règlement général relatif à la protection des données (RGPD) prévoit que l’organisme chargé de contrôler le respect d’un code de conduite par les responsables de traitements ou les sous-traitants doit être agréé par l’autorité de contrôle compétente au titre de l’article 57.1 (q) du RGPD.
Le code de conduite européen porté par Cloud Infrastructure Service Providers Europe (CISPE) a été approuvé par la Commission le 3 juin 2021. Il identifie la CNIL comme autorité de contrôle compétente conformément aux dispositions de l’article 40.5 du RGPD. En conséquence, la CNIL est compétente pour l’instruction et la délivrance de l’agrément aux organismes de contrôle désignés par le code de conduite porté par CISPE.
Ce code de conduite a désigné en tant qu’organisme de contrôle le Laboratoire national de métrologie et d’essai (LNE).
Le 27 juillet 2021, la Commission a été saisie par LNE d’une demande d’agrément en tant qu’organisme de contrôle du code de conduite porté par CISPE, conformément à la délibération n° 2020-050 du 30 avril 2020 portant adoption d’un référentiel relatif à l’agrément des organismes chargés de contrôler le respect des codes de conduite.
La demande d’agrément a fait l’objet d’une évaluation par les services de la CNIL.
La Commission reconnaît que la demande d’agrément présentée est conforme au référentiel d’agrément adopté le 30 avril 2020.

De la délivrance de l’agrément au Laboratoire national de métrologie et d’essai (LNE) en tant qu’organisme de contrôle du code de conduite européen porté par Cloud Infrastructure Service Providers Europe (CISPE).
Cet agrément est délivré pour une durée de cinq ans à compter de la présente délibération.
Si les exigences relatives à l’agrément ne sont pas ou plus respectées, l’agrément peut être révoqué conformément aux dispositions de l’article 41.5 du RGPD et de l’article 23 de la loi n° 78-17 du 6 janvier 1978 modifiée.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Vu le code de la défense, notamment ses articles R. 2311-7 à R. 2311-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 52, 108 et 118 ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 141 et suivants ;
Vu la délibération n° 2013-175 du 4 juillet 2013 modifiée portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés, notamment son article 72 ;
Après avoir entendu Mme Marie-Laure DENIS, commissaire, en son rapport, et M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations,


Sont désignés, aux fins de l'application des article 108 et 118 de la loi du 6 janvier 1978 modifiée, les membres suivants de la Commission, spécifiquement habilités à cet effet :
Mme Marie-Laure DENIS, conseillère d'Etat ;
M. Bertrand du MARAIS, conseiller d'Etat ;
Mme Christine MAUGÜE, conseillère d'Etat ;
Mme Sophie LAMBREMON, conseillère honoraire à la Cour de cassation ;
M. Alexandre LINDEN, conseiller honoraire à la Cour de cassation ;
M. Philippe-Pierre CABOURDIN, conseiller maître à la Cour des Comptes ;
Mme Isabelle LATOURNARIE-WILLEMS, conseillère maître à la Cour des Comptes.

Les membres de la Commission désignés mènent les investigations utiles dans le cadre de l'exercice indirect des droits des personnes concernées tel que prévu aux articles 52, 108 et 118 de la loi du 6 janvier 1978 modifiée. Dans le cadre de ces vérifications, ils sont chargés de faire procéder aux modifications et suppressions nécessaires et de déterminer, en accord avec le responsable du traitement, si le résultat des vérifications menées ainsi que, le cas échéant, les données en cause peuvent être communiqués au requérant.

La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Messieurs Alexandre LINDEN, président, et Philippe-Pierre CABOURDIN, vice-président, de Mesdames Anne DEBET et Christine MAUGÜE, de Monsieur Alain DRU membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n

Vu le décret n

2019-536 du 29 mai 2019


Vu la délibération n

Vu la délibération n

Vu les éléments transmis par la société AMAZON EUROPE CORE le 18 février 2021 et le 20 mai 2021 ;
Vu les autres pièces du dossier ;
Après en avoir délibéré, a adopté la décision suivante :
I.Faits et procédure
La délibération n

mettre en conformité le traitement, dans un délai de trois mois à compter de la notification de la présente décision, avec les dispositions de l’article 82 de la loi Informatique et Libertés , et en particulier :
informer les personnes concernées au préalable et de manière claire et complète, par exemple au moyen d’un bandeau d’information apparaissant lors de la première arrivée de l’internaute sur le site Amazon.fr et cela quelle que soit la première page accédée :
des finalités précises de tous les cookies dont l’inscription est soumise au consentement ;
ainsi que des moyens dont elles disposent pour les refuser
Cette injonction était assortie d’une astreinte de 100 000 euros par jour de retard à l’issue d’un délai de trois mois suivant la notification de la délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai.
Le 18 février 2021, la société AMAZON EUROPE CORE a adressé à la CNIL un courrier par lequel elle présentait les changements qu’elle avait déployés sur le site web Amazon.fr . Par courrier du 19 avril 2021, une demande de compléments a été adressée par la CNIL à la société AMAZON EUROPE CORE.
Le 20 mai 2021, la société AMAZON EUROPE CORE a adressé à la formation restreinte des éléments en vue de justifier de sa mise en conformité.
II.Motifs de la décision
La formation restreinte relève qu’il ressort des éléments fournis dans le courrier de réponse du 20 mai 2021 que les personnes se rendant sur le site Amazon.fr sont désormais informées, de manière claire et complète, de toutes les finalités des cookies soumis au consentement et des moyens mis à leur disposition pour les refuser, par le biais du bandeau d’information s’affichant à leur arrivée sur le site.
Par conséquent, la formation restreinte considère que la société AMAZON EUROPE CORE a satisfait à l’injonction dans le délai imparti.
Cette décision sera rendue publique comme l’avait été la délibération n

PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide :
qu’il n’y a pas lieu à liquidation d’astreinte ;
de rendre publique, sur le site de la CNIL et sur le site de Légifrance,
sa délibération, qui n’identifiera plus nommément la société à compter du 11 décembre 2022.
Le président
Alexandre LINDEN
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 9 ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment son article 4 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 modifiée portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés, notamment son article 16 ;
Après avoir procédé au vote,
Constate :

M. François PELLEGRINI est élu vice-président de la Commission.

Le bureau de la Commission nationale de l'informatique et des libertés est ainsi composé de :
Mme Marie-Laure DENIS, présidente,
Mme Sophie LAMBREMON, vice-présidente déléguée,
M. François PELLEGRINI, vice-président.

La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 9 ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment son article 6 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 modifiée portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés, notamment son article 16 ;
Après avoir procédé au vote,
Constate :

M. Alain DRU et M. Bertrand DU MARAIS sont élus membres de la formation restreinte de la Commission.

La formation restreinte de la Commission nationale de l'informatique et des libertés est ainsi composée de :
M. Alexandre LINDEN, président,
M. Philippe-Pierre CABOURDIN, vice-président,
M. Alain DRU,
Mme Anne DEBET,
M. Bertrand DU MARAIS,
Mme Christine MAUGÜE.

La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis