Nicolas-BZRD/CNIL_opendata huggingface dataset:
La Présidente
COMMUNE DE KOUNGOU
MONSIEUR LE MAIRE

1 PLACE LIBERTE
97690 KOUNGOU - MAYOTTE
LRAR n° (...)
Références à rappeler dans toute correspondance :
N/Réf. : … - CTX -2022-057
Monsieur le Maire,
Je fais suite à la désignation, par le biais du téléservice, d'un délégué à la protection des données réceptionnée le 27 février 2023 en réponse à la décision n° MED-2022-034 que j’ai prise le 25 avril 2022 mettant en demeure la commune de KOUNGOU.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture du dossier.
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet www.legifrance.fr et sur celui de la CNIL.
Les services de la Commission ([…]) se tiennent à la disposition des vôtres pour tout renseignement complémentaire.
Je vous prie d'agréer, Monsieur le Maire, mes salutations distinguées.
Marie-Laure DENIS
La Présidente
COMMUNE DE VILLENEUVE SAINT GEORGES HÔTEL DE VILLE
MONSIEUR LE MAIRE
PLACE PIERRE SEMARD
94190 - VILLENEUVE-SAINT-GEORGES
Paris, le 17 mai 2022
LRAR n°[...]
Références à rappeler dans toute correspondance :
N/Réf. : JDE/ACB/MDMx- CTX -2022-044
Monsieur le Maire,
Je fais suite à votre courriel du 12 mai 2022 en réponse à la décision n° MED-2022-053 que j’ai prise le 25 avril 2022 mettant en demeure la commune de Villeneuve-Saint-Georges.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture du dossier.
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet www.legifrance.fr et sur celui de la CNIL.
Les services de la Commission ([...]) se tiennent à la disposition des vôtres pour tout renseignement complémentaire.
Je vous prie d'agréer, Monsieur le Maire, mes salutations distinguées.
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par la société CECURITY.COM, le 28 avril 2016, d'une demande de délivrance de label concernant son service de coffre-fort numérique intitulé  CecurCrypt  ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 11 3°c ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés notamment ses articles 32 et suivants ;
Vu la délibération n° 2014-017 du 23 janvier 2014 portant adoption d'un référentiel pour la délivrance de labels en matière de service de coffre-fort numérique ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-François CARREZ, commissaire, président du Comité de labellisation, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
L'article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL  délivre un label à des produits ou à des procédures tendant à la protection des personnes à l'égard du traitement des données à caractère personnel .
La Commission reconnaît que le service de coffre-fort numérique présenté est conforme au référentiel auquel il se rapporte, conformément à l'article 37 de son règlement intérieur.

De la délivrance du label CNIL  coffre-fort numérique  pour le service de coffre-fort numérique intitulé  CecurCrypt  de la société CECURITY.COM.
Ce label est délivré pour une durée de trois ans conformément à l'article 39 du règlement intérieur de la Commission.
L'utilisation de la marque LABEL CNIL est soumise au respect du règlement d'usage de la marque collective.
L'organisme s'engage à fournir à la CNIL un bilan d'activité au terme de la première année.
La Présidente
I. FALQUE-PIERROTIN
La Présidente
MONSIEUR LE GERANT


RECOMMANDE AR n° 2C 112 353 2831 9
Références à rappeler dans toute correspondance :
ACB/MDM151054/CTX 2015-018


Je fais suite à la décision n° 2015-021 que j’ai prise le 24 juin 2015 mettant en demeure la société X ainsi qu’aux échanges qui ont suivi.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture en l’état de votre dossier ainsi que des procédures de contrôle n° 2014-235C et n° 2014-310C.
Je prends acte, s’agissant des mots de passe, de l’ensemble des mesures que vous indiquez avoir mis en place pour assurer leur robustesse : lien d’information, indicateur coloré de force du mot de passe, mécanisme de blocage temporaire de compte après tentatives infructueuses et obligation de réinitialisation après blocage. Pour autant, je vous rappelle que la CNIL considère qu’afin de garantir un niveau suffisant de protection, les mots de passe doivent comporter au moins huit caractères alphanumériques et des caractères de types différents (majuscules, minuscules, chiffres, caractères spéciaux).
Je vous informe par ailleurs que si était constatée à l’occasion de vérifications ultérieures la persistance ou la réitération des manquements visés dans la mise en demeure, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement.
En tout état de cause, j’attire votre attention sur la nécessité de veiller au respect de la loi Informatique et Libertés qui participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne.
Pour toute information complémentaire, vous pouvez contacter Madame X, juriste au service des sanctions.
Je vous prie d’agréer, Monsieur, l’expression de mes salutations distinguées.
Isabelle FALQUE-PIERROTIN
(Saisine n° 15033418)
La Commission nationale de l’informatique et des libertés,
Saisie par le Cabinet CIL CONSULTING le 03 décembre 2015 d’une demande de délivrance de label concernant sa procédure d’audit intitulée « Audit des traitements de données à caractère personnel » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés notamment ses articles 32 et suivants ;
Vu la délibération n° 2011-316 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de procédure d’audit tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, membre du Comité de labellisation, et après avoir entendu les observations de  M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La Commission reconnaît que l’audit de traitements présenté est conforme au référentiel auquel il se rapporte, conformément à l’article 37 de son règlement intérieur.

De la délivrance du label CNIL « audit de traitements » pour la procédure d’audit intitulée « Audit des traitements de données à caractère personnel » du Cabinet CIL CONSULTING.
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
La Présidente
Isabelle FALQUE-PIERROTIN
La Présidente
MONSIEUR LE PRESIDENT DIRECTEUR GENERAL


Références à rappeler dans toute correspondance :
CTX 2016-050

Monsieur le Président directeur général,
Je fais suite à la décision n° 2016-058 que j’ai prise le 30 juin 2016 mettant en demeure la société X, ainsi qu’aux échanges qui ont suivi.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture de votre dossier ainsi que de la procédure de contrôle n° 2016-072C.
Je prends acte de ce que vous avez mis en œuvre un nombre important de mesures afin de vous mettre en conformité avec les injonctions de la mise en demeure. En particulier, s’agissant du manquement relatif à l’obligation de veiller à l’adéquation, à la pertinence et au caractère non excessif des données, vous indiquez notamment avoir réduit de moitié le volume de données collectées au niveau

Par ailleurs, s’agissant du manquement à l’obligation d’obtenir l’accord préalable des personnes concernées avant d’accéder à des informations sur leur équipement terminal de communications électroniques, je prends acte que la procédure d’installation de votre système d’exploitation a été modifiée et que, désormais, les utilisateurs sont obligés d’exprimer leurs choix de configuration afin de finaliser l’installation. Plus particulièrement, je relève qu’un écran d’installation impose aux utilisateurs de paramétrer l’identifiant publicitaire en le désactivant ou en laissant activé, puis de valider ce choix en cliquant sur le bouton accepter . J’attire toutefois votre attention sur le fait que l’activation de l’identifiant publicitaire ne dispense pas les développeurs d’application qui utiliseront cet identifiant de recueillir également l’accord des internautes.
S’agissant du manquement relatif à la sécurité des données, je prends acte de la mise en place d’une logique interdisant les combinaisons trop communes pour le choix du code PIN ainsi que d’une temporisation d’authentification au compte en cas de saisie incorrecte, le tout assurant une meilleure sécurité des données à caractère personnel.
A toutes fins utiles, j’appelle votre attention sur les derniers travaux de la Commission relative aux mots de passe qui l’ont conduit à adopter la recommandation n° 2017-012 du 19 janvier 2017, que vous trouverez ci-joint, qui propose aux professionnels des lignes directrices en la matière.
Je vous informe, par ailleurs, que s’il était constaté à l’occasion de vérifications ultérieures la persistance ou la réitération des manquements visés dans la mise en demeure, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement.
Le service des sanctions reste à votre disposition pour tout complément d’information (01-53-73-22-22).
Je vous prie d’agréer, Monsieur le Président directeur général, l’expression de mes salutations distinguées.
Isabelle FALQUE-PIERROTIN
La Commission nationale de l’informatique et des libertés,
Saisie par le Cabinet ACTECIL, le 13 avril 2017, d’une demande de délivrance de label concernant sa procédure d’audit intitulée « Audit de traitement nominatifs - secteur collectivités »;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2011-316 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de procédure d’audit tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Maurice RONAI, commissaire, président du Comité de labellisation et après avoir entendu les observations de Mme. Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La Commission reconnaît que l’audit de traitements présenté est conforme au référentiel auquel il se rapporte, conformément à l’article 37 de son règlement intérieur.

De la délivrance du label CNIL « audit de traitements » pour la procédure d’audit intitulée « Audit de traitement nominatifs – secteur Collectivités » du Cabinet ACTECIL.
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
Pour la Présidente
Le Vice-Président délégué
Marie-France MAZARS
La Commission nationale de l’informatique et des libertés,
Saisie par la société TNP CONSULTANTS, le 09 juin 2017, d’une demande de délivrance de label concernant sa procédure d’audit intitulée « Audit des traitements de données à caractère personnel »;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2011-316 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de procédure d’audit tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, membre du Comité de labellisation et après avoir entendu les observations de Mme. Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La Commission reconnaît que l’audit de traitements présenté est conforme au référentiel auquel il se rapporte, conformément à l’article 37 de son règlement intérieur.

De la délivrance du label CNIL « audit de traitements » pour la procédure d’audit intitulée « Audit des traitements de données à caractère personnel » de la société TNP CONSULTANTS.
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
Pour la Présidente
Le Vice-Président délégué
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 11, 34 et 35 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe ;
Après avoir entendu M. François PELLEGRINI, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Le II. 3 de la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe dispose que :
S'agissant des modalités de conservation, la commission considère que le mot de passe ne doit jamais être stocké en clair. Elle recommande qu'il soit transformé au moyen d'une fonction cryptographique non réversible et sûre (c'est-à-dire utilisant un algorithme public réputé fort dont la mise en œuvre logicielle est exempte de vulnérabilité connue), intégrant l'utilisation d'un sel ou d'une clé.
La commission estime de plus que le sel ou la clé doit être généré au moyen d'un générateur de nombres pseudo-aléatoires cryptographiquement sûr (c'est-à-dire basé sur un algorithme public réputé fort dont la mise en œuvre logicielle est exempte de vulnérabilité connue), et ne pas être stocké dans le même espace de stockage que l'élément de vérification du mot de passe.
La commission décide de la suppression de ces deux alinéas qu'elle remplace par un paragraphe rédigé comme suit :
S'agissant des modalités de conservation, la commission considère que le mot de passe ne doit jamais être stocké en clair. Elle recommande que tout mot de passe utile à la vérification de l'authentification et devant être stocké sur un serveur soit préalablement transformé au moyen d'une fonction cryptographique non réversible et sûre (c'est-à-dire utilisant un algorithme public réputé fort dont la mise en œuvre logicielle est exempte de vulnérabilité connue), intégrant l'utilisation d'un sel ou d'une clé.
La présente délibération est publiée au Journal officiel de la République française.
Fait le 22 juin 2017.
La présidente,
I. Falque-Pierrotin
La Présidente

Par porteur
Références à rappeler dans toute correspondance :
RGL/MDM151019/CTX 2015-017

Monsieur le Directeur général,
Je fais suite à la décision n° 2015-050 que j’ai prise le 24 juin 2015 mettant en demeure la société X.
Au regard des éléments de réponse apportés par vos courriers des 22 octobre 2015, 3 février 2016, 2 mars 2016, 19 octobre 2016 et 24 mars 2017, je vous informe que j’ai décidé de procéder à la clôture en l’état de votre dossier et de la procédure de contrôle n°2014-152C.
Je relève toutefois que s’agissant de l’accès au compte, il reste possible de renseigner un nombre important de fois un mot de passe erroné sans que cela n’entraine une restriction d’accès au compte. J’attire donc votre attention sur la nécessité de bien mettre en œuvre la mesure de blocage que vous avez annoncé.
A toutes fins utiles, je vous indique que les dispositions de l’article 32-I de la loi Informatique et Libertés ont été modifiées par la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique et imposent désormais d’indiquer aux personnes concernées la durée de conservation des catégories de données traitées ainsi que, sur les formulaires de collecte, le droit dont elles disposent de définir des directives relatives au sort de [leurs] données à caractère personnel après [leur] mort .
Je vous indique par ailleurs que si était constatée à l’occasion de vérifications ultérieures la persistance ou la réitération des manquements visés dans la mise en demeure, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement.
En tout état de cause, j’attire votre attention sur la nécessité de veiller au respect de la loi Informatique et Libertés qui participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne.
A cette fin, je vous informe de l’application prochaine du règlement européen 2016/679 sur la protection des données (mai 2018), qui prévoit notamment l'obligation pour de nombreux organismes, sous peine de sanctions, de désigner un délégué à la protection des données.
Dans cette perspective, la désignation d’un correspondant Informatique et Libertés (CIL) contribue à réduire vos risques juridiques tout en bénéficiant de l’accompagnement de la CNIL et vous prépare d’ores et déjà aux obligations envisagées dans ce nouveau cadre de la protection des données personnelles.
Vous trouverez toutes les informations relatives au CIL (appelé à devenir délégué à la protection des données en mai 2018) sur le site de la CNIL (www.cnil.fr) ou en contactant le Service des CIL à l’adresse suivante correspondants@cnil.fr ou par téléphone au 01.53.73.22.22 (de 9h à 12h).
Le service des sanctions se tient à votre disposition pour tout renseignement complémentaire (M. X.)
Je vous prie d’agréer, Monsieur le Directeur général, l’expression de mes salutations distinguées.
Isabelle FALQUE-PIERROTIN
La Présidente

Paris, le […]
PAR PORTEUR
Références à rappeler dans toute correspondance :
N/Réf. : […]
Madame la Présidente,
Je fais suite à la décision n° 2016-079 que j’ai prise le 26 septembre 2016 mettant en demeure la société […] ainsi qu’aux échanges qui ont suivi.
Au regard des éléments de réponse apportés ainsi que de la fermeture de l’application […], je vous informe que j’ai décidé de procéder à la clôture en l’état de votre dossier ainsi qu’à la procédure de contrôle n° 2016-122C.
Je vous informe, par ailleurs, que si était constatée à l’occasion de vérifications ultérieures la persistance ou la réitération des manquements visés dans la mise en demeure, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée.
Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement.
En tout état de cause, j’attire votre attention sur la nécessité de veiller au respect au respect de la loi Informatique et Libertés qui participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne. À cette fin, je vous informe de l’application prochaine du règlement européen 2016/679 sur la protection des données (mai 2018).

Je vous prie d’agréer, Madame la Présidente, l’expression de mes salutations distinguées.
Isabelle FALQUE-PIERROTIN
Délibération n° 2017-071 du 23 mars 2017 portant labellisation d’une procédure d’audit intitulée « Audit de conformité des traitements de données à caractère personnel » présentée par le Cabinet d’avocats Courtois Lebel
(Saisine n° 16019145)
La Commission nationale de l’informatique et des libertés,
Saisie par le Cabinet d’avocats Courtois Lebel, le 03 août 2016, d’une demande de délivrance de label concernant sa procédure d’audit intitulée « Audit de conformité des traitements de données à caractère personnel » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2011-316 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de procédure d’audit tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, membre du Comité de labellisation et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La Commission reconnaît que l’audit de traitements présenté est conforme au référentiel auquel il se rapporte, conformément à l’article 37 de son règlement intérieur.

De la délivrance du label CNIL « audit de traitements » pour la procédure d’audit intitulée « Audit de conformité des traitements de données à caractère personnel » du Cabinet d’avocats Courtois Lebel.
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
Pour la Présidente
Le Vice-Président délégué.
Marie-France MAZARS
Délibération n° 2017-081 du 23 mars 2017 portant labellisation d’une procédure d’audit intitulée « Procédure d’évaluation de la conformité relative à la protection des données personnelles » présentée par la société KPMG
(Saisine n° 16016302)
La Commission nationale de l’informatique et des libertés,
Saisie par la société KPMG, le 16 juin 2016, d’une demande de délivrance de label concernant sa procédure d’audit intitulée « Procédure d’évaluation de la conformité relative à la protection des données personnelles » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2011-316 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de procédure d’audit tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, membre du Comité de labellisation et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La Commission reconnaît que l’audit de traitements présenté est conforme au référentiel auquel il se rapporte, conformément à l’article 37 de son règlement intérieur.

De la délivrance du label CNIL « audit de traitements » pour la procédure d’audit intitulée « Procédure d’évaluation de la conformité relative à la protection des données personnelles » de la société KPMG.
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
Pour la Présidente
Le Vice-Président délégué.
Marie-France MAZARS
Délibération n° 2017-089 du 23 mars 2017 portant labellisation d’une procédure d’audit intitulée « Audit de traitements nominatifs – Secteur CCAS » présentée par la Cabinet ACTECIL
(Saisine n° 17000967)
La Commission nationale de l’informatique et des libertés,
Saisie par le Cabinet ACTECIL, le 04 janvier 2017, d’une demande de délivrance de label concernant sa procédure d’audit intitulée « Audit de traitements nominatifs – Secteur CCAS » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2011-316 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de procédure d’audit tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Maurice RONAI, commissaire, président du Comité de labellisation et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La Commission reconnaît que l’audit de traitements présenté est conforme au référentiel auquel il se rapporte, conformément à l’article 37 de son règlement intérieur.

De la délivrance du label CNIL « audit de traitements » pour la procédure d’audit intitulée « Audit de traitements nominatifs – Secteur CCAS » du Cabinet ACTECIL.
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
Pour la Présidente
Le Vice-Président délégué.
Marie-France MAZARS
La Présidente
MONSIEUR LE PRESIDENT DU CONSEIL D’ADMINISTRATION

RECOMMANDE AR n° [...]
Références à rappeler dans toute correspondance :


Paris, le 2 mai 2017
Monsieur le Président
Je fais suite à la décision n° 2016-083 que j’ai prise le 26 septembre 2016 mettant en demeure votre société ainsi qu’aux échanges qui ont suivi.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture de votre dossier ainsi que de la procédure de contrôle n° 2016-011C.
Je vous informe, par ailleurs, que si la persistance ou la réitération des manquements visés dans la mise en demeure était constatée à l’occasion de vérifications ultérieures, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée.
Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement.
Madame X (01.53.73.XX/XX), juriste au service des sanctions, reste à votre disposition pour tout renseignement.
Je vous prie d’agréer, Monsieur le Président, l’expression de mes salutations distinguées.
Isabelle FALQUE-PIERROTIN
La Commission nationale de l’informatique et des libertés,
Saisie par le Cabinet AVISTEM, le 13 janvier 2017, d’une demande de délivrance de label concernant sa procédure d’audit intitulée « Audit de conformité Informatique et Libertés » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2011-316 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de procédure d’audit tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Maurice RONAI, commissaire, président du Comité de labellisation et après avoir entendu les observations de Mme. Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La Commission reconnaît que l’audit de traitements présenté est conforme au référentiel auquel il se rapporte, conformément à l’article 37 de son règlement intérieur.

De la délivrance du label CNIL « audit de traitements » pour la procédure d’audit intitulée « Audit de conformité Informatique et Libertés » du Cabinet AVISTEM.
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
Pour la Présidente
Le Vice-Président délégué
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par la société AGERIS GROUP, le 19 septembre 2016,  d'une demande de délivrance de label concernant sa formation intitulée   La loi Informatique et Libertés dans le domaine de la santé  ;
Vu la Convention n°  108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère  personnel ;
Vu la directive  95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la  protection des personnes physiques à l'égard du traitement de données à  caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du  6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux  libertés, notamment son article 11-3° c) ;
Vu le décret n°  2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n°  78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux  libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du  règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2011-315 du 6 octobre 2011 portant adoption d'un  référentiel pour la délivrance de labels en matière de formation tendant à la  protection des personnes à l'égard du traitement des données à caractère  personnel ;
Vu le dossier et ses  compléments ;
Sur la proposition  de M. Alexandre LINDEN, commissaire,          membre du Comité de labellisation et après avoir entendu les  observations de Mme Nacima BELKACEM, commissaire  du Gouvernement,
Formule les observations suivantes :
L'article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL  délivre un label à des produits ou à des procédures tendant à la protection des personnes à l'égard du traitement des données à caractère personnel .
La formation, objet de la demande, se compose comme suit :
-       Définitions et champ d'application ;
-       Les principes fondamentaux relatifs aux traitements de données à caractère personnel ;
-       L'encadrement des traitements dans le domaine de la santé.
La demande de label présentée par la société AGERIS GROUP inclut les modules complémentaires suivants :
-       présentation de l'encadrement des traitements dans le domaine de la santé.
La Commission reconnaît que la formation présentée est conforme au référentiel auquel elle se rapporte, conformément à l'article 37 de son règlement intérieur.

De la délivrance du label CNIL  formation  pour la formation intitulée  La loi Informatique et Libertés dans le domaine de la santé  de la société AGERIS GROUP.
Ce label est délivré pour une durée de trois ans conformément à l'article 39 du règlement intérieur de la Commission.
L'utilisation de la marque LABEL CNIL est soumise au respect du règlement d'usage de la marque collective.
L'organisme s'engage à fournir à la CNIL un bilan d'activité au terme de la première année.
Pour  la Présidente
Le Vice-Président Délégué
Marie-France  MAZARS
Je fais suite à la décision n° 2015-058 que j’ai prise le 24 juin 2015 mettant en demeure la société X ainsi qu’aux échanges qui ont suivi.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture en l’état de votre dossier ainsi que des procédures de contrôle n° 2014-279C, 2014-282C et n° 2014-283C.
Je note l’ajout, sur votre site internet, des mentions d’information prévues à l’article 32 de la loi Informatique et Libertés sur les formulaires d’inscription et de renseignement de profil. J’attire toutefois votre attention sur la nécessité d’insérer cette mention sur la page du formulaire de contact qui suppose également de renseigner des données à caractère personnel.
Je vous informe par ailleurs que si était constatée à l’occasion de vérifications ultérieures la persistance ou la réitération des manquements visés dans la mise en demeure, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement.
En tout état de cause, j’attire votre attention sur la nécessité de veiller au respect de la loi Informatique et Libertés qui participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne.
Pour toute information complémentaire, vous pouvez contacter le service des sanctions (01.53.73.22.53).
Je vous prie d’agréer, Monsieur, l’expression de mes salutations distinguées.
Isabelle FALQUE-PIERROTIN
Monsieur le Gérant,
Je fais suite à la décision n° 2015-060 que j’ai prise le 24 juin 2015 mettant en demeure la société X, ainsi qu’aux échanges qui ont suivi.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture de votre dossier ainsi que de la procédure de contrôle n° 2014-301C.
Je prends acte des mesures mises en œuvre afin de recueillir le consentement des personnes au traitement de leurs données sensibles et dont le déploiement s’étendra à vos applications mobiles d’ici à la fin de ce mois.
Je note l’ajout, sur votre site internet, des mentions d’information prévues à l’article 32 de la loi Informatique et Libertés. J’attire toutefois votre attention sur la nécessité de rendre visible, directement sur la page de collecte de données, les informations relatives à l’identité du responsable de traitement, à la finalité poursuivie par le traitement, au caractère facultatif ou obligatoire des réponses et aux droits dont disposent les utilisateurs. En outre, pour plus de clarté concernant le recueil du consentement au traitement des données sensibles, il convient de prévoir une mention d’information distincte sur ce point.
Je vous informe par ailleurs que si était constatée à l’occasion de vérifications ultérieures la persistance ou la réitération des manquements visés dans la mise en demeure, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement
Pour toute information complémentaire, vous pouvez contacter le service des sanctions (01.53.73.22.53).
Je vous prie d’agréer, Monsieur le Gérant, l’expression de mes salutations distinguées.
Isabelle FALQUE-PIERROTIN
Le bureau de la Commission nationale de l'informatique et des libertés, réuni le 26 septembre 2013 sous la présidence de Mme Isabelle FALQUE-PIERROTIN ;
Etant aussi présents M. Emmanuel de GIVRY, Vice-président délégué, et M. Jean-Paul AMOUDRY, Vice-président ;
Vu la convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la décision n°2013-037 du 25 septembre 2013 de la Présidente de la Commission mettant en demeure X ;
A adopté la délibération suivante :
Par décision du 25 septembre 2013, la Présidente de la Commission a, sur le fondement de l'article 45 de la loi du 6 janvier 1978 modifiée, mis en demeure X, sis [...], de faire cesser sous un délai de dix jours les manquements constatés à cette même loi.
En application de l'article 46 deuxième alinéa de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.
Le bureau a été réuni à cette fin le 26 septembre 2013.
Après en avoir délibéré, le bureau estime que la mesure de la publicité est justifiée, en premier lieu, par la sensibilité des données en cause, à savoir des données de santé, en deuxième lieu, par le nombre de personnes concernées, en troisième lieu par la gravité des manquements à l'article 34 de la loi du 6 janvier 1978 modifiée, et en quatrième lieu, par la nécessité de prévenir le renouvellement de ces manquements.
En conséquence, le bureau de la Commission nationale de l'informatique et des libertés décide de rendre publique la décision n°2013-037 de la Présidente de la CNIL mettant en demeure X.
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d'une sanction. A ce titre, aucune suite ne sera donnée à la procédure si l'organisme concerné se conforme en tous points aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l'objet d'une clôture qui sera également rendue publique.
La Présidente,
Isabelle FALQUE-PIERROTIN