Au sens de la présente annexe, on entend par :
1° « responsables conjoints » : le directeur général de l'opérateur France Travail, le président de la direction des systèmes d'information des missions locales (DSIML) et chaque mission locale, chacune pour ce qui la concerne ;
2° « données à caractère personnel » (ou « données personnelles ») : toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement, notamment par référence à un identifiant tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ;
3° « droits des personnes » : le droit pour une personne concernée d'obtenir notamment l'accès à ses données à caractère personnel ou la rectification de celles-ci ;
4° « sous-traitants » : toute personne physique ou morale amenée à traiter des données personnelles pour le compte d'un des responsables conjoints du traitement.

L'opérateur France Travail a la responsabilité de la gestion technique et opérationnelle du système d'information. A ce titre, il définit et met en œuvre les mesures de sécurité du système d'information et met en œuvre les évolutions des principales caractéristiques du traitement (finalités, destinataires de données, données collectées et traitements alimentant I-MILO).
La DSIML définit, évalue et priorise les besoins d'évolution des caractéristiques du traitement en se fondant sur les remontées du réseau des missions locales ou sur sa propre expertise du système d'information. Elle appuie les missions locales dans l'appropriation des modalités d'usage du système d'information.

Dans le cadre de l'amélioration des fonctionnalités du traitement, les missions locales peuvent demander à la DSIML la modification des finalités, des données collectées, ainsi que des destinataires de données et des traitements alimentant le traitement dénommé « I-MILO ».
Dans le cadre du maintien de la conformité du traitement de données à caractère personnel dénommé « I-MILO » aux dispositions légales et réglementaires en vigueur et afin d'adapter le traitement aux évolutions de la politique conduite par l'Etat en faveur de l'insertion professionnelle et sociale des jeunes, la DSIML apprécie, en fonction des demandes formulées par les missions locales ou des constats qu'elle dresse dans le cadre de ses fonctions d'appui, la nécessité de modifier les finalités, les données collectées, ainsi que les destinataires de données et les traitements alimentant le traitement dénommé « I-MILO ».
L'opérateur France Travail apprécie la faisabilité technique et financière des demandes d'évolution et met en œuvre, après modifications réglementaires le cas échéant, les modifications des finalités, des données collectées ainsi que des destinataires des données et des traitements alimentant le traitement dénommé I-MILO.

L'opérateur France Travail est responsable de la réalisation, de la mise à jour et du suivi de l'analyse d'impact relative à la protection des données concernant le traitement dénommé « I-MILO ».
La DSIML appuie l'opérateur France Travail dans la réalisation, la mise à jour et le suivi de l'analyse d'impact relative à la protection des données concernant le traitement dénommé « I-MILO » et est responsable de la mise à disposition de celle-ci aux missions locales.
La DSIML est également responsable de la diffusion et de l'appropriation des mesures techniques, organisationnelles et physiques appropriées, prévues par l'analyse d'impact relative à la protection des données, que les missions locales doivent mettre en place afin de garantir un niveau de sécurité adapté au risque.

L'information des personnes concernées est réalisée par l'opérateur France Travail et chaque mission locale conformément à l'article 7 du décret du 26 janvier 2015 modifié susvisé.
L'opérateur France Travail publie les mentions d'information mises à jour relatives au traitement sur son site internet.
Les missions locales communiquent les mentions d'information mises à jour aux jeunes qu'elles accompagnent par l'intermédiaire des formulaires de demande dans le cadre du parcours contractualisé d'accompagnement vers l'emploi et l'autonomie (PACEA) ou du contrat d'engagement jeunes (CEJ) et par affichage dans leurs locaux.

Chaque mission locale assure l'exercice des droits des personnes concernées (jeunes, utilisateurs habilités par les missions locales, personnels des partenaires) dans le respect des délais fixés par la réglementation. Elle peut, le cas échéant, solliciter l'opérateur France Travail et la DSIML ainsi que leurs sous-traitants, afin qu'ils lui apportent un appui pour répondre aux demandes qui lui sont adressées.
Chaque mission locale met en place les procédures et les outils lui permettant de répondre à cette obligation. Elle tient un registre des demandes d'exercice de droits.

I. - L'opérateur France Travail, la DSIML et la mission locale concernée s'informent mutuellement de toute violation de données à caractère personnel dès que possible et sans que ce délai ne puisse excéder vingt-quatre heures ouvrables après en avoir pris connaissance.
Cette information est transmise par voie électronique. Elle contient :
1° Une description de la nature de la violation de données à caractère personnel y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation et les catégories et le nombre approximatif d'enregistrements de données à caractère personnel concernés ;
2° Une description des conséquences probables de la violation de données à caractère personnel ;
3° Une description des mesures prises pour remédier à la violation de données à caractère personnel, y compris, le cas échéant, les mesures permettant d'en atténuer les éventuelles conséquences négatives.
II. - L'opérateur France Travail, la DSIML et chaque mission locale concernée déterminent conjointement :
1° Les mesures complémentaires à prendre pour remédier à la violation de données à caractère personnel, y compris, le cas échéant, les mesures permettant d'en atténuer les éventuelles conséquences négatives ;
2° Si une notification à la Commission nationale de l'informatique et des libertés est requise, en vertu de l'article 33 du règlement (UE) du 27 avril 2016 susvisé. Le cas échéant, l'opérateur France Travail complète la notification en ligne en utilisant le téléservice de la commission nationale de l'informatique et des libertés et transmet une copie à la DSIML ainsi qu'à chaque mission locale concernée ;
3° Si une notification à la personne concernée est requise, en vertu de l'article 34 du même règlement.
Dans le cas où les responsables conjoints déterminent qu'une information des personnes concernées est requise ou si une telle information est exigée par la Commission nationale de l'informatique et des libertés, la mission locale concernée définit, après accord de l'opérateur France Travail et de la DSIML, les modalités de communication à la personne concernée de la violation de données.

I. - Afin de garantir la sécurité et la confidentialité des données traitées, les missions locales et la DSIML mettent en place et maintiennent :
1° Les mesures organisationnelles appropriées, notamment la sensibilisation des utilisateurs habilités par les missions locales ou la DSIML et la revue régulière des habilitations ;
2° Les mesures physiques et techniques appropriées afin de garantir la sécurité des matériels utilisés par les missions locales ou par la DSIML.
II. - Afin de garantir la sécurité et la confidentialité des données traitées, l'opérateur France Travail met en place et maintient :
1° Les mesures organisationnelles appropriées, notamment la sensibilisation des utilisateurs habilités par l'opérateur France Travail et la revue régulière des habilitations ;
2° Les mesures physiques et techniques permettant de garantir la sécurité des matériels utilisés par l'opérateur France Travail, ses utilisateurs et ses sous-traitants ;
3° Les mesures physiques et techniques permettant de garantir la sécurité et la confidentialité des données stockées ;
4° Les mesures physiques et techniques permettant de garantir la sécurité de l'application I-MILO ;
5° Les mesures organisationnelles appropriées, notamment les relations avec ses sous-traitants et la revue des habilitations qu'il accorde.

L'opérateur France Travail choisit les sous-traitants et les sous-traitants ultérieurs nécessaires pour veiller à la sécurité du traitement de données personnelles.
Il est responsable de la gestion et des relations avec les sous-traitants en matière de traitement de données personnelles.

L'opérateur France Travail contrôle le respect par les sous-traitants de la réglementation applicable en matière de protection des données à caractère personnel.
Il peut auditer et contrôler les sous-traitants, dans le cadre des stipulations contractuelles conclues avec ces derniers. Il peut solliciter la mise en œuvre, par les sous-traitants, de mesures correctives permettant d'assurer le respect de la réglementation applicable en matière de protection des données à caractère personnel.
L'opérateur France Travail met les résultats de ces audits à disposition de la DSIML, qui en informe les missions locales.

Sans préjudice des obligations des sous-traitants, l'opérateur France Travail est chargé de veiller au respect des dispositions du chapitre V du règlement (UE) du 27 avril 2016 susvisé.