AgentPublic/cnil huggingface dataset:
Vu l’arrêté du ministère de l’économie, des finances et de l’industrie du 20 février 2007 relatif aux exigences de fonds propres applicables aux établissements de crédit et aux entreprises d’investissement ;
Vu l’arrêté du 29 octobre 2009 portant sur la réglementation prudentielle des établissements de paiement ;
Vu le dossier de demande d’autorisation présenté par la société AQOBA EP ;
Après avoir entendu M. Jean Paul AMOUDRY, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations. 
Formule les observations suivantes : 
La société AQOBA EP est un établissement de paiement au sens de l’article L.522-1 du code monétaire et financier (CMF), agréé pour proposer les services de paiement mentionnés au 2°, 3° et 5° du II de l’article L 314-1 du CMF. Conformément aux dispositions de l’article L 522-2, II, AQOBA EP est autorisé à délivrer des cartes de paiement.
AQOBA EP a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation d’un traitement de données à caractère personnel dont les finalités concernent l’évaluation du risque de défaillance présenté par chacun de ses clients, ainsi que la définition de son niveau de fonds propres réglementaires conformément aux dispositions des arrêtés du 20 février 2007 et du 29 octobre 2009 susvisés (réglementation Bâle II).
Sur la procédure suivie auprès de la Commission
Chaque porteur d’une carte de paiement émise par AQOBA EP dispose d’une avance en paiement. L’octroi de cette faculté expose AQOBA EP à un risque financier, que le système de « cotation Bâle II » a vocation à évaluer. 
Les indicateurs qui en résultent sont pris en compte pour apprécier la solvabilité de chaque client détenteur d’une carte de paiement. Ils peuvent ainsi conduire AQOBA EP à appliquer à la carte une réduction du plafond de paiement autorisé, voire à bloquer l’utilisation du moyen de paiement.
Ce traitement est, par voie de conséquence, susceptible d’exclure, de façon plus ou moins prolongée, des personnes du bénéfice d’un contrat ou de certaines prestations en l’absence de toute disposition légale prévoyant une telle exclusion.
Dès lors ces traitements automatisés relèvent du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doivent, à ce titre, être autorisés par la CNIL.
Sur les finalités du traitement 
Ce traitement automatisé vise : 
1° à évaluer, dans le cadre du dispositif de notation interne des risques, pour chaque client détenteur d’une carte de paiement émise par AQOBA EP, le risque statistique de défaut de remboursement des avances qui lui ont été accordées et à définir le niveau de fonds propres réglementaires correspondant ;
2° à définir les règles de gestion du risque opérationnel qui seront appliquées aux clients en fonction du niveau de risque de défaillance qui leur est associé.
S’agissant de la première finalité, le traitement calcule une notation réglementaire, dite « cotation Bâle II », qui est attachée à chaque client : 
le risque de crédit est évalué sous la forme d’une note, d’une probabilité de défaut à un an et d’une estimation de perte en cas de défaut ;
sur la base de ces évaluations, chaque client est affecté à un lot de risques jugés équivalents ;
les notes d’évaluation du risque sont réévaluées tous les six mois ;
les modèles statistiques utilisés sont vérifiés et actualisés périodiquement.
Les personnes concernées par le traitement sont exclusivement des clients de la société AQOBA EP, titulaires d’un moyen de paiement.
Le système de notation des risques de crédit repose sur une évaluation statistique de la probabilité de défaut des titulaires d’une carte de paiement dans les douze mois à venir et du montant des pertes en résultant. Il doit tenir compte des caractéristiques pertinentes du risque attachées à l’emprunteur, dont l’établissement a connaissance.
Les notes d’évaluation du risque sont utilisées de manière globale pour le calcul des fonds propres réglementaires de la société responsable de traitement.
S’agissant de la seconde finalité, certaines des données traitées sont exploitées lors d’opérations de gestion des moyens de paiement des clients : 
- pour déterminer ou modifier le plafond de l’avance en paiement autorisé ;
- pour se prononcer sur les dépassements d’autorisation pour gérer les impayés et
- pour décider de procéder à un blocage du moyen de paiement. 
En cas de réduction du plafond, le porteur en est informé conformément aux dispositions de la convention de compte. Dans les cas où le moyen de paiement est bloqué, il est informé des modalités de régularisation de l’impayé entrainant immédiatement le déblocage du moyen de paiement.
La Commission prend acte que conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, une décision défavorable en matière d’utilisation d’un moyen de paiement ne peut être prise après consultation du résultat du score sans que le débiteur ait été informé de son droit à présenter des observations sur sa situation bancaire et financière.
Sur les catégories de données traitées
Les catégories de données prises en compte sont :
- pour la définition du niveau de fonds propres : la situation économique et financière du débiteur et l’existence éventuelle d’un impayé.
- pour évaluer le niveau de risque attaché à chaque client : la désignation du compte bancaire permettant d’alimenter le compte de paiement tenu par AQOBA EP (RIB), la fréquence et les modalités d’utilisation de la carte de paiement (utilisation permanente du plafond), la contestation éventuelle d’un prélèvement émis.
Ces données peuvent faire l’objet de croisements. Elles sont choisies et pondérées en fonction du lien de corrélation qu’elles présentent avec le risque de crédit attaché au client en général ou à chaque opération en particulier.
La Commission observe qu’aucune variable ne reçoit une pondération telle qu’elle puisse à elle seule avoir un effet d’exclusion absolue ou disqualifiant. Il en va de même pour tout ensemble de variables corrélées les unes aux autres.
Dans ces conditions, la Commission estime que la prise en compte de ces données est adéquate, pertinente et non excessive au regard de la finalité du traitement.
Sur la durée de conservation et les destinataires des données
Les indicateurs calculés par le traitement sont réévalués tous les six mois. Ils sont ensuite archivés pendant la durée de la relation contractuelle. Les chargés de clientèle de la société AQOBA EP ont accès,  pour les clients les concernant, aux informations mises à jour. 
Pour la définition du niveau de fonds propres, les cotations successives et les données permettant de les élaborer sont conservées pendant une durée de 5 ans. A l’issue de ce délai, elles sont anonymisées et exploitées uniquement afin de mettre à jour les modèles statistiques utilisés pour mesurer le risque. Seuls ont accès à ces informations, les personnels en charge de l’actualisation du modèle de notation. Seuls les personnels en charge du contrôle interne ont la possibilité d’identifier les personnes concernées dans le cadre de l’exercice de leurs missions d’audit.
Sur les droits des personnes
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, chaque client est informé lors de la collecte des données, notamment au moment de l’entrée en relation contractuelle, puis régulièrement sur :
la mise en place d’un système de notation interne des risques de crédit,
les droits qui lui sont reconnus par la loi susvisée, notamment le droit d’obtenir communication par écrit, sur sa demande, des notes d’évaluation du risque dont il fait l’objet, de leur signification et de leur modalité de calcul.
La Commission rappelle que conformément aux dispositions de l’article 30, II, de la loi du 6 janvier 1978 modifiée, la société AQOBA EP informe sans délai la Commission de tout changement affectant notamment l’identité et l’adresse du responsable de traitement, la ou les finalités du traitement, les données à caractère personnel traitées et la durée de conservation.
La Commission, autorise, dans les conditions prévues par la présente délibération, la société AQOBA EP à mettre en œuvre un traitement automatisé de données à caractère personnel visant à évaluer le risque statistique de défaillance des clients détenteurs d’une carte de paiement.
                                                                                Le Président
Alex TURK
La Commission nationale de l'informatique et des libertés ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 ;Vu le Code de la sécurité sociale et notamment ses articles L. 642-1 et suivants ; Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;Vu le décret n° 99-1047 du 14 décembre 1999 pris pour l'application de l'article 107 de la loi de finances pour 1999 relatif à l'utilisation du numéro d'inscription au répertoire national d'identification des personnes physiques par la direction générale des impôts, la direction générale de la comptabilité publique et la direction générale des douanes et droits indirects ;Vu le décret n° 2002-771 du 3 mai 2002 portant création d'une procédure de transfert des données fiscales et les deux arrêtés d'application du 3 mai 2002 ;Vu la délibération n°01-055 de la CNIL en date du 25 octobre 2001 relative à la création d'une procédure de transfert de données fiscales pour le compte de l'État et des organismes de protection sociale visés à l'article L. 152 du livre des procédures fiscales ;Vu la demande d'avis présentée par le
Ministère du budget et le Ministère de l'économie concernant la mise en œuvre d'un traitement automatisé de données à caractère personnel destiné à mettre en place un transfert de données fiscales ;Après avoir entendu M. Philippe GOSSELIN, Commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du gouvernement, en ses observations ;
Émet l'avis suivant :
La Commission nationale de l'informatique et des libertés a été saisie par le Ministère du budget et par le Ministère de l'économie d'un projet d'arrêté et d'une demande d'avis relative à la mise en œuvre d'un transfert de données fiscales de la direction générale des finances publiques (DGFiP) vers la Caisse autonome de retraite et de prévoyance des infirmiers, masseurs-kinésithérapeutes, pédicures-podologues, orthopédistes et orthoptistes (CARPIMKO) permettant la détermination des taux de prélèvement à appliquer sur les pensions de retraite et d'invalidité du régime d'assurance vieillesse et d'assurance invalidité décès des auxiliaires médicaux.
La CNIL a déjà rendu un avis le 25 octobre 2001 (délibération n°01-055) sur un transfert de données fiscales vers les organismes de protection sociale aux fins de contrôle des déclarations de ressources. Le présent traitement vise à permettre le transfert de données fiscales des pensionnés relevant du régime de la CARPIMKO. 
La Commission prend acte que ce traitement n'a pas pour objet de permettre l'échange entre la CARPIMKO et la DGFIP de fichiers dénonçant des faits susceptibles de constituer des infractions aux lois et règlements relatifs aux cotisations et contributions sociales.
La CARPIMKO transmet au CNTDF un fichier d'appel regroupant l'ensemble des pensionnés dont elle souhaite obtenir les données fiscales. Les éléments d'identification suivants figurent dans le fichier d'appel : le nom patronymique et le nom d'usage, le ou les prénoms, les date et lieu de naissance, l'adresse, le numéro d'inscription au répertoire national d'identification des personnes physiques (NIR), le numéro Siret de l'organisme demandeur, un numéro de liaison du pensionné. La Commission prend acte du fait que le NIR n'est pas inclus dans ce numéro de liaison. 
Les NIR transmis par la CARPIMKO sont exclusivement conservés au CNTDF dans des fichiers informatisés dédiés, dénommés  table de correspondance NIR/Itip-SPI , qui permettent d'établir un lien entre, d'une part, le NIR, complété des quatre premiers caractères du nom patronymique, et, d'autre part, l'identifiant technique du système d'information de la DGFiP, l‘Itip, et l'identifiant fiscal national individuel utilisé par les administrations fiscales dans leurs traitements internes et dans leurs relations avec les contribuables, le SPI. 
Pour chaque fichier d'appels reçus, plusieurs fichiers de restitutions produits au CNTDF sont successivement adressés à la CARPIMKO. Ces fichiers se rapportent soient aux situations fiscales initialement déclarées, soit aux premières situations fiscales correctives.
Les informations restituées à la CARPIMKO par le traitement TDF sont les suivantes : un code  imposé  ou  affranchi  au regard des articles 1417-I et III du code général des impôts ; un code  exonéré  ou  recouvré  au regard du montant visé à l'article 1657-1 bis du code général des impôts ; les rectifications apportées, par le contribuable ou les services fiscaux, aux mêmes rubriques, en cas d'émission de rôles supplémentaires et de dégrèvements ; les éléments descriptifs de la restitution ; le numéro d'ordre du traitement de l'imposition ; le numéro du rôle d'émission ; le numéro de liaison ; le numéro SIRET de l'organisme demandeur.
Ces informations sont conservées le temps nécessaire à la mise à jour des données gérées dans le système de gestion des pensions de la CARPIMKO. Les informations contenues dans les fichiers d'appels ou de restitutions sont, quant à elles, conservées au CNTDF le temps nécessaire aux opérations de transfert. Les destinataires des informations sont les agents habilités de la CARPIMKO.
Les droit d'accès et de rectification conférés aux assurés sociaux par la loi du 6 janvier 1978 modifiée s'exercent auprès du centre des impôts du domicile fiscal du requérant en ce qui concerne les informations détenues par la DGFIP, auprès de la CARPIMKO pour les informations qui lui sont transmises.
Le droit d'opposition ne s'applique pas à cette procédure dans la mesure où ces informations sont indispensables à la détermination du montant des droits.
La Commission prend acte des mesures de sécurité prévues pour garantir la confidentialité des échanges d'informations. Elle relève en particulier que les fichiers d'appels (CARPIMKO vers la DGFIP) et de restitutions (DGFIP vers CARPIMKO) seront chiffrés. Il est prévu que des profils d'habilitation définissent pour chaque utilisateur, les fonctions autorisées ou les catégories d'informations accessibles. Les accès à l'application font l'objet d'une journalisation des données de connexion.
Le Président
 
Alex TÜRK
La Commission nationale de l'informatique et des libertés,
Saisie pour avis par le ministère de l'intérieur, de l'outre-mer et des collectivités territoriales le 12 mars 2010 d'un projet d'arrêté modifiant l'arrêté du 15 mai 1996 relatif au fichier des véhicules volés (FVV).
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé de données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu le code de procédure pénale ;
Vu le code pénal ;
Vu le code de la route ;
Vu le code général des collectivités territoriales, et notamment son article L 2212-6 et son annexe n°IV-I ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 26, 32, 40, 41 et 42 ;
Vu la loi n°2003-239 du 18 mars 2003 modifiée pour la sécurité intérieure, notamment ses articles 23 et 24 ;
Vu la loi n°2009-971 du 3 août 2009 relative à la gendarmerie nationale ;
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l'application de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ; 
Vu l'arrêté du 15 mai 1996 relatif au fichier des véhicules volés modifié par l'arrêté du 2 septembre 2005 pris pour l'application des articles 22 à 24 et 27 de la loi n°2003-239 du 18 mars 2003 ;
Vu la délibération n°95-041 du 4 avril 1995 de la Commission nationale de l'informatique et des libertés portant avis sur le projet d'arrêté relatif au fichier des véhicules volés ;
Vu la délibération n°95-042 du 4 avril 1995 de la Commission nationale de l'informatique et des libertés portant avis conforme sur le projet de décret interministériel portant application au fichier des véhicules volés des dispositions de l'article 31 alinéa 3 de la loi du 6 janvier 1978 ;
Vu la délibération n° 2008-381 du 23 octobre 2008 portant avis sur un projet d'arrêté du Ministère de l'intérieur, de l'outre mer et des collectivités territoriales relatif à la création d'un traitement automatisé de données à caractère personnel dénommé  base satellite des véhicules volés  (BSVV) ;Vu le projet d'arrêté modifiant l'arrêté du 15 mai 1996 relatif au fichier des véhicules volés (FVV) présenté le 12 mars 2010 ;
Après avoir entendu M. Jean-Marie COTTERET, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Emet l'avis suivant :
La Commission a été saisie le 12 mars 2010 par le ministère de l'intérieur, de l'outre-mer et des collectivités territoriales d'un dossier de déclaration de modification du fichier des véhicules volés (FVV), lequel comporte un projet d'arrêté modifiant l'arrêté du 15 mai 1996 modifié relatif au fichier des véhicules volés.
Le projet d'arrêté soumis pour avis à l'examen de la Commission vise à modifier l'article 4 de l'arrêté du 15 mai 1996 modifié relatif au FVV afin de rendre destinataires des données les agents de police municipale.
Sur le fichier des véhicules volés
Le fichier des véhicules volés a pour finalité de faciliter les recherches de la police, de la gendarmerie et des douanes, à l'occasion des contrôles qui relèvent de leurs attributions, pour d'une part la découverte, la restitution ou la surveillance des véhicules volés ou signalés ; ainsi que pour la recherche et la surveillance des personnes susceptibles d'utiliser un véhicule volé ou signalé d'autre part.
L'inscription au FVV n'est cependant actuellement effectuée que par les services de la police ou de la gendarmerie nationales.
Le FVV comporte des informations relatives à l'identification des véhicules volés ou signalés, et des données à caractère personnel relatives notamment à l'état civil (nom, prénom, adresse, numéro de téléphone) du plaignant ou propriétaire, à l'état civil de la personne recherchée utilisant le véhicule, ainsi que, le cas échéant, les éléments de signalement de cette dernière.
La Commission s'est prononcée, par sa délibération n° 2008-381 du 23 octobre 2008, sur la création d'une  base satellite des véhicules volés  (BSVV). Ce fichier, destiné à servir de support à la gestion des états de vol et de surveillance des véhicules, ainsi qu'aux métiers de l'immatriculation, de l'investigation et de la verbalisation, est alimenté par extraction de données provenant du FVV, du  National Schengen Identification System  (N-SIS) et du Système d'immatriculation des véhicules (SIV).
La Commission rappelle que, dans le cadre du rapprochement des informations détenues par la police et la gendarmerie, le FVV et le fichier des objets signalés de la gendarmerie (FOS) sont destinés à être fusionnés pour produire une base unique dénommée  Fichier des objets et des véhicules signalés  (FOVES).
Sur le cadre juridique des échanges d'information entre les agents de police municipale et les forces de sécurité de l'Etat 
La Commission relève que le ministère estime nécessaire, dans le cadre du renforcement de la coopération des forces de sécurité intérieure de l'Etat avec les polices municipales, de modifier le cadre juridique du FVV afin de permettre et faciliter la transmission aux polices municipales d'informations provenant de ce fichier.
Elle observe que la transmission d'informations aux agents de police municipale par les services de la police nationale et de la gendarmerie nationale est envisagée par l'article L 2212-6 du Code général des collectivités territoriales prévoyant, dès lors que le service de police municipale concerné comporte au moins cinq emplois d'agents, la conclusion de conventions de coordination entre la police et les forces de sécurité de l'Etat précisant  la nature et les lieux des interventions des agents de police municipale  et  déterminent les modalités selon lesquelles ces interventions sont coordonnées avec celles de la police et de la gendarmerie nationales .
La Commission relève que le ministère estime que ce cadre juridique n'est cependant pas suffisant au regard des échanges quotidiens d'informations nécessaires à la coopération entre les forces de sécurité intérieure de l'Etat et les polices municipales, que certaines conventions de coordination ont prévu la transmission d'informations relatives aux véhicules volés aux agents de la police municipale, mais que seule une mention expresse dans l'acte réglementaire autorisant le traitement permettrait aux policiers municipaux d'être légalement destinataires des informations.
La Commission observe ainsi que plusieurs actes réglementaires ont été modifiés afin de prévoir la possibilité d'une transmission d'informations aux agents de police municipale, et que tel est notamment le cas du système national du permis de conduire (SNPC), du système d'immatriculation des véhicules (SIV), du fichier national des immatriculations (FNI), du système de contrôle automatisé (SCA) et du traitement de déclaration et d'identification de certains engins motorisés (DICEM).
La Commission prend acte de ce que la circulaire du 25 février 2010 du ministère de l'intérieur relative à la communication aux services de police municipale, pour les besoins de l'accomplissement de leurs missions, d'informations contenues dans les traitements de données à caractère personnel indique clairement que, s'agissant des fichiers d'antécédents judiciaires (STIC et JUDEX), les dispositions législatives qui les régissent ne prévoient pas que les polices municipales puissent être destinataires des données qu'ils contiennent que ce soit pour l'exercice de leurs missions de police judiciaire ou de police administrative et qu'une évolution des textes sur ce point n'est pas envisagée.
La Commission observe que le ministère justifie également l'extension des destinataires aux agents de police municipale en rappelant que la qualité d'agents de police judicaire adjoints (APJA) des agents de police municipale que leur confère l'article 21 du code de procédure pénale, en vertu duquel les APJA ont notamment pour mission de seconder les officiers de police judiciaire (OPJ) dans leurs fonctions, de rendre compte à leurs chefs hiérarchiques de tous crimes délits ou contraventions dont ils ont connaissance, de constater les infractions à la loi pénale, dans le cadre et dans les formes prévus par les lois organiques ou spéciales qui leur sont propres, et de constater par procès-verbal les contraventions aux dispositions du code de la route dont la liste est fixée par décret en Conseil d'Etat.
La Commission relève également qu'en vertu de l'article 21-2 du code de procédure pénale, les agents de police municipale sont tenus de rendre compte immédiatement à tout OPJ territorialement compétent de tous crimes, délits ou contraventions dont ils ont connaissance adressent sans délai leurs rapports et procès-verbaux simultanément au maire et, par l'intermédiaire des OPJ, au procureur de la République.