AgentPublic/cnil huggingface dataset:
Mme Maryline ABIVEN, attachée au service du droit d'accès indirect à la direction des relations avec les usagers et du contrôleMme Emmanuelle BARTOLI attachée au service des affaires européennes et internationales à la direction des affaires juridiques, internationales et de l'expertise M. Christophe-Alexandre PAILLARD, directeur des affaires juridiques, internationales et de l'expertise M. Patrick REFALO, directeur adjoint des relations avec les usagers et du contrôle.
Article 3 : Les habilitations mentionnées à l'article 1er sont délivrées pour une durée de cinq ans.
Article 4 : La présente décision prendra effet à compter de la date de sa publication au Journal officiel de la République française.
La Présidente,
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie par le ministre de l'intérieur, de l'outre-mer, des collectivités territoriales et de l'immigration d'une demande d'avis concernant un projet de décret portant modification du décret n° 2005-1726 du 30 décembre 2005 modifié relatif aux passeports,Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;Vu le règlement du Conseil européen n° 2252/2004 du 13 décembre 2004 qui établit des normes pour les éléments de sécurité et les éléments biométriques intégrés dans les passeports et les documents de voyage délivrés par les Etats membres ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27 ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi du 6 janvier 1978 modifiée ;Vu le décret n° 2005-1726 du 30 décembre 2005 modifié relatif aux passeports ;Vu la décision du Conseil d'Etat du 26 octobre 2011 statuant au contentieux sur les requêtes n°s 317827, 317952, 318013 et 318051 ;Vu la délibération n° 2007-368 du 11 décembre 2007 portant avis sur un projet de décret en Conseil d'Etat modifiant le
décret n° 2005-1726 du 30 décembre 2005 relatif aux passeports électroniques ;
Après avoir entendu M. Sébastien Huyghe, commissaire, en son rapport et Mme Elisabeth Rolin, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :La commission a été saisie, le 2 décembre 2011, par le ministre de l'intérieur, de l'outre-mer, des collectivités territoriales et de l'immigration d'une demande d'avis concernant un projet de décret portant modification du décret n° 2005-1726 du 30 décembre 2005 modifié relatif aux passeports, en application des dispositions des articles 27 et 30 de la loi du 6 janvier 1978 modifiée.
Ce décret, dans sa rédaction issue de la modification intervenue en 2008, a autorisé la délivrance de passeports munis d'un composant électronique (puce sans contact) contenant notamment deux des empreintes digitales de son titulaire ainsi que la création d'une base centralisée comprenant huit empreintes digitales des demandeurs de titre. La commission, qui avait été saisie pour avis de ces modifications du traitement relatif aux passeports, avait exprimé, dans sa délibération du 11 décembre 2007, de fortes réserves sur le dispositif projeté.
Le Conseil d'Etat a, par la suite, été saisi de plusieurs requêtes en annulation du décret relatif aux passeports. Par sa décision en date du 26 octobre 2011, le Conseil d'Etat a annulé l'article prévoyant la collecte et la conservation des empreintes digitales ne figurant pas dans le composant électronique du passeport.Afin de tirer les conséquences de cette décision, le ministère de l'intérieur projette de modifier l'article 6-1 du décret du 30 décembre 2005 modifié pour limiter le recueil et la conservation des empreintes digitales du demandeur de passeport aux seules deux empreintes insérées dans le composant électronique du titre. En outre, les six empreintes surnuméraires des demandeurs de passeport, collectées depuis 2008 et conservées dans le traitement central, doivent être effacées de la base.
Sur la limitation de la collecte des empreintes digitales :La commission observe que ses réserves sur le dispositif autorisé en 2008 et, plus généralement, son analyse, au regard de la loi du 6 janvier 1978 modifiée, des traitements biométriques ont été partiellement suivies par le Conseil d'Etat. Ce dernier n'a cependant pas estimé, contrairement à la commission, que le principe même de la conservation dans une base centrale des images numérisées du visage et des empreintes digitales des demandeurs de passeport était disproportionné au regard de la finalité du traitement.Le Conseil d'Etat a considéré que la finalité de celui-ci, qui permet uniquement de s'assurer que la personne présentant une demande de renouvellement d'un passeport est bien celle à laquelle le passeport a été initialement délivré et que les données contenues dans le composant électronique du passeport n'ont pas été falsifiées, pouvait  être atteinte de manière suffisamment efficace en comparant les empreintes figurant dans le composant électronique du passeport avec celles conservées dans le traitement, sans qu'il soit nécessaire que ce dernier en contienne davantage . En ce sens, l'analyse de la commission sur l'absence de proportionnalité du dispositif par rapport aux objectifs précis qui lui sont assignés a été suivie par le Conseil d'Etat.
Celui-ci a ainsi estimé que  l'utilité du recueil des empreintes de huit doigts et non des deux seuls figurant sur le passeport n'étant pas établie, la collecte et la conservation d'un plus grand nombre d'empreintes digitales que celles figurant dans le composant électronique ne sont ni adéquates ni pertinentes et apparaissent excessives au regard des finalités du traitement informatisé .
Cette formulation confirme également la position constante de la commission selon laquelle les dispositifs biométriques reposant sur l'utilisation des empreintes digitales et ayant pour seule finalité l'authentification des personnes, et non leur identification, ne nécessitent la conservation que de deux empreintes. En ce qui concerne, en particulier, les traitements biométriques mis en œuvre pour le compte de l'Etat, la commission a, par exemple, rappelé que la conservation de huit empreintes digitales était disproportionnée au regard de la finalité d'authentification des voyageurs inscrits au traitement PARAFE.
En tout état de cause, la décision du Conseil d'Etat impose de limiter le recueil et la conservation des empreintes digitales du demandeur de passeport aux seuls deux éléments insérés dans le composant électronique du titre. Le ministère de l'intérieur prévoit donc de modifier l'article 6-1 du décret du 30 décembre 2005 modifié dans les termes suivants :  Lors du dépôt de la demande de passeport, il est procédé au recueil des empreintes digitales à plat de chacun des index du demandeur. Si le recueil de l'une de ces empreintes s'avère impossible, il est procédé au recueil de celle du majeur ou de l'annulaire de la même main ou, à défaut, de l'autre main, dans cet ordre de priorité. Cette rédaction n'appelle pas d'observation particulière de la part de la commission.
Elle relève cependant qu'en pratique les modalités de recueil de ces empreintes, qui a lieu en mairie ou dans les postes consulaires, ne seront pas modifiées dans la mesure où les demandeurs devront continuer à présenter leurs huit empreintes (en posant leurs deux mains, sans les pouces, sur les capteurs).La commission prend acte que les six doigts non retenus ne seront ni transmis vers la base centrale ni conservés. Elle estime cependant qu'il serait préférable de ne réaliser la prise d'empreintes que sur deux doigts et non sur huit. C'est pourquoi elle recommande, lors du renouvellement ou de l'acquisition du nouveau matériel, la mise à disposition de capteurs de deux doigts.
Sur la procédure d'effacement des données enregistrées :La décision précitée du Conseil d'Etat impose, en outre, de supprimer du traitement central les empreintes digitales non enregistrées dans le composant électronique du passeport. Or, les données biométriques de plus de six millions de demandeurs sont enregistrées dans la base centrale. Cette opération de grande ampleur, qui devrait s'achever en mars 2012, selon les indications fournies par le ministère de l'intérieur, doit donc être menée dans des conditions assurant la plus grande confidentialité aux données stockées.
A cet égard, la commission estime que la procédure générale de suppression des empreintes surnuméraires est adéquate. Elle relève cependant que l'utilisation de logiciels spécifiques, qualifiés ou certifiés CSPN (certification de sécurité de premier niveau) par l'Agence nationale de la sécurité des systèmes d'information (ANSSI) permettrait de garantir un effacement plus sécurisé.
Elle recommande par ailleurs, compte tenu de l'importance des opérations envisagées, que le ministère s'appuie sur un audit externe pour vérifier la mise en œuvre de la modification du système, et notamment l'effectivité de l'effacement des six empreintes. En tout état de cause, la commission s'attachera, dans le cadre de missions de contrôle diligentées en application de l'article 44 de la loi du 6 janvier 1978 modifiée, à vérifier le bon effacement de ces données à l'issue de l'opération menée par le ministère de l'intérieur.
La présidente,
 
I. Falque-Pierrotin
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu le code monétaire et financier ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la demande d'autorisation déposée par la société Européenne de cautionnement relative à un traitement automatisé de données à caractère personnel ayant pour finalité l'aide à l'évaluation et à la sélection des risques en matière d'octroi de garantie ;
Sur la proposition de M. Jean-Paul AMOUDRY, commissaire, et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du gouvernement.
Formule les observations suivantes :
La société Européenne de cautionnement est une société financière spécialisée dans le cautionnement des contrats d'approvisionnement des commerces de proximité en particulier de la distribution de tabac. Elle a saisi la Commission nationale de l'informatique et des libertés d'une demande d'autorisation d'un traitement automatisé de données à caractère personnel dont la finalité est d'apporter une aide à la décision dans le cadre de l'examen des demandes de cautionnement de contrats de vente, comportant un différé de paiement ou une avance de trésorerie, conclus par des commerçants de proximité avec leurs fournisseurs pour leur approvisionnement en tabac, presse, jeux de grattage de la Française des jeux et en paris hippiques.
Sur la procédure suivie auprès de la Commission :
La Commission observe que ce traitement a pour finalité d'apporter une aide à la décision dans le cadre de l'examen des demandes de cautionnement de contrats de vente effectuées par des personnes physiques ou morales auprès de la société Européenne de cautionnement et visant à garantir le paiement des marchandises objet du contrat en cas de défaillance de l'acquéreur, commerçant de proximité.
Ce traitement a ainsi pour objet de qualifier les demandes qui correspondent à un niveau de risque de défaillance jugé satisfaisant. Il est, par voie de conséquence, susceptible de conduire à l'exclusion, au moins de façon temporaire, d'une personne du bénéfice d'une caution en dehors de toute disposition législative ou réglementaire le prévoyant.
A ce titre, la Commission considère qu'il y a lieu de faire application des dispositions du 4° du I de l'article 25 de la loi du 6 janvier 1978 modifiée qui prévoit que doivent être autorisés par la CNIL les traitements susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un contrat en l'absence de toute disposition législative ou réglementaire.
Le traitement ne rentre pas dans le champ de l'autorisation unique AU-005 modifiée par la délibération n°2008-198 du 9 juillet 2008 dès lors que le système projeté vise à apporter une aide à l'analyse des demandes de cautionnement, et non de crédit.
Sur les finalités du traitement :
Le traitement analyse les demandes de cautionnement saisies directement dans l'application par les gestionnaires de la société Européenne de cautionnement à l'occasion de l'instruction des demandes de cautionnement effectuées par des personnes physiques ou morales pour leurs besoins professionnels et permet d'évaluer le risque statistique de défaillance du demandeur.
Le traitement permet d'obtenir une réponse immédiate quant à l'octroi de l'accord de cautionnement.
Les réponses sont de deux ordres :- en cas de réponse favorable, l'accord de cautionnement est délivré ;- l'accord de cautionnement ne peut pas être délivré sur la base des seuls critères pris en compte dans le traitement de score. La demande nécessite une étude complémentaire sur la base d'un dossier préalablement enrichi et elle est alors transmise à cette fin au responsable de la cellule cautionnement qui peut, le cas échéant, recourir à l'arbitrage du responsable du Département Cautionnements-Contentieux et du Comité des engagements. L'accord de cautionnement est suspendu jusqu'à la prise de décision finale. - En cas de réponse défavorable, la décision de refus est motivée et portée à la connaissance du demandeur. Il est systématiquement informé de la faculté qui lui est reconnue de présenter des informations complémentaires sur sa situation, et qu'il peut en demander une nouvelle étude approfondie.
L'accord de cautionnement ne conditionne pas la conclusion de l'offre de contrat de vente par le fournisseur. Toutefois, en cas de refus de cautionnement, le commerçant ne pourra pas bénéficier d'un différé de paiement ou d'une avance de trésorerie de la part de son fournisseur.
La Commission constate que ce traitement a une finalité déterminée, explicite et légitime.
La Commission prend acte que conformément à l'article 10 de la loi du 6 janvier 1978 modifiée, le résultat de ce traitement n'a qu'un caractère indicatif, et qu'il est toujours possible d'y déroger au moyen d'une procédure d'analyse non automatisée en cas de dossiers plus complexes ou plus risqués. Par ailleurs, il a simplement pour effet d'exclure temporairement les demandeurs du bénéfice d'un contrat de cautionnement, le fournisseur ayant toujours la possibilité de contracter avec le commerçant.
Sur les données collectées et la durée de conservation : La note de score prend en compte les variables suivantes : - En ce qui concerne la vie personnelle des demandeurs : l'existence d'un lien de parenté avec le précédent buraliste, l'existence d'un conjoint collaborateur ou non,- En ce qui concerne la situation professionnelle des demandeurs : l'expérience professionnelle (en tant que buraliste et antérieure), la zone géographique d'implantation du commerce, les stocks et leurs modalités de financement, l'environnement commercial, la trésorerie au moment de l'installation,- En ce qui concerne la situation économique et financière des demandeurs : le revenu (antérieur et projeté), l'épargne et le patrimoine (en particulier s'agissant du fonds de commerce et des murs commerciaux), l'ancienneté de la relation contractuelle entre la société Européenne de cautionnement et le buraliste, les éventuels incidents antérieurs c'est-à-dire les cas dans lesquels, au cours des cinq dernières années, la caution accordée par la société Européenne de cautionnement aurait déjà été actionnée, analyse des ratios et bilans financiers, le chiffre d'affaire, le résultat et le revenu prévisionnel,- En ce qui concerne le contrat de vente objet de la caution : le poids économique de cette activité sur le chiffre d'affaires total, la fréquence des livraisons, la valeur moyenne de marchandises livrées.
Ces variables peuvent faire l'objet de croisements.
Le traitement comporte également des données d'identification du demandeur de caution (nom, prénom, date et lieu de naissance) et son adresse. La Commission prend acte que ces données ne sont pas prises en compte dans le calcul de la note de score.
Les données collectées sont adéquates, pertinentes et non excessives par rapport à la finalité du traitement.
Elles sont conservées pendant toute la durée du contrat, en cas d'acceptation de la demande de caution.
En cas de rejet de la demande de cautionnement, les informations collectées pour l'instruction de la demande sont conservées pendant une durée de six mois à compter du dépôt de la demande. Elles ne peuvent être utilisées qu'aux fins de l'instruction de nouvelles demandes de garanties. La Commission observe que ces dispositions sont conformes à l'autorisation unique AU-005.
Sur les destinataires du traitement Seuls sont autorisés à avoir communication des données précitées :- les gestionnaires habilités,- le responsable de la cellule cautionnement,- le responsable du Département Cautionnements-Contentieux,- le Comité des engagements,- la Direction générale, - la Direction financière,- la Direction des risques et conformité et - la Direction commerciale.
Ces destinataires n'appellent pas d'observations de la part de la Commission.
Les actions effectuées par ces personnes sont tracées afin de permettre de détecter et d'analyser tous accès, modifications et suppressions de données non autorisés.
Sur les modalités d'information et d'exercice des droits des personnes Dans la mesure où les demandes de cautions sont réalisées par l'intermédiaire des établissements prêteurs partenaires, les conventions cadre de caution solidaire relatives aux marchés des particuliers prévoient l'obligation pour les établissements prêteurs d'introduire une clause spécifique au sein des contrats de prêts informant les personnes de leurs droits conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée.
L'information porte, en tant que de besoin, sur :• l'identité du responsable du traitement, • les finalités du traitement des données,• le caractère obligatoire ou facultatif des informations demandées, • leurs destinataires, notamment les conseillers financiers pour le seul résultat du score des dossiers dont ils assurent l'instruction, • les modalités d'exercice des droits d'accès et de rectification. Ils sont également informés que des données les concernant sont transmises à la Compagnie européenne de garanties et cautions aux fins d'évaluation du risque statistique de défaillance. 
Conformément aux dispositions de l'article 39 de la loi du 6 janvier 1978 modifiée, le droit d'accès s'exerce auprès de la société Européenne de cautionnement.
Ces modalités d'information et d'exercice des droits d'accès et de rectification apparaissent suffisantes.
Autorise, dans les conditions prévues par le dossier du demandeur et la présente délibération, la société Européenne de cautionnement à mettre en œuvre un traitement automatisé d'aide à la décision en matière d'octroi de garanties de contrat de vente de marchandises et de paris hippiques.
La Présidente
 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par la société CHABAS FLEURS SA d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le recouvrement des contraventions routières et la réalisation de statistiques ; 
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de procédure pénale ;
Vu le code de la route ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée, relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-3° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la délibération n° 2006-188 du 6 juillet 2006 portant autorisation unique de mise en œuvre de traitements automatisés de données à caractère personnel relatifs à la gestion du contentieux lié au recouvrement des contraventions au code de la route et à l'identification des conducteurs dans le cadre du système de contrôle automatisé des infractions au code de la route (AU-010) ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-François CARREZ, Commissaire et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
La société CHABAS FLEURS SA
Sur les finalités
Le traitement a pour objet :
•-          la transmission des procès-verbaux aux employés, conducteurs responsables d'infractions routières commises avec un véhicule mis à disposition par la société CHABAS FLEURS SA ;
•-          et la réalisation de statistiques (analyses statistiques des types d'infractions routières et des sinistres) afin d'adapter les formations de prévention routière. 
Dès lors, le traitement présenté s'inscrit dans le cadre des dispositions de l'article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sureté. 
La Commission considère que la finalité poursuivie est déterminée, explicite et légitime.
Sur les caractéristiques particulières du traitement
Au-delà du recouvrement des contraventions routières, la société CHABAS FLEURS SA souhaite réaliser des statistiques pour délivrer des formations adaptées de prévention routière, or cette finalité n'est pas prévue par l'autorisation unique n° 10 du 6 juillet 2006.
Sur les catégorie de données traitées
Les catégories de données traitées sont :
•-          les données d'identification de l'employé conducteur ;
•-          les données relatives à sa vie professionnelle ;
•-          les données relatives aux infractions.
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente au sens du 3° de l'article 6 de la loi du 6 janvier 1978 modifiée. 
Sur les destinataires
Sont destinataires des données : 
•-          les personnes habilitées du service qualité/sécurité ;
•-          les personnes habilitées de la Direction.
La Commission estime que ces destinataires n'appellent pas d'observation particulière. 
Sur l'information et droit d'accès 
Les personnes sont informées, conformément à l'article 32 de la loi du 6 janvier 1978 modifiée en août 2004, par affichage.
Les droits d'accès et de rectification s'exerceront auprès de la société CHABAS FLEURS SA - Service Qualité/sécurité - 32 rue des entrepreneurs parc d'activité raphele - 83520 ROQUEBRUNE SUR ARGENS.
Sur les mesures de sécurité
Au titre des mesures de sécurité, est notamment mise en place une traçabilité des accès.
La Commission estime que les mesures de sécurité n'appellent pas d'observation particulière.
Autorise, conformément à la présente délibération, la société CHABAS FLEURS SA à mettre en œuvre le traitement susmentionné.
La Présidente
                                                                                 Isabelle FALQUE-PIERROTIN