AgentPublic/cnil huggingface dataset:
La Commission rappelle, en outre, qu'en application du 2° de l'article 6 de la loi n° 78-17 du 6 janvier 1978 modifiée, "les données à caractère personnel sont collectées pour des finalités déterminées, explicites et légitimes et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités". 
Le rapporteur a constaté qu'une liste des personnes ayant résilié leur autorisation de prélèvement automatique, dénommée clients en résiliation définitive PA , contenant les données des clients ayant résilié ce mode de paiement, était créée à partir du traitement GFC. 
La société n'a répondu à ce sujet, ni dans son courrier du 15 janvier 2009, ni lors de la séance de la formation restreinte du 20 janvier suivant. Elle n'a, dès lors, pas établi que cette liste répondrait à une finalité déterminée, explicite et légitime au sens du 2° de l'article 6 précité.
C/ Sur le manquement à l'obligation de définir une durée de conservation des données
La Commission rappelle, ensuite, qu'en application du 5° de l'article 6 de la loi n° 78-17 du 6 janvier 1978, "les données à caractère personnel doivent être conservées sous une forme permettant l'identification des personnes concernées pendant une durée qui n'excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées".
L'article 4 de l'autorisation unique n° 15 dispose que "l'ensemble des données clients est conservé pendant la durée de la relation contractuelle, et à l'issue de celle-ci pendant deux ans à des fins commerciales et statistiques pour les clients et prospects". 
Dans le cadre des traitements mis en œuvre, les données de validation font l'objet d'une anonymisation à bref délai (...). 
Toutefois, les données de validation contenant des informations relatives aux déplacements des personnes, associées au numéro de carte ou de l'abonné, élément renvoyant indirectement à l'identité d'un usager, pourront être conservées pendant 48h au maximum et aux seules fins de lutter contre la fraude technologique.
Les informations relatives à la gestion des impayés sont immédiatement retirées de la liste d'opposition dès régularisation des sommes dues ; à défaut de régularisation, elles seront conservées pendant au maximum deux ans à compter de l'inscription. 
Le rapporteur a constaté que toutes les données figurant dans la base Gestion des fiches clients étaient conservées sans limitation de durée (dont notamment les coordonnées bancaires, en cas de résiliation du prélèvement automatique et la mention impayé , en cas d'incident de paiement non régularisé). Les données de validation non anonymisées figurant dans le serveur S3 sont, également, conservées pour une durée indéterminée.
La société a, dans son courrier de réponse, indiqué à la Commission qu'une purge manuelle des clients inactifs de plus de 25 mois avait été effectuée en janvier 2009 et qu'une purge de la mention impayé était programmée pour la fin de ce même mois. Concernant les données de validation non anonymisées, la société a indiqué avoir rencontré des problèmes techniques empêchant cette anonymisation, mais que cette situation était en voie de régularisation. La société a précisé, lors de la séance du 20 janvier 2009, que ce processus serait achevé dans un délai de 75 à 100 jours. 
La Commission relève que les purges manuelles réalisées sont ponctuelles puisqu'elles visent à apurer les bases des clients inactifs et des mentions impayé . Or, aucune véritable politique de purge n'a été mise en œuvre par la société afin de veiller au respect des délais de conservation indiqués à l'article 4 de l'autorisation unique n° 15. En outre, la société n'a rien répondu quant à la conservation, dans une liste spécifiquement créée, des données bancaires des personnes ayant résilié leur prélèvement automatique. 
Il résulte de ce qui précède que les faits précités constituent un manquement aux dispositions précitées.
D/ Sur le manquement à l'obligation d'information des personnes
- En premier lieu, la Commission rappelle que le I de l'article 32 de la loi n° 78-17 du 6 janvier 1978 dispose que "le responsable du traitement doit informer la personne auprès de laquelle sont recueillies des données à caractère personnel la concernant des informations sur l'identité du responsable du traitement, la finalité de ce traitement, le caractère obligatoire ou facultatif des réponses, les destinataires, leurs droit d'accès, de rectification et, le cas échéant, d'opposition aux données les concernant ainsi que des transferts de données envisagés à destination d'un Etat non-membre de la Communauté européenne".
En outre, l'article 6 de l'autorisation unique n° 15 impose une double information du client susceptible d'être inscrit dans le traitement de gestion des impayés : lors de la conclusion du contrat d'abonnement, puis préalablement à l'inscription dans le fichier des impayés et de la mise en opposition du titre de transport. 
La rapporteur a constaté que les clients de la société ne sont pas informés de l'existence de la fonctionnalité gestion des impayés de la base gestion des fiches clients. 
La société a, dans son courrier du 15 janvier 2009, informé la CNIL de l'insertion sur le formulaire d'adhésion de la mention suivante : en cas de litige de paiement, si malgré des relances, le règlement n'est pas effectué, Y se réserve le droit de bloquer la carte [...].
Or, quand bien même l'insertion d'une telle mention serait satisfaisante, la double information exigée par l'autorisation unique n° 15 fait défaut.
- En second lieu, la Commission rappelle que l'article 6 alinéa 2 de l'autorisation unique n° 15 dispose que: la possibilité d'utiliser des titres de transports anonymes doit être portée à la connaissance des intéressés selon les mêmes modalités que celles prévues pour les titres de transports nominatifs.
Le rapporteur a constaté qu'aucune information n'était diffusée sur l'existence d'un passe anonyme sur le site internet [...] et sur les supports papiers présentant les différents types d'abonnement. Une telle information n'est pas non plus accessible aux guichets des agences commerciales.
La société a, dans son courrier du 15 janvier 2009, informé la CNIL d'une part, qu'elle diffusait désormais à chaque guichet de l'agence commerciale, des supports d'information et une grille tarifaire mentionnant le passe anonyme ; d'autre part, que le site internet [...] avait été actualisé pour intégrer des informations sur ce passe.
Si l'information diffusée sur la grille tarifaire est assez claire, en revanche, le site internet ne mentionne aucune information sur le passe anonyme dans la rubrique "Titre, tarifs et points de vente", qui présente tous les autres titres existants. Il est nécessaire de se rendre sur la page dédiée à [...], afin de trouver en fin de document une mention courte, peu lisible et incomplète sur le passe anonyme. Ainsi, les supports d'information ne procèdent pas à une promotion égale des deux passes. 
Il résulte de ce qui précède que les pratiques commerciales de la société, qui consistent à favoriser l'information portant sur le passe nominatif et à ne pas présenter le passe anonyme selon les mêmes modalités, ne sont pas conformes aux dispositions précitées.
E/ Sur le manquement à l'obligation de sécurité et de confidentialité des données
La Commission rappelle enfin que l'article 34 de la loi n° 78-17 du 6 janvier 1978 dispose que "Le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès".
Le rapporteur a constaté que les postes de travail n'étaient pas suffisamment protégés et que les utilisateurs n'étaient pas sensibilisés aux règles de sécurité : mots de passe trop courts non conformes aux recommandations de la Commission, qui préconise d'adopter des identifiants composés de huit caractères alphanumériques, non triviaux et renouvelés régulièrement ; mots de passe écrits sur des papiers collés sur les écrans informatiques et absence de formalisation par écrit des règles de sécurité du système (défaut de politique de sécurité, de procédures pratiques ou de charte utilisateur). Il a, également, été constaté que les réponses aux réquisitions judiciaires étaient envoyées par courriels sans authentification des auteurs de ces courriels et que les données de validation transmises n'étaient pas cryptées.
La société, dans sa réponse du 15 janvier 2009, a indiqué à la CNIL avoir mis en place un accès sécurisé, par identifiant et mot de passe individuels, à la base Gestion des fiches clients ainsi qu'à la base WEBI relative à la gestion des statistiques. Deux notes ont été adressées aux utilisateurs des bases pour les sensibiliser sur l'utilisation des mots de passe. La société souhaite, également, instaurer une procédure interne des réquisitions judiciaires, dont le projet devra être validé par les officiers de police judiciaire, et mettre en place des certificats numériques pour garantir l'identité de l'expéditeur et le cryptage du contenu du mail.
La Commission constate que la politique de gestion des mots de passe mise en place est satisfaisante ainsi que le projet de certificats numériques pour les réquisitions judiciaires.
Elle relève cependant que les règles de sécurité du système d'information n'ont pas été formalisées par écrit au moyen d'une politique de sécurité, de procédures pratiques ou de charte utilisateur. Les deux notes de liaison ne constituent pas une sensibilisation des utilisateurs suffisante. 
Ainsi, les garanties apportées par la société en terme de sécurité des données sont insuffisantes au regard de l'article 34 précité.
Sur les manquements constatés
Il résulte de ce qui précède, eu égard aux manquements constatés relatifs au respect de la vie privée et à la liberté d'aller et venir, à la finalité du traitement, à la durée de conservation des données, à l'information des personnes et à la sécurité et la confidentialité des données, que la société X verra prononcer à son encontre un avertissement.
Sur la publicité de la délibération
Eu égard à la nature et à la gravité des manquements commis ainsi qu'à la nécessité, d'une part, pour les personnes physiques de connaître les règles relatives à la protection de leurs données à caractère personnel et, d'autre part, pour les responsables de traitement de mieux appréhender les règles qui s'imposent à eux, la délibération de la Commission sera rendue publique sur le site internet de la CNIL et sur le site internet Légifrance.
PAR CES MOTIFS
Conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée, la formation restreinte de la CNIL, après en avoir délibéré, décide de :
- prononcer un avertissement à l'encontre de la société X ;
- publier la présente décision sur le site internet de la CNIL et sur le site Légifrance. 
 
 
Le président,
 
Alex TÜRK.
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Jean MASSOT, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la Clinique d’Amade d’un traitement de données à caractère personnel reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle de l’accès aux salles de garde.
Formule les observations suivantes :
La Clinique d’Amade souhaite utiliser un dispositif reposant sur la reconnaissance du réseau veineux des doigts de la main afin de sécuriser l’accès aux salles de garde.
Le dispositif reposera sur deux boîtiers (terminal de lecture-comparaison) situés à l’entrée la clinique et de la pharmacie. Il s’agit de boîtiers autonomes, qui ne sera pas reliés à un réseau informatique. L’enrôlement des personnes s’effectuera à partir de ces boîtiers qui sont équipés d’un lecteur qui permet également l’enregistrement des gabarits. Outre les données biométriques, les éléments d’identification des personnes concernées (nom, prénom, fonction) seront également traitées.
La vérification s’effectuera entre le doigt apposé sur le lecteur et le gabarit du réseau veineux des personnes qui sera stocké dans le lecteur. Le gabarit biométrique et les éléments d’identification des utilisateurs seront effacés lors du départ du salarié de la maison de retraite. Un historique des passages sera conservé pendant trois mois.
La Commission considère que le réseau veineux des doigts de la main, en l’état actuel de la technique, est une biométrie sans trace dont l’enregistrement sur un terminal de lecture-comparaison aux fins de contrôler les accès aux locaux ne comporte pas de risques particuliers pour les libertés et les droits fondamentaux des personnes. A cet égard, en l’état actuel des techniques, la biométrie par reconnaissance du réseau veineux n’est pas susceptible d’être capturée à l’insu des personnes. Dès lors, la Commission considère que le traitement pris dans son ensemble apparaît adapté et proportionné du point de vue de la protection des données personnelles.
Les droits d’accès et de rectification s’exerceront auprès de la Direction de la Clinique d’Amade, 14, chemin d’Amade, 64115 Bayonne Cedex.
Les catégories de données à caractère personnel enregistrées seront :
l’identité de la personne (nom, prénom,) ;
la fonction ;
le gabarit du réseau veineux de deux doigts de la main ;
l’historique des passages.
Le destinataire des informations sera, dans la limite de ses attributions et pour la poursuite de la finalité précitée, la directrice de l’établissement.
Dans ces conditions, la Commission autorise la Clinique d’Amade à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Jean MASSOT, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par l’établissement d’hébergement pour personnes âgées dépendantes (EHPAD) Marie Caudron-Fourcade d’un traitement de données à caractère personnel reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle de l’accès à l’infirmerie.
Formule les observations suivantes :
L’EHPAD Marie Caudron-Fourcade souhaite utiliser un dispositif reposant sur la reconnaissance du réseau veineux des doigts de la main afin de sécuriser l’accès à l’infirmerie où sont déposés des produits potentiellement dangereux pour les patients.
Le dispositif reposera sur un boîtier (terminal de lecture-comparaison) situé à l’entrée de l’infirmerie. Il s’agit d’un boîtier autonome, qui ne sera pas relié à un réseau informatique. L’enrôlement des personnes s’effectuera à partir de ce boîtier qui est équipé d’un lecteur qui permet également l’enregistrement des gabarits. Outre les données biométriques, les éléments d’identification des personnes concernées (nom, prénom, fonction) seront également traitées.
La vérification s’effectuera entre le doigt apposé sur le lecteur et le gabarit du réseau veineux des personnes qui sera stocké dans le lecteur. Le gabarit biométrique et les éléments d’identification des utilisateurs seront effacés lors du départ du salarié de la maison de retraite. Un historique des passages sera conservé pendant trois mois.
La Commission considère que le réseau veineux des doigts de la main, en l’état actuel de la technique, est une biométrie sans trace dont l’enregistrement sur un terminal de lecture-comparaison aux fins de contrôler les accès aux locaux ne comporte pas de risques particuliers pour les libertés et les droits fondamentaux des personnes. A cet égard, en l’état actuel des techniques, la biométrie par reconnaissance du réseau veineux n’est pas susceptible d’être capturée à l’insu des personnes. Dès lors, la Commission considère que le traitement pris dans son ensemble apparaît adapté et proportionné du point de vue de la protection des données personnelles.
Les droits d’accès et de rectification s’exerceront auprès de la Direction de l’EHPAD Marie Caudron Fourcade, 5, chemin de Caudron, 64100 Bayonne.
Les catégories de données à caractère personnel enregistrées seront :
l’identité de la personne (nom, prénom,) ;
la fonction ;
le gabarit du réseau veineux de deux doigts de la main ;
l’historique des passages.
Le destinataire des informations sera, dans la limite de ses attributions et pour la poursuite de la finalité précitée, la directrice de l’établissement.
Dans ces conditions, la Commission autorise l’EHPAD Marie Caudron-Fourcade à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Jean MASSOT, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la maison de retraite Les jardins de l’Ardoux d’un traitement de données à caractère personnel reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle de l’accès aux locaux.
Formule les observations suivantes :
La maison de retraite Les jardins de l’Ardoux souhaite utiliser un dispositif reposant sur la reconnaissance du réseau veineux des doigts de la main afin de sécuriser l’accès aux locaux.
Le dispositif reposera sur cinq boîtiers (terminal de lecture-comparaison) situés aux points d’accès du personnel. Il s’agit de boîtiers autonomes, qui ne seront pas reliés à un réseau informatique. L’enrôlement des personnes s’effectuera à partir de ces boîtiers qui sont équipés d’un lecteur qui permet également l’enregistrement des gabarits. Outre les données biométriques, les éléments d’identification des personnes concernées (nom, prénom, fonction) seront également traitées.
La vérification s’effectuera entre le doigt apposé sur le lecteur et le gabarit du réseau veineux des personnes qui sera stocké dans le lecteur. Le gabarit biométrique et les éléments d’identification des utilisateurs seront effacés lors du départ du salarié de la maison de retraite. Un historique des passages sera conservé pendant trois mois.
La Commission considère que le réseau veineux des doigts de la main, en l’état actuel de la technique, est une biométrie sans trace dont l’enregistrement sur un terminal de lecture-comparaison aux fins de contrôler les accès aux locaux ne comporte pas de risques particuliers pour les libertés et les droits fondamentaux des personnes. A cet égard, en l’état actuel des techniques, la biométrie par reconnaissance du réseau veineux n’est pas susceptible d’être capturée à l’insu des personnes. Dès lors, la Commission considère que le traitement pris dans son ensemble apparaît adapté et proportionné du point de vue de la protection des données personnelles.
Les droits d’accès et de rectification s’exerceront auprès de la Direction de la maison de retraite Les jardins de l’Ardoux, 39, rue des Ecoles 41220 Saint-Laurent-Nouan.
Les catégories de données à caractère personnel enregistrées seront :
l’identité de la personne (nom, prénom,) ;
la fonction ;
le gabarit du réseau veineux de deux doigts de la main ;
l’historique des passages.
Le destinataire des informations sera, dans la limite de ses attributions et pour la poursuite de la finalité précitée, le directeur de l’établissement.
Dans ces conditions, la Commission autorise la maison de retraite Les jardins de l’Ardoux à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Jean MASSOT, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par le Centre médico chirurgical de Tronquières d’un traitement de données à caractère personnel reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle de l’accès aux blocs opératoires.
Formule les observations suivantes :
Le Centre médico chirurgical de Tronquières souhaite utiliser un dispositif reposant sur la reconnaissance du réseau veineux des doigts de la main afin de sécuriser l’accès aux blocs opératoires.
Le dispositif reposera sur deux boîtiers (terminal de lecture-comparaison) situés aux points d’accès du personnel. Il s’agit de boîtiers autonomes, qui ne seront pas reliés à un réseau informatique. L’enrôlement des personnes s’effectuera à partir de ces boîtiers qui sont équipés d’un lecteur qui permet également l’enregistrement des gabarits. Outre les données biométriques, les éléments d’identification des personnes concernées (nom, prénom, fonction) seront également traitées.
La vérification s’effectuera entre le doigt apposé sur le lecteur et le gabarit du réseau veineux des personnes qui sera stocké dans le lecteur. Le gabarit biométrique et les éléments d’identification des utilisateurs seront effacés lors du départ du salarié du centre ou son changement d’affectation. Un historique des passages sera conservé pendant trois mois.