AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, notamment ses articles 6 et 25-I-4° et 5° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié le 25 mars 2007 ;
Vu la demande d'autorisation présentée par Filia-Mutuelle Assurance des Instituteurs de France d'un traitement de données à caractère personnel ayant pour finalité la détection de la fraude interne et externe ;
Sur le rapport de M. Eric PERES, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes :
La Commission nationale de l'informatique et des libertés a été saisie par la société Filia-Mutuelle Assurance des Instituteurs de France (MAIF), filiale du groupe MAIF, d'une demande d'autorisation relative à la mise en œuvre d'un traitement automatisé de données à caractère personnel ayant pour finalité la détection de la fraude interne et externe.
La société Filia-MAIF, spécialisée dans la commercialisation de produits d'assurance, souhaite mettre en place un traitement visant à détecter des incohérences susceptibles de révéler de simples erreurs de gestion, de fausses déclarations de sinistres réalisées par un assuré ou des détournements de fonds à l'initiative de salariés. Ce traitement peut conduire la société Filia-MAIF, le cas échéant, à refuser d'indemniser un sinistre et/ou à rompre un contrat d'assurance et/ou à mettre fin à un contrat de travail. Il peut donc conduire à l'exclusion de personnes du bénéfice d'un droit ou d'un contrat, nonobstant l'absence de toute disposition légale le prévoyant.
Afin de détecter les actes frauduleux émanant de ses salariés, la société Filia-MAIF souhaite, en outre, utiliser des données collectées pour la gestion de la paie, en l'occurrence les références des relevés d'identité bancaire. Celles-ci seront extraites du fichier de gestion des ressources humaines, géré par la société MAIF. Ce fichier sera interconnecté avec le fichier de gestion des contrats et des sinistres de la société Filia-MAIF afin de détecter les versements effectués à destination des comptes bancaires des salariés.
La Commission considère, dès lors, qu'il y a lieu de faire application des dispositions de l'article 25-I-4° et 5° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire et les traitements ayant pour objet l'interconnexion de fichiers dont les finalités principales sont différentes.
Le traitement que la société Filia-MAIF souhaite mettre en œuvre a notamment pour finalité de détecter les actes frauduleux émanant de ses salariés. La société Filia-MAIF prévoit de mettre en place un dispositif d'alerte permettant de détecter automatiquement de manière mensuelle les comptes bancaires des salariés affectés de plus de deux remboursements de sinistres sur une période de trois mois. La société Filia-MAIF considère que le versement de deux indemnités sinistres au moins, sur une période de trois mois, constitue une fréquence pouvant être qualifiée d'élevée. 
Pour ce faire, la société Filia-MAIF prévoit d'interconnecter le traitement de gestion de la paie, géré par la société MAIF, avec le traitement de gestion des sinistres. Le traitement de gestion de la paie sera expurgé de certaines données confidentielles avant exploitation, seules les références du relevé d'identité bancaire seront utilisées. 
La Commission rappelle que l'article 6-3° de la loi du 6 janvier 1978 modifiée prévoit que les données traitées doivent être  adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs .
La Commission relève que les coordonnées bancaires d'un salarié sont collectées au moment de la conclusion du contrat de travail afin de permettre à l'employeur de lui verser une rémunération et, le cas échéant, de lui rembourser des frais professionnels.
La Commission constate que les salariés de la société Filia-MAIF peuvent avoir la qualité d'assurés et donc légitimement recevoir des versements sur leur compte bancaire. 
En outre, la Commission souligne que le traitement projeté ne permet pas de détecter les versements effectués vers des comptes bancaires dont l'existence est inconnue de l'employeur. 
Dès lors, la Commission estime que l'utilisation du relevé d'identité bancaire par la société Filia-MAIF ne lui permet pas d'atteindre la finalité poursuivie.
La Commission relève, en outre, que cet objectif pourrait être atteint par d'autres moyens, par exemple, via la mise en place d'un dispositif reposant sur la collecte des références de comptes bancaires vers lesquels des virements au titre du remboursement de prestations peuvent être effectués. Ce dispositif permettrait de détecter toutes transactions réalisées vers des comptes bancaires ne figurant pas sur cette liste et, à ce titre, devant donner lieu à des investigations complémentaires. 
En conséquence, la Commission considère que l'utilisation du relevé d'identité bancaire n'est ni pertinente ni proportionnée à la finalité de détection de la fraude interne. 
Dans ces conditions, la Commission n'autorise pas, en l'état, la société Filia-Mutuelle Assurance des Instituteurs de France, sise 200 avenue Salvador Allende - 79038 Niort Cedex 9, à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la détection de la fraude interne et externe.
Le Président
 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie par le ministère du budget, des comptes publics et de la réforme de l'Etat d'une demande d'avis concernant un projet d'arrêté relatif à la mise en service à la direction générale des finances publiques et à la Caisse autonome de retraite des médecins de France d'une procédure automatisée de transfert de données fiscales,Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu le livre des procédures fiscales, notamment ses articles L. 152 et L. 288 ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-II (2°) ;Vu le décret n° 99-1047 du 14 décembre 1999 pris pour l'application de l'article 107 de la loi de finances pour 1999 relatif à l'utilisation du numéro d'inscription au répertoire national d'identification des personnes physiques par la direction générale des impôts, la direction générale de la comptabilité publique et la direction générale des douanes et droits indirects ;Vu le décret n° 2000-8 du 4 janvier 2000 pris pour l'application de l'article L. 288 du livre des procédures fiscales ;Vu le décret n° 2002-771
du 3 mai 2002 portant création d'une procédure de transfert des données fiscales et les deux arrêtés d'application du 3 mai 2002 ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;Après avoir entendu M. Philippe Gosselin, commissaire, en son rapport et Mme Elisabeth Rolin, commmissaire du Gouvernement, en ses observations,
Emet l'avis suivant :La commission a été saisie par le ministère du budget, des comptes publics et de la réforme de l'Etat d'une demande d'avis concernant un projet d'arrêté relatif à la mise en service à la direction générale des finances publiques (DGFIP) et à la Caisse autonome de retraite des médecins de France (CARMF) d'une procédure automatisée de transfert de données fiscales.
Sur les finalités du traitement :La procédure automatisée de transfert de données fiscales (TDF) a été créée par le décret n° 2002-771 du 3 mai 2002 susvisé, pris après avis de la CNIL, afin de permettre aux agents des administrations fiscales de communiquer aux organismes et services chargés de la gestion d'un régime obligatoire de sécurité sociale ou d'un régime de retraite complémentaire obligatoire, sur support informatique, les informations fiscales nécessaires à l'exécution des finalités décrites à l'articles L. 152 du livre des procédures fiscales. Il s'agit de l'appréciation des conditions d'ouverture et de maintien des droits aux prestations, du calcul des prestations, de l'appréciation des conditions d'assujetissement aux cotisations et contributions, de la détermination de l'assiette et du montant des cotisations et contributions ainsi que de leur recouvrement et du recouvrement des prestations indûment versées.La CARMF assure la gestion des assurances vieillesse et invalidité-décès des médecins et de leurs conjoints. La procédure TDF projetée en l'espèce vise dès lors à communiquer les informations fiscales nécessaires à la CARMF afin de calculer le montant des contributions dues au titre du paiement des allocations d'assurance vieillesse de base et complémentaires et des prestations d'assurance invalidité-décès que cette caisse verse aux personnes relevant de ces régimes. Les informations transmises à la CARMF doivent également lui permettre d'apprécier le
maintien des droits des conjoints de médecins titulaires de rente ou de pension ainsi que ceux des médecins qui bénéficient de la majoration pour conjoint à charge.La commission prend acte des finalités de ces transmissions d'informations, mentionnées à l'article 2 du projet d'arrêté et conformes aux dispositions législatives et réglementaires précitées. Elle prend également acte que le traitement projeté n'a pas pour objet de permettre l'échange, entre la CARMF et la DGFIP, de données dénonçant des faits susceptibles de constituer des infractions aux lois et règlements relatifs aux cotisations et contributions sociales.A titre général, la commission relève que le dispositif projeté est identique aux processus d'échanges déjà mis en œuvre entre la DGFIP et les nombreux organismes adhérents à la procédure TDF, qui s'appuient en particulier sur le serveur unique dénommé Centre national de transfert de données fiscales (CNTDF), hébergé par la direction générale des impôts.
Sur les données échangées :L'article 3 du projet d'arrêté prévoit que la CARMF adresse au CNDTF un fichier d'appels relatif aux assurés sociaux dont elle souhaite obtenir les données fiscales. Ce fichier comprendra les éléments d'identification des personnes concernées (noms, prénoms, date et lieu de naissance, adresse), leur numéro d'inscription au répertoire national d'identification des personnes physiques (NIR), le numéro SIRET de l'organisme demandeur ainsi qu'un numéro de liaison indépendant du NIR.A cet égard, la commission rappelle que l'utilisation du NIR est expressément autorisée par l'article L. 152 du livre des procédures fiscales pour les demandes, échanges et traitements nécessaires à la communication des informations fiscales. Elle rappelle en outre que les NIR transmis par la CARMF seront exclusivement conservés au CNTDF dans des fichiers informatisés dédiés permettant d'établir un lien entre les éléments d'identification des personnes physiques concernées et les identifiants dans les systèmes d'information de la DGFIP et des administrations fiscales. Ces fichiers seront enregistrés sur des supports informatiques spécifiques et feront l'objet de mesures de sécurité renforcées.Pour chaque fichier d'appels reçu, plusieurs fichiers de restitutions produits au CNTDF seront successivement adressés à la CARMF, se rapportant soit aux situations fiscales initialement déclarées, soit aux premières situations fiscales correctives.Les informations restituées à la CARMF
par le traitement TDF sont identiques à celles transmises aux organismes déjà adhérents à la procédure. Il s'agit des informations suivantes :- un code  imposé  ou  affranchi  au regard des articles 1417-I et III du code général des impôts (seuils d'allégement de la taxe d'habitation) ;- un code  exonéré  ou  recouvré  au regard du montant visé à l'article 1657-1 bis du code général des impôts (seuil de mise en recouvrement de l'impôt sur le revenu) ;- les rectifications apportées, par le contribuable ou les services fiscaux, aux mêmes rubriques, en cas d'émission de rôles supplémentaires et de dégrèvements ;- les éléments descriptifs de la restitution ;- le numéro d'ordre du traitement de l'imposition ;- le numéro du rôle d'émission ;- le numéro de liaison ;- le numéro SIRET de l'organisme demandeur.En outre, les fichiers de restitution comprendront la situation de famille des personnes concernées ainsi que les changements intervenus en cours d'année. Ces informations supplémentaires sont en effet nécessaires aux finalités assignées au traitement d'appréciation du maintien des droits des conjoints de médecins titulaires de rente ou de pension ainsi que ceux des médecins qui bénéficient de la majoration pour conjoint à charge. Elles n'appellent dont pas d'observation particulière de la part de la commission.
Sur la durée de conservation des données et les destinataires du traitement :En ce qui concerne la durée de conservation des informations échangées dans le cadre de la procédure TDF, la commission relève que les données contenues dans les fichiers d'appels et de restitution sont conservées au CNDTF pour la seule durée nécessaire aux opérations, comme le prévoit l'article 3 du projet d'arrêté. Les informations restituées à la CARMF sont conservées le temps nécessaire à la mise à jour des données gérées dans son système de gestion des pensions. Seuls les agents habilités du service gestionnaire des pensions de la CARMF peuvent avoir accès à ces informations.
Sur les droits des personnes concernées :Les droits d'accès et de rectification des personnes aux données qui les concernent s'exerceront directement auprès du centre des impôts du domicile fiscal du requérant pour les informations détenues par la DGFIP, et auprès de la CARMF pour les informations qui lui sont transmises, conformément aux dispositions des articles 39 et 49 de la loi du 6 janvier 1978 modifiée.La commission prend acte que le droit d'opposition des personnes au traitement de leurs données, prévu par l'article 38 de la loi du 6 janvier 1978 modifiée, ne s'applique pas à cette procédure, dans la mesure où ces informations sont indispensables à la détermination du montant des droits et des cotisations dues.
Sur les sécurités du traitement :Enfin, elle prend acte des mesures de sécurité prévues pour garantir la confidentialité des échanges d'informations, identiques à celles mises en œuvre dans le cadre des échanges avec les organismes déjà adhérents à la procédure TDF. La commission relève en particulier que les fichiers d'appels et de restitutions seront chiffrés, que des profils d'habilitation définiront pour chaque utilisateur les fonctions autorisées ainsi que les catégories d'informations accessibles et que les accès à l'application feront l'objet d'une journalisation des données de connexion.
Pour le président :
Le vice-président délégué,
E. de Givry
La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-II-1°, 9-1°, 25-I-3° et 25-I-7° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu, M. Philippe Gosselin, commissaire en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
Autorise, dans les conditions définies dans le dossier et ses compléments, l'association PARCOURS DE FEMMES à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la mise en œuvre d'actions d'accompagnement et d'aide à la réinsertion des femmes incarcérées, sortant de prison ou placées sous main de justice.
Responsable du   traitement
PARCOURS DE FEMMES est   une association à but non lucratif régie par la loi du 1 er   juillet 1901.
- Intérêt général   de l'activité de l'organisme : l'association a pour objet :
d'aider les        femmes incarcérées à préparer leur sortie ;
d'accompagner ces        femmes dans leur retour à la liberté et leur recherche d'autonomie ;
d'agir pour        éviter les risques de récidive ;
de faire entendre        la voix des femmes incarcérées ; 
de sensibiliser        les institutions et le grand public à la question carcérale.
- Conditions   de création, d'organisation ou de fonctionnement de l'organisme :   l'association est substantiellement financée par des subventions publiques   (notamment du Ministère de la justice, de la ville de Lille, de la préfecture   de Lille, du Conseil Général du Nord, du Conseil Régional du Nord /   Pas-de-Calais, de la CAF de Roubaix).
- Obligations   imposées à l'organisme : l'association a signé une convention   pluriannuelle d'objectifs avec le Conseil Régional Nord / Pas-de-Calais pour   les années 2011 à 2014. Cette convention définit :
les objectifs        stratégiques et opérationnels de l'association, les indicateurs de        suivi, le programme pluriannuel d'action de l'association ;
les modalités de        suivi et de contrôle de l'activité (rapport qualitatif et quantitatif        annuel portant sur les objectifs poursuivis et le programme prévisionnel        / compte-rendu financier / contrôle sur pièce ou sur place). 
- Mesures   prises pour vérifier que les objectifs assignés à l'organisme sont atteints   : l'association adresse tous les ans un rapport d'activité à l'ensemble de   ses financeurs.
Au regard de ce qui précède, la Commission considère que PARCOURS DE FEMMES   gère un service public au sens de l'article 9-1° de la loi du 6 janvier 1978   modifiée.
Finalités
Les actions   d'accompagnement et d'aide à la réinsertion mises en -uvre par l'association   nécessitent le traitement des données personnelles des femmes incarcérées,   sortant de prison ou placées sous main de justice.
Données traitées 
Les catégories de   données collectées sont relatives : 
- à   l'identification ;
- à la vie   personnelle ;
- à la vie   professionnelle ;
- aux informations   d'ordre économique et financier ;
- aux   infractions, condamnations et mesures de sûreté (situation pénitentiaire,   dates d'incarcération, de jugement et de sortie définitive, motifs   d'incarcération, peine prononcée, sursis, mise à l'épreuve, peine de sûreté,   transfert, conditionnelle/permissionable, expertise) ;
- à   l'appréciation des difficultés sociales des personnes (revenus, bénéficiaires   d'aides sociales, dettes, logement, situation sociale avant, pendant et après   l'incarcération) ;
- aux données de   santé (dépendances et traitements de substitution ; moyen de contraception,   dans le cadre d'une démarche de prévention).
Ces données sont   collectées par les personnes chargées de l'accompagnement des personnes   concernées au fur et à mesure des rencontres avec ces dernières, en détention   ou à leur sortie de prison. 
Destinataires
Les destinataires des   données sont les seuls personnels habilités de l'association. 
Durée de conservation 
Les données sont   conservées tout le temps du suivi de la personne concernée, puis sont   archivées sur un disque dur externe deux ans après le dernier contact.
Information et droit   d'accès
Les personnes   concernées sont informées, conformément à l'article 32 de la loi du 6 janvier   1978 modifiée, par une note d'information remise à toutes les personnes qui   rentrent en contact avec l'association. 
Par ailleurs, les   personnes concernées consentent expressément à la collecte et au traitement   de leurs données (notamment relatives à leur santé) via une case à cocher   présente sur cette note d'information.
Les droits d'accès et   de rectification s'exercent par voie postale auprès des salariés de   l'association PARCOURS DE FEMMES, 70, rue d'Arcole, résidence Charles Six, BP   211, 59018 LILLE Cedex. 
Sécurités
La connexion Wifi de l'association   PARCOURS DE FEMMES est sécurisée en WPA et la traçabilité est assurée par la   mise en place d'un dispositif de journalisation.
  
 
La Présidente
                                                  Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ; 
Vu la loi n°2010-476 du 12 mai 2010 relative à l'ouverture à la concurrence et à la régulation du secteur des jeux d'argent et de hasard en ligne, notamment ses articles 17, 18 et 22 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n°2010-509 du 18 mai 2010 relatif aux obligations imposées aux opérateurs agréés de jeux ou de paris en ligne en vue du contrôle des données de jeux par l'ARJEL ;
Vu le décret n°2010-518 du 19 mai 2010 relatif à la mise à disposition de l'offre de jeux et de paris par les opérateurs agréés de jeux ou de paris en ligne ;
Sur le rapport de M. Dominique RICHARD, commissaire, et les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
La Commission nationale de l'informatique et des libertés a été saisie par le GIE PARI MUTUEL URBAIN d'une demande d'autorisation relative à la mise en œuvre d'un traitement automatisé des données à caractère personnel visant à lutter contre la fraude, le blanchiment de capitaux et le financement du terrorisme.
Le GIE PARI MUTUEL URBAIN a été agréé par l'Autorité de régulation des jeux en ligne (ARJEL) pour exploiter les sites www.pmu.fr, www.poker.pmu.fr et www.paris-sportifs.pmu.fr, dédiés aux jeux de cercles, paris sportifs et paris hippiques en ligne. La loi n°2010-476 du 12 mai 2010 relative à l'ouverture à la concurrence et à la régulation du secteur des jeux d'argent et de hasard en ligne impose aux opérateurs de jeux en ligne, agréés par l'ARJEL, de mettre en place des mesures visant à lutter contre la fraude, le blanchiment de capitaux et le financement du terrorisme. Elle les assujetti aux obligations prévues par les dispositions des sections 2 à 7 du chapitre 1er du titre VI du livre V du Code monétaire et financier (CMF).
Les traitements ainsi mis en œuvre par les opérateurs de jeux en ligne agréés peuvent conduire ces derniers à souhaiter rompre toute relation contractuelle avec certains joueurs et donc à l'exclusion de personnes du bénéfice d'un droit ou d'un contrat, nonobstant l'absence de toute disposition légale le prévoyant.