AgentPublic/cnil huggingface dataset:
Chaque enquêteur dispose d'un ordinateur portable numéroté dont le disque dur est chiffré à l'aide du logiciel TrueCrypt. Le mot de passe permettant d'accéder aux données chiffrées est communiqué aux enquêteurs de la main à la main par le coordinateur de l'étude sous la forme d'un document papier. Tous les mots de passe donnés aux enquêteurs sont sauvegardés sur un cahier archivé en deux exemplaires dans des coffres-forts. 
Les enquêteurs doivent transférer chaque semaine les données qu'ils ont recueillies. Pour cela, ils se connectent directement au réseau local de la Maison des Sciences de l'Homme et de la Société. Les données sont stockées et chiffrées avec le logiciel TrueCrypt. 
 
Les données seront ensuite mises à disposition des enseignants-chercheurs, qui  pourront y accéder par l'utilisation d'un identifiant et d'un mot de passe.
 
La politique de mot de passe est identique pour l'ensemble des utilisateurs. Le mot de passe doit être composé d'un minimum de dix caractères, et comporter a minima une lettre, un chiffre et un caractère spécial. Ces mots de passe sont modifiés régulièrement.
 
Les accès aux données sont tracés.
Les mesures de sécurité mises en place sont satisfaisantes au regard des exigences de l'article 34 de la loi n°78-17 du 6 janvier 1978 modifiée. 
Sur les autres caractéristiques du traitement
Les données d'identification sont conservées pendant la durée de passation des entretiens et seront détruites ensuite, à l'exception des données  des personnes souhaitant être invitées à la conférence de présentation des résultats. 
Les autres données de l'enquête seront conservées pendant dix ans. 
La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement. 
Autorise, conformément à la présente délibération, l'Université de Poitiers à mettre en œuvre le traitement susmentionné. 
La Présidente
 
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1459802v1)
La Commission nationale de l’informatique et des libertés, 
Saisie par la société SANEF d’une demande de modification de la délibération n° 2011-289 du 21 septembre 2011 autorisant la mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité la constatation et le suivi des infractions au péage,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de procédure pénale, notamment son article 529-6 ;
Vu le code de la route, notamment ses articles L. 330-2 et R. 421-9 ;
Vu le code de la sécurité intérieure, notamment son article L. 252-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2011-289 du 21 septembre 2011 autorisant la mise en œuvre par la société SANEF d’un traitement de données à caractère personnel ayant pour finalité la constatation et le suivi des infractions au péage ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-François CARREZ, commissaire et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
La société SANEF
Sur la finalité
La société SANEF souhaite modifier l’autorisation qui lui a été délivrée le 21 septembre 2011 portant sur un traitement automatisé de données à caractère personnel ayant pour finalité la constatation et le suivi des infractions au péage.
Cette demande de modification intervient à la suite de l’adoption de la loi n° 2010-788 du 12 juillet 2010  portant engagement national pour l'environnement (dite loi Grenelle II), qui est venue modifier le code de la route et le code de procédure pénale. 
Les sociétés d’autoroutes peuvent dorénavant :
consulter le système d’immatriculation des véhicules (SIV)
mettre en place la procédure transactionnelle 
L’article L. 330-2 du code de la route permet la consultation des informations concernant les pièces administratives exigées pour la circulation des véhicules ou affectant la disponibilité de ceux-ci par les « agents des exploitants d'une autoroute ou d'un ouvrage routier ouvert à la circulation publique et soumis à péage, assermentés dans les conditions prévues à l'article L. 130-7, aux seules fins d'identifier les auteurs des contraventions au présent code qu'ils sont habilités à constater conformément au 8° de l'article L. 130-4 ».
L’accès aux données contenues dans le SIV se fait par l’intermédiaire d’un concentrateur informatique, agréé par le Ministère de l’Intérieur.
consulter le système d’immatriculation des véhicules (SIV)
mettre en place la procédure transactionnelle 
L’article L. 529-6 du code de procédure pénale autorise les exploitants d’une autoroute à mettre en place une procédure transactionnelle en cas de contraventions pour non-paiement du péage. Cette procédure implique une extinction de l’action publique en cas de versement à l’exploitant par le contrevenant d’une indemnité forfaitaire dans un délai de deux mois. 
La société adresse un avis de paiement au titulaire du certificat d’immatriculation. A défaut de paiement ou de protestation dans le délai de deux mois, le procès-verbal de contravention est envoyé par l'exploitant à l’Officier du Ministère Public et le titulaire du certificat d’immatriculation devient redevable d'une amende forfaitaire majorée recouvrée par le Trésor public. 
La Commission considère la finalité poursuivie comme déterminée, explicite et légitime. 
Elle considère également qu’il y a lieu de faire application des dispositions de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements pourtant sur des données relatives aux infractions, condamnations et mesures de sûreté.
Sur les données traitées
Les données suivantes sont collectées :
les images issues des caméras de vidéosurveillance ;
les données collectées en cas de constatation de non paiement : 
les données relatives à l’infraction : date, heure, péage, commune, gare d’entrée, classe du véhicule, montant du péage, montant déjà réglé, montant restant dû ;
les données relatives au conducteur : civilité, raison sociale, nom, prénom, adresse, numéro d’abonné ;
les données relatives au véhicule utilisé : marque, type/modèle, numéro d’immatriculation, pays ;
les données permettant d’interroger le SIV : numéro d’immatriculation, marque, modèle, type de couleur du véhicule, gare, voie, date et heure de l’infraction, matricule de l’agent verbalisateur ;
les données en provenance du SIV : nom ou raison sociale, prénom, nom d’usage ou d’époux, numéro SIREN, adresse, qualité de propriétaire du titulaire du certificat d’immatriculation, caractéristiques du véhicule permettant d’écarter les fausses plaques ou plaques usurpées (marque, modèle et couleur).
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie. 
Sur les destinataires
Sont destinataires des données :
les personnels dûment habilités de la société SANEF ;
les personnels dûment habilités des sociétés dont le réseau est en continuité avec le réseau de la société SANEF ;
les gestionnaires dûment habilités du SIV ;
l’officier du Ministère Public en cas de non paiement de l’avis de paiement. 
Ces destinataires n’appellent pas d’observations de la part de la Commission. 
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des panneaux et/ou informations apposées sur des bornes de péage, ainsi que : 
par une mention sur la constatation de non paiement du péage (CNP) ; 
par une mention sur l’avis de paiement. 
Les droits d’accès et de rectification s’exercent par voie postale auprès du Directeur d’exploitation, 30 boulevard Gallieni – 92130 ISSY LES MOULINEAUX.  
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes. 
Sur les mesures de sécurité
La Commission observe que les consultations du SIV sont réalisées par le biais d’une application disponible sur Internet, et gérée par un concentrateur, organisme assurant la centralisation des différents fichiers d’interrogation, leur transmission au SIV et la récupération et le renvoi des réponses aux sociétés à l’origine de l’interrogation.Le détail des interrogations est tracé pendant une durée de 400 jours, afin de permettre la détection d’interrogation frauduleuse.Les modalités d’authentification des utilisateurs habilités à accéder aux données sont conformes aux recommandations de la Commission.L’ensemble des échanges de données réalisés sur des canaux de communication non sécurisés sont chiffrés afin de garantir la confidentialité des données.Les étapes de développement et de maintenance font l’objet de mesures de sécurité visant à garantir la confidentialité des données.Les autres mesures de sécurité n’appellent pas d’observation particulière de la part de la Commission.
Sur les autres caractéristiques du traitement
Les enregistrements vidéos ne peuvent être conservés au-delà d’une durée de 30 jours. Les autres données (dont les photographies issues des enregistrements vidéos) sont conservées pendant le temps nécessaire à l’instruction du dossier, dans la limite de la durée de la prescription légale en matière de contravention, soit un an.La Commission estime que ces durées de conservation sont proportionnées au regard de la finalité poursuivie.Par ailleurs, le traitement est susceptible d’être interconnecté avec le traitement de lutte contre la fraude interne (supervision de l’activité de receveurs) et celui de lutte contre la fraude à partir de l’analyse des anomalies de transactions lors de la l’utilisation du système péage.
Autorise, conformément à la présente délibération, la société SANEF à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1584938)
La Commission nationale de l’informatique et des libertés, 
Saisie par la Compagnie Eiffage du Viaduc de Millau d’une demande d’autorisation concernant un traitement de données à caractère personnel ayant pour finalité la lutte contre la fraude au péage ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de procédure pénale, notamment son article 529-6 ;
Vu le code de la route, notamment ses articles L. 330-2 et R. 421-9 ;
Vu le code de la sécurité intérieure, notamment son article L. 252-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-François CARREZ, rapporteur et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
La Compagnie Eiffage du Viaduc de Millau.
Sur la finalité
La finalité du traitement est la lutte contre la fraude au péage. 
Le dispositif mis en place permet de :
constater les infractions prévues à l’article R. 421-9 du code de la route par télésurveillance
consulter le système d’immatriculation des véhicules (SIV)
mettre en place la procédure transactionnelle 
Le dispositif de vidéosurveillance permet de constater les infractions prévues à l’article R. 421-9 du code de la route qui prévoit que : « Le fait, pour tout conducteur, de refuser d'acquitter le montant du péage ou de se soustraire d'une manière quelconque à ce paiement est puni de l'amende prévue pour les contraventions de la deuxième classe ». Il n’y a toutefois pas de reconnaissance automatique des plaques d’immatriculation. 
constater les infractions prévues à l’article R. 421-9 du code de la route par télésurveillance
consulter le système d’immatriculation des véhicules (SIV)
mettre en place la procédure transactionnelle 
L’article L. 330-2 du code de la route permet la consultation des informations concernant les pièces administratives exigées pour la circulation des véhicules ou affectant la disponibilité de ceux-ci par les « agents des exploitants d'une autoroute ou d'un ouvrage routier ouvert à la circulation publique et soumis à péage, assermentés dans les conditions prévues à l'article L. 130-7, aux seules fins d'identifier les auteurs des contraventions au présent code qu'ils sont habilités à constater conformément au 8° de l'article L. 130-4 ».
L’accès aux données contenues dans le SIV se fait par l’intermédiaire d’un concentrateur informatique, agréé par le Ministère de l’Intérieur.
constater les infractions prévues à l’article R. 421-9 du code de la route par télésurveillance
consulter le système d’immatriculation des véhicules (SIV)
mettre en place la procédure transactionnelle 
L’article L. 529-6 du code de procédure pénale autorise les exploitants d’une autoroute à mettre en place une procédure transactionnelle en cas de contraventions pour non-paiement du péage. Cette procédure implique une extinction de l’action publique en cas de versement à l’exploitant par le contrevenant d’une indemnité forfaitaire dans un délai de deux mois. 
La société adresse un avis de paiement au titulaire du certificat d’immatriculation. A défaut de paiement ou de protestation dans le délai de deux mois, le procès-verbal de contravention est envoyé par l'exploitant à l’Officier du Ministère Public et le titulaire du certificat d’immatriculation devient redevable d'une amende forfaitaire majorée recouvrée par le Trésor public. 
La Commission considère la finalité poursuivie comme déterminée, explicite et légitime. 
Elle considère également qu’il y a lieu de faire application des dispositions de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements pourtant sur des données relatives aux infractions, condamnations et mesures de sûreté.
Sur les données traitées
Les données suivantes sont collectées :
les images issues des caméras de vidéosurveillance ;
les données collectées en cas de constatation de non paiement : 
les données relatives à l’infraction : date, heure, voie, gare, péager, montant du péage, classe ;
les données relatives au conducteur : nom, prénom, adresse ;
les données relatives au véhicule utilisé : marque, type, numéro d’immatriculation, pays ;
les données relatives au propriétaire du véhicule : nom, prénom, adresse.
les données permettant d’interroger le SIV : numéro d’immatriculation, marque, modèle, type de couleur du véhicule, gare, voie, date et heure de l’infraction, matricule de l’agent verbalisateur ;
les données en provenance du SIV : nom ou raison sociale, prénom, nom d’usage ou d’époux, numéro SIREN, adresse, qualité de propriétaire du titulaire du certificat d’immatriculation, caractéristiques du véhicule permettant d’écarter les fausses plaques ou plaques usurpées (marque, modèle et couleur).
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie. 
Sur les destinataires
Sont destinataires des données :
les personnels dûment habilités de la Compagnie Eiffage du viaduc de Millau ;
les gestionnaires dûment habilités du SIV ;
l’officier du Ministère Public en cas de non paiement. 
Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des panneaux apposés sur des bornes de péage, ainsi que : 
par une mention sur la constatation de non paiement du péage (CNP) ; 
par une mention sur l’avis de paiement. 
Les droits d’accès et de rectification s’exercent auprès du Directeur Général Délégué, Compagnie Eiffage du Viaduc de Millau, Péage de Saint-Germain, BP 60457 – 12104 MILLAU Cedex.  
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes. 
Sur les mesures de sécurité
La Commission observe que les consultations du SIV sont réalisées par envoi de fichiers d’appels par l’intermédiaire du concentrateur, organisme assurant la centralisation des différents fichiers d’interrogation, leur transmission au SIV et la récupération et le renvoi des réponses aux sociétés à l’origine de l’interrogation.Le détail des interrogations est tracé pendant une durée de 400 jours, afin de permettre la détection d’interrogation frauduleuse.Les modalités d’authentification des utilisateurs habilités à accéder aux données sont conformes aux recommandations de la Commission.L’ensemble des échanges de données réalisés sur des canaux de communication non sécurisés seront chiffrés afin de garantir la confidentialité des données.Les étapes de développement et de maintenance font l’objet de mesures de sécurité visant à garantir la confidentialité des données.Les autres mesures de sécurité n’appellent pas d’observation particulière de la part de la Commission.
Sur les autres caractéristiques du traitement
Les enregistrements vidéos ne peuvent être conservés au-delà d’une durée de 30 jours. Les autres données (dont les photographies issues des enregistrements vidéos) sont conservées pendant le temps nécessaire à l’instruction du dossier, dans la limite de la durée de la prescription légale en matière de contravention, soit un an.La Commission estime que ces durées de conservation sont proportionnées au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, la Compagnie Eiffage du Viaduc de Millau à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1574986)
La Commission nationale de l’informatique et des libertés, 
Saisie par l’établissement public de coopération intercommunale « Morlaix Communauté » d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel expérimental ayant pour finalité d’aider les ménages relevant du plan départemental d'action pour le logement des personnes défavorisées du Finistère à trouver un logement et à leur offrir un accompagnement social,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Monsieur Emmanuel de GIVRY, commissaire et après avoir entendu les observations de  Madame Elisabeth ROLIN, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
« Morlaix Communauté » est un établissement public de coopération intercommunale (EPCI), créé le 14 avril 1995, qui vise à améliorer le quotidien des habitants en œuvrant à des projets d’aménagement et de développement qu’une commune ne pourrait réaliser seule.Cet EPCI intervient dans les domaines de l’aménagement du territoire, du développement économique, de la protection de l’environnement, de l’aménagement, de la protection du littoral, de l’habitat, de la cohésion sociale, de la culture, du tourisme, du patrimoine, des transports, de l’enseignement supérieur, des infrastructures et équipements communautaires.
Sur la finalité
La finalité du traitement mis en œuvre à titre expérimental par l’EPCI « Morlaix Communauté » vise à aider les ménages relevant du plan départemental d'action pour le logement des personnes défavorisées (PDALPD) du Finistère à trouver un logement et à leur offrir un accompagnement social.Dans ce but, les partenaires de l’instance partenariale locale de coordination du logement des populations défavorisées, animée par l’EPCI « Morlaix Communauté », transmettent à l’un des services de ce dernier, après accord écrit des personnes concernées, des fiches de saisine concernant des ménages en difficulté.
Cette transmission est effectuée par voie postale au moyen d’enveloppes portant la mention « confidentiel », étant précisé qu’aucun fichier n’est créé par l’EPCI « Morlaix Communauté » sur la base des fiches de saisine reçues. Le service destinataire de ces dernières se borne en effet à les centraliser. 
Les fiches de saisine sont ensuite photocopiées et remises sur table en réunion, afin que les membres de l’instance partenariale locale de coordination du logement des populations défavorisées puissent en prendre connaissance en vue de l’examen de la situation. 
A l’issue de la réunion, les fiches de saisine « papier » sont conservées uniquement par l’EPCI « Morlaix Communauté » et les structures auxquelles a été confié le suivi du ménage. 
Par ailleurs, à la fin des réunions, l’EPCI « Morlaix Communauté » établit des relevés de décisions nominatifs sous forme de tableau. Ces relevés ne mentionnent pas les difficultés sociales rencontrées par un ménage, mais uniquement les décisions prises à son égard.
Les relevés de décision sont  ensuite stockés dans un espace de stockage numérique sécurisé disponible sur l’intranet de l’EPCI « Morlaix Communauté ».La structure à l’origine de la saisine, celle en charge du suivi du ménage et l’EPCI « Morlaix Communauté » sont les seuls organismes à pouvoir identifier les personnes concernées. Les autres membres de l’instance partenariale locale de coordination du logement des populations défavorisées, quant à eux, ne peuvent accéder qu’à des relevés de décisions anonymes.Au regard de ce qui précède, la Commission considère que la finalité poursuivie par l’EPCI « Morlaix Communauté » est déterminée, explicite et légitime.Elle estime que le recours à la formalité de l’autorisation se justifie au regard de l’article 25-I-7° de la loi 6 janvier 1978 modifiée pour ce qui concerne les traitements automatisés comportant des données permettant d’apprécier les difficultés sociales des personnes.
Sur les données traitées
Les catégories de données collectées concernent les ménages relevant du PDALPD du Finistère et sont relatives à :
des données d’identification (nom, prénom, adresse, date et lieu de naissance, âge, nationalité, validité du titre de séjour) ;
la vie personnelle (habitude de vie, situation familiale) ;
la vie professionnelle (situation professionnelle) ;
des informations d’ordre économique et financier (revenus, situation financière) ;
des appréciations sur les difficultés sociales des personnes.