AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-I-4 et 25-I-6 ;   Vu la loi n° 2004-801 du 6 août 2004 susvisée et notamment son article 20 ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Vu la déclaration effectuée par la société VOLKSWAGEN FINANCES le 31 janvier 2005 ;   Vu la délibération n° 2005-199 du 22 septembre 2005 portant autorisation de mise en oeuvre par la société VOLKSWAGEN FINANCE d'un traitement automatisé de données à caractère personnel ayant pour finalité la mutualisation de la détection des incohérences dans les demandes de crédit par l'adhésion au service "detect" mis en oeuvre par la société EXPERIAN (demande d'autorisation
n° 1102812) ;   Vu la demande d'autorisation présentée par la société le 24 juin 2005 portant sur l'utilisation du numéro de sécurité sociale à des fins de contrôle de cohérence des demandes de crédit ;   Après avoir entendu M. Bernard Peyrat, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations :
Formule les observations suivantes :   La société VOLKSWAGEN FINANCES a saisi la CNIL d'une déclaration de modification relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité l'utilisation du numéro de sécurité sociale à des fins de contrôle de cohérence des demandes de crédit.   La Commission rappelle que relèvent de la procédure de demande d'autorisation prévue par les dispositions de l'article 25-I-4° de la loi du 6 janvier 1978 modifiée en août 2004 les traitements susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire.   La Commission considère que le régime de l'autorisation de l'article 25-I-4° s'applique au traitement mis en oeuvre par la société VOLKSWAGEN FINANCES, dès lors que le contrôle de cohérence qui est effectué afin de permettre le contrôle du risque de crédit, en particulier celui découlant des fausses déclarations ou erreurs présentes dans les demandes de crédit présentées par une même personne est de ce fait susceptible, de par sa nature et sa portée, d'exclure une personne du bénéfice d'un contrat de crédit.   La Commission relève par ailleurs que le traitement examiné relève également des dispositions de l'article 25-I-6° dans la mesure où il porte sur des données parmi lesquelles figure le numéro d'inscription au répertoire national
d'identification des personnes physiques (NIR).   La Commission relève qu'il résulte des dispositions de l'article 6-3° de la loi du 6 janvier 1978 qu'un traitement de données à caractère personnel ne peut porter que sur des données adéquates, pertinentes et non excessives au regard des finalités pour lesquels elles sont collectées et de leur traitement ultérieur.   Par ailleurs, il résulte des dispositions de l'article 7-5° de laite loi que la réalisation de l'intérêt légitime du responsable de traitement doit être pris en compte sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux de la personne concernée.   La Commission rappelle que le numéro d'inscription au répertoire national d'identification des personnes physiques ou NIR, communément appelé "numéro de sécurité sociale", constitue un identifiant particulièrement signifiant, dont l'utilisation présente des risques pour la vie privée et les libertés individuelles et est de ce fait encadré par la loi.   L'utilisation généralisée d'un identifiant unique dans l'ensemble des fichiers, en ce qu'elle faciliterait ainsi leur interconnexion, permettrait de tracer les individus dans tous les actes de la vie courante.
La Commission souligne à cet égard que l'origine même de la loi Informatique et libertés résulte du rejet du projet SAFARI d'interconnexion de fichiers publics à partir du numéro de sécurité sociale.   Ces considérations ont conduit la Commission à limiter l'usage du NIR en tant qu'identifiant propre à la sphère de la santé et la sphère sociale et à recommander le recours à des identifiants sectoriels spécifiques à chaque secteur d'activité.  Les dérogations prévues par le législateur n'ont porté que sur des cas limités, justifiés par l'intérêt général.   La société VOLKSWAGEN FINANCES expose qu'elle souhaite utiliser le numéro de sécurité sociale figurant sur les bulletins de paye fournis à l'appui des demandes de crédit qui lui sont présentées à des fins de contrôle de cohérence (c'est-à-dire d'exactitude) des données communiquées à l'occasion de la demande de crédit présentée.   Le traitement présenté met en place un dispositif de lutte contre la fraude basé sur l'utilisation du numéro de sécurité sociale ou NIR qui, comparé avec les autres informations d'état civil communiquées par l'emprunteur (sexe, date et lieu de naissance) permettrait de vérifier l'exactitude des informations communiquées.   La Commission relève que la société VOLKSWAGEN FINANCE a un intérêt légitime à se prémunir contre les agissements frauduleux qui lui seraient préjudiciables et que les contrôles de cohérence s'inscrivent dans le cadre des outils de lutte contre la fraude.
La Commission considère cependant qu'au regard des risques présentés par la généralisation de l'usage du NIR et de l'application du principe de proportionnalité défini à l'article 6-3° de la loi du 6 janvier 1978, l'utilisation du NIR par un organisme n'intervenant pas dans le secteur de la sécurité sociale, doit, pour être admise, résulter du constat de l'intérêt général de l'usage envisagé.   La Commission estime que la société VOLKSWAGEN FINANCES ne peut se prévaloir d'aucune disposition législative ou réglementaire constatant la poursuite de l'intérêt général.   La Commission estime en conséquence le traitement contraire aux dispositions de l'article 6-3° de la loi du 6 janvier 1978.   N'autorise pas la société VOLKSWAGEN FINANCES à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité l'utilisation du numéro de sécurité sociale à des fins de contrôle de cohérence des demandes de crédit.   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 25-I-4 à 25-I-6 ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Vu la demande d'autorisation présentée par la société MONTALIVET GESTION le 31 janvier 2005 ;   Après avoir entendu M. Bernard Peyrat, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations :
Formule les observations suivantes :   La société MONTALIVET GESTION a saisi la CNIL d'une demande d'autorisation relative à la mise en oeuvre d'un traitement ayant pour finalité la gestion des données des dossiers de recouvrement de créances pour le compte d'autrui.   La Commission relève qu'il résulte des dispositions de l'article 6-3° de la loi du 6 janvier 1978 qu'un traitement de données à caractère personnel ne peut porter que sur des données adéquates, pertinentes et non excessives au regard des finalités pour lesquels elles sont collectées et de leur traitement ultérieur.   Par ailleurs, il résulte des dispositions de l'article 7-5° de ladite loi que la réalisation de l'intérêt légitime du responsable de traitement doit être pris en compte sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux de la personne concernée.   La Commission relève que la société MONTALIVET GESTION indique détenir le numéro de sécurité sociale des débiteurs concernés par le traitement.   La Commission observe que les traitements portant sur des données parmi lesquelles figure le numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) relèvent de la procédure de demande d'autorisation prévue par les dispositions de l'article 25-I-6°.   La société MONTALIVET GESTION justifie cette détention par le fait que cet identifiant est systématiquement demandé par les sociétés d'enquêtes.   La Commission donne acte à la société
MONTALIVET GESTION de ce qu'elle modifie sa déclaration initiale et entend limiter la saisie aux seuls dix premiers numéros du NIR.   La Commission rappelle que le numéro d'inscription au répertoire national d'identification des personnes physiques ou NIR, communément appelé "numéro de sécurité sociale", constitue un identifiant particulièrement signifiant, dont l'utilisation présente des risques pour la vie privée et les libertés individuelles et est de ce fait encadrée par la loi.   L'utilisation généralisée d'un identifiant unique dans l'ensemble des fichiers, en ce qu'elle faciliterait leur interconnexion, permettrait de tracer les individus dans tous les actes de la vie courante.   La Commission souligne à cet égard que l'origine même de la loi Informatique et libertés résulte du rejet du projet SAFARI d'interconnexion de fichiers publics à partir du numéro de sécurité sociale.   Ces considérations ont conduit la Commission à limiter l'usage du NIR en tant qu'identifiant propre à la sphère de la santé et à la sphère sociale et à recommander le recours à des identifiants sectoriels spécifiques à chaque secteur d'activité.  Les dérogations prévues par le législateur n'ont porté que sur des cas limités, justifiés par l'intérêt général.
La Commission considère que le traitement des seuls dix premiers numéros composant le NIR ne relève pas du champ d'application des dispositions de l'article 25-I-6° de la loi du 6 janvier 1978 et n'est en conséquence pas soumis à l'autorisation de la Commission.   La Commission rappelle néanmoins que les dispositions de l'article 25-I-6° s'appliquent également aux traitements non automatisés et aux fichiers manuels et qu'en application de l'article 2 de la loi du 6 janvier 1978, constitue un traitement de données à caractère personnel toute opération ou tout ensemble d'opérations portant sur de telles données, quel que soit le procédé utilisé, et notamment l'extraction, l'utilisation et la communication par transmission, diffusion ou toute autre forme de mise à disposition.   Il résulte en conséquence de ces dispositions que les dispositions de l'article 25-I-6° s'appliquent aux opérations d'extraction et de transmission du NIR figurant sur les bulletins de paye contenus dans les dossiers des débiteurs à des sociétés d'enquêtes ou à tout autre tiers.   Bien que la société MONTALIVET GESTION ne présente pas expressément de demande d'autorisation portant sur un tel usage du NIR, il résulte des éléments du dossier que le NIR est systématiquement demandé par les sociétés d'enquêtes.   La Commission entend rappeler à la société MONTALIVET GESTION qu'un tel usage ne saurait être admis au regard de l'application des dispositions de la loi du 6 janvier 1978.
La Commission constate par ailleurs que relèvent de la procédure de demande d'autorisation prévue par les dispositions de l'article 25-I-4° de la loi du 6 janvier 1978 modifiée en août 2004 les traitements susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire et que l'interconnexion de fichiers dont les finalités principales sont différentes est également soumise à l'autorisation préalable de la Commission en application des dispositions de l'article 25-I-5° de ladite loi.   Le dossier adressé a la Commission fait apparaître que la société MONTALIVET GESTION adresse des informations relatives aux débiteurs à tous les membres du groupe SOLENDI dont elle est membre.  Ce groupe de sociétés est composé de plus de dix sociétés intervenant dans des secteurs d'activités variés :  assurance, crédit, gestion immobilière.   La Commission considère que la transmission d'informations relatives à des débiteurs à des tiers à des fins étrangères à la gestion du mandat de recouvrement de créances est excessive au regard de la finalité du traitement.   La Commission considère que la communication d'informations relatives à des impayés aux membres du groupe SOLENDI n'est pas compatible avec la finalité déclarée par la société MONTALIVET GESTION, à savoir le recouvrement de créances pour le compte de tiers.   La Commission
considère de surcroît que la transmission envisagée par la société MONTALIVET GESTION constitue une interconnexion au sens des dispositions de l'article 25-I-5° de la loi du 6 janvier 1978.
La Commission considère qu'afin d'éviter le risque d'exclusion sociale découlant d'une large consultation de fichiers recensant des impayés tous secteurs d'activités confondus et de respecter le principe de proportionnalité en vertu duquel les données doivent être "pertinentes, adéquates et non excessives" par rapport aux finalités pour lesquelles elles sont enregistrées", les traitements ayant pour objet de recenser des informations relatives à des impayés doivent être limités à un secteur d'activité donné et aux seuls professionnels du secteur.   La Commission estime aussi que la mise en oeuvre des traitements doit être entourée de garanties suffisantes en matière de pertinence des données, d'information des personnes, de sécurité et de durée de conservation.   S'agissant en particuliers d'impayés locatifs, la Commission préconise une transparence renforcée du fichier qui doit être assurée par une information des débiteurs locataires dès la conclusion du bail par l'insertion d'une clause du bail ayant expressément prévu cette possibilité, désignant le responsable du fichier des impayés, et la finalité du traitement, sans préjuger de la nécessité d'informer le locataire au moment du fichage et prévoir un délai de régularisation.   Par ailleurs, la Commission considère que seules les informations relatives à des impayés caractérisés devraient être diffusées et ce pour une durée limitée ne pouvant excéder le constat de l'extinction de la créance ou la survenance
d'évènements en affectant l'exigibilité.   La Commission relève que le traitement envisagé par la société MONTALIVET GESTION n'apporte aucune de ces garanties et qu'au contraire la transmission des informations à l'ensemble des sociétés du groupe SOLENDI est envisagée sans restriction et sans information suffisante des personnes.   La Commission estime en conséquence le traitement contraire aux dispositions de l'article 6-3° de la loi du 6 janvier 1978.   N'autorise pas, en l'état, la société MONTALIVET GESTION à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité la gestion des données des dossiers de recouvrement de créances pour le compte d'autrui.   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés ;   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-4° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Vu la demande d'autorisation, présentée par la société ALIS relative à la mise en oeuvre d'un traitement automatisé de données à caractère personnel ayant pour finalité principale la gestion des abonnés ;   Après avoir entendu M. Guy Rosier, Vice-Président délégué, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement en ses observations ;
Formule les observations suivantes :   Le 18 juillet 2005, la société ALIS, concessionnaire de la circulation publique sur l'autoroute A28-Alençon Rouen, a adressé à la CNIL un dossier de formalité préalable relatif à la mise en oeuvre d'un traitement automatisé de données à caractère personnel ayant pour finalité principale la gestion des abonnés.   Ce dispositif doit permettre à la société ALIS de gérer d'une part, les abonnements à ses propres produits permettant de circuler exclusivement sur son réseau, et d'autre part, les abonnements au système général de télépéage inter-sociétés', commercialisé sous le nom de libert-T' et permettant de circuler sur les réseaux des autres sociétés concessionnaires d'autoroutes.   Dans le cadre des traitements mis en oeuvre au titre de la gestion des abonnés, la société ALIS procède également à la prévention et au suivi des impayés.  A ce titre, elle est amenée à inscrire en liste d'opposition les badges utilisés pour circuler sur le réseau, ce qui a notamment pour effet d'interdire aux clients concernés de s'abonner au service de télépéage inter-société' auprès des autres sociétés concessionnaires d'autoroutes.   La Commission considère qu'il y a lieu de faire application des dispositions de l'article 25-4° qui vise les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition
législative ou réglementaire.   A l'occasion de la souscription à un abonnement au service de télépéage inter-sociétés' ou aux produits ALIS, les personnes concernées communiquent leur identité (nom, prénom), leur date de naissance, leur adresse, leur numéro de téléphone, leur adresse électronique, leurs coordonnées bancaires et le numéro d'immatriculation de leur véhicule ainsi que sa marque et sa couleur.   Ces données sont traitées au niveau du système central ainsi qu'au niveau des systèmes d'information situés dans les gares de péage où elles sont associées à des données de transaction générées à chaque passage en gare de péage :  numéro d'identification du badge, société émettrice, horodatage du passage au péage, numéro de voie, gare de péage en entrée et en sortie, montant des sommes dues.   Les données relatives à l'identification du client sont conservées sur le serveur central pendant une durée égale à celle de l'abonnement.  S'agissant des données relatives aux transactions, la société ALIS indique les conserver le temps nécessaire au paiement de la facture' soit un mois.
Les traitements effectués au niveau du système d'information des gares de péage lors du passage d'un abonné ont pour objet la vérification des informations contenues dans les messages de transaction, le calcul des recettes, la compilation des paiements et des moyens de paiement pour les compensations avec les banques, les sociétés de cartes accréditives, les administrations publiques et les autres sociétés concessionnaires d'autoroutes, ainsi que la préparation des facturations à l'attention des abonnés.   Les traitements effectués au niveau du système central de la société ALIS ont pour objet de permettre le relevé de transactions en voies sur l'A28, la réception des transactions effectuées sur les réseaux des autres sociétés concessionnaires d'autoroutes, l'édition des factures (mensuellement) et des demandes de prélèvements auprès des banques.   Lorsque la demande de prélèvement débouche sur un impayé le badge de l'abonné fait l'objet d'une inscription dans une liste d'opposition.  Cette liste est constituée de trois sous-listes distinctes :   . La liste orange' qui concerne les badges associés à un compte d'abonnement en prépaiement sans réapprovisionnement par prélèvement automatique et dont le solde est inférieur à un seuil prédéfini. Lors du passage au péage l'abonné est informé qu'il doit réapprovisionner son compte', à défaut, il doit présenter un autre moyen de paiement.   . La liste grise' qui concerne les badges associés à un compte d'abonnement avec
prélèvement automatique sur un compte bancaire. L'inscription en liste grise est effectuée au premier impayé, quel que soit son montant.  La société ALIS entre alors en contact avec le client concerné et l'informe de l'existence d'un impayé.  Il lui est également indiqué que si le prochain prélèvement mensuel échoue pour cause d'impayé, son badge sera inutilisable.  Dans l'attente du prochain prélèvement le client peut encore utiliser son badge.   . La liste noire' qui concerne les badges déclarés perdus ou volés, associés à des abonnements résiliés, pour lesquels un second prélèvement sur le compte de l'abonné a débouché sur un impayé.   Les badges Liber-T' en liste d'opposition font l'objet d'une mutualisation avec l'ensemble des sociétés concessionnaires d'autoroutes partenaires.  Chaque société concessionnaire d'autoroute reçoit sur son système d'information central, de la part des autres sociétés concessionnaires, la liste des badges mis en opposition.  Ces listes sont ensuite exploitées par les systèmes situés au niveau des gares de péage.   Les données transmises dans le cadre de la gestion des impayés et de la liste d'opposition sont relatives à la transaction (numéro d'identification du badge, société émettrice, horodatage du passage au péage, numéro de voie, gare de péage en entrée et en sortie, montant des sommes dues).   Les badges correspondant à un produit ALIS', permettant exclusivement de circuler sur le réseau ALIS, peuvent figurer en liste d'opposition,
mais ne font cependant pas l'objet d'une mutualisation avec les autres sociétés concessionnaires d'autoroutes.  La gestion des impayés pour ces produits reste strictement interne.