AgentPublic/cnil huggingface dataset:
serveurs.   L'intégrité du fichier "contenu de l'urne électronique" doit alors être constatée publiquement, avant le début du dépouillement.   Le texte prévoit que le dépouillement de ce fichier ne peut s'opérer que par l'activation conjointe d'au moins deux clés de chiffrement différentes sur les trois devant être éditées.   Ces clés sont générées publiquement et remises, selon des modalités garantissant la confidentialité, respectivement au président du bureau de vote et à deux de ses assesseurs (à défaut d'accord, le plus jeune et le plus âgé).  Ils sont les seuls à avoir connaissance de ces clés, à l'exclusion de toute autre personne y compris du personnel technique.  Des clés de sauvegarde sont conservées sous scellés.   Le décompte des voix apparaît lisiblement à l'écran et fait l'objet d'une édition sécurisée afin d'être porté au procès-verbal.   Le système de vote électronique est scellé après le dépouillement afin de garantir l'impossibilité de reprendre ou modifier les résultats après la décision de clôture du dépouillement.  Le texte prévoit que la procédure de décompte des votes doit pouvoir être déroulée de nouveau, afin de permettre, si nécessaire, une vérification des résultats du dépouillement.   Ces mesures sont conformes aux recommandations de la CNIL relatives à la sécurité des systèmes de vote électronique du 1er juillet 2003.
Sur les dispositions du projet d'arrêté relatives à l'émargement et au dépouillement par lecture optique :   La Commission note que le projet d'arrêté prévoit la séparation physique entre, d'une part, le code barres situé sur l'enveloppe d'acheminement et permettant d'identifier l'électeur sur la liste électorale, et d'autre part, le code barres figurant sur le bulletin de vote.   Elle relève également que le texte prévoit que le code barres situé sur les enveloppes doit être imprimé sur l'enveloppe d'acheminement des votes afin de le rendre indissociable de son support.  Cette disposition est de nature à sécuriser le dispositif et éviter les éventuelles contestations liées à l'utilisation d'étiquettes comportant les codes-barres collées sur les enveloppes d'acheminement.   Les listes d'émargement ne comportent que l'identité des électeurs ainsi que la mention attestant sa participation au vote, à l'exclusion de toute autre information.  Elles sont enregistrées sur un support scellé et non réinscriptible.   Seul le nombre de votants peut être diffusé pendant le déroulement du scrutin.  Un test préalable au scrutin doit permettre de garantir l'effectivité du dispositif de scellement, le bon fonctionnement des lecteurs et la remise à zéro du compteur des voix.   Les décomptes finaux font l'objet d'une édition sécurisée portée au procès-verbal de l'élection.  Après la décision de clôture du scrutin, le système de décompte est scellé afin de garantir l'impossibilité de
reprendre ou modifier les résultats, le décompte devant pouvoir être déroulé à nouveau.   Toutefois, la Commission estime nécessaire que les dispositions du projet d'arrêté soient complétées par certaines garanties supplémentaires, dont la CNIL a notamment préconisé la mise en oeuvre dans sa recommandation du 28 avril 1998 relative à l'utilisation de systèmes de vote par codes-barres dans le cadre d'élections professionnelles.
La Commission demande que soient prises en compte les préconisations suivantes :   - en cas de recours à un prestataire extérieur, s'assurer que ce dernier s'engage contractuellement à ne pas utiliser les fichiers nominatifs d'électeurs à d'autres fins que l'établissement de la liste électorale, l'adressage du matériel de vote, la réalisation des listes d'émargements et à ne pas les divulguer.   - afin de garantir le secret du vote, s'assurer de la mise en oeuvre de procédés rendant impossible l'établissement d'un lien entre le nom de l'électeur et l'expression de son vote.  A cette fin :   - l'électeur ne doit être identifié que par un code barre généré de façon aléatoire, à l'exclusion de toute autre information, ce numéro devant être modifié pour chaque scrutin ;   - le fichier de correspondance, établi pour permettre l'édition de la liste d'émargement, entre le nom des électeurs et les codes-barres qui leur sont attribués doit être conservé sous le contrôle du bureau de vote ;   - les documents de vote transmis par l'électeur doivent être conçus de façon à ce que le code-barre qui permet son identification et celui exprimant le sens du vote fassent l'objet de lectures distinctes afin qu'il soit impossible techniquement d'établir un lien entre ces deux informations ;   - les documents de vote transmis par l'électeur doivent être acheminés sous pli clos.   En outre, la CNIL recommande que toutes précautions utiles soient prises afin que les bulletins de vote par
correspondance ne subissent, lors de leur envoi par les électeurs, aucune altération de nature à empêcher la comptabilisation du vote ou à considérer le vote comme étant nul.  Il en résulte que :   - l'envoi du matériel de vote aux électeurs doit être accompagné d'une note explicative détaillant de façon claire les modalités des opérations de vote et en particulier, les critères de comptabilisation et de détermination des votes nuls ou blancs ;   - au cas où l'expression de vote serait matérialisée par une étiquette comportant un code-barre identifiant le candidat, cette étiquette ne doit pouvoir être décollée sans être irrémédiablement altérée
De surcroît, la Commission recommande :   - que les opérations de dépouillement soient effectuées par un ordinateur isolé ou plusieurs ordinateurs reliés en réseau local, ces ordinateurs ne devant en aucun cas comporter le fichier nominatif des votants, ni le ou les fichiers de correspondance entre le nom des électeurs et les numéros qui leurs sont attribués aléatoirement ;   - qu'une solution de secours, comportant notamment un dispositif complémentaire en cas de défaillance du système, soit prévue ;   - que le système comporte un dispositif technique rejetant tout bulletin déjà lu ;   - que les voix soient comptabilisées par lot de sorte que les expressions individuelles de vote ne puissent être isolées et rapprochées de l'identité du votant ;   Enfin, pour des raisons de clarté, la Commission demande à ce que l'arrêté utilise systématiquement les termes "données du vote" pour désigner le vote et les données qui lui sont immédiatement attachées (par exemple d'horodatage), en particulier s'agissant des dispositions prévoyant l'obligation de procéder au chiffrement de ces données (article 2 alinéa 2 du I. du projet d'arrêté).   Sous réserve que les dispositions des projets de décret et d'arrêté soient modifiées dans le sens de l'ensemble des observations formulées, la Commission estime que les dispositifs de vote sont de nature à garantir la confidentialité des opérations de vote ainsi que la sincérité du scrutin.   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés ;   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-4° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Vu la délibération n° 03-038, adoptée par la CNIL le 16 septembre 2003, portant adoption d'une recommandation relative à la collecte et au traitement d'informations nominatives par les sociétés de transports collectifs dans le cadre d'applications billettiques ;   Vu la demande d'autorisation présentée par le Conseil général des Bouches-du-Rhône d'un traitement automatisé de données à caractère personnel pour la gestion du système d'équipement billettique du réseau départemental d'autocars ;   Après avoir entendu M. Guy Rosier, Vice-Président
délégué, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement en ses observations ;
Formule les observations suivantes :   La Commission nationale de l'informatique et des libertés a été saisie par le Conseil général du département des Bouches-du-Rhône d'un dossier de formalité préalable relatif à la mise en oeuvre d'un traitement de données à caractère personnel pour la gestion du système d'équipement billettique du réseau départemental d'autocars.   Les finalités et la présentation du traitement soumis à la Commission   Le dispositif présenté concerne, outre la gestion de la délivrance et de l'utilisation des titres de transport billettiques, la réalisation d'analyses statistiques, la mesure de la qualité du fonctionnement du système, la détection de la fraude technologique et le suivi des impayés.  Il s'inscrit dans le cadre de la mise en oeuvre de la billettique à l'échelle de l'ensemble du département et de l'interopérabilité des différents dispositifs billettiques mis en oeuvre par la trentaine de sociétés de transport.  Ces sociétés sont liées au Conseil général des Bouches du Rhône par l'intermédiaire de délégations de service public ou des marchés publics.   Il y a lieu, en l'espèce, de faire application de l'article 25-4° de la loi du 6 janvier 1978 modifiée en août 2004 qui soumet à autorisation préalable de la CNIL les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative
ou réglementaire.   Au titre des données traitées dans le cadre du dispositif billettique figurent notamment l'identité (nom, prénom), la date de naissance, l'adresse, la photographie, ainsi que celles de validation (date, heure, lieu de la validation) et le numéro de la carte sans contact.   Il est précisé que les données de validation, contenant des informations relatives aux déplacements des personnes, associées au numéro de carte, seul élément renvoyant indirectement à l'identité d'un usager, ne seront conservées que pendant 48 heures au maximum et ceci aux seules fins du traitement de la fraude technologique. Dans le cadre des autres traitements (statistiques, mesure de la qualité du fonctionnement du système), ces données feront l'objet d'une anonymisation par une fonction de "hachage" irréversible du numéro de carte, la clé de chiffrement utilisée étant renouvelée tous les trimestres.
La durée de conservation (archivage compris) des données autres que celles de validation, hormis le cas des impayés, sera de cinq ans, soit la durée de validité de la carte de transport.  Elle devrait, selon le gestionnaire, permettre la mise en oeuvre d'opérations relatives au service après vente sans avoir à imposer aux clients de fournir de nouveaux justificatifs.   L'information des personnes sera effectuée par un affichage dans les points d'établissement des cartes ainsi que sur les formulaires d'inscription.  Il leur sera précisé qu'elles peuvent s'opposer à la conservation de leur photographie au format numérique.   Enfin, seuls les numéros des cartes invalidées à la suite d'une perte, d'un vol ou d'un défaut, seront transmis aux sociétés de transport dont le système billettique sera intéropérable avec celui mis en oeuvre par le Conseil général des Bouches-du-Rhône, à l'exclusion de toute communication d'autres données à caractère personnel.   La Commission observe que les modalités pratiques de mise en oeuvre des traitements concernant la gestion du système d'équipement billettique présentés par le Conseil général des Bouches-du-Rhône respectent les recommandations émises dans sa délibération numéro 03-038 du 16 Septembre 2003 relative à la collecte et au traitement d'informations nominatives par les sociétés de transports collectifs dans le cadre d'applications billettiques.   Ainsi, les données intéressant les déplacements des personnes, associées à un élément
permettant d'identifier la personne, ne sont conservées que le temps nécessaire à la détection de la fraude et pendant un délai qui n'excède pas deux jours.   S'agissant des traitements ayant pour finalité la gestion des impayés, la Commission observe que la liste des badges mis en opposition ne sera pas diffusée auprès des autres réseaux urbains partenaires et qu'il n'y aura pas de gestion mutualisée des impayés. A cet égard, outre l'identité (nom, prénom), la date de naissance et l'adresse des personnes concernées, les données traitées au titre de la gestion des impayés seront le montant de l'impayé, la banque, le numéro du chèque, la date du rejet, le motif sous la forme de l'indication "absence ou insuffisance de provision" ou "faux chèque ou chèque volé".   Elle souligne que seules les créances nées de l'utilisation des services relatifs à la circulation sur le réseau départemental d'autocars seront susceptibles d'entraîner une inscription dans la liste d'opposition et que le dispositif présenté respecte ainsi le principe de sectorisation de chaque fichier d'impayés auquel elle est attachée.
Elle observe que, s'agissant de l'exigence du caractère certain de la créance, l'inscription en liste d'opposition ne concerne que des badges soumis au paiement d'un abonnement et ayant généré une créance dont les conditions de paiement sont remplies et pour laquelle le Conseil général des Bouches-du-Rhône pourrait contraindre la personne débitrice au paiement.  Il est précisé, que l'inscription en liste d'opposition n'interviendrait qu'après l'envoi de deux courriers de mise en demeure aux personnes concernées qui seront ainsi informées du délai dont elles disposeront pour régulariser leur situation, et des conséquences de la mise en opposition de leur badge.   Enfin, la durée de conservation retenue à l'occasion de la gestion des impayés apparaît pertinente dans la mesure où les badges seront immédiatement retirés de la liste d'opposition dès régularisation de l'impayé.
Les catégories de données à caractère personnel enregistrées seront :   . au titre des traitements relatifs à la délivrance et à l'utilisation des titres de transport billettiques :  l'identité (nom, prénom) ; la date de naissance ; l'adresse ; la photographie ; le profil (étudiant-apprenti, actif, scolaire ou autre) ; le nom de l'entreprise ou de l'université ; le numéro de dossier scolaire ; la date et la fin de validité du titre de transport; le numéro de carte ; le nombre de voyages ; l'origine et la destination ;   . au titre des traitements relatifs à la détection de la fraude technologique :  l'origine et la destination ; les données de validation (date, heure, lieu de la validation) ; la date et la fin de validité du titre de transport et le numéro de carte.   . au titre des traitements relatifs à la gestion des impayés : l'identité (nom, prénom) ; la date de naissance ; l'adresse ; le montant de l'impayé ; la banque ; le numéro du chèque ; la date du rejet ; le motif sous la forme de l'indication "absence ou insuffisance de provision" ou "faux chèque ou chèque volé".   Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite des finalités suivantes :   . au titre des traitements relatifs à la délivrance et à l'utilisation des titres de transport billettiques :  les administrateurs du système d'information de la direction des transports et ports, les agents de l'atelier d'établissement des cartes pour les élèves, les
agents du service du réseau d'autocars, du service de transports scolaires et du service d'étude et de réflexion intermodale du Conseil général, ainsi que le service commercial et les guichetiers des points de vente de la société mandatée pour la gestion des cartes de traitement.   . au titre des traitements relatifs à la détection de la fraude technologique :  les administrateurs du système d'information de la direction des transports et des ports du Conseil général et les agents du service du réseau d'autocars.   . au titre des traitements relatifs à la gestion des impayés : l'administrateur du système d'information billettique, les personnes habilitées du service commercial et les guichetiers des points de vente de la société mandatée pour la gestion des cartes de transport.   Les droits d'accès et de rectification s'exerceront auprès du service du réseau d'autocars de la direction des transports et des ports du Conseil général des Bouches-du-Rhône, Les docks - Atrium 10.2 -10, place de la Joliette - BP12413 -13566 Marseille cedex 20.   Dans ces conditions, la Commission autorise le Conseil général des Bouches-du-Rhône à mettre en oeuvre un traitement de données à caractère personnel pour la gestion du système d'équipement billettique du réseau départemental d'autocars.   Le président Alex Türk
La Commission nationale de l'informatique et des libertés ;   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-4° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Vu la délibération n° 03-038, adoptée par la CNIL le 16 septembre 2003, portant adoption d'une recommandation relative à la collecte et au traitement d'informations nominatives par les sociétés de transports collectifs dans le cadre d'applications billettiques ;   Vu la demande d'autorisation présentée par la SNCF d'un traitement automatisé de données à caractère personnel ayant pour finalité principale la gestion des abonnements TAPAS sous forme billetterie et billettique des voyageurs du réseaux ferroviaire régional ;   Vu le décret n° 2005-1309 du
20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004.   Après avoir entendu M. Guy Rosier, Vice-Président délégué, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement en ses observations ;
Formule les observations suivantes :   La Commission Nationale de l'Informatique et des Libertés a été saisie par la Société Nationale des Chemins de Fer (SNCF) le 27 février 2006 d'un dossier de déclaration relatif à la mise en oeuvre d'un traitement de données à caractère personnel pour la gestion des abonnements TAPAS ("forme billetterie" ou "forme billettique") souscrits par des voyageurs du réseau ferroviaire régional.   L'objectif poursuivi par la SNCF est de fournir des titres de transports payables par prélèvement automatique aux abonnés qui les reçoivent mensuellement à domicile ("forme billetterie") ou voyageant jusqu'à l'expiration du justificatif ("forme billettique") en bénéficiant d'une réduction dudit abonnement par rapport au même abonnement acheté à un guichet.   Le dispositif présenté concerne non seulement la gestion des abonnements, la délivrance et l'utilisation des titres de transport (émission de titres de transport sous "forme billetterie" avec fabrication d'une carte contenant des données d'identification et les caractéristiques du transport et émission de titres de transport sous "forme billettique" avec fabrication d'une carte à puce contenant ces mêmes données) et l'émission des avis de prélèvements, mais aussi le suivi des impayés.   En matière d'impayés, il y a lieu de noter que, dans un premier temps, l'abonné concerné est inscrit dans le fichier de gestion des abonnements sous la dénomination "abonnement impayé" :  il reçoit alors un
courrier lui précisant les sommes dues.  Si l'impayé est le second impayé sur une période de 12 mois, l'abonnement est résilié et l'abonné concerné est inscrit sur une liste d'opposition jusqu'à régularisation de sa situation, ce qui a notamment pour effet de lui interdire, durant cette inscription, de bénéficier des abonnements aux titres de transport proposés par la SNCF sur le réseau ferroviaire régional.
Ceci appelle deux observations concernant la résiliation et la durée de conservation :   . la résiliation a pour effet :   - l'arrêt de l'émission des titres de transports jusqu'à régularisation (sous "forme billetterie")   - l'inscription dans un fichier du numéro de sa carte à puce ainsi que la diffusion de ce fichier aux équipements SNCF (sous "forme billettique") :  le titre de transport devient invalide, l'invalidation ne concernant que l'abonnement mensuel de la SNCF et non les éventuels autres titres de transport que la carte à puce pourrait contenir.  L'abonnement étant résilié, le client peut souscrire un nouvel abonnement, dès lors qu'il a régularisé sa situation.     la durée de conservation retenue en matière de gestion des impayés est pertinente :  en effet les informations concernant les impayés sont conservées pendant une durée maximale de 24 mois à compter de la date du second impayé constaté sur une période de 12 mois après le premier impayé.  Si l'abonné régularise sa situation avant ce délai, les informations concernant ses impayés seront effacées dès le paiement de sa dette.   Ainsi il apparaît que les modalités pratiques de mise en oeuvre des traitements relatifs à la prévention et au suivi des impayés présentés par la SNCF satisfont aux principes dégagés et aux recommandations émises par la Commission en matière de gestion de fichiers d'impayés, à savoir notamment le respect du principe de sectorisation, la notification préalable de l'inscription, le
choix d'une durée de conservation pertinente et la définition stricte des motifs d'inscription.   La Commission considère qu'il y a lieu, en l'espèce, de faire application de l'article 25-4° de la loi du 6 janvier 1978 modifiée en août 2004 qui soumet à autorisation préalable de la CNIL les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire.
Les catégories de données à caractère personnel enregistrées seront :   . au titre des traitements relatifs à la délivrance et à l'utilisation des titres de transport l'identité (nom, prénom) de l'abonné ; sa date de naissance ; son numéro de téléphone son adresse ; sa photographie ; le trajet ; la classe et la période de validité.   . au titre des traitements relatifs à la gestion des impayés : l'identité (nom, prénom) du payeur ; sa date de naissance ; son adresse et numéro de téléphone ; ses coordonnées bancaires (code banque / code guichet dans le répertoire des guichet et contrôle de la clé RIB) ;   Les destinataires des informations seront, dans la limite de leurs attributions et, pour la poursuite des finalités suivantes :   . au titre des traitements relatifs à la délivrance, l'utilisation des titres de transport (billetterie et billettique) et à l'émission des avis de prélèvements :  les personnes habilitées du département Marketing de la SNCF et du Centre de relation Client SNCF et des prestataires agréés par la SNCF pour la gestion des abonnements, la fabrication des titres de transport, l'édition du courrier et les renseignements téléphoniques des clients.   . au titre des traitements relatifs à la gestion des impayés : les prélèvements rejetés sont transmis à la Direction des opérations financières de la SNCF qui communique cette information au Centre de gestion.  Dans le cas d'un second impayé dans une période de 12 mois, et lorsque le titre de transport est