AgentPublic/cnil huggingface dataset:
Les catégories de destinataires des informations du fichier ne sont pas élargies : il n’est pas envisagé de permettre aux membres de la juridiction nationale de la rétention de sûreté (qui prend la décision de placement sous surveillance de sûreté avec PSEM, ou de la prolongation de la mesure à l’issue d’un an), d’avoir directement accès aux informations du traitement.
Seul le juge d’application des peines aura accès à ces données (dans la mesure où le contrôle de la surveillance de sûreté avec placement sous PSEM lui est confié), comme c’est le cas pour les personnes placées dans le cadre d’une surveillance judiciaire, d’un suivi socio-judiciaire ou d’une libération conditionnelle.
Dans ces conditions, le projet de décret modificatif dont la Commission est saisie n’appelle pas d’observation.
En revanche, s’agissant du futur accord cadre « marché national PSE-PSEM », la Commission demande que lui soient communiquées les principales dispositions du cahier des charges concernant la protection des données, notamment la gestion des traces, la gestion des habilitations, et les transferts éventuels de données, ainsi, que le moment venu, un bilan de l’étude de sécurité du dispositif.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés,Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment ses articles 9-1° et 25-I-3° ;Vu le code de procédure pénale, notamment son article R.79 ;Vu le code monétaire et financier, notamment ses articles L. 621-9 et suivants et L. 631-1 ;Vu le code des assurances, notamment ses articles L. 143-3, L. 310-12 et suivants, L. 321-1 et suivants, L. 323-1 et suivants, L. 325-1, L. 334-16, L. 413-1 et suivants, et A. 321-2 ;Vu le code de la mutualité, notamment ses articles L. 212-7-16 et L. 510-1 et suivants ;Vu le code de la sécurité sociale, notamment ses articles L. 933-4-13 et L. 951-1 et suivants ;Vu l’article 152 de la loi n° 2008-776 du 4 août 2008 de modernisation de l’économie ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié par le décret n° 2007-451 du 25 mars 2007, pris pour l’application de la loi n° 78-17 du 6 janvier 1978 précitée ;Vu
la décision du 29 novembre 2001 du président du Comité des établissements de crédit et des entreprises d'investissement relative au fichier des dirigeants et actionnaires des établissements de crédit et des entreprises d’investissement (FIDEC) ;Vu le dossier déposé par le Comité des établissements de crédit et des entreprises d'investissement relatif à la modification d’un traitement automatisé de données personnelles dénommé FIDEC, et les réponses apportées par le Comité des entreprises d’assurance et l’Autorité de contrôle des assurances et des mutuelles ;Après avoir entendu M. Bernard PEYRAT, commissaire, en son rapport, et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations, Formule les observations suivantes :Le Comité des établissements de crédit et des entreprises d'investissement (CECEI) a saisi la Commission d'une demande d'autorisation relative à la modification des conditions de mise en oeuvre du traitement automatisé, à ce jour dénommé "FIDEC", dont la finalité est actuellement de centraliser les informations susceptibles de permettre d'apprécier l'expérience, la compétence et l'honorabilité des dirigeants et actionnaires personnes physiques des établissements de crédit et des entreprises d'investissement.Ce traitement permet au CECEI de vérifier l'honorabilité, la compétence et l'expérience des dirigeants des établissements de crédit et des entreprises d'investissement qui lui ont adressé la demande d’agrément préalable à l’exercice de telles
activités, ainsi que la qualité des actionnaires directs ou indirects qui y détiennent une participation qualifiée au regard de la nécessité de garantir une gestion saine et prudente. Le FIDEC n’est qu’un système d’alerte et non une base documentaire exhaustive.Le traitement est consulté et enrichi par le Secrétariat général de la Commission bancaire et l’Autorités des marchés financiers (AMF) qui participent également, chacun dans son domaine de compétence (par exemple, pour l’AMF, les sociétés de gestion de portefeuille), si nécessaire en collaboration avec le CECEI, à la surveillance et au contrôle des mêmes organismes et de leurs dirigeants.Les modifications qu’il est envisagé d’apporter au traitement visent, d’une part, à autoriser les deux autorités de régulation des entreprises d’assurance, le Comité des entreprises d’assurance (CEA) et l’Autorité de contrôle des assurances et des mutuelles (ACAM), à consulter et enrichir le FIDEC, d’autre part, à modifier les conditions de consultation du casier judiciaire.Sur l’application au traitement de la procédure d’autorisation par la CNILLes modifications apportées au traitement influent sur les conditions de collecte et d’utilisation des informations enregistrées qui se rapportent aux condamnations inscrites au casier judiciaire ou qui concernent les décisions de justice rendues par la Commission des sanctions de l’AMF et la Commission bancaire.La Commission rappelle, à cet égard, que le 1° de l'article 9 de la loi du 6
janvier 1978 autorise notamment les autorités publiques, lorsqu’elles agissent dans le cadre de leurs attributions légales, à mettre en œuvre des traitements de données à caractère personnel relatives aux infractions et condamnations.Elle considère, dans ces conditions, qu'il y a lieu de faire application des dispositions de l'article 25-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation de la CNIL les traitements qui portent sur des données relatives aux infractions, condamnations ou mesures de sûreté.Sur les conséquences de l’extension du fichier FIDEC au secteur de l’assuranceLa Commission constate, en premier lieu, que le CEA et l’ACAM exercent, à l’égard des dirigeants des entreprises d’assurance et de réassurance, des compétences analogues à celles du CECEI et de la Commission bancaire pour les établissements de crédit et les entreprises d’investissement.Outre les entreprises d’assurance et de réassurance, entrent dans le nouveau champ d’application du traitement, du fait du contrôle qu’exercent à leur égard le CEA ou l’ACAM, les intermédiaires d’assurance, les mutuelles, unions et fédérations régies par le code de la mutualité, les institutions de prévoyance, les institutions de retraite supplémentaire et les institutions de gestion de retraite supplémentaire du code de la sécurité sociale et du code rural.Les dirigeants des entreprises susmentionnées, au même titre que les dirigeants des établissements de crédit et des entreprises d'investissement,
sont en particulier soumis à une surveillance particulière du fait des responsabilités spécifiques qu’ils exercent tant vis-à-vis de leurs clients que de la place financière française.En deuxième lieu, si cette surveillance est actuellement exercée par des autorités distinctes pour les secteurs bancaire et de l’assurance, les articles L. 631-1 du code monétaire et financier et L. 310-20 du code des assurances demandent au CECEI, à la Commission bancaire, à l'ACAM, au CEA et à l'AMF de coopérer entre eux et, à cette fin, de se communiquer les renseignements utiles à l'accomplissement de leurs missions respectives.En troisième lieu, l’article 152 de la loi susvisée du 4 août 2008 autorise le Gouvernement à prendre par voie d'ordonnance les mesures relevant du domaine de la loi qui sont nécessaires pour redéfinir les missions, l'organisation, les moyens, les ressources, la composition et les règles de fonctionnement et de coopération des autorités d'agrément et de contrôle du secteur bancaire et de l'assurance en prévoyant notamment le rapprochement de tout ou partie de ces autorités.Dès lors, l’extension de la finalité du fichier FIDEC correspond à un objectif d’intérêt public arrêté par le Législateur. Il est prévu, par voie de conséquence, d’enregistrer de nouvelles catégories de données dans FIDEC :- les nom, prénoms, sexe, date et lieu de naissance, nationalité, adresse personnelle, identité des parents (pour les personnes nées à l’étranger ou dans les territoires
d’outre-mer), formations, diplômes et carrières professionnelle des dirigeants des entreprises d’assurance et de réassurance, des intermédiaires d’assurance, des mutuelles, unions et fédérations, des institutions de prévoyance, des institutions de retraite supplémentaire et des institutions de gestion de retraite supplémentaire : présidents des conseils d’administration, directeurs généraux et directeurs généraux délégués, présidents des directoires et leurs membres portant le titre de directeur général, autres personnes appelées à exercer en fait des fonctions équivalentes,- les références des dossiers, courriers et questionnaires transmis et documents relatifs aux personnes physiques ou morales inscrites,- les refus d’agrément des entreprises d’assurance ou de réassurance,- les retraits de candidature d’un dirigeant et retraits de dossier d’agrément,- la constatation de la transmission de renseignements inexacts par un dirigeant,- les mesures de police et sanctions administratives et disciplinaires prononcées à l’encontre des catégories de personnes morales susmentionnées, de leurs dirigeants, des associés et des tiers ayant un pouvoir de gestion ou d’administration : décisions de placement sous administration provisoire, avertissements, blâmes, limitations dans l’exercice de l’activité, suspensions temporaires et démissions d’office de dirigeants, retraits d’agrément et radiations du registre, interdictions de pratiquer, transferts d’office de tout ou partie du
portefeuille de contrats, sanctions pécuniaires.Ces informations paraissent pertinentes au regard de l’extension de finalité du traitement. La Commission note cependant qu’il ne sera procédé à aucune inscription rétroactive de mesures de police ou de sanctions, que seules des sanctions ou décisions défavorables non amnistiées sont conservées dans la base et que les recours dont font l’objet les sanctions sont également mentionnés.S'agissant des données collectées directement auprès des personnes concernées, celles-ci seront informées, par le questionnaire de demande d'agrément, du fondement juridique de la collecte, du caractère obligatoire des réponses à fournir, des organismes destinataires, de la possibilité d'exercer leur droit d'accès et de rectification auprès du CECEI.Les notifications de décision prise par l’ACAM mentionneront l’inscription des données au FIDEC, l’identité du responsable de ce traitement, les catégories de destinataires du fichier, les circuits d’informations mis en place pour la consultation du casier judiciaire, du fichier bancaire des entreprises (FIBEN) de la Banque de France et de la base de données des agents financiers (BAFI) du CECEI, ainsi que les modalités d’exercice des droits d’accès et de rectification.La consultation du FIDEC est réservée à certains agents du CEA et de l’ACAM munis d’une carte personnelle d’accès. L’ensemble des membres et agents habilités de ces organismes pourront, par leur intermédiaire, avoir communication des
informations qui y sont enregistrées.Ces modifications du traitement FIDEC sont adéquates, pertinentes et non excessives au regard des finalités du traitement et n’appellent pas d’autres observations au regard de la loi du 6 janvier 1978.Sur la modification des conditions d’accès automatisé au bulletin B2 du casier judiciaire des personnes Afin de pouvoir disposer de l'ensemble des éléments et documents permettant d'apprécier l'honorabilité des dirigeants et la qualité des actionnaires des établissements de crédit et des entreprises d'investissement, ainsi que l’honorabilité des dirigeants des entreprises d’assurance et de réassurance, des intermédiaires d’assurance, des mutuelles, unions et fédérations,  des institutions de prévoyance, des institutions de retraite supplémentaire et des institutions de gestion de retraite supplémentaire, le CECEI et les autres autorités associées au FIDEC souhaitent compléter les conditions de communication du bulletin n° 2 du casier judiciaire en prévoyant : - une interrogation ponctuelle concernant les dirigeants ou actionnaires significatifs actuels susmentionnés, lorsque des renseignements négatifs ont été portés à la connaissance de l’une des autorités utilisatrices du fichier ;- une interrogation systématique, au moins tous les six mois, portant sur les dirigeants des organismes en fonction, afin de vérifier qu’ils continuent de satisfaire aux conditions requises d’honorabilité.Seule la réponse électronique du casier judiciaire est
conservée dans FIDEC sous la forme "néant au bulletin n° 2", "inscription au bulletin n° 2" ou "erreur dans la demande". Ces réponses ne sont pas conservées plus de deux mois dans la base lorsqu’elles concernent des personnes physiques qui ne sont plus recensées dans le fichier au titre d’une activité dans un établissement assujetti.Ces nouvelles modalités de consultation du casier judiciaire sont adéquates, pertinentes et non excessives au regard des finalités du traitement.La Commission rappelle cependant que les modalités de délivrance à des autorités publiques du bulletin n° 2 du casier judiciaire sont définies par les articles 776 et R.79 et suivants du code de procédure pénale. Elle constate que ces dispositions ne prévoient pas, en l’état, l’interrogation du service du casier judiciaire par le CECEI pour le compte de ses partenaires au sein du FIDEC, ni la mise en commun entre les services utilisateurs du FIDEC des données ainsi recueillies.Elle prend acte que le projet de décret dont la CNIL avait été saisie en 2001 par le ministère de la Justice pour modifier l’article R. 79 du code de procédure pénale afin que le CECEI et, par l’intermédiaire de la base FIDEC, le CMF, la COB et la CB, aient accès aux informations obtenues, n’a jamais été signé. En conséquence, la Commission constate que l’article R. 79 précité doit être complété afin de prévoir la délivrance du bulletin n° 2 au Comité des établissements de crédit et des entreprises d'investissement, à l’Autorité
des marchés financiers, à la Commission bancaire, au Comité des entreprises d’assurance et à l’Autorité de contrôle des assurances et des mutuelles, séparément ou par le biais de tout traitement automatisé qui leur sera commun.Dans l’attente de la modification de l’article R.79 précité, la Commission n’autorise pas, en l’état, le CECEI à modifier les conditions de mise en œuvre du traitement FIDEC.Alex TURK
(demande d’autorisation n°1293349)
La Commission nationale de l’informatique et des libertés ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Vu la demande d’autorisation formulée par l’Urssaf de Paris – région parisienne concernant la mise en œuvre d'un traitement automatisé de données à caractère personnel ayant pour finalité la prévention et détection des fraudes en matière de recouvrement des cotisations et contributions sociales.
Après avoir entendu M. Hubert BOUCHET, Commissaire, en son rapport, et Mme Pascale COMPAGNIE, commissaire du gouvernement, en ses observations ;
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés a été saisie par l’Urssaf de Paris –région parisienne d’un dossier de déclaration relatif à un traitement expérimental destiné à la prévention et à la détection des fraudes.
L’objectif poursuivi par le déclarant est de détecter le plus en amont possible certaines situations objectives et strictement limitées susceptibles de présenter un risque sérieux pour le recouvrement des cotisations et contributions sociales, et de contribuer en collaboration avec les pouvoirs publics à la lutte contre la fraude et le travail illégal.
Le dispositif envisagé par l’Urssaf permet de collecter des données à caractère personnel relatives aux personnes physiques dirigeants d’entreprises portant sur des infractions ou des condamnations pénales tels que le travail illégal, l’établissement de fausses déclarations de paiement des cotisations, ainsi que des condamnations civiles comme l’interdiction de gérer et la faillite personnelle.
Ces données seront rapprochées avec le fichier des entreprises nouvellement immatriculées sur la base du nom et du prénom des dirigeants, de leur date et lieu de naissance, et le cas échéant, de leur adresse professionnelle et personnelle.
A l’issue du rapprochement, et après analyse au cas par cas des données par une cellule spécialisée dédiée à la lutte contre la fraude, l’Urssaf de Paris envisage de répertorier les dirigeants ayant fait l’objet de l’une des six situations suivantes : liquidation judiciaire, interdiction de gérer, faillite personnelle, travail dissimulé, production de fausses attestations de paiement des cotisations, déclarations de salaires minorées ou atypiques, déclarations uniques d’embauche non suivies d’effet.
L’inscription dans le fichier des cotisants à risque pourra ainsi conduire l’Urssaf de Paris à prendre des décisions sur les suites à donner à certains dossiers après examen détaillé de chaque situation. La Commission prend acte qu’aucune décision automatique ne sera prise et que les mesures envisagées ne sont nullement dérogatoires aux règles de droit commun.
Il y a lieu, en l’espèce, de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée en août 2004 qui soumet à autorisation préalable de la CNIL les traitements automatisés portant des données relatives aux infractions, condamnations ou mesures de sûreté.
Le traitement soumis à la Commission est un traitement expérimental d’une durée de 24 mois. A l’issue de cette expérimentation, l’Urssaf de Paris s’est engagée à saisir la Commission et lui adresser un bilan de l’expérimentation pour qu’elle autorise la reconduction ou l’extension du traitement.
Les données à caractère personnel enregistrées et traitées seront les suivantes: 
Données relatives aux entreprises et dirigeants présentant l’une des situations suivantes : liquidation judiciaire, interdiction de gérer, faillite personnelle, travail dissimulé, production de fausses attestations de paiement des cotisations, déclarations de salaires minorées ou atypiques, déclarations uniques d’embauche non suivies d’effet ;
Coordonnées des entreprises concernées, à savoir : raison sociale, adresse, n° Siren, n° Siret, n° de compte Urssaf ;
Coordonnées des dirigeants, à savoir : nom patronymique, nom d’usage, prénom, civilité, date et lieu de naissance, adresse personnelle ;
Montant, période et la nature des créances de l’Urssaf à l’égard des entreprises concernées ;
Procédures engagées et jugements rendus à l’encontre des entreprises concernées et le cas échéant, de leurs dirigeants.
L’inscription d’un dirigeant sur le fichier des cotisants à risque ne peut résulter que de motifs objectifs opposables à la personne concernée, faisant abstraction de tout jugement de valeur ou d’une appréciation sur son comportement et représentant un certain niveau de gravité.
La Commission prend acte de l’engagement de l’Urssaf de déterminer des seuils minimums s’agissant du montant des cotisations et contributions à recouvrer.
Elle prend également bonne note du fait que les personnes physiques ayant formellement contesté les créances dues à l’Urssaf ou en cours de procédure amiable ou judiciaire ne seront pas inscrites dans le fichier des cotisants à risque. Leur inscription ne pourra intervenir qu’une fois le différend tranché et les voies de recours épuisées.
Enfin, elle constate que des mesures ont été prises pour pallier tout risque d’homonymie (collecte de la date et du lieu de naissance des personnes physiques).
Les données seront conservées cinq années à compter de la date de commission des faits.
La Commission relève que l’Urssaf de Paris s’est engagée à mettre en œuvre des procédures de mise à jour et de suppression des informations des données pour effacer du fichier les enregistrements correspondant à des faits commis depuis plus de cinq ans.
Seule une cellule spécialisée dédiée la lutte contre la fraude et composée de six personnes sera rendue destinataire des données.
Les membres de cette cellule sont physiquement installés au siège de l’Urssaf de Paris et leurs postes de travail sont protégés par des mots de passe individuels. L’accès au fichier des cotisants à risque n’est possible qu’après identification de l’utilisateur. Les connexions ou tentatives de connexion sur le compte d’un des membres de la cellule font l’objet d’un enregistrement.
Les cotisants seront informés, au moment de la collecte des informations les concernant, par une mention apposée sur les formulaires, précisant notamment que toute fraude ou fausse déclaration pourra faire l’objet d’un traitement informatique spécifique. La Commission prend acte qu’elle sera informée des mentions d’information figurant sur les documents de l’Urssaf -lors du bilan qui lui sera présenté à l’issue de l’expérimentation du traitement.
Les personnes seront également informées par la publication de l’acte réglementaire dans le bulletin officiel et par un affichage de ce même acte dans les locaux de l’Urssaf où sont reçus les cotisants. 
Le droit d’accès et de rectification défini au chapitre VII de la loi s’exercera auprès de l’Urssaf de Paris et de la région parisienne - Correspondant Informatique et Libertés, 22-24, rue de Lagny, 93100 – Montreuil-sous-Bois
Dans ces conditions, la Commission autorise l’Urssaf de paris – région parisienne à mettre en œuvre, pour une durée de 24 mois,  le traitement de données à caractère personnel ayant pour finalité la prévention et la détection des fraudes en matière de recouvrement des cotisations et contributions sociales.
Le Président
Alex TURK
(autorisation n°1254228)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique et notamment les articles L. 6321-1, R.1111-9 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, et notamment ses articles 8-IV et 25 ; 
Vu la loi n° 2007-127 du 30 janvier 2007 ratifiant l'ordonnance n° 2005-1040 du 26 août 2005 relative à l'organisation de certaines professions de santé et à la répression de l'usurpation de titres et de l'exercice illégal de ces professions et notamment son article 25 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Jean-Pierre de LONGEVIALLE, commissaire, et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;