AgentPublic/cnil huggingface dataset:
Considérant que la Caisse Nationale d'Assurance Vieillesse des Travailleurs Salariés a saisi la Commission Nationale de l'Informatique et des Libertés d'une demande d'avis portant sur la transmission par le réseau Internet, des déclarations annuelles de données sociales établies par les employeurs en 1999 pour l'exercice 1998 ; que cette procédure sera proposée aux entreprises volontaires de moins de 3.000 salariés dans le ressort de chaque caisse régionale d'assurance maladie, dans la limite de cinquante entreprises ;   Considérant que les données transmises seront conservées par la CNAV pendant la durée nécessaire à la transmission aux différents partenaires énumérés par l'arrêté du 10 mai 1996 pris en application de l'article 1er du décret n° 85-1343 du 16 décembre 1985, soit au maximum trois mois ;   Considérant qu'eu égard au caractère confidentiel des informations traitées, la Caisse Nationale d'Assurance Vieillesse des Travailleurs Salariés a pris un certain nombre de précautions afin d'assurer la sécurité des données transmises sur le réseau Internet ; qu'ainsi, en particulier, une procédure d'authentification entre les sites, de chiffrement des données et de signature électronique est destinée à éviter que les données transférées ne soient déformées, endommagées ou communiquées à des tiers non autorisés ; que ce protocole sécurisé dénommé SSL a été autorisé par le service central de la sécurité des systèmes d'information (SCSSI) ;   Considérant que la protection
du site central de la Caisse Nationale d'Assurance Vieillesse des Travailleurs Salariés est assurée par un dispositif de filtrage, de type pare-feu, destiné à garantir l'accès contre les risques d'intrusion sur le réseau ;   Considérant que la Caisse Nationale d'Assurance Vieillesse des Travailleurs Salariés a transmis à la Commission le bilan des deux précédentes expérimentations qui ont eu lieu en 1997 et 1998 ; qu'elle a également adressé deux rapports d'audit réalisés en octobre et novembre 1998 par un organisme extérieur et relatifs à la sécurité des dispositifs et des techniques utilisées ;   Considérant que le rapport d'audit réalisé en novembre 1998 conclut que "l'application TDSNET a désormais un niveau de sécurité suffisant pour l'ouverture du service" ;   Considérant que, eu égard aux éléments du dossier, les mesures de sécurité adoptées sont satisfaisantes en l'état actuel des solutions techniques disponibles ;   Considérant que les salariés des entreprises concernées par la procédure TDS-Internet seront informés de sa mise en place et des droits qui leur sont reconnus par la loi du 6 janvier 1978 ;
EMET un AVIS FAVORABLE au projet d'acte réglementaire présenté par la Caisse Nationale d'Assurance Vieillesse des Travailleurs Salariés décidant de la mise en place d'une procédure destinée à permettre à une cinquantaine d'entreprises volontaires de moins de 3.000 salariés par ressort de caisse régionale d'assurance maladie de s'affranchir de leurs formalités obligatoires (déclaration annuelle de données sociales) pour l'exercice 1998 par le moyen du réseau Internet ;   PREND ACTE de ce que la CNAV, dans une phase de généralisation, envisage de passer à un chiffrement plus fort (de 40 bits à 56 bits et plus) dans la mesure des dispositions législatives et réglementaires en vigueur ;   DEMANDE à être destinataire du bilan de la procédure qui sera réalisée en 1999.   Le Président, Jacques FAUVET
DECISION ANNULEE PAR UNE DECISION DU CONSEIL D'ETAT DU 30 OCTOBRE 2001
La Commission nationale de l'informatique et des libertés, Vu le traité instituant la Communauté européenne, et notamment son article 7 ; Vu la convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; Vu le code pénal ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 78-774 du 17 juillet 1978 modifié pris pour l'application des chapitres Ier à IV et VII de la loi du 6 janvier 1978 susvisée ; Vu la délibération n° 87-25 du 10 février 1987 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ; Vu la délibération n° 80-23 du 8 juillet 1980 modifiée concernant les traitements automatisés d'informations nominatives relatifs à la gestion des crédits ou des prêts consentis à des personnes physiques par les établissements de crédit (norme simplifiée n° 13) ; Vu la délibération n° 88-83 du 5 juillet 1988 portant adoption d'une recommandation relative à la gestion des crédits ou des prêts consentis à des personnes physiques par les établissements de crédit ; Vu les délibérations n° 98-042 du 28 avril 1998 et n° 98-049 du 26 mai 1998 décidant d'une vérification sur place auprès de plusieurs établissements de crédit ; Vu les comptes rendus notifiés le 20 novembre 1998 aux établissements contrôlés et les observations en réponse produites par ces différents établissements ;
Après avoir entendu M. Benoist (Michel) et M. Chahid-Nouraï (Noël), commissaires, en leur rapport, et Mme Pitrat (Charlotte-Marie), commissaire du Gouvernement en ses observations ;
Considérant qu'à la suite de la divulgation par la presse de pratiques d'établissements de crédit utilisant la nationalité comme critère discriminant dans l'instruction des demandes de prêt, voire comme critère de refus en ce qui concerne les ressortissants de certains Etats étrangers considérés comme "statistiquement risqués", la commission a engagé une série de contrôles sur place dans huit établissements de crédit ; Considérant que ces missions avaient pour objet de vérifier les conditions dans lesquelles sont collectées, enregistrées et utilisées les informations, notamment celle relative à la nationalité, à partir desquelles sont prises les décisions concernant les demandes de prêt ; Considérant que l'ensemble des établissements contrôlés recourent pour l'appréciation du risque du crédit présenté par un demandeur à des moyens automatisés, et notamment à la technique du "score" qui repose sur l'attribution automatique d'un certain nombre de "points" aux renseignements fournis lors de la demande de prêt ; que ces "points" sont attribués à partir de calculs statistiques et de probabilités sur la capacité de remboursement du candidat au crédit, qui prend en considération tant sa situation familiale que professionnelle et bancaire ; Considérant que si l'octroi d'un crédit relève nécessairement de la libre appréciation du prêteur, les traitements automatisés mis en oeuvre à cette fin ne peuvent l'être que dans le respect de la loi, et tout particulièrement de la loi du 6
janvier 1978 relative à l'informatique, aux fichiers et aux libertés ainsi que de la convention du Conseil de l'Europe du 28 janvier 1981 ; Considérant que la commission avait déjà pris position sur la technique du score dans une recommandation du 5 juillet 1988 relative à la gestion des crédits ou des prêts consentis à des personnes physiques par les établissements de crédit ; Considérant en effet que l'article 2 de la loi du 6 janvier 1978 précise qu'aucune décision impliquant une appréciation sur un comportement humain ne peut avoir pour seul fondement un traitement automatisé d'informations donnant une définition du profil ou de la personnalité de l'intéressé ; que, de surcroît, la circonstance que le "score" ne constitue qu'une aide à la décision, non exclusive d'une appréciation humaine, ne saurait justifier que les informations utilisées dans le traitement du "score" échappent à l'exigence posée par l'article 5 c de la convention n° 108 du Conseil de l'Europe aux termes duquel les informations nominatives faisant l'objet d'un traitement doivent être pertinentes, adéquates et non excessives ; qu'enfin, l'article 3 de la loi précitée reconnaît à toute personne le droit de connaître et de contester les informations et les raisonnements utilisés dans les traitements automatisés dont les résultats lui sont opposés ;
Considérant que la collecte de la nationalité ne peut se justifier qu'au titre d'élément d'état civil ; qu'il est apparu lors des missions de contrôle que la grande majorité des établissements contrôlés collecte la nationalité sous la forme "Français-CEE-Autres", conformément à la norme simplifiée n° 13 sur la gestion des crédits et des prêts consentis à des personnes physiques ; que, toutefois, certains établissements intègrent la nationalité sous la forme "France, CEE, Autre" dans leur grille de score et accordent une pondération différente à chacune de ces variables ; Considérant que les méthodes mises en oeuvre par les établissements de crédit ne doivent pas conduire à des décisions de rejet des demandes de prêt qui reposeraient sur des critères discriminants illégitimes, voire contraires à la loi ; Considérant qu'admettre que l'information relative à la nationalité soit pondérée différemment selon la nationalité serait considérer que celle-ci constituerait un critère pouvant déterminer de manière significative un comportement, indifféremment des conditions sociales, financières ou matérielles caractérisant la situation de l'intéressé ; Considérant qu'il y a lieu de rappeler que l'article 7 du traité instituant la Communauté européenne interdit d'établir des discriminations entre Français et ressortissants d'un autre Etat membre de la Communauté européenne et que les articles 225-1 et 225-2 du code pénal sanctionnent toute distinction opérée entre les personnes
physiques, dans le cadre de la fourniture d'un bien ou d'un service, en raison de l'appartenance ou de la non-appartenance, vraie ou supposée, des personnes physiques à une nation ; Considérant au surplus que l'information relative à la nationalité des demandeurs n'a pas de caractère pertinent au sens de l'article 5 c de la convention n° 108 du Conseil de l'Europe au regard de la finalité d'un traitement visant à apprécier le risque de crédit ; Considérant que certains établissements de crédit ainsi que l'Association française des sociétés financières (ASF) font cependant valoir qu'une pondération différente entre ressortissants français, ressortissants d'autres Etats membres de la Communauté européenne et ressortissants d'un autre pays du monde, c'est-à-dire entre des catégories regroupant, pour les deux dernières, plusieurs nationalités sans qu'il soit distingué entre elles au sein d'une même catégorie, permet de tenir compte des difficultés plus ou moins grandes et onéreuses de recouvrement des créances dans l'hypothèse où le débiteur regagnerait son pays d'origine ; qu'il est ainsi soutenu que, sans être de nature à porter atteinte à la vie privée ou aux libertés, l'information enregistrée selon de telles modalités serait pertinente au regard de la finalité du traitement ;
Considérant que si cet argument est susceptible de justifier l'éventuelle prise en compte dans le "score" de la durée de validité du titre de séjour des ressortissants étrangers vivant en France, en tout cas pour les crédits comportant un long échelonnement d'amortissement, il ne saurait rendre légitime la distinction entre Français, ressortissants d'autres Etats membres de la Communauté européenne et étrangers, tant au regard des dispositions de l'article 7 du traité instituant la Communauté européenne qu'au regard des dispositions, stipulations et observations ci-dessus exposées ; que, de surcroît il y a lieu de relever que l'hypothèse dans laquelle un ressortissant étranger vivant en France et souscrivant un crédit retournerait dans son pays d'origine avant l'expiration de la durée de validité de son titre de séjour ne saurait à elle seule justifier que, de manière générale, le nombre de points affectés par l'ordinateur aux demandeurs de crédit soit différent selon que ce demandeur est français, ressortissant d'un Etat membre de la Communauté européenne ou ressortissant d'un Etat tiers ;
Décide de modifier la recommandation du 5 juillet 1988 susvisée ainsi qu'il suit : Sur le calcul automatisé de l'appréciation du risque, ajouter un deuxième alinéa ainsi rédigé : "Que la nationalité ne peut constituer une variable entrant en ligne de compte dans ce calcul, qu'elle soit considérée sous la forme "Français, ressortissant CEE, Autres" ou a fortiori enregistrée en tant que telle" ; Sur les données enregistrées, ajouter un troisième alinéa ainsi rédigé : "Que dans le cadre de l'appréciation du risque et au-delà du calcul automatisé qui en est fait, seule la prise en compte de la stabilité de la résidence du demandeur de crédit sur le territoire français constitue une information pertinente." Le président, Jacques FAUVET
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, et notamment ses articles 6, 17 et 21 (1°), pris ensemble le décret n° 78-774 du 17 juillet 1978 ;   Vu la délibération n° 81-89 du 21 juillet 1981 concernant les traitements automatisés d'informations nominatives relatifs à la gestion des membres des associations à but non lucratif régies par la loi du 1er juillet 1901 ;   Considérant qu'il y a lieu d'alléger les formalités préalables à la mise en oeuvre des traitements ayant pour finalité la gestion par une association du fichier de ses adhérents en supprimant l'obligation de joindre en annexe au formulaire de déclaration de conformité à la norme la liste des informations recueillies ainsi que l'article des statuts définissant l'objet de l'association et en élargissant le champ d'application du texte aux traitements ayant pour finalité l'édition d'annuaires de membres d'une association ;   Considérant qu'il y a lieu de préciser les catégories d'informations qui sont exclues du bénéfice de la norme simplifiée n° 23 et de rappeler les droits reconnus par la loi du 6 janvier 1978 aux personnes concernées par le traitement ;
DECIDE :   L'article 2 de la norme simplifiée n° 23 est complété par un alinéa ainsi rédigé :   "c) d'établir des annuaires de membres, à l'exception des annuaires mis à la disposition du public sur le réseau Internet."   L'article 3 est ainsi rédigé :   "Article 3 Catégories d'informations traitées et droits des personnes concernées   I - Catégories d'informations traitées :   Les informations collectées et traitées doivent être adéquates, pertinentes et non excessives au regard de l'objet de l'association.   Ne peuvent être collectées ni traitées dans le cadre de la présente norme les informations suivantes :   - les informations susceptibles de faire apparaître, directement ou indirectement, les origines raciales ou les opinions politiques, philosophiques ou religieuses ou les appartenances syndicales ou les moeurs des personnes (article 31 de la loi du 6 janvier 1978) ;   - les informations concernant les infractions, condamnations ou mesures de sûreté (article 30 de la loi du 6 janvier 1978) ;   - les informations relatives à la santé des personnes concernées ;   - les informations relatives aux difficultés sociales et économiques des personnes ;   - le numéro d'inscription au répertoire d'identification des personnes (n° INSEE ou n° de sécurité sociale) (article 18 de la loi du 6 janvier 1978).
II - Droits des personnes concernées :   L'association s'engage à respecter les dispositions de l'article 27 de la loi du 6 janvier 1978 en informant les personnes, lors de leur adhésion, du caractère obligatoire ou facultatif des informations demandées, des conséquences d'un défaut de réponse, des catégories de destinataires des informations et du lieu où s'exerce le droit d'accès et de rectification.   Lorsque les informations figurent dans un annuaire appelé à être diffusé, les adhérents doivent en être préalablement informés et doivent être mis en mesure de s'opposer à ce que tout ou partie des informations les concernant soient publiées."   L'article 5 est complété par un dernier alinéa ainsi rédigé :   "En outre, et sous réserve des dispositions de l'article 3 II de la présente norme, les informations relatives aux membres de l'association peuvent faire l'objet d'une diffusion sous la forme d'un annuaire dans les conditions prévues par l'article 2 c)."   L'article 6 est ainsi rédigé :   "Tout traitement dont les caractéristiques ne sont pas conformes aux dispositions précitées doit faire l'objet d'une déclaration ordinaire ou d'une demande d'avis, au moyen, le cas échéant, du formulaire de déclaration spécifique de traitements mis en oeuvre dans le cadre d'un site Internet."   Le Président, Michel GENTOT
La Commission nationale de l'informatique et des libertés ;   Vu la convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, ainsi que son décret d'application n° 78-774 du 17 juillet 1978 ;   Vu la loi n° 79-18 du 3 janvier 1979 sur les archives ;   Vu la loi n° 90-614 du 12 juillet 1990 relative à la participation des organismes financiers à la lutte contre le blanchiment des capitaux provenant du trafic de stupéfiants, modifiée par la loi n° 93-122 du 29 janvier 1993, la loi n° 96-392 du 13 mai 1996, la loi n° 98-546 du 2 juillet 1998, et notamment ses articles 16 et 22 ;   Vu le décret du 9 mai 1990 portant création d'une cellule de coordination chargée du traitement du renseignement et de l'action contre les circuits financiers clandestins (TRACFIN) ;   Vu le décret n° 91-160 du 13 février 1991 fixant les conditions d'application de la loi n° 90-614 du 12 juillet 1990 ;   Vu le projet d'arrêté présenté par le ministère de l'économie, des finances et de l'industrie ;   Après avoir entendu Monsieur Noël CHAHID-NOURAI en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement, en ses observations ;   Considérant que le ministère de l'économie, des finances et de l'industrie a saisi la Commission nationale de l'informatique et des libertés d'une demande
d'avis relative à un traitement, dénommé "TRACINFO", qui est mis en oeuvre par la cellule Tracfin, dont l'une des missions est de recevoir et d'analyser les déclarations, dites de soupçon, adressées par les institutions financières et les personnes qui réalisent, contrôlent ou conseillent des opérations portant sur l'acquisition, la vente, la cession ou la location de biens immobiliers, lorsqu'elles détectent des opérations financières inhabituelles ou suspectes qui paraissent liées au blanchiment des capitaux provenant du trafic de stupéfiants ou de l'activité d'organisations criminelles, dans le but d'en aviser le procureur de la République.
Considérant que la finalité du traitement "TRACINFO" est d'apporter une aide à la lutte contre les circuits financiers clandestins et le blanchiment de l'argent à partir des renseignements portés sur les déclarations de soupçon, et plus particulièrement :   - l'enregistrement, la consultation des déclarations et la réalisation des analyses nécessaires pour appréhender les opérations financières complexes qui donnent lieu à plusieurs déclarations,   - l'édition des accusés de réception prévus à l'article 6 de la loi du 12 juillet 1990,   - le suivi des suites données aux enquêtes réalisées,   - la tenue du fichier des personnes physiques ou morales soupçonnées de participer à des circuits financiers clandestins fiés au trafic de stupéfiants ou à l'activité d'organisations criminelles sur la base d'une déclaration,   - la gestion des informations relatives à l'identité des dirigeants des organismes financiers et de leurs préposés qui sont en charge des relations avec la cellule Tracfin ;   Considérant que les informations ainsi enregistrées dans l'application ne peuvent, en aucun cas, être utilisées à des fins étrangères à l'application de la loi du 12 juillet 1990 ;   Considérant que les catégories d'informations traitées seront nécessairement en rapport direct avec une déclaration de soupçon et concernent :   - pour les personnes physiques impliquées ou soupçonnées :  le nom, le prénom, le surnom, le sexe, la nationalité, la date et le lieu de naissance, le nom des
ascendants, la situation familiale, les adresses, le n° de téléphone, la profession, l'employeur, les références de la pièce d'identité,   - pour les personnes morales :  la raison sociale, la forme juridique, la nationalité, l'adresse, le n° de téléphone, l'identité des dirigeants et des principaux actionnaires,   - pour les déclarations de soupçon :  le type de déclaration, l'organisme financier déclarant, le n° de compte, le nom de l'enquêteur, la description de l'affaire, l'origine et la description des mouvements financiers, les suites apportées,   - pour les organismes financiers :  l'identité, l'habilitation et le n° de téléphone des correspondants, les déclarations de soupçon effectuées ;   Considérant que ne sont pas conservés dans le traitement l'ensemble des opérations opérées sur les comptes ayant fait l'objet d'une déclaration de soupçon, mais les seuls mouvements financiers suspects portés sur la déclaration ; que l'identité des ascendants n'est saisie que dans les cas d'affaires de blanchiment de trafic de type familial ou pour assurer une meilleure identification des personnes ;   Considérant, en outre, que les zones "commentaires" prévues dans l'application ne devront comporter que des informations indispensables pour le traitement de l'affaire dans laquelle la personne est soupçonnée ou impliquée ; que le projet d'acte réglementaire devra être complété sur ce point ;
Considérant que le délai maximum de conservation des déclarations de soupçon et des renseignements obtenus par voie d'enquête est de dix années à compter de leur réception ; que cette durée ne peut en aucun cas être prorogée ; que toutefois, cette règle ne s'oppose pas à l'effacement immédiat des informations concernant des affaires pour lesquelles la cellule Tracfin est en possession d'éléments suffisants pour lever sans équivoque tout soupçon ;   Considérant que le traitement "TRACINFO" est purement interne à la cellule Tracfin ; que seuls des agents de la cellule Tracfin dûment habilités bénéficient d'un accès direct au traitement ;   Considérant que les informations traitées peuvent être communiquées :   - aux procureurs de la République,   - aux fonctionnaires de l'office central de répression de la grande délinquance financières, en qualité d'officiers de police judiciaire désignés par le ministère de l'intérieur au titre de l'article 16 de la loi du 12 juillet 1990,   - aux services des douanes,   - aux autorités de contrôle des organismes financiers au sens de l'article 16 de la loi précitée,   - aux autorités étrangères exerçant des compétences analogues à la cellule Tracfin, sur la base d'accords administratifs d'assistance concernant l'échange de renseignements ;   Considérant que si ces personnes peuvent être rendues destinataires des analyses et expertises préparées par la cellule Tracfin à partir de données issues du traitement "TRACINFO", celles-ci ne
peuvent pas avoir communication d'informations directement issues d'une déclaration de soupçon, et notamment de précisions sur la déclaration à l'origine d'une procédure ou sur son auteur ; que l'article 4 du projet d'arrêté devra être complété en ce sens ;   Considérant, s'agissant des flux transfrontières de données, que l'article 22 de la loi du 12 juillet 1990 prévoit que ceux-ci doivent respecter les dispositions législatives et les conventions internationales applicables en matière de protection de la vie privée et de communication des données à caractère nominatif ;