AgentPublic/cnil huggingface dataset:
Formule les observations suivantes :   La Commission nationale de l'informatique des libertés a été saisie le 15 décembre 2006 par la Commission bancaire d'un dossier de formalité préalable relatif à la mise en oeuvre d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès au contenu de clés USB.   Il y a lieu de faire application des dispositions prévues à l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.   Afin d'améliorer la gestion des documents confidentiels transmis à ses membres en séance, la Commission bancaire, chargée de contrôler le respect par les établissements de crédit et par les entreprises d'investissement des dispositions législatives et réglementaires qui leur sont applicables et de sanctionner les manquements constatés, souhaite se doter de clés USB sécurisées par reconnaissance de l'empreinte digitale de l'utilisateur.   Le dispositif présenté à la Commission reposera sur l'enregistrement du gabarit de l'empreinte digitale dans une clé USB de cinq personnes au maximum à savoir un membre de la Commission bancaire, des assistants et les personnels du secrétariat général de la Commission bancaire dont l'administrateur de la clé.   La clé USB est divisée en deux partitions :  une partition privée pour le stockage des
données de l'utilisateur et une partition publique hébergeant le logiciel d'enregistrement des empreintes.   La partition privée de la clé USB est accessible uniquement par les personnes dont les doigts sont enrôlés.   Pour contrôler l'accès au contenu des clés USB, une comparaison sera effectuée entre le doigt apposé sur le lecteur incorporé à la clé USB et le gabarit chiffré de l'empreinte digitale enregistré dans cette clé.   Les personnes concernées seront informées du fonctionnement de leurs clés par une notice d'information remise lors de l'enrôlement.
Compte tenu de l'impératif de sécurité lié à la nécessité de contrôler l'accès à des documents confidentiels relatifs, notamment, aux sanctions prononcées à l'encontre d'entreprises responsables de manquements au Code monétaire et financier, le recours à une clé USB dans laquelle est enregistré le gabarit de l'empreinte digitale des seules personnes habilitées à accéder audits documents, est adapté et proportionné à la finalité assignée au dispositif.   Les droits d'accès et de rectification s'exerceront auprès du Secrétariat général de la Commission bancaire- Service informatique de Gestion et de Développement sis 115 rue de Réaumur 75002 Paris.   Les catégories de données à caractère personnel enregistrées seront le gabarit de l'empreinte digitale, le numéro de série de la clé, le nom des personnes concernées.   Les données traitées seront conservées jusqu'à la cessation de fonction de la personne concernée ou en cas de restitution définitive de la clé.   Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les gestionnaires habilités des clés USB, personnels de la Banque de France.
   Dans ces conditions, la Commission autorise la Commission bancaire à mettre en ceuvre le traitement de données à caractère personnel présenté.   Le Président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu le code pénal, notamment ses articles 225-1 et suivants ;   Vu le code du travail, notamment ses articles L. 122-45 et suivants et L. 123-1 ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 8-IV, 9, 25-I-1° et 3° ;   Vu la loi n° 2004-1486 du 30 décembre 2004 portant création de la Haute Autorité de lutte contre les discriminations et pour l'égalité modifiée par la loi n° 2006-396 du 31 mars 2006 pour l'égalité des chances ;   Vu le décret n° 2005-215 du 4 mars 2005 relatif à la Haute Autorité de lutte contre les discriminations et pour l'égalité ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;   Sur le rapport de Mme Anne DEBET, commissaire,
et Mme Catherine POZZO di BORGO, commissaire adjointe du gouvernement, entendue en ses observations.
Constate   L'article premier de la loi du 30 décembre 2004 susvisée dispose que "la haute autorité est compétente pour connaître de toutes les discriminations, directes ou indirectes, prohibées par la loi...". Les réclamations adressées à la HALDE portent sur les discriminations dont les personnes requérantes s'estiment victimes, discriminations susceptibles de constituer des infractions pénales réprimées par les articles 225-1 et suivants du Code pénal.   L'article 2 de la même loi précise que les agents de l'autorité spécialement habilités "peuvent constater par procès-verbal les délits de discrimination".   Le traitement portant donc, entre autres, sur des données relatives à des infractions, il y a lieu de faire application des articles 9 et 25-I-3° de la loi du 6 janvier 1978 modifiée.   D'autre part, chaque dossier de réclamation enregistré dans le traitement est qualifié et indexé sur la base des critères de discrimination listés par le code pénal, qui sont au nombre de dixsept :  origine, sexe, situation de famille, grossesse, apparence physique, nom de famille, état de santé, handicap, caractéristiques génétiques, moeurs, orientation sexuelle, âge, opinions politiques, activités syndicales, appartenance ou non-appartenance (réelle ou supposée) à une ethnie, nation ou race, convictions religieuses.   Le traitement comportant des données sensibles telles que visées par l'article 8 de la loi du 6 janvier 1978 modifiée, il y a lieu de faire également application des
articles 8-IV et 25-I-1° de cette même loi.   Autorise, dans les conditions figurant dans le tableau ci-dessous, la Haute Autorité de lutte contre les discriminations et pour l'égalité (HALDE) à mettre en oeuvre un traitement automatisé de données à caractère personnel relatif à la gestion des réclamations adressées à cet organisme.
Responsable du traitement :  Haute Autorité de lutte contre les discriminations et pour l'égalité.   Chargé de la mise en oeuvre : Haute Autorité de lutte contre les discriminations et pour l'égalité.   Finalités :   Gestion et traitement des dossiers de réclamation, gestion des courriers, élaboration de statistiques concernant les domaines et critères de discrimination, pilotage et suivi de l'activité des agents de la direction juridique.   Données traitées :   Chaque dossier de réclamation fait l'objet d'une qualification sur la base des critères de discrimination suivants :  origine, sexe, situation de famille, grossesse, apparence physique, nom de famille, état de santé, handicap, caractéristiques génétiques, moeurs, orientation sexuelle, âge, opinions politiques, activités syndicales, appartenance ou non-appartenance (réelle ou supposée) à une ethnie, nation ou race, convictions religieuses.   Les données à caractère personnel enregistrées concernent :   - le requérant :  identité et adresse, pièces du dossier, critères de discrimination.   - la personne mise en cause :  identité et adresse, critères de discrimination, infraction constatée et transmission éventuelle au parquet.   - le cas échéant le tiers dénonçant, les témoins et les autres tiers impliqués dans le traitement de la réclamation (médiateur, avocat...) identité et adresse.   - les agents de l'Autorité en charge de l'instruction des réclamations : identité, fonction, dossiers attribués, actions sur les
dossiers, statistiques d'activité.
Destinataires :   Les personnes ayant directement accès aux données enregistrées dans le traitement sont les seuls agents de la HALDE.   Sont destinataires des informations relatives à des dossiers particuliers, en fonction de leurs attributions respectives :   - les membres du collège de la HALDE et du comité consultatif ;   - les tiers intervenant dans le traitement d'une réclamation médiateur, avocat, procureur de la République.   Information et droit d'accès   L'information des personnes concernées par le traitement est réalisée par des mentions portées sur les courriers adressés aux personnes, sur le site internet de la HALDE, ainsi que sur les questionnaires adressés aux réclamants.   Le droit d'accès et de rectification s'exerce auprès du directeur général de la HALDE - 11, rue Saint-Georges - 75009 Paris.   Le Président Alex TURK.
Vu la convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu le livre des procédures fiscales, notamment ses articles L. 287, L. 288 et R. 287-1 à R. 288-3 ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et notamment son article 27-II-2° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Vu le projet d'arrêté du ministre de l'Économie, des Finances et de l'Industrie relatif à la mise en oeuvre d'un traitement automatisé de données à caractère personnel d'identification des personnes physiques et morales dénommé "PERS" ;   Après avoir entendu, M. Jean MASSOT, commissaire, en son rapport et Mme Catherine POZZO DI BORGO, commissaire adjointe du gouvernement, en ses observations ;
Emet l'avis suivant :   La Commission a été saisie par le ministre de l'Économie, des Finances et de l'Industrie, d'un projet d'arrêté portant création d'une base de données nationale, dénommée "PERS", ayant pour objet de constituer un service unique d'identification des contribuables.   La mise en oeuvre de cette application a pour unique finalité d'assurer la gestion et la fiabilisation des données d'identification des contribuables, particuliers et professionnels.   La création de cette application, dans le cadre du programme "COPERNIC", vise à faciliter la mise en oeuvre du compte fiscal unique qui offre à l'usager comme à l'administration une vision globale de la situation fiscale de chaque contribuable.   Dans la mesure où le traitement "PERS", en remplacement du traitement "SPI", fait appel au numéro d'inscription au répertoire national d'identification pour fiabiliser les données d'identification des contribuables personnes physiques, la Commission considère que cette application relève de la procédure de demande d'avis prévue par l'article 27-II-2° de la loi du 6 janvier 1978 modifiée en août 2004.   S'agissant de la constitution de la base et de la gestion des identifiants   La base projetée sera constituée, en deux étapes successives (personnes physiques et professionnels) à partir des données d'identification figurant déjà dans les applications de l'administration fiscale ("SPI", "FIP" et, à titre exceptionnel, "FICOBA" pour les personnes physiques et "BDRP"
et "MAJIC 2" pour les professionnels).   La base va assurer la gestion de deux types d'identifiants :  un identifiant fonctionnel et un identifiant technique.   Afin de simplifier les relations avec l'usager, l'identifiant fonctionnel reste le même que celui utilisé aujourd'hui, c'est-à-dire le numéro SPI pour les particuliers et le numéro SIREN (ou l'identifiant de substitution du professionnel pour les contribuables professionnels ne disposant pas de SIREN) pour les professionnels.  Lors du chargement de la base, cet identifiant fonctionnel sera transmis à la base par les applications correspondantes ("SPI" et "BDRP").
L'identifiant technique ("ITIP", pour identifiant transversal de la personne) prend la forme d'un numéro séquentiel croissant.  Il sera généré automatiquement par l'application lors de l'intégration d'une nouvelle personne dans l'application "PERS".   La Commission prend acte que cet identifiant technique :   - est unique :  il identifie une seule fois la personne concernée dans l'application ; il est attribué une seule fois et de façon définitive ;   - est non signifiant :  son format est numérique ;   - est attribué aléatoirement dans la mesure où, bien qu'il s'agisse d'un numéro séquentiel croissant. l'ordre d'intégration des personnes dans la base se fera de manière aléatoire ;   - n'est connu ni des agents de l'administration, ni des usagers ;   - est le seul à circuler au sein du système d'information de l'administration et sera le seul à être utilisé par les autres applications pour communiquer avec "PERS".   S'agissant des opérations de fiabilisation des identités   S'agissant des personnes physiques, les demandes de certification, adressées quotidiennement à l'INSEE, concernent l'ensemble des personnes nouvellement intégrées pour lesquelles l'administration fiscale dispose d'un état civil complet (c'est-à-dire trois éléments dont le nom patronymique) et celles pour lesquelles elle a complété ou modifié les données d'état civil.   Cette certification sera opérée par la transmission à l'INSEE des données d'identification de la personne concernée (sexe, nom,
prénoms, date et lieu de naissance) :  en retour, l'INSEE, transmettra les mêmes informations accompagnées du NIR et le cas échéant de la date du décès, du type de décès et du lieu de décès de la personne concernée.   S'agissant des états civils déjà certifiés, l'INSEE transmet à l'application les modifications apportées à l'état civil, s'il y a lieu.   L'application pourra également, à titre exceptionnel et pour éviter de taxer à tort une personne dont l'état civil serait très proche d'une autre, procéder à la validation des données qu'elle détient en interrogeant l'INSEE, sur la base du NIR transmis lors de l'opération de certification et des nom et prénom, afin d'obtenir en retour la validation de ces éléments.
La Commission prend acte que cette utilisation du NIR par l'administration fiscale est expressément prévue par les articles L. 287 et L. 288 du livres des procédures fiscales et par les décrets d'application de ces dispositions, sur lesquels elle a émis un avis par ses délibérations n° 99-033 du 24 juin 1999 et n° 99-047 du 14 octobre 1999.   Elle prend également acte que les opérations de fiabilisation projetées sont identiques à celles qui sont d'ores et déjà effectuées par le traitement "SPI" et que la Commission a autorisées par sa délibération n° 99-060 du 9 décembre 1999.   La Commission prend acte des mesures de sécurité particulières prises s'agissant du traitement du NIR (espace sécurisé, chiffrement, sauvegarde sur un support spécifique, injonction de la CNIL de prendre des mesures de sécurité pouvant aller jusqu'à la destruction des supports) et de sa consultation (journalisation des interrogations, délivrance d'une habilitation), qui apparaissent conformes aux dispositions des décrets précités, telles qu'elles ont été intégrées à la partie réglementaire du livre des procédures fiscales.   La Commission demande cependant que le bilan des tests d'échange de données entre la direction générale des impôts et l'INSEE pour les procédures de certification d'état civil, de validation du NIR et de l'état civil et de mise à jour des données lui soit communiqué.   S'agissant des personnes morales, l'INSEE communique déjà, informatiquement et automatiquement à
l'administration fiscale, les données d'identification du répertoire SIREN (pour la structure juridique :  n° SIREN, données d'état civil pour les entrepreneurs individuels, sigle, raison sociale, forme juridique, date de création. date de radiation, code APE ; pour l'établissement :  n° SIRET, libellé d'activité déclarée, code APE, libellé du nom commercial, adresse de localisation, date de début d'activité, date de cessation d'activité).  (entreprises individuelles, personnes morales, collectivités locales. associés de sociétés civiles immobilières),
La Commission prend acte que la mise en oeuvre de l'application "PERS" entraînera l'arrêt des traitements de certification de l'identité des contribuables qui sont aujourd'hui effectués par les applications "SPI" et "BDRP".   Les seuls destinataires des informations sont, par référence à la finalité du traitement, les agents habilités de l'administration fiscale. sous réserve des niveaux d'accréditation particuliers offerts par ces habilitations.   Les données traitées sont conservées tant que la personne concernée reste contribuable ou interlocuteur de la direction générale des impôts.   Les intéressés exercent leurs droits d'accès et de rectification directement auprès du bureau "COPERNIC" ; ils exercent directement leur droit de rectification auprès de l'INSEE s'agissant des données d'état civil certifiées les concernant qui sont traitées dans "PERS" et directement auprès du bureau "Copernic", s'agissant des autres données.   Le président Alex TÜRK
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 69 alinéa 8 ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007, et notamment son article 103 ;   Sur le rapport de M. Hubert BOUCHET, commissaire et des observations de Mme Catherine POZZO di BORGO, commissaire adjointe du gouvernement ;   Autorise, dans les conditions figurant dans le tableau ci-dessous, la société Pitney Bowes Management Services SAS à mettre en oeuvre un transfert de données à caractère personnel hors de l'Union Européenne.
Société responsable du transfert :   Pitney Bowes Management Services SAS du groupe Pitney Bowes   Finalité du transfert :  Stockage, gestion informatique et certaines activités de gestion administrative (rémunération et avantages, contacts en cas d'urgence, recrutement, dotation en personnel y compris les plans de succession, évaluation de performance, développement personnel, gestion de carrière, gestion de l'organisation du groupe, formation, enquête de satisfaction, sondage et gestion des accès aux réseaux, applications et équipements)   Catégories de données transférées :   - Données utilisées aux Etats-Unis :   - Données de base :  noms, sexe, coordonnées personnelles, situation de famille, passeport, photo, permis de conduire   - Données relatives à l'organisation interne de l'entreprise : titre, fonction, classification interne, échelon, ancienneté, organisations internes (département/division ...)   - Rémunération et avantages sociaux   - Coordonnées bancaires   - Données relatives au contrat de travail   - Expérience professionnelle et informations relatives à la formation   - Temps de travail et carrière   - Gestion des tâches et des échéances :  disponibilité, compétences, comptes-rendus, dates de vacances, horaires de travail   - Prêts financier   - Absences   - Saisie-arrêt   - Actifs confiés à l'employé   - Accès informatiques   - Evaluation   - Enquête de satisfaction et sondage   - Contact en cas d'urgence
Données uniquement stockées aux Etats-Unis :   - Numéro de sécurité sociale   - Handicap   - Données relative à la famille -   Représentation du personnel   - Visite médicale   Identité(s) du (des) destinataire(s)   La société mère Pitney Bowes Inc. :  direction des ressources humaines, responsables hiérarchiques n+, membres du Conseil d'administration, services d'audit et juridique, responsables de formation, service en charge des autorisations d'accès informatique, chacun pour les besoin de ses fonctions   Pays d'établissement du(des) destinataire(s) : Etats-Unis   Service auprès duquel s'exerce le droit d'accès des personnes concernées :   Services des Ressources Humaines de Pitney Bowes Management Services SAS   9, rue Paul Lafargue   93210 La Plaine Saint Denis   Nature des garanties mises en oeuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées   - Clauses contractuelles européennes issues de la Décision 2001/497/CE de la Commission européenne du 15 juin 2001 concernant les transferts de responsable de traitement à responsable de traitement   - Clauses contractuelles européennes issues de la Décision 2002/16/CE de la Commission européenne du 27 décembre 2001 concernant les transferts de responsable de traitement à sous- traitant (pour ce qui concerne les activités de stockage informatique)   Le Président, Alex TURK.
La Commission nationale de l'informatique et des libertés.   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 69 alinéa 8 ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007, et notamment son article 103 ;   Sur le rapport de M. Hubert BOUCHET, commissaire et des observations de Mme Catherine POZZO di BORGO, commissaire adjointe du gouvernement ;   Autorise, dans les conditions figurant dans le tableau ci-dessous, la société Secap - Groupe Pitney Bowes à mettre en oeuvre un transfert de données à caractère personnel hors de l'Union Européenne.