AgentPublic/cnil huggingface dataset:
Sur les autres caractéristiques du traitement
La durée de conservation des données dans le cadre de l’application est de un an et demi, à l’issue duquel elles seront archivées.Le responsable de traitement doit s’assurer que le traitement est opéré dans des conditions conformes aux dispositions législatives et règlementaires applicables et notamment celles des articles L.1111-8 et R.6316-10 du code de la santé publique. 
Autorise, conformément à la présente délibération, le Centre Hospitalier Universitaire de Nantes à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n°1530930)
La Commission nationale de l’informatique et des libertés, 
Saisie par la société IDESIA CONSEILS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité d’apprécier la solvabilité des candidats emprunteurs sollicitant une demande de rachat de crédits ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code des assurances ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Paul AMOUDRY, commissaire et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
La société IDESIA CONSEILS
Sur la finalité
Le traitement mis en œuvre a pour objectif de vérifier les conditions d’éligibilité du candidat au rachat de crédits. La société IDESIA CONSEILS recueille les données des candidats emprunteurs, via le logiciel IOB IDESIA, en vue de réaliser une pré sélection des dossiers qui seront présentés aux partenaires financiers et établissements de crédit.Ce traitement peut ainsi, du fait de sa nature et de sa finalité, conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition légale ou réglementaire prévoyant une telle exclusion.Dès lors, ce traitement relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée en 2004 et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.La Commission considère que la finalité poursuivie est déterminée, explicite et légitime.
Sur les données traitées
Les catégories de données analysées sont relatives : - à l’identification (nom, prénom, adresse, date et lieu de naissance, téléphone, nationalité),- à la vie personnelle (situation familiale, nombre de personnes à charge dans le foyer, âge des enfants),- à la vie professionnelle (situation professionnelle, ancienneté et employeur),- aux informations d’ordre économique et financier (revenus, situation financière, solution financière retenue, besoin de trésorerie, situation patrimoniale, inscription FICP, FCC).La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente au sens du 3° de l'article 6 de la loi du 6 janvier 1978 modifiée. 
Sur les destinataires 
Les personnes habilitées sont les mandants de la société IDESIA CONSEILS, c’est-à-dire, les partenaires financiers et établissements de crédits. La société IDESIA CONSEIL a conclu avec chacun des partenaires un mandat d’intermédiaire en opérations de banque.Ces destinataires n'appellent pas d'observations particulières de la part de la Commission. 
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention légale d’information qui figure sur le prospectus remis aux clients, les mandats de recherche de capitaux proposés à la signature par les franchisés ainsi que sur le site internet de la société IDESIA CONSEILS.La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Les actions effectuées par ces personnes sont tracées afin de détecter et d’analyser tous les accès, modifications et suppressions de données non autorisés.Les mesures de sécurité mises en place n’appellent pas d’observation.
Sur les autres caractéristiques du traitement
Les données concernant un dossier refusé sont conservées pour une durée de trois mois. Pour les dossiers acceptés, la durée de conservation est de 60 jours à compter de la dernière échéance du prêt.  Passé ces délais, les données sont définitivement supprimées.L’inscription au fichier national des incidents de remboursement des crédits aux particuliers (FICP) ou au fichier central des chèques (FCC) est directement communiquée par la personne concernée lorsque celle-ci en a connaissance. La Commission considère que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, la société IDESIA CONSEILS  à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1587813)
La Commission nationale de l’informatique et des libertés, 
Saisie par la Société Nationale des Chemins de Fer (SNCF) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des réclamations et des relances suite à un constat d’infractions à la police des chemins de fer ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la procédure pénale, notamment ses articles 529-3 et 529-4 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I°3) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n°2011-382 du 24 novembre 2011 autorisant  la mise en œuvre par la société nationale des chemins de fer (SNCF)  d’un traitement de données à caractère personnel ayant pour finalité la gestion des réclamations et des relances suite à un constat d’infractions à la police des chemins de fer (expérimentation) ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-François CARREZ, commissaire et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
La société nationale des chemins de fer (SNCF)
Sur la finalité
Le traitement de données à caractère personnel a pour finalité la gestion des réclamations et des relances suite à un constat d’infractions à la police des chemins de fer.
Les articles 529-3 et 529-4 du code de procédure pénale ont prévu un processus transactionnel en deux phases :
une phase « amiable » d’une durée de deux mois durant laquelle le bénéfice du règlement de l’indemnité transactionnelle va et reste à l’exploitant de transport ;
une phase « contentieuse » conduite par l’Officier du ministère public (OMP) et transmise pour action à la comptabilité publique. Le contrevenant devenant alors de plein droit redevable d’une amende forfaitaire majorée. Le bénéfice des sommes recouvrées va alors au trésor public.
Pendant la phase « amiable » de deux mois suivant l’établissement du procès verbal (PV), et à défaut de règlement, deux lettres de relance sont adressées au contrevenant.
La SNCF a mis en place une expérimentation de six mois avec l’Agence Nationale des Traitements Automatisés d’Infractions (ANTAI) ayant pour finalité l’édition et l’envoi par l’ANTAI des secondes lettres de relances aux contrevenants. Cette expérimentation a été autorisée par la Commission par la délibération n°2011-382 du 24 novembre 2011.
La présente autorisation a vocation à pérenniser cette expérimentation. 
Sur les données traitées
Les données traitées sont limitées aux données d’identification des contrevenants (nom, prénom, adresse, date et lieu de naissance) et aux données relatives aux infractions.
Sur les destinataires
Les destinataires des données sont : 
les agents assermentés de la SNCF ;
les personnes habilitées du service de recouvrement de la SNCF ;
les personnes habilitées de la direction juridique et de la direction de la sûreté de la SNCF ; 
les personnes habilitées du centre national de traitement de l’ANTAI. 
Sur l’information et le droit d’accès 
Les personnes sont informées par une mention sur les tarifs voyageurs de la SNCF.Les droits d’accès et de rectification s’exercent auprès de la Direction juridique groupe - département responsabilités, mission infractions - Société nationale des chemins de fer – 10 place de Budapest – 75436 Paris. 
Sur les autres caractéristiques du traitement
Dans le cadre de la gestion des relances, les données sont conservées pendant deux mois à compter du moment où l’infraction a été constatée, comme prévu par l’article 529-4 du code de procédure pénale.
Autorise, conformément à la présente délibération, la Société Nationale des Chemins de Fer (SNCF) à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1571622) 
La Commission nationale de l’informatique et des libertés, 
Saisie par le Centre Européenne d’Etudes de Sécurité et d’Analyse des Risques (CEESAR) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la réalisation du projet VOIESUR (Véhicule Occupant Infrastructure Etudes des Usagers de la Route) ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Sur la proposition de M. Jean-François CARREZ, commissaire, et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le responsable de traitement est le Centre Européen d’Etudes de Sécurité et d’Analyse des Risques (CEESAR). Le CEESAR est une association loi de 1901 rassemblant des industriels (constructeurs automobiles français, équipementiers), écoles d’ingénieurs, assureurs et personnalités du monde médical concernés par la prévention des risques et en premier lieu des risques routiers. 
Le CEESAR a notamment  pour objet :
De favoriser les relations et les échanges entre ses membres sur les causes et les conséquences des accidents de la route ;
De promouvoir des recherches, essais et expertises susceptibles de réduire les risques d’accidents et de lésions corporelles ;
De promouvoir des actions d’éducation des conducteurs et usagers en matière de sécurité.
Au regard de ce qui précède, la Commission considère que la mission du CEESAR est d’intérêt public.
Sur la finalité
La finalité du présent traitement est la réalisation du projet « VOIESUR » (Véhicule Occupant Infrastructure Etudes des Usagers de la Route) qui implique :
La constitution d’une base de données qui sera mise à disposition des partenaires du CEESAR pour la réalisation d’études en accidentologie ;
La réalisation, par le CEESAR et sur la base des données contenues dans cette base de données, d’un état des lieux sur l’année 2011 des accidents mortels et corporels de la circulation. Cette étude est financée par l’Agence Nationale de la Recherche (ANR).
La Commission estime que la finalité poursuivie est déterminée, légitime et explicite. 
Par ailleurs, la Commission considère qu’il y a lieu de faire application des dispositions des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.
Sur les données traitées
L’étude du CEESAR repose sur l’analyse des données issues : 
Des procès-verbaux (PV) rédigés par les services de police et de gendarmerie pour les accidents mortels survenus en France, les accidents corporels survenus dans le département du Rhône et 1/20ème de l’ensemble des accidents corporels et non mortels survenus en France hors département du Rhône, soit environ 9500 PV pour 2011.
Des Bulletins d’Analyse des Accidents Corporels de la circulation routière (BAAC), établis par les forces de l’ordre lors d’accidents corporels de la circulation.
Du registre du Rhône des victimes d’accidents de la circulation routière, géré par l’UMRESTTE.
à l’identification ;
à la vie personnelle ;
à la vie professionnelle ;
à la localisation de l’accident ;
aux données de santé.
L’organisme TRANS-PV, qui centralise tous les PV d’accidents de la circulation, peut communiquer ces données au CEESAR, conformément à l’arrêté du 3 mai 2004, sous réserve de l’autorisation du procureur de la République.
Les données relatives à l’identification des personnes concernées sont contenues dans les PV mais ne sont pas enregistrées dans la base VOIESUR. En revanche, elles sont extraites des PV dans le cas d’accidents survenus dans le département du Rhône pour être transmises à l’UMRESTTE, qui consultera alors le registre du Rhône pour récupérer les bilans lésionnels de ces personnes. Pour ce qui concerne les autres personnes impliquées dans des accidents, le CEESAR transmettra à l’UMRESTTE les données médicales extraites des PV, à l’exclusion de toutes données relatives à l’identification. 
Dans tous les cas, l’UMRESTTE transmettra en retour au CEESAR le codage des blessures relevées, à l’exclusion de toutes données relatives à l’identification.
Des procès-verbaux (PV) rédigés par les services de police et de gendarmerie pour les accidents mortels survenus en France, les accidents corporels survenus dans le département du Rhône et 1/20ème de l’ensemble des accidents corporels et non mortels survenus en France hors département du Rhône, soit environ 9500 PV pour 2011.
Des Bulletins d’Analyse des Accidents Corporels de la circulation routière (BAAC), établis par les forces de l’ordre lors d’accidents corporels de la circulation.
Du registre du Rhône des victimes d’accidents de la circulation routière, géré par l’UMRESTTE.
à l’identification ;
à la vie personnelle ;
à la vie professionnelle ;
à la localisation de l’accident ;
aux données de santé.
Le CEESAR a signé une convention avec l’Observatoire National Interministériel de la Sécurité Routière, qui est en charge de ce fichier, pour avoir accès à ces données anonymisées. 
Des procès-verbaux (PV) rédigés par les services de police et de gendarmerie pour les accidents mortels survenus en France, les accidents corporels survenus dans le département du Rhône et 1/20ème de l’ensemble des accidents corporels et non mortels survenus en France hors département du Rhône, soit environ 9500 PV pour 2011.
Des Bulletins d’Analyse des Accidents Corporels de la circulation routière (BAAC), établis par les forces de l’ordre lors d’accidents corporels de la circulation.
Du registre du Rhône des victimes d’accidents de la circulation routière, géré par l’UMRESTTE.
à l’identification ;
à la vie personnelle ;
à la vie professionnelle ;
à la localisation de l’accident ;
aux données de santé.
Sur la base des PV reçus de TRANS-PV, le CEESAR transmet à l’UMRESTTE la liste des personnes impliquées dans des accidents survenus dans le département du Rhône pour obtenir en retour leurs bilans lésionnels anonymisés tels qu’ils figurent dans le registre du Rhône.
Dès lors, les catégories de données collectées sont relatives :
Des procès-verbaux (PV) rédigés par les services de police et de gendarmerie pour les accidents mortels survenus en France, les accidents corporels survenus dans le département du Rhône et 1/20ème de l’ensemble des accidents corporels et non mortels survenus en France hors département du Rhône, soit environ 9500 PV pour 2011.
Des Bulletins d’Analyse des Accidents Corporels de la circulation routière (BAAC), établis par les forces de l’ordre lors d’accidents corporels de la circulation.
Du registre du Rhône des victimes d’accidents de la circulation routière, géré par l’UMRESTTE.
à l’identification ;
à la vie personnelle ;
à la vie professionnelle ;
à la localisation de l’accident ;
aux données de santé.
La Commission relève que, si les PV transmis au CEESAR sont susceptibles de contenir d’autres données telles que le NIR ou des données relatives aux infractions, le traitement autorisé ne doit pas porter sur ces données. 
De même, elle prend acte de ce que les données d’identification des personnes concernées apparaissent uniquement dans les PV et que le présent traitement ne porte donc pas sur ces données, sauf pour les accidents survenus dans le département du Rhône. Dans ce cas, données d’identification sont extraites des PV et sont adressées à l’UMRESTTE pour consultation du registre du Rhône.
Les données ainsi collectées sont regroupées dans la base VOIESUR, à l’exclusion de toutes les données relatives à l’identification des personnes.
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie. 
Sur les destinataires
L’ensemble des données collectées sont accessibles aux personnels du CEESAR impliqués dans l’étude. Ces personnels sont tenus au secret, de part l’insertion d’une mention spécifique dans le contrat de travail pour les personnels permanents du CEESAR et par la signature d’un engagement de confidentialité par les personnels temporaires du CEESAR recrutés pour ce projet.
En outre, les personnels de l’UMRESTTE sont destinataires des données relatives à l’identification des personnes concernées et à leurs bilans médicaux, telles que contenues dans les PV, dans le cas d’accidents survenus dans le département du Rhône et aux seules fins de consultation du Registre du Rhône.
Par ailleurs, les personnels des partenaires du CEESAR sont destinataires des données anonymisées contenues dans la base VOIESUR, à savoir :
de l’UMRESTTE Lyon / IFSTTAR, unité mixte entre l’IFSTTAR et l’Université de Lyon ;
du CETE Normandie Centre, service déconcentré du Ministère de l’Ecologie, de l’Energie, du développement Durable et de la Mer ;
du GIE RE PR, laboratoire de recherche créé conjointement par Renault et PSA Peugeot Citroën.
Enfin, l’ANR est destinataire du résultat de l’étude menée par le CEESAR. Les données transmises sont uniquement des données agrégées.
Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
En application de l’article 32-III de la loi du 6 janvier 1978 modifié, le CEESAR ne peut informer les personnes concernées en raison d’une part du caractère disproportionné des efforts qui devraient être entrepris pour satisfaire l’obligation d’information.Une mention d’information est toutefois prévue sur le site internet de l’ANR. La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes. 
Sur les mesures de sécurité
La commission prend acte du fait que l’ensemble des échanges de données à caractère personnel sera chiffré, même les échanges portants sur des données indirectement nominatives. Les mécanismes de chiffrement mis en place apparaissent suffisamment robustes et permettent de garantir la confidentialité des données échangées.L’accès aux procès verbaux par les agents assermentés sera tracé, afin de permettre de détecter a posteriori d’éventuels accès illégitimes.Différents profils d’habilitations ont été mis en place afin de gérer les droits d’accès des utilisateurs.Les modalités d’authentification des utilisateurs apparaissent conformes aux recommandations de la Commission en la matière.Les autres mesures de sécurité n’appellent pas de remarque particulière de la Commission.
Sur les autres caractéristiques du traitement
Les PV, qui contiennent des données identifiantes, ne sont conservés que pendant la durée de l’étude. La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement. 
Autorise, conformément à la présente délibération, le Centre Européenne d’Etudes de Sécurité et d’Analyse des Risques (CEESAR) à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande n°1567239)
La Commission nationale de l'informatique et des libertés, 
Saisie par Bouygues Telecom d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la détermination d’un niveau de risques aidant à la fixation des conditions d’attribution du service fourni ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 10 et 25-I°4 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Didier Gasse, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Afin de prévenir les impayés, Bouygues Télécom souhaite mettre en œuvre un système d’évaluation de risques aidant à la fixation des conditions d’attribution de ses services.
Bouygues Telecom a donc saisi la CNIL d’une demande d’autorisation en date du 20 février 2012 pour son traitement.
Le traitement consiste à attribuer aux personnes concernées des notes plus ou moins élevées selon le niveau de risque qu’elles présentent en vue de cibler 1% des activations présentant le plus de risques. En fonction de la note attribuée, il pourra être demandé, lors de la souscription d’un abonnement, une avance sur consommation et/ou la communication d’un justificatif de domicile complémentaire aux fins de vérification avant l’activation de sa ligne. Ce traitement sera mis en œuvre dans les points de vente physiques proposant des services et des produits Bouygues Telecom, mais ne sera pas utilisé lors d’une commande en ligne sur le site de Bouygues Telecom.
Dans la mesure où ce traitement est susceptible d’exclure les demandeurs du bénéfice d’une prestation ou d’un contrat, la Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée, qui soumet à autorisation les traitements susceptibles du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou règlementaire. 
Sur la finalité du traitement :
Le traitement présenté a pour finalité la détermination d’un niveau de risque d’impayés en vue de fixer les conditions d’attribution du service fourni.