AgentPublic/cnil huggingface dataset:
(Demande d’autorisation n° 1533335v1)
La Commission nationale de l’informatique et des libertés, 
Saisie par la société GRDF d’une demande de modification de la délibération n° 2011-337 du 25 octobre 2011 autorisant la mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité la gestion des pertes et l’optimisation des recettes,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2011-337 du 25 octobre 2011 autorisant la mise en œuvre par la société GRDF d’un traitement de données à caractère personnel ayant pour finalité la gestion des pertes et l’optimisation des recettes ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Claude DOMEIZEL, commissaire et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement,
Formule les observations suivantes :
La Commission a délivré à la société GRDF, le 25 octobre 2011, une autorisation portant sur un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des pertes et l’optimisation des recettes.
Cette autorisation prévoit que « les données des utilisateurs liées à la facturation sont conservées pendant 3 ans en base active et 2 ans supplémentaires en base archive ».
Afin de se conformer à son obligation de conserver les documents comptables et les pièces justificatives pendant 10 ans, telle que prévue à l’article L. 123-22 du code du commerce, la société GRDF a saisi la Commission d’une demande de modification de la durée d’archivage de ces données. Les données seront désormais conservées en base archive pendant 8 ans.
Cette modification n’appelle pas d’observation particulière de la part de la Commission.
Dès lors, la Commission autorise la mise en œuvre par la société GRDF du traitement modifié de gestion des pertes et d’optimisation des recettes, dans les conditions évoquées ci-dessus. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1487524) 
La Commission nationale de l’informatique et des libertés, 
Saisie par le Crédit immobilier de France Développement d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité de recenser les prescripteurs, intervenants et réalisateurs immobiliers en fin de relations d’affaires ou mis sous surveillance et d’en informer les filiales du groupe ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le règlement n°97-02 du 21 février 1997 relatif au contrôle interne des établissements de crédit et des entreprises d’investissement ;
Après avoir entendu M. Jean-Paul AMOUDRY, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Le groupe Crédit immobilier de France est composé d’établissements de crédit spécialisés dans le financement de prêts immobiliers aux particuliers. L’entrée en relation avec le candidat emprunteur peut se faire directement via les agences du groupe ou par l’intermédiaire d’un apporteur d’affaires, personnes physique ou morale. Le Crédit immobilier de France Développement, maison mère du groupe Crédit immobilier de France, a saisi la Commission d’une demande d’autorisation relative à un traitement visant à recenser les apporteurs d’affaires ayant la qualité de prescripteurs, intervenants ou réalisateurs immobiliers avec lesquels les relations d’affaires ont été interrompues  ou qui sont mis sous surveillance afin d’en informer les filiales du groupe.
Contrairement aux traitements visant à évaluer le risque statistique de défaillance de l’emprunteur, ce traitement vise à identifier les prescripteurs, intervenants et réalisateurs immobiliers susceptibles d’être défaillants ou dont la défaillance est avérée dans le but de sécuriser l’opération immobilière engagée avec un client emprunteur.
Dès lors, ce traitement peut conduire à exclure des personnes (prescripteurs, intervenants ou réalisateurs immobiliers) du bénéfice d’une prestation ou d’un contrat en l’absence de toutes dispositions législatives ou réglementaires le prévoyant. En conséquence, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.
Sur la finalité du traitement :
Ce traitement contribue à l’évaluation des risques opérationnels attachés aux conditions de réalisation du projet immobilier financé par le crédit octroyé par le Crédit immobilier de France Développement et à la gestion des relations commerciales avec ces partenaires, apporteurs d’affaires. Il permet de recenser et de diffuser des informations sur des prescripteurs, intervenants et réalisateurs immobiliers avec lesquels une ou plusieurs sociétés du groupe ne souhaitent pas ou plus entretenir de relation d’affaires ou qui sont mis sous surveillance renforcée, c'est-à-dire avec lesquels l’entrée en relation est possible mais nécessite un suivi particulier.
L’inscription des prescripteurs, intervenants et réalisateurs immobiliers dans ce traitement est effectuée à la suite d’une analyse humaine approfondie de critères objectifs relatifs à la situation du prescripteur, intervenant ou réalisateur immobilier notamment liés à sa situation économique et financière ou à l’existence d’un contentieux. Dès lors, la Commission prend acte de l’absence de prise de décision automatisée conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée.
La Commission considère que cette finalité est déterminée, explicite et légitime.
Sur la nature des données traitées :
Les catégories de données traitées sont les suivantes : 
Identification : nom, prénom, le cas échéant, raison sociale, nom commercial, catégorie juridique, adresse ;
Vie professionnelle : situation professionnelle, activité, fonction, mandat, la date et le motif de fin de la relation ;
L’entité du CIFD ayant procédé à l’inscription, la date de l’inscription, la date de désinscription et le motif résultant d’une nomenclature prédéfinie.
La Commission considère que ces données sont adéquates, pertinentes et non excessives par rapport à la finalité du traitement.
Sur la durée de conservation des données :
Les données collectées sont conservées pendant cinq ans à compter de la date d’inscription.
Cette durée de conservation n’appelle pas d’observations de la part de la Commission.
Sur les destinataires des données :
Sont destinataires de ce traitement les personnels habilités de la Direction des risques et du contrôle permanent, de la Direction marketing, les membres du Comité des risques opérationnels et de l’équipe d’audit du Crédit immobilier de France Développement.
Peuvent également prendre connaissance des données collectées : les personnels habilités des Directions générales, Directions filières risques, Directions commerciales, Directions des engagements, Direction du développement et des Directions du recouvrement et du contentieux des filiales du groupe Crédit immobilier de France. 
Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l'information des personnes :
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées de la mise en œuvre de ce traitement au moment de l’entrée en relation avec le groupe Crédit immobilier de France, au moment de la survenance de l’incident susceptible d’entraîner l’inscription dans ce traitement et lors de son inscription effective. 
Ces modalités d’information des personnes sont satisfaisantes.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les droits d’accès, de rectification et d’opposition s’exercent auprès du service DRCP, du GIE CIF SERVICES, 26-28 rue de Madrid, 75384 Paris cedex 8.
La Commission prend acte de la mise en place d’une procédure de contestation permettant à la personne concernée de faire valoir ses droits. La diffusion des données sera suspendue pendant la durée de la procédure qui, le cas échéant, pourra aboutir à la modification ou à la suppression des informations.
Les autres modalités d’exercice des droits d’accès, de rectification et d’opposition n’appellent pas d’observations de la part de la Commission.
Sur la sécurité des données et la traçabilité des actions :
L’ensemble des actions effectuées par les destinataires des données sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés. Les identifiants des connexions sont conservés pendant un an et, le cas échéant, accessibles aux seuls personnels du Crédit immobilier de France Développement.
Les autres mesures de sécurité n’appellent pas d’observations de la part de la Commission.
Dans ces conditions, la Commission autorise le Crédit immobilier de France Développement à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité  de recenser les prescripteurs, intervenants et réalisateurs immobiliers en cessation de relations d’affaires ou mis sous surveillance et d’en informer les filiales du groupe. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 912088) 
La Commission nationale de l’informatique et des libertés ; 
Saisie par l’agence nationale de recherches sur le sida et les hépatites virales (ANRS) d’une demande d’autorisation concernant un traitement de données à caractère personnel ayant pour finalité la recherche intitulée « IPERGAY » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L.1121-1 et suivants ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 54 et suivants ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 8 novembre 2006 fixant la durée de conservation par le promoteur et l’investigateur des documents et données relatifs à une recherche biomédicale portant sur un médicament à usage humain ; 
Après avoir entendu Mme Marie-Hélène MITJAVILE, commissaire en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :
L’ANRS est un groupement d’intérêt public créé en 1992 regroupant l’Etat et des organismes de recherche pour animer, financer et coordonner des programmes de recherche en France sur le sida et les hépatites virales B et C (recherches biologiques fondamentales, vaccinales, cliniques et épidémiologiques, essais thérapeutiques, recherches en santé publique, en sciences de l’homme et de la société).
Dans le cadre de cette mission, l’ANRS met en œuvre, en collaboration avec l’Institut national de la santé et de la recherche médicale (INSERM), une recherche biomédicale intitulée « IPERGAY ». 
La recherche « IPERGAY » est un essai sur un médicament, multicentrique, comparatif, randomisé, en double-insu, portant sur 2 groupes parallèles, recevant, soit un traitement antirétroviral de Truvada®, soit le placebo de Truvada®, associé à une offre globale de prévention (accompagnement individuel, counseling, dépistage du VIH et des infections sexuellement transmissibles, préservatifs, vaccins VHB et VHA et traitement post-exposition de l’infection VIH).
Les personnes acceptant de participer à la recherche, et répondant aux critères d’inclusion, seront réparties aléatoirement au sein de deux groupes parallèles recevant « à la demande » : 
soit le traitement Truvada®, 
soit le traitement placebo de Truvada®. 
Une offre globale de prévention sera associée à la prise des médicaments.
La recherche « IPERGAY » se déroule en France (à Paris et à Lyon) et aura vocation à s’étendre géographiquement en incluant des personnes au Canada. Elle concerne, dans un premier temps, une population de 300 hommes, séronégatifs au VIH, ayant des relations sexuelles avec des hommes, exposés par leurs pratiques sexuelles au risque d’infection par le VIH. Si le déroulement de l’essai est jugé satisfaisant, le nombre de volontaires atteindra au total 1 900 participants. 
La Commission relève que la recherche « IPERGAY » ainsi que les études dites ancillaires (ou sous-études) bénéficient d’une autorisation de l’agence nationale de la sécurité des médicaments (ANSM) et d’avis favorables du comité de protection des personnes (CPP) et du Comité consultatif sur le traitement de l'information en matière de recherche dans le domaine de la santé (CCTIRS). 
La Commission précise que chaque modification du protocole de recherche initial sera présentée aux services de la Commission, et que les modifications substantielles devront préalablement être soumises pour avis au CPP et au CCTIRS.
Cette recherche relève du champ d’application du chapitre IX de la loi n°78-17 du     6 janvier 1978 modifiée, relatif aux traitements de données à caractère personnel ayant pour fin la recherche dans le domaine de la santé, qui autorise, sous certaines conditions, les transmissions de données médicales identifiantes entre professionnels de santé et organismes de recherche par dérogation au secret médical, tout en conférant des droits aux personnes concernées.
La recherche « IPERGAY » a reçu un avis favorable du CCTIRS. 
Ainsi, la Commission considère qu’il y a lieu de faire application des dispositions des articles 54 et suivants de la loi n°78-17 du 6 janvier 1978 modifiée, qui soumet à autorisation les traitements mis en œuvre dans le cadre d’une recherche menée dans le domaine de la santé. 
Sur les finalités du traitement :
Le traitement mis en œuvre par l’ANRS a pour finalité principale l’évaluation d’une stratégie de prévention de l’infection par le VIH comprenant un traitement antirétroviral pré-exposition « à la demande » versus placebo au sein de la communauté des hommes ayant des rapports sexuels avec des hommes exposés au risque d’infection par le VIH.
Les finalités secondaires sont précisées au sein du protocole tout comme les études ancillaires, qui bénéficient toutes des avis favorables du CPP et du CCTIRS. 
Les objectifs secondaires poursuivis sont les suivants :
l’évaluation des comportements sexuels et les éventuels comportements à risque en cours de participation à l’essai, 
l’étude de l’incidence du VIH selon les comportements sexuels,
l’étude des facteurs associés aux modifications de comportements à risque pendant l’essai,
l’évaluation des comportements sexuels et l’incidence du VIH selon que les participants pensent recevoir le produit actif ou son placebo, 
l’évaluation des comportements sexuels et le risque de contamination par le VIH au cours de l’essai selon que les participants reçoivent ou non un counseling approfondi,
l’évaluation de l’appropriation du schéma de traitement de l’essai par le participant, son ressenti lié à la participation à l’essai (niveaux de stress et de satisfaction, perception d’être sous traitement ou sous placebo), 
l’évaluation de la tolérance du traitement, 
l’évaluation de l’observance du traitement, à l’aide de plusieurs méthodes,
l’évaluation de l’effet prophylactique du traitement sur la contamination par le VHB,
l’évaluation de l’incidence des autres infections sexuellement transmissibles (telles que les hépatites A et C, la syphilis, les infections à chlamydiae, gonococcies, l’herpès),
l’évaluation des caractéristiques de l’infection par le VIH chez les sujets infectés.  
La Commission considère que ces finalités sont déterminées, explicites et légitimes.
Sur la nature des données traitées :
Les données traitées sont les suivantes :
Etat civil / Identité : nom, prénom, adresse électronique, coordonnées téléphoniques, situation familiale, habitude de vie ;
Données de santé : pathologies, affections, antécédents médicaux, données relatives aux soins, situations ou comportements à risques au regard de la contamination par le VIH ; 
Vie sexuelle ;
3
Zone géographique de naissance des personnes (France métropolitaine, DOM-TOM, autres pays d’Europe, Afrique du Nord, Afrique Sub-saharienne, Asie, Autres).
La Commission considère, compte tenu des finalités poursuivies, que la collecte de ces données est pertinente au sens du 3° de l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation des données :
En matière de recherche biomédicale, et plus spécifiquement en application des dispositions de l’arrêté du 8 novembre 2006 fixant « la durée de conservation par le promoteur et l'investigateur des documents et données relatifs à une recherche biomédicale portant sur un médicament à usage humain », les documents et données relatifs à la recherche doivent être conservés pendant au moins quinze ans après la fin de la recherche biomédicale. 
La Commission relève que les adresses électroniques et coordonnées téléphoniques des personnes seront supprimées dès lors que les personnes ne participent plus à la recherche.   
La Commission considère que la conservation des données de la recherche quinze ans après la fin de la recherche est une durée proportionnée aux finalités poursuivies.
Sur l'information et les droits des personnes :
Une note d’information détaillée est remise à chaque participant et expose les finalités, principale et secondaires, de la recherche « IPERGAY », les différentes études ancillaires auxquelles tout ou partie des participants peuvent librement accepter de participer, les droits des personnes, notamment en application des dispositions de la loi n°78-17 du 6 janvier 1978 modifiée, ainsi que les modalités d’exercice de ceux-ci, et enfin le devenir des échantillons biologiques humains, prélevés exclusivement pour les besoins de la recherche « IPERGAY » et pour certaines études ancillaires. 
Par ailleurs, la note d’information rappelle aux personnes le caractère volontaire de leur participation à l’étude ainsi que leur droit de retrait discrétionnaire. 
La Commission souligne enfin la nécessité de délivrer aux personnes, participant à la recherche, une information claire et complète appelant leur attention sur le fait que la substance administrée peut être un placebo et sur l’utilité de suivre le protocole de la recherche en tenant compte des mesures de prévention usuelles. 
La Commission considère que ces modalités d’information et d’exercice des droits sont satisfaisantes.
4
Sur le recueil du consentement des personnes : 
Le dossier comporte deux formulaires de recueil du consentement.
Un premier formulaire concerne les données collectées au cours de la recherche « IPERGAY » et le cas échéant, celles collectées au cours des études ancillaires. A ce titre, votre rapporteur note que le consentement des personnes est demandé pour chaque étude ancillaire qui le requière. 
Un deuxième formulaire concerne exclusivement les données recueillies au cours de l’étude ancillaire « Pharmacocinétique de l’emtricitabine et du tenofovir au niveau plasmatique, salivaire et rectal ». En effet, eu égard à la nature des prélèvements et actes réalisés sur les personnes, un formulaire d’information et de recueil du consentement spécifique apparait pertinent. 
La Commission estime ces mesures satisfaisantes. 
Sur la sécurité des données et la traçabilité des actions :
Concernant les transmissions des données, celles-ci sont sécurisées par l’utilisation du protocole HTTPS, assurant ainsi la confidentialité des données. 
En effet, les participants répondront à des questionnaires directement sur internet. Pour ce faire, un lien URL composé d’une partie permettant d’accéder au questionnaire et d’une partie comprenant l’identifiant du participant, lui sera transmis. 
Concernant la sécurité des données, la manipulation des données (extraction, fusion, codage) ne sera effectuée que par le responsable des données de l’unité INSERM-IRD-ORS PACA-UMR912.
Les accès aux données ainsi qu’au portail d’administration des questionnaires s’effectuent par l’utilisation d’un login et d’un mot de passe dont la complexité répond aux recommandations de la Commission. Ces accès sont tracés. 
Toutefois, les réponses aux questionnaires, comportant des données sensibles, sont déposées, tout comme l’adresse e-mail des participants, chez un prestataire. 
La Commission estime que des mesures de sécurité assurant la confidentialité devront être mises en place notamment en cas de perte ou de vol des serveurs, mais également vis-à-vis des administrateurs du système.
A cet égard,  elle recommande au responsable de traitement de chiffrer les données d’identification directe des participants (adresse électronique), ou de les conserver séparément des réponses. 
Concernant les accès aux données par le personnel habilité, ils se font par l’utilisation d’un login et d’un mot de passe dont la complexité est conforme aux recommandations de la Commission. 
5
La Commission considère que ces mesures, en prenant en compte les recommandations ainsi présentées, sont proportionnées au regard de la finalité poursuivie.
Dans ces conditions, la Commission autorise l’ANRS à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la recherche intitulée « IPERGAY », recherche biomédicale menée dans le domaine de la santé. 
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Vu la convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu le code de la consommation, et notamment ses articles L. 121-20-5 et L. 134-2 ;Vu le code des postes et des communications électroniques, et notamment son article L. 34-5 ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 24 ;Vu la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique ;Vu l'ordonnance n° 2011-1012 du 24 août 2011 relative aux communications électroniques ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu la délibération n° 2005-112 du 7 juin 2005 portant création d'une norme simplifiée concernant les traitements automatisés de données à caractère personnel relatifs à la gestion des fichiers de clients et de prospects et portant abrogation des normes simplifiées 11, 17 et 25 ;Après avoir entendu M. Bernard Peyrat, commissaire, en son rapport, et Mme Elisabeth Rolin, commissaire du Gouvernement, en