AgentPublic/cnil huggingface dataset:
Catégories de personnes concernées par le transfert
Département vente, marketing, commercial,Département informatique
Identité(s) du(des) destinataire(s)
AMGEN INC (maison mère)2711 Centreville Road, Suite 400,WILMINGTON, DE 19808, USA
Pays d’établissement du(des) destinataire(s)
U.S.A
Service auprès duquel s’exerce le droit d’accès des personnes concernées
AMGEN SAS62, bd Victor Hugo – 92523 NEUILLY-SUR-SEINE
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Signature d’un contrat conforme aux clauses types adoptées par la Commission européenne dans sa décision du 15 juin 2001
Le Président 
Alex TURK
Délibération n°2008-438 du 13 novembre 2008 autorisant la mise en œuvre par la société AMGEN SAS d’un transfert de données à caractère personnel hors de l’Union Européenne (autorisation n°1320119) 
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la déclaration n° 1320119 ;
Sur le rapport de M. Bernard PEYRAT, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société AMGEN SAS à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
AMGEN SAS
Finalité du transfert
Aide à la décision de prix proposés aux clients/Analyse de l’outil de prix
Catégories de données transférées
Données d’identification
Nom, prénom, 
Titre, fonction
Adresse e-mail, fax
Catégories de personnes concernées par le transfert
Département vente et marketing,
Département commercial ,
Département informatique
Identité(s) du(des) destinataire(s)
AMGEN INC (maison mère)2711 Centreville Road, Suite 400,WILMINGTON, DE 19808, USA
Pays d’établissement du(des) destinataire(s)
U.S.A
Service auprès duquel s’exerce le droit d’accès des personnes concernées
AMGEN SAS62, bd Victor Hugo – 92523 NEUILLY-SUR-SEINE
Nature de garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Signature d’un contrat conforme aux clauses types adoptées par la Commission européenne dans sa décision du 15 juin 2001
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés, Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 69 ; Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;Vu la déclaration n° 1320121 ;Sur le rapport de M. Bernard PEYRAT, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;Autorise, dans les conditions définies dans le dossier et ses compléments, la société AMGEN SAS à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
AMGEN SAS
Finalité du transfert
Gestion administrative des marchés publics/Suivi et analyse 
Catégories de données transférées
Données d’identification
Nom, prénom, 
Titre, fonction 
Adresse e-mail, fax 
Catégories de personnes concernées par le transfert
Clients de la société AMGEN SAS
Identité(s) du(des) destinataire(s)
AMGEN INC (maison mère)2711 Centreville Road, Suite 400,WILMINGTON, DE 19808, USA
Pays d’établissement du(des) destinataire(s)
U.S.A
Service auprès duquel s’exerce le droit d’accès des personnes concernées
AMGEN SAS62, bd Victor Hugo – 92523 NEUILLY-SUR-SEINE
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Signature d’un contrat conforme aux clauses types adoptées par la Commission européenne dans sa décision du 15 juin 2001
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004, notamment ses articles 68 et 69  ; 
Vu le code des postes et des communications électroniques, notamment son article L. 34-5 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007, et notamment son article 103 ;
Sur le rapport de M. Bernard PEYRAT, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du Gouvernement ;
Autorise, dans les conditions définies dans le dossier et résumées dans le tableau ci-dessous, la Banque Fédérale des Banques Populaires à mettre en œuvre des transferts de données personnelles hors de l’Union Européenne, vers des Etats qui n’assurent pas un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes. 
Société responsable du transfert
La Banque Fédérale des Banques Populaires, agissant pour le compte des établissements intéressés du groupe des Banques Populaires, propriétaires des données.
Finalités du transfert
Numérisation et saisie informatique des courriers de mise à jour des coordonnées de contact des clients qu’ils auront adressés dans le cadre d’une campagne de vérification des informations détenues.
Catégories de données transférées
Données relatives aux clients particulier et entrepreneurs individuels des Banques Populaires ayant souscrit au dispositif :- nom, prénom, adresse, numéro client,- coordonnées privées  et professionnelles des clients des Banques Populaires : numéros de téléphone fixe et portable, numéros de télécopie, adresses électroniques- souhaits d’utilisation préférentielle par la banque,- consentements éventuels à la réception d’informations personnalisées économiques, commerciales et contractuelles du groupe Banque Populaire par SMS/MMS ou par e-mails sur la messagerie privée ou sur la messagerie professionnelle.
Bénéficiaires des transferts de données
Les agents habilités de la société de service de saisie de données, de droit marocain, FEDASO SA, située à Fès, 28 avenue Ibn Khattib, route d’Imouzzer.
Pays d’établissementdes bénéficiaires des transferts
Maroc
Services auprès desquels s’exerce le droit d’accès
La direction de la qualité de la Banque Populaire du client, dont l’adresse figure sur le questionnaire qui lui a été adressé, ou l’agence dont il dépend.
Garantie mise en œuvre par le bénéficiaire des transferts pour assurer un niveau de protection suffisant aux données transférées
Le contrat passé avec le sous-traitant inclut les clauses contractuelles européennes issues de la décision 2002/16/CE de la Commission européennes du 27 décembre 2001 concernant les transferts de données personnelles vers des sous-traitants établis dans des pays tiers.
Observations particulières
- Les clients sont informés du caractère facultatif de la collecte des données et du transfert de celles-ci au Maroc aux fins de leur saisie.- Les données sont conservées par le sous-traitant pendant deux mois sur ses serveurs. Les documents papier sont détruits ou retournés à la BFBP  au terme d’un délai de six mois.- Les mesures de sécurité adoptées par le sous-traitant garantissent la sécurité, la confidentialité et la finalité des données personnelles à l’égard de leur traitement informatique et de leur conservation sur support papier.
Le Président
Alex TURK
(demande d’autorisation 1293920)
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la directive 91/308/CE du Conseil du 10 juin 1991 modifiée relative à la prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-I-4° ;
Vu le code monétaire et financier, notamment ses articles L. 311-1, L. 313-1, L. 511-1 et L. 511-33 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978 modifiée par la loi n° 2004-810 du 6 août 2004 ;
Vu le dossier déposé par Orange – BNP Paribas Services (OBPS) relatif à un traitement automatisé de données à caractère personnel ayant pour finalité l’aide à la décision d’octroi de crédit et la prévention des impayés ;
Après avoir entendu M. Bernard PEYRAT, commissaire, en son rapport, et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations, 
Formule les observations suivantes :
La société financière OBPS a saisi la Commission nationale de l’informatique et des libertés d’un dossier relatif à la mise en œuvre d’un traitement de données à caractère personnel dont la finalité est l’aide à la décision d’octroi de crédit et la prévention des impayés ;
Ce traitement a pour objet, d’une part, d’évaluer, pour chaque personne qui présente une demande de crédit ou souhaite disposer d’un moyen de paiement adossé à un contrat de crédit, le risque statistique de défaillance qui lui est attaché et, d’autre part, de sélectionner les demandes qui correspondent à un niveau de risque de défaillance jugé satisfaisant. Il est, par voie de conséquence, susceptible d’exclure, au moins de façon temporaire, une personne du bénéfice d’un contrat de crédit là où aucun texte législatif ou réglementaire ne prévoit une telle exclusion.
Dès lors, ce traitement relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 et doit, à ce titre, être autorisé par la CNIL.
Par sa délibération n° 2008-198 du 9 juillet 2008 susvisée modifiant l’autorisation unique AU-005, la Commission a autorisé les traitements mis en œuvre par les établissements de crédit pour aider à l’évaluation et à la sélection des risques en matière d’octroi de crédit sous réserve que les finalités de ces traitements, les catégories de données utilisées et leurs destinataires n’excèdent pas le cadre qui y est défini, que ces traitements remplissent également les conditions qui y sont fixées, et que les responsables de ces traitements adressent à la CNIL un engagement de conformité à l’autorisation unique AU-005.
Les catégories de données prises en compte pour le calcul du score attaché à chaque demande de crédit sont celles prévues par l’autorisation unique 005 mais également :
Certaines variables supplémentaires concernant le demandeur de crédit :
. la situation de divorcé ;
. le type de contrat de travail ;
. certaines variables sont croisées : l’âge du demandeur et la situation familiale, le type et l’ancienneté de l’habitat, la situation de famille et le nombre d’enfants, les revenus et le nombre d’unités de consommation du foyer.
D’autres variables supplémentaires se rapportant aux autres personnes qui contribuent aux revenus du ménage : l’ancienneté professionnelle du conjoint, croisée avec son code socioprofessionnel ; son taux d’endettement. 
Le traitement tient également compte:
- du nombre global des crédits non encore intégralement remboursés qui ont été consentis au demandeur par BNP Paribas PF (ex-CETELEM) ou les établissements de crédit qui lui sont liés ;
- du montant global restant à rembourser qui correspond à ces crédits ;
- des demandes d’augmentation du plafond d’un découvert toujours en cours, lorsqu’elles ont été refusées par OBPS. 
La Commission estime que la prise en compte de ces données est adéquate, pertinente et non excessive au regard de la finalité poursuivie. Elle rappelle que les modalités de levée du secret bancaire doivent être conformes aux dispositions de l’article L. 511-33 du code monétaire et financier telles qu’elles résultent de l’article 154 de la loi n° 2008-776 du 4 août 2008.
Les demandeurs de crédit bénéficient de l’information prévue à l’article 32 de la loi du 6 janvier 1978 préalablement au recueil des données personnelles, dans les conditions définies 
à l’article 90 du décret n° 2005-1309 susvisé, notamment en cas de commercialisation des crédits par voie téléphonique.
Par ailleurs, les conditions d’utilisation du résultat de l’application du score font apparaître des différences par rapport à l’autorisation unique 005 :
Les personnels habilités à participer à l’entretien prévu en vue du réexamen des demandes de crédit rejetées, dans un premier temps, par le système de score, disposeront de pouvoirs de délégation leur permettant de proposer, après prise en compte des observations du demandeur de crédit sur sa situation financière personnelle, une nouvelle décision. Cependant, cette nouvelle proposition n’entrera en vigueur que si elle est contresignée par un responsable hiérarchique habilité.
La Commission rappelle que ces règles de procédures et les critères à prendre en compte pour octroyer un crédit dans le cadre de cette procédure doivent être définis dans des instructions internes adressées aux personnels concernés.
En ce qui concerne les demandes de crédit satisfaites qui ont été présentées par de nouveaux clients, le déclarant prévoit également d’utiliser le résultat du score pour évaluer le risque de crédit associé à l’emprunteur au titre du système de notation interne dit Bâle II. La « note Bâle II » sera, dans cette hypothèse, le résultat du score. En effet, le responsable du traitement ne disposera pas, en de telles circonstances, d’autres éléments de référence jugés pertinents au regard des exigences de la maîtrise du risque.
La Commission reconnaît la légitimité de l’utilisation du résultat du score en tant que « note Bâle II » d’un nouvel emprunteur aussi longtemps que l’établissement de crédit n’est pas en possession d’informations plus pertinentes pour évaluer le risque de crédit qu’il représente. Elle note que la durée de conservation de ce résultat ne dépassera pas trois mois.
Enfin, s’agissant des garanties prises vis à vis des apporteurs d’affaires pour empêcher toute utilisation des données transmises par OBPS qui ne seraient pas conformes à la finalité du traitement, les clauses contractuelles actuellement applicables seront modifiées dans les meilleurs délais, afin de prévoir les limitations à l’utilisation et à la conservation du résultat du score qui leur seront applicables.
Autorise, dans les conditions prévues par le dossier du demandeur et la présente délibération, la société financière OBPS à mettre en œuvre le traitement automatisé d’aide à la décision d’octroi de crédit et la prévention des impayés.
Le Président
Alex TURK
(demande d’autorisation 1306441)
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la directive 91/308/CE du Conseil du 10 juin 1991 modifiée relative à la prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-I-4° ;
Vu le code monétaire et financier, notamment ses articles L. 311-1, L. 313-1, L. 511-1 et L. 511-33 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978 modifiée par la loi n° 2004-810 du 6 août 2004 ;
Vu le dossier déposé par CAFINEO relatif à un traitement automatisé de données à caractère personnel ayant pour finalité l’aide à la décision d’octroi de crédit et la prévention des impayés ;
Après avoir entendu M. Bernard PEYRAT, commissaire, en son rapport, et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La société financière CAFINEO a saisi la Commission nationale de l’informatique et des libertés d’un dossier relatif à la mise en œuvre d’un traitement de données à caractère personnel dont la finalité est l’aide à la décision d’octroi de crédit et la prévention des impayés ;
Ce traitement a pour objet, d’une part, d’évaluer, pour chaque personne qui présente une demande de crédit ou souhaite disposer d’un moyen de paiement adossé à un contrat de crédit, le risque statistique de défaillance qui lui est attaché et, d’autre part, de sélectionner les demandes qui correspondent à un niveau de risque de défaillance jugé satisfaisant. Il est, par voie de conséquence, susceptible d’exclure, au moins de façon temporaire, une personne du bénéfice d’un contrat de crédit là où aucun texte législatif ou réglementaire ne prévoit une telle exclusion.
Dès lors, ce traitement relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 et doit, à ce titre, être autorisé par la CNIL.
Par sa délibération n° 2008-198 du 9 juillet 2008 susvisée modifiant l’autorisation unique AU-005, la Commission a autorisé les traitements mis en œuvre par les établissements de crédit pour aider à l’évaluation et à la sélection des risques en matière d’octroi de crédit sous réserve que les finalités de ces traitements, les catégories de données utilisées et leurs destinataires n’excèdent pas le cadre qui y est défini, que ces traitements remplissent également les conditions qui y sont fixées, et que les responsables de ces traitements adressent à la CNIL un engagement de conformité à l’autorisation unique AU-005.
Les catégories de données prises en compte pour le calcul du score attaché à chaque demande de crédit sont celles prévues par l’autorisation unique 005 mais également :
- Certaines variables supplémentaires concernant le demandeur de crédit :
. la situation de divorcé ;
. le type de contrat de travail ;
. certaines variables sont croisées : l’âge du demandeur et la situation familiale, le type et l’ancienneté de l’habitat, la situation de famille et le nombre d’enfants, les revenus et le nombre d’unités de consommation du foyer.
- D’autres variables supplémentaires se rapportant aux autres personnes qui contribuent aux revenus du ménage : l’ancienneté professionnelle du conjoint, croisée avec son code socioprofessionnel ; son taux d’endettement. 
Le traitement tient également  compte:
- du nombre global des crédits non encore intégralement remboursés qui ont été consentis au demandeur par BNP Paribas PF (ex-CETELEM) ou les établissements de crédit qui lui sont liés ;
- du montant global restant à rembourser correspondant à ces crédits ;
- des demandes d’augmentation du plafond d’un découvert toujours en cours, lorsqu’elles ont été refusées par CAFINEO. 
La Commission estime que la prise en compte de ces données est adéquate, pertinente et non excessive au regard de la finalité poursuivie. Elle rappelle que les modalités de levée du secret bancaire doivent être conformes aux dispositions de l’article L. 511-33 du code monétaire et financier telles qu’elles résultent de l’article 154 de la loi n° 2008-776 du 4 août 2008.
Les demandeurs de crédit bénéficient de l’information prévue à l’article 32 de la loi du 6 janvier 1978 préalablement au recueil des données personnelles, dans les conditions définies à l’article 90 du décret n° 2005-1309 susvisé, notamment en cas de commercialisation des crédits par voie téléphonique.
Par ailleurs, les conditions d’utilisation du résultat de l’application du score font apparaître des différences par rapport à l’autorisation unique 005 :
La Commission reconnaît la légitimité de l’utilisation du résultat du score en tant que « note Bâle II » d’un nouvel emprunteur aussi longtemps que l’établissement de crédit n’est pas en possession d’informations plus pertinentes pour évaluer le risque de crédit qu’il représente. Elle note que la durée de conservation de ce résultat ne dépassera pas trois mois.
Enfin, s’agissant des garanties prises vis à vis des apporteurs d’affaires pour empêcher toute utilisation des données transmises par CAFINEO qui ne seraient pas conformes à la finalité du traitement, les clauses contractuelles actuellement applicables seront modifiées dans les meilleurs délais, afin de prévoir les limitations à l’utilisation et à la conservation du résultat du score qui leur seront applicables.
Autorise, dans les conditions prévues par le dossier du demandeur et la présente délibération, la société financière CAFINEO à mettre en œuvre le traitement automatisé d’aide à la décision d’octroi de crédit et la prévention des impayés.
Le Président
Alex TURK
Autorise, dans les conditions définies dans le dossier et ses compléments, l’Hôpital local de Beaujeu à mettre en œuvre un traitement de partage d’informations médicales à travers le portail internet régional SIS Rhône-Alpes, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Responsable du traitement
Hôpital local de Beaujeu
Finalités
- Mise à disposition et collecte d’informations médicales sur les patients pris en charge par le centre au travers du portail SIS Rhône-Alpes (Système d’information santé de la région Rhône-Alpes).- Le site internet du SISRA regroupe  :- un outil d’identification régionale du patient, le  « STIC » (Serveur Télématique d’Identité Communautaire) qui a pour objectif de délivrer et de gérer pour chaque patient un identifiant régional (IPPR) ;- un outil de partage des dossiers des patients, assimilable à un moteur de recherche sécurisé qui permet à des professionnels de santé de mettre à disposition leurs données sur les patients et d’accéder à celles de leurs confrères sur autorisation du patient dénommé « DPPR » (Dossier Patient Partagé et Réparti). Les données de santé des patients restent stockées au sein des structures de santé.-L’hôpital local de Beaujeu souhaite utiliser les fonctionnalités du DPPR et mettre à disposition ses données avec l’accord des patients concernés.
Données traitées