AgentPublic/cnil huggingface dataset:
titulaire légitime.   Les employés seront informés directement lors de la démonstration individuelle de l'utilisation de la clé effectuée par les personnels du service informatique.   La Commission considère que dans la mesure où le gabarit de l'empreinte digitale est uniquement stocké dans un support individuel exclusivement détenu par la personne concernée et dont elle décide librement de l'utilisation, le dispositif soumis par la société Sanofi Aventis ne comporte pas de risques particuliers pour la protection des libertés et des droits fondamentaux de la personne.   Les droits d'accès et de rectification s'exerceront auprès du service Opérations scientifiques et médicales - 1 avenue Pierre Brossolette - 91380 Chilly-Mazarin.   La donnée à caractère personnel enregistrée sur la clé USB sera le gabarit chiffré, résultat du traitement des mesures par un algorithme sur l'empreinte digitale.   Le destinataire des information sera, dans la limite de ses attributions et pour la poursuite de la finalité précitée, l'employé dépositaire de la clé USB.   Dans ces conditions, la Commission autorise la société Sanofi Aventis à mettre en oeuvre le traitement de données à caractère personnel présenté.   Le Président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-80 ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004, modifié par le décret n° 2007-451 du 25 mars 2007 ;   Vu la demande d'autorisation présentée par la Compagnie Financière Edmond de Rothschild Banque d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès aux postes de travail informatiques ;   Après avoir entendu M. Hubert BOUCHET, commissaire en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :   La Commission nationale de l'informatique des libertés a été saisie par la Compagnie Financière Edmond de Rothschild Banque d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès aux postes de travail informatiques.   Il y a lieu de faire application des dispositions prévues à l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.   Le dispositif présenté a pour objet d'améliorer le contrôle de l'accès au système d'information en substituant la reconnaissance de l'empreinte digitale de l'utilisateur à la saisie d'un mot de passe.   Les traitements doivent permettre :   - d'empêcher toute personne non habilitée d'accéder aux postes de travail informatiques ;   - de garantir l'authentification de la personne qui accède au poste de travail ;   - de se prémunir contre les risques liés au "prêt" de codes d'accès au système informatique.   Le dispositif repose sur l'utilisation d'un lecteur biométrique relié au poste de travail informatique.  Ce lecteur permettra également de lire la carte à puce dans laquelle sera enregistrée le gabarit de l'empreinte digitale des personnes concernées. L'authentification de la personne souhaitant accéder au système d'information s'effectuera par une comparaison entre le
doigt apposé sur le lecteur et le gabarit de l'empreinte digitale enregistré sur la carte.  Le gabarit de l'empreinte digitale des personnes souhaitant accéder au système d'information sera exclusivement stocké sur une carte individuelle détenue par chaque employé.   Des données nécessaires à la gestion du contrôle de l'accès à des application informatiques internes spécifiques (identifiants et mots de passe), à l'exclusion du gabarit de l'empreinte digitale, seront enregistrées soit au sein de la carte à puce, soit dans des serveurs dédiés sécurisés.   Le dispositif présenté à la Commission reposant sur l'enregistrement du gabarit de l'empreinte digitale dans un support individuel exclusivement détenu par la personne concernée, la mise en oeuvre d'un traitement reposant sur la reconnaissance de l'empreinte digitale apparaît, en l'état actuel des connaissances sur la technologie utilisée, adaptée et proportionnée à la finalité assignée au dispositif.   Les droits d'accès et de rectification s'exerceront auprès du gérant de la Compagnie Financière Edmond de Rothschild Banque - 47 rue du Faubourg Saint-Honoré - 75401 Paris Cedex 08.
Les catégories de données à caractère personnel enregistrées seront :   - les identifiants et mots de passe utilisés pour le contrôles d'accès à certaines applications ;   - le gabarit chiffré, résultat du traitement des mesures par un algorithme sur l'empreinte digitale.   Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée les personnes habilitées de la direction des systèmes d'information.   Dans ces conditions, la Commission autorise la Compagnie Financière Edmond de Rothschild Banque à mettre en oeuvre le traitement de données à caractère personnel présenté.   Le Président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Saisie le 17 janvier 2007, d'un dossier relatif à un traitement ayant pour finalité le suivi des signalements dans le cadre de la lutte anti-fraude ;   Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-3° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;   Après avoir entendu M. Jean-Pierre de LONGEVIALLE, commissaire, en son rapport et Mme Pascale COMPAGNIE, commissaire du gouvernement, en ses observations.
Formule les observations suivantes   La Caisse primaire d'assurance maladie de Sélestat a saisi la CNIL d'un dossier relatif à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité la gestion du suivi des signalements concernant les assurés, employeurs ou professionnels de santé dans le cadre du suivi des fraudes et anomalies.   La Commission considère qu'il y a lieu de faire application des dispositions de l'article 25-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.   Ce traitement permettra à la Caisse primaire de mettre en place un dispositif de suivi individuel des signalements concernant les assurés, employeurs ou professionnels de santé, de détecter les fraudes, de diligenter des contrôles individuels, le cas échéant, de suivre les actions contentieuses, les remboursements et les échéances.   En application de l'article L. 314-1 du code de la sécurité sociale, lorsque les caisses reçoivent les documents établis pour l'ouverture des prestations, elles vérifient avec l'appui des services médicaux que l'ensemble des conditions auxquelles est subordonnée la prise en charge est rempli, que les actes pratiqués ou les traitements prescrits n'excèdent pas les limites et indications prévues par les textes et respectent les recommandations de bonne pratique cliniques et les références professionnelles et enfin que les
dépenses présentées au remboursement ne méconnaissent pas les engagements conventionnels.   Le droit d'accès défini au chapitre V de la loi du 6 janvier 1978 s'exercera auprès de la directrice de la Caisse primaire d'assurance maladie de Sélestat.   Les catégories de données à caractère personnel enregistrées seront relatives à l'identité de la personne signalée, à son numéro de sécurité sociale, au motif du signalement, à l'évaluation du préjudice, aux informations nécessaires au suivi du dossier par le contrôle interne, aux audiences, à la nature de la condamnation, aux remboursements et à l'échéancier.   Les destinataires des informations seront, en fonction de leurs missions, les agents du service du contrôle interne et la direction.   Dans ces conditions, la Commission autorise la mise en oeuvre par la caisse primaire d'assurance maladie de Sélestat d'un traitement automatisé de données à caractère personnel ayant pour finalité le suivi des signalements concernant les assurés, employeurs ou professionnels de santé dans le cadre du suivi des fraudes et anomalies.   Le Président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Saisie le 17 avril 2007, d'un dossier relatif à un traitement ayant pour finalité la gestion des dossiers des personnes victimes d'accidents du travail ou de maladies professionnelles dans lesquels la faute inexcusable de l'employeur a été retenue   Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-3° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;   Après avoir entendu M. Jean-Pierre de LONGEVIALLE, commissaire, en son rapport et Mme Pascale COMPAGNIE, commissaire du gouvernement, en ses observations.
Formule les observations suivantes :   La Caisse régionale d'assurance maladie de Rhône-Alpes a saisi la CNIL d'un dossier relatif à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité la gestion des dossiers des personnes victimes d'accidents du travail ou de maladies professionnelles dans lesquels la faute inexcusable de l'employeur a été retenue.   La Commission considère qu'il y a lieu de faire application des dispositions de l'article 25-3 de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.   Ce traitement permettra à la Caisse régionale d'enregistrer les informations relatives aux personnes victimes d'accidents du travail ou de maladies professionnelles dans lesquels la faute inexcusable de l'employeur a été retenue ainsi que les charges incombant aux employeurs.  Le traitement permettra également de produire des statistiques internes pour le rapport annuel d'activité de la Caisse régionale d'assurance maladie de Rhône-Alpes.   Le droit d'accès défini au chapitre V de la loi du 6 janvier 1978 s'exercera auprès de la sous-direction juridique de la Caisse régionale d'assurance maladie de Rhône-Alpes.   Les catégories de données à caractère personnel enregistrées seront relatives à l'identité de la personne victime de l'accident du travail ou de la maladie professionnelle, son numéro de sécurité sociale, son adresse et son
numéro de téléphone ainsi que des informations relatives à l'entreprise responsable du sinistre, la date de l'accident du travail ou de reconnaissance de la maladie professionnelle, les charges retenues contre l'employeur et la décision retenant la faute inexcusable de l'employeur.   Les destinataires des informations seront, en fonction de leurs missions, les agents de la sous-direction juridique de la Caisse régionale d'assurance maladie de Rhône-Alpes, l'URSSAF et l'employeur responsable du sinistre.   Dans ces conditions, la Commission autorise la caisse régionale d'assurance maladie de Rhône-Alpes à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité la gestion des dossiers des personnes victimes d'accidents du travail ou de maladies professionnelles dans lesquels la faute inexcusable de l'employeur a été retenue.   Le Président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 91/308/CE du Conseil du 10 juin 1991 modifiée relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment les articles 11 et 25 ;   Vu le code monétaire et financier (CMF), notamment ses articles L. 511-34, L. 561-1 à L. 563-5, L. 574-1, L. 574-2, L. 613-13, R. 562-1, R. 562-2, R. 563-1 à R. 563-3 et R. 564-1 ;   Vu le code pénal, notamment les articles 222-34 et suivants et 324-1 et suivants ;   Vu le règlement du Comité de la réglementation bancaire et financière (CRBF) n° 91-07 du 15 février 1991 modifié relatif à la lutte contre le blanchiment des capitaux provenant du trafic de stupéfiants, le règlement n° 2002-01 du 18 avril 2002 modifié relatif aux obligations de vigilance en matière de chèque aux fins de lutte
contre le blanchiment de capitaux et le financement du terrorisme, ainsi que le règlement n° 2002-13 du 21 novembre 2002 relatif à la monnaie électronique et aux établissements de monnaie électronique ;   Vu les travaux du Groupe d'action financière sur le blanchiment de capitaux (GAFI), notamment ses quarante recommandations révisées et ses recommandations spéciales sur le financement du terrorisme, ainsi que la liste des pays non coopératifs (PTNC) en matière de lutte contre le blanchiment ;   Vu les recommandations du Comité de Bâle sur le contrôle bancaire relatives au devoir de diligence des banques au sujet de la clientèle, en date d'octobre 2001 ;   Après avoir entendu M. Philippe Nogrix, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :   Les traitements de données à caractère personnel qui sont mis en oeuvre par les organismes financiers au titre de la lutte contre le blanchiment de capitaux et le financement du terrorisme visent à détecter des transactions financières réalisées par leurs clients qui sont susceptibles d'être qualifiées d'infraction de blanchiment ou de financement du terrorisme par les autorités compétentes et qui, de ce fait, doivent, le cas échéant après la collecte de renseignements complémentaires ou un travail d'analyse non automatisé, donner lieu à l'envoi d'une déclaration à la cellule Tracfin du ministère de l'économie, des finances et de l'industrie.   Ces traitements visent également à permettre l'application du dispositif légal de gel des avoirs dans le cadre de la lutte contre le financement du terrorisme.   L'identification de tels faits, pour une large part sur la base de critères intégrés dans les traitements automatisés de l'organisme financier, peut conduire ce dernier à souhaiter, pour des raisons de prudence, rompre toute relation contractuelle avec certains des clients qui en font l'objet.  Ces traitements, peuvent ainsi, du fait de leur portée, conduire à l'exclusion de personnes du bénéfice d'un contrat en l'absence de toute disposition légale prévoyant la mise en oeuvre d'une telle exclusion.   Dès lors, ces traitements relèvent du 4° du I de l'article 25 de la loi du 6 janvier 1978 modifiée et doivent, à ce titre, être
autorisés par la CNIL.   En vertu de l'article 25-II de la loi du 6 janvier 1978 modifiée, la Commission peut autoriser par une décision unique une catégorie de traitements répondant aux mêmes finalités, portant sur des catégories de données identiques et ayant les mêmes catégories de destinataires.  Il en résulte que le responsable d'un traitement conforme à cette décision unique d'autorisation pourra déclarer son traitement en adressant à la Commission un engagement de conformité par lequel il s'engage à respecter les termes de la décision de la CNIL.   Décide que les établissements du secteur bancaire, au sens du titre Ier du livre V du code monétaire et financier, la Banque de France, l'institut d'émission des départements d'outre-mer, l'institut d'émission d'outre-mer, la Caisse des dépôts et consignations et les entreprises d'investissement qui souhaiteront se référer à la présente décision et adresseront, à cette fin, à la Commission une déclaration comportant un engagement de conformité pour leurs traitements qui répondent strictement aux conditions fixées dans la présente décision unique, seront autorisés à mettre en oeuvre ces traitements.
Article 1er :  Finalité et champ d'application des traitements   Seuls peuvent faire l'objet d'un engagement de conformité par référence à la présente décision unique les traitements que les organismes susvisés mettent en oeuvre pour répondre à leurs obligations légales en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme et dont la finalité exclusive est d'apporter une aide à la détection, à l'examen et à la surveillance de certaines transactions financières dans le but éventuel, à l'issue d'une analyse non automatisée, de déclarer à la cellule de renseignement financier Tracfin les opérations qui relèvent de l'article L. 562-2 du CMF ou de constituer un dossier de renseignements au titre de l'article L. 563-3 du CMF ou de bloquer la réalisation des opérations menées par une personne ou à destination d'une personne qui fait l'objet d'une mesure de gel des avoirs.   Les informations enregistrées dans ces traitements peuvent provenir des autres services nationaux de l'organisme financier (notamment les agences commerciales) ou du groupe financier, ou avoir fait l'objet d'une détection automatique par le système d'information.
Elles peuvent concerner, en tout ou partie :   . des sommes inscrites dans leurs livres qui sont susceptibles de provenir du trafic de stupéfiants, de la fraude aux intérêts financiers des Communautés européennes, de la corruption ou d'activités criminelles organisées ou de participer au financement du terrorisme, ainsi que les opérations s'y rapportant (article L. 562-2 du CMF) ;   . des opérations dont l'identité du donneur d'ordre ou du bénéficiaire est douteuse malgré les diligences effectuées (articles L. 562-2 et L. 563-1 du CMF) ;   . des opérations réalisées avec des personnes physiques ou morales agissant sous forme ou pour le compte de fonds fiduciaires ou de tout autre instrument de gestion d'un patrimoine d'affectation dont l'identité des constituants ou des bénéficiaires n'est pas connue (article L. 562-2 du CMF) ;   . des opérations effectuées avec des personnes physiques domiciliées, enregistrées ou établies dans un Etat ou territoire inscrit sur la liste des pays et territoires non coopératifs en matière de lutte contre le blanchiment d'argent et désignés par décret (articles L. 562-2 et L. 563-1-1 du CMF) ;     des opérations importantes qui se présentent dans des conditions inhabituelles de complexité et ne paraissent pas avoir de justification économique ou d'objet licite (articles L. 563-3 et R. 563-2 du CMF) ;   . des opérations sur chèques ou monnaie électronique qui sont susceptibles d'apparaître anormales ou inhabituelles, notamment au regard du
fonctionnement habituel du compte du client ou qui entrent dans le champ du programme de contrôle arrêté par l'organisme financier (règlement CRBF n° 2002-01 du 18 avril 2002, articles 7 et suivants du règlement CRBF n° 2002-13 du 21 novembre 2002) ;   . des avoirs - ainsi que leurs supports - des personnes qui font l'objet d'une mesure de gel des avoirs pour leurs liens présumés avec une activité terroriste et qui sont, à ce titre, inscrites sur des listes à caractère réglementaire émanant d'autorités nationales ou européennes ;   . d'autres opérations intéressant les donneurs d'ordre ou bénéficiaires mentionnés dans le traitement au titre de l'une des catégories d'opérations précitées ;   . des opérations réalisées par les "personnes politiquement exposées" au sens des recommandations du GAFI.
Article 2 :  Données à caractère personnel enregistrées   Elles peuvent aussi bien se rapporter à des clients, habituels ou occasionnels, qu'aux tiers concernés par leurs opérations financières, notamment les donneurs d'ordre et bénéficiaires réels de ces transactions, que ce soit au titre de leur participation aux opérations citées à l'article 1er ou de leur qualification de "personne politiquement exposée".   Seules les catégories d'informations suivantes peuvent être traitées :   . en ce qui concerne l'identification des clients et des tiers ;   . pour les personnes physiques :  nom, prénoms, pseudonyme, code état (M., Mme, Mlle), photographie, date et lieu de naissance, nationalité, situation de famille, adresses, références des documents d'identité présentés, identité du conjoint ;   . pour les personnes morales :  raison sociale, forme juridique, enseigne, numéro SIREN, code APE, identité des dirigeants et principaux associés ;   . en ce qui concerne leur situation professionnelle, économique et financière :  numéro de compte, date d'ouverture du compte ou de l'entrée en relation, profession et nom de l'employeur pour les salariés, secteur d'activité économique pour les professionnels indépendants, pensions et autres prestations pour les étudiants et retraités, niveau des revenus ou du chiffre d'affaires, catégorie socioprofessionnelle, codes NAF, origine du patrimoine et des fonds impliqués dans la transaction ;   . en ce qui concerne les opérations financières :
montant et nature de la transaction, devise traitée, origine et destination de la transaction (origine géographique, organisme financier intervenant en tant qu'intermédiaire, numéro des comptes crédités ou débités), identité de la personne bénéficiaire de la transaction, justification économique déclarée de l'opération, identité du donneur d'ordre réel, motifs de la déclaration de soupçon ;   . Identité du (ou des) correspondant(s) Tracfin, transmission au Parquet du dossier par Tracfin.