AgentPublic/cnil huggingface dataset:
La Commission comprend que la mise en relations d'enseignants et de jeunes enfants comporte des risques spécifiques, notamment celui de la commission d'infractions sexuelles, liées notamment à la pédophilie, et que la société souhaite dès lors prémunir les élèves contre de tels risques en collectant des données relatives, entre autres, aux infractions que les candidats auraient pu commettre dans le passé. 
Toutefois, aux termes de l'article 9 de la loi du 6 janvier 1978 modifiée, les traitements de données à caractère personnel relatives aux infractions, condamnations et mesures de sûreté ne peuvent être mis en œuvre que par les juridictions, les autorités publiques et les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales ; les auxiliaires de justice, pour les stricts besoins de l'exercice des missions qui leur sont confiées par la loi ; et les personnes morales mentionnées aux articles L. 321-1 et L. 331-1 du code de la propriété intellectuelle, agissant au titre des droits dont elles assurent la gestion ou pour le compte des victimes d'atteintes aux droits prévus aux livres Ier, II et III du même code aux fins d'assurer la défense de ces droits .
Ainsi, le traitement de telles données est exclusivement réservé à certaines catégories de personnes, telles que les auxiliaires de justice, les juridictions ainsi que les autorités publiques ou les personnes morales gérant un service public, dans le cadre de leurs attributions légales. La finalité de cette disposition consiste à éviter la constitution de casiers judiciaires bis , qui ne respecteraient pas les strictes garanties prévues par la loi à la collecte de telles données.
Or, la délégation de la CNIL a constaté dans les fichiers de la société la présence d'informations telles que :
· concernant les élèves : eleve retourné en prison !! , ne pas parlé de cela mais a savoir qu il s est fait virer de St Genès pr traffic de drogue et comme n a pas 18 ans a echappé a la prison , [...] a fait de la prison , [...] est mis en examen (je ne sais pas pourquoi , [...] commet des actes de violence , a fait des vols, drogue , a priori [...] a eu de gros pb, ils sont suivi par un juge car a fait des vols et autre... , pbs de comportement au ly Vauban, Aire (vols de sacs et argent avec un camarade, destruction de toilettes...) , gros soucis psycho, victime d'un enseignant avec d'autres élèves (pédophilie?) ;
· concernant les parents : placement des enfants chez le père (celui là même qui avait frappé son fils dès ses 1ères années !) , le père avait fait de la prison ;
· concernant les enseignants : M. [...] avait eu des pbs avec la justice suite à des échanges de photos pédophiles , en liberté surveillée (commissariat d'Eaubonne) pour affaire de pédophilie , a été mise en garde à vue suite à la demande du directeur sportif pour avoir fait geste déplacé sur un adolescent (12 -17 ans) puis incarcéré , la gendarmerie l'a contacté car il est mis en examen suite à la consultation de sites à caractère pédophile ;
· concernant l'entourage des élèves : attouchements sexuels fait par un ami de la famille sur les 3 enfants , s'est faite violée à paques par son cousin! , sa cousine avait été assassinée et violée . 
Cet enregistrement de données relatives aux infractions et de condamnations, en dépit de son ambition protectrice, apparaît doublement contraire à la loi informatique et libertés . 
En premier lieu, la société n'a aucunement qualité pour mettre en œuvre un traitement de données d'infractions et de condamnations, au regard des dispositions de l'article 9 de la loi du 6 janvier 1978. 
En second lieu, l'activité de soutien scolaire à domicile ne saurait justifier l'enregistrement et la conservation de telles informations, mettant en cause des personnes sur le fondement de signalements et de dénonciations non vérifiables.
La Commission relève au demeurant que l'interdiction posée par la loi n'exclut en rien la faculté pour la société d'informer les autorités compétentes, en particulier le parquet, sur des faits qu'elle considèrerait comme répréhensibles. 
Ce rôle d'alerte et de transmission d'informations susceptibles de protéger des mineurs et de mettre fin à des agissements répréhensibles aux autorités compétentes, ne saurait pour autant justifier l'enregistrement et la conservation par la société d'informations relatives à des faits d'une extrême gravité au risque de constituer un fichier privé d'infractions voire de condamnations.
La Commission considère dès lors que le traitement des données d'infractions sur les élèves, les candidats, les enseignants et leur entourage familial, tel qu'il a été constaté dans les bases B et A, est contraire aux dispositions de l'article 9 de la loi n° 78-17 du 6 janvier 1978 modifiée.
Sur le manquement à l'obligation de définir une durée de conservation des données
En application du 5° de l'article 6 de la loi du 6 janvier 1978 modifiée, les données à caractère personnel sont conservées sous une forme permettant l'identification des personnes concernées pendant une durée qui n'excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées .
Or la Commission relève qu'il ressort des conclusions du contrôle précité que les informations contenues dans les bases de données A et B, concernant les candidats, les enseignants et les clients, ont été conservées sans limitation de durée, et ce depuis la création de ces bases, qu'aucune durée de conservation n'a été fixée par la société, et que les traitements ne font l'objet d'aucune politique de purge.
Dès lors, la Commission estime que la société a violé les dispositions du 5° de l'article 6 de la loi n° 78-17 du 6 janvier 1978 modifiée.
Sur le manquement à l'obligation d'accomplir auprès de la Commission les formalités préalables à la mise en œuvre des traitements concernés
Tout responsable de traitement a l'obligation d'accomplir des formalités préalables auprès de la CNIL avant la mise en œuvre d'un traitement automatisé de données personnelles, conformément aux dispositions du chapitre IV de la loi du 6 janvier 1978. 
Or la Commission constate que la société X n'a effectué aucune formalité préalable à la mise en œuvre de ses traitements ayant pour finalité la gestion des opérations de candidatures aux postes d'intervenants, la gestion des enseignants inscrits et la gestion des clients et prospects, par le biais des bases de données A et B.
Elle relève par ailleurs que la société X ne saurait se prévaloir des déclarations de traitements préalablement effectuées par la société Z, dont la société X a repris les actifs en 2006, dès lors d'une part que ceux-ci ne concernent pas l'intégralité des traitements mis en cause, et d'autre part qu'elles n'ont fait l'objet d'aucune mise à jour, alors pourtant qu'il s'agissait de notifier à la Commission une modification de nature substantielle, selon les termes de l'article 11 du décret du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978 modifiée. 
Au regard de ce qui précède, la Commission estime que la société a manqué à son obligation d'accomplir des formalités préalables à la mise en œuvre d'un traitement automatisé, en particulier en ce qui concerne le traitement du NIR des enseignants et la liste d'exclusion des enseignants interdits , qui relèvent du pouvoir d'autorisation de la Commission. 
PAR CES MOTIFS
Conformément au I de l'article 45 et à l'alinéa 1 de l'article 46 de la loi du 6 janvier 1978 modifiée, et eu égard à la nature des données à caractère personnel traitées, au nombre de manquements constatés et à leur particulière gravité, la formation restreinte de la CNIL, après en avoir délibéré, décide, sans qu'il soit nécessaire de demander au commissaire rapporteur de poursuivre ses diligences : 
- d'adresser un avertissement à l'encontre de la société X, qui sera rendu public.
La société X dispose d'un délai de deux mois pour exercer un recours devant le Conseil d'Etat à l'encontre de la présente délibération.
Le Président 
Alex TURK
(autorisation n°1436565)
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-4° ; 
Vu la loi n°2010-476 du 12 mai 2010 relative à l’ouverture à la concurrence et à la régulation du secteur des jeux d’argent et de hasard en ligne, notamment ses articles 17, 18 et 22 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu le décret n°2010-509 du 18 mai 2010 relatif aux obligations imposées aux opérateurs agréés de jeux ou de paris en ligne en vue du contrôle des données de jeux par l’ARJEL ;
Vu le décret n°2010-518 du 19 mai 2010 relatif à la mise à disposition de l’offre de jeux et de paris par les opérateurs agréés de jeux ou de paris en ligne ;
Sur le rapport de M. Dominique RICHARD, commissaire, et les observations de  Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés a été saisie par la société Partouche Gaming France SAS d’une demande d’autorisation relative à la mise en œuvre d’un traitement automatisé des données à caractère personnel visant à lutter contre la fraude, le blanchiment de capitaux et le financement du terrorisme.
La société Partouche Gaming France SAS a été agréée par l’Autorité de régulation des jeux en ligne (ARJEL) le 25 juin 2010 pour exploiter le site www.partouche.fr, dédié aux jeux de cercles en ligne (notamment le poker). 
La loi n°2010-476 du 12 mai 2010 relative à l’ouverture à la concurrence et à la régulation du secteur des jeux d’argent et de hasard en ligne impose aux opérateurs de jeux en ligne, agréés par l’ARJEL, de mettre en place des mesures visant à lutter contre la fraude, le blanchiment de capitaux et le financement du terrorisme. Elle assujettie notamment les opérateurs de jeux en ligne agréés aux obligations prévues par les dispositions des sections 2 à 7 du chapitre 1er du titre VI du livre V du Code monétaire et financier (CMF).
Les traitements ainsi mis en œuvre par les opérateurs de jeux en ligne agréés peuvent conduire ces derniers à souhaiter rompre toute relation contractuelle avec certains joueurs et donc à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat, nonobstant l’absence de toute disposition légale le prévoyant.
La Commission considère, dès lors, qu’il y a lieu de faire application des dispositions de l’article 25-I-4° pour les traitements mis en place par les opérateurs de jeux en ligne agréés ayant pour finalité la lutte contre la fraude, le blanchiment de capitaux et le terrorisme, et qui conduisent à la clôture du compte du joueur. 
Les traitements mis en place par la société Partouche Gaming France SAS, objets de la présente autorisation, sont les suivants :
Traitement automatisé de données ayant pour finalité la vérification de l’identité du joueur à l’ouverture des comptes joueur
Conformément à l’article L. 561-5 du CMF, la société identifie le joueur avant d’entrer en relation d’affaires et donc de lui créer un compte joueur sur son site. 
Pour ce faire, aux termes de l’article 2-1° du décret n°2010-518 du 19 mai 2010 la société Partouche Gaming France SAS demande à toute personne qui sollicite l’ouverture d’un compte joueur de lui communiquer ses nom, prénom, date et lieu de naissance, adresse postale, adresse email et références d’un compte de paiement. La fourniture de l’ensemble de ces informations entraîne la création d’un compte provisoire. En revanche, en l’absence de ces informations, la société refuse l’ouverture du compte joueur. 
En outre et conformément à l’article 4 de ce décret, la société demande à toute personne sollicitant l’ouverture d’un compte joueur de lui fournir, dans le délai maximum d’un mois à compter de la demande d’ouverture dudit compte :
1° La copie d’une carte nationale d’identité, d’un passeport ou d’un permis de conduire, en cours de validité, justifiant de son identité et de sa date de naissance ;
2° Un document portant références du compte de paiement et attestant que ce compte est ouvert à son nom et auprès d’un prestataire de services de paiement établi dans un Etat membre de la Communauté européenne ou un Etat partie à l’accord sur l’Espace économique européen ayant conclu avec la France une convention contenant une clause d’assistance administrative en vue de lutter contre la fraude et l’évasion fiscales et sur lequel la société reversera, le cas échéant, les avoirs du joueur.
Ce n’est que lorsque la société a reçu ces documents qu’un code secret est adressé par courrier postal au joueur pour vérifier la réalité de l’adresse qu’il a communiquée lors de son inscription. La saisie de ce code secret permet de confirmer que le joueur habite bien au domicile indiqué, conformément l’article 1 de l’arrêté du 2 septembre 2009 pris en application de l’article R. 561-12 du CMF, et ainsi de mettre fin au statut provisoire du compte.
La société désactive le compte du joueur qui ne lui a pas transmis les pièces justificatives dans le délai d’un mois à compter de l’ouverture de son compte provisoire. Elle clôture le compte si le joueur ne lui a pas adressé ces pièces dans un délai de deux mois à compter de la demande d’ouverture de compte ou n’a pas saisi le code secret dans un délai de six semaines à compter de l’envoi du code. 
La désactivation d’un compte fait obstacle à ce que le joueur engage ses mises ainsi que n’ordonne le reversement de ses avoirs sur son compte de paiement.
Traitement automatisé de données ayant pour finalité la surveillance des comptes joueur 
En vertu de l’article L. 561-6 du CMF, la société exerce, pendant toute la durée de la relation d’affaire, une vigilance constante et pratique un examen attentif des opérations de jeux effectuées sur son site en veillant à ce qu’elles soient cohérentes avec la connaissance actualisée que la société a de ses joueurs. 
En pratique, la société Partouche Gaming France SAS a mis en place un dispositif d’alerte, qui permet, le cas échéant, de diligenter une enquête visant à contrôler l’activité d’un joueur ou une partie, lorsqu’un des événements suivants se produit : 
Ouverture d’un compte : la personne sollicitant l’ouverture d’un compte enregistre des coordonnées identiques à celles correspondant à un autre compte ;
Adresse IP : plusieurs joueurs utilisant la même adresse IP tentent de jouer à la même table, l’adresse IP avec laquelle le joueur se connecte correspond à un pays différent de celui qu’il a déclaré habiter lors de l’ouverture de son compte ;
Actions de jeux suspectes : par exemple, le joueur jette une main élevée, effectue des relances multiples suspectes, gagne plus de 1000 euros ou dépose 500 euros ou plus.
Suite au déclenchement d’une alerte, le compte joueur concerné est bloqué. Le joueur ne peut plus accéder à son compte et toute demande de retrait d’argent est mise en attente (la société informe le joueur que sa demande a bien été enregistrée et qu’elle sera traitée dans un délai maximum de 72h). 
La société procède alors à une série de vérifications manuelles de l’identité du joueur, de ses dépôts, de son comportement, de l’historique de ses gains (tournois, tables), etc. 
A l’issue de l’enquête, si aucun acte frauduleux n’est finalement constaté, le joueur en est informé et il peut à nouveau utiliser son compte. 
En revanche, si l’enquête a permis de confirmer l’acte frauduleux, la société peut clôturer le compte joueur. La société informe alors le joueur de la clôture et de ses motifs. Le joueur dispose d’un délai de 72h pour répondre aux griefs qui lui sont reprochés. A défaut de réponse du joueur dans ce délai, l’opérateur clôture le compte et conserve les sommes litigieuses.
En cas de soupçon de blanchiment de capitaux, la société fait également une déclaration de soupçon à Tracfin et s’abstient d’effectuer toute opération dont elle soupçonne qu’elle est liée au blanchiment de capitaux ou au financement du terrorisme jusqu’à ce qu’elle ait fait une telle déclaration, conformément aux articles L. 561-15 et suivant du CMF.
Les catégories de données à caractère personnel enregistrées seront relatives :
à l’identité du joueur ;
à son adresse ;
à ses références bancaires ; 
à ses opérations de jeu.
La durée de conservation des informations sera de 5 ans à compter de la clôture du compte joueur, sauf si aucune opération de jeu ou de pari n'a été réalisée avant la clôture du compte. Dans ce dernier cas, les données seront supprimées dès la clôture du compte. 
Les destinataires des informations seront, dans le cadre de leurs attributions respectives, l’ARJEL et Tracfin. 
L’information des personnes quant à la possibilité que leur compte joueur soit clôturé s’effectuera par une mention dans les conditions générales du site Internet. Un e-mail sera, en outre, systématiquement envoyé aux joueurs pour les informer qu’une enquête est en cours et, le cas échéant, que leur compte est clôturé.
Les droits d’accès et de rectification s’exerceront auprès du GIE Institut des Métiers Clients Jeux Casinos, qui est basé à Troyes.
Cependant, le droit d’accès aux traitements mis en œuvre aux seules fins de lutte contre le blanchiment de capitaux et le financement du terrorisme s’exercera de manière indirecte, auprès de la CNIL, conformément à l’article L 561-45 du Code monétaire et financier. Ainsi, les informations susceptibles de mettre en cause la finalité de lutte contre le blanchiment de capitaux et le financement du terrorisme ou de révéler l’existence d’une déclaration de soupçon ne pourront être communiquées au requérant. 
Dans ces conditions, la Commission autorise la société Partouche France SAS Gaming France SAS à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la lutte contre la fraude, le blanchiment de capitaux et le financement du terrorisme.
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment ses articles 9-1° et 25-I-3° ;
Vu la loi n° 2009-1674 du 30 décembre 2009 de finances rectificative pour 2009 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par le décret n°2007-401 du 25 mars 2007 ;
Vu le décret n° 2010-328 du 22 mars 2010 approuvant des avenants aux conventions passées entre l’Etat et la Société des Autoroutes du Sud de la France (ASF), entre l’Etat et la société de l’autoroute Esterel-Cote d’Azur (ESCOTA), entre l’Etat et la Compagnie Financière et industrielle des autoroutes (COFIROUTE), entre l’Etat et la Société des autoroutes du nord et de l’est de la France (SANEF), entre l’Etat er la société des autoroutes Paris-Normandie (SAPNN) pour la concession de la construction, de l’entretient et de l’exploitation d’autoroutes et aux cahiers des charges annexés à ces conventions ;
Vu l’arrêté du 28 mars 2006 relatif à l’interdiction de circulation des véhicules de transport de marchandises à certaines périodes ;
Sur le rapport de M. Emmanuel de GIVRY, commissaire et les observations de  Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, la société Autoroutes du Sud de la France à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité le contrôle du trafic autoroutier par reconnaissance des plaques d’immatriculation.
Responsable du traitement
La société Autoroutes du Sud de la France.
Finalités
Le dispositif soumis à la Commission a pour finalité le contrôle du trafic autoroutier via un dispositif de reconnaissance des plaques d’immatriculation.   Le traitement a pour objectifs :
Contrôler la vitesse des véhicules en vue d’inviter les conducteurs à respecter les limitations de vitesse et ainsi favoriser l’éco-conduite. En cas de dépassement de la vitesse maximale autorisée, le numéro de plaque minéralogique du contrevenant, accompagné d’un message de prudence, s’affiche en clair sur un panneau à message variable ;
élaborer une information trafic précise, régulière, fiable et pertinente, connaitre les disponibilités sur les aires de services, les places poids lourds libres, connaitre le temps d’attente au péage ;
détecter dans les meilleurs délais les anomalies du trafic et ainsi améliorer l’efficacité des actions de gestion des évènements ;
réaliser des statistiques.
En juin 2004, la Commission avait déjà rendu un avis tacite favorable pour l’expérimentation par la société ASF du premier objectif, à savoir le contrôle des vitesses des automobilistes en vue de les inviter à respecter les limitations de vitesse.
Aujourd’hui, la société ASF accompagne sa demande de pérennisation de ce dispositif de nouveaux objectifs. Il convient de relever, ici, que le dispositif présenté concerne plusieurs millions d’automobilistes.
Au vu du premier objectif poursuivi, la Commission considère qu’il y a lieu désormais de faire application des dispositions de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée en août 2004 qui soumet à autorisation les traitements portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.
Modalités de mise en œuvre 
Le dispositif est composé : 
de caméras dédiées reconnaissant les plaques d’immatriculation de véhicules circulant sur le réseau ASF. Ces caméras seront installées en section courante et en gare de péage ; environ 130 portiques seront répartis sur différents axes du réseau d’ASF, espacés en moyenne de 11 et 35 kilomètres. 
d’un système d’information susceptible d’associer à un numéro d’immatriculation d’autres données et de traiter ces données collectées ;
d’équipements permettant de diffuser aux clients les informations issues de ce dispositif (notamment de panneaux à messages variables).
La Commission rappelle qu’elle considère que la liberté d’aller et venir et le droit à la vie privée supposent que les personnes puissent notamment se déplacer de manière anonyme.
Données traitées
Les données traitées sont :
la photographie de la plaque d’immatriculation ;
le numéro d’immatriculation (en entier pour la finalité de contrôle des vitesses et tronqué pour les autres finalités)
le dépassement de la vitesse autorisée uniquement pour la finalité de contrôle de la vitesse ;
le pays d’immatriculation du véhicule ;
l’horodatage ;
la situation géographique (gare de péage en entrée et sortie, numéro de voie, aire de service, positionnement sur la section courante d’un véhicule lors de son passage en un point de mesure sur le réseau, reconstitution de parcours individuel, temps de parcours individuels) ;
classe du véhicule.
Destinataires