AgentPublic/cnil huggingface dataset:
Sur les données traitées
Les listes d’opérations à analyser comportent les catégories suivantes :
Les nom, prénom ou la raison sociale du détenteur du compte,
Le numéro SIREN,
En ce qui concerne le détenteur du compte, sa qualité de personne en relation avec une société cotée et le type de relation considérée,
La date et la nature de la détection, 
Le nombre de détections sur une période glissante et la date de la dernière détection,
Le numéro du compte-titre et du compte numéraire associé,
Le type de compte,
Les caractéristiques de la valeur (code ISIN, libellé, marché, place et mode de cotation, admissible ou non au système de règlement différé),
Les caractéristiques de l’ordre détecté (achat ou vente, type d’ordre, prix, quantité, origine, date, etc.),
Les caractéristiques de l’ordre exécuté (achat ou vente, type d’ordre, prix, quantité, origine, date, etc.),
Le pourcentage d’exécutions et d’annulations,
Le volume d’exécutions par rapport à la volumétrie du marché,
Les allers-retours.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
Seuls ont accès à ce traitement les personnels habilités de la Direction de la conformité, de la Sécurité et du contrôle interne.Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes sont informées de la mise en œuvre de ce traitement conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée par une clause de la convention d’instruments financiers.Les droits d’accès et de rectification s’exercent auprès Neuflize OBC Investissements, 3 avenue Hoche, 75 008 PARIS.
Sur les mesures de sécurité
L’ensemble des actions effectuées par les destinataires des données sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.Les autres mesures de sécurité, tant physiques que logiques n’appellent pas de remarque de la Commission.
Sur les autres caractéristiques du traitement
En cas d’alerte, les opérations réalisées par le client au cours des douze mois précédents peuvent être analysées afin d’étudier la pertinence de l’alerte.La durée de traitement des alertes est de 3 mois maximum. Les alertes donnant lieu à rapport ou à déclaration de soupçon auprès de l’Autorité des marchés financiers sont conservées sous former d’archives pendant une durée de 5 ans.
Autorise, conformément à la présente délibération, Neuflize OBC Investissements à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1595157)
La Commission nationale de l’informatique et des libertés ; 
Saisie par Neuflize Private Assets d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la détection des opérations susceptibles de constituer des abus de marché ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financiers, notamment ses articles L. 621-15 et L. 621-17-2 à L. 621-17-7;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25, I, 4°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le règlement général de l’Autorité des marchés financiers, notamment ses articles 315-42 à 315-44, 611-1 et suivants et 631-2 à 631-3 ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Paul AMOUDRY, commissaire et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Neuflize Private Assets
Sur la finalité
Ce traitement vise à détecter des opérations de transaction sur titres, réalisées par des clients de Neuflize Private Assets qui sont susceptibles de constituer des opérations d’abus de marché et qui, de ce fait, doivent, le cas échéant, après la collecte de renseignements complémentaires ou un travail d’analyse non automatisé, donner lieu à l’envoi d’une déclaration de soupçon à l’Autorités des marchés financiers (AMF).L’identification de telles opérations, pour une large part sur la base de critères intégrés dans les traitements automatisés de Neuflize Private Assets, peut conduire cette dernière, à souhaiter pour des raisons de prudence, rompre toute relation contractuelle avec certains des clients qui en font l’objet.Il peut ainsi du fait de sa portée, conduire à l’exclusion de personnes du bénéfice d’un droit en l’absence de toute disposition légale ou réglementaire le prévoyant. Dès lors, il doit faire l’objet d’une autorisation de la Commission conformément aux dispositions de l’article 25, I, 4° de la loi du 6 janvier 1978 modifiée.Les critères d’alerte retenus dans le cadre de ce traitement ont pour objet de détecter de manière automatisée diverses situations en fonction des facteurs de détection énumérés aux articles 631-2 et 631-3 du règlement général de l’AMF.Le dispositif de détection d’opérations susceptibles d’être considérées comme des abus de marché repose sur une analyse journalière des opérations, a posteriori, à partir du carnet d’ordre et des
Les personnes sont informées de la mise en œuvre de ce traitement conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée par une clause de la convention d’instruments financiers.Les droits d’accès et de rectification s’exercent auprès Neuflize Private Assets, 3 avenue Hoche, 75 008 PARIS.
Sur les mesures de sécurité
L’ensemble des actions effectuées par les destinataires des données sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.Les autres mesures de sécurité, tant physiques que logiques n’appellent pas de remarque de la Commission.
Sur les autres caractéristiques du traitement
En cas d’alerte, les opérations réalisées par le client au cours des douze mois précédents peuvent être analysées afin d’étudier la pertinence de l’alerte.La durée de traitement des alertes est de 3 mois maximum. Les alertes donnant lieu à rapport ou à déclaration de soupçon auprès de l’Autorité des marchés financiers sont conservées sous former d’archives pendant une durée de 5 ans.
Autorise, conformément à la présente délibération, Neuflize Private Assets à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n°1480681)
La Commission nationale de l’informatique et des libertés ;
Saisie par le Caisse d'épargne et de prévoyance ALSACE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l'identité ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L561-5 et R561-5;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 25, I, 4°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Paul AMOUDRY, commissaire et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Caisse d’épargne et de prévoyance ALSACE
Sur la finalité
La finalité du traitement est de lutter contre la fraude à l’identité. Il vise à détecter les documents d’identité présentés par les personnes souhaitant entrer en relation avec la Caisse d’épargne et de prévoyance ALSACE présentant des anomalies susceptibles de révéler une fraude à l’identité (faux document ou document falsifié).Ce traitement peut ainsi, du fait de sa portée et de sa finalité, exclure une personne du bénéfice d’un droit ou d’un contrat en l’absence de toutes dispositions légales ou réglementaires prévoyant une telle exclusion.Dès lors, il est soumis à autorisation de la Commission en application des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée.La Commission observe que cette finalité est déterminée, explicite et légitime.
Sur les données traitées
Les données collectées concernent les nom et prénoms, sexe, date et lieu de naissance, la nature du document d’identité, son numéro, la nationalité, l’autorité de délivrance, la date d’expiration et la bande MRZ figurant en bas des documents d’identité.La Commission considère que ces données sont adéquates, pertinentes et non excessives par rapport à la finalité du traitement.Les données collectées sont conservées pendant la durée nécessaire à la vérification des documents d’identité.
Sur les destinataires
Seuls les chargés d’affaires ou de compte recevant les personnes souhaitant entrer en relation avec la Caisse d’épargne et de prévoyance ALSACE auront accès à ce traitement. En cas d’anomalie, les personnels habilités de la Sécurité Financière auront également accès à ces informations.
Sur l’information et le droit d’accès 
Les personnes sont informées conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée par voie d’affichage en agence.Les droits d’accès et de rectification s’exercent auprès du Service relation clientèle de la Caisse d’épargne et de prévoyance ALSACE, 1 route du Rhin, 67 925 Strasbourg cedex.
Sur les mesures de sécurité
Les actions effectuées par ces personnes sont tracées afin de détecter et d’analyser tout accès, modifications et suppressions de données non autorisés.Les autres mesures de sécurité mises en place n’appellent pas d’observation.
Sur les autres caractéristiques du traitement
Le traitement mis en œuvre n’est qu’un outil d’aide à l’analyse des documents d’identité présentés par la personne concernée lors de l’entrée en relation avec la Caisse d’épargne et de prévoyance ALSACE. La Commission prend acte qu’en cas de détection d’anomalie une analyse complémentaire sera effectuée par les personnels habilités de la Sécurité Financière afin, le cas échéant, de confirmer la tentative de fraude.Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées.Ce traitement ne permet pas d’établir une « liste noire » de personnes ayant présenté des titres d’identité comportant des anomalies ou des titres d’identité falsifiés ou volés.
Autorise, conformément à la présente délibération, le Caisse d'épargne et de prévoyance ALSACE à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n°1577090)
La Commission nationale de l’informatique et des libertés ; 
Saisie par la société EMC COMPUTER SYSTEMS FRANCE d’une demande d’autorisation concernant un traitement de données à caractère personnel reposant sur un procédé de reconnaissance vocale et ayant pour finalité l’accès au support informatique en charge de la création et de la réinitialisation des mots de passe ; 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-8°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, Vice-Président, et après avoir entendu les observations de Mme Elisabeth Rolin, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
La société EMC COMPUTER SYSTEMS FRANCE
Sur la finalité
L’accès au support informatique en charge de la création et de la réinitialisation des mots de passe.Le dispositif a pour objet de sécuriser la gestion et la réinitialisation par téléphone des mots de passe utilisés pour accéder au système d’information de la société EMC COMPUTER SYSTEMS FRANCE. Il s’agit d’éviter les risques de fraude aux systèmes informatiques de la société.Il y a lieu de faire application des dispositions prévues à l’article 25-I-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes.La Commission constate que la finalité est déterminée, explicite et légitime.
Sur la description du traitement
Le dispositif reposera sur la reconnaissance du gabarit de l’empreinte de la voix des employés. Lors de la procédure d’enrôlement, l’utilisateur procédera à l’enregistrement du gabarit de son empreinte vocale grâce à la répétition d’une phrase type trois fois consécutives.La création ou la réinitialisation du mot de passe nécessite deux étapes. La première étape implique que l’utilisateur devra générer un code personnel produit par une application internet qui permet de reconnaître l’identité de l’employé grâce à son nom, prénom, numéro d’employé et les réponses à cinq questions personnelles telles que le modèle de sa première voiture. Une fois ce code personnel généré, l’utilisateur passe à la seconde étape en se connectant par téléphone afin de s’identifier par la répétition de sa phrase type trois fois consécutives.Une fois que l’utilisateur a été correctement authentifié grâce à la phrase pré-enregistrée, le service informatique réinitialise le mot de passe et le communique à l’utilisateur. 
Sur les données traitées
Les données traitées sont les suivantes :
données d’identification et d’état civil,
données relatives à la vie personnelle ou professionnelle (questions choisies par l’utilisateur afin de générer un code personnel),
et gabarits des voix
Les données collectées n’appellent pas d’observations particulières.  
Sur les destinataires
Seules auront accès les personnes habilitées d’EMC CORPORATION située aux Etats-Unis d’Amérique (maison-mère d’EMC France).Les garanties mises en œuvre pour le transfert de données par le destinataire des données sont la certification SAFE HARBOR. 
Sur l’information et le droit d’accès 
L’information des personnes concernées est réalisée par un formulaire, des réunions d’information avec le personnel ainsi que par voie d’affichage. Les droits d’accès et de rectification s’exerceront auprès du service informatique d’EMC France, River Ouest, 80 quai Voltaire, 95870 BEZONS.  
Sur les mesures de sécurité
La communication téléphonique de génération de mot de passe par reconnaissance vocale peut s’effectuer à partir de n’importe quel téléphone. Mais l’accès au serveur de reconnaissance vocal via cette ligne téléphonique n’est validé qu’après la saisine préalable par l’utilisateur d’un code PIN généré par l’interface WEB sécurisée. Cette solution permet la traçabilité des opérations réalisées sur le serveur. 
Sur les autres caractéristiques du traitement
Durée de conservationLes données d’identification et les gabarits seront conservés le temps pendant lequel la personne concernée est habilitée à accéder au service informatique. 
Autorise, conformément à la présente délibération, la société EMC COMPUTER SYSTEMS FRANCE à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1560469)
La Commission nationale de l’informatique et des libertés, 
Saisie par la société Cache-Cache d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le contrôle de l’accès à ses locaux dans les lieux de travail ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L561-5 et R561-5 ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 25, I, 8°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le règlement du Comité de la réglementation bancaire et financière (CRBF) n°97-02 du 21 février 1997 modifié relatif au contrôle interne des établissements de crédit et des entreprises d’investissement ; 
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, commissaire et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Cache-Cache est une société de prêt-à-porter. 
Sur la finalité
La Commission nationale de l’informatique des libertés a été saisie par la société Cache-Cache d’un traitement automatisé de données à caractère personnel reposant sur la reconnaissance du réseau veineux des doigts et ayant pour finalité le contrôle d’accès à ses locaux. Il y a lieu de faire application des dispositions prévues à l’article 25-I-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes. Le traitement a vocation à renforcer le contrôle d’accès par la société Cache-Cache à ses locaux. Il doit permettre de garantir que seules les personnes habilitées pourront y accéder.Le contrôle de l’accès au site s’effectuera par la comparaison entre le gabarit du réseau veineux des doigts apposé sur le lecteur et le gabarit du réseau veineux des doigts enrôlés et enregistrés sur un serveur sécurisé et interne au site dans une base centralisée. La Commission observe que cette finalité est déterminée, explicite et légitime.
Sur les données traitées
Les données collectées concernent l’identité de la personne (nom, prénom), le gabarit chiffré du réseau veineux des doigts de la main. L'enrôlement des caractéristiques biométriques est soumis à l’acceptation individuelle de chaque salarié.La Commission considère que ces données sont adéquates, pertinentes et non excessives par rapport à la finalité du traitement.
Sur les destinataires
Dans la limite de leurs attributions respectives et pour l’exercice de la finalité décrite ci-dessus, les destinataires des données seront le personnel de la société de maintenance et le personnel du service informatique de la société Cache-Cache.
Sur l’information et le droit d’accès 
Les personnes sont informées par l’envoi d’un courrier personnalisé.Les droits d’accès et de rectification s’exercent auprès du service informatique de la société CACHE-CACHE, 10 IMPASSE DU GRAND JARDIN, 35400 SAINT-MALO.
Sur les mesures de sécurité
Les gabarits des données biométriques stockés seront chiffrés.  Les actions effectuées par les destinataires sont tracées afin de détecter et d’analyser tout accès, modifications et suppressions de données non autorisés.Les autres mesures de sécurité mises en place n’appellent pas d’observation.
Sur les autres caractéristiques du traitement
La durée de conservation du gabarit du réseau veineux des doigts de la main est égale au temps pendant lequel la personne concernée est habilitée à pénétrer dans les locaux ou les zones limitativement identifiées de la société Cache-Cache faisant l'objet d'une restriction de circulation. Les catégories de données relatives à l’identité peuvent, au maximum, être conservées 5 ans après le départ de l’employé. Les éléments relatifs aux déplacements des personnes ne doivent pas être conservés plus de trois mois. 
Autorise, conformément à la présente délibération,  la société Cache-Cache à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1527211)
La Commission nationale de l’informatique et des libertés, 
Saisie par la société Qualione d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi des personnes utilisatrices de son dispositif d’écoute psychologique et de conseil par téléphone,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Monsieur Emmanuel de GIVRY, commissaire et après avoir entendu les observations de  Madame Elisabeth ROLIN, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
La société par actions simplifiée Qualione est pour partie composée d’un établissement dénommé Qualisocial spécialisé dans la gestion de la souffrance au travail.
Les missions de Qualisocial sont reparties en trois activités principales :
le conseil en gestion des risques psychosociaux ;
la formation en matière de bien-être au travail ;
la gestion des salariés en difficulté par l’intermédiaire de psychologues sur les sites des clients et la mise à disposition d’un numéro d’écoute et d’accompagnement psychologique accessible en permanence.
Sur la finalité
La finalité du traitement consiste à suivre les personnes utilisatrices du dispositif d’écoute psychologique et de conseil par téléphone de la société Qualione mis en œuvre par l’établissement Qualisocial.La Commission considère que la finalité poursuivie est déterminée, explicite et légitime. Elle estime qu’il y a lieu de faire application de l’article 25-I-7° de la loi 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données permettant d’apprécier les difficultés sociales des personnes.
Sur les données traitées
Les catégories de données collectées concernent les seules personnes utilisant le dispositif d’écoute et de conseil téléphonique et sont relatives :
à l’identification (nom, prénom, adresse) ;
à la vie personnelle (habitude de vie, situation familiale) ;
à la vie professionnelle (situation professionnelle) ;
à des appréciations sur les difficultés sociales des personnes ;
Les données qui concernent d’autres personnes que les utilisateurs du dispositif d’écoute et de conseil ne sont ni enregistrées ni conservées.