AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés ;   Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-3° ;   Vu la demande d'autorisation, présentée par la Société pour l'administration du Droit de Reproduction Mécanique (SDRM) relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalités, d'une part, la constatation des délits de contrefaçon commis via les réseaux d'échanges de fichiers dénommés "peer to peer", d'autre part, l'envoi de messages pédagogiques informant les internautes sur les sanctions prévues en matière de délit de contrefaçon;   Après avoir entendu M. Emmanuel de Givry, commissaire en son rapport, et Mme Catherine Pozzo di Borgo, commissaire du gouvernement adjoint en ses observations.
Formule les observations suivantes :   La Société pour l'administration du Droit de Reproduction Mécanique (SDRM) a saisi la Commission nationale de l'informatique et des libertés d'une demande d'autorisation relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalités, d'une part, la constatation des délits de contrefaçon commis via les réseaux d'échanges de fichiers dénommés "peer to peer", d'autre part, l'envoi de messages pédagogiques informant les internautes sur les sanctions prévues en matière de délit de contrefaçon.   Ce traitement s'inscrit dans le cadre de l'article 9-4° de la loi du 6 janvier 1978 modifiée qui dispose que les personnes morales mentionnées aux articles L. 321-1 et L. 331-1 du code de la propriété intellectuelle, agissant au titre des droits dont elles assurent la gestion ou pour le compte des victimes d'atteintes aux droits prévus aux livres Ier, II et III du même code aux fins d'assurer la défense de ces droits, peuvent procéder au traitement de données à caractère personnel relatives aux infractions.   La Commission considère qu'il y a lieu de faire application des dispositions de l'article 25-3° de la loi du 6 janvier 1978 modifiée en août 2004 qui soumet à autorisation les traitements portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.   La SDRM est une société de perception et de répartition des droits d'auteur et droits voisins telle que visée à l'article L. 321-1 du
code de la propriété intellectuelle et fait dès lors partie des organismes habilités aux termes de la loi à mettre en oeuvre les traitements prévus à l'article 9-4° précité.   Outre la perception et la répartition des redevances provenant de l'exercice des droits patrimoniaux de ses membres, la SDRM a pour objet la défense leurs intérêts matériels et moraux ou de ceux de leurs ayants droits.  Les traitements présentés par la SDRM ne porteront que sur la protection des oeuvres appartenant au catalogue des membres dont elle défend les intérêts.
S'agissant de la finalité d'envoi de messages pédagogiques informant les internautes sur les sanctions prévues en matière de délit de contrefaçon, le dispositif soumis à la Commission devrait fonctionner en deux temps.   Une première étape, initiée à distance par des agents assermentés, serait effectuée par une société prestataire de services. Elle aurait pour objet de sélectionner les internautes qui, ayant mis à disposition un nombre d'oeuvres inférieur à un seuil prédéterminé, se verraient adresser un message de prévention. Cette sélection effectuée sur la base des adresses IP résulterait des requêtes effectuées sur les réseaux "peer to peer" à partir du titre, du nom de l'auteur ou de l'année de production des oeuvres. Une fois ce tri achevé, le dispositif devrait permettre d'identifier le fournisseur d'accès internet en charge de la gestion des adresses IP relevées.   La seconde étape se déroulerait chez les fournisseurs d'accès internet. Les messages d'avertissements leur seraient adressés afin qu'ils puissent les relayer sous la forme de l'envoi d'un courrier électronique à l'internaute attributaire de l'adresse IP relevée lors de la phase d'investigation. Chaque message envoyé devrait auparavant être personnalisé par la SDRM et à ce titre, ferait référence à la nature de l'oeuvre mise à disposition ainsi qu'à la date et à l'heure à laquelle cette mise à disposition a été relevée.   Ainsi, à réception des messages adressés par la SDRM, les fournisseurs d'accès à
internet devraient procéder, au maximum dans un délai de vingt-quatre heures, à l'authentification et au décryptage des messages, à la recherche du numéro client correspondant à l'adresse IP horodatée dans le fichier des logs de connexions et déconnexions des clients, à la transmission du message à l'abonné, à l'émission d'un avis de traitement adressé à la SDRM et à la destruction de toutes données relatives à l'envoi des messages et de toutes traces de cet envoi.
S'agissant de la finalité relative à la constatation des délits de contrefaçon commis via les réseaux d'échanges de fichiers dénommés "peer to peer", la SDRM devrait avoir recours aux services d'un prestataire qui dispose des moyens techniques nécessaires à la poursuite de cette finalité.  Le dispositif utilisé à cette occasion reposerait sur une technologie qui consiste à calculer pour chaque oeuvre musicale une empreinte numérique unique, insensible aux altérations qu'aurait pu subir l'oeuvre concernée. Cette technologie permettrait de s'assurer que le fichier mis à disposition par un internante correspond bien à une oeuvre musicale protégée. En l'espèce, la SDRM transmettrait à son prestataire de service des fichiers musicaux originaux afin qu'il calcule pour chacun d'eux une empreinte numérique unique destinée à alimenter une base de données de référence.   Une fois cette base de données de référence créée, les agents assermentés des sociétés de perception et de répartition des droits déclencheraient des phases d'inspection grâce à un logiciel permettant d'effectuer des requêtes sur les réseaux "peer to peer" à partir du titre, du nom de l'auteur ou de l'année de production des oeuvres figurant dans la base de données de référence.   En réponse, les agents assermentés obtiendraient la liste des adresses IP des internantes mettant à disposition des fichiers musicaux dont les caractéristiques correspondent à la requête effectuée. Après téléchargement, ces fichiers
A l'issue de cette phase, les agents assermentés de la SDRM devraient lancer une phase de constitution de preuves d'une durée de quinze jours au cours de laquelle des requêtes seraient effectuées spécifiquement sur l'adresse IP des internautes s'agissant desquels la phase d'inspection aura révélé qu'ils mettent à disposition un nombre d'oeuvres supérieur à un seuil préétabli. A échéance de ces quinze jours, deux nouveaux seuils seraient appliqués afin de départager les internautes devant faire l'objet de poursuites civiles de ceux retenus pour des poursuites pénales.   La Commission considère qu'au regard de l'article L. 34-1 du code des postes et des communications électroniques et de la lecture qui en est faite par le Conseil constitutionnel dans sa décision n° 2004-499 DC du 29 juillet 2004, dans laquelle il précise que les données recueillies à l'occasion des traitements mis en oeuvre au titre de l'article 9-4° ne pourront "acquérir un caractère nominatif que dans le cadre d'une procédure judiciaire et par rapprochement avec des informations dont la durée de conservation est limitée à un an", un tel traitement ne saurait s'effectuer via les fournisseurs d'accès à internet sur la base d'un rapprochement entre l'adresse IP des internautes concernés, l'horodatage du comportement générateur et leur identité enregistrée au sein de la base de données des abonnés.   Aussi, la Commission tient-elle à souligner que le développement d'actions de prévention tendant à informer
les internantes sur le caractère illégal de certaines pratiques est légitime dès lors qu'il s'inscrit dans le cadre des garanties prévues par le législateur, que tel n'est pas le cas en l'espèce.   Par ailleurs, la Commission considère qu'en l'espèce les traitements relatifs à la recherche et à la constatation des infractions à la propriété intellectuelle ne sont pas proportionnés à la finalité poursuivie dans la mesure où ils n'ont pas pour objet de permettre la réalisation d'actions ponctuelles strictement limitées aux besoins de la lutte contre la contrefaçon mais peuvent aboutir au contraire à une collecte massive de données à caractère personnel sur internet et à une surveillance exhaustive et continue des réseaux d'échanges de fichiers dénommés "peer to peer".   A cet égard, la Commission s'interroge sur la compatibilité, avec le principe de loyauté dans la recherche des preuves, d'un procédé de collecte desdites preuves reposant sur la réalisation de requêtes de téléchargements systématiques sur des adresses IP présélectionnées et ce, pendant quinze jours.   En outre, la Commission estime que la sélection des internautes susceptibles de faire l'objet de poursuites civiles où pénales s'effectue sur la base de critères exclusivement quantitatifs dont la pertinence n'est pas établie et qu'au surplus la SDRM se réserve la possibilité de réviser unilatéralement à tout moment.
N'autorise pas dans ces conditions la Société pour l'administration du Droit de Reproduction Mécanique (SDRM)à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalités d'une part, la constatation des délits de contrefaçon commis via les réseaux d'échanges de fichiers dénommés "peer to peer", d'autre part, l'envoi de messages pédagogiques informant les internautes sur les sanctions prévues en matière de délit de contrefaçon.   Le Président, Alex TURK.
Le bureau de la Commission nationale de l'informatique et des libertés,   Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-8° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés ;   Vu la déclaration présentée par le Proviseur du lycée professionnel de Vedène, d'un traitement automatisé de données à caractère personnel ayant pour finalité le contrôle de l'accès au restaurant scolaire par la reconnaissance du contour de la main ;   Après avoir entendu Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :   Le lycée professionnel de Vedène a saisi la CNIL d'une déclaration relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité le contrôle de l'accès des élèves et des personnels au restaurant scolaire par le recours à un dispositif bionmétrique reposant sur la reconnaissance du contour de la main.   La Commission considère qu'il y a lieu de faire application des dispositions prévues à l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.   Le système envisagé reposera d'une part, sur la mise en oeuvre d'un fichier de gestion recensant les élèves et les personnels fréquentant la cantine scolaire et d'autre part, sur un dispositif de contrôle d'accès. Ce dernier sera composé d'une borne d'accès, située à l'entrée du restaurant, reliée à un lecteur biométrique, lequel contiendra une base de données comportant les gabarits biométriques et les codes d'accès.   Le contour de la main fait partie des données qui ne laissent pas de traces susceptibles d'être utilisées à des fins étrangères à la finalité recherchée par le responsable du traitement. Le lecteur biométrique utilisé sera accompagné d'un dispositif de nature à garantir la sécurité des données.   Le recours à la technique de reconnaissance du contour de la main permettra de s'assurer que les données nécessaires au
contrôle de l'accès ne sont ni perdues, ni échangées et que seules les personnes habilitées peuvent accéder au service. Les personnes concernées qui ne seront pas désireuses d'utiliser la technologie biométrique seront dotées d'une carte à code-barre pour accéder au restaurant scolaire.   Compte tenu des caractéristiques du dispositif présenté à la Commission et en 1"état actuel des connaissances sur la technologie utilisée, la mise en oeuvre d'un traitement reposant sur la reconnaissance de la géométrie de la main est adaptée et proportionnée à la finalité assignée au dispositif.
Les droits d'accès et de rectification s'exerceront auprès du Proviseur du lycée professionnel.   Les catégories de données à caractère personnel enregistrées seront,   - s'agissant des élèves : les gabarits biométriques de la main associés à un code d'accès personnel, et les données de gestion utiles pour l'accès au restaurant, à savoir, l'identité de l'élève, la classe, le numéro d'ordre dans l'établissement, les coordonnées du responsable légal, un code horaire et un code tarif.   - S'agissant des personnels : les gabarits biométriques de la main associés à un code d'accès personnel, l'identité, les codes horaire et tarif.   Les destinataires des informations seront les seuls utilisateurs du dispositif autorisés : le Proviseur et les conseillers principaux d'éducation.   L'information des personnes : les responsables légaux des élèves devront être individuellement informés du traitement automatisé de données à caractère personnel reposant sur la reconnaissance du contour de la main et ayant pour finalité de contrôler l'accès au restaurant scolaire.
   Autorise, dans ces conditions, le lycée professionnel de Vedène, à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité de contrôler l'accès au restaurant scolaire par la mise en oeuvre d'un dispositif de reconnaissance du contour de la main.   Le président, Alex TURK.
Le bureau de la Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-8° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés ;   Vu la demande d'autorisation, présentée par la société Keynectis, d'un traitement automatisé de données à caractère personnel reposant sur l'utilisation d'un dispositif biométrique de reconnaissance du contour de la main et ayant pour finalité le contrôle de l'accès aux locaux ;   Après avoir entendu Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :   La société Keynectis a adressé la Commission nationale de l'informatique et des libertés un dossier de formalité préalable relatif à un traitement de données à caractère personnel reposant sur l'utilisation d'un dispositif biométrique de reconnaissance du contour de la main et ayant pour finalité le contrôle de l'accès à certaines zones de l'établissement.   La Commission considère qu'il y a lieu de faire application des dispositions de l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.   La société Keynectis souhaite mettre en oeuvre dans le cadre de ses activités de tiers certificateur, une politique de contrôle des accès physiques à certaines zones de ses locaux.   A ce titre, un dispositif biométrique reposant sur la géométrie de la main est envisagé. Le dispositif doit permettre de garantir un niveau de sécurité plus élevé que celui offert par un système de badge magnétique pour l'accès aux zones dites sensibles, réservées à un nombre limité d"employés.   Aucune image ou photo de la main des employés ne sera conservée. Outre le gabarit de la main, les données traitées seront l'identité des employés ainsi que leurs déplacements (les entrées et les sorties).   Le contour de la main fait partie des données biométriques qui ne laissent pas de traces susceptibles d'être utilisées à des fins étrangères à
la finalité recherchée par le responsable du traitement. En outre, seul le gabarit du contour de la main, résultat du traitement des mesures par un algorithme, sera enregistré dans la base de donnée centralisée. Ces éléments sont de nature à prévenir toute utilisation détournée des données biométriques propres aux employés de la société Keynectis.
Compte tenu, d'une part, des caractéristiques du dispositif présenté à la Commission et cri l'état actuel des connaissances sur la technologie utilisée, et d'autre part. de l'obligation de sécurité auquel sont soumis les prestataires de certification électronique cri vertu de l'article 6 du décret n° 2001-272 du 30 mars 2001 pris pour application de l'article 1316-4 du code civil relatif à la signature électronique, la mise en oeuvre d'un traitement reposant sur la reconnaissance de la géométrie de la main apparaît adaptée et proportionnée à la finalité assignée au dispositif.   Les droits d'accès et de rectification s'exerceront auprès du service Sécurité et Qualité et du service du personnel - 30 rue château des Rentiers - 75648 Paris cedex 13.   Les catégories de données à caractère personnel enregistrées seront l'identité (nom, prénom de l'employé), le gabarit biométrique du contour de leur main, les données relatives au déplacement des personnes.   Le destinataire des informations sera le service Sécurité et Qualité.
   Autorise, dans ces conditions, la société Keynectis à mettre en eeuvre le traitement de données à caractère personnel présenté.   Le président, Alex TURK.
Le bureau de la Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-8° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004801 du 6 août 2004 ;   Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés ;   Vu la demande d'autorisation, présentée par la société FCI France, d'un traitement automatisé de données à caractère personnel ayant pour finalité le contrôle des accès aux locaux par reconnaissance des empreintes digitales.   Après avoir entendu Mme Pascale Compagnie, Commissaire du Gouvernement en ses observations ;
Formule les observations suivantes :   Le 7 juin 2005, la Commission nationale de l'informatique des libertés a reçu un dossier de formalité préalable de la société FCI France relatif à la mise en oeuvre d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité d'assurer le contrôle de l'accès à son siège social.   La Commission considère qu'il y a lieu de faire application des dispositions prévues à l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.   La société FCI France concepteur, fabriquant et fournisseur de systèmes d'interconnections de haute précision dans les domaines électriques, électroniques, optiques ainsi que dans les microcircuits souples, évolue dans un milieu concurrentiel où la protection des informations et de la technologie est essentielle.   A ce titre, un dispositif de reconnaissance des empreintes digitales en vue de contrôler l'accès aux locaux est envisagé afin de protéger les données sensibles, stratégiques et confidentielles réparties sur l'ensemble du bâtiment.   Le gabarit de l'empreinte digitale des personnes habilitées à pénétrer dans l'établissement sera exclusivement stocké sur une carte individuelle détenue par chaque employé. Les données enregistrées dans le serveur dédié au contrôle d'accès se limiteront à celles nécessaires
à l'identification de la personne (nota, prénom, photos, profil d'autorisation) et à la réalisation des contrôles relatifs à la validité du badge. Le contrôle d'accès s'effectuera par une comparaison entre le doigt apposé sur le lecteur et le gabarit de l'empreinte digitale enregistré sur le badge. Par ailleurs, un historique des entrées et des sorties, dont la conservation n"excédera pas 2 mois, pourra être édité.   La société FCI France justifiant en l'espèce d'un impératif de sécurité particulier et dans la mesure ont le dispositif présenté à la Commission repose sur l'enregistrement du gabarit de l'empreinte digitale dans un support individuel exclusivement détenu par la personne concernée, la mise en oeuvre d'un traitement reposant sur la reconnaissance de l'empreinte digitale apparaît, en l'état actuel des connaissances sur la technologie utilisée, adaptée et proportionnée à la finalité assignée au dispositif.
Le droit d'accès défini au chapitre VII de la loi s'exercera auprès des Services Généraux - 145 rue Yves Le Coz - 78035 Versailles Cedex.   Les catégories de données à caractère personnel enregistrées seront le gabarit (le l'empreinte digitale des employés, leur identité (nom, prénom), leur photographie, leur profil d'autorisation et l'historique de leurs passages.   Les destinataires des informations seront, dans la limite de leurs attributions respectives et pour l'exercice de la finalité précitée, la Direction d'Etablissement, le responsable des Services Généraux et la personne chargée de la gestion des badges.
   Autorise dans ces conditions, la société FCI France, à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité le contrôle des accès aux locaux par reconnaissance des empreintes digitales.   Le président, Alex TURK.