AgentPublic/cnil huggingface dataset:
- Dossier médical partagé accessible par internet - Hébergement des données par GCS EMOSIST-FC. Le personnel de l’hébergeur n’aura pas lui-même accès aux données médicales relatives aux patients, à l’exception du médecin de l’hébergeur   dans les cas exceptionnels, prévus par le contrat liant ce dernier au patient et avec l’accord de celui-ci. - L’accès par les professionnels de santé au dossier médical partagé se fait par un portail d’accès dédié. La procédure d’authentification des professionnels de santé passe exclusivement par l’usage de la carte de professionnel de santé  (CPS). Les conditions d’accès du professionnel de santé à un dossier médical partagé sont déterminées par les autorisations accordées par le patient, en particulier concernant l’accès possible à certaines données masquées par le patient.- L’accès des patients au dossier médical partagé se fait en se connectant à un portail internet. Le patient s’identifie et s’authentifie à l’aide d’un identifiant et d’un mot de passe personnels ; il devra également saisir une clé de présence, qui lui est adressée par un courrier postal distinct.- Chiffrement fort de la base et des échanges de données- Blocage temporaire de la possibilité pour un ordinateur de se connecter à la plateforme après trois tentatives d’accès infructueuses.- Traçabilité de l’ensemble des actions réalisées sur les dossiers médicaux partagés répertoriant la date et l’heure de la connexion, l’auteur ainsi que les actions réalisées.
Observations (le cas échéant) 
- Durée de conservation des données :Si le patient n’ouvre pas de dossier médical partagé, les données sont conservées pendant cinq ans à compter du moment où elles ont été versées au dossier, puis détruites ou restituées à l’établissement de soins selon son choixSi le patient ouvre un dossier médical partagé, jusqu’au terme de la prise en charge du patient dans le cadre du réseau. A l’issue de cette période, les données sont archivées conformément à la réglementation en vigueur et pourront être conservées de façon anonymisée à des fins statistiques.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la déclaration n° 1318383 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société CEMEX FRANCE à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
CEMEX FRANCE
Finalité du transfert
Gestion de la formation
Catégories de données transférées
Données d’identification des salariés
Nom, prénom, 
Dates de formation,
Organisme de formation,
Coût de la formation,
-   éventuellement, score obtenu à la formation
Catégories de personnes concernées par le transfert
Salariés CEMEX FRANCE
Identité(s) du(des) destinataire(s)
Les personnes habilitées de la société CEMEX CENTRAL SA de CV - Av. Ricardo Margain Zozaya 325 CP66265 PEDRO GARZA GARCIA, N.L., MEXIQUE
Pays d’établissement du(des) destinataire(s)
MEXIQUECopie des données hébergée aux USA dans le Data Center de secours à ATLANTA
Service auprès duquel s’exerce le droit d’accès des personnes concernées
SOCIETE CEMEX FRANCE
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Signature d’un contrat conforme aux clauses types adoptées par la Commission européenne dans sa décision du 15 juin 2001
Le Président,
 Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la déclaration n° 1319339 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société CEMEX BETONS RHONE-ALPES ALSACE à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
CEMEX BETONS RHONE-ALPES ALSACE
Finalité du transfert
Gestion de la formation
Catégories de données transférées
Données d’identification des salariés
Nom, prénom, 
Dates de formation,
Organisme de formation,
Coût de la formation,
-   éventuellement, score obtenu à la formation
Catégories de personnes concernées par le transfert
Salariés CEMEX BETONS RHONE-ALPES ALSACE
Identité(s) du(des) destinataire(s)
Les personnes habilitées de la société CEMEX CENTRAL SA de CV - Av. Ricardo Margain Zozaya 325 CP66265 PEDRO GARZA GARCIA, N.L., MEXIQUE
Pays d’établissement du(des) destinataire(s)
MEXIQUECopie des données hébergée aux USA dans le Data Center de secours à ATLANTA
Service auprès duquel s’exerce le droit d’accès des personnes concernées
SOCIETE CEMEX BETONS RHONE-ALPES ALSACE
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Signature d’un contrat conforme aux clauses types adoptées par la Commission européenne dans sa décision du 15 juin 2001
Le Président,
 Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la déclaration n° 1319980 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société PARISIENNE DES SABLIERES à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
SOCIETE PARISIENNE DES SABLIERES
Finalité du transfert
Gestion de la formation
Catégories de données transférées
Données d’identification des salariés
Nom, prénom, 
Dates de formation,
Organisme de formation,
Coût de la formation,
-   éventuellement, score obtenu à la formation
Catégories de personnes concernées par le transfert
Salariés SOCIETE PARISIENNE DES SABLIERES
Identité(s) du(des) destinataire(s)
Les personnes habilitées de la société CEMEX CENTRAL SA de CV - Av. Ricardo Margain Zozaya 325 CP66265 PEDRO GARZA GARCIA, N.L., MEXIQUE
Pays d’établissement du(des) destinataire(s)
MEXIQUECopie des données hébergée aux USA dans le Data Center de secours à ATLANTA
Service auprès duquel s’exerce le droit d’accès des personnes concernées
SOCIETE PARISIENNE DES SABLIERES
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Signature d’un contrat conforme aux clauses types adoptées par la Commission européenne dans sa décision du 15 juin 2001
Le Président,
 Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004, notamment ses articles 68 et 69  ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007, et notamment son article 103 ;
Sur le rapport de M. Bernard PEYRAT, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du Gouvernement ;
Autorise, dans les conditions définies dans le dossier et résumées dans le tableau ci-dessous, BNP Paribas Personal Finance à mettre en œuvre un transfert de données personnelles hors de l’Union Européenne, vers un Etat qui n’assure pas un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes. 
Société responsable du transfert
BNP Paribas Personal Finance
Finalité du transfert
Communication des suites apportées aux demandes de crédit ou de financement adressées à BNP Paribas Personal Finance à partir du site Internet d’Alienware, partenaire web-marchand intervenant en qualité d’apporteur d’affaire, afin de permettre la livraison des biens commandés et le calcul du commissionnement de l'apporteur d'affaire.
Catégories de données transférées
Les catégories de données suivantes sont mise à la disposition d’Alienware via une plate-forme technique de gestion centralisée des demandes de crédit :- le numéro de transaction,- le montant du crédit ou paiement, les échéances mensuelles, la durée, le taux d’intérêt annuel, la souscription ou non d’une assurance,- le statut de la demande : acceptée, à l’étude, incomplète, refusée.
Bénéficiaire des transferts de données
Alienware Limited, société domiciliée 70 Sir John Rogerson’s Quay à Dublin, dont les serveurs informatiques et certains agents habilités à traiter les données sont situés aux Etats-Unis.
Pays d’établissementdes bénéficiaires des transferts
Etats-Unis
Service auprès duquel s’exerce le droit d’accès
Le service Consommateurs de BNP Paribas Personal Finance
Garantie mise en œuvre par les bénéficiaires des transferts pour assurer un niveau de protection suffisant aux données transférées
Signature avec Alienware Limited d’un contrat incluant les clauses contractuelles européennes issues de la décision 2004/915/CE de la Commission européenne du 27 décembre 2004 concernant les transferts de données personnelles de responsable de traitement à responsable de traitement et l’annexe de sécurité.
Observations particulières
- Les données ne seront accessibles par Alienware via la plate-forme technique de gestion centralisée des demandes de crédit que pendant une durée maximale de 46 jours. Alienware les conservent ensuite conformément à la réglementation qui lui est applicable en ce qui concerne ses activités commerciales.- Les personnes sont informées conformément à l’article 32 de la loi du 6 janvier 1978 par l’insertion d’une clause d’information dans les contrats et sur le site Internet de BNP Paribas Personal Finance.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004, notamment ses articles 68 et 69  ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007, et notamment son article 103 ;
Sur le rapport de M. Bernard PEYRAT, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du Gouvernement ;
Autorise, dans les conditions définies dans le dossier et résumées dans le tableau ci-dessous, la Caisse nationale des caisses d’épargne à mettre en œuvre des transferts de données personnelles hors de l’Union Européenne, vers un Etat qui n’assure pas un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes. 
Société responsable des transferts
La Caisse nationale des caisses d’épargne, agissant pour le compte des caisses d’épargne, propriétaires des données.
Finalité des transferts
Vidéocodage manuel des données portées sur les demandes de transfert de Livret A reçues par les caisses d’épargne en provenance des établissements bancaires bénéficiaires. Le traitement ne concerne que les cas d’échec de la procédure de lecture automatique des données.
Catégories de données transférées
Les données traitées se rapportent aux clients des caisses d’épargne titulaires d’un Livret A et à leurs représentants légaux, qui ont souhaité transférer la gestion de ce livret à un autre établissement bancaire.Elles peuvent concerner :- les nom, nom marital, prénoms, date et lieu de naissance,- les adresse postale et numéro de téléphone,- les coordonnées bancaires.
Bénéficiaires des transferts de données
Les agents chargés du vidéocodage  des sociétés :- Tunis Data Services, filiale de droit tunisien de la société Tessi Ile-de-France, située à Tunis, rue 8612, impasse n° 2, zone industrielle La Charguia 1 ;- JV CE Midi-Pyrénées - Walli, société de droit tunisien, située à Tunis, Les berges du lac.
Pays d’établissementdes bénéficiaires des transferts
Tunisie
Service auprès duquel s’exerce le droit d’accès
L’agence de la caisse d’épargne dont dépend le client.
Garantie mise en œuvre par les bénéficiaires des transferts pour assurer un niveau de protection suffisant aux données transférées
Les deux contrats de sous-traitance signés la Caisse nationale des caisses d’épargne pour le compte du groupe seront tripartites : ils seront passés avec le sous-traitants français et sa filiales de droit tunisien et incluront les clauses contractuelles européennes issues de la décision 2002/16/CE de la Commission européennes du 27 décembre 2001 concernant les transferts de données personnelles vers des sous-traitants établis dans des pays tiers.
Observations particulières
- Les données sont mises à disposition  des bénéficiaires du transfert sous la forme d’images numérisées, qui sont strictement limitées aux zones des demandes de transfert qui n’ont pas pu être vidéocodées de façon automatique.- Les données ne sont consultables que le temps de la saisie informatique, qui ne pourra pas être supérieur à une heure.- Seuls les postes identifiés ont la possibilité technique de se connecter sur l’application qui reste hébergée en France.- Le formulaire national normalisé de demande de transfert de Livret A ou Bleu comporte une information conforme à l’article 32 de la loi du 6 janvier 1978.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié le 25 mars 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par le Centre hospitalier Lyon Bron « Le Vinatier », d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux locaux.
Formule les observations suivantes :
Le Centre hospitalier Lyon Bron « Le Vinatier » souhaite mettre en œuvre un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité de sécuriser l’accès à la salle informatique de l’établissement. Le Centre hospitalier intervient principalement en matière psychiatrique. Le dispositif mis en place a pour objectif de limiter l’accès à la salle informatique aux 12 personnes dûment identifiées qui constituent l’ensemble des effectifs de la Direction des Systèmes d’Information. 
Le système reposera sur un boîtier installé à l’entrée de la salle informatique. Les gabarits des empreintes digitales des personnes habilitées à pénétrer dans la salle informatique seront enregistrés dans les terminaux de lecture comparaison qui seront reliés par un poste                                      informatique dédié et déconnecté de tout réseau. Lors du contrôle d’accès, l’employé apposera son doigt sur le lecteur biométrique du boîtier, une comparaison s’effectuera alors entre cette empreinte digitale et le gabarit enregistré dans le terminal de lecture comparaison. Un historique des passages pourra être édité.
Le gabarit de l’empreinte digitale et les données relatives à l’identité de l’employé ainsi que sa fonction seront conservés tant que la personne sera habilitée à pénétrer dans la zone. L’historique des passages sera conservé pendant trois mois maximum.
Compte tenu du fort impératif de sécurité lié à la nécessité d’assurer la confidentialité des données médicales des patients dans un établissement psychiatrique, les traitements soumis à la Commission sont adaptés et proportionnés à la finalité assignée au dispositif au regard de la protection des données personnelles.
Les droits d’accès et de rectification s’exerceront auprès du personnel de la direction des systèmes d’information au Centre hospitalier Lyon Bron « Le Vinatier » – 95, Bd Pinel– 69777 Bron.
Les catégories de données à caractère personnel enregistrées seront :
le gabarit de l’empreinte digitale ;
l’identité de la personne (nom ; prénom) ;
l’historique des passages.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée le personnel de la Direction informatique;
Dans ces conditions, la Commission autorise le Centre hospitalier Lyon Bron « Le Vinatier », à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par le Centre Médical COSEM Miromesnil d’un traitement de données à caractère personnel reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle de l’accès aux locaux.
Formule les observations suivantes :
Le Centre Médical COSEM Miromesnil souhaite utiliser un dispositif reposant sur la reconnaissance du réseau veineux des doigts de la main afin de sécuriser l’accès au centre médical.
Le dispositif reposera sur deux boîtiers (terminal de lecture-comparaison) situés aux points d’accès du personnel. Il s’agit de boîtiers autonome, qui ne seront pas reliés à un réseau informatique. L’enrôlement des personnes s’effectuera à partir de ces boîtiers qui sont équipés d’un lecteur qui permet également l’enregistrement des gabarits. Outre les données biométriques, les éléments d’identification des personnes concernées (nom, prénom, fonction) seront également traitées.
La vérification s’effectuera entre le doigt apposé sur le lecteur et le gabarit du réseau veineux des personnes qui sera stocké dans le lecteur. Le gabarit biométrique et les éléments d’identification des utilisateurs seront effacés lors du départ de l’employé de la société. Un historique des passages sera conservé pendant trois mois.
La Commission considère que le réseau veineux des doigts de la main, en l’état actuel de la technique, est une biométrie sans trace dont l’enregistrement sur un terminal de lecture-comparaison aux fins de contrôler les accès aux locaux ne comporte pas de risques particuliers pour les libertés et les droits fondamentaux des personnes. A cet égard, en l’état actuel des techniques, la biométrie par reconnaissance du réseau veineux n’est pas susceptible d’être capturée à l’insu des personnes. Dès lors, la Commission considère que le traitement pris dans son ensemble apparaît adapté et proportionné du point de vue de la protection des données personnelles.
Les droits d’accès et de rectification s’exerceront auprès du responsable du Système d’informations du Centre Médical COSEM Miromesnil – 6, avenue César Caire –75008 Paris.
Les catégories de données à caractère personnel enregistrées seront :
l’identité de la personne (nom, prénom,) ;
la fonction ;
le gabarit du réseau veineux de deux doigts de la main ;
l’historique des passages.
Le destinataire des informations sera, dans la limite de ses attributions et pour la poursuite de la finalité précitée, le responsable du système d’informations.
Dans ces conditions, la Commission autorise le Centre Médical COSEM Miromesnil, à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK