AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-8° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Vu la demande d'autorisation, présentée par le Commissariat à l'Energie Atomique d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès au site de Valduc classé installation prioritaire de défense ;   Après avoir entendu M. Hubert BOUCHET, commissaire en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :   La Commission nationale de l'informatique et des libertés a été saisie par le Commissariat à l'Energie Atomique (CEA) d'une demande d'autorisation relative à un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès au site de Valducq classé installation prioritaire de défense.   Il y a lieu de faire application des dispositions prévues à l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.   Le dispositif présenté par le CEA a pour finalité de répondre aux impératifs de sécurité imposé par la réglementation relative aux Installations Prioritaires de Défense (IPD) et d'assurer la protection d'informations faisant l'objet d'une classification de défense.  Il doit permettre :   - d'identifier les personnes souhaitant accéder aux zones sensibles du site ;   - de contrôler, autoriser (ou refuser) la demande d'accès ;   - d'archiver l'information liée à la demande d'accès à des fins statistiques ou d'enquête en cas d'accident ou de compromission.   Le dispositif reposera sur des boîtiers situés au point d'accès des zones sensibles du site.  Ces boîtiers seront reliés à un serveur sur lequel seront enregistrés l'identité des personnes (nom, prénom), leur adresse (n°, rue, code postal, ville, pays), leur
nationalité, l'employeur, la qualification, la photographie et le gabarit chiffré, résultant des traitements des mesures de l'empreinte digitale par un algorithme.  Lors du contrôle d'accès, l'employé apposera son doigt sur le lecteur biométrique du boîtier, une comparaison s'effectuera alors entre cette empreinte digitale et le gabarit enregistré dans la base de données stockée sur le serveur.  Un historique des passages pourra être édité.   Le gabarit de l'empreinte digitale et les données relatives à l'identité et à la fonction seront conservés le temps des habilitations, à savoir pendant trois ans tout comme le seront les historiques des passages et des opérations.   Les personnes seront informées de la mise en oeuvre du dispositif par une note d'information portée sur le formulaire de collecte qui leur est remis au moment de l'enrôlement ainsi que par voie d'affichage.   Compte tenu du fort impératif de sécurité lié à la nécessité de contrôler l'accès à un site faisant l'objet d'une classification de défense, les traitements soumit à la Commission sont adaptés et proportionnés à la finalité assignée au dispositif.
Les droits d'accès et de rectification s'exerceront auprès du Correspondant de l'agent central de sécurité (CACS) - Direction du centre Valduc - Centre d'étude Valduc - 21120 Is-surTille.   Les catégories de données à caractère personnel enregistrées seront :   - l'identité des personnes (nom, prénom) ;   - l'adresse (n°, rue, code postal, ville, pays) ;   - code postal, ville, pays) ;   - la nationalité ;   - l'employeur ;   - la qualification ;   - la photographie ;   - l'historique des passages ;   - l'historique des opérations effectuées par l'administrateur (horodatage, nature de l'opération) ;   - le gabarit, résultat du traitement des mesures par un algorithme sur l'empreinte digitale.   - Les destinataires des informations seront, dans la lmite de leurs attributions et pour la poursuite de la finalité précitée :   - le Correspondant de l'agent central de sécurité (CACS)   - le personnel du service de sécurité du site (Formation Local de Sécurité - FLS) ;   - les chefs d'installation du centre.   Dans ces conditions, la Commission autorise le Commissariat à Energie Atomique à mettre en oeuvre le traitement de données à caractère personnel présenté.   Le président, Alex TURK.   Guy ROSIER, Vice-Président Délégué.
La Commission nationale de l'informatique et des libertés,   Saisie le 20 mars 2007 par le ministre de la justice d'un projet de décret en Conseil d'État, pris en application de l'article 42 de la loi n° 2006-728 du 23 juin 2006 portant réforme des successions et des libéralités ;   Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 11(4°) ;   Vu la loi n° 2006-728 du 23 juin 2006 portant réforme des successions et des libéralités ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Après avoir entendu Monsieur Jean-Marie COTTERET, commissaire en son rapport et Madame Pascale COMPAGNIE, commissaire du Gouvernement en ses observations ;
Émet l'avis suivant :   Le ministre de la justice a saisi pour avis la Commission nationale de l'informatique et des libertés d'un projet de décret en Conseil d'État, pris en application de l'article 42 de la loi n° 2006-728 du 23 juin 2006 portant réforme des successions et des libéralités.   Aux termes de cet article, est autorisée la création d'un groupement d'intérêt public "chargé de rassembler tous les éléments propres à reconstituer les titres de propriété en Corse pour les biens fonciers et immobiliers qui en sont dépourvus". Ce groupement doit associer les différents acteurs concernés par les questions foncières et successorales en Corse (État, notaires, collectivités locales).   Le groupement peut prendre "toute mesure permettant de définir ces biens et d'en identifier leurs propriétaires".  En particulier, il peut "se faire communiquer de toute personne, physique ou morale, de droit public ou de droit privé, tous documents et informations nécessaires ..., y compris ceux contenus dans un système informatique ou de traitement de données à caractère personnel, sans que puisse leur être opposé le secret professionnel".   De même, il peut créer un traitement de données à caractère personnel "dans les conditions définies par la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés".   Sur le champ d'application du texte   Le groupement d'intérêt public créé peut prendre toute mesure permettant de définir les biens dépourvus de titres
et d'en identifier les propriétaires.  Il coordonne l'action des professionnels, tels que les généalogistes et les géomètres, requis pour établir les titres de propriété.  La Commission relève à cet égard que la mission du groupement se limite à la reconstitution des titres de propriété pour les biens immobiliers qui en sont dépourvus, et qu'il n'a pas compétence pour régler les litiges du droit de la propriété, qui restent du ressort exclusif des juridictions judiciaires.
Sur l'origine et la nature des données collectées   Le I de l'article 8 du projet de décret prévoit que les informations nécessaires à la mission assignée au groupement sont enregistrées dans un traitement automatisé de données à caractère personnel.  Il précise que ces informations sont issues des recherches entreprises, et qu'elles peuvent être collectées auprès des administrations ou des personnes physiques et morales de droit public ou privé.   La Commission constate que cette formulation très large, qui inclut toutes les sources d'information existantes tant publiques que privées, est une reprise du V de l'article 42 de la loi du 23 juin 2006 susvisée, qui institue un droit de communication au bénéfice du groupement pour l'exercice de sa mission.  La Commission regrette toutefois que le projet de décret ne définisse pas plus précisément les organismes ou personnes, y compris privées, qui pourront être interrogés par le groupement.  En tout état de cause, elle estime nécessaire que les rapprochements d'informations effectués à l'occasion de la mise en oeuvre du traitement soient précisés par le GIP lors de l'accomplissement des formalités préalables prévues par le chapitre IV de la loi du 6 janvier 1978 modifiée.   Le II de l'article 8 du projet de décret énumère limitativement les informations qui pourront être collectées par le groupement.  La Commission prend acte que seules les informations pertinentes énumérées, portant sur les personnes physiques se prévalant
d'un titre de propriété, les personnes morales, les parcelles et les autres biens immobiliers, ainsi que sur les droits de propriété, pourront être collectées et enregistrées.   Sur l'accès au traitement et les destinataires des informations   La Commission prend acte que seuls les agents dûment habilités du groupement pourront accéder au traitement, dans la mesure où cet accès sera nécessaire à l'exercice de leurs missions.  Elle prend également acte du fait que trace sera conservée, pendant la durée d'existence du groupement, des enregistrements et interrogations dont le traitement fera l' objet.   La Commission relève que les officiers publics ministériels et les personnes missionnées par le groupement seront destinataires des seules informations nécessaires à l'exercice de leur mission.  Elle prend acte que les informations collectées seront soumises au secret professionnel et que les personnes y ayant accès devront préserver leur confidentialité sous peine des sanctions prévues par l'article 226-13 du code pénal, comme le prévoit le V de l'article 42 de la loi du 23 juin 2006 susvisée.
Sur la durée de conservation   Le V de l'article 8 du projet de décret prévoit que les informations enregistrées ne seront conservées que pendant la durée strictement nécessaire à l'accomplissement des missions du groupement.   Sur la référence aux formalités préalables de la loi du 6 janvier 1978 modifiée   La Commission considère que la rédaction du projet de décret, en particulier le premier alinéa du II de l'article 8 qui énonce que "dans la décision portant création de son traitement automatisé de données à caractère personnel, le groupement précise ...", ne préjuge pas du régime de formalités préalables qui sera applicable au traitement, dans la mesure où certaines de ses caractéristiques ne sont pas déterminées à ce jour.   Le président Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 91/308/CE du Conseil du 10 juin 1991 modifiée relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu le règlement n° 1781/2006 du Parlement européen et du Conseil du 15 novembre 2006 relatif aux informations concernant le donneur d'ordre accompagnant les virements de fonds ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 25-1-4° et 69 ;   Vu le code monétaire et financier, notamment ses articles L. 511-34, L. 561-1 à L. 563-5, L. 574-1, L. 574-2, L. 613-13, R. 562-1, R. 562-2, R. 563-1 à R. 563-3 et R. 564-1 ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 précitée, modifié par décret n° 2007-451 du 25 mars 2007 ;   Vu le dossier déposé par la société en cours de constitution Coinstar
Money Transfer (CMT) SAS relatif à un traitement automatisé de données personnelles ayant pour finalité la saisie et la transmission des ordres de transfert de fonds internationaux ;   Après avoir entendu M. Bernard PEYRAT, commissaire, en son rapport, et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :   La société financière Coinstar Money Transfer (CMT) SAS, en cours de constitution, a saisi la Commission nationale de l'informatique et des libertés d'un projet de traitement de données personnelles, dénommé "TMT - PRIME", dont les finalités sont la mise en oeuvre d'un service de transfert international d'argent de personne à personne, la lutte contre le blanchiment et la réalisation d'opérations commerciales.   Au titre de sa finalité relative à la lutte contre le blanchiment de capitaux et le financement du terrorisme, le traitement automatisé permet de détecter des opérations susceptibles, du fait des anomalies qu'elles comportent, d'être qualifiées d'infraction de blanchiment par les autorités compétentes.  Ces opérations peuvent donner lieu, après la collecte de renseignements complémentaires, à l'envoi d'informations, au sein du ministère de l'économie, des finances et de l'industrie, soit au bureau de la direction générale du Trésor et de la politique économique (DGTPE) en charge du dispositif de gel des avoirs, soit au service d'analyse du renseignement financier Tracfin sous la forme de déclarations de soupçon.   La détection de ces opérations avant leur réalisation peut, en outre, conduire CMT SAS à suspendre, pour des raisons de prudence, la transaction engagée par le client sur la base de contrôles automatisés, notamment après consultation de listes de personnes faisant l'objet de sanctions financières, dont certaines
n'ont pas force de loi sur le territoire national.  Ce traitement peut ainsi conduire à exclure des personnes du bénéfice d'une prestation en l'absence de toute disposition légale applicable en France prévoyant la mise en oeuvre d'une telle exclusion.  Dès lors, il relève du 4° du I de l'article 25 de la loi du 6 janvier 1978 modifiée et doit être autorisé par la CNIL.   Les données enregistrées dans le traitement concernent les nom, prénoms, adresse et numéro de téléphone de l'expéditeur et du destinataire des fonds, le sexe de l'expéditeur, la date de naissance, les type, pays d'émission, numéro et date d'expiration de la pièce d'identité du client de CMT SAS, son numéro de carte de fidélité, le montant, la date et le numéro de référence de la transaction, la devise fournie et la devise de reversement, le pays dans lequel le décaissement doit avoir lieu, la banque destinataire, la question-test qui devra être posée au destinataire et la réponse qu'il devra fournir.  Le document d'identité présenté - carte d'identité, passeport. permis de séjour ou carte. de résident - est conservé sur support papier.  Pour les clients réguliers, le système informatique permet de retrouver les renseignements déjà enregistrés.
Des filtres informatisés sont mis en place, qui suspendent automatiquement le traitement des demandes d'envoi et de réception d'argent lorsque :  elles excèdent certains montant ; elles se rapportent à des personnes susceptibles de figurer sur des listes officielles de personnes faisant l'objet d'une sanction financière internationale ; elles ne sont pas complètement renseignées ; la pièce d'identité présentée n'est plus valable.   Les listes de sanctions financières internationales prises en considération sont, d'une part, celles applicables en France, qu'elles soient mises en oeuvre au niveau national, au niveau européen ou qu'elles soient imposées par l'ONU, d'autre part, celles que l'OFAC (office of Foreign Assets Control, administration relevant du département du Trésor américain), est chargé de faire respecter et que le groupe Coinstar est tenu d'appliquer.   Les opérations ainsi suspendues sont soumises à un contrôle renforcé, purement manuel, en vue d'une levée de la mesure ou d'un rejet définitif de l'ordre par le responsable anti-blanchiment de CMT SAS.
La Commission prend acte que le contrôle renforcé mis à la charge de l'établissement en cas de concordance entre l'identité d'un client et un signalement sur l'une de ces listes précitées garantit que les opérations de transfert ne seront définitivement bloquées qu'en présence d'indices sérieux et concordants et que le service de lutte anti-blanchiment ou de gel des avoirs compétent sera rendu destinataire de données personnelles concernant ce client.   Elle note également que l'ensemble des données personnelles recueillies par CMT SAS dans le cadre d'une demande de transfert de fonds lui permet de s'assurer que les vérifications, après suspension de l'ordre de transfert, sont effectuées très rapidement, au plus tard dans les 24 à 48 heures.   Dès lors, le traitement mis en place est conforme à l'intérêt légitime du responsable du traitement sans méconnaître pour autant l'intérêt des clients concernés.   L'ensemble des informations saisies est transmis, via le réseau sécurisé du groupe Coinstar, au centre informatique du groupe situé aux États-Unis où sont assurés le traitement automatisé des transactions, leur routage vers le pays de destination de l'ordre et leur stockage.   La Commission observe que les États-Unis ne font pas, à ce jour, partie des États reconnus comme disposant d'une législation garantissant un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes à l'égard du traitement des données à caractère personnel
Conformément à l'avant-dernier alinéa de l'article 69 de la loi du 6 janvier 1978 modifiée, la Commission a compétence pour autoriser tout transfert de données à caractère personnel envisagé vers cet État, dès lors que le traitement effectué par le destinataire sur ces données garantit un niveau de protection suffisant de la vie privée ainsi que des libertés et droits fondamentaux des personnes, notamment en raison des conditions contractuelles ou règles internes dont il fait l'objet.   A cet égard, la Commission constate que les sociétés CMT SAS, responsable du traitement, et CMT Limited, société de droit anglais, s'engagent à signer un contrat de sous-traitance comprenant les clauses contractuelles types définies par la Commission européenne et précisant notamment les conditions d'utilisation des informations auxquelles CMT Ltd aura accès en qualité de support technique et au titre de la lutte anti-blanchiment.  Ce document rappelle que CMT SAS répondra seule, en qualité de responsable du traitement aux demandes de divulgation des données personnelles qui lui seraient adressées par des autorités étrangères dans le cadre des dispositions du droit national en vigueur, notamment en ce qui concerne le secret professionnel.
La transmission aux États-Unis des données nécessaires au routage des ordres de virement et à leur stockage est, à cet égard, adéquate, pertinente et non excessive au regard des finalités poursuivies.  Les données spécifiques à la lutte contre le blanchiment et le financement du terrorisme sont conservées pendant cinq ans, conformément au règlement européen du 15 novembre 2006 susvisé.  Les données figurant sur les documents comptables et les pièces justificatives sont archivées pendant dix ans.   Les destinataires des informations traitées sont :   - les agents habilités de CMT SAS et de CMT Ltd en charge des transferts d'argent, des opérations commerciales, de la lutte anti-blanchiment, de la déontologie et du contrôle interne,   - ceux de l'organisme correspondant chargé du versement des fonds dans le pays de destination.   En outre, des informations pourront être transmises, dans le cadre de leurs compétences respectives :   - au service Tracfin, dans le cadre de l'application du dispositif de lutte contre le blanchiment de l'argent, notamment dans le cas où l'identité du donneur d'ordre ou du bénéficiaire reste douteuse malgré les diligences effectuées,   - au bureau de la DGTPE chargé du mécanisme de gel des avoirs, pour les seules données relatives aux personnes qui font l'objet d'une mesure de gel des avoirs pour leurs liens présumés avec une activité terroriste,   - à l'OFAC, pour les seules données relatives aux donneurs d'ordre ou aux bénéficiaires des
opérations qui figurent effectivement sur les listes en vigueur de l'OFAC et les données relatives aux virements de fonds les concernant.   La Commission relève que seuls les correspondants Tracfin de CMT SAS et le service Tracfin peuvent avoir communication de données identifiant les personnes ayant fait l'objet d'une déclaration de soupçon.   Les clients de Coinstar sont informés par écrit des finalités du traitement des données et de leur transfert hors de l'Union européenne, des catégories de destinataires, du pays hors de l'Union européenne concerné par le transfert, de la nature des données transférées, de la décision de la CNIL autorisant ce transfert, ainsi que des modalités d'exercice des droits d'accès, de rectification et d'opposition à l'utilisation des données à des fins de prospection.   Dans ces conditions, la Commission autorise CMT SAS à mettre en oeuvre le traitement "TMT - PRIME".   Le Président Alex TURK.
La Commission nationale de l'informatique et des libertés ;   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-4° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;   Vu la délibération n° 03-038, adoptée par la CNIL le 16 septembre 2003, portant adoption d'une recommandation relative à la collecte et au traitement d'informations nominatives par les sociétés de transports collectifs dans le cadre d'applications billettiques ;   Après avoir entendu M. Guy ROSIER, Vice-Président délégué, en son rapport, et Mme Pascale COMPAGNIE, commissaire du Gouvernement en ses observations ;