AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 91/308/CE du Conseil du 10 juin 1991 modifiée relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu le règlement n° 1781/2006 du Parlement européen et du Conseil du 15 novembre 2006 relatif aux informations concernant le donneur d'ordre accompagnant les virements de fonds ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 25-1-4° et 69 ;   Vu le code monétaire et financier, notamment ses articles L. 511-34, L. 561-1 à L. 563-5, L. 574-1, L. 574-2, L. 613-13, R. 562-1, R. 562-2, R. 563-1 à R. 563-3 et R. 564-1 ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 précitée ;   Vu le dossier déposé par la société en cours de constitution Ria France relatif à un traitement automatisé de données
personnelles ayant pour finalité la saisie et la transmission des ordres de transfert de fonds internationaux ;   Après avoir entendu M. Philippe NOGRIX, commissaire, en son rapport, et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :   La société financière Ria France a saisi la Commission nationale de l'informatique et des libertés le 24 octobre 2006 d'un dossier relatif à la mise en oeuvre d'un traitement de données à caractère personnel dont la finalité principale est d'assurer la saisie et le routage d'ordres de transfert de fonds internationaux entre particuliers, vers des pays et au bénéfice de populations faiblement bancarisés.   Ce traitement automatisé intègre, notamment, un dispositif de lutte contre le blanchiment d'argent et le financement du terrorisme qui vise à détecter les opérations qui sont susceptibles, du fait des anomalies qu'elles comportent, d'être qualifiées d'infraction de blanchiment par les autorités compétentes.  De ce fait, ces opérations peuvent donner lieu, après la collecte de renseignements complémentaires, à l'envoi d'informations au ministère de l'économie, des finances et de l'industrie, soit au bureau de la direction générale du Trésor et de la politique économique (DGTPE) en charge du mécanisme de gel des avoirs, soit au service d'analyse du renseignement financier Tracfin sous la forme de déclarations de soupçon.   La détection de ces opérations avant leur réalisation peut conduire la banque à suspendre la transaction engagée par le client sur la base de contrôles intégralement automatisés, notamment après consultation de liste des personnes faisant l'objet de sanctions financières, dont certaines n'ont pas force de loi sur le
territoire national.  Ce traitement peut ainsi conduire à exclure des personnes du bénéfice d'une prestation en l'absence de toute disposition légale applicable en France prévoyant la mise en oeuvre d'une telle exclusion. Dès lors, il relève du 4° du I de l'article 25 de la loi du 6 janvier 1978 modifiée et doit être autorisé par la CNIL.   Les données enregistrées dans le traitement concernent les nom, prénoms, date de naissance, adresse et numéro de téléphone du client, les type, pays d'émission, numéro et date d'expiration de la pièce d'identité présentée, le montant de l'opération projetée, la devise fournie et la devise de reversement, les coordonnées complètes du bénéficiaire du paiement, le pays dans lequel le décaissement doit avoir lieu, la banque correspondante choisie sur une liste et l'adresse de réception du transfert.  Le document d'identité présenté - de type carte d'identité, passeport ou carte de séjour - est scanné.  Pour les clients réguliers, le système informatique permet de récupérer les renseignements déjà enregistrés.
Des filtres informatisés sont mis en place, qui suspendent automatiquement le traitement des demandes d'opérations lorsque : elles excèdent certains montants fixés dans l'agrément de Ria France ; elles se rapportent à des personnes susceptibles de figurer sur des listes officielles des personnes faisant l'objet d'une sanction financière internationale ; elles ne sont pas complètement renseignées ; la pièce d'identité présentée n'est plus valable.   Les listes de sanctions financières internationales prises en considération sont, d'une part, celles applicables en France, qu'elles soient mises en oeuvre au niveau national, au niveau européen ou qu'elles soient imposées par l'ONU, d'autre part, celles que l'OFAC (office of Foreign Assets Control, administration relevant du département du Trésor américain), est chargé de faire respecter et que le groupe américain Ria est tenu d'appliquer.   Les opérations ainsi suspendues sont soumises à un réexamen, le plus souvent après collecte d'informations complémentaires auprès du client sur le motif du transfert, l'origine des fonds transférés, son activité professionnelle et son employeur, en vue d'une levée de la mesure ou d'un rejet définitif de l'ordre par le responsable anti-blanchiment.   La Commission prend acte que le contrôle renforcé mis à la charge de l'établissement en cas de concordance entre l'identité d'un client et un signalement sur l'une de ces listes précitées garantit que les opérations de transfert ne seront
définitivement bloquées qu'en présence d'indices sérieux et concordants et que le service de lutte anti-blanchiment ou de gel des avoirs compétent - la DGTPE ou l'OFAC - sera rendu destinataire de données personnelles concernant ce client.   Elle note également que l'ensemble des données personnelles recueillies par Ria France dans le cadre d'une demande de transfert de fonds lui permet de s'assurer que les vérifications, après suspension de l'ordre de transfert, sont effectuées très rapidement, au plus tard dans les 24 à 48 heures.   Elle relève que les personnes ayant déjà fait l'objet d'une suspension d'ordre de virement pour cause d'homonymie feront l'objet d'un signalement informatique spécifique, accessible aux seuls agents chargés de la lutte anti-blanchiment, qui permettra de régler plus rapidement tout nouveau blocage de leurs opérations.   Dès lors, le traitement mis en place est conforme à l'intérêt légitime du responsable du traitement sans méconnaître pour autant l'intérêt des clients concernés.   L'ensemble des informations saisies est transmis, via le réseau sécurisé du groupe Ria, au centre informatique de la société Ria Envia Inc., situé en Californie où sont assurés le traitement automatisé de l'ordre et son re-routage vers le pays de destination de l'ordre, chez le correspondant désigné par le client lors de la saisie de l'ordre de transfert.
La Commission observe que les États-Unis ne font pas, à ce jour, partie des Etats reconnus comme disposant d'une législation garantissant un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes à l'égard du traitement des données à caractère personnel.   Conformément à l'avant-dernier alinéa de l'article 69 de la loi du 6 janvier 1978 modifiée, la Commission a compétence pour autoriser tout transfert de données à caractère personnel envisagé vers cet Etat, dès lors que le traitement effectué par le destinataire sur ces données garantit un niveau de protection suffisant de la vie privée ainsi que des libertés et droits fondamentaux des personnes, notamment en raison des conditions contractuelles ou règles internes dont il fait l'objet.   A cet égard, la Commission constate que la société Ria Envia Inc. a adhéré à la "sphère de sécurité" ("Safe Harbour").  En outre, Ria France et Ria Envia Inc. s'engagent à signer un avenant à leur convention de gestion, qui précise les conditions d'utilisation des informations auxquelles Ria Envia Inc. aura accès en qualité de support technique ou au titre de la lutte anti-blanchiment.  Ce document rappelle que Ria France répond, en qualité de responsable du traitement, aux demandes de divulgation des données personnelles qui lui seraient adressées par des autorités étrangères dans le cadre des dispositions du droit national en vigueur, notamment en ce qui concerne le secret professionnel.
La transmission aux États-Unis des données nécessaires au routage des ordres de virement est, à cet égard, adéquate, pertinente et non excessive au regard des finalités poursuivies.  La Commission estime qu'il n'en va pas de même de la transmission des copies scannées des pièces d'identité des clients de Ria France, aux seules fins de leur archivage, qui ne parait pas s'imposer au regard des conditions envisagées à l'article 69 pour justifier des transferts de données personnelles vers des pays n'assurant pas un niveau de protection suffisant.   En conséquence, la Commission demande au groupe Ria d'envisager une autre solution technique que la transmission des copies scannées des pièces d'identité des clients de Ria France, aux seules fins de leur archivage, aux États-Unis, qui pourrait consister dans l'organisation de l'archivage des documents scannés en Espagne, pays servant de base logistique au groupe Ria en Europe.   Les données enregistrées, sont destinées à être conservées pendant cinq ans, conformément au règlement européen du 15 novembre 2006 susvisé.
Les destinataires des informations traitées sont :   - les agents habilités de Ria France, notamment en charge de la lutte anti-blanchiment, de la conformité et du contrôle interne,   - ceux de l'organisme correspondant chargé du versement des fonds dans le pays de destination (sauf pour les copies scannées des documents d'identité),   - à titre temporaire, les services de la filiale espagnole du groupe Ria qui assurent un rôle de formation et d'accompagnement au moment de la mise en place d'une fonction anti-blanchiment en France,   - les membres de l'équipe anti-blanchiment (Compliance officer) de la société mère américaine qui bénéficient d'une autorisation expresse, pour les données relatives aux transactions faisant l'objet d'une déclaration à l'OFAC.   En outre, des informations pourront être transmises, dans le cadre de leurs compétences respectives :   - au service Tracfin, dans le cadre de l'application du dispositif de lutte contre le blanchiment de l'argent, notamment dans le cas où l'identité du donneur d'ordre ou du bénéficiaire reste douteuse malgré les diligences effectuées,   - au bureau de la DGTPE chargé du mécanisme de gel des avoirs, pour les seules données relatives aux personnes qui font l'objet d'une mesure de gel des avoirs pour leurs liens présumés avec une activité terroriste,   - à l'OFAC, pour les seules données relatives aux donneurs d'ordre ou aux bénéficiaires des opérations qui figurent effectivement sur les listes en vigueur de l'OFAC et
les données relatives aux virements de fonds les concernant.   Les clients sont informés sur les reçus qui leur sont donnés à chaque opération des finalités des traitements mis en oeuvre par Ria, des destinataires des données personnelles, ainsi que des modalités d'exercice des droits d'accès et de rectification.
Dans ces conditions, la Commission autorise à titre expérimental, pour une durée limitée à un an, Ria France SAS à mettre en oeuvre le traitement de données personnelles présenté.  Elle demande, en outre, qu'avant l'expiration de ce délai, lui soit adressée une nouvelle demande d'autorisation comportant notamment un rapport concernant le nouveau dispositif d'archivage des pièces d'identité ainsi qu'un bilan portant sur l'évaluation et l'évolution du dispositif de lutte anti-blanchiment mis en place et sur les transmissions de données en résultant.   Le Président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 69 alinéa 8 ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007, et notamment son article 103 ;   Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement,   Autorise, dans les conditions figurant dans le tableau ci-dessous, la société Philip Morris France SAS à mettre en oeuvre un transfert de données à caractère personnel hors de l'Union Européenne.
Société responsable du transfert : Philip Morris France SAS   Finalité du transfert : Permettre la gestion des carrières et de la mobilité internationale du personnel   Catégories de données transférées :   - identification    - situation familiale    - formation, diplômes   - adresse   - vie professionnelle   - rémunération   - mobilité
   Identité(s) du(des) destinataire(s)   Service chargé de l'administration du personnel et supérieurs hiérarchiques des personnels concernés pour :   - Philip Morris International Global Services Inc.   - Philip Morris Asia Limited   Pays d'établissement du(des) destinataire(s)    - Etats-Unis    - Chine   Service auprès duquel s'exerce le droit d'accès des personnes concernées   Philip Morris France SAS   Défense Plaza, 23/25, rue Delarivière Lefoullon   92064 La Défense   Elisabeth Lehagre   Elisabeth.lehagre.pmintl.com   Nature des garanties mises en oeuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées   Clauses contractuelles européennes issues de la Décision 2002/16/CE de la Commission européenne du 27 décembre 2001 concernant les transferts de responsable de traitement à sous-traitant   Le Président, Alex TÜRK   Guy ROSIER Vice-Président Délégué
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 69 alinéa 8 ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007, et notamment son article 103 ;   Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;   Autorise, dans les conditions figurant dans le tableau ci-dessous, la société Hewlett-Packard France à mettre en oeuvre un transfert de données à caractère personnel hors de l'Union Européenne.
Société responsable du transfert : Hewlett-Packard France   Finalité du transfert : Permettre aux agents chargés de l'assistance technique et du service après vente d'effectuer leur mission depuis leurs bureaux au Maroc.  Les agents utilisent la base de données stockée aux Etats-Unis.   Catégories de données transférées :  Pour les consommateurs ou les professionnels : raison du contact, type de question, type de client, résolution, nom et prénom du client, données de journalisation, type de support, nom de la société, adresse de la société, adresse de facturation, adresse de livraison, contacts client, numéro de fax et de téléphone, adresse e mail, informations produit (catégorie de produit et numéro de produit).   Identité(s) du(des) destinataire(s) :   Les salariés habilités, chargés de l'assistance technique et du service après-vente, appartenant à la société :   DELTA CALL SA 50-52 Boulevard Abdellatif Ben Kaddour Casablanca, 2100   Pays d'établissement du(des) destinataire(s) : Maroc   Service auprès duquel s'exerce le droit d'accès des personnes concernées :   Hewlett-Packard France 80 rue Camille Desmoulins 92130 Issy les Moulineaux   Nature des garanties mises en oeuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées   - Clauses contractuelles européennes issues de la Décision 2002/16/CE de la Commission européenne du 27 décembre 2001 concernant les transferts de responsable de
traitement à sous-traitant   Le Président, Alex TÜRK   Guy ROSIER Vice-Président Délégué
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 69 alinéa 8 ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007, et notamment son article 103 ;   Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;   Autorise, dans les conditions figurant dans le tableau ci-dessous, la société Hewlett-Packard France à mettre en oeuvre un transfert de données à caractère personnel hors de l'Union Européenne.   Société responsable du transfert : Hewlett-Packard France   Finalité du transfert :  Permettre aux agents chargés de l'assistance technique et du service après vente d'effectuer leur mission
depuis leurs bureaux en Tunisie.  Les agents utilisent la base de données stockée aux Etats-Unis.
Catégories de données transférées :   Pour les consommateurs ou les professionnels :   raison du contact, type de question, type de client, résolution, nom et prénom du client, données de journalisation, type d'assistance technique, nom de la société, adresse de la société, adresse de facturation et de livraison, contacts client, numéro de fax et de téléphone, adresse e-mail, informations produit (catégorie de produit et numéro de produit).   Identité(s) du(des) destinataire(s) :  Les salariés habilités, chargés de l'assistance technique et du service après vente, appartenant à la société :   SELLBYTEL communication Group Rue des Lacs de Mazurie Les Berges du lac 1053 Tunis   Pays d'établissement du(des) destinataires (s) : Tunisie   Service auprès duquel s'exerce le droit d'accès des personnes concernées   Hewlett-Packard France 80 rue Camille Desmoulins   92130 Issy les Moulineaux   Nature des garanties mises en oeuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées :   - Clauses contractuelles européennes issues de la Décision 2002/16/CE de la Commission européenne du 27 décembre 2001 concernant les transferts de responsable de traitement à sous-traitant   Le Président, Alex TURK   Guy ROSIER Vice-Président Délégué
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 69 alinéa 8 ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007, et notamment son article 103 ;
Sur le rapport de M. Bernard PEYRAT, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;   Autorise, dans les conditions figurant dans le tableau ci-dessous, la société Sybase France à mettre en oeuvre un transfert de données à caractère personnel hors de l'Union Européenne.   Société responsable du transfert : Sybase France SARL   Finalité du transfert :  Gestion des clients et prospects (gestion comptable et contractuelle des clients, gestion des prospects et de la prospection)   Catégories de données transférées :   - Identification du prospect ou du client (nom, prénom, nom de la société du client ou du prospect),   - Informations relatives aux coordonnées bancaires et aux transférées modalités de paiement des factures,   - Informations relatives à la relation commerciale (documentation, contrat, opportunités, historique des achats)   Identité(s) du (des) destinataire(s) :  Sybase Inc.  :  les responsables du département finance   Pays d'établissement du(des) destinataire(s) : Etats-Unis   Service auprès duquel s'exerce le droit d'accès des personnes concernées :   Sybase France SARL   27 rue du Colonel Pierre Avia   75508 PARIS Cedex 15   Nature des garanties mises en oeuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées :  Clauses contractuelles européennes issues de la Décision 2004/915/CE de la Commission européenne du 27 décembre 2004 concernant
les transferts de responsable de traitement à responsable de traitement   Le Président, Alex TURK.   Guy ROSIER Vice-Président Délégué
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 69 alinéa 8 ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007, et notamment son article 103 ;   Sur le rapport de M. Bernard PEYRAT, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;   Autorise, dans les conditions figurant dans le tableau ci-dessous, la société Sybase France à mettre en oeuvre un transfert de données à caractère personnel hors de l'Union Européenne.