AgentPublic/cnil huggingface dataset:
CSF France prévoit que des affichettes d’information soient placées aux principaux endroits de circulation des clients et en caisse, afin de les renseigner sur le dispositif de gestion informatisée et centralisée des chèques mis en place, sa finalité et leurs droits d’accès, de rectification et le cas échéant d’opposition.Toute personne, étant susceptible de faire l’objet d’une inscription dans le présent traitement de prévention et de gestion des impayés, est informée par Carrefour Administratif France au moment de son inscription dans ledit fichier lors de l’envoi de l’avis de relance.Si l’impayé est régularisé auprès de l’un des magasins de l’enseigne  « Champion » ou « Carrefour Market », le chèque impayé sera adressé par courrier par Carrefour Administratif France au client pour lui permettre de régulariser sa situation auprès de sa banque. Ceci étant, un quitus de régularisation est également adressé par courrier au client lui permettant, le temps de la restitution du chèque, de pouvoir à nouveau effectuer des achats par chèque. Son paiement par chèque sera accepté en caisse sur présentation de ce quitus de régularisation.Les données du client ayant régularisé son paiement seront effacées du traitement dans les 24 H suivant la notification de la régularisation du paiement.Toute personne concernée peut exercer son droit d’accès, d’opposition et de rectification en s’adressant à l’un quelconque des magasins de l’enseigne « Champion » ou « Carrefour Market »,
indépendamment du magasin d’origine dans lequel l’impayé a été constaté. Chaque magasin met à la disposition des personnes un formulaire pré-imprimé à cet effet.Le client est informé par une affichette qu’une consultation du Fichier National des Chèques Irréguliers (FNCI) est également effectuée lors du paiement aux caisses.
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Bernard PEYRAT, commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire du gouvernement adjoint;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société Unisys France SAS, à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
Unisys France 
Finalité du transfert
Gestion des clients
Catégories de données transférées
Données d’identification (nom de société, de son représentant légal, prénom)
Adresse (adresse, numéro de téléphone)
Vie professionnelle (historique des transactions, commandes, factures, paiement)
Identité(s) du(des) destinataire(s)
Les personnes habilitées de la société :Unisys Corporation (société mère)Unisys WayBlue Bell, PA 19424Etats-Unis
Pays d’établissement du(des) destinataire(s)
Etats-Unis
Service auprès duquel s’exerce le droit d’accès des personnes concernées
Unisys France SAS307 rue d’Estienne d’Orves92708 Colombes CedexFrance
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision 2004/915/CE de la Commission européenne du 27 décembre 2004 concernant les transferts de responsable de traitement à responsable de traitement.
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire du gouvernement adjoint;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société Unisys France SAS, à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
Unisys France 
Finalité du transfert
Gestion des ressources humaines
Catégories de données transférées
Données d’identification (nom, prénom, date de naissance, lieu de naissance, nationalité)
Numéro de Sécurité Sociale (copie de l’attestation Vitale)
Situation familiale (données fournies par le salarié)
Formation (dernier diplôme) 
Adresse (adresse, numéro de téléphone)
Vie professionnelle (CV du salarié)
Moyens de déplacement des personnes (remboursement des frais des voyages, utilisation d’un véhicule de la société)
Identité(s) du(des) destinataire(s)
Les personnes habilitées de la société :Unisys Corporation (société mère)Unisys WayBlue Bell, PA 19424Etats-Unis
Pays d’établissement du(des) destinataire(s)
Etats-Unis
Service auprès duquel s’exerce le droit d’accès des personnes concernées
Unisys France SAS307 rue d’Estienne d’Orves92708 Colombes CedexFrance
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision 2004/915/CE de la Commission européenne du 27 décembre 2004 concernant les transferts de responsable de traitement à responsable de traitement.
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée en 2004, notamment son article 69 alinéa 8 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007,  notamment son article 103 ;
Sur le rapport de M. Emmanuel De Givry, commissaire et des observations de Mme Catherine POZZO DI BORGO, commissaire du gouvernement adjoint ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société AXA Assurances IARD Mutuelle, à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Société responsable du traitement
AXA Assurances IARD Mutuelle
Finalité du transfert
Délégation de l’activité de contrôle des règlements dans le cadre du traitement ayant pour finalité l’assistance dans l’évaluation de la conformité des règlements effectués sur les sinistres Iard
Catégories de données transférées
Données d’identification du sinistre et de l’opération comptable : numéro du sinistre, code région du collaborateur contrôlé, service, entité du site, site de gestion du collaborateur contrôlé, type de gestion, mode de gestion, nature du sinistre, garantie sinistrée sur laquelle a été effectuée l’opération comptable, nom, prénom et code du gestionnaire contrôlé du sinistre, nom, prénom et code du collaborateur contrôlé de l’opération comptable, informations relatives à l’opération comptable (numéro, date, nature, montant, nom du bénéficiaire, nom du destinataire, code critère de sélection (sécuritaire, technique, aléatoire), code de gestion, nom du contrôleur), date de début, fin et description de la campagne, types de produits, numéro de contrat, date de survenance, d’ouverture et de clôture du sinistre, charge brute et nette, nom de l’assuré, missionnement de l’expert, liste des personnes habilitées à effectuer des contrôles sur les contrôleurs, type d’anomalies (anomalie corrigeable ou non, avec ou sans incidence financière, montant de l’incidence financière, zone commentaire.  
Identité(s) du(des) destinataire(s)
Les personnes habilitées à effectuer des contrôles (tels que les superviseurs, les contrôleurs) de la succursale marocaine d’Axa France Iard.
Pays d’établissement du(des) destinataire(s)
Maroc
Service auprès duquel s’exerce le droit d’accès des personnes concernées
Service Information Clients d’AXA Assurances IARD MutuelleAxa 313 Terrasses de l’Arche 92727 Nanterre Cedex
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
- la lettre du directeur de l’entité Axa France Services de l’entreprise Axa France assurant que la succursale marocaine sera soumise à la politique de sécurité des systèmes d’information mise en place et développée par Axa France.- le Code de la sécurité informatique et libertés d’Axa France.- les Standards de sécurité Groupe des SI- la Charte de sécurité des systèmes d’information Axa France. 
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée en 2004, notamment son article 69 alinéa 8 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007,  notamment son article 103 ;
Sur le rapport de M. Emmanuel De Givry, commissaire et des observations de Mme Catherine POZZO DI BORGO, commissaire du gouvernement adjoint ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société AXA France IARD à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Société responsable du traitement
AXA France IARD
Finalité du transfert
Délégation de l’activité de contrôle des règlements dans le cadre du traitement ayant pour finalité l’assistance dans l’évaluation de la conformité des règlements effectués sur les sinistres Iard
Catégories de données transférées
Données d’identification du sinistre et de l’opération comptable : numéro du sinistre, code région du collaborateur contrôlé, service, entité du site, site de gestion du collaborateur contrôlé, type de gestion, mode de gestion, nature du sinistre, garantie sinistrée sur laquelle a été effectuée l’opération comptable, nom, prénom et code du gestionnaire contrôlé du sinistre, nom, prénom et code du collaborateur contrôlé de l’opération comptable, informations relatives à l’opération comptable (numéro, date, nature, montant, nom du bénéficiaire, nom du destinataire, code critère de sélection (sécuritaire, technique, aléatoire), code de gestion, nom du contrôleur), date de début, fin et description de la campagne, types de produits, numéro de contrat, date de survenance, d’ouverture et de clôture du sinistre, charge brute et nette, nom de l’assuré, missionnement de l’expert, liste des personnes habilitées à effectuer des contrôles sur les contrôleurs, type d’anomalies (anomalie corrigeable ou non, avec ou sans incidence financière, montant de l’incidence financière, zone commentaire.  
Identité(s) du(des) destinataire(s)
Les personnes habilitées à effectuer des contrôles (tels que les superviseurs, les contrôleurs) de la succursale marocaine d’Axa France Iard
Pays d’établissement du(des) destinataire(s)
Maroc
Service auprès duquel s’exerce le droit d’accès des personnes concernées
Service Information Clients d’Axa France IARD Axa 313 Terrasses de l’Arche 92727 Nanterre Cedex
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
- la lettre du directeur de l’entité Axa France Services de l’entreprise Axa France assurant que la succursale marocaine sera soumise à la politique de sécurité des systèmes d’information mise en place et développée par Axa France.- le Code de la sécurité informatique et libertés d’Axa France.- les Standards de sécurité Groupe des SI- la Charte de sécurité des systèmes d’information Axa France. 
Le Président
Alex TURK
(Demande d’avis n° 08009528)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004 ; 
Vu le code de la sécurité sociale et notamment l’article R. 161-37-V ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Jean-Pierre de LONGEVIALLE, commissaire, et les observations de Mme Catherine POZZO DI BORGO, commissaire adjoint du gouvernement ;
Vu le projet d’arrêté du ministre de la santé, de la jeunesse et des sports autorisant l’utilisation par l’équipe de l’unité 690 de l’Institut national de la santé et de la recherche médicale du répertoire national interrégimes des bénéficiaires de l’assurance maladie à des fins d’identification des organismes servant des prestations d’assurance maladie aux personnes devant être interrogées dans le cadre d’une enquête épidémiologique ;
Emet l’avis suivant :
La Commission a été saisie par le ministre de la santé, de la jeunesse et des sports, en application de l’article R. 161-37-V du code de la sécurité sociale, d’un projet d’arrêté autorisant l’équipe de l’unité 690 de l’Institut national de la santé et de la recherche médicale à utiliser le répertoire national interrégimes des bénéficiaires de l’assurance maladie (RNIAM) afin d’obtenir par l’intermédiaire des organismes d’assurance maladie, l’adresse des personnes devant être interrogées dans le cadre d’une étude épidémiologique dénommée GEDEPAC (Groupe d’Etude sur le Devenir des Enfants atteints de Pathologies Chroniques ) enregistrée à la CNIL sous le n°907195.
L’article R. 161-37-V du code de la sécurité sociale prévoit que l'utilisation du Répertoire national interrégimes des bénéficiaires de l'assurance maladie peut être autorisée par un arrêté du ministre chargé de la santé, pris sur avis de la Commission nationale de l'informatique et des libertés, à des fins de recherche des personnes dans l'intérêt de la santé des personnes concernées ou en raison du risque de maladie transmissible.
Cette étude dénommée GEDEPAC a pour finalité l’analyse du devenir à l’âge adulte des patients devenus diabétiques pendant l’enfance.
Au vu des éléments transmis, la Commission constate que la recherche des patients dont l’adresse est actuellement ignorée présente un intérêt pour leur santé.
Cette recherche qui constituait un traitement de données à caractère personnel ayant pour fin la recherche dans le domaine de la santé, a été autorisée, le 30 janvier 2008, conformément à l’article 15 de la loi du 6 janvier 1978.
L’équipe de l’unité 690 de l’Institut national de la santé et de la recherche médicale transmettra à un service particulier de la Caisse nationale de l’assurance maladie des travailleurs salariés (CNAMTS), le nom, le prénom, la date de naissance et le sexe des personnes concernées par l’étude.
Ces éléments permettront ensuite à la Caisse nationale d’assurance vieillesse (CNAV), gestionnaire du RNIAM, de retrouver les coordonnées des organismes servant les prestations d’assurance maladie à ces personnes dans ce répertoire. 
La CNAV transmettra ses données à la CNAMTS qui se rapprochera des organismes d’assurance maladie de base afin d’obtenir l’adresse des personnes concernées et enverra à l’équipe du service d’endocrinologie et de diabétologie pédiatrique de l’hôpital Robert Debré, le nom, les prénoms, l’adresse et le statut vital des personnes concernées.
Les données ne seront conservées que pendant la durée de l’étude.
Dans ces conditions, cette utilisation prévue du répertoire national interrégimes des bénéficiaires de l'assurance maladie est pertinente et n’appelle pas d’observation particulière au regard de la protection des données à caractère personnel.
Le président
Alex TURK
La Commission nationale de l’informatique et des libertés,
Saisie par le Conseil national de l’Ordre des pharmaciens (CNOP) d’une demande tendant à la poursuite de l’expérimentation du dossier pharmaceutique jusqu’à l’examen de la demande d’autorisation tendant à la généralisation du dispositif; 
Vu la convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, et notamment ses articles 16, 8-IV et 25-I, 1° ;
Vu la loi n°2007-127 du 30 janvier 2007 ratifiant l’ordonnance n° 2005-1040 du 26 août 2005 relative à l’organisation de certaines professions de santé et à la répression de l’usurpation de titres et de l’exercice illégal de ces professions et modifiant le code de la santé publique et notamment son article 25-IV ;
Vu le code de la santé publique et notamment les articles L. 1111-8, L.1111-8-1 et L. 4231-2 ;
Vu l’article L. 161-36-4-2 du code de la sécurité sociale ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007;
Vu le décret n°2006-6 du 4 janvier 2006 relatif à l’hébergement de données de santé à caractère personnel ;
Vu la délibération n°2007-106 du 15 mai 2007 portant autorisation des applications informatiques nécessaires à la mise en oeuvre de la phase expérimentale du dossier pharmaceutique ;
Vu la délibération n°2008-041 du 14 février 2008 portant autorisation de la prolongation et de l’extension géographique de l’expérimentation du dossier pharmaceutique ;
Vu la délibération n°2008-302 du 17 juillet 2008 portant avis sur un projet de décret en Conseil d’Etat relatif au dossier pharmaceutique, pris en application de l’article L.161-36-4-2 du Code de la sécurité sociale ;
Après avoir entendu M. Jean-Pierre de LONGEVIALLE, commissaire, en son rapport, et Mme Catherine POZZO DI BORGO, commissaire du Gouvernement adjoint, en ses observations ; 
Formule les observations suivantes :
1. Le dossier pharmaceutique est un dossier dématérialisé, accessible par internet, hébergé auprès d’un hébergeur de données de santé sélectionné par le CNOP, ouvert par les pharmaciens d’officine pour chaque bénéficiaire de l’assurance maladie qui y consent et permettant le regroupement et le partage entre les pharmaciens des informations relatives aux médicaments et produits de santé délivrés à ce bénéficiaire dans l’ensemble des officines. Le DP a pour principal objectif de sécuriser la dispensation des médicaments.
La mise en œuvre du projet concernera 23 000 pharmacies (Métropole et DOM) qui, après remise à jour de leurs logiciels métier, pourront procéder à l’ouverture et à l’utilisation des dossiers pharmaceutiques dans le respect des règles fixées par le CNOP ainsi que le groupement d’intérêt économique (GIE) Santeos qui, après appel d’offres, a été retenu par ce dernier comme unique hébergeur du DP.
2. Le Conseil national de l’Ordre des pharmaciens a estimé nécessaire, avant la phase de généralisation du DP, de procéder à une expérimentation du dispositif afin d’en tester le bon fonctionnement technique, d’évaluer l’usage et l’appropriation du DP tant par les pharmaciens que par les patients et montrer son impact sur les relations des pharmaciens dispensateurs avec les médecins prescripteurs.
Par délibération du 15 mai 2007, la Commission a autorisé, sur le fondement des articles 8-IV et 25-I, 1° de la loi du 6 janvier 1978, modifiée en 2004, la mise en place des traitements nécessaires à l’expérimentation du dossier pharmaceutique auprès de pharmaciens volontaires, dans six départements et pendant une durée limitée, puis, sur la base d’un bilan d’étape et de contrôles diligentés dans plusieurs officines, elle a autorisé, par une seconde délibération du 14 février 2008, l’extension géographique et la prolongation de l’expérimentation jusqu’au 15 août 2008.
Le dossier pharmaceutique dont l’expérimentation a ainsi été autorisée est un dossier autonome n’alimentant pas le dossier médical personnel (DMP).
Par délibération du 17 juillet 2008, la Commission nationale de l’informatique et des libertés, saisie par le ministère de la santé, de la jeunesse des sports et de la vie associative, a donné un avis sur le projet de décret en Conseil d’Etat relatif au dossier pharmaceutique qui en fixe le cadre réglementaire.
3. La phase d’expérimentation prendra fin le 15 août 2008. Toutefois, le Conseil national de l’Ordre des pharmaciens (CNOP) a indiqué que la Commission serait saisie durant l’été d’un dossier de formalités préalables présenté à l’appui de la demande de généralisation du dispositif à l’ensemble du territoire français.
Il appartiendra donc à la Commission de se prononcer sur la demande d’autorisation de la généralisation du dossier pharmaceutique, à la lumière notamment d’un bilan précis et complet des résultats de l’expérimentation du DP. 
En l’attente de cet examen, il convient d’autoriser temporairement la poursuite de l’expérimentation afin d’en garantir le fondement juridique, sans préjudice de la décision qu’il appartiendra à la Commission de prendre quant à la généralisation du dispositif.
Dans ces conditions, la Commission décide la prolongation, pendant un délai de trois mois à compter du 15 août 2008, de l’autorisation donnée par elle dans sa délibération précitée du 14 février  2008, dans des conditions strictement identiques à celles qui y ont été définies.
Le président
Alex TURK