AgentPublic/cnil huggingface dataset:
Constatant que la réponse adressée par X ne correspondait manifestement pas à la mise en demeure adressée par la formation restreinte, les services de la Commission ont pris attache, avec X afin de clarifier la situation.
C'est ainsi qu'un second courrier a été adressé à la CNIL le 3 octobre 2005 dont les termes sont totalement différents de ceux du premier courrier. Ce courrier précise que c'est à la suite d'incidents de paiement sur des chèques que l'inscription au fichier des retraits de carte bancaire est intervenue le 9 avril 2005.
Dans son courrier, X reconnaît que l'opposition sur carte n'aurait pas du être enregistrée pour le motif "abusif" (ce qui a provoqué l'inscription du requérant dans les fichiers de la Banque de France) ; qu'il s'est agi d'une erreur de codification qui a été rectifiée dès le lendemain, soit le 10 avril 2003, le motif "usage abusif" ayant été remplacé par le code "annulation carte".
Néanmoins cette modification de la codification interne n'a pas entraîné la mainlevée de l'inscription au fichier de la Banque de France qui a été maintenue pendant plus de 10 mois. X explique ce retard dans la levée de l'inscription au fichier de la Banque de France par un oubli du service compétent.
Au regard du caractère contradictoire des deux courriers de réponse adressés à la CNIL, il a été décidé de procéder, le 2 novembre 2005, à une mission de vérification sur place.
Les vérifications effectuées ont permis de retrouver, dans le système informatique de X, l'inscription du requérant au volet "chèques" du FCC le 28 mars 2002 (un chèque impayé) ainsi que l'inscription du requérant au fichier des retraits de carte bancaire le 9 avril 2003 (date à laquelle X a souhaité clôturer le compte) puis la transformation de ce code en un code "annulation" le 10 avril 2003.
Il ressort des éléments communiqués lors de la mission de contrôle, que l'inscription du requérant au fichier des retraits de carte bancaire le 9 avril 2004 a été faite à tort, aucun incident de paiement effectué au moyen de la carte bancaire du requérant n'ayant été enregistré par la banque.
Cette inscription n'est donc manifestement pas conforme à l'article 6-3° de la loi du 6 janvier 1978 qui dispose qu'un traitement ne peut porter que sur des données à caractère personnel qui sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs, ni à l'article 34 de la loi susvisée, s'agissant en particulier de la communication à des tiers (l'ensemble des établissements de crédit ayant communication des personnes physiques inscrites dans les fichiers de la Banque de France) d'informations erronées.
L'oubli des services de X de déficher le requérant du fichier de la Banque de France le 10 avril 2004 constitue également un manquement à la loi du 6 janvier 1978 modifiée, notamment son article 6 4° qui dispose que les données doivent être "exactes, complètes et, si nécessaire, mises à jour ; les mesures appropriées doivent être prises pour que les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées soient effacées ou rectifiées".
Lors de sa réunion du 13 décembre 2005, les représentants de X ont fait valoir les mesures correctives qui allaient être prises pour l'avenir (mise en place notamment d'un département "conformité"). La Commission considère que ces mesures ne sont néanmoins pas de nature à remettre en cause la proposition du rapporteur.
En conséquence, décide de faire application des dispositions des articles 45 et 46 de la loi du 6 janvier 1978 modifiée et d'adresser un avertissement à la société X, sise [...].
Décide aussi que, conformément aux dispositions de l'article 15 du règlement n° 90-05 relatif au fonctionnement du FICP et de l'article L. 613-21 du Code monétaire et financier, le présent avertissement sera porté à la connaissance de la Commission bancaire et sera rendu public.
 
Le président, 
Alex TURK.
La Commission nationale de l'informatique et des libertés,   Saisie le 30 novembre 2005 par le ministère de la justice du projet de décret pris pour l'application de la loi n° 78-753 du 17 juillet 1978 modifiée par l'ordonnance n° 2005-650 du 6 juin 2005 relative à la liberté d'accès aux documents administratifs et à la réutilisation des informations publiques ;   Vu la convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et notamment son article 11 4°) a) ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Vu la délibération n° 2005-094 du 19 mai 2005 de la Commission nationale de l'informatique et des libertés portant avis sur le projet d'ordonnance relatif à la liberté d'accès aux documents administratifs et à la
réutilisation des informations publiques ;   Après avoir entendu, M Emmanuel de Givry, commissaire, en son rapport et Mme Pascale Compagnie, commissaire du gouvernement, en ses observations ;
Emet l'avis suivant :   Le ministère de la justice a saisi la Commission, conformément aux dispositions de l'article 11. 4° a) de la loi du 6 janvier 1978 modifiée, du projet de décret pris pour l'application de la loi n° 78-753 du 17 juillet 1978 modifiée par l'ordonnance n° 2005-650 du 6 juin 2005 relative à la liberté d'accès aux documents administratifs et à la réutilisation des informations publiques.   La Commission rappelle que l'article 13 de la loi du 17 juillet 1978 modifiée dispose que la réutilisation d'informations publiques comportant des données à caractère personnel est subordonnée au respect des dispositions de la loi du 6 janvier 1978 et que les informations publiques comportant des données à caractère personnel peuvent faire l'objet d'une réutilisation soit lorsque la personne intéressée y a consenti, soit si l'autorité détentrice est en mesure de les rendre anonymes ou, à défaut d'anonymisation, si une disposition législative ou réglementaire le permet.   Sur l'article 40 du projet de décret :   La Commission relève que l'article 40 du projet de décret, issu du titre III, prévoit que "lorsque la réutilisation n'est possible qu'après anonymisation des données à caractère personnel, l'autorité détentrice y procède sous réserve que cette opération n'entraîne pas des efforts disproportionnés".   La Commission prend acte que le rapport au Premier ministre, joint au projet de décret, précise que lorsque l'autorité détentrice du document administratif ne peut
procéder à son anonymisation, "elle doit donc refuser la réutilisation".   La Commission propose donc de compléter l'article 40 du projet de décret par la phrase suivante :  "Dans ce dernier cas, l'autorité détentrice refuse la réutilisation du document".   Sur le procédé d'anonymisation :   La Commission propose que le projet de décret précise que le "procédé d'anonymisation retenu par l'autorité administrative est soumis à la CNIL, conformément à l'article 11 (3°) a) de la loi du 6 janvier 1978".
Sur le consentement :   La Commission souligne que l'article 13 de la loi du 17 juillet 1978 permet une réutilisation possible des informations publiques contenant des données à caractère personnel, notamment, s'il y a eu recueil du consentement de la personne concernée.   Conformément à sa délibération du 19 mai 2005, la Commission rappelle que le recueil préalable du consentement de l'intéressé à la réutilisation de ses informations ne saurait être envisagé que dans la mesure où ce consentement serait réellement libre et éclairé.   La Commission demande que la personne soit précisément informée de l'objet de la réutilisation et des conséquences de son acceptation et souligne que le consentement à la réutilisation des informations personnelles ne saurait être lié à l'attribution d'un droit ou d'une prestation.   Commission considère que le décret devrait être complété par la disposition suivante "Lorsque la réutilisation d'informations publiques contenant des données â caractère personnel est possible après recueil du consentement de la personne, ce consentement, libre et éclairé, doit être recueilli sur une finalité de réutilisation clairement déterminée".   Le Président, Alex TURK.   Guy ROSIER Vice-président Délégué
La Commission nationale de l'informatique et des libertés,   Saisie par le ministère de l'intérieur et de l'aménagement du territoire, le 10 octobre 2005, d'un projet de décret modifiant le décret n° 2004-1266 du 25 novembre 2004 (demande d'avis n° 1127337),   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel,   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données,   Vu le code de l'entrée et du séjour des étrangers et du droit d'asile, notamment son article L. 611-6,   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 27,   Vu le décret n° 2004-1266 du 25 novembre 2004 pris pour l'application de l'article 8-4 de l'ordonnance n° 45-2658 du 2 novembre 1945 relative aux conditions d'entrée et de séjour des étrangers en France et portant création à titre expérimental d'un traitement automatisé des données à caractère personnel relatives aux ressortissants étrangers sollicitant la délivrance d'un visa,   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi du 6 janvier
1978 modifiée par la loi n° 2004-810 du 6 août 2004,   Vu les délibérations de la CNIL n° 2003-015 du 24 avril 2003 et 2004-075 du 5 octobre 2004,   Après avoir entendu M. François Giquel, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :   Le ministère de l'intérieur a saisi la Commission nationale de l'informatique et des libertés du projet de décret modifiant le décret n° 2004-1266 du 25 novembre 2004 pris pour l'application de l'article 8-4 de l'ordonnance n° 45-2658 du 2 novembre 1945 relative aux conditions d'entrée et de séjour des étrangers en France et portant création à titre expérimental d'un traitement automatisé des données à caractère personnel relatives aux ressortissants étrangers sollicitant la délivrance d'un visa (BIODEV).   Afin de tester l'efficacité du dispositif, le ministère estime en effet nécessaire d'expérimenter pendant une durée d'un an quatre nouvelles fonctionnalités qui portent respectivement sur l'extension du champ géographique du dispositif, de nouvelles utilisations de la base de données BIODEV au profit des agents consulaires et des services de police urbaine, la mutualisation des moyens de collecte des données biométriques avec certains Etats parties à la convention de Schengen et enfin, l'extension de la durée de l'expérimentation.
La Commission rappelle en premier lieu que lors de l'avis rendu le 5 octobre 2004 sur le projet de décret portant création du traitement BIODEV, elle avait souligné que la création d'une base centralisée de données biométriques pouvait être admise à titre expérimental dans le cadre envisagé, mais qu'un tel traitement "ne saurait en tout état de cause être pérennisé au-delà de la fin de l'expérimentation sans que la Commission ait été en mesure de connaître les avantages et les inconvénients précis qui auraient été retirés du recours à la base centrale, par comparaison notamment avec l'autre dispositif, tout particulièrement sur le plan de la protection des droits des intéressés au regard du traitement des données biométriques les concernant et sur celui du respect du principe de proportionnalité".   Ainsi, la Commission avait demandé que lui soit adressé tout document, d'étape ou définitif, propre à lui apporter l'information nécessaire, accompagné :   - d'un protocole d'évaluation intégrant la prise en compte des incidents, défaillances techniques graves ou des défaillances dues à une compromission interne ;   - du descriptif des procédures prévues dans l'hypothèse où une personne bénéficiaire d'un visa valide se verrait refuser son entrée en France après comparaison de ses empreintes avec les informations la concernant enregistrées dans le composant associé à son visa ou dans la base expérimentale ;   - d'un bilan des éventuels avantages retirés de l'enregistrement dans
la base centralisée des empreintes des dix doigts des intéressés ;   - d'un bilan concernant les différents composants électroniques testés et les avantages et inconvénients respectifs qu'ils présentent au regard de la finalité du traitement, comparés à ceux d'une base centralisée ;   - d'un rapport d'évaluation de la fiabilité des dispositifs et outils de lecture des empreintes digitales et du contenu du composant électronique associé au visa installés dans les postes frontières.
A l'appui de sa demande d'avis modificative, le ministère de l'intérieur a communiqué à la CNIL deux rapports d'évaluation, le premier traitant de l'expérimentation dans les postes consulaires, le second de celle conduite dans les postes frontières.   Toutefois, la Commission considère que ces rapports d'évaluation, réalisés en juillet 2005, soit moins de quatre mois après le lancement effectif de l'expérimentation BIODEV, le 22 mars 2005, alors seulement que 18.000 visas biométriques avaient été délivrés et 7.500 contrôlés aux postes frontière, ne répondent pas pleinement aux demandes qu'elle avait formulées et ne permettent pas d'apprécier réellement les résultats de l'expérimentation conduite, compte tenu des faibles effectifs concernés et du caractère partiel des évaluations réalisées, s'agissant en particulier de la phase d'enrôlement des empreintes digitales et du recours à la technologie de la carte à puce, testée uniquement sur deux sites (postes consulaires de Bamako et de Colombo).   A cet égard, elle estime indispensable, compte tenu des enjeux importants au regard des principes de protection des données personnelles que revêt le choix de la technologie utilisée, de poursuivre et de développer l'expérimentation des contrôles aux frontières opérés à partir des données biométriques stockées sur une carte à puce afin de pouvoir disposer d'un bilan complet des avantages et inconvénients de cette technique.   Elle rappelle aussi les demandes d'évaluation formulées
lors de son avis précité et considère en particulier qu'une étude approfondie devra être conduite, de façon indépendante et selon une méthodologie précisément définie, sur les modalités de déroulement de la phase d'enrôlement.
- Sur l'extension géographique de l'expérimentation   Le ministère de l'intérieur souhaite élargir le champ géographique de l'expérience à trente-quatre nouveaux postes consulaires (notamment au Maghreb et en Afrique subsaharienne).  Ce sont en particulier les pays sources d'une immigration irrégulière qui seraient concernés par cette deuxième phase afin de "contribuer à une expérience significative des contrôles sur le territoire." Parallèlement, onze postes frontière devraient être nouvellement intégrés dans l'expérimentation (article 7 du projet de décret), couvrant ainsi une grande partie des points d'entrée aériens et maritimes du territoire national.   La Commission observe que cette modification constitue une extension substantielle de l'expérimentation puisque l'application BIODEV 2 devrait désormais concerner près de 44 % des visas délivrés par les autorités françaises.   - Sur la mutualisation de la collecte des données biométriques   Le texte proposé permettrait de mutualiser avec les Etats parties à la convention de Schengen, les moyens de collecte des données biométriques.  Ainsi, des équipements et des fonctionnaires des représentations consulaires d'autres Etats européens pourraient collecter des données alimentant BIODEV, sans pour autant avoir accès à la base de données ni influer sur la procédure de délivrance du visa qui demeure de la responsabilité exclusive du poste consulaire français.   Cette mutualisation des moyens de collecte préfigure le système
européen VIS de gestion des visas, dans le cadre duquel les équipements et les fonctionnaires consulaires d'autres Etats membres de l'espace Schengen devraient pouvoir collecter des données alimentant la base française, puis la base européenne, et réciproquement.   La Commission relève que les autorités consulaires des autres Etats membres ne pourraient qu'alimenter la base de données par liaison sécurisée avec un serveur applicatif "extranet" du centre informatique du ministère des affaires étrangères, mais n'y auraient pas accès.  Des mesures techniques sont également prévues afin d'éviter la constitution de bases de données locales.
- La consultation par les agents consulaires des données biométriques contenues dans la base centrale   Les agents consulaires des postes concernés par l'expérimentation auraient la possibilité de consulter la base de données afin de vérifier si les données qu'ils collectent ne sont pas déjà enregistrées dans l'application.   Les agents des sites pilotes pourraient ainsi interroger, de façon systématique, la base de données centrale de l'expérimentation à partir des empreintes des dix doigts du demandeur dès leur recueil.  En cas de correspondance avec des empreintes digitales déjà présentes dans la base de données, seules la référence du dossier trouvé, l'état civil de la personne et sa photographie seraient envoyés au consulat à l'origine de l'interrogation.   La Commission prend acte de cette nouvelle utilisation qui doit permettre, compte tenu en particulier du manque de fiabilité de certains justificatifs d'états civils présentés, de prévenir ainsi d'éventuelles usurpations d'identité et de détecter plus aisément les demandes multiples.   A cet égard, elle demande à avoir communication au terme de l'expérimentation, d'un bilan chiffré des constatations qui auront été faites à la suite des consultations opérées.   - La consultation par certains services de police urbaine des données biométriques contenues dans la base centrale   Aux termes du projet de décret , afin de faciliter les contrôles opérés par les services de police sur le territoire national, les
destinataires des données à caractère personnel enregistrées dans le traitement seraient, outre les agents consulaires et les agents de la police aux frontières, "les agents individuellement désignés et spécialement habilités des services de la police nationale mentionnés à l'annexe S au présent décret, chargés des missions de vérification d'identité prévues par l'article 78-3 du code de procédure pénale".  Cette liste des services qui "peuvent consulter" les données comprend les circonscriptions de sécurité publique dépendant de l'autorité du préfet de police, du commissariat central de Lille, du commissariat central de Lyon et du commissariat central de Marseille (soit 2600 officiers de police judiciaire).
Selon le rapport au Premier ministre, "certains services chargés de la sécurité publique doivent être associés à l'expérimentation, dans l'hypothèse notamment où ils sont confrontés à la difficulté d'identifier des étrangers en situation irrégulière qui ont perdu ou détruit leurs papiers".   Selon les indications données par le ministère de l'intérieur, la prise d'empreintes digitales pour vérifier la situation d'une personne trouve sa base juridique dans l'article 78-3, quatrième alinéa, du code de procédure pénale, aux termes duquel "Si la personne interpellée maintient son refus de justifier de son identité ou fournit des éléments d'identité manifestement inexacts, les opérations de vérification peuvent donner lieu, après autorisation du procureur de la République ou du juge d'instruction, à la prise d'empreintes digitales ou de photographies lorsque celle-ci constitue l'unique moyen d'établir l'identité de l'intéressé".   Il est ainsi prévu que dans les cas précités, il soit procédé à la prise et à la numérisation des empreintes et des photographies aux fins de rapprochement de la base BIODEV et d'établissement de l'identité de la personne.  Aucun fichier ne serait constitué avec ces données biométriques, et la consultation ne laisserait aucune trace dans l'application BIODEV elle-même.  Il s'agirait donc pour les services de police chargés de la sécurité publique d'opérer "une consultation ponctuelle, à sens unique et sans traçabilité".  Les vérifications d'identité
envisagées à partir de la base BIODEV seraient uniquement réalisées par des officiers de police judiciaire spécialement habilités.
La Commission considère que si la légitimité de la lutte contre l'immigration irrégulière et la volonté de mieux établir l'identité des ressortissants étrangers en situation irrégulière en France ne sont pas contestables, le développement de cette finalité dans le cadre de l'expérimentation BIODEV II doit respecter les principes de protection des données à caractère personnel, et en particulier le principe d'une finalité non seulement légitime mais explicite et déterminée, et le principe de proportionnalité.   Se référant notamment aux avis qu'elle a rendus les 24 avril 2003 et 5 octobre 2004, la Commission rappelle que le traitement, sous une forme automatisée et centralisée, de données biométriques telles que les empreintes digitales, compte tenu à la fois des caractéristiques de l'élément d'identification physique retenu, des usages possibles de ces traitements et des risques d'atteintes graves à la vie privée et aux libertés individuelles en résultant, ne peut être admis que dans la mesure où des exigences impérieuses en matière de sécurité ou d'ordre public le justifient.   Un tel traitement doit en tout état de cause respecter les principes qui, consacrés par l'article 8 de la Charte des droits fondamentaux de l'Union européenne et énoncés par la directive du 24 octobre 1995 et l'article 6 de la loi du 6 janvier 1978 modifiée, instituent une protection des droits des personnes à l'égard du traitement automatisé de leurs données à caractère personnel.  Au titre de
ces principes, les données à caractère personnel ne peuvent être traitées que pour des finalités déterminées, explicites et légitimes et doivent être adéquates, pertinentes et non excessives au regard de ces finalités.  La Commission doit notamment apprécier, au regard de la finalité déclarée des traitements qui lui sont soumis, la proportionnalité des moyens utilisés ainsi que la pertinence des différents éléments de ces traitements.   S'agissant de BIODEV I qui avait pour finalité, selon l'article 1er, de "mieux garantir le droit au séjour des personnes en situation régulière et de lutter contre l'entrée et le séjour irrégulier des étrangers en France, en prévenant les fraudes documentaires et les usurpations d'identité et en améliorant la vérification de l'authenticité des visas ainsi que de l'identité des étrangers lors des contrôles aux frontières", la Commission a considéré en octobre 2004 que "le recours à un dispositif reposant sur la comparaison des empreintes digitales du détenteur du visa avec celles enregistrées dans le composant électronique associé au visa, pour s'assurer que la personne qui présente un visa est bien la personne à qui il a été délivré, est adéquat, pertinent et non excessif, dès lors que des précautions particulières sont adoptées lors de l'enrôlement dans les postes consulaires des données biométriques et que des mesures de sécurité spécifiques sont prises pour garantir la confidentialité des données, tout particulièrement contre les risques