AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés, Saisie pour avis le 1er octobre 2004 par le ministère de l'Intérieur du projet de décret en Conseil d'Etat prévu par l'article L. 211-7 du code de l'entrée et du séjour des étrangers et du droit d'asile et relatif aux modalités de mise en oeuvre par les maires, agissant en leur qualité d'agents de l'Etat, d'un traitement automatisé de données à caractère personnel relatif aux demandes de validation des attestations d'accueil ;   Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la convention du 19 juin 1990 d'application de l'Accord entre les gouvernements des Etats de l'union économique Benelux, de la République fédérale d'Allemagne et de la République française relatif à la suppression graduelle des contrôles aux frontières communes, fait à Schengen 1e 14 juin 1985 ;   Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu le code de l'entrée et du séjour des étrangers et du droit d'asile, notamment ses articles L. 211-1 à L. 211-10 ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des
personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 26 ;   Vu le décret n° 82-442 du 27 mai 1982 modifié pris pour l'application des articles 5, 5-1 et 5-3 de l'ordonnance du 2 novembre 1945 modifiée relative aux conditions d'entrée et de séjour des étrangers en France, en ce qui concerne l'admission sur le territoire français, et notamment son article 2-1 ;   Vu l'arrêté du 14 décembre 2004 définissant le modèle du formulaire "attestation d'accueil" ;   Après avoir entendu M. François Giquel, commissaire, en son rapport, et Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations ;
Emet l'avis suivant   Le ministère de l'Intérieur a, conformément à l'article L. 211-7 du code de l'entrée et du séjour des étrangers et du droit d'asile saisi la Commission du projet de décret en Conseil d'Etat relatif aux modalités de mise en oeuvre par les maires, agissant en leur qualité d'agents de l'Etat, d'un traitement automatisé de données à caractère personnel relatif aux demandes de validation des attestations d'accueil.   Le projet de décret constitue également l'acte réglementaire unique prévu par l'article 26-IV de la loi du 6 janvier 1978 modifiée qui dispose que les traitements qui répondent à une même finalité, portent sur des catégories de données identiques et ont les mêmes destinataires ou catégories de destinataires peuvent être autorisés par un acte réglementaire unique.   L'article L. 211-7 du code précité prévoit notamment que le décret d'application doit préciser la durée de conservation et les conditions de mise à jour des informations enregistrées, les modalités d'habilitation des personnes qui seront amenées à consulter ces fichiers ainsi que, le cas échéant, les conditions dans lesquelles les personnes intéressées peuvent exercer leur droit d'accès.   Les dispositions de ce projet de décret, ainsi que les autres caractéristiques du traitement qu'il crée, doivent être appréciées au regard des textes applicables à la matière et de la finalité des traitements projetés qui est, aux termes de l'article L. 211-7 du code précité, de lutter contre les
détournements de procédure.
Sur les destinataires et les modalités de leur habilitation :   S'agissant des modalités d'habilitation des personnels destinataires des données, la Commission prend acte qu'aux termes de l'article 4 du projet de décret, seuls les personnels des préfectures qui auront été individuellement désignés et spécialement habilités à cette fin pourront accéder aux informations enregistrées dans les traitements qui seront mis en oeuvre par les communes du département, pour les recours relatifs à des attestations d'accueil et, pour l'exercice du pouvoir hiérarchique du préfet, en tant que celui-ci implique l'accès aux mêmes informations que celles détenues par les maires.   S'agissant des modalités d'habilitation des personnels communaux susceptibles d'avoir accès à ces traitements, l'article 8 du projet de décret indique qu'elles seront décrites dans les déclarations que les maires seront amenés à effectuer auprès de la CNIL. La Commission estime nécessaire de modifier ces dispositions afin d'indiquer que, conformément aux dispositions de l'article 26-IV de la loi modifiée, les engagements de conformité qui seront effectués par les maires devront comporter, outre le lieu exact d'implantation du traitement et les modalités d'exercice du droit d'accès, l'engagement spécifique du maire qu'ont été mises en place des mesures de sécurité et de confidentialité des données et des modalités d'habilitation et de désignation des personnels communaux ayant accès au fichier. A cet effet, une
liste nominative des personnes ainsi habilitées devra être établie et mise à jour par le maire et tenue à la disposition de la CNIL.   Sur la durée de conservation des informations traitées :   S'agissant de la durée de conservation des informations collectées et traitées par les mairies, l'article 3 du projet de décret prévoit que les données seront conservées cinq années à compter de la date de validation ou de refus de l'attestation d'accueil par le maire. Le choix de cette durée n'est justifié que par la mise en oeuvre, dans le futur, de la base européenne des visas VIS qui a une portée et une finalité différentes et à laquelle les applications ne seront, aux termes de l'article 7 du projet de décret, ni interconnectées, ni mises en relation quand bien même certaines données à caractère personnel, notamment celles concernant l'hébergeant, pourraient être communes aux deux types de traitements.   La Commission considère en conséquence que la durée de conservation arrêtée en l'espèce est excessive au regard de la finalité du traitement rappelée ci-dessus et demande qu'elle soit réduite à deux années à compter de la validation ou de refus de validation de l'attestation d'accueil par le maire, ce délai, qui laisse à chaque maire vingt-quatre mois en cas de refus ou vingt et un mois en cas de validation, apparaissant suffisant pour détecter un éventuel détournement de procédure.
Sur la mise à jour des données :   Sur la définition des conditions de mise à jour, la Commission prend acte de ce que l'article 5 du projet de décret a été modifié afin de prévoir que les informations traitées seront effacées avant leur durée de conservation maximale sur support informatique en cas de décès ou de déménagement de l'hébergeant.   Sur les données collectées   En ce qui concerne les données à caractère personnel collectées, l'article 2 du projet de décret prévoit l'enregistrement d'informations concernant la personne hébergée, l'hébergeant et le logement de ce dernier. La collecte de ces informations, dont le recueil est prévu, pour la plupart d'entre elles, par l'article 2-1 du décret du 27 mai 1982 modifié, apparaît justifiée au regard de la finalité du modèle de traitement.   S'agissant de l'hébergé, le projet de décret prévoit la collecte de la suite donnée par l'autorité consulaire à la demande de visa formulée sur la base de l'attestation d'accueil validée ; les maires concernés seraient uniquement rendus destinataires de la suite réservée à la demande de visa, qu'elle soit positive ou négative, sans en connaître les motifs ; bien que la collecte de cette donnée ne résulte ni de la loi, ni des dispositions de l'article 2-1 du décret précité, la Commission considère qu'elle est pertinente au regard de la finalité du traitement dans la mesure où elle complète l'information des maires.   La Commission considère en revanche que la pertinence de la collecte
des données relatives aux ressources de l'hébergeant, qui n'est prévue expressément ni par la loi, ni par la disposition réglementaire précitée, et qui ne correspond à aucune rubrique du formulaire d'attestation d'accueil, n'est pas justifiée au regard de la finalité du modèle de traitement envisagé ; que la prise en compte des ressources de l'hébergeant peut être effectuée de façon suffisamment efficace, conformément à l'article 2-1 du décret précité, lors du dépôt de la demande d'attestation par la présentation des justificatifs correspondants ; qu'en outre cette information, une fois collectée et enregistrée, est susceptible d'être utilisée à d'autres fins.   Elle demande en conséquence que l'article 2 du projet de décret soit modifié afin de ne pas permettre la collecte de cette information.
Sur les modalités d'information des intéressés :   S'agissant des mesures d'information, la Commission prend acte qu'il sera demandé aux maires de remettre à chaque hébergeant une notice d'information portant les mentions prévues par l'article 32 de la loi du 6 janvier 1978 modifiée qui énumère la nature des éléments caractérisant le traitement qui doivent être portés à la connaissance de celui-ci, à savoir l'identité du responsable du responsable du traitement, la finalité poursuivie par le traitement, le caractère obligatoire ou facultatif des réponses de l'intéressé et le rappel à ce dernier de l'existence de ses droits d'accès, de rectification et d'effacement, à charge pour lui de retransmettre lesdites informations à la personne hébergée.   Il apparaît toutefois nécessaire de compléter la mention d'information imprimée sur le modèle de formulaire "attestation d'accueil" afin qu'elle soit conforme aux dispositions de l'article 32 précité et de la mettre en conformité avec l'article 5 du projet de décret qui précise le lieu d'exercice du droit d'accès.   En application de l'article de l'article 38 de la loi du 6 janvier 1978, le ministère de l'Intérieur a écarté la possibilité pour les intéressés de s'opposer à la collecte d'informations les concernant.   Le président, Alex TURK.   Guy ROSIER Vice-président Délégué
La Commission nationale de l'informatique et des libertés,   Saisie le 25 mars 2005 par le secrétariat général du Gouvernement d'une demande d'avis sur le projet d'ordonnance relatif au service public du changement d'adresse, sur le projet de décret pris en application de l'ordonnance et sur le projet d'arrêté pris en application du décret et constituant également l'acte réglementaire créant le traitement de données à caractère personnel ;   Saisie également d'un dossier de formalités préalables portant sur le projet de téléservice correspondant au projet d'arrêté ;   Vu la convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 27-II (4°) ;   Après avoir entendu Mme Isabelle Falque-Pierrotin, commissaire, en son rapport et Mme Catherine Pozzo di Borgo, commissaire adjoint du Gouvernement, en ses observations,   Emet les avis suivants :
Sur le projet d'arrêté :   Sur l'article 1er :   L'article 1er du projet d'arrêté dispose que le traitement de données à caractère personnel créé pour le service du changement d'adresse est mis en oeuvre par l'Agence de développement de l'administration électronique (ADAE). Dans un souci de cohérence de la rédaction du projet d'arrêté avec le projet d'ordonnance et avec le projet de décret, la commission souhaite que la mention "téléservice" ainsi que la mention du "caractère facultatif" de ce service figurent à l'article 1er du projet d'arrêté.   Sur l'article 2 :   L'article 2 du projet d'arrêté précise la finalité du traitement de données à caractère personnel.   La commission considère que la finalité statistique doit être ajoutée à l'article 2 du projet d'arrêté créant le traitement.   Sur l'article 3 :   L'article 3 du projet d'arrêté fixe les informations qui seront recueillies par le téléservice du changement d'adresse.   La commission souligne la nécessité de faire figurer à l'alinéa 3 du projet d'arrêté les mentions selon lesquelles les organismes partenaires du téléservice ne peuvent demander des informations complémentaires que "lorsqu'ils sont habilités par voie législative ou réglementaire à recueillir ces informations". Elle rappelle que seules les informations complémentaires indispensables au changement d'adresse doivent être recueillies. Elle propose également l'ajout à l'alinéa 3 de la formulation : "des informations strictement nécessaires à la prise
en compte du changement d'adresse peuvent être, le cas échéant, enregistrées par le traitement".   La commission rappelle que, conformément à l'article 6 (3°) de la loi du 6 janvier 1978 modifiée, les données doivent être adéquates et pertinentes au regard des finalités pour lesquelles elles sont collectées. Elle estime, en conséquence, que l'alinéa 3 du projet d'article 3 doit être modifié afin que soit précisée pour chaque destinataire la liste des informations qu'il est habilité à obtenir.   La commission estime, par ailleurs, que l'indication du changement de situation familiale doit être ajoutée à l'arrêté.   Sur l'article 5   La commission relève que l'article 5 du projet d'arrêté, qui fait mention du droit d'accès prévu par la loi du 6 janvier 1978, devrait être complété des indications relatives au droit de rectification et de suppression des données concernant l'usager du téléservice.
Sur le projet de traitement de données à caractère personnel :   Sur l'authentification de l'usager :   L'authentification de l'usager sera assurée par la saisie d'un numéro de dossier et d'un mot de passe. La commission souligne les risques forts d'utilisation détournée du service inhérents à ce procédé d'authentification de faible niveau. Elle demande qu'un bilan de l'utilisation de ce niveau d'authentification soit établi à bref délai. Elle estime, en conséquence, qu'un dispositif d'authentification renforcé, par exemple, par un système de certificat électronique ou de signature électronique doit être mis en place lors de la prochaine évolution du dispositif.   Sur la possibilité d'effectuer un changement d'adresse pour une tierce personne :   La commission relève que les modalités prévues de fonctionnement du service comportent le risque d'inscription de tierces personnes à leur insu. Elle estime que le site internet devrait comporter un avertissement précisant que l'accord des tierces personnes doit être préalablement obtenu et qu'un mineur ne peut effectuer un changement d'adresse dans la mesure où il est légalement rattaché au domicile de ses parents.   Sur le référentiel géopostal :   Le traitement prévoit l'utilisation d'un référentiel géopostal destiné à éviter l'indication d'adresses inconnues des services postaux. La commission recommande que l'utilisation de ce référentiel figure dans les projets de décret et d'arrêté susvisés et qu'il soit précisé que ce
référentiel n'est pas alimenté par les informations recueillies par le service public du changement d'adresse.   Fait à Paris, le 30 mars 2005.   Le président, A. TURK.
La Commission nationale de l'informatique et des libertés,   Saisie le 28 janvier 2005 d'une déclaration d'un traitement automatisé de données à caractère personnel ayant pour finalité la lutte anti-blanchiment ;   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25 ;   Vu le rapport d'étape adopté en séance plénière le 7 octobre 2003 relatif à la lutte contre le blanchiment d'argent et le financement du terrorisme au sein des organismes financiers ;   Après avoir entendu M. Philippe Nogrix, Commissaire, en son rapport, et Mme Charlotte-Marie Pitrat, Commissaire du Gouvernement en ses observations.
Formule les observations suivantes :   La Banque Martin Maurel a déposé auprès de la CNIL un dossier relatif à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité la lutte anti-blanchiment dont les modalités de mise en oeuvre sont conformes aux recommandations figurant dans le rapport d'étape adopté en séance plénière le 7 octobre 2003 relatif à la lutte contre le blanchiment d'argent et le financement du terrorisme au sein des organismes financiers.   La Commission considère qu'il y a lieu de faire application des nouvelles dispositions applicables en matière de formalités préalables, en particulier de l'article 25, 4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire.
Autorise la Banque Martin Maurel à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité la lutte anti-blanchiment.   Le droit d'accès défini au chapitre VII de la loi s'exerce auprès du service de l'inspection de la banque, 37 rue Paradis à Marseille (13006).   Les catégories de données à caractère personnel enregistrées sont relatives à l'identité ainsi qu'à la situation économique et financière des clients.   Les destinataires des informations sont les personnels habilités de la Banque Martin Maurel et la cellule Tracfin.   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex Türk, président ;
Etant aussi présents M. Guy Rosier, vice-président délégué, M. François Giquel, vice-président, Mlle Anne Debet, membre, M. Bernard Peyrat, membre ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, dans sa rédaction antérieure à la loi du 6 août 2004 ;
Vu la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978;
Vu les articles L. 131-85 et L. 613-21 du Code monétaire et financier ;
Vu le décret n° 92-456 du 22 mai 1992 pris pour l'application du décret du 30 octobre 1935 modifié par la loi n° 91-1382 du 30 décembre 1991 et relatif au refus de paiement des chèques et à l'interdiction d'émettre des chèques ;
Vu la délibération de la Commission nationale de l'informatique et des libertés n° 87-25 du 10 février 1987 modifiée par la délibération n° 2004-098 du 9 décembre 2004 fixant le règlement intérieur de la CNIL ;
Vu les saisines n° 04008559 du 24 mai 2004 et n° 04010894 du 1er juillet 2004 ;
Vu les courriers adressés ou reçus par la CNIL des 24 mai 2004, 1er juillet 2004, 29 octobre 2004 annexés au rapport ;
Vu le rapport de M. Philippe Nogrix, Commissaire, notifié le 15 mars 2005 à X, et les observations en réponse reçues le 30 mars 2005 ;
Après avoir entendu, lors de la réunion du 31 mars 2005, M. Philippe Nogrix, Commissaire, en son rapport et les observations orales de M. A, Directeur général de X, celui-ci ayant pris la parole en dernier ;
Constate les faits suivants :
La CNIL a été saisie de deux plaintes relatives aux conditions d'utilisation, par X, du Fichier Central des Chèques (FCC) géré par la Banque de France.
Les plaignants ont été inscrits au FCC en 2002 par X en raison de chèques restés impayés.
Alors que Monsieur B a remboursé la totalité de ses dettes fin septembre 2003, il est resté inscrit au FCC jusqu'à fin juillet 2004, soit 10 mois après ses premières demandes.
De même, Madame C a remboursé sa dette en avril 2004, mais sa radiation n'est intervenue que fin juin 2004, soit 2 mois après ses premières demandes.
Or, l'article 18 du décret n° 92-456 du 22 mai 1992 pris pour l'application de la loi du 30 décembre 1991 relatif au refus du paiement des chèques et à l'interdiction d'émettre des chèques impose un délai très bref aux banques pour procéder à la radiation après régularisation. Il prévoit que "le tiré avise la Banque de France de la régularisation au plus tard le deuxième jour ouvré suivant la justification".
X n'a donc pas respecté les règles de mise en oeuvre du FCC prévues par le décret n° 92-456 précité.
En outre, l'article 37 de la loi du 6 janvier 1978 (art. 6-4° et 40 de la loi nouvelle) prévoit qu'"un fichier nominatif doit être corrigé même d'office lorsque l'organisme qui le tient acquiert connaissance de l'inexactitude d'une information nominative contenue dans ce fichier" et l'article 38 de la loi dispose (art. 40 de la loi nouvelle) que "si une information a été transmise à un tiers, son annulation doit être notifiée à ce tiers".
Interrogée dans ces dossiers, X s'est bornée dans un premier temps à indiquer que les plaignants auraient subi un "incident lors de la migration informatique" sans pour autant fournir d'explications sur l'origine et la nature exactes du dysfonctionnement.
Dans ses observations formulées par courrier du 30 mars 2005, X a fait valoir que les manquements aux dispositions de la loi "Informatique et Libertés" du 6 janvier 1978 et du règlement n° 90-05 du 11 avril 1990 du Comité de la réglementation bancaire relatif au FICP s'expliquent par une situation ponctuelle due aux difficultés techniques rencontrées dans la migration de systèmes informatiques lors de la fusion de Y et de Z. En revanche, X n'apporte aucune précision sur la nature d'éventuelles mesures techniques prises pour remédier à ces situations.
Relève néanmoins que X a méconnu les dispositions du décret n° 92-456 relatif au FCC précité et n'apporte pas d'éléments suffisants permettant de justifier les dysfonctionnements, ni de garanties satisfaisantes pour que de tels faits ne se reproduisent pas.
La gravité des faits, les conséquences préjudiciables pour les personnes inscrites à tort au FCC ainsi que les délais tardifs dans les défichages de ses clients justifient dès lors le prononcé d'une sanction.
En conséquence, décide de faire application des dispositions des articles 45 et 46 de la loi du 6 janvier 1978 modifiée et d'adresser un avertissement à X, située [...] et de le rendre public ;
Décide aussi que, conformément aux dispositions de l'article L. 613-21 du Code monétaire et financier, le présent avertissement sera porté à la connaissance de la Commission bancaire.
Le Président, 
Alex Türk.