AgentPublic/cnil huggingface dataset:
Sur les données traitées
Les catégories de données traitées sont relatives : - à l’identité des collaborateurs concernés : nom, prénom, identifiant BNP PARIBAS, poste type, entité (agence, groupe, direction régionale) ;- à l’identité des clients auteurs de l’incivilité : nom et prénom(s) ;- aux incivilités et aux suites données : date, nature, descriptif, accompagnement proposé au collaborateur victime, mesures prises à l’encontre du client auteur de l’incivilité.La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente, adéquate et non excessive au sens de l'article 6 de la loi du 6 janvier 1978 modifiée. 
Sur les destinataires 
Les personnes destinataires du traitement sont :- le responsable hiérarchique du collaborateur,- le responsable des Ressources Humaines du collaborateur,- le responsable des Ressources Humaines et le conseiller de gestion de la Direction Régionale,- le responsable des Ressources Humaines de la banque de détail en France,- les responsables des « Relations sociales », qui accèdent aux informations pour réaliser un rapport statistique, remis aux Partenaires sociaux (Association Française des banques).La  liste de ces destinataires n'appelle pas d'observation particulière. 
Sur l’information et le droit d’accès
Les données personnelles contenues dans l’outil de gestion des incivilités commerciales sont conservées un an. Au terme de ce délai, elles sont anonymisées. Les données relatives à l’évènement sont conservées une année supplémentaire pour permettre la réalisation de statistiques anonymisées sur une période de 2 ans à compter de la date de l’incident. La Commission considère que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.En cas de rupture de la relation commerciale avec le client auteur de l’incivilité, les circonstances de la rupture ne sont pas connues du réseau des agences de BNP PARIBAS. En conséquence, il est possible pour le client de reprendre une relation commerciale auprès d’une autre agence du réseau. La banque BNP PARIBAS a signé en 2006 un accord à durée indéterminée avec l’Association Française des Banques  relatif aux phénomènes des incivilités et violences à l’occasion des relations commerciales avec la clientèle. Cet accord définit les incivilités, identifie les mesures de prévention, décrit le dispositif d’assistance vis-à-vis des salariés victimes, et rappelle aux entreprises bancaires l’importance d’évaluer ces incivilités.Ces autres caractéristiques du traitement n’appellent pas d’observation particulière de la Commission.
Abroge la délibération n° 2013-11 du 10 janvier 2013 autorisant la mise en œuvre par la Banque Nationale de Paris PARIBAS d’un traitement de données à caractère personnel ayant pour finalité la gestion des incivilités ;
Autorise, conformément à la présente délibération, la Banque Nationale de Paris PARIBAS, à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1635928)
La Commission nationale de l’informatique et des libertés ; 
Saisie par la société Kinougarde d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre pour les clients débiteurs d’une liste d’exclusion du bénéfice d’une prestation  ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I°4) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Monsieur Bernard PEYRAT, commissaire et après avoir entendu les observations de  Monsieur Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Kinougarde est une société prestataire de mise à disposition de garde d’enfants à domicile (enfants de plus de trois ans).
Sur la finalité
Le présent traitement a pour finalité la mise en œuvre pour les clients débiteurs d’une liste d’exclusion du bénéfice d’une prestation .Les personnes inscrites sur la liste d’exclusion détenue par la société Kinougarde sont les clients débiteurs d’une prestation non payée.La Commission prend acte que le traitement de données à caractère personnel de la société Kinougarde n’est pas mutualisé avec d’autres traitements.La Commission considère la finalité poursuivie comme déterminée, légitime et explicite.La Commission estime qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire.
Sur les données traitées
Les catégories de données à caractère personnel enregistrées sont relatives :
à l’identité des personnes (nom et prénom) ;
à leur adresse postale ;
aux incidents de paiements.
Ces données apparaissent pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont, dans le cadre de leurs attributions respectives, les personnes habilitées du service gestion et conseil en charge du client.Cette liste de destinataires n’appelle pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées sur la possibilité d’être inscrites sur la liste d’exclusion dans les conditions générales de service (CGS) et sur le site internet de la société.Les personnes concernées seront informées par courrier postal (première lettre de relance) des conséquences d’une absence de paiement au moins 15 jours avant l’inscription. Les personnes faisant l’objet d’une inscription sur la liste d’exclusion seront informées par courrier postal de cette inscription. En cas de créances non contestées, les personnes seront inscrites dans le fichier d’exclusion et en seront informées.Les droits d’accès et de rectification s’exercent auprès de la société Kinougarde, 38 rue Blomet – 75015 ParisCes modalités d’information et d’exercice des droits des personnes apparaissent suffisantes.
Sur les mesures de sécurité
Seules les personnes habilitées ont accès au traitement automatisé de données à caractère personnel. Ces habilitations se font par mot de passe personnel et selon le service ou le poste du salarié concerné. Une fonctionnalité de journalisation des opérations de consultation, de modification ou de création permet d’identifier  l’utilisateur à l’origine d’une opération, et ce, pour être en mesure de détecter a posteriori d’éventuelles opérations frauduleuses ou non souhaitées. Les données de traçabilité sont conservées pendant six mois dans des conditions permettant de garantir leur intégrité et leur confidentialité.Ces mesures de sécurité apparaissent satisfaisantes au regard des dispositions de l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les personnes inscrites sur la liste d’exclusion ne peuvent, sauf régularisation de leur impayé, bénéficier des prestations de la société Kinougarde pendant une durée de cinq ans à compter de leur inscription.Les données seront supprimées dès régularisation, ou à défaut, à l’expiration du délai de cinq ans.Cette durée de conservation apparaît pertinente au regard de la finalité poursuivie par le traitement. 
Autorise, conformément à la présente délibération, la société Kinougarde à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1635951)
La Commission nationale de l’informatique et des libertés ; 
Saisie par la société SFEF d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre pour les clients débiteurs d’une liste d’exclusion du bénéfice d’une prestation  ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I°4) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Bernard PEYRAT, commissaire et après avoir entendu les observations de  M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
SFEF est une société prestataire de stages en petits groupes pendant les vacances scolaires.
Sur la finalité
Le présent traitement a pour finalité la mise en œuvre pour les clients débiteurs d’une liste d’exclusion du bénéfice d’une prestation Les personnes inscrites sur la liste d’exclusion détenue par la société SFEF sont les clients débiteurs d’une prestation non payée.La Commission considère la finalité poursuivie comme déterminée, légitime et explicite.La Commission prend acte que le traitement de données à caractère personnel de la société SFEF n’est pas mutualisé avec d’autres traitements.La Commission estime qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire.
Sur les données traitées
Les catégories de données à caractère personnel enregistrées sont relatives :
à l’identité des personnes (nom et prénom) ;
à leur adresse postale ;
aux incidents de paiements.
Ces données apparaissent pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont, dans le cadre de leurs attributions respectives, les personnes habilitées du service gestion et conseil en charge du client.Cette liste de destinataires n’appelle pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées sur la possibilité d’être inscrites sur la liste d’exclusion dans les conditions générales de service (CGS) et sur le site internet de la société.Les personnes concernées seront informées par courrier postal (première lettre de relance) des conséquences d’une absence de paiement au moins 15 jours avant l’inscription. Les personnes faisant l’objet d’une inscription sur la liste d’exclusion seront informées par courrier postal de cette inscription. En cas de créances non contestées, les personnes seront inscrites sur dans le fichier d’exclusion et en seront informées.Les droits d’accès et de rectification s’exercent auprès de la société SFEF, 69 rue Lecourbe – 75015 ParisCes modalités d’information et d’exercice des droits des personnes apparaissent suffisantes.
Sur les mesures de sécurité
Seules les personnes habilitées ont accès au traitement automatisé de données à caractère personnel. Ces habilitations se font par mot de passe personnel et selon le service ou le poste du salarié concerné. Une fonctionnalité de journalisation des opérations de consultation, de modification ou de création permet d’identifier  l’utilisateur à l’origine d’une opération, et ce, pour être en mesure de détecter a posteriori d’éventuelles opérations frauduleuses ou non souhaitées. Les données de traçabilité sont conservées pendant six mois dans des conditions permettant de garantir leur intégrité et leur confidentialité. Ces mesures de sécurité apparaissent satisfaisantes au regard des dispositions de l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les personnes inscrites sur la liste d’exclusion ne peuvent, sauf régularisation de leur impayé, bénéficier des prestations de la société SFEF pendant une durée de cinq ans à compter de leur inscription.Les données seront supprimées dès régularisation, ou à défaut, à l’expiration du délai de cinq ans.Cette durée de conservation apparaît pertinente au regard de la finalité poursuivie par le traitement. 
Autorise, conformément à la présente délibération, la société SFEF à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis sur un projet d'arrêté portant autorisation d'un traitement automatisé de données à caractère personnel dénommé  gestion informatisée des procédures d'immigration  (GIPI) ; 
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l'entrée et du séjour des étrangers et du droit d'asile, notamment ses articles L. 211-1, L. 213-3, L. 611-3, L. 611-5 et L. 625-1 ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2007-1136 du 25 juillet 2007 portant création d'un traitement automatisé de données à caractère personnel des ressortissants étrangers qui, ayant été contrôlés à l'occasion du franchissement de la frontière, ne remplissent pas les conditions d'entrée requises et modifiant la partie réglementaire du code de l'entrée et du séjour des étrangers et du droit d'asile ;
Vu le décret n° 2009-1483 du 1er décembre 2009 relatif au traitement automatisé de données à caractère personnel des ressortissants étrangers qui, ayant été contrôlés à l'occasion du franchissement de la frontière, ne remplissent pas les conditions d'entrée requises ;
Après avoir entendu M. Sébastien HUYGHE, commissaire, en son rapport, et Mme POZZO-DI-BORGO, commissaire du gouvernement, en ses observations ;
Emet l'avis suivant :
La Commission a été saisie par le ministre de l'intérieur d'une demande d'avis sur un projet d'arrêté portant autorisation d'un traitement automatisé de données à caractère personnel dénommé  gestion informatisée des procédures d'immigration  (GIPI).
Ce projet d'arrêté porte création d'un traitement automatisé de données à caractère personnel des ressortissants étrangers qui, ayant été contrôlés à l'occasion du franchissement de la frontière, ne respectent pas les conditions d'entrée sur le territoire national.
Le traitement GIPI, mis en œuvre par la Direction centrale de la police aux frontières (DCPAF), succède au Fichier des Non Admis (FNAD). Ce dernier a été créé à titre expérimental, pour une durée de deux ans, par le décret n° 2007-1136 du 25 juillet 2007, pris après l'avis de la Commission en date du 18 janvier 2007, et a été prorogé pour quatre années supplémentaires par le décret n° 2009-1483 du 1er décembre 2009, sur lequel la Commission s'est prononcé le 23 juillet 2009. Contrairement au FNAD expérimenté à l'aéroport Roissy-Charles-de-Gaulle, le traitement GIPI sera mis en œuvre sur l'ensemble du territoire.
Dans ces différents avis, la Commission avait rappelé la nécessité de procéder à l'évaluation de l'expérimentation du FNAD. En effet, l'adéquation des moyens utilisés au regard de la finalité du traitement soulevant certaines interrogations, il apparaissait nécessaire que l'expérimentation du traitement permette de mieux cerner les objectifs poursuivis et la pertinence des données recueillies, tout particulièrement des données biométriques.
A cet égard, la Commission relève que le ministère de l'intérieur a procédé à une telle évaluation et que le bilan des expérimentations du FNAD lui a été communiqué. Ce bilan a conduit à la non-pérennisation du FNAD dont la plus-value n'a pas été jugée significative, notamment en raison de la généralisation de la délivrance des visas biométriques (traitement VISABIO). En revanche, le bilan a conclu à la nécessité de conserver le module de gestion administrative des procédures de non-admission des ressortissants étrangers sur le territoire, qui constitue précisément l'objet du traitement GIPI. 
Contrairement au FNAD, le traitement GIPI ne comportera donc pas, parmi les données à caractère personnel enregistrées, les images numérisées de la photographie et des empreintes digitales des dix doigts des personnes non admises.
Dans ces conditions, la Commission estime qu'il n'y a pas lieu de faire application des dispositions des articles L. 611-3 et L. 611-5 du code de l'entrée et du séjour des étrangers et du droit d'asile (CESEDA), qui prévoient que le traitement des empreintes digitales et de la photographie des personnes qui ne remplissent pas les conditions d'entrée en France doit être autorisé par décret en Conseil d'Etat pris après avis de la Commission.
En revanche, dans la mesure où le traitement GIPI intéresse la sécurité publique, il y a lieu de faire application des dispositions de l'article 26-I-1° de la loi du 6 janvier 1978 modifiée. Le traitement GIPI doit donc être autorisé par arrêté ministériel pris après avis de la Commission.
Sur les finalités du traitement projeté
Aux termes de l'article 1er du projet de arrêté, les finalités du traitement sont, d'une part, de  faciliter la gestion des procédures de non-admission des étrangers qui ne remplissent pas les conditions d'entrée dans l'espace de libre circulation des personnes entre les Etats signataires de l'accord Schengen signé le 14 juin 1985 modifié par le traité d'Amsterdam du 2 octobre 1997 et le traité de Lisbonne du 13 décembre 2007  et, d'autre part, de gérer les amendes infligées aux entreprises de transport.
En ce qui concerne la première finalité, déjà poursuivie par le traitement FNAD, il s'agit de permettre une gestion simplifiée et plus efficace de l'ensemble des procédures administratives prévues dans le CESEDA qui peuvent être mises en œuvre à l'égard des personnes ne remplissant pas les conditions d'entrée en France. Ces personnes peuvent en effet faire l'objet d'une procédure de refus d'entrée (L. 213-1), de non-admission (L. 213-3), mais également d'une procédure d'asile à la frontière (L. 213-9), d'une mesure d'éloignement, d'une procédure de maintien en zone d'attente (L.221-1), etc. Ces procédures conduisent à la rédaction, par les agents de la DCPAF, de nombreux actes qui nécessitent la mise en place d'un outil informatisé permettant de faciliter et de fiabiliser ces démarches en assurant la traçabilité de chaque dossier.
La gestion du suivi des amendes constitue en revanche une nouvelle finalité par rapport aux finalités assignées au traitement FNAD. La Commission rappelle à cet égard que l'article L. 625-1 du CESEDA prévoit que les entreprises qui débarquent sur le territoire français un étranger non ressortissant d'un Etat de l'Union européenne démuni de visa ou de document de voyage sont en effet passibles d'une amende. Il est donc prévu que le traitement GIPI permette de faciliter la procédure relative aux pénalités infligées aux compagnies aériennes ainsi que la gestion des frais d'hébergement.
La Commission considère que les deux finalités assignées au traitement GIPI sont déterminées, explicites et légitimes, conformément aux dispositions de l'article 6-2° de la loi du 6 janvier 1978 modifiée. 
Si aucune finalité statistique ne figure dans le projet d'arrêté, la Commission relève enfin que le traitement GIPI comporte une base statistique dénommée  infocentre  permettant de produire des statistiques. Cette base est constituée à partir d'une copie de la base GIPI qui est par la suite anonymisée. 
Sur les données collectées
A titre liminaire, la Commission souligne que le traitement GIPI ne comporte pas de données biométriques. A cet égard, elle rappelle que dans ses avis du 18 janvier 2007 et du 23 juillet 2009, elle avait relevé que l'enregistrement de données biométriques dans le FNAD ne permettait l'identification des nouveaux arrivants que s'ils avaient déjà fait l'objet d'une procédure de non-admission et que leurs empreintes avaient donc déjà été relevées et enregistrées dans le traitement. La Commission s'était donc interrogée sur l'adéquation des moyens utilisés au regard de la finalité du traitement. Elle relève que, de fait, l'enregistrement dans ce traitement des données biométriques des ressortissants étrangers non admis sur le territoire n'est pas considéré comme pertinent par le ministère chargé de l'immigration.
Les catégories de données enregistrées dans le traitement GIPI sont mentionnées à l'annexe du projet d'arrêté.
Dans l'ensemble, ces données sont similaires à celles enregistrées dans le FNAD. Elles concernent le passager, la procédure mise en œuvre à son encontre, ainsi que les documents détenus par les personnes concernées. 
De nouvelles catégories de données qui n'étaient pas enregistrées dans le FNAD le sont désormais dans le traitement GIPI : il s'agit de données relatives à l'hébergement de la personne non admise, à l'accompagnant de celle-ci, à l'interprète éventuellement intervenu dans la procédure et aux pénalités financières infligées à l'entreprise de transport.
Il est notamment prévu d'enregistrer la date et le résultat de l'examen osseux du passager et de son éventuel  accompagnant , c'est-à-dire de la personne supposée mineure susceptible d'accompagner la personne non admise. Les examens osseux sont en effet fréquemment utilisés pour déterminer l'âge des personnes concernées, lorsque celles-ci sont dépourvues de tout document d'identité, la qualité de mineur ayant des effets substantiels sur la nature des procédures administratives à mettre en œuvre. Cet examen n'a donc pas pour objet de déterminer l'état de santé des personnes concernées. La Commission estime dès lors que la date et le résultat de cet examen ne constituent pas des données sensibles au sens de l'article 8 de la loi du 6 janvier 1978 modifiée.