AgentPublic/cnil huggingface dataset:
(Demande d’autorisation n° 1783302)
La Commission nationale de l'informatique et des libertés,
Saisie par AXA ASSISTANCE FRANCE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion d’un service de téléconsultation ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 6316-1, L. 1110-4, L. 1111-8 et R. 6316-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société AXA ASSISTANCE FRANCE (AXA Assistance), société anonyme enregistrée au registre du commerce et des sociétés de Nanterre.
Sur la finalité
La finalité du traitement est de fournir aux assurés un service de téléconsultation. Ce service sera réalisé par les médecins etles infirmiers d'AXA Assistance.Ce service comporte trois pôles :- Un pôle de téléconsultation dans le cadre duquel des actes de téléconsultation sont réalisés ;- Un pôle d'information qui consiste à mettre à la disposition du patient des informations générales de santé (non personnalisées) ;- Un pôle d'organisation du parcours de soins coordonné, qui consiste à accompagner le patient et à l'orienter, à sa demande, vers un choix de médecins spécialistes et/ou des établissements de santé dans le respect du principe de libre choix.La Commission considère qu’il y a lieu de faire application des articles 8-IV et 25-I, 1° de la loi du 6 janvier 1978 modifiée, qui soumettent à la procédure de l’autorisation les traitements de données de santé qui sont justifiés, comme en l’espèce, par un intérêt de santé publique.
Sur les données traitées
Dans le cadre de cette téléconsultation, les données faisant l’objet d’un traitement sont les données d’identification des personnes (nom, prénom, adresse, date et lieu de naissance, sexe, numéro de téléphone, email), la localisation de la personne, les données de santé (pathologie, antécédents familiaux, soins, comportement à risque, médecin traitant).La Commission considère que les données sont adéquates, pertinentes et non excessives au regard de la finalité du traitement, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont les médecins et les infirmiers salariés d'AXA Assistance, authentifiés et habilités, dans la limite de leurs attributions respectives et dans la stricte mesure nécessaire à la prise en charge des patients, les pharmacies concernées, le médecin traitant du patient sous réserve de son consentement.Cette liste de destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
La téléconsultation proposée par AXA Assistance est souscrite par des entreprises clientes de l'assurance complémentaire santé pour le compte de ses salariés.L'information des personnes est réalisée par une notice d’information spécifique au service proposé remise par l’entreprise à son salarié. Cette information est doublée d’une mention figurant dans les conditions générales du contrat  d’assurance.A chaque appel d’un assuré pour un acte de téléconsultation,  l’information est réitérée et le consentement est recueilli sous une forme dématérialisée par une case à cocher par le professionnel de santé en contact téléphonique avec le patient. Le recueil du consentement fera également  l'objet d'une confirmation écrite par l'envoi d'un sms ou d'un e-mail.A l’issue de l’acte de téléconsultation, le consentement du patient sera sollicité pour l’envoi par le médecin téléconsultant du compte rendu à son médecin traitant.Les droits d’accès, de rectification et d’opposition sont exercés auprès du service juridique d’AXA Assistance.La Commission estime que ces modalités d’information, de recueil du consentement et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
La Commission relève que le responsable du traitement prend toutes précautions utiles pour préserver la sécurité des données et, notamment, empêcher qu’elles ne soient déformées ou endommagées ou que des tiers non autorisés y aient accès. Les professionnels de santé qui rendent le service de téléconsultation sont des médecins et infirmiers diplômés d'Etat (IDE) de la plateforme d'AXA Assistance. Ils s'authentifient par le biais de leur carte de professionnel de santé, conformément aux dispositions de l'article L. 1110-4 CSP et au référentiel « Authentification des acteurs de santé » issu de la politique générale de sécurité des systèmes d'information (PGSSI) de l'ASIP Santé. L'ensemble des données de santé à caractère personnel collectées et traitées dans le cadre de la téléconsultation sont hébergées auprès d’un hébergeur agréé au sens de l'article L. 1111-8 CSP.Les autres mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévues par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant 20 ans. A l’issue de cette durée, elles sont supprimées sauf dispositions légales contraires.La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, AXA ASSISTANCE FRANCE à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(demande d’autorisation n° 1839417)
La Commission nationale de l'informatique et des libertés,
Saisie par la CITIA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel reposant sur un dispositif biométrique de reconnaissance de l’empreinte digitale et ayant pour finalité le contrôle des horaires ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu Mme Catherine POZZO di BORGO, commissaire adjoint du Gouvernement, en ses observations,
Formule les observations suivantes :
Afin de contrôler les horaires de travail de ses salariés et de ses stagiaires, la CITIA (CITE DE L’IMAGE EN MOUVEMENT), établissement public de coopération culturelle, a saisi la Commission nationale de l’informatique et des libertés (CNIL) d’un traitement de données comportant un dispositif biométrique de reconnaissance de l’empreinte digitale. 
A titre liminaire, il convient de rappeler qu’à l’issue d’une concertation avec les principales organisations syndicales et patronales, la Commission a modifié le champ d’application de l’autorisation unique n°7 (AU-007) portant sur la mise en œuvre de traitements reposant sur la reconnaissance du contour de la main.
Par délibération du 20 septembre 2012 (n°2012-322), la finalité de contrôle des horaires a été exclue du champ de cette autorisation unique. L’AU-007 en vigueur vise uniquement les finalités de « contrôle d’accès à l’entrée et dans les locaux limitativement identifiés de l’organisme faisant l’objet d’une restriction de circulation ; le contrôle de l’accès au restaurant d’entreprise [… et] le contrôle d’accès des visiteurs » (article 1er). 
Le recours à un dispositif biométrique pour le contrôle des horaires exige que le responsable de traitement effectue auprès de la CNIL une demande d’autorisation spécifique sur le fondement de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée.
Une telle demande d’autorisation doit s’inscrire dans le cadre de circonstances exceptionnelles fondées sur un impératif spécifique de sécurité, comme rappelé par la Commission lors de la modification de l’AU-007, qui seraient susceptibles de justifier, notamment, la proportionnalité du recours à un dispositif biométrique ayant pour finalité le contrôle des horaires des salariés.
Le traitement automatisé de données à caractère personnel que la CITIA souhaite mettre en œuvre repose sur un dispositif biométrique de reconnaissance de l’empreinte digitale et ayant pour finalité le contrôle des horaires. 
Selon la CITIA, le dispositif biométrique présente le double avantage d’être peu coûteux et facile d’utilisation et d’installation. 
La Commission insiste sur le fait qu’une donnée biométrique constitue un élément d’identité irrévocable dont la diffusion non maîtrisée, ou accidentelle, peut avoir des conséquences irrémédiables pour les personnes. En effet, à la différence de tout autre identifiant (code, mot de passe, autre), la donnée biométrique, qui est permanente et propre à chaque personne physique, ne peut être modifiée. Ainsi, dans l’hypothèse d’un accès non autorisé à cette donnée, celle-ci est réputée compromise de manière définitive, c’est-à-dire ne permettant plus un contrôle fiable de l’identité des personnes concernées.
En l’espèce, la Commission constate qu’aucune circonstance exceptionnelle n’est démontrée et que le dispositif biométrique de contrôle des horaires des salariés et des stagiaires ne résulte pas de la mise en œuvre de mesures de sécurité telles qu’identifiées par une analyse de risques. 
Au regard de l’ensemble de ces éléments, la Commission observe que le traitement envisagé ne relève pas d’une finalité de sécurité justifiant un recours impératif à la biométrie. 
En outre, concernant la demande qui lui a été soumise, la Commission relève particulièrement l’impossibilité pour les personnes concernées de recourir à un dispositif alternatif au dispositif biométrique.
En conséquence, elle considère que le recours exclusif à un dispositif biométrique de reconnaissance de l’empreinte digitale n’apparait ni adapté ni proportionné à la finalité poursuivie au sens de l’article 6-3° précité. 
Dans ces conditions, la Commission n’autorise pas la CITIA (CITE DE L’IMAGE EN MOUVEMENT) à mettre en œuvre un traitement de données à caractère personnel reposant sur un dispositif biométrique de reconnaissance de l’empreinte digitale et ayant pour finalité le contrôle des horaires.
La Présidente
I. FALQUE-PIERROTIN
(demande d’autorisation n° 1844732)
La Commission nationale de l'informatique et des libertés,
Saisie par la société DEAFI SAS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel reposant sur un dispositif biométrique de reconnaissance du contour de la main et ayant pour finalité la gestion du temps de travail ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu Mme Catherine POZZO di BORGO, commissaire adjoint du Gouvernement, en ses observations,
Formule les observations suivantes :
Afin de gérer le temps de travail de ses salariés, la société DEAFI SAS, premier centre de relation client spécialisé dans la gestion des contacts avec les personnes sourdes et malentendantes, a saisi la Commission nationale de l’informatique et des libertés (CNIL) d’un traitement de données comportant un dispositif biométrique de reconnaissance du contour de la main.
A titre liminaire, il convient de rappeler qu’à l’issue d’une concertation avec les principales organisations syndicales et patronales, la Commission a modifié le champ d’application de l’autorisation unique n°7 (AU-007) portant sur la mise en œuvre de traitements reposant sur la reconnaissance du contour de la main.
Par délibération du 20 septembre 2012 (n°2012-322), la finalité de contrôle des horaires a été exclue du champ de cette autorisation unique. L’AU-007 en vigueur vise uniquement les finalités de « contrôle d’accès à l’entrée et dans les locaux limitativement identifiés de l’organisme faisant l’objet d’une restriction de circulation ; le contrôle de l’accès au restaurant d’entreprise [… et] le contrôle d’accès des visiteurs » (article 1er). 
Le recours à un dispositif biométrique pour la gestion des horaires exige que le responsable de traitement effectue auprès de la CNIL une demande d’autorisation spécifique sur le fondement de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée.
Une telle demande d’autorisation doit s’inscrire dans le cadre de circonstances exceptionnelles fondées sur un impératif spécifique de sécurité, comme rappelé par la Commission lors de la modification de l’AU-007, qui seraient susceptibles de justifier, notamment, la proportionnalité du recours à un dispositif biométrique ayant pour finalité le contrôle des horaires des salariés.
Le traitement automatisé de données à caractère personnel que la société DEAFI SAS souhaite mettre en œuvre repose sur un dispositif biométrique de reconnaissance du contour de la main et a pour finalité la gestion du temps de travail. Elle justifie sa démarche de recourir à ce dispositif biométrique pour pouvoir certifier que le collaborateur est bien arrivé à son poste et qu’il n’a pas eu d’accident sur son trajet, s’assurer de l’identité du collaborateur ayant pointé, éviter la perte, l’oubli ou le bris de badge, dans le but de facturer aux clients le bon nombre d’heures effectué par le collaborateur.
Conformément à l’article 1er de la loi du 6 janvier 1978 modifiée, la Commission rappelle que la mise en place d’un tel dispositif ne doit « porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques ». En outre, il convient d’examiner ledit traitement au regard des principes relatifs à la protection des données à caractère personnel, et notamment de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
En l’espèce, la Commission constate qu’aucune circonstance exceptionnelle n’est démontrée et que le dispositif biométrique de gestion du temps de travail ne résulte pas de la mise en œuvre de mesures de sécurité telles qu’identifiées par une analyse de risques. 
Au regard de l’ensemble de ces éléments, la Commission observe que le traitement envisagé ne relève pas d’une finalité de sécurité justifiant un recours impératif à la biométrie.  
En outre, concernant la demande qui lui a été soumise, la Commission relève particulièrement l’impossibilité pour les personnes concernées de recourir à un dispositif alternatif au dispositif biométrique.
En conséquence, elle considère que le recours exclusif à un dispositif biométrique de reconnaissance du contour de la main n’apparait ni adapté ni proportionné à la finalité poursuivie au sens de l’article 6-3° précité. 
Dans ces conditions, la Commission n’autorise pas la société DEAFI SAS à mettre en œuvre un traitement de données à caractère personnel reposant sur un dispositif biométrique de reconnaissance du contour de la main et ayant pour finalité la gestion du temps de travail.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1775570)
La Commission nationale de l'informatique et des libertés,
Saisie par le Crédit Agricole Mutuel Alpes Provence d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l’identité ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L. 561-5 et R. 561-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Crédit Agricole Mutuel Alpes Provence, ci-dessous dénommé le Crédit Agricole.
Sur la finalité
La finalité du traitement est de lutter contre la fraude à l’identité. Il vise, par l’utilisation du logiciel « IMEN TT », à détecter les documents présentant des anomalies susceptibles de révéler une fraude (faux document ou document falsifié) dans deux hypothèses : au moment de l’entrée en relation du client auprès de la banque, en cas demande de prêt. La Commission estime que cette finalité est déterminée, explicite et légitime.Lorsque l’analyse par l’outil conclut à la non-conformité du document, la demande d’ouverture de compte ou la demande de prêt est refusée. Dans la situation inverse, si l’authenticité des documents est confirmée, il est fait droit à la demande du client. Dans l’hypothèse où la demande concerne l’octroi de crédit et si l’outil détecte une fraude documentaire présumée, la banque peut décider de clôturer le compte du client conformément aux conditions prévues par la convention de compte.Ce traitement peut ainsi du fait de sa portée et de sa finalité, exclure une personne du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition légale prévoyant une telle exclusion. Il est dès lors soumis à autorisation de la Commission, en application des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée.Plus précisément, il existe un premier contrôle visuel réalisé par le chargé de clientèle qui reçoit la personne souhaitant entrer en relation avec la banque. Le contrôle de la pièce d’identité se fait ensuite via la bande MRZ
Les conseillers clients, les opérationnels chargés de la prévention de la fraude, le responsable et les chargés de la prévention de la fraude, les analystes crédits et les collaborateurs en charge du contrôle de la conformité des dossiers d’entrée en relation ont accès aux informations contenues dans le logiciel.La  liste de ces destinataires, qui font l’objet d’une habilitation individuelle, n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès 
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la banque sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention qui figure dans la convention de compte du client et sur le site internet de la banque.Cette mention rappelle notamment que les droits d’accès et de rectification s’exercent auprès du Service client par courrier postal à l’adresse suivante : 25, chemin des trois cyprès 13097 Aix-en-Provence cedex 2 ou à l’adresse électronique : ecoute_client@caalpesprovence.frLa Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Sur les autres caractéristiques du traitement
Ce traitement ne permet pas d’établir une « liste noire » de personnes ayant présenté des titres d’identité comportant des anomalies ou des titres d’identité falsifiés ou volés.Des statistiques sur des données anonymisées sont réalisées à partir des résultats de l’outil et permettent de chiffrer le nombre d’alertes par entité, par point de vente, par type de document et par département.Ces autres caractéristiques n’appellent pas d’observation particulière de la Commission.
Autorise, conformément à la présente délibération, le Crédit Agricole Mutuel Alpes Provence à mettre en œuvre le traitement susmentionné.
La Présidente 
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1849881)
La Commission nationale de l'informatique et des libertés,
Saisie par le Crédit Agricole Mutuel Normandie d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l’identité ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L. 561-5 et R. 561-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Crédit Agricole Mutuel Normandie, ci-dessous dénommé le Crédit Agricole.
Sur la finalité