AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés,   Saisie le 3 décembre 2004 par le conseil général du Val d'Oise d'un dossier de formalités préalables portant sur le projet de carte de vie quotidienne dit "cartevaloise",   Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la Directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel ;   Après avoir entendu, M. Jean-Marie Cotteret, commissaire, en son rapport et Mme Charlotte-Marie Pitrat, commissaire du gouvernement, en ses observations ;
Emet l'avis suivant :   Le conseil général du Val d'Oise souhaite mettre à disposition des habitants du département une carte de vie quotidienne, intitulée "Cartevaloise". Ce dispositif "pilote" qui répond à l'appel à projet "carte de vie quotidienne" de l'Agence pour le développement de l'administration électronique (ADAE) consiste à proposer plusieurs solutions techniques aux foyers de quatre communes, Franconville, Saint-Ouen l'Aumône, Louvres et Parmain, afin de faciliter leurs démarches administratives.   Sur le champ d'application du dispositif   Le dispositif concernera une ou plusieurs classes d'un groupe scolaire des quatre communes retenues. Il sera proposé aux parents des élèves concernés une carte à puce, des cartes sans contact pour les enfants et un ensemble de téléservices.   Afin d'obtenir la carte à puce dite "cartevaloise", le parent déclinera son identité et la composition de son foyer.  Il produira, le cas échéant, les pièces justificatives nécessaires auprès de la collectivité.  En retour, il obtiendra d'une part, un moyen de connexion de type identifiant/mot de passe (permettant l'accès à l'espace privé et aux téléservices) et, d'autre part, une carte à puce (cartevaloise) permettant l'utilisation des bornes interactives de sa commune (accès par certificat à son espace privé et possibilité d'effectuer des démarches).   Le traitement permettra également l'accès, par le portail internet mis en place par le conseil général, à cinq domaines :  un
"accueil général" par commune pour des demandes d'information générales ; le domaine "scolaire" pour effectuer une démarche de pré-inscription pour les enfants de maternelle et de primaire ; le domaine de la "cantine" pour effectuer une demande d'inscription à la cantine pour les enfants scolarisés et obtenir en retour une attestation d'inscription et une carte pour l'enfant (carte sans contact permettant à l'enfant de pointer sur une borne de pointage son passage à la cantine).  Le parent pourra consulter le nombre de repas pris par ses enfants inscrits à la cantine et régler à distance ; le domaine "périscolaire" permettant aux parents d'effectuer annuellement une demande d'inscription aux activités périscolaires pour les enfants de maternelle et primaire ; le domaine "espace privé" permettant de consulter la liste les démarches effectuées, les données du foyer, de déposer et stocker des justificatifs nécessaires aux démarches administratives, de consulter les consommations de certains services et de les payer (cantine par exemple).   La Commission prend acte du fait que tout ajout éventuel de nouveaux téléservices devra faire l'objet de nouvelles formalités préalables conformément à la loi du 6 janvier 1978 modifiée.
Sur la procédure de formalités applicable   Le projet présenté par le conseil général du Val d'Oise porte en particulier sur la mise en oeuvre d'un ensemble de téléservices mis à disposition des usagers des administrations communales préalablement dotés d'un identifiant propre au système ou d'un numéro d'identification déjà attribué, par exemple celui de la caisse d'allocations familiales pour certaines téléprocédures.  Ces téléservices relèvent de la procédure d'autorisation par arrêté pris après avis de la CNIL conformément à l'article 27.II. 4° de la loi du 6 janvier 1978 modifiée.   La Commission estime que l'arrêté créant le traitement devra préciser l'ensemble des finalités précitées ainsi que les finalités relatives à la délivrance de la "Cartevaloise", à la mise en place de bornes interactives et aux cartes sans contact délivrées aux enfants.   La Commission considère que compte tenu des caractéristiques actuelles du projet précité, les interconnexions entre les téléservices proposés et les fichiers communaux assurant la gestion de la cantine et de l'inscription scolaire sont directement liées aux téléservices proposés et poursuivent un même intérêt public.   La Commission estime toutefois que, dans la mesure où le traitement comporterait d'autres interconnexions entre les communes et le conseil général, par exemple, dans le domaine de la délivrance de titres d'identité ou de pièces d'état civil, celles-ci relèveraient d'intérêts publics différents.  Elles
seraient alors susceptibles de relever de l'article 25.I.5° de la loi du 6 janvier 1978 modifiée.   Sur les catégories de données traitées   La Commission souligne que le traitement prévoit la collecte de nombreuses informations nécessaires à l'instruction des dossiers et relatives à l'identité des responsables légaux et des enfants (dont numéro CAF), à l'adresse, à la situation familiale, à la scolarité, à la vie professionnelle, aux revenus de la famille, à la santé des enfants et à l'agent de la collectivité en charge du dossier.   La Commission estime que le projet d'arrêté devrait comporter une liste exhaustive des données recueillies et que la mention "vie professionnelle" devrait être remplacée par la mention "profession". La mention "carnet de santé" devrait être remplacée par les seules informations effectivement recueillies à savoir les vaccinations et les allergies.   La Commission considère que le recueil de la nationalité au titres des données à caractère personnel collectées est excessif au regard des finalités du traitement et qu'elle doit en conséquence être supprimée du traitement.   Sur la durée de conservation des données   La Commission prend acte que la durée de conservation des informations correspond à la période d'activité du dossier de la famille plus un an.   La Commission estime que l'arrêté doit préciser la durée de conservation des demandes d'informations générales présentées par les usagers.  Cette durée de conservation devrait être au maximum
de six mois.
Sur les mesures de sécurité   La Commission remarque que le système développé conduit à juxtaposer deux systèmes d'authentification (carte à puce d'une part et couple identifiant/mot de passe, d'autre part) correspondant à des niveaux de sécurité différents pour accéder aux informations contenues dans l'"espace privé".   La Commission recommande au conseil général de rechercher une harmonisation de ses solutions d'accès tout en maintenant un haut niveau de sécurité.   Sur l'information des personnes   La Commission rappelle que les mentions prescrites par l'article 32 de la loi du 6 janvier 1978 modifiée devront apparaître sur le formulaire permettant de créer le compte famille et d'obtenir la "cartevaloise".   Par ailleurs, les pages du portail internet devront également comporter des informations sur les finalités de la collecte, les destinataires et les mentions relatives aux droit d'accès, de rectification et de suppression des données concernant l'administré.   Sur les destinataires du traitement   Le projet d'arrêté prévoit comme destinataires les agents habilités des communes.  La Commission estime qu'il doit être complété pour prévoir que seuls les agents habilités des services en charge des affaires scolaires, périscolaires et de la restauration scolaire ainsi que ceux en charge des réponses aux questions générales, peuvent accéder aux informations dans la limite de leurs attributions.   Sur l'accès aux pièces justificatives contenues dans l' "espace privé", un
accès permanent des services instructeurs peut paraître disproportionné au regard des besoins nécessaires à l'instruction du dossier.  L'arrêté devra, en conséquence, définir les conditions dans lesquelles ces services y accéderont seulement le temps nécessaire à l'instruction du dossier et à l'attribution de la prestation ou des droits éventuels.   Le président Alex TURK.
La Commission nationale de l'informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex Türk, président ;
Etant aussi présents M. Guy Rosier, vice-président délégué, M. François Giquel, vice-président ; Melle Anne Debet, membre et M. Bernard Peyrat, membre ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, dans sa rédaction antérieure à la loi du 6 août 2004 ;
Vu la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 ;
Vu les articles L. 333-4 et suivants du Code de la consommation ;
Vu l'article L. 613-21 du Code monétaire et financier ;
Vu le règlement n° 90-05 du 11 avril 1990 du Comité de la réglementation bancaire, relatif au Fichier des incidents de remboursement des crédits aux particuliers (FICP) dans sa version antérieure aux modifications du 26 février 2004 ;
Vu la délibération de la Commission nationale de l'informatique et des libertés n° 90-29 du 6 mars 1990 portant avis sur la mise en oeuvre, par la Banque de France, d'un traitement automatisé d'informations nominatives relatif à la gestion d'un fichier des incidents de remboursement des crédits aux particuliers ;
Vu la délibération de la Commission nationale de l'informatique et des libertés n° 87-25 du 10 février 1987 modifiée par la délibération n° 2004-098 du 9 décembre 2004 fixant le règlement intérieur de la CNIL ;
Vu la saisine n° 04011336 du 9 juillet 2004 ;
Vu les courriers adressés ou reçus par la CNIL les 9 juillet 2004, 26 juillet 2004 et 22 février 2005 annexés au rapport ;
Vu le rapport de M. Philippe Nogrix, notifié le 15 mars 2005 à X et les observations en réponse reçues les 30 mars 2005 et 22 avril 2005 ;
Après avoir entendu, M. Philippe Nogrix, commissaire, en son rapport et Mme Charlotte-Marie Pitrat, commissaire du gouvernement, en ses observations ;
Constate les faits suivants :
L'instruction de la saisine n° 04011336 a permis d'établir que X a fait procéder à l'inscription au FICP des époux B le 31 juillet 2002 suite au non règlement de plusieurs échéances d'un crédit à la consommation qu'ils avaient contracté en 1995.
Or, par la suite, un jugement du 7 février 2003 a prononcé l'extinction de la dette des époux B. Ainsi, dès cette date, l'inscription des requérants n'était plus justifiée.
Pourtant, X n'a procédé à la radiation de leurs données qu'en juillet 2004 après que les époux B l'ont informé de leurs difficultés.
L'organisme de crédit X interrogé sur ces faits s'est borné à indiquer que la radiation tardive des deux plaignants était due à un "oubli" de la personne en charge du dossier lors du classement de leur dossier. Il invoque par ailleurs des "difficultés de gestion dans les services de la Banque de France" pour expliquer que la radiation ne soit intervenue que le 17 juillet 2004, plus d'un mois après la demande des époux B.
L'article 29 de la loi du 6 janvier 1978 dans sa version antérieure à la loi du 6 août 2004 (art. 34 nouveau) prévoit que "le responsable du traitement ou celui qui ordonne le traitement doit prendre toutes précautions utiles pour préserver la sécurité et l'intégrité des informations qu'il traite".
De plus, l'article 37 de la loi du 6 janvier 1978 (art. 6-4° et 40 de la loi nouvelle) énonce qu'"un fichier nominatif doit être corrigé même d'office lorsque l'organisme qui le tient acquiert connaissance de l'inexactitude d'une information nominative contenue dans ce fichier" et l'article 38 de la loi dispose (art. 40 de la loi nouvelle) que "si une information a été transmise à un tiers (...) son annulation doit être notifiée à ce tiers".
Relève que X n'a respecté ni les dispositions du règlement n° 90-05 précité, ni celles de la loi du 6 janvier 1978, tant dans sa version antérieure à la loi du 6 août 2004 que dans sa version nouvelle.
Dans ses observations formulées par courriers des 30 mars 2005 et 22 avril 2005, X fait valoir qu'il s'agit d'une situation exceptionnelle et informe la Commission des mesures correctrices engagées ou à venir au sein de X s'agissant en particulier des notes de rappel adressées aux personnels, de la détection des dysfonctionnements liés aux migrations informatiques, de la radiation automatique de l'inscription au FICP dès l'entrée d'un dossier dans une procédure de cessation des actions, du rapprochement du FICP et du fichier détenu par X afin de détecter d'éventuelles incohérences.
Considère néanmoins que le responsable du traitement n'avait pas, antérieurement à la plainte dont la Commission a été saisie, mis en oeuvre les contrôles internes propres à assurer la conformité à la loi des traitements de données à caractère personnel placés sous sa responsabilité ; que, dans les circonstances de l'espèce, les mesures de correction invoquées dans ses courriers du 30 mars 2005 et du 22 avril 2005 ne peuvent excuser le manque de diligence dont a fait preuve X à l'égard des plaignants.
En conséquence, décide de faire application des dispositions des articles 45 et 46 de la loi du 6 janvier 1978 modifiée et d'adresser un avertissement à l'organisme de crédit X, situé [...] et de le rendre public ;
Décide aussi que, conformément aux dispositions de l'article 15 du règlement n° 90-05 relatif au fonctionnement du FICP et de l'article L. 613-21 du Code monétaire et financier, le présent avertissement sera porté à la connaissance de la Commission bancaire.
 
Le président, 
Alex TURK.
La Commission nationale de l'informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex Türk, président ;
Etant aussi présents M. Guy Rosier, vice-président délégué, M. François Giquel, vice-président, M. Bernard Peyrat, membre ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, dans sa rédaction antérieure à la loi du 6 août 2004 ;
Vu la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel modifiant la loi n° 78-17 du 6 janvier 1978 ;
Vu les articles L. 333-4 et suivants du Code de la consommation ;
Vu l'article L. 613-21 du Code monétaire et financier ;
Vu le règlement n° 90-05 du 11 avril 1990 du Comité de la réglementation bancaire et financière, relatif au Fichier des incidents de remboursement des crédits aux particuliers (FICP), dans sa version antérieure aux modifications du 26 février 2004 ;
Vu la délibération de la Commission nationale de l'informatique et des libertés n° 90-29 du 6 mars 1990 portant avis sur la mise en oeuvre, par la Banque de France, d'un traitement automatisé d'informations nominatives relatif à la gestion d'un fichier des incidents de remboursement des crédits aux particuliers ;
Vu la délibération de la Commission nationale de l'informatique et des libertés n° 87-25 du 10 février 1987 modifiée par la délibération n° 2004-098 du 9 décembre 2004 fixant le règlement intérieur de la CNIL ;
Vu la saisine n° 04014476 du 13 septembre 2004 ;
Vu les courriers reçus ou adressés par la CNIL les 4 septembre 2004 et 9 novembre 2004 annexés au rapport ;
Vu le rapport de M. Philippe Nogrix, notifié le 15 mars 2005 à X ;
Après avoir entendu, lors de la réunion le 10 mai 2005, M. Philippe Nogrix, commissaire, en son rapport et Mme Charlotte-Marie Pitrat, commissaire du gouvernement, en ses observations.
Constate les faits suivants :
X a fait procéder le 30 juin 2003 à l'inscription de Madame A au Fichier National des Incidents de remboursement des Crédits aux Particuliers (FICP) géré par la Banque de France en raison d'un incident survenu dans le remboursement d'un emprunt immobilier. Contestant le bien-fondé de cette mesure, Madame A a saisi la CNIL le 13 septembre 2004.
X, interrogée sur les faits, a indiqué que l'inscription de Madame A avait été effectuée après une première radiation à l'issue de la période légale de cinq ans.
Cette réinscription résulterait d'une "anomalie". Elle a précisé avoir procédé manuellement à la radiation de Madame A le 12 octobre 2004 et informé sa hiérarchie.
Or, l'article 4 du règlement du Comité de la réglementation bancaire et financière n° 90-05 du 11 avril 1990 relatif au FICP prévoit que "dès qu'un incident de paiement caractérisé est constaté, l'établissement de crédit informe le débiteur défaillant que l'incident sera déclaré à la Banque de France à l'issue d'un délai d'un mois à compter de la date d'envoi de cette information".
Dès lors, un incident de paiement remontant à plus de cinq ans ne saurait donner lieu à une inscription au FICP.
En outre, l'article 37 de la loi du 6 janvier 1978 dans sa version antérieure à la loi du 6 août 2004 (art. 6-4° et 40 de la loi nouvelle) prévoit qu'"un fichier nominatif doit être corrigé même d'office lorsque l'organisme qui le tient acquiert connaissance de l'inexactitude d'une information nominative contenue dans ce fichier" et l'article 38 de la loi du 6 janvier 1978 dans sa version antérieure à la loi du 6 août 2004 (art. 40 de la loi nouvelle) dispose que "si une information a été transmise à un tiers, son annulation doit être notifiée à ce tiers".
Or, l'instruction du dossier a établi que la radiation des données de Madame A n'a été effectuée qu'après intervention de la CNIL, fin novembre 2004, alors qu'elle l'avait demandée dès le 13 juillet 2004.
Ainsi, en réinscrivant sa cliente au FICP puis en ne procédant pas à la mainlevée de l'inscription au FICP, X n'a respecté ni les prescriptions édictées par la loi du 6 janvier 1978, tant dans sa version antérieure à la loi du 6 août 2004 que dans sa version nouvelle, ni les dispositions du règlement n° 90-05 précité.
Considère que ces faits révèlent que le responsable du traitement n'a pas fait preuve de vigilance et de diligence, ni dans le respect des dispositions précitées de la loi du 6 janvier 1978 ni dans la mise en oeuvre du règlement n° 90-05 relatif au FICP, et que X n'a pas apporté de réponse sur les garanties qu'il conviendrait d'apporter pour assurer que de tels faits ne se reproduiront pas.
En conséquence, décide de faire application des dispositions des articles 45 et 46 de la loi du 6 janvier 1978 modifiée et d'adresser un avertissement à X, située [...] et de le rendre public ;
Décide aussi que, conformément aux dispositions de l'article 15 du règlement n° 90-05 relatif au fonctionnement du FICP et de l'article L. 613-21 du Code monétaire et financier, le présent avertissement sera porté à la connaissance de la Commission bancaire.
 
Le président, 
Alex TURK.
Formule les observations suivantes :   La société MFG Education a adressé à la Commission nationale de l'informatique et des libertés, le 29 juin 2004, une demande d'autorisation relative à la mise en oeuvre d'un traitement automatisé de données à caractère personnel reposant sur l'utilisation de dispositifs biométriques de reconnaissance du contour de la main et ayant pour finalité le contrôle des horaires des employés.   Il convient d'examiner ledit traitement au regard des principes relatifs à la protection des données à caractère personnel et, notamment, de l'article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.   La Commission considère, au vu des motifs invoqués par la société MFG Education dans sa demande d'autorisation, que l'objectif d'une meilleure gestion des temps de travail, s'il est légitime, ne paraît pas, en lui-même, de nature à justifier l'enregistrement dans un lecteur biométrique des gabarits du contour de la main des employés.   Ainsi, le recours à un élément propre à l'identité physique des employés aux seules fins de contrôler les temps de travail n'apparaît pas proportionné à la finalité poursuivie.
Dès lors, la Commission n'autorise pas, en l'état, la société MFG Education, sise 6 rue Bourdonnais - 91017 Evry, à mettre en oeuvre un traitement de données à caractère personnel reposant sur l'utilisation d'un dispositif biométrique de reconnaissance du contour de la main dont la finalité est le contrôle des horaires des employés.   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu le Code civil, et notamment ses articles 21-14-1 à 21-25-1 ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 8-IV et 25 ;   Vu le décret n° 93-1362 du 30 décembre 1993 relatif à la manifestation de volonté, aux déclarations de nationalité, aux décisions de naturalisation, de réintégration, de perte, de déchéance et de retrait de la nationalité française, et notamment ses articles 35 à 52 ;   Vu ensemble l'arrêté du 27 juillet 1994 portant création du traitement automatisé des demandes d'acquisition et de perte de la nationalité française à la sous-direction des naturalisations et l'arrêté du 27 avril 1998 régissant l'accès télématique aux fichiers d'acquisition et de perte de la nationalité française de la sous-direction des naturalisations ;   Vu la délibération n° 93-094 du
19 octobre 1993 portant avis sur un traitement automatisé d'informations nominatives relatif à la gestion par la sous-direction des naturalisations du ministère des affaires sociales des demandes d'acquisition et de perte de la nationalité française ;   Vu la demande d'avis présentée par le directeur de la Population et des Migrations du ministère de l'Emploi, du Travail et de la Cohésion Sociale relative à un traitement automatisé de données à caractère personnel ayant pour objet de permettre la gestion continue entre les ministères concernés des procédures d'acquisition ou de perte de la nationalité française et de participer à la preuve de la nationalité française ;   Après avoir entendu M. Patrick Delnatte, commissaire, en son rapport, et Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations ;