AgentPublic/cnil huggingface dataset:
Tout projet de traitement automatisé dont les finalités ou les catégories de données ou de destinataires excèdent le cadre de cette autorisation unique ou qui ne respecterait pas les exigences qui y sont définies, doit, en revanche, faire l’objet d’une demande d’autorisation spécifique présentant et expliquant les différences entre le traitement envisagé et l’autorisation unique.
L’analyse des caractéristiques du traitement qui est l’objet de la présente demande fait apparaître plusieurs différences par rapport à l’AU 005 qui, de ce fait, sont soumises à l’examen et à l’autorisation de la CNIL.
Sur les catégories de données collectées
La Commission note que les catégories de données prises en compte pour le calcul du score attaché à chaque demande de crédit figurent parmi celles prévues par l’autorisation unique AU-005, à l’exception des données suivantes relatives au demandeur de crédit :
l’ancienneté de l’adhésion à la Mutuelle d’assurance
le nombre de produits d’assurances souscrits 
le montant total des cotisations d’assurance par an.
La prise en compte d’éléments concernant la relation entre le mandataire IOB, la mutuelle, et son sociétaire permet de tenir compte de l’ancienneté et de l’importance de la relation du client avec son assureur.
Conformément à l’AU 005, aucune de ces variables n’a à elle seule ou en corrélation avec les autres un effet d’exclusion absolue ou disqualifiant.
Dans ces conditions, la Commission estime que la prise en compte de ces données est adéquate, pertinente et non excessive au regard de la finalité poursuivie. 
Sur les destinataires  
La Commission constate que la Direction de la Qualité est destinataire des résultats du score dans le cadre de la procédure de médiation prévue à l’article L315-1 du code monétaire et financier.
La Commission observe que toutes les autres caractéristiques du traitement mis en œuvre par SOCRAM BANQUE sont conformes à l’autorisation unique AU 005.
Autorise, dans les conditions prévues par le dossier du demandeur et la présente délibération, SOCRAM BANQUE à mettre en œuvre le traitement automatisé d’aide à la décision d’octroi de microcrédit.
                                                                                Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Après avoir entendu M. Jean-Paul AMOUDRY, commissaire, en son rapport, et de Mme Catherine POZZO DI BORGO, commissaire adjointe du Gouvernement; en ses observations, 
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par NATIXIS d’un traitement de données à caractère personnel reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle de l’accès aux postes informatiques.
Formule les observations suivantes :
Responsable du traitement
NATIXIS
Finalités
Le dispositif a pour finalité de sécuriser les accès aux postes informatiques des négociateurs (traders) basés sur Paris. Il s’agit de renforcer l’authentification de ces personnels qui ont accès à des applications sensibles pour NATIXIS, de prévenir tout risque d’usurpation d’identité et de tracer les interventions de ces personnels sur les marchés.
Données traitées
Les données traitées seront :
l’identité (nom, prénom) ;
l’identifiant d’utilisateur (le nom de compte);
le gabarit du réseau veineux de deux doigts de la main de la personne.
Destinataires
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée les personnels assurant la sécurité des systèmes d’informations de NATIXIS.
Information et droit d’accès
Le droit d’accès et de rectification s’exercera directement auprès du service Sécurité des Systèmes d’information NATIXIS, 30 avenue Pierre Mendès-France, 75013 PARIS.
Observations particulières
Les postes informatiques des personnels comporteront un lecteur de gabarit de réseau veineux du doigt de la main.La procédure d’enrôlement du réseau veineux de deux doigts de la main s’effectuera en présence d’un administrateur de la sécurité des systèmes d’information.Au moment de l’accès aux applications concernées, la vérification s’effectuera entre le doigt apposé par l’employé sur le lecteur et le gabarit de l’empreinte du réseau veineux du même doigt enregistré sur le serveur de NATIXIS.Les gabarits biométriques et les éléments d’identification seront conservés pendant la durée de l’habilitation des personnes concernées à accéder aux applications sensibles.Les données de suivi des accès sont conservées pendant une durée de 12 mois.Les gabarits biométriques et les mots de passe sont chiffrés par trois clés successives.Compte tenu de ce qui précède et dans la mesure où le réseau veineux du doigt de la main en l’état actuel de la technique, est une biométrie sans trace non susceptible d’être capturée à l’insu des personnes, la Commission considère que la mise en œuvre d’un traitement reposant sur la reconnaissance du réseau veineux du doigt apparaît, dans ces conditions adaptée et proportionnée à la finalité assignée au dispositif au regard de la protection des données personnelles.
Dans ces conditions, la Commission autorise la société NATIXIS à mettre en œuvre un traitement de données à caractère personnel reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle de l’accès aux postes informatiques
Le Président
Alex TURK
(Demande d’autorisation n°1380786)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la délibération de la CNIL n°2005-305 du 8 décembre 2005 portant autorisation unique AU-004 de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle ;
Vu la demande d’autorisation, présentée par la Société Beauté Prestige International le 11 août 2009, d’un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire adjointe du Gouvernement ;
Formule les observations suivantes :
La société Beauté Prestige International a déposé un dossier de demande d’autorisation de mise en œuvre d’un dispositif de traitement de données à caractère personnel dénommé « Dispositif d’alerte professionnelle aux fins de remontée d’événements internes à l’entreprise », conformément à la loi japonaise du 14 juin 2006 qui oblige les entreprises cotées en bourse au Japon à renforcer les moyens de contrôle en interne afin d’assurer la fiabilité des informations financières.
La Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire. 
La Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle. 
Elle observe cependant que le traitement objet de la présente délibération ne répond pas aux exigences prévues par l’article 1er de l’autorisation unique.
La Commission doit, par conséquent, procéder à une analyse spécifique du traitement soumis à son appréciation, au regard des principes relatifs à la protection des données à caractère personnel, et notamment, de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
La Commission constate :
que le dispositif d’alerte professionnelle envisagé par la société Beauté Prestige International est complémentaire par rapport aux autres modes d’alerte dans l’entreprise,
que son utilisation est facultative, aucune sanction ne pouvant être prise l’encontre d’un salarié en cas de non utilisation du dispositif. 
Elle estime, par ailleurs, qu’afin de tenir compte de ce caractère intrinsèquement complémentaire, un dispositif d’alerte doit être limité dans son champ.
La Commission relève que le dispositif d’alerte professionnelle indique que l’utilisation est strictement limitée aux manquements sérieux qui s’appliquent aux domaines financier, comptable, bancaire et de lutte contre la corruption.
Aucune autre irrégularité ne doit être signalée par le biais de ce dispositif.
La Commission estime qu’en l’espèce le dispositif d’alerte qui lui est présenté est limité dans son champ et répond à l’intérêt légitime du responsable du traitement.
Par ailleurs, la Commission observe que le dispositif soumis par la société Beauté Prestige International n’est pas conçu pour permettre des signalements anonymes. L’émetteur de l’alerte professionnelle doit s’identifier, son identité étant traitée de façon confidentielle par les personnes chargées de la gestion des alertes.
Les droits d’accès et de rectification s’exercent directement auprès du Business Ethic Officer, personne spécifiquement désignée dans chaque entreprise dans le cadre de la politique de « Responsabilité Sociale d’Entreprise » mise en place par le groupe Shiseido.
Les catégories de données à caractère personnel enregistrées sont identiques à celles mentionnées dans l’autorisation unique n°4 (Délibération n°2005-305 du 8 décembre 2005). 
Les destinataires des informations sont, dans la limite de leurs attributions, les collaborateurs de la Direction Générale Adjointe et de la Direction des Ressources Humaines.
Dans ces conditions, la Commission autorise la société Beauté Prestige International à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle.
Le Président,
Alex TURK
(Demande d’autorisation n°1380779)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la délibération de la CNIL n°2005-305 du 8 décembre 2005 portant autorisation unique AU-004 de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle ;
Vu la demande d’autorisation, présentée par la Société Carita International le 11 août 2009, d’un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire adjointe du Gouvernement ;
Formule les observations suivantes :
La société Carita International a déposé un dossier de demande d’autorisation de mise en œuvre d’un dispositif de traitement de données à caractère personnel dénommé « Dispositif d’alerte professionnelle aux fins de remontée d’événements internes à l’entreprise », conformément à la loi japonaise du 14 juin 2006 qui oblige les entreprises cotées en bourse au Japon à renforcer les moyens de contrôle en interne afin d’assurer la fiabilité des informations financières.
La Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire. 
La Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle. 
Elle observe cependant que le traitement objet de la présente délibération ne répond pas aux exigences prévues par l’article 1er de l’autorisation unique.
La Commission doit, par conséquent, procéder à une analyse spécifique du traitement soumis à son appréciation, au regard des principes relatifs à la protection des données à caractère personnel, et notamment, de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
La Commission constate :
que le dispositif d’alerte professionnelle envisagé par la société Carita International est complémentaire par rapport aux autres modes d’alerte dans l’entreprise,
que son utilisation est facultative, aucune sanction ne pouvant être prise l’encontre d’un salarié en cas de non utilisation du dispositif. 
Elle estime, par ailleurs, qu’afin de tenir compte de ce caractère intrinsèquement complémentaire, un dispositif d’alerte doit être limité dans son champ.
La Commission relève que le dispositif d’alerte professionnelle indique que l’utilisation est strictement limitée aux manquements sérieux qui s’appliquent aux domaines financier, comptable, bancaire et de lutte contre la corruption.
Aucune autre irrégularité ne doit être signalée par le biais de ce dispositif.
La Commission estime qu’en l’espèce le dispositif d’alerte qui lui est présenté est limité dans son champ et répond à l’intérêt légitime du responsable du traitement.
Par ailleurs, la Commission observe que le dispositif soumis par la société Carita International n’est pas conçu pour permettre des signalements anonymes. L’émetteur de l’alerte professionnelle doit s’identifier, son identité étant traitée de façon confidentielle par les personnes chargées de la gestion des alertes.
Les droits d’accès et de rectification s’exercent directement auprès du Business Ethic Officer, personne spécifiquement désignée dans chaque entreprise dans le cadre de la politique de « Responsabilité Sociale d’Entreprise » mise en place par le groupe Shiseido.
Les catégories de données à caractère personnel enregistrées sont identiques à celles mentionnées dans l’autorisation unique n°4 (Délibération n°2005-305 du 8 décembre 2005). 
Les destinataires des informations sont, dans la limite de leurs attributions, les collaborateurs de la Direction Générale Adjointe et de la Direction des Ressources Humaines.
Dans ces conditions, la Commission autorise la société Carita International à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle.
Le Président,
Alex TURK
(Demande d’autorisation n°1380780)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la délibération de la CNIL n°2005-305 du 8 décembre 2005 portant autorisation unique AU-004 de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle ;
Vu la demande d’autorisation, présentée par la Société Laboratoires Décléor le 11 août 2009, d’un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire adjointe du Gouvernement ;
Formule les observations suivantes :
La société Laboratoires Décléor a déposé un dossier de demande d’autorisation de mise en œuvre d’un dispositif de traitement de données à caractère personnel dénommé « Dispositif d’alerte professionnelle aux fins de remontée d’événements internes à l’entreprise », conformément à la loi japonaise du 14 juin 2006 qui oblige les entreprises cotées en bourse au Japon à renforcer les moyens de contrôle en interne afin d’assurer la fiabilité des informations financières.
La Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire. 
La Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle. 
Elle observe cependant que le traitement objet de la présente délibération ne répond pas aux exigences prévues par l’article 1er de l’autorisation unique.
La Commission doit, par conséquent, procéder à une analyse spécifique du traitement soumis à son appréciation, au regard des principes relatifs à la protection des données à caractère personnel, et notamment, de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
La Commission constate :
que le dispositif d’alerte professionnelle envisagé par la société Laboratoires Décléor est complémentaire par rapport aux autres modes d’alerte dans l’entreprise,
que son utilisation est facultative, aucune sanction ne pouvant être prise l’encontre d’un salarié en cas de non utilisation du dispositif. 
Elle estime, par ailleurs, qu’afin de tenir compte de ce caractère intrinsèquement complémentaire, un dispositif d’alerte doit être limité dans son champ.
La Commission relève que le dispositif d’alerte professionnelle indique que l’utilisation est strictement limitée aux manquements sérieux qui s’appliquent aux domaines financier, comptable, bancaire et de lutte contre la corruption.
Aucune autre irrégularité ne doit être signalée par le biais de ce dispositif.
La Commission estime qu’en l’espèce le dispositif d’alerte qui lui est présenté est limité dans son champ et répond à l’intérêt légitime du responsable du traitement.
Par ailleurs, la Commission observe que le dispositif soumis par la société Laboratoires Décléor n’est pas conçu pour permettre des signalements anonymes. L’émetteur de l’alerte professionnelle doit s’identifier, son identité étant traitée de façon confidentielle par les personnes chargées de la gestion des alertes.
Les droits d’accès et de rectification s’exercent directement auprès du Business Ethic Officer, personne spécifiquement désignée dans chaque entreprise dans le cadre de la politique de « Responsabilité Sociale d’Entreprise » mise en place par le groupe Shiseido.
Les catégories de données à caractère personnel enregistrées sont identiques à celles mentionnées dans l’autorisation unique n°4 (Délibération n°2005-305 du 8 décembre 2005). 
Les destinataires des informations sont, dans la limite de leurs attributions, les collaborateurs de la Direction Générale Adjointe et de la Direction des Ressources Humaines.
Dans ces conditions, la Commission autorise la société Laboratoires Décléor à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle.
Le Président,
Alex TURK
(Demande d’autorisation n°1380782)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la délibération de la CNIL n°2005-305 du 8 décembre 2005 portant autorisation unique AU-004 de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle ;
Vu la demande d’autorisation, présentée par la Société Les Salons du Palais Royal Shiseido/Symbole Luxe International le 11 août 2009, d’un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire adjointe du Gouvernement ;
Formule les observations suivantes :