AgentPublic/cnil huggingface dataset:
Correspondant Informatique et Libertés (CIL) - Journée 2/2 : - La Gestion des Risques- Les mentions CNIL - Les processus CNIL incontournables - Les processus CNIL conseillés- Cartographier un traitement de données personnelles - Gérer sa base documentaire CNIL - Sécuriser vos contrats Conformément à l'article 53-1 du règlement intérieur de la CNIL, la demande de label a fait l'objet d'une évaluation par le Comité de labellisation.La Commission reconnaît que la formation présentée est conforme au référentiel auquel elle se rapporte.
Décide 
De la délivrance du label CNIL  formation  pour la formation intitulée  Exercer le métier de Correspondant Informatique et Libertés  du cabinet ACTECIL. 
Ce label est délivré pour une durée de trois ans conformément à l'article 53-11 du règlement intérieur de la Commission.
L'utilisation de la marque LABEL CNIL est soumise au respect du règlement d'usage de la marque collective.
L'organisme s'engage à fournir à la CNIL un bilan d'activité au terme de la première année.
La présente délibération sera publiée au Journal officiel de la République française.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés, Saisie par la société AAA DATA, le 25 janvier 2013, d'une demande de délivrance de label concernant sa formation intitulée  Le Management du risque Informatique et Libertés dans le secteur automobile  ;Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu la délibération n° 2006-147 du 23 mai 2006 modifiée fixant le règlement intérieur de la CNIL, notamment ses articles 53 et suivants ;
Vu la délibération n° 2011-315 du 6 octobre 2011 portant adoption d'un référentiel pour la délivrance de labels en matière de formation tendant à la protection des personnes à l'égard du traitement des données à caractère personnel Vu le dossier et ses compléments ;Sur la proposition de M. Dominique RICHARD, commissaire, membre du Comité de labellisation et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
L'article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL  délivre un label à des produits ou à des procédures tendant à la protection des personnes à l'égard du traitement des données à caractère personnel .
La formation, objet de la demande, se compose comme suit : 
- Le champ d'application de la loi 78-17 modifiée dans sa version consolidée- Les acteurs - Les principes fondamentaux - Les obligations - Les traitements clés du secteur automobile - La régulation - Les outils de management du risque Informatique et Libertés Conformément à l'article 53-1 du règlement intérieur de la CNIL, la demande de label a fait l'objet d'une évaluation par le Comité de labellisation.La Commission reconnaît que la formation présentée est conforme au référentiel auquel elle se rapporte.
Décide 
De la délivrance du label CNIL  formation  pour la formation intitulée  Le Management du risque Informatique et Libertés dans le secteur automobile  de la société AAA DATA.
Ce label est délivré pour une durée de trois ans conformément à l'article 53-11 du règlement intérieur de la Commission.
L'utilisation de la marque LABEL CNIL est soumise au respect du règlement d'usage de la marque collective.
L'organisme s'engage à fournir à la CNIL un bilan d'activité au terme de la première année.
La présente délibération sera publiée au Journal officiel de la République française.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés, Saisie par le Conservatoire National des Arts et Métier, le 14 novembre 2012, d'une demande de délivrance de label concernant un module intitulé  le droit à la protection des données : enjeux et conséquences pour les professionnels  (unité d'enseignement DRA104) de sa formation consacrée au  droit des technologies de l'information et de la communication ;Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu la délibération n° 2006-147 du 23 mai 2006 modifiée fixant le règlement intérieur de la CNIL, notamment ses articles 53 et suivants ;
Vu la délibération n° 2011-315 du 6 octobre 2011 portant adoption d'un référentiel pour la délivrance de labels en matière de formation tendant à la protection des personnes à l'égard du traitement des données à caractère personnel Vu le dossier et ses compléments ;Sur la proposition de M. Bernard PEYRAT, commissaire, membre du Comité de labellisation et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement ; 
Formule les observations suivantes :
L'article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL  délivre un label à des produits ou à des procédures tendant à la protection des personnes à l'égard du traitement des données à caractère personnel .
Le module de la formation, objet de la demande, se compose comme suit :
- I. Introduction1. Historique de la réglementation  informatique et libertés 2. Les concept-clé de la loi  informatique et libertés- II. Les obligations et les droits consacrés dans la loi  informatique et libertés 1. Les obligations du responsable de traitement2. Les droits des personnes fichées- III. Les acteurs de la régulation  informatique et libertés 1. La CNIL2. Le groupe de l'  article 29 3. Le contrôleur européen à la protection des données4. Les correspondants  informatique et libertés  (CIL)5. Les associations professionnelles- IV. Le risque de non-conformité à la loi  informatique et libertés 1. Le risque pour la réputation2. Le risque d'une sanction administrative prononcée par la CNIL3. Le risque de contentieux judiciaireConformément à l'article 53-1 du règlement intérieur de la CNIL, la demande de label a fait l'objet d'une évaluation par le Comité de labellisation.La Commission reconnaît que le module de la formation présenté est conforme au référentiel auquel elle se rapporte.
Décide 
De la délivrance du label CNIL  formation  pour le module intitulé  le droit à la protection des données : enjeux et conséquences pour les professionnels  (unité d'enseignement DRA104) de la formation consacrée au  droit des technologies de l'information et de la communication du Conservatoire National des Arts et Métiers. 
Ce label est délivré pour une durée de trois ans conformément à l'article 53-11 du règlement intérieur de la Commission.
L'utilisation de la marque LABEL CNIL est soumise au respect du règlement d'usage de la marque collective.
L'organisme s'engage à fournir à la CNIL un bilan d'activité au terme de la première année. 
La présente délibération sera publiée au Journal officiel de la République française.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés, Saisie par le cabinet ERNST & YOUNG, le 13 juillet 2012, d'une demande de délivrance de label concernant sa procédure d'audit intitulée Audit juridique et technique relatif à la conformité à la loi "informatique et libertés" ;Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu la délibération n° 2006-147 du 23 mai 2006 modifiée fixant le règlement intérieur de la CNIL, notamment ses articles 53 et suivants ;
Vu la délibération n° 2011-316 du 6 octobre 2011 portant adoption d'un référentiel pour la délivrance de labels en matière de procédure d'audit tendant à la protection des personnes à l'égard du traitement des données à caractère personnel ;Vu le dossier et ses compléments ;Sur la proposition de M. Bernard PEYRAT, commissaire, membre du Comité de labellisation et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
L'article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL délivre un label à des produits ou à des procédures tendant à la protection des personnes à l'égard du traitement des données à caractère personnel .Conformément à l'article 53-1 du règlement intérieur de la CNIL, la demande de label a fait l'objet d'une évaluation par le Comité de labellisation.La Commission reconnaît que l'audit de traitements présenté est conforme au référentiel auquel il se rapporte.
Décide 
De la délivrance du label CNIL audit de traitements pour la procédure d'audit intitulée Audit juridique et technique relatif à la conformité à la loi "informatique et libertés" du cabinet ERNST & YOUNG. 
Ce label est délivré pour une durée de trois ans conformément à l'article 53-11 du règlement intérieur de la Commission.
L'utilisation de la marque LABEL CNIL est soumise au respect du règlement d'usage de la marque collective.
L'organisme s'engage à fournir à la CNIL un bilan d'activité au terme de la première année.
La présente délibération sera publiée au Journal officiel de la République française.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés, Saisie par le cabinet ACTECIL CARAÏBES, le 4 février 2013, d'une demande de délivrance de label concernant sa procédure d'audit intitulée  audit de traitements nominatifs  ;Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu la délibération n° 2006-147 du 23 mai 2006 modifiée fixant le règlement intérieur de la CNIL, notamment ses articles 53 et suivants ;
Vu la délibération n° 2011-316 du 6 octobre 2011 portant adoption d'un référentiel pour la délivrance de labels en matière de procédure d'audit tendant à la protection des personnes à l'égard du traitement des données à caractère personnel ;Vu le dossier et ses compléments ;Sur la proposition de M. Bernard PEYRAT, commissaire, membre du Comité de labellisation et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
L'article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL  délivre un label à des produits ou à des procédures tendant à la protection des personnes à l'égard du traitement des données à caractère personnel .Conformément à l'article 53-1 du règlement intérieur de la CNIL, la demande de label a fait l'objet d'une évaluation par le Comité de labellisation.La Commission reconnaît que l'audit de traitements présenté est conforme au référentiel auquel il se rapporte.
Décide 
De la délivrance du label CNIL  audit de traitements  pour la procédure d'audit intitulée  audit de traitements nominatifs  du cabinet ACTECIL CARAÏBES. 
Ce label est délivré pour une durée de trois ans conformément à l'article 53-11 du règlement intérieur de la Commission.
L'utilisation de la marque LABEL CNIL est soumise au respect du règlement d'usage de la marque collective.
L'organisme s'engage à fournir à la CNIL un bilan d'activité au terme de la première année.
(Demande d’autorisation n° 1627297)
La Commission nationale de l’informatique et des libertés, 
Saisie par la société RueduCommerce SA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la détection des transactions présentant un risque de fraude ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-4°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Après avoir entendu M. Bernard PEYRAT, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :
Sur le responsable du traitement
La société RueduCommerce SA est une société de distribution de produits informatiques et électroniques grand public exclusivement sur Internet (« pure player »).
Dans le cadre de son activité de vente en ligne, de 2006 à 2011, la société RueduCommerce SA, ci-dessous  dénommée RdC, a constaté que les clients ayant déjà tenté de commettre une fraude avaient, dans de nombreux cas, renouvelé de telles tentatives de fraudes. 
La société RdC a indiqué à la CNIL que le montant de ces tentatives équivaudrait à son résultat net de 2010 et 2011.
Sur la finalité
La société RdC a saisi la Commission nationale de l’informatique et des libertés (CNIL) d’une demande d’autorisation relative à la mise en œuvre d’un traitement ayant pour finalité la détection des transactions présentant un risque de fraude et susceptibles de générer un impayé.
Afin de lutter contre les tentatives de fraude à la carte bancaire effectuées lors d’achats à distance, la société RdC souhaite mettre en œuvre un traitement comportant deux modules :
le premier module permettra d’évaluer si les transactions de clients dits « à risque » (tels que les personnes résidant à l’étranger ou déclarant une adresse de livraison distincte de leur adresse de résidence) présentent ou non de réels risques de fraude, notamment via l’étude de documents justificatifs de leur identité et de leur domicile ; 
le second module permettra d’enregistrer les données relatives aux clients suspectés de fraude et qui sont effectivement à l’origine d’un impayé, afin d’identifier, lors d’une prochaine commande, que leur dossier présente un risque particulier de fraude.
La Commission considère qu’un tel traitement peut avoir pour effet d’exclure des personnes du bénéfice d’un contrat en l’absence de toute disposition légale ou réglementaire le prévoyant, en leur ôtant la possibilité de recourir librement à ce mode de paiement à distance. En conséquence, au titre de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée, ce traitement  doit faire l’objet d’une autorisation de la Commission.
Les fraudes recherchées correspondent uniquement à des utilisations illégitimes de cartes bancaires ou des données qui y sont attachées, lorsque ces utilisations risquent d’avoir des conséquences préjudiciables pour la société RdC. Les utilisations d’une carte par son porteur légitime rendues irrégulières du seul fait d’un défaut de provision ne font en revanche pas partie des risques de fraude visés.
Compte tenu de l’ensemble de ces éléments, la Commission considère que la finalité assignée au traitement est déterminée, explicite et légitime.
Sur les données traitées
Pour répondre à l’objectif de détection des fraudes, la société recourt à un outil d’évaluation des risques. 
Dans ce cadre, les catégories de données traitées concernent :
l’identification des personnes concernées : nom, prénom, adresse postale de facturation, numéros de téléphone et adresse de courrier électronique, historique des achats ;
les données de connexion : adresse IP ; 
les informations d’ordre économique et financier : type et numéro de la carte bancaire, date de validité ;
les informations relatives à la commande : montant et, le cas échéant, montant cumulé sur une période déterminée, références et désignation du ou des produits achetés, prix unitaires, quantité, mode de livraison et données relatives à la livraison (identité du destinataire, adresse électronique, adresses postales, numéros de téléphone).
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Ces données sont conservées dans le traitement déclaré pendant une durée de 36 mois pour permettre de procéder à une analyse manuelle et approfondie des commandes effectuées pendant cette période, notamment lorsque celles-ci présentent une ou plusieurs caractéristiques communes. 
En outre, les noms, prénoms et adresses des clients suspectés de fraude et à l’origine d’impayés seront enregistrés dans un traitement spécifique, conservé 36 mois, en vue de détecter de nouvelles transactions présentant un risque de fraude.
La Commission rappelle que, si les données enregistrées à la suite d'un impayé ne résultent finalement pas d’une tentative de fraude, celles-ci doivent être supprimées dès que le montant total des impayés enregistrés a été réglé. 
En effet, le traitement mis en œuvre par la société RdC vise uniquement à identifier les clients susceptibles de commettre une nouvelle fraude, à l’exclusion des clients ayant rencontré des difficultés de paiement.
Sur les destinataires
Seul le personnel expressément habilité du service interne d’administration des ventes de la société RdC est susceptible d’accéder à ce traitement. Ceci n’appelle pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées au préalable de la mise en œuvre du traitement, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, au moyen d’un courrier adressé par RdC dans le cadre de la demande de justificatifs.
Lorsqu’une commande a donné lieu à une fraude et à un impayé, les données mentionnées sont conservées dans un traitement spécifique. 
La personne concernée est alors informée de cette conservation au moyen d’un courrier personnalisé des conséquences potentielles de cet enregistrement et de ses droits. 
Les droits d’accès et de rectification s’exercent auprès du Service Correspondant CNIL, Rue du Commerce SA, 44 avenue du Capitaine Glarner, 93 400 SAINT OUEN.
Sur les mesures de sécurité
L’authentification des utilisateurs respecte les recommandations de la Commission en la matière et l’ensemble des connexions des agents habilités au traitement de la société RdC sont tracées.
Par ailleurs, la société RdC reçoit les pièces justificatives susmentionnées par courriel.
Or, l’article 34 de la loi du 6 janvier 1978 modifiée dispose que « le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès ». 
Conformément à ces dispositions, la société RdC s’est engagée à assurer une transmission sécurisée des pièces justificatives en mettant à la disposition de ses clients, sur la page de leur compte individuel en ligne, un formulaire spécifique permettant le téléchargement de ces pièces. 
Les autres mesures de sécurité, tant physique que logique, n’appellent pas d’observation de la Commission.
Sur les autres caractéristiques du traitement
Les critères pris en compte pour identifier des risques présentés par la commande sont analysés au regard de règles de fréquence et de récurrence sur une période donnée. 
L’ensemble des commandes passées sur le site de RdC font l’objet de cette analyse. 
En cas de transaction identifiée comme présentant un risque de fraude, le service d’administration des ventes de la société RdC procèdera à une analyse empirique et à une instruction ciblée afin de confirmer ou non le caractère frauduleux de la transaction.
Si les vérifications complémentaires permettent d’écarter tout risque de qualification en fraude, la commande se poursuit normalement. Dans le cas contraire, elle est annulée. Le client en est informé et mis en mesure de présenter ses observations dans le cadre de la demande d’éléments complémentaires.
La Commission prend acte que, conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, les résultats du traitement feront l’objet d’une instruction au cas par cas, et non automatisée. 
Autorise, conformément à la présente délibération, la société RueduCommerce SA à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1512514)
La Commission nationale de l’informatique et des libertés, 
Saisie par l’institut pour enfants et adolescents polyhandicapés « Tony Lainé » de l’association pour adultes et jeunes handicapés des Alpes de Haute-Provence d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi des dossiers individuels de ses usagers,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment son article D.312-37 ; 
Vu le code de la santé publique, notamment son article R.1112-7 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-1°, 25-I-6°, et 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2006-6 du 4 janvier 2006 relatif à l'hébergement de données de santé à caractère personnel et modifiant le code de la santé publique ;