AgentPublic/cnil huggingface dataset:
Sur les données traitées
Les données traitées sont identiques à celles mentionnées dans l’autorisation unique n°4 :
identité, fonctions et coordonnées de l'émetteur de l'alerte professionnelle ; 
identité, fonctions et coordonnées des personnes faisant l'objet d'une alerte ; 
identité, fonctions et coordonnées des personnes intervenant dans le recueil ou dans le traitement de l'alerte ; 
faits signalés ; 
éléments recueillis dans le cadre de la vérification des faits signalés ; 
compte rendu des opérations de vérification ; 
suites données à l'alerte.
Sur les destinataires
Seront destinataires de tout ou partie des données, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, le secrétaire général et le directeur des ressources humaines. Ils pourront être assistés dans leur démarche par les correspondants éthiques locaux.La Commission observe que les personnes chargées du recueil et du traitement des alertes professionnelles sont en nombre limité, spécialement formées et astreintes à une obligation de confidentialité contractuellement définie.
Sur l’information et le droit d’accès
Les utilisateurs potentiels du dispositif d’alerte seront informés par une communication sur l’intranet de la société.La Commission observe qu’il est clairement rappelé que l’utilisation abusive de ce dispositif peut exposer son auteur à des sanctions disciplinaires, ainsi qu’à des poursuites judiciaires.La personne éventuellement mise en cause est informée dès l’enregistrement de ces données, après une première vérification. Des mesures conservatoires peuvent être prises avant l’information de la personne.Les droits d’accès et de rectification s’exerceront via l’adresse mail : ethics.legrand@legrandelectric.com ou par courrier à l’attention du secrétaire général du groupe ou du directeur des ressources humaines du groupe.La Commission relève que les instances représentatives du personnel ont été informées du traitement (le comité central d’entreprise, le comité d’entreprise des 23 établissements et filiales françaises ainsi que le comité de groupe).
Sur les mesures de sécurité
Les mesures de sécurité sont prises afin de préserver la sécurité des données et, notamment, empêcher que des tiers non autorisés y aient accès. L’accès au compte de messagerie électronique se fera par un identifiant et un mot de passe confidentiel et personnel.
Sur les autres caractéristiques du traitement
S’agissant des modalités de recueil de l’alerte, le salarié qui souhaite signaler un manquement dans les domaines précités peut contacter les personnes en charge du dispositif via une adresse mail dédiée : ethics.legrand@legrandelectric.com. Il est également possible de signaler une alerte éthique par courrier postal à l’attention du secrétaire général du groupe ou du directeur des ressources humaines du groupe.
Autorise, conformément à la présente délibération, la société LEGRAND à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1611087)
La Commission nationale de l’informatique et des libertés, 
Saisie par le Centre Hospitalier de Denain d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité un système d’échange de données de santé dans le cadre d’un réseau régional inter-hospitalier de télémédecine, dénommé TELURGE, en matière d’urgence neurochirurgicale.
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 6316-1, L. 1110-4 et L. 1111-8 ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I, 1°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean Massot, commissaire, et après avoir entendu les observations de Mme Elisabeth Rolin, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Centre Hospitalier Universitaire de Denain
Sur la finalité
qui poursuivent un intérêt public.La Commission constate que la finalité est déterminée, explicite et légitime.
- L’information des patients ou de leur représentant légal est assurée par l’affichage dans les locaux du service d’urgences concerné d’une note indiquant l’existence d’un système de télétransmission d’images médicales, la nature des données transmises, l’identité des centres hospitaliers partenaires et les modalités d’exercice du droit d’accès. Une mention d’information figure également sur le livret d’accueil de l’établissement.Le médecin prescripteur en informe également celui-ci ou son représentant légal, au cours de la consultation et obtient son accord exprès.- Le droit d’accès s’exerce auprès de la Direction générale du Centre Hospitalier de Denain.Ces modalités d’exercice des droits des personnes n’appellent pas d’observation.
Sur les mesures de sécurité
- Les habilitations d’accès au système d’information sont définies en fonction des attributions des intervenants. - Le contrôle des accès aux dossiers des patients se fait par une carte de professionnel de santé ou par un identifiant associé à un mot de passe. Toutefois, la Commission rappelle que l’authentification des professionnels de santé par identifiant et mot de passe n’était admise qu’à titre provisoire pendant un délai maximum de trois ans à compter de la publication du décret n° 2007-960 du 15 mai 2007 relatif à la confidentialité des informations médicales. Ce texte impose désormais une authentification forte des professionnels de santé par l’utilisation d’une carte de professionnel de santé (CPS) ou d’un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS, et ce pour toute transmission ou tout accès à des données de santé. La Commission rappelle que le responsable de traitement devra se conformer à ces exigences.- Les accès à l’application font l’objet d’une journalisation répertoriant la date et l’heure de la connexion, l’auteur ainsi que les actions réalisées.- Les données sont transférées par un réseau privatif et l’application met en œuvre des procédés de chiffrement du transport des données.- L’intégrité des données et des images transmises est garantie par un protocole de transmission permettant de détecter les erreurs de transmission.- Une sensibilisation des utilisateurs à la politique de sécurité  est mise en place dans le cadre de la
convention inter-hospitalière.- Un archivage sécurisé des données est  mis en place.- Les informaticiens en charge de la maintenance n’auront pas accès aux données médicales en clair.Les mesures de sécurité mises en place apparaissent satisfaisantes.
Autorise, conformément à la présente délibération, le Centre Hospitalier de Denain à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1582915)
La Commission nationale de l’informatique et des libertés, 
Saisie par l’Etablissement Français du Sang d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’organisation de campagnes d’information et de sensibilisation au don de moelle osseuse auprès des donneurs de sang bénévoles;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
L’établissement français du sang (EFS) est un établissement public placé sous la tutelle du ministère de la santé. Il est, aux termes de la loi, l’opérateur unique du service public de la transfusion sanguine en France. A ce titre, il est chargé de l’ensemble des activités liées aux produits sanguins labiles : collecte, préparation, qualification, distribution et délivrance aux établissements de santé de ces produits.L’EFS et ses 18 représentants régionaux, les établissements de transfusion sanguine (ETS), poursuivent la réalisation d’un intérêt de santé publique.
Sur la finalité
La finalité du présent traitement est l’organisation de campagnes d’information et de sensibilisation au don de moelle osseuse au sein de la population des donneurs de sang bénévoles, en étroite collaboration avec l’Agence de biomédecine. Auprès des donneurs de sang bénévoles, présélectionnés par l’EFS au vu notamment de leur nombre de dons par an et/ou de la nature de leurs dons, la campagne de sensibilisation au don de moelle osseuse se fera grâce à l’envoi de courriers postaux et/ou de courriels individualisés. Le process d’émission et de transmission des courriers et courriels est identique à celui utilisé en matière de promotion du don de sang, tel qu’autorisé par la Commission les 18 août 2010 (autorisation n°1229960) et 17 novembre 2011 (autorisation n°1532748). La Commission considère les finalités poursuivies comme déterminées, légitimes et explicites. La Commission estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.
Sur les données traitées
Les catégories de données collectées sont relatives à l’identification des donneurs de sang bénévoles (nom, prénom, adresse, date et lieu de naissance, numéro de téléphone et adresse postale et électronique) et à leur santé (pathologie, affection, antécédents familiaux, situations ou comportements à risques collectés sous la forme de facteurs de risques). La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie.
Sur les destinataires
Les destinataires des données sont les personnels dûment habilités de l’EFS effectuant la sélection des donneurs et la transmission des courriers et/ou courriels de sensibilisation au don de moelle osseuse. 
Sur l’information et le droit d’accès 
Les donneurs de sang bénévoles, d’ores et déjà inscrits au sein du logiciel médico-technique de l’EFS, seront informés du traitement de leurs données via les formulaires de collecte de données et recevront un courrier et/ou un courriel relatif au don de moelle osseuse.Le droit d’accès s’exerce auprès du directeur de l’établissement de transfusion sanguine dont dépend le site de collecte. 
La Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes. 
Sur les mesures de sécurité
Les utilisateurs ayant accès à l’application sont authentifiés au moyen d’un mot de passe respectant les recommandations de la Commission en la matière. Des profils d’habilitation permettent de déterminer les données auxquelles peuvent accéder les utilisateurs.L’ensemble des accès en création, modification, mise à jour et suppression sont tracés et conservés dans le dossier du patient.Les réseaux au travers desquels sera accessible le traitement, ceux-ci seront reliés entre eux par un réseau VPN (Virtual Network Computer) présentant un niveau de sécurité suffisant.La Commission juge les mesures de sécurité mises en place satisfaisantes. 
Sur les autres caractéristiques du traitement
Les données seront conservées pendant 30 ans et conformément aux dispositions légales et règlementaires applicables. La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement. 
Autorise, conformément à la présente délibération, l’Etablissement Français du Sang à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1600492)
La Commission nationale de l’informatique et des libertés, 
Saisie par la Société Nationale des Chemins de Fer (SNCF) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion d’une main courante électronique et des constats d’infraction à la police des chemins de fer ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I°3 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-François CARREZ, commissaire, et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
Le responsable de traitement est la société nationale des chemins de fer (SNCF), qui a confié la mise en œuvre du traitement au service de la surveillance générale (SUGE).
Sur la finalité
Le traitement de données à caractère personnel est mis en œuvre pour les finalités suivantes : 
L’aide à la saisie des mains courantes de fin de service rédigées par les agents de la SUGE dans le cadre de leur mission de lutte contre les infractions à la police des chemins de fer. Ces mains courantes reprennent l’ensemble des actions réalisées lors d’une journée de service ;
L’aide à la rédaction de rapports rédigés suite au constat d’une contravention de 5ème classe à la police des chemins de fer ou d’un délit, ou encore lorsqu’un individu est remis à l’officier de police judiciaire ou lorsqu’une injonction de descente du train ou de sortie des emprises est réalisée ;
La traçabilité des actions réalisées par la SUGE afin de pouvoir répondre aux réquisitions judiciaires ;
La réalisation de statistiques anonymes portant sur l’évolution des infractions à la police des chemins de fer.
La Commission estime que ces finalités sont déterminées, explicites et légitimes.
Par ailleurs, l’article 9 de la loi du 6 janvier 1978 modifiée liste les personnes pouvant mettre en œuvre un traitement de données relatives aux infractions, condamnations et mesures de sûreté.
Dans sa décision du 29 juillet 2004, le Conseil Constitutionnel a invalidé l’article 9-3° qui permettait à une personne morale de droit privé, mandatée par d’autres personnes morales estimant avoir été victimes ou être susceptibles d’être victimes d’agissements passibles de sanctions pénales, de rassembler des données portant sur des infractions, condamnations ou mesures de sûreté, au motif de son caractère trop général et du manque de précision sur les garanties devant encadrer ce type de traitement. Pour autant, le Conseil Constitutionnel a précisé que cette annulation ne saurait être interprétée comme « privant d’effectivité le droit d’exercer un recours juridictionnel dont dispose toute personne physique ou morale s’agissant des infractions dont elle a été victime ». 
Cette réserve d’interprétation était indispensable pour ne pas priver de base légale les traitements légitimement mis en œuvre pour assurer le suivi des dossiers contentieux relatifs à des infractions. Elle permet à toute personne de constituer, pour les besoins de l’exercice de son droit au recours, des fichiers de pré-contentieux.
Dans ce contexte, la Commission considère qu’il y a lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté.
Sur les données traitées
Les données traitées sont relatives :
A l’identification :
des usagers : nom, prénom, adresse, date et lieu de naissance, sexe ;
des agents de la SUGE concernés : nom, prénom ;
des personnels des sociétés de gardiennage contrôlés : nom, prénom, numéro de carte professionnel ;
A l’événement : type et nom de l’emprise (lieu), heures de début et de fin, nombre d’agents concernés, types d’action ;
Aux infractions que les agents de la SUGE sont habilités à constater.
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie. 
Par ailleurs, elle rappelle que les données contenues dans des zones « commentaires » doivent, comme toute information à caractère personnel enregistrée dans un traitement, être pertinentes, adéquates et non excessives au regard de la finalité du traitement. Ces mentions doivent être exclusives de toute appréciation subjective et ne sauraient en aucun cas faire apparaître directement ou indirectement des données relatives aux origines raciales, aux opinions politiques, philosophiques ou religieuses ou aux appartenances syndicales, ou qui sont relatives à la santé ou à la vie sexuelle. 
Sur les destinataires
Les destinataires des données sont les agents dûment habilités de la SUGE et les forces de l’ordre sur réquisition judiciaire. La liste de ces destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes sont informées par une mention apposée sur les panneaux d’affichage dans les gares de la SNCF, ainsi que sur les procès-verbaux remis aux personnes concernées.Les droits d’accès et de rectification s’exercent auprès de la Direction juridique de la sûreté de la SNCF – 34 rue du Commandant Mouchotte – 75014 Paris. La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes. 
Sur les mesures de sécurité
Le traitement est disponible uniquement sur le réseau interne de la SNCF, qui fait l’objet de mesures visant à éviter et détecter les intrusions.Les modalités d’authentification des utilisateurs habilités apparaissent conformes aux recommandations de la Commission.Une gestion des habilitations a été mise en place et les agents n’ont accès qu’aux données pour lesquelles ils sont habilités, en fonction de leur position hiérarchique et de leur périmètre géographique de rattachement.Des mesures de traçabilité ont été mises en place afin de permettre de suivre la consultation des procès verbaux générés par le traitement ; ces données de traçabilité sont conservées pendant un an.Les autres mesures de sécurité mises en place n’appellent pas d’observation de la part de la Commission.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant une durée de trois ans. La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.Par ailleurs, le traitement est interconnecté avec l’application Harmonie, qui est un outil de suivi de la production ferroviaire des entités de la SUGE (composition des équipes, directives du supérieur hiérarchique, trains accompagnés, temps passé dans les gares, etc.).
Autorise, conformément à la présente délibération, la Société Nationale des Chemins de Fer (SNCF) à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1383049v2)
La Commission nationale de l’informatique et des libertés ; 
Saisie par Banque Accord d’une demande de modification de la délibération n°2011-200 du 30 juin 2011 autorisant la mise en place à titre expérimental par Banque Accord d’un système de paiement sans contact avec authentification biométrique du payeur et abrogeant la délibération n°2009-700 du 17 décembre 2009 ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son articles 25-I-8 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Paul AMOUDRY, commissaire, et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
La Commission a délivré à Banque Accord, le 30 juin 2011, une autorisation portant sur la mise en place à titre expérimental d’un système de paiement sans contact avec authentification biométrique du porteur. Cette autorisation prévoit que « L'expérimentation envisagée est limitée dans le temps et dans l'espace. Elle concerne l'utilisation en 2012, pendant une durée de six mois, des cartes bancaires avec authentification biométrique du porteur chez quelques commerçants participant à cette expérimentation ». 
La phase d’expérimentation ayant été retardée, elle se poursuivra au premier semestre 2013. Cette modification n’appelle pas d’observation de la part de la Commission.
Dès lors, la Commission autorise la modification par Banque Accord de l’expérimentation relative à un système de paiement sans contact avec authentification biométrique du payeur.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1415659 V2)
La Commission nationale de l’informatique et des libertés, 
Saisie par la société EADS FRANCE SAS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dispositif d’alerte professionnelle ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 6-3°, 7-5°, 25-I-4°, 35 et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération de la CNIL n°2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle, telle que modifiée le 14 octobre 2010 (AU-04);
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, commissaire, et après avoir entendu les observations de Mme Elisabeth Rolin, commissaire du Gouvernement ;