AgentPublic/cnil huggingface dataset:
La Commission considère que les finalités poursuivies par la société par actions simplifiée ACCENTURE POST-TRADE PROCESSING sont déterminées, explicites et légitimes.
Elle estime qu'il y a lieu de faire application de l'article 25-I-6° de la loi du 6 janvier 1978 modifiée, qui soumet à autorisation les traitements portant sur des données parmi lesquelles figure le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques.
A ce titre, elle rappelle que les traitements dit de DLP relèvent, en principe, de la procédure de déclaration normale, sauf lorsqu'ils portent sur des données dont le traitement doit être autorisé par la Commission tel que prévu par l'article 25 de la loi du 6 janvier 1978 modifiée.
Sur la nature des données collectées et traitées :
Les données à caractère personnel collectées par l'outil DLP sont relatives à des :
 
-       données d'identification (adresse e-mail) ;
-       informations d'ordre économique et financier (numéros de cartes bancaires) ;
-       numéros d'inscription des personnes au répertoire national d'identification des personnes physiques (numéros de sécurité sociale).
L'outil DLP est configuré pour rechercher et sécuriser uniquement les données qui, en raison de leur nature, exigent un haut niveau de sécurité.
En l'espèce, les données cibles recherchées comprennent uniquement des numéros de sécurité sociale et des numéros de cartes bancaires.
Par ailleurs, pour réduire le nombre de faux incidents, le responsable de traitement a décidé qu'une alerte ne sera émise qu'en cas de détection d'au mois vingt-cinq numéros de sécurité sociale ou d'au moins vingt-cinq numéros de cartes bancaires.
Les données stockées dans les boites de réception ou les dossiers des employés ne sont pas analysées par l'outil DLP tant qu'elles ne font pas l'objet d'une transmission. 
En cas de transmission, les courriers électroniques et les fichiers identifiés par leurs émetteurs comme étant  privés  sont également exclus du champ d'application du présent traitement, ce qui apporte une garantie quant au respect du secret des correspondances privées.
La Commission considère que le traitement des données précédemment listées est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
Elle précise que l'ajout d'un nouveau type de données cibles dont le traitement est, en application de la loi du 6 janvier 1978 modifiée, soumis à autorisation préalable de la Commission devra faire l'objet d'une nouvelle demande d'autorisation.
Sur les destinataires des données :
Les données du présent traitement seront transmises pour instruction :
-       aux membres habilités du service chargé de la sécurité (SOC) de la société Accenture LLP ;
-       aux membres habilités du service chargé de la réponse aux incidents informatiques (CIRT) de la société Accenture LLP.
En cas de détection d'une anomalie par ces personnes, les données pourront être transmises :
-       aux membres habilités du service  Corporate investigation  de la société Accenture LLP ;
-       aux membres habilités du service des ressources humaines de la société par actions simplifiée ACCENTURE POST-TRADE PROCESSING ;
-       au(x) manager(s) concerné(s) de la société par actions simplifiée ACCENTURE POST-TRADE PROCESSING ; 
-       au data privacy officer de la société par actions simplifiée ACCENTURE POST-TRADE PROCESSING chargé de garantir la protection des données à caractère personnel.
La Commission considère que ces destinataires présentent un intérêt légitime à connaître des données collectées par l'intermédiaire de l'outil DLP.
Elle relève, par ailleurs, que le client concerné par une anomalie se rapportant aux données à caractère personnel confiées à la société par actions simplifiée ACCENTURE POST-TRADE PROCESSING pourra être informé de l'incident.
Sur la durée de conservation des données :
Les données relevant de la vie privée des utilisateurs qui seraient collectées, malgré les précautions prises en amont par le responsable de traitement, seront immédiatement détruites.
Les données relatives à une alerte ne mettant pas en lumière une anomalie seront détruites au plus tard trois jours à compter du constat.
Les personnes concernées sont informées, conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, par des actions de communication interne, notamment la remise d'une notice d'utilisation avant la mise en œuvre de l'outil DLP expliquant son fonctionnement, par une insertion dans le règlement intérieur et, enfin, par l'affichage d'une fenêtre d'avertissement ou par l'envoi d'un courriel automatique en cas de détection d'une opération soumise à restriction.
Les droits d'accès, de rectification et d'opposition pour motif légitime s'exercent auprès du data privacy officer (DPO) de la société par actions simplifiée ACCENTURE POST-TRADE PROCESSING.   
La Commission considère que ces modalités d'information et d'exercice des droits des personnes sont satisfaisantes.
 
Sur la sécurité des données et la traçabilité des actions :
Des profils d'habilitation définissent les données et les fonctionnalités accessibles en fonction des utilisateurs.
Les échanges de données sont sécurisés par l'utilisation d'un procédé de chiffrement (AES 128 bits).
Une fonctionnalité de journalisation des opérations permet d'identifier l'utilisateur à l'origine d'une opération.
Les interventions de maintenance sont enregistrées dans une main courante.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
 
Dans ces conditions, la Commission autorise la société par actions simplifiée ACCENTURE POST-TRADE PROCESSING à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité de garantir la confidentialité et  la sécurité de certaines des données à caractère personnel confiées par ses  clients.
 
 
La  Présidente
 
I.  FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés, Saisie par la société  par actions simplifiée ACCENTURE TECHNOLOGY SOLUTIONS d'une demande d'autorisation concernant la mise en œuvre d'un traitement automatisé de données à caractère personnel ayant pour finalité de garantir la confidentialité et la sécurité de certaines des données à caractère personnel confiées par ses clients  ; Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 25-I-6° et 69 ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;Sur la proposition Madame Marie-France MAZARS, commissaire, et après avoir entendu les observations de Monsieur Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
La Commission nationale de l'informatique et des libertés a été saisie par la société par actions simplifiée ACCENTURE TECHNOLOGY SOLUTIONS, sur le fondement de l'article 25-I-6° de la loi du 6 janvier 1978 modifiée, d'une demande d'autorisation préalablement à la mise en œuvre d'un traitement de données à caractère personnel ayant pour finalité de garantir la confidentialité et la sécurité de certaines des données à caractère personnel confiées par ses clients.
Sur la finalité du traitement : 
Au titre de ses obligations, notamment au regard de l'article 34 de la loi du 6 janvier 1978 modifiée et des contrats signés avec ses partenaires commerciaux, la société par actions simplifiée ACCENTURE TECHNOLOGY SOLUTIONS est tenue de garantir la sécurité des données qui lui sont confiées.Afin de détecter et de prévenir la perte de ces données, ainsi que leur diffusion accidentelle ou malveillante, un outil dit de  Data Loss Prévention (DLP)  analysera les réseaux internes de la société, les postes de travail professionnels ainsi que les points de sortie des réseaux internes.
Seules les données préalablement définies, qui exigent un haut niveau de sécurité, appelées données cibles, seront recherchées par cet outil. En l'espèce, les données cibles sont  des numéros d'inscription des personnes au répertoire national d'identification des personnes physiques (ou numéros de sécurité sociale) et des numéros de cartes bancaires.
La Commission considère que les finalités poursuivies par la société par actions simplifiée ACCENTURE TECHNOLOGY SOLUTIONS sont déterminées, explicites et légitimes.
Elle estime qu'il y a lieu de faire application de l'article 25-I-6° de la loi du 6 janvier 1978 modifiée, qui soumet à autorisation les traitements portant sur des données parmi lesquelles figure le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques.
A ce titre, elle rappelle que les traitements dit de DLP relèvent, en principe, de la procédure de déclaration normale, sauf lorsqu'ils portent sur des données dont le traitement doit être autorisé par la Commission tel que prévu par l'article 25 de la loi du 6 janvier 1978 modifiée.
Sur la nature des données collectées et traitées :
Les données à caractère personnel collectées par l'outil DLP sont relatives à des :
-	données d'identification (adresse e-mail) ;-	informations d'ordre économique et financier (numéros de cartes bancaires) ;-	numéros d'inscription des personnes au répertoire national d'identification des personnes physiques (numéros de sécurité sociale).
L'outil DLP est configuré pour rechercher et sécuriser uniquement les données qui, en raison de leur nature, exigent un haut niveau de sécurité.
En l'espèce, les données cibles recherchées comprennent uniquement des numéros de sécurité sociale et des numéros de cartes bancaires.
En cas de détection d'une anomalie par ces personnes, les données pourront être transmises :
-	aux membres habilités du service  Corporate investigation  de la société Accenture LLP ;-	aux membres habilités du service des ressources humaines de la société par actions simplifiée ACCENTURE TECHNOLOGY SOLUTIONS ;-	au(x) manager(s) concerné(s) de la société par actions simplifiée ACCENTURE TECHNOLOGY SOLUTIONS ; -	au data privacy officer de la société par actions simplifiée ACCENTURE TECHNOLOGY SOLUTIONS chargé de garantir la protection des données à caractère personnel.
La Commission considère que ces destinataires présentent un intérêt légitime à connaître des données collectées par l'intermédiaire de l'outil DLP.
Elle relève, par ailleurs, que le client concerné par une anomalie se rapportant aux données à caractère personnel confiées à la société par actions simplifiée ACCENTURE TECHNOLOGY SOLUTIONS pourra être informé de l'incident.
Sur la durée de conservation des données :
Les données relevant de la vie privée des utilisateurs qui seraient collectées, malgré les précautions prises en amont par le responsable de traitement, seront immédiatement détruites.
Les données relatives à une alerte ne mettant pas en lumière une anomalie seront détruites au plus tard trois jours à compter du constat.
Les personnes concernées sont informées, conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, par des actions de communication interne, notamment la remise d'une notice d'utilisation avant la mise en œuvre de l'outil DLP expliquant son fonctionnement, par une insertion dans le règlement intérieur et, enfin, par l'affichage d'une fenêtre d'avertissement ou par l'envoi d'un courriel automatique en cas de détection d'une opération soumise à restriction.
Les droits d'accès, de rectification et d'opposition pour motif légitime s'exercent auprès du data privacy officer (DPO) de la société par actions simplifiée ACCENTURE TECHNOLOGY SOLUTIONS.   
La Commission considère que ces modalités d'information et d'exercice des droits des personnes sont satisfaisantes.
Sur la sécurité des données et la traçabilité des actions :
Des profils d'habilitation définissent les données et les fonctionnalités accessibles en fonction des utilisateurs.
Les échanges de données sont sécurisés par l'utilisation d'un procédé de chiffrement (AES 128 bits).
Une fonctionnalité de journalisation des opérations permet d'identifier l'utilisateur à l'origine d'une opération.
Les interventions de maintenance sont enregistrées dans une main courante.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise la société par actions simplifiée ACCENTURE TECHNOLOGY SOLUTIONS à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité de garantir la confidentialité et la sécurité de certaines des données à caractère personnel confiées par ses clients.
 
La Présidente
I. FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie par le ministère de l'intérieur d'une demande d'avis concernant un projet de décret portant application de l'article L. 232-4 du code de sécurité intérieure et fixant les modalités de transmission au ministère de l'intérieur des données relatives aux passagers par les transporteurs aériens ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu la directive 2004/82/CE du Conseil du 29 avril 2004 concernant l'obligation pour les transporteurs de communiquer les données relatives aux passagers ;Vu les articles L. 232-1 à L. 232-6 du code de la sécurité intérieure ;Vu la loi n° 78-17 du 6 janvier modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26-1 ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 2006-1630 du 19 décembre 2006 pris pour l'application de l'article 7 de la loi n° 2006-64 du 23 janvier 2006 et fixant les modalités de transmission au ministère de l'intérieur des données relatives aux passagers par les
transporteurs aériens ;Vu l'arrêté du 11 avril 2013 portant autorisation d'un traitement automatisé de données à caractère personnel dénommé SETRADER ;Vu la délibération n° 2013-016 du 17 janvier 2013 portant avis sur un projet d'arrêté relatif à la mise en oeuvre d'un traitement de données à caractère personnel dénommé Système européen de traitement des données d'enregistrement et de réservation (SETRADER) ;
Sur la proposition de M. Sébastien Huyghe, commissaire, et après avoir entendu les observations de M. Jean-Alexandre Silvy, commissaire du Gouvernement ;
Emet l'avis suivant :La Commission a été saisie par le ministère de l'intérieur d'une demande d'avis concernant un projet de décret portant application de l'article L. 232-4 du code de la sécurité intérieure (CSI) et fixant les modalités de transmission au ministère de l'intérieur des données relatives aux passagers par les transporteurs aériens.
En application des articles L. 232-1 et suivants du CSI, les transporteurs aériens sont tenus de recueillir et de transmettre aux services du ministère de l'intérieur, aux fins de lutte contre l'immigration illégale et le terrorisme, les données relatives aux passagers aériens enregistrées dans leurs systèmes de réservation et de contrôle des départs. L'article L. 232-4 du CSI prévoit qu'un décret en Conseil d'Etat, pris après avis de la Commission nationale de l'informatique et des libertés, fixe les modalités de ces transmission des données.
Ces modalités, notamment techniques, ont ainsi été ainsi fixées par le décret n° 2006-1630 du 19 décembre 2006 pris pour l'application de l'article 7 de la loi n° 2006-64 du 23 janvier 2006. Du fait de la mise en oeuvre du traitement SETRADER, qui permet l'emploi de nouvelles normes techniques de transmission, le ministère de l'intérieur projette de modifier ces dispositions. Les nouvelles modalités de transmission de ces données doivent donc faire l'objet d'un décret en Conseil d'Etat pris après l'avis motivé et publié de la Commission, conformément aux dispositions combinées du CSI et de l'article 26 de la loi du 6 janvier 1978 modifiée.
Rappel sur le traitement SETRADER :Le traitement SETRADER a été autorisé par arrêté du 11 avril 2013, pris après l'avis de la Commission en date du 17 janvier 2013. Créé en remplacement du Fichier des passagers aériens, ce traitement doit permettre de disposer d'un outil de traitement des données dites API ( Advanced Passenger Information ) plus fiable et opérationnel, et capable de traiter un volume de données plus important. En outre, ce traitement a vocation à devenir, à terme, la plate-forme française de traitement des données de réservation des voyageurs détenues par les transporteurs (données dites PNR pour  Passenger Name Record , plus nombreuses et complètes que les données API) dans le cadre de la mise en œuvre d'un système PNR européen basé sur la proposition de directive de la Commission européenne du 2 février 2011.
Conformément aux dispositions précitées du CSI, ce traitement a pour finalités d'améliorer le contrôle aux frontières, de lutter contre l'immigration clandestine et de prévenir et réprimer des actes de terrorisme.
Les modifications projetées, essentiellement d'ordre technique, résultent de la mise en service de ce traitement SETRADER, qui permet l'emploi de nouvelles normes de transmission des données par les transporteurs aériens au ministère de l'intérieur.
Sur les modifications techniques :Le décret n° 2006-1630 du 19 décembre 2006 prévoit actuellement une seule norme de transmission, comme EDIFACT/ONU/PAXLST. Le projet de décret prévoit la transmission de la liste des données des passagers enregistrées dans le traitement SETRADER sous d'autres formats que cette dernière. Les compagnies aériennes auront désormais la possibilité de transmettre cette liste au ministère de l'intérieur sous la forme de fichiers au format EDIFACT, XML, CSV ou EXCEL.Cet élargissement des normes de transmission permettra de faciliter techniquement le respect des obligations mises à la charge des transporteurs aériens.
L'article 1er du projet de décret modificatif précise que les données à caractère personnel sont transmises  par envoi électronique sécurisé  au ministère de l'intérieur. A cet égard, la Commission rappelle que la transmission d'un message par simple courriel n'assure pas la confidentialité des données qu'il contient. Par la référence explicite à un envoi électronique sécurisé, la Commission considère que ces dispositions imposent que toutes les mesures nécessaires soient prises pour garantir la confidentialité et la fiabilité des données transmises ainsi que la disponibilité du canal de transmission.Les autres conditions de mise en oeuvre du traitement SETRADER ne sont pas modifiées, en particulier la transmission et le stockage des données traitées.
 
Pour la présidente :
Le vice-président délégué,
E. de Givry
La Commission nationale de l'informatique et des libertés,Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet d'arrêté autorisant la mise en œuvre de systèmes de vidéoprotection et la création de traitements automatisés de données à caractère personnel destinés à la sécurisation et au contrôle des accès aux locaux et emprises relevant du ministère de l'intérieur ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu le code de la sécurité intérieure, notamment ses articles L. 251-1 et suivants ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 26-l et 26-1-V ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; 
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés a été saisie pour avis par le ministre de l'intérieur d'un projet d'arrêté-cadre portant autorisation de mise en œuvre de systèmes de vidéoprotection et création de traitements automatisés de données à caractère personnel destinés à la sécurisation et au contrôle des accès aux locaux et emprises relevant du ministère de l'intérieur.Les systèmes de vidéosurveillance et les traitements projetés destinés à la sécurisation et au contrôle des accès aux bâtiments du ministère de l'intérieur ont pour finalité de prévenir, constater et poursuivre des infractions pénales et peuvent, dans certains cas, concerner des lieux intéressants la sûreté de l'Etat et la sécurité publique. Il y a dès lors lieu de faire application des dispositions de l'article 26-I de la loi du 6 janvier 1978 modifiée qui soumettent la création de tels traitements à un arrêté ministériel pris après avis motivé et publié de la commission.L'arrêté projeté constitue en outre un acte réglementaire unique au sens de l'article 26-IV de la loi du 6 janvier 1978 modifiée. Des engagements de conformité devront être adressés à la commission par chaque responsable de traitement (chef de brigade, commissaire, etc.), préalablement à leur mise en œuvre.
Sur les finalités du traitement :A titre liminaire, le projet d'arrêté utilise le terme de  vidéoprotection  pour désigner les systèmes filmant l'intérieur des locaux et emprises relevant du ministère de l'intérieur. Conformément aux dispositions des articles L. 251-1 et suivants du code de la sécurité intérieure, ce terme concerne uniquement les systèmes de caméras installés sur la voie publique et dans les lieux ouverts au public. Le ministère a précisé que le choix de ce terme dans le projet d'arrêté relève uniquement d'une volonté sémantique, puisque les dispositifs de caméras sont installés pour protéger les personnes et les biens et non pas pour les surveiller.La commission prend acte du choix de ce terme dans la mesure où il n'a aucune incidence sur le régime légal et réglementaire applicable à ces dispositifs. A cet égard, elle rappelle que l'installation de caméras dans des espaces ouverts au public (halls d'accueil, parkings, etc.) ne saurait être couverte par l'arrêté projeté et devra donc faire l'objet d'une demande d'autorisation auprès de l'autorité préfectorale territorialement compétente.De manière générale, les traitements créés par ce projet d'arrêté ont pour objectif la sécurisation des locaux et emprises du ministère de l'intérieur sur l'ensemble du territoire national (préfectures, commissariats de police, brigades de gendarmerie, etc.). Plus précisément, l'article 1er du projet d'arrêté prévoit les deux finalités poursuivies : d'une part, la protection