AgentPublic/cnil huggingface dataset:
Vu la délibération de la Cnil n°2013-107 du 25 avril 2013 autorisant la société MERCEDES-BENZ France à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dispositif d’alerte professionnelle ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société par actions simplifiée MERCEDES-BENZ MOLSHEIM est une filiale de la société Mercedes Benz France, elle-même détenue par le groupe automobile Daimler AG dont le siège social est situé en Allemagne. 
Sur la finalité
La société MERCEDES-BENZ MOLSHEIM a déposé un dossier de demande d’autorisation de mise en œuvre d’un dispositif de traitement de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle pour l’ensemble des salariés. La Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire. La Commission rappelle qu’elle a adopté le 8 décembre 2005 une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle. Tout projet de traitement automatisé dont les finalités ou les catégories de données ou de destinataires excèdent le cadre de cette autorisation unique ou qui ne respecterait pas les exigences qui y sont définies, doit, en revanche, faire l’objet d’une demande d’autorisation spécifique.L’analyse des caractéristiques du traitement, objet de la demande d’autorisation, fait apparaître une différence par rapport à l’AU-004 qui doit dès lors être soumise à l’examen de la Commission. En effet, la société MERCEDES-BENZ MOLSHEIM n’est soumise à aucune disposition législative ou
réglementaire de droit français ou étranger (lois « SOX » américaine et japonaise) imposant la mise en place d’un dispositif d’alerte professionnelle. La Commission observe que la société MERCEDES-BENZ MOLSHEIM est soumise au code de bonne gouvernance d’entreprise allemand qui incite les entreprises à renforcer le contrôle interne et la gestion des risques. En outre, de par ses activités à l’international, le groupe est tenu de renforcer son contrôle interne et de fournir des données financières fiables à ses partenaires.La Commission considère que l’utilisation du dispositif d’alerte doit demeurer facultative et complémentaire par rapport aux autres voies légales de remontée de réclamations des salariés. En outre, elle estime qu’afin de tenir compte de ce caractère intrinsèquement complémentaire, un dispositif d’alerte doit être limité dans son champ.A cet égard, elle relève que le champ du dispositif d’alerte professionnelle présenté par la société MERCEDES-BENZ MOLSHEIM est strictement limité aux manquements graves qui s’appliquent aux domaines comptables, financier, bancaire et de lutte contre la corruption. La Commission estime qu’en l’espèce le dispositif d’alerte qui lui est présenté est limité dans son champ et répond à l’intérêt légitime du responsable du traitement.
Sur les données traitées
Les données seront identiques à celles mentionnées dans l’autorisation unique n°004, à savoir :
identité, fonctions et coordonnées de l'émetteur de l'alerte professionnelle ; 
identité, fonctions et coordonnées des personnes faisant l'objet d'une alerte ; 
identité, fonctions et coordonnées des personnes intervenant dans le recueil ou dans le traitement de l'alerte ; 
faits signalés ; 
éléments recueillis dans le cadre de la vérification des faits signalés ; 
compte rendu des opérations de vérification ; 
suites données à l'alerte.
Enfin, la Commission observe qu’il est clairement rappelé que l’utilisation abusive de ce dispositif peut exposer son auteur à des sanctions disciplinaires, ainsi qu’à des poursuites judiciaires. 
Sur les destinataires
Seront destinataires de tout ou partie des données, dans la limite de leurs attributions et pour la poursuite de la finalité précitée :
les personnes habilitées travaillant au sein de Daimler AG intervenant dans la gestion des alertes et des vérifications ;
les personnes habilitées travaillant au sein de MERCEDES-BENZ MOLSHEIM ;
le personnel habilité du prestataire externe.
La Commission observe que les personnes chargées du recueil et du traitement des alertes professionnelles sont en nombre limité, spécialement formées et astreintes à une obligation de confidentialité contractuellement définie.
Sur l’information et le droit d’accès
L’information des salariés est effectuée par la communication d’une plaquette informative relative aux alertes professionnelles, distribuée à chaque salarié par leur manager. Les personnes sont informées des finalités poursuivies par le traitement, des destinataires et de leurs droits d’accès et de rectification. La personne éventuellement mise en cause est informée dès l’enregistrement de ses données, après une première vérification. Des mesures conservatoires peuvent être prises avant l’information de la personne.La Commission prend acte que les instances représentatives du personnel seront informées du traitement.Les droits d’accès et de rectification s’exercent directement auprès du service « Business Practices Office (BPO) » de Daimler AG situé en Allemagne (Mercedes strasse 137, 70327 Stuttgart).
Sur les mesures de sécurité
Le responsable de traitement et le prestataire extérieur auquel il a recours prennent toutes précautions utiles pour préserver la sécurité et la confidentialité des données et, notamment, empêcher que des tiers non autorisés y aient accès.
Les accès au système d’information et les opérations effectuées sur les supports d’enregistrement des données sont tracés.Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. 
Sur les autres caractéristiques du traitement
La Commission observe que le responsable de traitement fait appel à un prestataire extérieur situé aux Etats-Unis et adhérant aux principes du « Safe Harbor ». Il sera chargé de la collecte des alertes auprès des salariés par la mise en place d’une hotline téléphonique.
Autorise, conformément à la présente délibération, la société MERCEDES-BENZ MOLSHEIM à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1658123)
La Commission nationale de l'informatique et des libertés,
Saisie par le SYMEV d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion et la prévention des impayés des Commissaires-priseurs;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Jean-Paul AMOUDRY, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Le Syndicat national des maisons de ventes volontaires, ci-après SYMEV, a saisi la Commission nationale de l’informatique et des libertés d’un projet de traitement automatisé de données à caractère personnel ayant pour finalité la prévention et la gestion des impayés, dénommé « Fichier central de prévention des impayés des Commissaires-priseurs ».
Sur la finalité du traitement :
Le SYMEV est une organisation professionnelle créée en 2001 ayant pour principales missions de promouvoir le principe des ventes aux enchères et de représenter les sociétés de ventes aux enchères auprès des pouvoirs publics français et européens.
Le traitement a pour objet d’identifier les adjudicataires n’ayant pas réglé le montant du bien acquis aux enchères réalisées à distance ou en salle.
Le fichier est mutualisé entre les opérateurs de ventes volontaires (Commissaires-priseurs) adhérents du SYMEV. Ces derniers pourront refuser l’enchère d’une personne enregistrée dans ledit fichier.
Il y a donc lieu, en l’espèce, de faire application de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée  qui soumet à autorisation préalable de la CNIL les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire.
La mise en œuvre d’un signalement suivra les principales étapes chronologiques suivantes.
A défaut de paiement à l’issue de la vente, le Commissaire-priseur adresse une mise en demeure à l’adjudicataire défaillant, conformément à l’article L.321-14 du Code de commerce.
A la suite de cette mise en demeure, si l’adjudicataire ne s’acquitte pas du prix du bien acheté, le Commissaire-priseur l’informe, par courrier recommandé, que le non-paiement au terme d’un délai de quinze jours entraînera son inscription au fichier d’impayés.
En l’absence de régularisation par l’adjudicataire, le Commissaire-priseur signale l’incident de paiement au SYMEV qui procède à son inscription dans le fichier d’impayés. Dans le même temps, l’intéressé est informé de cette inscription par courrier recommandé du SYMEV. 
Si l’adjudicataire conteste l’impayé, le SYMEV supprime provisoirement son nom du fichier. Le SYMEV reçoit les justificatifs de la contestation par l’adjudicataire ainsi que les documents prouvant la créance par le Commissaire-priseur.
Après analyse des documents produits par les intéressés, le SYMEV se prononce sur le bien-fondé de la contestation et informe l’adjudicataire défaillant de sa décision par courrier recommandé ainsi que le Commissaire-priseur, auteur du signalement, par tous moyens. 
La Commission considère la finalité poursuivie comme déterminée, explicite et légitime. 
Sur la nature des données traitées :
Les catégories de données collectées sont relatives :
-  à l’identification de l’adjudicataire défaillant : nom, prénom, date et lieu de naissance, référence de la pièce d’identité, numéro client, adresse, adresse mail ; 
-  à l’identification du Commissaire-priseur auteur du signalement : nom, prénom, adresse ;
-   à la vente ayant donné lieu à l’incident de paiement : date et lieu de la vente, date du procès verbal de vente ou date et lieu du contrat pour des biens non adjugés vendus de gré à gré, désignation de l’objet vendu, prix de vente total, montant de l’impayé, mention du rejet de la contestation par le SYMEV, justificatifs de la créance en cas de contestation, date de la réception du signalement, date d’inscription au fichier, dates d’envoi des courriers d’information à l’adjudicataire défaillant, date de la réponse à l’exercice des droits des personnes, date de la saisie, nom de l’agent de saisie.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur la durée de conservation : 
Les données sont supprimées dès régularisation de l’incident de paiement. A défaut de régularisation, les informations sont conservées pendant 3 ans. 
La Commission prend acte du fait que le contrat conclu entre le SYMEV et ses adhérents prévoit que ces derniers, à l’origine du signalement, informent le SYMEV dès réception du paiement. 
Le SYMEV procède alors à la suppression de l’incident du fichier.
La durée de conservation n’appelle pas d’observation particulière.
Sur les destinataires des données :
Seuls les Commissaires-priseurs adhérents du SYMEV, et signataires avec ce dernier d’un contrat encadrant l’utilisation du fichier, peuvent avoir accès, en consultation uniquement, aux informations figurant dans le fichier d’impayés. 
Chaque Commissaire-priseur peut vérifier si un adjudicataire figure ou non dans le fichier en tapant son nom dans un champ de recherche. En revanche, il n’a pas la possibilité d’accéder directement à la liste complète des personnes figurant dans le fichier.
Les membres du personnel du SYMEV habilités à cet effet sont seuls à pouvoir saisir ou modifier les informations dans le fichier.
Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l'information et l’exercice des droits des personnes :
Les personnes sont informées de l’existence du fichier, conformément aux prescriptions de l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention dans le catalogue de vente, dans les conditions générales de vente ainsi que dans le formulaire d’ordre d’achat complété par les enchérisseurs.
L’adjudicataire défaillant est informé par courrier postal recommandé du Commissaire-priseur de son inscription sur la liste des impayés en cas de non paiement passé un délai de quinze jours à réception de ce courrier ; puis, le cas échéant, par le SYMEV lors de l’inscription effective dans le fichier.
En cas de contestation de la créance, l’inscription sur la liste des impayés sera supprimée du fichier le temps que la contestation soit instruite par le SYMEV. L’adjudicataire est informé par courrier recommandé de la décision du SYMEV soit de le maintenir dans le fichier soit, si la contestation est sérieuse et étayée, de supprimer l’incident le concernant du fichier.
La Commission considère que l’information délivrée aux personnes est suffisante.
Les droits d’opposition, d’accès et de rectification s’exercent par voie postale auprès du SYMEV.
Sur la sécurité des données et la traçabilité des actions :
Le fichier d’impayés est accessible aux Commissaires-priseurs via un site internet sécurisé.
Chaque utilisateur dispose d'un identifiant et d’un mot de passe personnel attribués par l’administrateur système. La Commission rappelle que les mots de passe attribués aux utilisateurs doivent impérativement être modifiés et personnalisés dès la première connexion.
La Commission recommande que les mots de passe soient composés de 8 caractères, comprenant au moins une lettre majuscule, une lettre minuscule, un chiffre et un caractère spécial, et qu’ils aient une durée de validité limitée.
Des profils d’habilitation ont été définis et une journalisation des opérations de consultation, création et modification des données concernées est réalisée. La Commission rappelle que les données de journalisation doivent être conservées un an, au maximum.
L’intégrité des données ainsi que la protection des mots de passe sont assurées par un chiffrement. Un VPN est mis en place pour sécuriser la connexion lors de la saisie de nouvelles données dans le système. Cette connexion sera sécurisée à l’aide d’un login et d’un mot de passe spécifique. La confidentialité des accès en lecture est assurée par le protocole SSL. 
La Commission considère que les mesures de sécurité sont satisfaisantes.
Dans ces conditions, la Commission autorise le SYMEV à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la prévention et la gestion des impayés des Commissaires-priseurs.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1589696)
La Commission nationale de l'informatique et des libertés,
Saisie par le Défenseur des droits d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion et le traitement des courriers et des dossiers de réclamations, l’élaboration de statistiques sur l'activité des services et les types de dossiers traités, le pilotage et le suivi individuel de l'activité des agents et délégués du Défenseur des droits ;
Vu la Constitution ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi organique n° 2011-333 du 29 mars 2011 relative au Défenseur des droits ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8, 9-1°, 25-I-1°, 25-I-3° et 25-I-7° ;
Vu la loi n° 2011-334 du 29 mars 2011 relative au Défenseur des droits ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Gaëtan GORCE, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission a été saisie par le Défenseur des droits d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion et le traitement des courriers et des dossiers de réclamations, l’élaboration de statistiques sur l'activité des services et les types de dossiers traités, le pilotage et le suivi individuel de l'activité des agents et délégués du Défenseur des droits.
Créé par la loi constitutionnelle n° 2008-724 du 23 juillet 2008 de modernisation des institutions de la Ve République, le Défenseur des droits a été institué par les lois organique et ordinaire susvisées du 29 mars 2011.
Cette nouvelle autorité constitutionnelle et indépendante a fusionné le Médiateur de la République, le Défenseur des enfants, la Haute autorité de lutte contre les discriminations et pour l'égalité (HALDE) ainsi que la Commission nationale de déontologie de la sécurité (CNDS). L'étendue de son champ de compétence matériel est fonction du regroupement organique qui a été opéré sous son chef, entre les quatre autorités administratives indépendantes préalablement compétentes dans un domaine spécialisé. 
Ainsi, en application de l’article 4 de la loi organique du 29 mars 2011, le Défenseur des droits est chargé :
« 1° De défendre les droits et libertés dans le cadre des relations avec les administrations de l'Etat, les collectivités territoriales, les établissements publics et les organismes investis d'une mission de service public ;
2° De défendre et de promouvoir l'intérêt supérieur et les droits de l'enfant consacrés par la loi ou par un engagement international régulièrement ratifié ou approuvé par la France ;
3° De lutter contre les discriminations, directes ou indirectes, prohibées par la loi ou par un engagement international régulièrement ratifié ou approuvé par la France ainsi que de promouvoir l'égalité ;
4° De veiller au respect de la déontologie par les personnes exerçant des activités de sécurité sur le territoire de la République ».
Le traitement envisagé, dénommé AGORA, a pour finalité la gestion et le traitement des courriers et des dossiers de réclamations, l’élaboration de statistiques sur l'activité des services et les types de dossiers traités, le pilotage et le suivi individuel de l'activité des agents et délégués du Défenseur des droits. Il constitue ainsi la traduction « logicielle » de la création du Défenseur des droits en réalisant la fusion des traitements qui existaient au sein de chacune des quatre autorités qui ont précédé la création du Défenseur des droits.
Le traitement projeté porte notamment sur des données relatives à des infractions, condamnations et mesures de sûreté, des données sensibles au sens de l’article 8 de la loi du 6 janvier 1978 modifiée ainsi que des données comportant des appréciations sur les difficultés sociales des personnes. La Commission estime qu’il y a lieu de faire application des articles 9 et 25-I-3°, 8-IV et 25-I-1° ainsi que 25-I-7° de cette même loi et que ce traitement doit dès lors faire l’objet d’une autorisation de la Commission. 
A titre général, la Commission souligne le caractère sensible des données traitées par le Défenseur des droits, conformément aux missions qui lui sont assignées, et relève que le nombre d’agents accédant directement à ces données est important. Elle appelle dès lors l’attention du Défenseur des droits sur l’impérieuse nécessité de s’assurer que ses personnels n’accèdent qu’aux données strictement nécessaires à l’exercice de leurs attributions, dans la limite du besoin d’en connaitre.
Sur la finalité du traitement :
Il est assigné trois finalités au traitement envisagé :
la gestion et le traitement des courriers et des dossiers de réclamations. Le traitement envisagé permettra ainsi le suivi de l'ensemble des étapes du traitement, c’est-à-dire l'examen de la recevabilité, les actes d'instruction et toutes les interventions réalisées ;
l’élaboration de statistiques sur l'activité des services et les types de dossiers traités ;
La Commission estime que ces finalités sont déterminées, explicites et légitimes, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur la nature des données traitées :
La collecte des données intervient directement auprès de la personne concernée qui saisit le Défenseur des droits, de manière déclarative.
Les données du traitement projeté sont tout d’abord relatives au requérant (nom, prénom, adresse, date et lieu de naissance, adresse électronique, numéro de téléphone). Ces données n’appellent pas d’observation particulière.
Le Défenseur des droits, autorité publique, pourra être amené, dans le cadre de ses attributions, à traiter des données relatives aux infractions, condamnations et mesures de sûreté, conformément à l’article 9-1° de la loi du 6 janvier 1978 modifiée. En effet, dans l’exercice de ses missions de défense des droits de l'enfant et de contrôle du respect des règles de bonne conduite par les personnes exerçant des activités de sécurité sur le territoire de la République, le Défenseur des droits est amené à avoir connaissance d’antécédents judiciaires ou disciplinaires des personnes concernées. 
En outre, le Défenseur des droits pourra être amené, toujours dans l’exercice de ses fonctions, à traiter des données comportant des appréciations sur les difficultés sociales des personnes.
Enfin, des données de santé et, plus généralement, l’ensemble des données sensibles relevant de l’article 8 de la loi « Informatique et Libertés », pourront être traitées par le Défenseur des droits, dans le cadre de ses attributions. En effet, le Défenseur des droits est chargé de lutter contre les discriminations dans le domaine de l’emploi, du logement, de l’éducation et de l’accès aux biens et services, sur la base de dix-neuf critères prohibés par la loi. Or, les données relevant de l’article 8 précité constituent des critères de discrimination au sens du code pénal (article 225-1 du code pénal), pour lesquels le Défenseur des droits est compétent. Ces dossiers seront donc qualifiés sur la base de ces critères de discrimination, à partir desquels il sera possible d’effectuer des recherches. Les données de santé seront néanmoins accessibles uniquement au seul « pôle santé » du Défenseur.