AgentPublic/cnil huggingface dataset:
FORTUNEO a saisi la Commission d’un traitement ayant pour finalité la détection de la fraude documentaire en matière de pièces d'identité et de justificatifs de domicile. Le traitement vise, par l’utilisation du logiciel RESOCOM, à détecter les documents présentant des anomalies susceptibles de révéler une fraude (faux document ou document falsifié) lors de l'ouverture des comptes courants et des livrets. Lorsque l’analyse de l’outil conclut à la non-conformité du document, la demande d’ouverture de compte ou de livret peut être refusée. Dans la situation inverse, si l’authenticité des documents est confirmée, il est fait droit à la demande du client. Ce traitement peut ainsi du fait de sa portée et de sa finalité, exclure une personne du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition légale prévoyant une telle exclusion. Il est dès lors soumis à autorisation de la Commission, en application des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée.Plus précisément, il existe un premier contrôle des documents réalisé directement par le chargé de clientèle qui reçoit la personne souhaitant entrer en relation avec la banque. Le contrôle de la pièce d’identité se fait ensuite via la bande MRZ tandis que le contrôle des justificatifs est réalisé par comparaison avec la base de documents. Ce contrôle est réalisé par la saisie manuelle dans l’outil des données qui figurent sur le document d’identité ou par une analyse automatique, par
reconnaissance optique de caractères, d’une copie numérisée. L’outil vérifie alors la cohérence des lignes MRZ avec les données saisies ou numérisées.Lorsque les documents d’identité sont détectés non conformes, le service prévention de la fraude effectue un contrôle de second niveau.
Le traitement mis en œuvre ne constitue dès lors qu’un outil d’aide à l’analyse des documents d’identité présentés par la personne concernée lors de l’entrée en relation avec FORTUNEO. La Commission prend acte qu’en cas de détection d’anomalie, une analyse complémentaire sera effectuée par les personnels habilités afin, le cas échéant, de confirmer la tentative de fraude.Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées.La Commission estime que cette finalité est déterminée, explicite et légitime.
Sur les données traitées
Les données suivantes sont traitées pour la détection de la fraude identitaire :   nom, prénom,  sexe, adresse, date et lieu de naissance, n° de la pièce d’identité, date délivrance, autorité qui a délivrée la pièce, ligne MRZ, type de la pièce d'identité (CNI , Passeport, titre de séjour),  pays d'émission de la pièce d'identité, date de validité.Les données suivantes sont traitées pour l’émission d’alerte via l’outil RESOCOM : n° du document d'identité, nom, prénoms, sexe, date de naissance, date de délivrance, autorité qui délivrée la pièce, ligne MRZ, date expiration passeport, nationalité passeport, type de la pièce d'identité, pays d'émission de la pièce d'identité, lieu de naissance, date de validité .Les données collectées ne sont utilisées que le temps nécessaire à la vérification de l’authenticité des documents. Par la suite, elles sont supprimées ou anonymisées pour la production de statistiques. Lorsque la demande d’ouverture de compte ou de livret est validée, une copie des documents est conservée, conformément aux dispositions du code monétaire et financier.La Commission considère, compte tenu de la finalité poursuivie, que ces données sont pertinentes, adéquates et non excessives, conformément à l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Sont destinataires des données dans le cadre de leurs missions  le personnel habilité des services Risques, Contrôle permanent,  Conformité, Juridique et Contentieux.Ces destinataires qui sont en nombre limité n'appellent pas d'observation particulière.
Sur l’information et le droit d’accès 
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention qui figure dans les conditions générales de FORTUNEO et dans les courriers électroniques qui leur sont adressés. Les personnes peuvent exercer leurs droits directement auprès du correspondant informatique et libertés au 28 bis avenue baron Lacrosse BP45, 29801 Brest cedex 09La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application avec des profils d’habilitation et un contrôle d’accès logique qui se fait par mot de passe.Chaque utilisateur dispose d'un identifiant qui lui est propre et d’un mot de passe composé de 9 caractères comprenant à la fois des lettres majuscules et minuscules,  des chiffres et des caractères spéciaux. La Commission prend note que ceux-ci sont générés par RESOCOM qui les fournit directement aux personnes habilitées et s’engage à détruire automatiquement toute trace des mots de passe, une fois ceux-ci envoyés. La Commission rappelle que les mots de passe doivent être changés par l’utilisateur à la première connexion et régulièrement.Une journalisation des opérations de connexion à l’application, de vérification des pièces et du résultat de ces opérations est réalisée via un outil mis à disposition par RESOCOM. La Commission rappelle que les utilisateurs doivent être informés que leurs actions font l'objet d'une journalisation. L’accès à l’application est sécurisé au moyen du protocole HTTPS.Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Ce traitement ne permet pas d’établir une « liste noire » de personnes ayant présenté des titres d’identité comportant des anomalies ou des titres d’identité falsifiés ou volés.Ces autres caractéristiques n’appellent pas d’observation particulière de la Commission.
Autorise, conformément à la présente délibération, la société FORTUNEO à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1722965)
La Commission nationale de l'informatique et des libertés,
Saisie par la Fédération française de football d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des interdictions de stade prononcées par l’autorité judiciaire ou administrative;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code du sport, notamment ses articles L. 332-15, L. 332-16, R. 332-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Joëlle FARCHY, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Conformément à l’article 25-I-3° de la loi du 6 janvier 1978 modifiée, la Commission nationale de l’informatique et des libertés doit autoriser la mise en œuvre des traitements, automatisés ou non automatisés, portant sur des données relatives à des infractions, condamnations ou mesure de sûreté. 
Les interdictions de stade prononcées par l’autorité judiciaire, à titre de peine complémentaire, ainsi que les mesures d’interdictions de stade décidées par l’autorité administrative, sont des données qui relèvent de cette catégorie. 
La mise en œuvre d’un traitement de données à caractère personnel, automatisé ou non, portant sur de telles interdictions de stade doit dès lors être autorisée par la Commission nationale de l’informatique et des libertés.
Responsable du traitement
La Commission est saisie par la Fédération française de football, en qualité de fédération sportive agréée par le ministre chargé des sports et d’organisateur de la Coupe de France de football et des matchs de l’équipe de France de football.
Sur la finalité
La demande d’autorisation dont est saisie la Commission, sur le fondement de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée, concerne un traitement de données à caractère personnel ayant pour finalité la gestion des interdictions de stade prononcées à l’encontre de personnes physiques par l’autorité judiciaire ou l’autorité administrative.La Fédération française de football, lorsqu’elle agit en qualité d’organisateur de manifestations sportives à but lucratif, en particulier à l’occasion des rencontres de l’équipe de France ou de Coupe de France, est tenue d’y assurer la sécurité conformément aux articles L. 332-1 et suivants du code du sport, notamment en empêchant les personnes frappées d’une interdiction judiciaire ou administrative d’y accéder.L’article L. 332-15 du code du sport prévoit que le préfet du département ou, à Paris, le préfet de police communique aux associations et sociétés sportives, ainsi qu'aux fédérations sportives agréées, l'identité des personnes ayant été condamnées à une peine complémentaire d’interdiction de stade par l’autorité judiciaire. L’article L. 332-16 du même code prévoit des dispositions analogues s’agissant des personnes faisant l'objet d’une mesure d'interdiction de pénétrer ou de se rendre aux abords des enceintes sportives prononcée par l’autorité administrative, par arrêté motivé, en raison de l’existence d’une menace pour l'ordre public.Au regard de ce qui précède, la Commission considère que la finalité du traitement dont
elle est saisie est déterminée, explicite et légitime.
Sur les données traitées
Les données à caractère personnel collectées et traitées concernent les personnes frappées d’une peine complémentaire d’interdiction de stade prononcée par l’autorité judicaire ou d’une mesure de sûreté décidée par l’autorité administrative.
Elles sont relatives à :
des données d’identification (nom, prénom, adresse, date et lieu de naissance) ;
des condamnations ou mesures de sûreté, à savoir :
en cas d’interdiction judiciaire : date de la décision et durée de la peine complémentaire ;
en cas d’interdiction administrative : enceintes et abords interdits d’accès, type de manifestations sportives concernées, date et durée de validité de l’arrêté préfectoral d’interdiction et, le cas échéant, obligation de répondre aux convocations des autorités ou des personnes qualifiées désignées par le préfet.
La Commission estime que les articles L. 332-15 et L. 332-16 du code du sport permettent aux fédérations sportives agréées, par dérogation à l’article 9 de la loi du 6 janvier 1978 modifiée, de collecter des données relatives à des condamnations ou mesures de sûreté dans le cadre de la gestion des interdictions de stade prononcées par l’autorité judiciaire ou l’autorité administrative.
Elle prend acte que les raisons ayant conduit au prononcé d’une interdiction de stade ne sont pas collectées par le responsable de traitement, d’une part, et qu’aucun dispositif biométrique de reconnaissance faciale ne sera utilisé, d’autre part.
La Commission considère, dès lors, que le traitement des données précédemment visées est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
Sur les destinataires
Le personnel spécialement habilité du service « Règlementation et gestion de la sécurité des rencontres » de la Fédération française de football peut accéder aux données du présent traitement.Ces données sont également transmises au personnel habilité des ligues régionales de la Fédération française de football, lorsque la personne frappée par une interdiction de stade est titulaire d’une licence fédérale, afin que la licence de l’intéressé soit suspendue le temps de l’interdiction conformément à l’article 5 du règlement disciplinaire de la fédération en cas d’interdiction prononcée par l’autorité administrative ou, en cas d’interdiction prononcée par une juridiction, en application de la décision de justice.   Conformément aux articles R. 332-2 et R. 332-8 du code du sport, qui prévoient que les fédérations sportives agréées transmettent sans délai l’identité des personnes faisant l’objet d’une interdiction judicaire ou administrative de stade aux ligues professionnelles intéressées, les données du présent traitement peuvent être transmises à la Ligue de football professionnel. Par ailleurs, les données du présent traitement peuvent être communiquées aux personnes chargées de filtrer les accès de l’enceinte dans laquelle se déroule une manifestation sportive organisée par la Fédération française de football. À cet égard, la Commission rappelle que seul le personnel spécialement habilité d’un sous-traitant doit pouvoir accéder aux données se rapportant à la liste des
interdits de stade, à l’exclusion de toute personne n’étant pas chargée d’assurer la réalisation de cette prestation de service. La Commission considère que ces destinataires ont un intérêt légitime à connaître des données collectées.
Sur l’information et le droit d’accès 
Les personnes concernées par le présent traitement sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention sur le bordereau de demande de licence.En cas d’impossibilité pratique pour délivrer cette information, en particulier lorsque le responsable de traitement n’a pas eu de contact avec une personne avant le jour de la manifestation qu’il organise, la Commission rappelle que cette dernière devra être informée de son inscription dans le présent traitement lors du premier contact avec le responsable de traitement, par exemple par la remise d’un formulaire remis contre signature ou par l’envoi d’un courrier ou d’un courriel.Les droits d’accès et de rectification ainsi que le droit d’opposition pour motif légitime  s’exercent par courrier postal ou courrier électronique auprès du correspondant informatique et libertés de la fédération française de football.   La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
L’authentification des utilisateurs du présent traitement est assurée par l’utilisation de mots de passe, régulièrement renouvelés, constitués d’au moins huit caractères à choisir parmi trois types distincts (chiffre, caractère spécial, lettre majuscule, lettre minuscule).Des profils d’habilitation définissent les fonctions ou types d’informations accessibles aux utilisateurs.Le présent traitement ne donne pas lieu à l’utilisation d’un réseau informatique pour procéder à des échanges électroniques. Le cas échéant, les échanges interviennent par voie postale.  La Commission rappelle, pour le cas où le responsable de traitement envisagerait d’échanger des données par courriel, qu’il conviendrait dans ce cas d’adresser des courriels sécurisés.Des mesures de sécurité physiques sont appliquées aux locaux et sur les équipements utilisés. L’accès au local dans lequel est situé le seul ordinateur utilisé dans le cadre du présent traitement est restreint aux seuls titulaires d’un badge nominatif  et les documents utilisés sous forme papier sont stockés dans une armoire fermée à clef.Enfin, le traitement comprend un procédé de journalisation des connexions.Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données à caractère personnel sont conservées uniquement pendant la durée de l’interdiction de stade prononcée par l’autorité judicaire ou administrative. 
La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie par le responsable traitement.
Elle rappelle, conformément aux articles R. 332-3 et R. 332-9 du code du sport et à l’article 6-4° de la loi du 6 janvier 1978 modifiée, que le responsable de traitement doit mettre à jour sans délai son traitement et supprimer les données à caractère personnel correspondantes :
à l’expiration de la durée d’interdiction prononcée ; 
lorsqu’une peine complémentaire d’interdiction de stade prononcée par l’autorité judiciaire est infirmée à l’occasion d’un recours juridictionnel ou amnistiée ;
lorsqu’une mesure administrative d'interdiction de pénétrer dans des enceintes sportives ou de se rendre à leurs abords est suspendue ou annulée par la juridiction administrative.
Pour s’assurer du respect de ces obligations, la Commission préconise ainsi la mise en œuvre d’une procédure de suppression automatique des données à caractère personnel à compter de l’expiration de leur durée de conservation.
Autorise, conformément à la présente délibération, la Fédération française de football à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1730109)
La Commission nationale de l'informatique et des libertés,
Saisie par la société anonyme LOSC Lille d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des interdictions de stade prononcées par l’autorité judiciaire ou administrative ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code du sport, notamment ses articles L. 332-15, L. 332-16, R. 332-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Joëlle FARCHY, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Conformément à l’article 25-I-3° de la loi du 6 janvier 1978 modifiée, la Commission nationale de l’informatique et des libertés doit autoriser la mise en œuvre des traitements, automatisés ou non automatisés, portant sur des données relatives à des infractions, condamnations ou mesure de sûreté. 
Les interdictions de stade prononcées par l’autorité judiciaire, à titre de peine complémentaire, ainsi que les mesures d’interdictions de stade décidées par l’autorité administrative, sont des données qui relèvent de cette catégorie. 
La mise en œuvre d’un traitement de données à caractère personnel, automatisé ou non, portant sur de telles interdictions de stade doit dès lors être autorisée par la Commission nationale de l’informatique et des libertés.
Responsable du traitement
La Commission nationale de l’informatique et des libertés est saisie par la société anonyme LOSC Lille en qualité de société sportive organisatrice de manifestations sportives ouvertes au public.
Sur la finalité
La demande d’autorisation dont est saisie la Commission, sur le fondement de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée, concerne un traitement de données à caractère personnel ayant pour finalité la gestion des interdictions de stade prononcées à l’encontre de personnes physiques par l’autorité judiciaire ou l’autorité administrative.Le LOSC Lille, lorsqu’il agit en qualité d’organisateur de manifestations sportives à but lucratif ouvertes au public, est tenu d’y assurer la sécurité conformément aux articles L. 332-1 et suivants du code du sport, notamment en empêchant les personnes frappées d’une interdiction judiciaire ou administrative d’y accéder.L’article L. 332-15 du code du sport prévoit que le préfet du département ou, à Paris, le préfet de police communique aux associations et sociétés sportives, ainsi qu'aux fédérations sportives agréées, l'identité des personnes ayant été condamnées à une peine complémentaire d’interdiction de stade par l’autorité judiciaire. L’article L. 332-16 du même code prévoit des dispositions analogues s’agissant des personnes faisant l'objet d’une mesure d'interdiction de pénétrer ou de se rendre aux abords des enceintes sportives prononcée par l’autorité administrative, par arrêté motivé, en raison de l’existence d’une menace pour l'ordre public.Au regard de ce qui précède, la Commission considère que la finalité du traitement dont elle est saisie est déterminée, explicite et légitime.
Sur les données traitées
Les données à caractère personnel collectées et traitées concernent les personnes frappées d’une peine complémentaire d’interdiction de stade prononcée par l’autorité judicaire ou d’une mesure de sûreté décidée par l’autorité administrative.
Elles sont relatives à :
des données identification (nom, prénom, adresse, photographie, date et lieu de naissance) ;
des condamnations ou mesures de sûreté, à savoir :
en cas d’interdiction judiciaire : date de la décision et durée de la peine complémentaire ;
en cas d’interdiction administrative : enceintes et abords interdits d’accès, type de manifestations sportives concernées, date et durée de validité de l’arrêté préfectoral d’interdiction et, le cas échéant, obligation de répondre aux convocations des autorités ou des personnes qualifiées désignées par le préfet.
La Commission estime que les articles L. 332-15 et L. 332-16 du code du sport, par dérogation à l’article 9 de la loi du 6 janvier 1978 modifiée, permettent aux associations et sociétés sportives, au nombre desquelles figurent les clubs de football professionnels, de collecter des données relatives à des condamnations ou mesures de sûreté dans le cadre de la gestion des interdictions de stade prononcées par l’autorité judiciaire ou l’autorité administrative.
Elle prend acte que les raisons ayant conduit au prononcé d’une interdiction de stade ne sont pas collectées par le responsable de traitement, d’une part, et qu’aucun dispositif biométrique de reconnaissance faciale ne sera utilisé, d’autre part.
La Commission considère, dès lors, que le traitement des données précédemment visées est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
Sur les destinataires