AgentPublic/cnil huggingface dataset:
(demande d’autorisation 1512530)
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la demande d’autorisation, présentée par la FEDERATION FRANCAISE DE TENNIS, relative à un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre les impayés, la fraude et la revente illicite de billets d’accès aux Internationaux de tennis de Roland-Garros 
Après avoir entendu M. Dominique RICHARD, commissaire, en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes
La FEDERATION FRANCAISE DE TENNIS organise tous les ans les Internationaux de tennis de Roland-Garros. Les personnes souhaitant acheter des billets pour assister à ce tournoi doivent passer commande sur le site officiel de la billetterie de Roland-Garros.  
La FEDERATION FRANCAISE DE TENNIS a adressé à la CNIL un dossier de formalités préalables relatif à la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre les impayés, la fraude et la revente illicite de billets.
Les personnes inscrites sur la liste d’exclusion détenue par la FEDERATION FRANCAISE DE TENNIS pourront l’être pour l’un des motifs suivants : 
impayé ;
cas de fraude ou de tentative de fraude prévus dans les Conditions générales de vente (CGV), notamment le fait de commander des billets en communiquant plusieurs numéros de cartes bancaires à l’effet de se voir attribuer un contingent de billets supérieur aux contingents prévus dans les CGV ;
revente ou tentative de vente (notamment sur des sites Internet de vente aux enchères) des billets en dehors du cadre autorisé par les CGV.
Une fois inscrites sur cette liste, les personnes concernées ne pourront pas, pendant une période de trois ans, commander de billets ni pour les Internationaux de tennis de Roland-Garros en cours ou toutes éditions postérieures, ni pour toute autre manifestation organisée par la FFT.
La Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire. 
Les catégories de données à caractère personnel enregistrées seront le nom, le prénom, l’adresse, la date et le lieu de naissance.
La durée de conservation des informations sera de trois ans à compter de la date d’inscription sur la liste d’exclusion, à l’exception des cas d’impayés. Dans cette dernière hypothèse, les données seront conservées jusqu’à la régularisation du paiement. 
A l’issue de ces délais, les données relatives aux personnes concernées seront automatiquement supprimées et ces dernières pourront à nouveau accéder à la billetterie.
Les destinataires des informations seront, dans le cadre de leurs attributions respectives :
pour les inscriptions sur la liste d’exclusion et les motifs d’exclusion : la Direction de la billetterie et le département juridique ;
pour les seules inscriptions sur la liste d’exclusion : les personnels dûment habilités du service billetterie.
L’information des personnes s’effectuera conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée par une mention dans les CGV du site officiel de billetterie de Roland-Garros. 
La personne concernée sera également informée dans ces mêmes CGV de la possibilité qu’elle soit inscrite sur la liste d’exclusion.
En outre, la personne concernée sera informée qu’elle est exclue et pour quel motif. De même, à l’issue de la période d’exclusion, elle sera informée qu’elle n’est plus exclue et qu’elle peut à nouveau accéder au service billetterie.
Les droits d’accès et de rectification, définis au Chapitre V de la loi, s’exerceront auprès du service billetterie de la FEDERATION FRANCAISE DE TENNIS.
Dans ces conditions, la Commission autorise la FEDERATION FRANCAISE DE TENNIS à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la lutte contre les impayés, la fraude et la revente illicite de billets d’accès aux Internationaux de tennis de Roland-Garros.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission Nationale de l'Informatique et des Libertés,
Vu la Constitution du 4 octobre 1958, notamment son article 4 ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code électoral ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 24-I ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n°78-17 du 6 janvier 1978 ;
Vu la délibération de la Commission Nationale de l'Informatique et des Libertés n° 2012-020 du 26 janvier 2012 portant recommandation sur la mise en œuvre, par les partis ou groupements à caractère politique, élus ou candidats à des fonctions électives, de fichiers dans le cadre de leurs activités politiques ;
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :
Les traitements automatisés de données à caractère personnel mis en œuvre par les partis ou groupements politiques, les élus et les candidats à des fonctions électives à des fins de communication politique sont susceptibles de faire apparaître les opinions politiques des personnes qui y sont recensées, du seul fait de leur présence dans ces fichiers.
La constitution, la gestion et l'utilisation de ces fichiers de communication politique impliquent donc un encadrement particulier au regard des dispositions de la loi du 6 janvier 1978 modifiée, qui ne doit toutefois pas porter atteinte aux libertés de conscience, d'expression et de manifestation des opinions, ainsi qu'à la liberté d'association des personnes.
Deux types de fichiers susceptibles d'être utilisés dans le cadre de la communication politique n'ont pas à faire l'objet d'une déclaration auprès de la Commission :
- les fichiers de gestion des  membres  et  des personnes qui entretiennent des contacts réguliers  avec un parti ou groupement politique, en application de l'article 22-II-3°) de la loi du 6 janvier 1978 modifiée ;
- les fichiers de communication politique constitués à partir des seules informations issues des listes électorales, y compris consulaires.
Les autres traitements de communication politique sont soumis à déclaration auprès de la Commission.
En application de l'article 24-I de la loi du 6 janvier 1978 modifiée, la Commission Nationale de l'Informatique et des Libertés est habilitée à établir des normes destinées à simplifier l'obligation de déclaration des traitements les plus courants et dont la mise en œuvre, dans des conditions régulières, n'est pas susceptible de porter atteinte à la vie privée ou aux libertés.
Les traitements mis en œuvre par les partis ou groupements à caractère politique, les élus ou les candidats à des fonctions électives à des fins de communication politique sont de ceux qui peuvent, sous certaines conditions, relever de cette définition. A cet égard, la Commission rappelle qu'elle a adopté la délibération n° 2012-020 du 26 janvier 2012 qui précise, au regard notamment de l'utilisation de nouveaux moyens de communication, les conditions de mise en œuvre des fichiers utilisés à des fins de communication politique. 
Dans ces conditions, la Commission estime nécessaire d'adopter une nouvelle norme simplifiée relative aux traitements automatisés de données à caractère personnel mis en œuvre par les partis ou groupements à caractère politique, les élus ou les candidats à des fonctions électives à des fins de communication politique.
Article 1er : Champ d'application
Peuvent bénéficier de la procédure de déclaration simplifiée de conformité à la présente norme les traitements automatisés mis en œuvre à des fins de communication politique qui répondent aux conditions suivantes.
La notion de  communication politique  recouvre dans le cadre de la présente norme les opérations de :
- communication politique en direction des  contacts occasionnels  du parti ou groupement politique ;
- communication politique en direction des  contacts réguliers  et des  contacts occasionnels  de l'élu ou du candidat ;
- prospection politique (recherche de nouveaux contacts  réguliers  ou  occasionnels ) ;
- propagande électorale (informations et sollicitations en vue d'élections prévues par le code électoral).
La notion de communication politique ne comprend pas les opérations de communication institutionnelle effectuées dans le cadre d'un mandat politique.
À cette fin et au sens de la présente norme, est considérée comme :
-  contact régulier  : toute personne qui accomplit, auprès d'un candidat ou d'un élu, une démarche positive en rapport direct avec son activité politique (abonnement à une lettre d'actualités, soutien financier, participation à son action, etc.) et entretient avec lui des échanges réguliers ;
-  contact occasionnel  : toute personne qui sollicite ponctuellement un candidat, élu ou parti politique, sans entretenir avec lui d'échanges réguliers dans le cadre de son activité politique ; ainsi que toute personne sollicitée à des fins de prospection politique à l'initiative du parti, élu ou candidat.
Les traitements ne s'inscrivant pas dans le cadre de la présente norme simplifiée et ceux ne pouvant bénéficier des exonérations susmentionnées doivent être déclarés à la Commission.
Article 2 : Finalités du traitement
Le traitement concerné peut avoir tout ou partie des finalités suivantes :
- la gestion des contacts réguliers de l'élu ou du candidat ;
- la gestion des contacts occasionnels du parti politique, de l'élu ou du candidat ;
- la gestion des opérations de communication, de prospection politique et de propagande électorale en direction de ces personnes, quels que soient les moyens de communication utilisés ;
- la gestion des opérations liées au financement d'un parti ou des opérations électorales de l'élu et du candidat ;
- la gestion des pétitions ayant pour objet le soutien direct d'un parti, de l'élu ou du candidat ;
- l'établissement d'études statistiques, à l'exception des sondages d'opinion.
Article 3 : Données traitées
Les catégories de données à caractère personnel traitées pour la réalisation des finalités décrites à l'article 2 sont :
- les données d'identification (nom, nom marital, titre ou fonction, prénom, sexe, date de naissance ; pseudonyme, nom d'utilisateur d'un réseau social) ;
- les coordonnées (adresse postale, numéro de téléphone, adresse électronique) ;
- les données de connexion (adresse IP, log, cookies) ;
- la participation financière (montant, date, nature du don) ;
- la vie personnelle et professionnelle (centres d'intérêt ; profession ou catégorie socio-professionnelle).
Aucune donnée à caractère personnel faisant apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses, l'appartenance syndicale des personnes, ou qui sont relatives à leur santé ou à leur vie sexuelle, ne peut faire l'objet d'un traitement, sauf justifications particulières et consentement exprès des personnes concernées.
En particulier, les traitements de gestion des contacts réguliers de l'élu ou du candidat sont susceptibles de faire apparaître les opinions politiques, réelles ou supposées, des personnes qui y sont recensées, du seul fait de leur présence dans ces fichiers. A ce titre, et conformément à l'article 8 de la loi, ces personnes doivent consentir expressément à la collecte et au traitement de leurs données dans ces fichiers.
Les données à caractère personnel enregistrées dans les traitements relevant de la présente norme peuvent être recueillies directement auprès des personnes concernées. Elles peuvent également être collectées de façon indirecte par l'intermédiaire d'autres personnes physiques (par exemple, dans le cadre d'une opération de parrainage), de fichiers déjà constitués (par exemple, location d'une base de prospection ou utilisation d'un annuaire) ou du réseau Internet.
Conformément à l'article 6 de la loi du 6 janvier 1978 modifiée, les données collectées et traitées doivent être pertinentes au regard de la finalité du traitement et de la nature des liens entretenus avec la personne concernée.
Article 4 : Destinataires des données
Peuvent seuls recevoir communication des données à caractère personnel traitées :
- l'élu ou le candidat ou les responsables du parti ou du groupement à caractère politique, qui, dans le cadre de leur fonction au plan national ou local, ont la responsabilité de la mise en œuvre des traitements correspondant aux finalités définies à l'article 2 ;
- les seuls personnels qui, en raison de leurs attributions, sont habilités à gérer ces traitements ;
- l'association ou le mandataire en charge du financement du parti, de l'élu ou du candidat politique ;
- les éventuels prestataires chargés de la réalisation des opérations de communication politique qui doivent être tenus contractuellement aux obligations de sécurité et de respect des droits des personnes.
Article 5 : Durée de conservation des données
Les données à caractère personnel mentionnées à l'article 3 doivent être supprimées dans les délais suivants :
- en ce qui concerne les opérations de communication politique (données relatives aux contacts réguliers de l'élu ou du candidat) : lorsque les échanges prennent fin ;
- en ce qui concerne les opérations de propagande électorale : à l'issue du scrutin concerné, sauf si la personne a consenti à ce que ses données soient utilisées à d'autres fins ;
- en ce qui concerne les opérations de prospection politique : dans un délai maximal de deux mois après l'envoi de l'unique message de prospection. Dans l'hypothèse d'une collecte de données sur Internet (par exemple, par l'intermédiaire des réseaux sociaux, blogs, microblogging ou chat), ce délai devrait être raccourci au regard du caractère instantané du support de communication utilisé.
Article 6 : Droits des personnes concernées
En application de l'article 32 de la loi du 6 janvier 1978 modifiée, les personnes dont les données sont traitées doivent être informées de l'identité du responsable de traitement et, le cas échéant, de celui qui procède à la collecte ; de la ou des finalité(s) de cette collecte ; des catégories de données collectées ; du caractère obligatoire ou facultatif de leurs réponses ; des destinataires des informations collectées ; et de l'existence de droits d'accès, de rectification et d'opposition et de leurs modalités d'exercice.
En cas de collecte directe auprès des personnes concernées, ces informations doivent être fournies au moment de la collecte. En cas de collecte indirecte, elles doivent être fournies au plus tard lors de la première utilisation des données.
Lors de l'inscription d'un internaute à un réseau social virtuel, une application Internet, ou lors de l'utilisation d'outils de partage insérés sur une page Internet outil de communication politique, l'utilisateur doit être informé du caractère public de la relation créée et du fait que s'exprimer révélera publiquement son opinion politique, réelle ou supposée. Il doit en outre être invité à régler les paramètres de confidentialité de son profil d'utilisateur.
Dans le cadre d'opérations de prospection utilisant des moyens de communication téléphonique ou électronique (SMS, MMS, automate d'appel, bluetooth et courrier électronique), seules les personnes ayant consenti à être démarchées par ce moyen peuvent recevoir des messages de communication politique.
Tout message de communication politique doit rappeler les modalités d'exercice du droit d'opposition des personnes à recevoir de nouveaux messages de prospection. Lorsque les données n'ont pas été recueillies directement auprès des personnes concernées par l'élu, le candidat ou le parti ou groupement à caractère politique, ce message doit également indiquer l'origine des informations utilisées pour le leur faire parvenir. 
Le responsable de traitement doit faciliter par tout moyen l'exercice des droits d'opposition, d'accès et de rectification des données, prévus par les articles 38 à 40 de la loi du 6 janvier 1978 modifiée, et les traiter dans un délai maximal de deux mois.
Article 7 : Mesures de sécurité
Des mesures de protection physique et logique doivent être prises afin de préserver la sécurité du traitement et des données à caractère personnel ; empêcher notamment toute utilisation détournée, frauduleuse ou que des tiers non autorisés y aient accès ; et en préserver l'intégrité.
En particulier, des mesures permettant de contrôler les accès au traitement et de sécuriser les communications des données sont mises en œuvre.
Ces mesures doivent être adaptées au traitement et au mode de communication choisi.
Article 8 : Recours à un prestataire de service
Le recours à un prestataire pour gérer des fichiers ou des opérations de communication politique n'exonère le parti politique, l'élu ou le candidat d'aucune de ses obligations de responsable de traitement.
À ce titre, il doit s'assurer que le contrat de sous-traitance comporte notamment une clause spécifique précisant : les mesures à mettre en œuvre afin de répondre à l'obligation de sécurité du traitement et de confidentialité des données ; l'interdiction d'utiliser les données fournies à d'autres fins que la mission pour laquelle elles ont été confiées ; l'interdiction de divulguer ces données à des tiers ; et, le cas échéant, les obligations du sous-traitant en matière d'information des personnes et de recueil de leur consentement.
Le responsable de traitement peut, de même, confier la réalisation des statistiques mentionnées à l'article 1er à un prestataire de service. Dans cette hypothèse, il ne doit fournir à son prestataire, dans des conditions satisfaisantes de sécurité, que les seules données pertinentes pour réaliser l'étude concernée. Les résultats de celle-ci doivent être anonymisés avant leur restitution. Le contrat conclu entre le responsable de traitement et son prestataire doit définir les opérations que celui-ci est autorisé à réaliser à partir des données à caractère personnel transmises. Dans tous les cas, le prestataire de services doit procéder à la destruction ou à la restitution de tous les fichiers manuels ou informatisés stockant les informations saisies dès l'achèvement de son contrat.
Article 9 : Publication
La présente délibération abroge la délibération n° 2006-229 du 5 mai 2006 et sera publiée au Journal officiel de la République française.
La Présidente
 
Isabelle FALQUE PIERROTIN
La Commission nationale de l'informatique et des libertés,  Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26-I (1°) ; Vu la loi n° 95-73 du 21 janvier 1995 modifiée d'orientation et de programmation relative à la sécurité, notamment ses articles 10 et suivants ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la demande d'avis présentée par le Premier ministre portant autorisation de mise en œuvre d'un traitement de données à caractère personnel relatif à la vidéoprotection de certains immeubles abritant les services du Premier ministre ; Après avoir entendu M. Emmanuel de GIVRY, commissaire, en son rapport, et les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant : La Commission nationale de l'informatique et des libertés a été saisie pour avis le 29 novembre 2011 par le Premier ministre d'un projet d'arrêté portant autorisation de mise en œuvre d'un traitement de données à caractère personnel relatif à la vidéoprotection de certains immeubles abritant les services du Premier ministre. La Commission relève que les systèmes de vidéosurveillance numérique mis en œuvre au sein des locaux des services du Premier ministre constituent des traitements automatisés de données à caractère personnel au sens de la loi du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés. Il y a lieu de faire application des dispositions de l'article 26-I (1°) de la loi du 6 janvier 1978 modifiée qui soumet à une autorisation par arrêté ministériel pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés les traitements de données à caractère personnel mis en œuvre pour le compte de l'Etat et intéressant la sûreté de l'Etat, la défense ou la sécurité publique.
Sur les finalités poursuivies : La Commission relève que le premier paragraphe de l'article 1er du projet d'arrêté autorise les services du Premier ministre occupant les immeubles situés aux 56, 57 et 58, rue de Varenne, ainsi qu'au 13, rue Vaneau et au 32, rue de Babylone, dans le 7e arrondissement de Paris, à installer et mettre en œuvre des systèmes de vidéoprotection à l'intérieur des bâtiments, lieux non ouverts au public. Ces systèmes ont pour finalité la protection des bâtiments publics, la défense nationale, la sécurité des personnes et la prévention des atteintes aux biens. La Commission prend acte des précisions apportées par les services du Premier ministre selon lesquelles le dispositif envisagé repose sur l'installation des systèmes de caméras vidéo numériques avec enregistrement dans les cours intérieures et dans les couloirs de circulation situés à l'intérieur de l'enceinte des sites abritant les services du Premier ministre. Ainsi, les personnes susceptibles d'être filmées sont les salariés des services du Premier ministre et les visiteurs invités. La Commission prend également acte de ce que le projet d'arrêté précise expressément que le traitement ne comporte aucun dispositif automatisé de reconnaissance faciale à partir des images ainsi collectées. Compte tenu de ces éléments et des garanties ainsi apportés, la Commission considère que les finalités poursuivies n'appellent pas d'observation particulière.