AgentPublic/cnil huggingface dataset:
Formule les observations suivantes :   La Commission nationale de l'informatique des libertés a été saisie par l'Autorité de contrôle des assurances et des mutuelles (ACAM) le 20 novembre 2006 d'un dossier de formalité préalable relatif à la mise en oeuvre d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès au contenu de clés USB.   Il y a lieu de faire application des dispositions prévues à l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.   Afin d'améliorer la gestion des documents confidentiels dans le cadre du plan global de renforcement des systèmes de sécurité, l'Autorité de contrôle des assurances et des mutuelles (ACAM), chargée de contrôler le respect par les entreprises d'assurance et de réassurance, les mutuelles, les institutions de prévoyance et les institutions de retraite supplémentaires, des dispositions législatives et réglementaires qui leur sont applicables et de sanctionner les manquements constatés, souhaite se doter de clés USB sécurisées par reconnaissance de l'empreinte digitale de l'utilisateur.   Le dispositif présenté à la Commission reposera sur l'enregistrement du gabarit de l'empreinte digitale dans une clé USB de cinq personnes au maximum à savoir la personne concernée et ses assistants de l'ACAM.   Le
contenu de la clé USB est accessible uniquement par les personnes dont les doigts sont enrôlés.   Pour contrôler l'accès au contenu des clés USB, une comparaison sera effectuée entre le doigt apposé sur le lecteur incorporé à la clé USB et le gabarit chiffré de l'empreinte digitale enregistré dans cette clé.   Les personnes concernées tenues au secret professionnel (le Président, la Secrétaire générale, les commissaires contrôleurs, les directeurs, les chefs de services, les membres du collège ainsi que les personnes spécialement habilitées à les assister) seront informées sur le fonctionnement de leurs clés par le Bureau du Système d'Information de l'ACAM.  Cette information s'effectuera au travers d'une note d'information et d'une Charte sur la sécurité de l'environnement bureautique.
Compte tenu de l'impératif de sécurité lié à la nécessité de contrôler l'accès à des documents confidentiels, le recours à une clé USB dans laquelle est enregistré le gabarit de l'empreinte digitale des seules personnes habilitées à accéder audits documents, est adapté et proportionné à la finalité assignée au dispositif.   Les droits d'accès et de rectification s'exerceront auprès de l'ACAM sise au 61 rue Taitbout 75009 Paris.   Les catégories de données à caractère personnel enregistrées seront les minuties de l'empreinte digitale, le nom, le prénom, le bureau des personnes concernées.   Les données traitées seront conservées jusqu'au départ de la personne concernée.   Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, le Bureau du Système d'Information de l'ACAM.   Dans ces conditions, la Commission autorise l'Autorité de contrôle des assurances et des mutuelles (ACAM) à mettre en oeuvre le traitement de données à caractère personnel présenté.   Le Président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-I-5° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Après avoir entendu Monsieur Jean-Marie COTTERET, commissaire en son rapport et Madame Pascale COMPAGNIE, commissaire du Gouvernement en ses observations ;
Formule les observations suivantes :   L'Association du Pays de Langres a déposé auprès de la CNIL un dossier relatif à la mise en oeuvre d'un traitement de données à caractère personnel comportant un système d'information géographique à partir des données cadastrales, dénommé "Encyclopédie Vivante du Pays de Langres".   La Commission considère qu'il y a lieu de faire application des dispositions de l'article 25-15° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés ayant pour objet l'interconnexion de fichiers relevant d'une ou de plusieurs personnes morales gérant un service public et dont les finalités correspondent à des intérêts publics différents.   Le projet de traitement ne relève pas de la décision d'autorisation unique n° 1 en raison de la nature de l'organisme qui le met en oeuvre (association) et des destinataires des informations.   Les seules finalités du système d'information géographique autorisé seront, en ce qui concerne l'Association du Pays de Langres la réalisation de supports de communication sous forme cartographique et leur diffusion sur internet, en vue de promouvoir l'identité et l'image du Pays de Langres, ces documents ne devant comporter aucune donnée à caractère personnel , l'acquisition mutualisée et la mise à disposition par l'Association du Pays de Langres des données cadastrales aux communes et aux établissements publics de coopération intercommunale de son territoire, ainsi qu'aux organismes
exerçant une mission de service public sur son territoire et liés par convention.
Les catégories de données à caractère personnel enregistrées seront :   - les informations portant sur le(s) propriétaire(s) :  qualité, nom, prénom, date et lieu de naissance; raison sociale, forme juridique, droit de propriété et démembrement, adresse du domicile ;   - les informations relatives aux propriétés bâties ou non-bâties (habitations, locaux commerciaux, locaux communs d'immeubles et dépendances), notamment :  référence cadastrale, adresse, nature et affectation du local, code indivision, code démembrement de la propriété, surface, zonage du POS, coefficient d'occupation du sol, zone d'aménagement différé, revenu cadastral, nature des exonérations, servitudes administratives, historique de la parcelle, lots, nature et sous-nature de culture, année de construction, catégorie, nombre et affectation et surface des pièces, coefficients d'entretien, de situation et d'ascenseur, valeurs locatives, nombre de parkings privatifs, zone du plan local d'urbanisme.   Les données enregistrées ne pourront pas, dans le cadre de la présente décision d'autorisation, faire l'objet d'autres traitements, ni être intégrées dans d'autres fichiers, ni faire l'objet d'interconnexions, de rapprochements ou de toute autre forme de mise en relation avec d'autres traitements que ceux présentement autorisés à alimenter le système d'information géographique.   Les données enregistrées ne peuvent être utilisées à d'autres fins que celles prévues par la présente autorisation.   Les personnes
concernées seront informées des dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée, et notamment du service auprès duquel elles peuvent exercer leur droit d'accès, par tout moyen jugé approprié (publication d'un communiqué dans les journaux municipaux ou la presse locale, affichage administratif...).   Le droit d'accès défini au chapitre V de la loi s'exercera auprès de l'Association du Pays de Langres - 80 Faubourg des Auges - 52200 Langres.   Cette information figurera sur tous les supports utilisés par le responsable du traitement pour entrer en contact avec les personnes concernées.
Les personnes autorisées à accéder au système d'information géographique seront, dans la limite de leurs attributions respectives et pour l'exercice des finalités précitées :   - les personnes habilitées de l'Association du Pays de Langres, pour l'intégration des données et l'administration du système d'information géographique ;   - les personnels habilités de chaque commune ou établissement public de coopération intercommunale membre de l'Association du Pays de Langres, pour les données concernant leur territoire respectif, et après accomplissement des formalités préalables prévues par la loi du 6 janvier 1978 modifiée ;   - les personnes habilitées des organismes partenaires exerçant une mission de service public sur le territoire du Pays de Langres (Syndicat mixte d'aménagement touristique, Syndicat mixte d'aménagement économique, Syndicat mixte de production d'eau potable...), liés par convention, après accomplissement des formalités préalables prévues par la loi du 6 janvier 1978 modifiée.   Les agents habilités ne doivent accéder qu'aux données dont ils font un usage habituel.  Des droits d'accès différents doivent être définis à cette fin.   Les communes, groupements de communes et organismes chargés d'une mission de service public auront accès aux données cadastrales concernant leur territoire ou nécessaire à l'exercice de leur mission au moyen d'un extranet sécurisé.   Un dispositif devra être prévu pour limiter les connexions à distance aux seuls postes de
travail des agents habilités à accéder au système d'information géographique.   L'accès au système d'information géographique se fera au moyen d'un mot de passe individuel, régulièrement renouvelé.   Si pour les besoins d'une étude, un traitement de données à caractère personnel s'avère nécessaire, les données susceptibles d'être transmises par le responsable du traitement au prestataire, sous forme chiffrée, devront être pertinentes pour la réalisation de l'étude et seront communiquées dans les conditions prévues par une convention signée à cet effet.   La convention signée avec le prestataire devra définir les opérations que celui-ci est autorisé à réaliser à partir des données à caractère personnel qui lui seront transmises, ainsi que les engagements qu'il prendra pour garantir leur sécurité et leur confidentialité, en particulier l'interdiction d'utiliser les données à d'autres fins que celles indiquées par la convention.   Le prestataire de services devra procéder à la destruction ou à la restitution de tous les fichiers manuels ou informatisés stockant les informations saisies dès l'achèvement de son contrat.   La mise à jour des données cadastrales sera annuelle.
Dans ces conditions, la commission autorise l'Association du Pays de Langres à mettre en oeuvre un traitement de données à caractère personnel dénommé "Encyclopédie Vivante du Pays de Langres", comportant un système d'information géographique à partir des données cadastrales.   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Saisie par le ministère de l'intérieur d'une demande d'avis sur le projet de décret pris pour l'application des dispositions du dernier alinéa du I de l'article 30 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés.   Vu la convention n°108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel.   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Après avoir entendu M. François GIQUEL, commissaire, en son rapport et Mme Pascale COMPAGNIE, commissaire du gouvernement, en ses observations ;
Emet l'avis suivant :   La Commission a été saisie, le 17 octobre 2006, par le ministère de l'intérieur d'un projet de décret pris pour l'application des dispositions du dernier alinéa du I de l'article 30 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés.   Le dernier alinéa du I de l'article 30 de la loi du 6 janvier 1978 dispose que "Les demandes d'avis portant sur les traitements intéressant la sûreté de l'Etat, la défense ou la sécurité publique peuvent ne pas comporter tous les éléments d'information énumérés ci-dessus.  Un décret en Conseil d'Etat, pris après avis de la Commission nationale de l'informatique et des libertés, fixe la liste de ces traitements et des informations que les demandes d'avis portant sur ces traitements doivent comporter au minimum". Cet alinéa a été introduit par l'article 13 de la loi du 23 janvier 2006 relative à la lutte contre le terrorisme et portant diverses dispositions relatives à la sécurité et aux contrôles frontaliers.   La Commission rappelle que le troisième alinéa de l'article 19 de la loi du 6 janvier 1978 disposait, dans sa version antérieure à la loi du 6 août 2004, que :  "Peuvent ne pas comporter certaines des mentions énumérées ci-dessus les demandes d'avis relatives aux traitements automatisés d'informations nominatives intéressant la sûreté de l'Etat, la défense et la sécurité publique" mais il n'avait toutefois pas été repris par la loi du 6 août 2004 modifiant la
loi du 6 janvier 1978.
La Commission constate que l'article premier du projet de décret énumère huit textes réglementaires concernant des traitements pour lesquels seules certaines informations seront communiquées à la CNIL :   - décret portant application aux fichiers gérés par la direction de la surveillance du territoire (DST) des dispositions de l'article 31 (3e alinéa) de la loi n° 78-17 du 6 janvier 1978 ;   - décret portant application des dispositions de l'article 31 (3e alinéa) de la loi n° 78-17 du 6 janvier 1978 aux fichiers d'information nominative mis en oeuvre par la direction générale de la sécurité extérieure (DGSE) ;   - décret portant application des dispositions de l'article 31 (3e alinéa) de la loi n° 78-17 du 6 janvier 1978 aux fichiers de direction de la protection et de la sécurité de la défense (DPSD) ;   - décret portant application des dispositions de l'article 31 de la loi n° 78-17 du 6 janvier 1978 au fichier d'informations nominatives mis en oeuvre par la direction du renseignement militaire (DRM) ;   - arrêté relatif au traitement automatisé d'informations nominatives mis en oeuvre par la direction de la protection et de la sécurité de la défense (DPSD) ;   - arrêté relatif au traitement automatisé d'informations nominatives "fichier de la DGSE" mis en oeuvre par la direction générale de la sécurité extérieure ;   - arrêté relatif au traitement automatisé d'informations nominatives "fichier du personnel de la DGSE" mis en oeuvre par la direction générale de la
sécurité extérieure , arrêté relatif au traitement automatisé d'informations nominatives de personnes étrangères mis en oeuvre par la direction du renseignement militaire (DRM).
Ces traitements sont identiques à ceux qui étaient énumérés à l'article premier du décret n° 86-326 du 7 mars 1986.   Le texte dont la Commission est saisie constitue aussi le projet de décret d'application des dispositions des articles 26-III et 44-IV de la loi du 6 janvier 1978.  En effet l'article 2 du projet de décret dispose que les actes réglementaires de ces traitements ne seront pas publiés et l'article 3, prévoit que ces mêmes traitements ne seront pas soumis aux pouvoirs de contrôle sur place de la Commission.   La Commission regrette que le projet de décret ne comporte pas de disposition définissant les informations devant figurer dans les dossiers de demandes d'avis portant sur ces traitements comme le prévoit cependant l'article 30 de la loi du 6 janvier 1978 modifiée. A cet égard, le projet de rapport au Premier ministre joint au projet de décret précise que la liste des informations communicables à la Commission figurera dans le projet de décret modifiant le décret du 20 octobre 2005 pris en application de la loi du 6 août 2004.   La Commission estime que pour respecter l'intention du législateur et assurer une complète transparence à l'égard des citoyens sur l'étendue du régime dérogatoire dont peuvent bénéficier certains traitements intéressant la sûreté de l'Etat, la défense et la sécurité publique, le projet de décret devrait comporter en son article premier une référence explicite aux dispositions du décret du 20 octobre 2005 modifié qui fixeront la
liste des informations communicables.  Elle considère donc qu'il y a lieu d'appeler l'attention des ministères de l'intérieur et de la justice sur ce point.   La Commission rappelle, en outre, qu'elle a demandé, dans sa délibération du 26 septembre 2006 sur le projet de décret modifiant le décret du 20 octobre 2005, que figurent parmi les informations devant au minimum être transmises à la Commission, les éléments suivants :   - l'identité et l'adresse du responsable du traitement ;   - la ou les finalités du traitement, s'il y a lieu, la dénomination du traitement, ainsi que la description générale de ses fonctions ;   - le cas échéant, les interconnexions, les rapprochements ou toutes autres formes de mise en relation avec d'autres traitements ;   - les catégories de personnes concernées par le traitement ; la durée de conservation des informations traitées ;   - le ou les services chargés de mettre en oeuvre le traitement ;   - les catégories de personnes qui, à raison de leurs fonctions ou pour les besoins du service, ont directement accès aux données enregistrées ;   - les destinataires ou catégories de destinataires habilités à recevoir communication des données ;   - le service auprès duquel s'exerce le droit d'accès visé à l'article 41 de la loi du 6 janvier 1978 susvisée, ainsi que les mesures prises pour faciliter l'exercice de ce droit.
La Commission souligne à nouveau que ces éléments sont indispensables à l'exercice plein et entier des missions de contrôle préalable que lui a confiées le législateur.   Elle rappelle enfin que conformément à l'article 26 III de la loi du 6 janvier 1978, le sens des avis qu'elle a émis sur les actes autorisant les traitements susvisés devra être publié, en même temps que le décret autorisant la dispense de publication de ces actes.   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la Convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales du 4 novembre 1950.   Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment ses articles 9, 25-3° et 25-5° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Vu la loi du 15 juillet 1845 relative à la police des chemins de fer modifiée par la loi du 15 novembre 2001 relative à la sécurité quotidienne, et notamment son article 24-1 ;   Vu le Code de procédure pénale, et notamment ses articles L. 529-3 à 529-5 et R. 49 à 49-8 ;   Vu le décret n° 730 du 22 mars 1942 portant règlement d'administration publique sur la police, la sûreté et l'exploitation des voies ferrées d'intérêt
général et d'intérêt local, notamment ses articles 80-3 à 80-8, modifié par le décret n° 86-1045 du 18 septembre 1986 en son article 3 ;   Vu l'arrêté du ler octobre 1986 relatif au procès-verbal d'infraction à la police des services publics de transports ferroviaires et des services de transports publics de personnes réguliers et à la demande, et notamment son article 1er ;   Après avoir entendu M. Guy Rosier, Vice-président délégué, en son rapport et Mme Pascale Compagnie, commissaire du gouvernement en ses observations.
Formule les observations suivantes :   Les organismes de droit public ou de droit privé gérant un service public de transports mettent en oeuvre des traitements automatisés de données à caractère personnel afin d'assurer le suivi des contraventions des quatre premières classes à la police des services publics de transports terrestres.   En cas d'infraction, ces organismes sont destinataires des procès-verbaux établis par les personnes habilitées en vertu de l'article 23 de la loi du 15 juillet 1845, modifiée qui dispose que "les crimes, délits ou contraventions prévus par les titres Ier et III de la présente loi, ainsi que les contraventions prévues par les textes réglementaires relatifs à la police, la sûreté et l'exploitation des voies ferrées, pourront être constatés par des procès-verbaux dressés concurremment par les officiers de police judiciaire, les ingénieurs des ponts et chaussés et des mines, les conducteurs, gardes mines, agents de surveillance et gardes nommés ou agréés par l'administration et dûment assermentés ...".   Pour dresser ces procès-verbaux, les services publics de transports ferroviaires et les services de transports publics de personnes disposent d'agents habilités à constater les infractions et assermentés dans les conditions prévues par l'article 23 de la loi de 1845.  Ces agents établissent des procès-verbaux de constatation de l'infraction, dont le modèle est fixé par un arrêté conjoint du garde des sceaux, ministre de la justice, et du
ministre chargé des transports.   Ces agents peuvent notamment constater le "délit d'habitude" défini par l'article 50 de la loi du 15 novembre 2001 relative à la sécurité quotidienne :  "l'habitude est caractérisée dès lors que la personne concernée a fait l'objet, sur une période inférieure ou égale à douze mois, de plus de dix contraventions sanctionnées aux premiers et deuxième alinéas de l'article 80-3 du décret n° 730 du 22 mars 1942, qui n'auront pas donné lieu à une transaction en application de l'article 529-3 du code de procédure pénale".   Saisie des traitements considérés, la Commission est appelée à faire application de l'article 25-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation "les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté, sauf ceux qui sont mis en oeuvre par des auxiliaires de justice pour les besoins de leurs missions de défense des personnes concernées".
Elle peut, en outre, en application de l'article 25-II de la même loi, adopter une décision unique d'autorisation pour des traitements répondant aux mêmes finalités, portant sur des catégories de données et des catégories de destinataires identiques.  Dès lors, le responsable de traitement qui met en oeuvre un traitement de données à caractère personnel ayant pour finalité la gestion des infractions à la police des services publics de transports terrestres, est tenu, dans le respect des dispositions de cette décision unique, d'adresser à la Commission un engagement de conformité de celui-ci aux caractéristiques de la présente autorisation.   Décide que les responsables de traitement qui adressent à la Commission une déclaration comportant un engagement de conformité pour les traitements de données à caractère personnel répondant aux conditions fixées par la présente décision unique sont autorisés à mettre en oeuvre ces traitements.