AgentPublic/cnil huggingface dataset:
Dans sa décision du 29 juillet 2004, le Conseil Constitutionnel a déclaré non conforme à la Constitution l’article 9-3° de la loi du 6 janvier 1978 modifiée qui permettait à une personne morale de droit privé, mandatée par d’autres personnes morales estimant avoir été victimes ou être susceptibles d’être victimes d’agissements passibles de sanctions pénales, de rassembler des données portant sur des infractions, condamnations ou mesures de sûreté, au motif de son caractère trop général et du manque de précision sur les garanties devant encadrer ce type de traitement. Pour autant, le Conseil Constitutionnel a précisé que cette annulation ne saurait être interprétée comme « privant d’effectivité le droit d’exercer un recours juridictionnel dont dispose toute personne physique ou morale s’agissant des infractions dont elle a été victime ». 
Cette réserve d’interprétation était indispensable pour ne pas priver de base légale les traitements légitimement mis en œuvre pour assurer le suivi des dossiers contentieux relatifs à des infractions. Elle permet à toute personne de constituer, pour les besoins de l’exercice de son droit au recours, des fichiers de pré contentieux.
La Commission considère, compte tenu de la finalité poursuivie, que ces données sont pertinentes, adéquates et non excessives, conformément à l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont le service juridique et le pôle assurance de RENNES METROPOLE, la Ville de RENNES ainsi que les conseils juridiques et auxiliaires de justice pour les besoins de la défense des intérêts de RENNES METROPOLE.La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, lorsque la personne a formé un recours et que la procédure est engagée, par une mention d’information qui figure sur le courrier de réponse au recours.Les droits d’accès et de rectification s’exercent auprès de la  Direction des affaires juridiques à l’adresse suivante : Hôtel de RENNES METROPOLE, 4 avenue Henri Freville CS 20723.La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes. 
Sur les mesures de sécurité
Les actions effectuées par les gestionnaires des dossiers en cours sont tracées afin de permettre de détecter et d’analyser tous les accès, modifications et suppressions de données non autorisés.Seules ces personnes ont accès au logiciel de suivi et de gestion du contentieux. Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application avec des profils d’habilitation et un contrôle d’accès logique qui se fait par mot de passe.Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
RENNES METROPOLE dispose de services mutualisés tels que le service juridique et le pôle assurance. Il s'agit de services, tout ou partie, mis à disposition de l'une de ses communes membres, en l'occurrence la Ville de Rennes, dans l'intérêt d'une bonne organisation des services conformément aux dispositions de l’article L.5211-4-I-III du code général des collectivités territoriales.Les données sont conservées le temps de la procédure judiciaire et jusqu’à épuisement des voies de recours. La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement. 
Autorise, conformément à la présente délibération, RENNES METROPOLE à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1801269)
La Commission nationale de l'informatique et des libertés,
Saisie par le Crédit Mutuel Arkéa d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’aide à la sélection et à l’évaluation des risques en matière d’octroi de crédit ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY,
Formule les observations suivantes :
Responsable du traitement
Le Crédit Mutuel Arkéa est un établissement de bancassurance qui propose à ses clients particuliers des crédits à la consommation. 
Sur la finalité
Le Crédit Mutuel Arkéa a saisi la Commission d’une demande d’autorisation relative à la mise en œuvre d’un traitement de données à caractère personnel dont les finalités sont l’aide à la décision d’octroi de crédit à la consommation. Le dispositif a pour objectifs d’améliorer le service client en accélérant la prise de décision, de permettre un suivi des actions commerciales de crédit et de développer la production de crédit à la consommation.L’outil permet de minimiser l’exposition globale des clients à titre particulier notamment en limitant les montants préconisés pour les lignes de crédit à la consommation.La Commission relève que conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est prise à l’égard des personnes concernées.En effet, le dispositif fournit des indications sur le risque de défaillance du client et sur sa situation ou non de surendettement. Toutefois, la décision finale d’octroi ou de refus du crédit appartient au conseiller de clientèle qui n’est en aucun cas lié par le résultat de l’outil.Plus précisément et à partir des données exploitées par l’outil le traitement restitue deux types informations : d’une part la probabilité pour un foyer de devenir risqué dans les 12 prochains mois, d’autre part, la ligne de crédit à la consommation maximale supportable par le foyer.La Commission considère que cette finalité est déterminée, explicite et légitime.Ce traitement peut néanmoins, du fait
de sa nature et de sa finalité, conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition législative ou réglementaire prévoyant une telle exclusion. Dès lors, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.
Sur les données traitées
Les catégories de données traitées sont relatives à :
l’identité de l’emprunteur (date et lieu de naissance, identifiant client),
La situation professionnelle, le statut d’étudiant,
La situation économique et financière : les revenus, le taux d’endettement, les flux créditeurs et débiteurs sur les comptes de chèques et le solde du compte de chèques, la cotation Bale 2, l’équipement bancaire, le fonctionnement du compte.
les variables générales : numéro de foyer, indicateur de qualification, indicateur de contentieux (O/N), indicateur FICP (O/N), indicateur de fichage Banque de France (O/N), indicateur Niertz (O/N), indicateur oppositions (O/N), indicateur oppositions hors vol/perte de moyens de paiement (O/N), salarié crédit Mutuel (O/N), indicateur incapacité juridique (O/N), note de score Bâle, code profession avant retraite ;
les variables des comptes chèques du foyer : durée depuis ouverture du plus ancien chèque (en mois), autorisation de découvert, montant AVP crédit consommation du mois vers organismes concurrents, solde moyen 3 mois, revenu moyen du foyer au Crédit Mutuel, revenus moyens organismes sociaux et assimilés du foyer, revenus moyens espèces du foyer ;
les variables de crédit : montant mensualités global crédits du mois, nombre mensualités impayées crédits consommations, montant total impayés tous crédits, nombre mensualités impayés tous crédits, montant autorisation revolving ;
variables des comptes épargne : solde total épargne fin de mois hors solde compte chèque ;
variables d’utilisation des services bancaires calculées sur les 12 derniers mois : nombre de fréquentation guichet, nombre d'opérations en guichet automatique de banque (GAB), nombre d’utilisation de l’automate de remise de chèques (ARC) et de l’imprimante en libre service (ILS), nombre de paiement carte et nombre d'utilisation des services à distance ;
variables consolidées du foyer : niveau de cotation Bâle 2.
Les variables exploitées par le système concernent :
l’identité de l’emprunteur (date et lieu de naissance, identifiant client),
La situation professionnelle, le statut d’étudiant,
La situation économique et financière : les revenus, le taux d’endettement, les flux créditeurs et débiteurs sur les comptes de chèques et le solde du compte de chèques, la cotation Bale 2, l’équipement bancaire, le fonctionnement du compte.
les variables générales : numéro de foyer, indicateur de qualification, indicateur de contentieux (O/N), indicateur FICP (O/N), indicateur de fichage Banque de France (O/N), indicateur Niertz (O/N), indicateur oppositions (O/N), indicateur oppositions hors vol/perte de moyens de paiement (O/N), salarié crédit Mutuel (O/N), indicateur incapacité juridique (O/N), note de score Bâle, code profession avant retraite ;
les variables des comptes chèques du foyer : durée depuis ouverture du plus ancien chèque (en mois), autorisation de découvert, montant AVP crédit consommation du mois vers organismes concurrents, solde moyen 3 mois, revenu moyen du foyer au Crédit Mutuel, revenus moyens organismes sociaux et assimilés du foyer, revenus moyens espèces du foyer ;
les variables de crédit : montant mensualités global crédits du mois, nombre mensualités impayées crédits consommations, montant total impayés tous crédits, nombre mensualités impayés tous crédits, montant autorisation revolving ;
variables des comptes épargne : solde total épargne fin de mois hors solde compte chèque ;
variables d’utilisation des services bancaires calculées sur les 12 derniers mois : nombre de fréquentation guichet, nombre d'opérations en guichet automatique de banque (GAB), nombre d’utilisation de l’automate de remise de chèques (ARC) et de l’imprimante en libre service (ILS), nombre de paiement carte et nombre d'utilisation des services à distance ;
variables consolidées du foyer : niveau de cotation Bâle 2.
Ces données sont collectées à l’ouverture du contrat et mises à jour mensuellement au cours de la vie du contrat.
La Commission relève que les variables d’utilisation des services bancaires ne sont pas prises en compte dans le calcul des montants de crédit à la consommation.
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente, adéquate et non excessive, conformément aux dispositions de l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires de ces informations sont :- les gestionnaires de clientèle et les supérieurs hiérarchiques,- les chargés d’administration en agence, - les collaborateurs des actions commerciales et des offres de crédits, - les gestionnaires prêts du service support crédit,- la Direction des risques, contrôles, inspection et audit,- la Direction marketing.La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès
Les personnes sont informées conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée par une mention figurant sur le site interne de l’établissement.La Commission relève en outre que le consentement des clients est recueilli par le biais d’une clause particulière de la demande de crédit précisant la finalité et les destinataires des échanges d’information. Dans la mesure où les informations échangées sont couvertes par le secret bancaire, il est prévu que la clause comporte l’autorisation explicite du client de partager des informations couvertes par le secret bancaire. Les droits d’accès, de rectification et d’opposition s’exercent auprès du service Assistance clients à l’adresse suivante : 1, rue Louis Lichou – 29808 LE RELECQ-KERHUON ou à l’adresse électronique suivante : cnil-groupe@arkea.com Ces modalités d’exercice des droits n’appellent pas d’observations de la part de la Commission.
Sur les mesures de sécurité
Les postes de travail disposent d'un pare-feu logiciel et d'un logiciel antivirus mis à jour régulièrement.Il existe des profils d'habilitation afin de gérer les accès aux données. Les mots de passe sont obligatoirement changés après leur réinitialisation. Toutefois, la Commission recommande d’adapter la politique de gestion des mots de passes afin que ceux-ci soient plus robustes.Les accès distants sont sécurisés au moyen d’une authentification renforcée.Des sauvegardes synchrones sont réalisées, elles sont stockées dans un endroit garantissant leur sécurité et leur disponibilité. Le transfert des sauvegardes est sécurisé.L'accès aux locaux contenant les sauvegardes est restreint au moyen de portes verrouillées contrôlées par un moyen d'authentification personnel. La continuité d'activité est testée régulièrement.Les interventions de maintenance font l'objet d'une traçabilité.Les supports de stockages usagés ou en panne font l'objet d'une procédure de destruction ou d'effacement sécurisé.Le réseau de l’entreprise  fait l’objet de mesure de filtrage ayant pour but de restreindre l’émission et la réception des flux réseaux aux machines identifiées et autorisées.Une journalisation des opérations de consultation du traitement est réalisée.Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
La Commission prend acte que ces opérations n’emportent pas constitution d’un fichier centralisant les incidents de paiement ou les encours de crédit et qu’il n’y a pas de mémorisation des informations consultées dans les fichiers clients respectifs. La Commission relève qu’il existe une interconnexion avec le fichier des cotations Bâle 2 afin de déterminer le risque client.Ces autres caractéristiques du traitement n’appellent pas d’observation particulière de la Commission.Les données relatives aux simulations de prêts sont archivées sur 12 mois glissant. Ces durées de conservation n’appellent pas d’observations de la part de la Commission.
Autorise, conformément à la présente délibération, le Crédit Mutuel Arkéa à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1374645 v1)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Institut National d’Etudes Démographiques (INED) d’une demande d’autorisation concernant des traitements automatisés de données à caractère personnel ayant pour finalités la réalisation et l’analyse des résultats d’enquête statistique portant sur les mutations sociodémographiques dans le département de Mayotte dénommée « Migration, Famille, Vieillissement » (MFV Mayotte) ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 51-711 du 7 juin 1951 modifiée relative à l’obligation, la coordination et le secret en matière de statistiques ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1°) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2009-318 du 20 mars 2009 modifié relatif au Conseil national de l’information statistique et au comité du secret statistique ;
Vu la décision n° 2007-557 DC du Conseil constitutionnel du 15 novembre 2007 concernant la loi relative à la maîtrise de l’immigration, à l’intégration et à l’asile ;
Vu la délibération n° 2009-497 du 17 septembre 2009 autorisant l’Institut National d’Etudes Démographiques (INED) à mettre en œuvre les traitements automatisés de données à caractère personnel nécessaires à la réalisation et à l’analyse des résultats d’une enquête statistique portant sur les mutations sociodémographiques dans les départements d’Outre-mer dénommée « Migration, Famille, Vieillissement » (MFV) ;
Vu l’avis de conformité du Comité du label de qualité statistique du Conseil National de l’Information Statistique (CNIS) du 24 mars 2015 attribuant à l’enquête « MFV Mayotte » le label d’intérêt général et de qualité statistique et proposant de lui conférer le caractère obligatoire ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Philippe LEMOINE, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
L’Institut National d’Etudes Démographiques (INED) a saisi la Commission d’une demande d’autorisation relative à la mise en œuvre des traitements automatisés de données à caractère personnel nécessaires à la réalisation et à l’analyse des résultats d’une enquête statistique portant sur les mutations sociodémographiques dans le département de Mayotte dénommée « Migration, Famille, Vieillissement » (MFV Mayotte).La responsabilité des traitements mis en œuvre dans le cadre de l’enquête principale « MFV Mayotte », soutenue et en partie financée par plusieurs organismes publics, incombe à l’INED (maîtrise d’ouvrage). La maîtrise d’œuvre relève de l’Institut National de la Statistique publique et des Etudes Economiques (INSEE), la direction régionale de l’INSEE compétente pour le territoire de Mayotte étant chargée de la collecte des données auprès des personnes concernées. Une convention est établie entre ces acteurs agissant pour le compte de l’INED, responsable du dispositif « MFV Mayotte ».L’INED est un organisme public de recherche spécialisé dans l’étude des populations et, sur ce thème, intervient comme partenaire privilégié des structures universitaires et de recherche, aux niveaux national et international.
Sur la finalité
L’enquête « MFV Mayotte » est la première enquête de grande ampleur conduite auprès des ménages résidant sur le département de Mayotte. Elle concerne les aspects socio-démographiques majeurs : les migrations, la famille, le vieillissement, auxquels s’ajoute un volet complémentaire consacré à l’insertion sociale des jeunes. L’objectif consiste à rendre compte de l’ensemble des évolutions en cours sur chacun de ces champs d’analyse, de leurs interactions et de leur impact sur la société mahoraise. En outre, Mayotte venant d’accéder au statut de département, l’enquête doit permettre d’examiner ses réalités sociodémographiques pour disposer d’une connaissance scientifique de nature à couvrir l’ensemble des départements d’Outre-mer et les examiner à l’aune des réalités sociodémographiques concernant la métropole ainsi que les pays environnants.
L’enquête « MFV Mayotte » se compose de deux opérations distinctes, objets de la présente demande d’autorisation :
une enquête principale menée, d’une part, par la direction régionale de l’INSEE compétente pour Mayotte pour collecter les données auprès des enquêtés et, d’autre part, par des chercheurs de l’INED pour analyser ces données ;
un ensemble d’enquêtes complémentaires, faisant suite aux premières exploitations de l’enquête principale.
Cette enquête principale sera effectuée auprès d’hommes et de femmes de 18 à 79 ans résidant dans le département de Mayotte, au sein d’un échantillon représentatif d’environ 4.600 ménages. L’échantillon sera constitué de 4.600 adresses tirées aléatoirement selon un plan de sondage réalisé pour l’occasion à partir des données issues d’un répertoire des immeubles localisés (dit « RIL » ou « base CARTO ») établi par l’INSEE pour les besoins du recensement général de la population.
La Commission relève que l’enquête « MFV Mayotte » constitue le prolongement d’une première « enquête ménages » de grande ampleur conduite, après autorisation de la Commission, par l’INSEE et l’INED en 2009 et 2010, de façon simultanée dans quatre départements d’Outre-mer (Guadeloupe, Martinique, Guyane et La Réunion, dits « DOM historiques »). Compte tenu des spécificités de la société mahoraise, quelques modifications ont néanmoins été apportées pour adapter l’enquête au département de Mayotte (s’agissant notamment de traduire le questionnaire en shimaore, la principale langue mahoraise ainsi qu’en shibushi, langue pratiquée à Madagascar et seconde langue parlée à Mayotte, même si le français reste la langue officielle).
L’ambition de ce programme d’ensemble est de produire, sur lesdits champs d’analyse, des connaissances scientifiques nouvelles, permettant notamment de fournir des indicateurs utiles à la définition et à l’évaluation de politiques publiques dans les départements d’Outre-mer.
La Commission observe enfin que le Comité du label de la statistique publique, par avis en date du 24 mars 2015, a attribué un label d’intérêt général et de qualité statistique pour la réalisation de l’enquête principale qui sera menée de 2015 à 2016 et a proposé le caractère obligatoire s’agissant de la participation des personnes concernées par l’enquête principale « MFV Mayotte ».
Au regard de l’ensemble de ces éléments, elle estime que les finalités poursuivies sont explicites, déterminées et légitimes, conformément à l’article 6-2° de la loi « Informatique et Libertés ».
S’agissant du régime déclaratif applicable, l’enquête porte notamment sur des questions relatives à des données « sensibles » au sens de l’article 8-I de la loi du 6 janvier 1978 modifiée. Ces traitements étant justifiés par l’intérêt public au sens de l’article 8-IV de la même loi, la Commission considère qu’ils relèvent du régime d’autorisation prévu par l’article 25-I-1°) de la loi « Informatique et Libertés ». Elle rappelle que toute modification substantielle des conditions décrites par la présente délibération est subordonnée à l’accomplissement de nouvelles formalités préalables.
Sur les données traitées
Le questionnaire, similaire à celui utilisé dans l’enquête précitée conduite en 2009 et 2010, est organisé sous différents modules : « Logement et ses habitants », « Famille : enfants et couples », « Trajectoires Natifs et Immigrants », « Famille élargie et solidarités familiales » et « Ressources culturelles : langues, religions et valeurs ».
L’entretien sera mené en face à face pendant une durée moyenne de 75 minutes par un enquêteur de la direction  régionale de l’INSEE à Mayotte et le questionnaire sera administré sous forme informatisée (méthode dite « CAPI » pour computer assisted personnal intervieving).
Outre les données d’identification de la personne sélectionnée pour répondre à l’enquête, les données à caractère personnel susceptibles d’être collectées et traitées dans le cadre de la réalisation de cette enquête seront relatives :
aux occupants du logement dans lequel réside l’enquêté (leurs prénom, sexe, date et lieu de naissance, nationalité, situation de couple, situation de famille, scolarité, situation vis-à-vis du travail, et situation vis-à-vis du logement) ;
à la situation familiale et à la famille élargie (ensemble des enfants vivants nés, élevés ou aidés ; union(s) actuelle(s) et union(s) passée(s) ; maîtrise et avenir de la fécondité) ;