AgentPublic/cnil huggingface dataset:
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004, notamment ses articles 68 et 69  ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007, et notamment son article 103 ;
Sur le rapport de M. Philippe NOGRIX, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du Gouvernement ;
Autorise, dans les conditions figurant dans le tableau ci-dessous, HSBC France à mettre en œuvre des transferts de données personnelles hors de l’Union Européenne, vers des Etats qui n’assurent pas un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes. 
Société responsable du transfert
HSBC France
Finalité du transfert
Mise en place d’un outil de communication à usage strictement professionnel, destinée à la communication des bonnes pratiques internes et des tendances de marché et fonctionnant sur la base d’un forum de discussion et d’une messagerie électronique.
Catégories de données transférées
Elles se rapportent aux vendeurs, analystes et traders de HSBC France et des autres entités du groupe HSBC :- nom, prénom, fonctions, département, entité du groupe HSBC, numéro de téléphone,- adresse électronique, login, mot de passe, données de connexion, contenu des messages transmis (à l’exclusion de toute information confidentielle ou couverte par le secret professionnel ou n’ayant aucun caractère professionnel).
Bénéficiaires des transferts de données (destinataires, prestataires)
- Les données sont pour partie traitées en qualité de sous-traitant par HSBC Bank USA NA.- Les données peuvent être consultées via un Intranet sécurisé par les personnels du service de la conformité et les utilisateurs de la messagerie des sociétés du groupe HSBC qui sont implantées aux Etats-Unis, au Mexique, aux Bermudes, au Brésil, au Japon, en Chine, notamment dans la région administrative spéciale de Hong Kong, en Corée du Sud, à Taiwan, aux Philippines, en Indonésie, en Australie, en Malaisie, à Singapour, en Thaïlande, en Inde, aux Emirats Arabes Unis, en Israël, en Egypte, en Turquie et en Afrique du Sud.
Service auprès duquel s’exerce le droit d’accès
Le droit d’accès s’exerce auprès du responsable local de la Conformité.
Garanties mises en œuvre par les bénéficiaires des transferts pour assurer un niveau de protection suffisant aux données transférées
- Signature avec HSBC Bank USA NA d’un contrat conforme aux clauses contractuelles types adoptées par la Commission européenne dans sa décision du 27 décembre 2001 pour le transfert de données vers des sous-traitants établis dans les pays tiers.- Signature avec chacun des destinataires susvisés d’un contrat conforme aux clauses types adoptées par la Commission européenne dans sa décision du 27 décembre 2004. 
Observations particulières
- Les données transmises et les données de connexion sont pour partie sauvegardées par HSBC Bank USA NA en qualité de sous-traitant. Elles y sont conservées pendant deux ans, puis archivées cinq ans en application de la réglementation boursière américaine applicable à la société mère HSBC Holding, de la loi n° 2005-811 du 20 juillet 2005 sur la transparence des marchés financiers et du règlement général de l’AMF sur la conservation des données relatives aux transactions, afin de se prémunir contre tout échange d’informations privilégiées.- Les login et mots de passe sont accessibles par le seul département informatique de l’entité du groupe HSBC située au Royaume-Uni qui assure la gestion de l’utilisation de la messagerie.
- Le comité d’entreprise de HSBC France sera informé du transfert de données relatives aux salariés de la société.
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007, et notamment son article 103 ;
Sur le rapport de M. Emmanuel DE GIVRY, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions figurant dans le tableau ci-dessous, la société AXA France IARD à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne. 
Société responsable du transfert
AXA France IARD
Finalité du transfert
Externalisation de l’assistance technique informatique (HelpDesk) des utilisateurs du système d’information d’AXA France, salariés ou non (commerciaux salariés, agents mandataires, agents généraux d’assurance, agents prévoyance et patrimoine, courtiers) par consultation du traitement.
Catégories de données transférées
Nom, prénom, statut, date d’entrée en fonction, numéro de téléphone, matricule interne, e-mail, annuaire interne et organigramme, journal de connexion. 
Identité(s) du(des) destinataire(s)
Techniciens dûment habilités du support technique de la société :DELL SASImmeuble 6 Complexe Zenith Millenium1, lot Attaoufik, Sid Maarouf Casablanca - Maroc
Pays d’établissement du(des) destinataire(s)
Maroc
Service auprès duquel s’exerce le droit d’accès des personnes concernées
Service Information ClientsAXA France IARDAXA 313 Terrasses de l’Arche92727 Nanterre Cedex
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
- Clauses contractuelles européennes issues de la décision 2002/16/CE de la Commission européennes du 27 décembre 2001 concernant les transferts de responsable de traitement à sous-traitant.- Annexe au contrat de travail des collaborateurs de DELL SAS sur la confidentialité des données personnelles des collaborateurs AXA et des données de la sociétés AXA.- Standards sécurité de l’information groupe – AXA.
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007, et notamment son article 103 ;
Sur le rapport de M. Emmanuel DE GIVRY, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions figurant dans le tableau ci-dessous, la société AXA France VIE à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne. 
Société responsable du transfert
AXA France VIE
Finalité du transfert
Externalisation de l’assistance fonctionnelle informatique (aide à l’utilisation des logiciels métiers) des utilisateurs du système d’information d’AXA France salariés ou non (commerciaux salariés, agents mandataires, agents généraux d’assurance, agents prévoyance et patrimoine, courtiers) par consultation du traitement 
Catégories de données transférées
Client : nom, prénom, date de naissance, statut marital, nombre d’enfants, adresse, caractéristiques du logement à assurer, CSP, revenus annuels, frais généraux, identité bancaire et postale, en-cours sur contrats assurance-vie, caractéristiques du véhicule à assurer, numéro de téléphone, e-mail. Prospect : nom, prénom, date de naissance, statut marital, nombre d’enfants, adresse, caractéristique du logement à assurer, CSP, revenus annuels, frais généraux, en-cours sur contrats d’assurance-vie, caractéristique du véhicule à assurer, n° de téléphone, e-mail. Distributeurs : nom, prénom, adresse, statut, date d’entrée en fonction, n° de téléphone, e-mail. 
Identité(s) du(des) destinataire(s)
Téléconseillers en charge de la réalisation de la prestation d’assistance fonctionnelle et leurs supérieurs hiérarchiques, dûment habilités de la société :Consort Méditerrannée5 rue FidouziCasablanca - Maroc
Pays d’établissement du(des) destinataire(s)
Maroc
Service auprès duquel s’exerce le droit d’accès des personnes concernées
Service Information ClientsAXA France VIEAXA 313 Terrasses de l’Arche92727 Nanterre Cedex
La Commission nationale de l'informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex TÜRK ; 
Etant aussi présents M. Guy ROSIER, vice-président délégué, M. François GIQUEL, vice-président, Mlle Anne DEBET, M. Hubert BOUCHET et M. Bernard PEYRAT, membres ; 
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ; 
Vu la délibération n°2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ; 
Vu la délibération n° 2006-117 adoptée par la CNIL le 27 avril 2006 portant mise en demeure de la société X ; 
Vu la décision du Président de la Commission Nationale de l'Informatique et des Libertés n°2005-098C du 30 novembre 2005 visant à procéder à des missions de vérification sur place auprès de la société X qui se sont déroulées les 9 décembre 2005 et 17 janvier 2007 ; 
Vu le rapport de M. Emmanuel DE GIVRY, commissaire rapporteur, notifié à la société X le 22 mai 2007 ;
Vu les observations en réponse reçues les 20 juin et 13 septembre 2007 et les compléments d'éléments en date du 27 septembre 2007.
Après avoir entendu, lors de la réunion du 25 octobre 2007, M. Emmanuel DE GIVRY, commissaire, en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations. 
Après avoir entendu, lors de la réunion du 25 octobre 2007, les observations orales de Maître A, avocat, et de M. B, ceux-ci ayant pris la parole en dernier. 
Constate les faits suivants :
1. En application de la décision n° 2005-098C du 30 novembre 2005 du président de la Commission nationale de l'informatique et des libertés (ci-après "CNIL"), une délégation de la CNIL a procédé à une mission de vérification sur place le 9 décembre 2005 auprès de la société X, sise [...]. 
A l'occasion des vérifications menées, la délégation de la Commission a pu constater que la société X était mandatée par des créanciers, par des cabinets de recouvrement de créances ou par d'autres agences de recherches privées afin de procéder à certaines diligences visant à retrouver les coordonnées de débiteurs dont les créanciers précités ont perdu la trace.
La société X est ainsi destinataire de fiches (envoyées par voie postale ou électronique) résumant les éléments d'identification du débiteur connus par le créancier (dernière adresse connue, identité du dernier employeur, etc.) sur la base desquelles celle-ci est mandatée afin de procéder à une enquête (recherche d'adresse, des coordonnées de l'employeur, du niveau de solvabilité du débiteur, etc.). 
Sur la base de ces premières informations, les enquêteurs de la société X procèdent aux recherches demandées. 
Une fois les renseignements obtenus, ceux-ci sont intégrés dans une application informatique de gestion des enquêtes puis sont communiqués au créancier (au moyen d'un rapport papier ou de l'envoi de fichiers informatiques). 
a. Les informations recueillies et conservées sur les débiteurs dans des traitements de données à caractère personnel doivent, conformément aux dispositions de la loi du 6 janvier 1978 modifiée le 6 août 2004, faire l'objet d'une déclaration préalable auprès de la CNIL. 
Il apparaît qu'aucune déclaration n'a été adressée à la CNIL par la société X.
b. La délégation de la Commission a par ailleurs constaté que la société X a mis en œuvre des procédures visant à retrouver l'adresse de débiteurs en utilisant des scripts téléphoniques dont l'utilisation a manifestement pour but de procéder à des appels téléphoniques auprès de certaines administrations en usurpant certains titres ou fonctions afin d'obtenir de façon détournée des informations sur les personnes recherchées. 
De même, des copies d'annuaires téléphoniques internes ou de notes attestant de l'existence de contacts pris entre les enquêteurs et certains professionnels soumis à une obligation de secret professionnel, afin d'obtenir des renseignements sur des débiteurs, ont pu être effectuées lors du contrôle.
Aux termes de l'article 20 de la loi du 12 juillet 1983 modifiée, l'activité d'agent de recherches privées est définie comme : "la profession libérale qui consiste, pour une personne, à recueillir, même sans faire état de sa qualité ni révéler l'objet de sa mission, des informations ou renseignements destinés à des tiers, en vue de la défense de leurs intérêts". 
Ce faisant, la loi précitée offre notamment la possibilité pour les agents de recherches privées de procéder à des appels aux tiers, sans révéler leur identité réelle, afin d'obtenir des informations sur un débiteur.
Néanmoins, si la loi du 12 juillet 1983 permet aux agents de recherches privées de ne pas faire état de leur qualité ni révéler l'objet de leur mission, elle ne les autorise en aucune manière à adopter des procédures qui seraient manifestement illicites, s'agissant notamment de l'usurpation de titres ou de fonctions afin d'obtenir des informations à caractère confidentiel issues des traitements pour lesquelles l'agent de recherches privées ne peut être considéré comme un tiers autorisé. 
La société X ne respectait ainsi manifestement pas les dispositions du 1° de l'article 6 de la loi du 6 janvier 1978 modifiée, qui dispose que : "Les données sont collectées et traitées de manière loyale et licite".
c. Lors du contrôle réalisé auprès de la société X, il a par ailleurs été constaté que l'outil de gestion informatisée des enquêtes comprenait parfois le numéro de sécurité sociale des débiteurs recherchés. 
L'article 25 de la loi du 6 janvier 1978 modifiée soumet à autorisation préalable de la CNIL l'utilisation dans un fichier du numéro d'inscription au Répertoire national d'identification des personnes physiques. Or, la société X n'est pas aujourd'hui autorisée à utiliser ce numéro dans ses traitements automatisés ou manuels. 
La collecte et l'enregistrement du numéro de sécurité sociale par la société X n'étaient donc pas conformes au 1° de l'article 6 et à l'article 25 de la loi du 6 janvier 1978 modifiée le 6 août 2004.
d. S'agissant de la durée de conservation appliquée aux données collectées et enregistrées, il apparaît qu'elle n'a été, en aucune manière, définie par la société X. 
Or, en application du 5° de l'article 6 de la loi du 6 janvier 1978, les données sont conservées sous une forme permettant l'identification des personnes concernées pendant une durée qui n'excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées. 
Dans ce contexte, la Commission a estimé que la durée de conservation la plus pertinente des données collectées et enregistrées par la société X était celle relative à la durée du mandat concernant la recherche d'un débiteur particulier. 
Par conséquent, l'outil informatique de gestion des enquêtes ne devrait plus contenir d'informations sur un débiteur une fois l'enquête terminée. La copie du rapport écrit adressé au créancier, au cabinet de recouvrement de créances ou à une agence de recherches privées formalisant les informations obtenues par la société X peut uniquement être conservée dans le cadre d'un archivage intermédiaire et ne doit pouvoir être consultée que dans des cas strictement limités (litige entre le mandant et le mandataire par exemple).
Il apparaît en effet que la conservation, dans une base informatisée, de l'intégralité des informations relatives aux débiteurs pour, par exemple, faciliter ou orienter le recouvrement d'une créance ultérieure sur un même débiteur est susceptible de présenter un risque important de détournement de finalité dans la mesure où une telle conservation pourrait permettre d'effectuer des rapprochements entre plusieurs débiteurs présentant une donnée commune (même adresse, même nom de famille, etc.). 
e. Le contrôle réalisé auprès de la société X a révélé de graves manquements aux obligations de sécurité mentionnées à l'article 34 de la loi du 6 janvier 1978 modifiée.
Ainsi, la société X n'a pas sécurisé l'accès à ses traitements tant automatisés (absence de mot passe sur les ordinateurs) que manuels (aucune sécurité physique pour accéder aux documents papier). 
De même, la société X n'a mis en oeuvre aucune mesure permettant de sécuriser l'envoi d'informations à ses clients effectué sur Internet, notamment au moyen de la messagerie électronique. 
La société X n'a par ailleurs prévu, vis-à-vis de ses salariés ou de ses sous-traitants, aucune clause de confidentialité dans les contrats de travail ou de prestation de service.
Au regard de ce qui précède, par délibération adoptée le 27 avril 2006, la formation restreinte de la CNIL a mis en demeure la société X : 
- de procéder à la déclaration de son traitement de gestion des enquêtes ;
- d'apporter toute garantie permettant de considérer que, pour l'avenir, les modalités mises en œuvre pour la recherche des débiteurs, directement ou pour son compte, seront conformes aux dispositions du 1° de l'article 6 de la loi du 6 janvier 1978 modifiée le 6 août 2004 et que, notamment, il ne sera plus procédé à l'usurpation de titres ou de fonctions ainsi qu'à des appels téléphoniques à des personnes soumises au secret professionnel afin d'obtenir des informations à caractère confidentiel ; 
- de prendre toute mesure nécessaire pour que, dans l'ensemble de ses traitements, les mentions manifestement contraires à la loi du 6 janvier 1978 modifiée (numéro de sécurité sociale) soient supprimées ; 
- de limiter la durée de conservation des données sur les débiteurs à la durée du mandat concernant la recherche d'un débiteur particulier, de définir une politique d'archivage des rapports écrits adressés aux créanciers ou aux cabinets de recouvrement de créances et de procéder, par voie de conséquence, à la purge de l'ensemble des informations relatives à des enquêtes clôturées ; 
- d'apporter toute garantie permettant de considérer que la sécurité et la confidentialité sont assurées sur les données conservées dans les traitements mis en œuvre (mots de passe, armoires sécurisées, clauses de confidentialité dans les contrats, sécurisation des échanges par internet).
2. En réponse à la mise en demeure, la société X a indiqué, par courrier du 20 juin 2006, que :
a. Un dossier de déclaration a été adressé à la Commission concernant le traitement de gestion des enquêtes le 22 juin 2006.
b. Le personnel de la société X a été de nouveau alerté sur la confidentialité des informations recueillies, sur l'interdiction d'usurpation de titres ou de fonctions, sur l'interdiction de procéder à tout appel téléphonique à des personnes soumises au secret professionnel en vue de l'obtention d'informations à caractère confidentiel et de faire apparaître dans les rapports d'enquêtes envoyés aux prestataires des mentions contraires à la loi du 6 janvier 1978 modifiée (notamment l'interdiction de faire figurer sur lesdits rapports le numéro de sécurité sociale des personnes). Ce rappel a fait l'objet d'une note de service établie en date du 25 mai 2006 et affichée dans les locaux de l'entreprise.
c. Les rapports d'enquête seront conservés de façon sécurisée avec mot de passe pendant six mois conformément à l'avenant au contrat liant la société X au mandant. Ces rapports ne pourront être consultés que par la direction de l'entreprise. Une purge totale des rapports d'enquête sera effectuée à l'issue de ce délai de six mois.
d. Les envois des rapports se feront par voie électronique sous format PDF sécurisés par mot de passe auprès du ou des mandants.
3. Le 17 janvier 2007, les services de la CNIL se sont à nouveau rendus dans les locaux de la société X afin de procéder, notamment, à de nouvelles extractions de fichiers et vérifier dans quelle mesure les engagements pris dans le courrier du 20 juin 2006 avaient bien été respectés. Une extraction d'une partie de la base d'archives a ainsi été réalisée.
4. Sur la base des constatations opérées par la CNIL lors de cette seconde mission de contrôle, une proposition de sanction a été notifiée à la société X le 22 mai 2007. Il ressortait en effet des conclusions du rapporteur que trois des cinq manquements identifiés par la CNIL demeuraient à l'issue de la seconde mission de contrôle sur place. Le 13 septembre 2007, la société X a adressé à la CNIL ses observations en réponse et a soutenu s'être mise en conformité avec l'ensemble des manquements à la loi du 6 janvier 1978 modifiée.
a. La Commission observe que la société X a procédé le 22 juin 2006 à la déclaration de son traitement de gestion des enquêtes. La société X s'est donc bien conformée, sur ce point, à la mise en demeure qui lui a été adressée.
b. S'agissant ensuite de la sécurité des données collectées et enregistrées, la Commission observe que plusieurs dispositions significatives ont été prises notamment en matière de sécurisation des flux et d'intégration de clauses de confidentialité dans les contrats.
La société X a mis en place un webmail permettant des échanges avec son mandant de manière sécurisée. Lors du contrôle, la délégation de la CNIL a en effet constaté que des mots de passe ont été instaurés sur les postes de travail. Des sécurités physiques ont également été mises en œuvre afin de protéger les fiches papier utilisées par les enquêteurs.
De même, des clauses de confidentialité figurent désormais dans les contrats signés par la société X avec ses clients ou ses enquêteurs.
Dans ces conditions, la Commission estime que la société X s'est bien conformée, sur ce second point, à la mise en demeure qui lui a été adressée.
c. La délégation de la Commission a pu constater, lors de la seconde mission de contrôle, que la durée de conservation des rapports d'enquête est de six mois glissants à l'issue desquels ils sont détruits.
La société X s'est bien conformée à la mise en demeure, quant à la durée de conservation des données et à la politique d'archivage de la société.
d. En revanche, s'agissant de la suppression des mentions manifestement contraires à l'article 25 de la loi du 6 janvier 1978 modifiée, les services de la CNIL ont pu constater que les fiches manuscrites présentes sur le bureau des enquêteurs, qu'il convient de considérer comme un traitement de données à caractère personnel, précisent de manière quasi systématique le numéro de sécurité sociale du débiteur recherché.