AgentPublic/cnil huggingface dataset:
Conformément à l’article 1er de la loi du 6 janvier 1978 modifiée, la Commission rappelle que la mise en place d’un tel dispositif ne doit « porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques ». En outre, il convient d’examiner ledit traitement au regard des principes relatifs à la protection des données à caractère personnel, et notamment, de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
En l’espèce, la Commission constate qu’aucune circonstance exceptionnelle n’est démontrée et que le dispositif biométrique de gestion des horaires des salariés ne résulte pas de la mise en œuvre de mesures de sécurité telles qu’identifiées par une analyse de risques. 
En conséquence, elle considère que le recours exclusif à un dispositif biométrique de reconnaissance de l’empreinte digitale n’apparait ni adapté ni proportionné à la finalité poursuivie au sens de l’article 6-3° précité. 
Dans ces conditions, la Commission n’autorise pas la société JACREGAL à mettre en œuvre un traitement de données à caractère personnel reposant sur un dispositif biométrique de reconnaissance de l’empreinte digitale et ayant pour finalité la gestion des horaires.
La Présidente
(Demande d’autorisation n° 1639910)
La Commission nationale de l'informatique et des libertés,
Saisie par la Fédération nationale d’aide aux victimes et de médiation d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi des partenariats professionnels et des dossiers des usagers ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de procédure pénale ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8, 9, 25-I-1°, 25-I-3° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ; 
Sur la proposition de M. Gaëtan GORCE, commissaire, et après avoir entendu les observations de M.  Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
La Fédération nationale d’aide aux victimes et de médiation (ci-après « INAVEM »).L’INAVEM est une association relevant de la loi de 1901, qui a pour mission d’animer, de coordonner et de promouvoir un réseau d'aide aux victimes, ainsi que d'engager des partenariats et des conventions pour faciliter l'accès des personnes victimes aux associations locales. La fédération, qui compte plus de 130 associations d’aide aux victimes réparties sur tout le territoire national, a  notamment pour mission d’accueillir via une plate-forme téléphonique les victimes d’infractions et de les accompagner. Plusieurs types d’activités sont exercées par les associations locales, de l’aide aux victimes, l’exercice de mandats judiciaires (administration ad hoc, médiation pénale et enquête de personnalité concernant la victime) à l’accès au droit. 
Sur la finalité
L’INAVEM gère une plateforme téléphonique d’accueil de toutes les personnes victimes d’infractions qui souhaitent faire l’objet d’un accompagnement  par l’association. Les appelants peuvent dans ce cadre présenter ou non leur identité. Les premiers échanges téléphoniques n’ont pas pour objet de prendre en charge directement les sollicitations des personnes concernées mais de recueillir les informations nécessaires à la prise en charge, par les associtaions locales adhérentes au réseau, des personnes concernées. 
Dans ce cadre, l’INAVEM souhaite se doter d’une base de données, dénommée NUM NAT-STAT, qui doit permettre :
de transmettre, avec leur accord, les coordonnées des appelants aux associations d’aide aux victimes locales adhérentes à l’INAVEM afin qu’elles puissent se charger de prendre attache avec la victime. 
de référencer les partenaires professionnels dans une base permettant aux écoutants de s’y référer afin de proposer une orientation adéquate aux appelants. 
d’effectuer des statistiques globales et anonymisées sur les appels reçus par le service à destination des financeurs et autorités publiques.
de transmettre, avec leur accord, les coordonnées des appelants aux associations d’aide aux victimes locales adhérentes à l’INAVEM afin qu’elles puissent se charger de prendre attache avec la victime. 
de référencer les partenaires professionnels dans une base permettant aux écoutants de s’y référer afin de proposer une orientation adéquate aux appelants. 
d’effectuer des statistiques globales et anonymisées sur les appels reçus par le service à destination des financeurs et autorités publiques.
de transmettre, avec leur accord, les coordonnées des appelants aux associations d’aide aux victimes locales adhérentes à l’INAVEM afin qu’elles puissent se charger de prendre attache avec la victime. 
de référencer les partenaires professionnels dans une base permettant aux écoutants de s’y référer afin de proposer une orientation adéquate aux appelants.
d’effectuer des statistiques globales et anonymisées sur les appels reçus par le service à destination des financeurs et autorités publiques.
La Commission considère que ces finalités sont déterminées,  explicites et légitimes, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée. 
Elle relève que le traitement, justifié par l’intérêt public, peut faire apparaître directement ou indirectement les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses, l’appartenance syndicale ou qui sont relatives à la santé ou à la vie sexuelle des personnes. La Commission estime dès lors qu’il y a lieu de faire application des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation de la Commission les traitements automatisés ou non portant sur de telles données.
Elle relève en outre que le traitement porte sur des données relatives aux infractions, condamnations et mesures de sûreté au sens de l’article 9 de la loi du 6 janvier 1978 modifiée. A cet égard, la Commission relève que l’INAVEM assure une mission d’intérêt général sous le contrôle de l’administration. Ainsi, elle est conventionnée par le ministère de la justice et son action  s’inscrit dans le  programme budgétaire 101 « Accès au droit et à la justice », qui contient l’action d’aide aux victimes et précise chaque année les objectifs de cette action ainsi que les indicateurs auxquels les associations doivent répondre (par exemple, évolution du nombre de victimes accueillies par les associations et le nombre de dossiers qu’elles suivent, etc.).
Au regard de l’ensemble de ces éléments, la Commission estime que l’INAVEM est une personne morale gérant un service public, au sens de l’article 9-1° de la loi du 6 janvier 1978 modifiée, qui est en conséquence habilitée, dans le cadre de ses attributions, à traiter des données relevant dudit article.
Il y a dès lors lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée, qui soumet à autorisation de la Commission le traitement de telles données.
Sur les données traitées
Les données traitées et relatives aux victimes qui font appel à l’INAVEM portent sur :
les nom et prénoms ;
les date et lieu de naissance ou l’âge approximatif pour les personnes ne souhaitant pas renseigner leurs date et lieu de naissance ;
le sexe, le statut marital ou civil de l’usager ou de la personne à aider ;
le lieu et la description des faits relatés et, le cas échéant, la qualification pénale de ces faits ;
l’existence de précédents ;
les renseignements sur les types d’aides apportées lors de l’entretien (sociale, psychologique, juridique ou matérielle).
le nom de l’association ou de l’institution (maison de justice, Défenseur des Droits, etc.) vers laquelle est orientée la personne aidée ;
son adresse, son téléphone ;
ses horaires d’ouverture ;
ses champs d’intervention.
La Commission observe que les appels peuvent être anonymes et que l’anonymat peut être levé au cours de la conversation téléphonique avec l’accord de l’appelant. Dans ce cas, les données seront conservées deux ans puis seront anonymisées de façon systématique, indépendamment de la clôture du dossier par les associations locales. Ainsi les items noms, prénoms, coordonnées, dates et lieux de naissance sont automatiquement supprimés.
Les données traitées et relatives aux agents de l’INAVEM portent sur le code de l’écoutant.
Les données traitées et relatives aux partenaires de l’INAVEM portent sur :
les nom et prénoms ;
les date et lieu de naissance ou l’âge approximatif pour les personnes ne souhaitant pas renseigner leurs date et lieu de naissance ;
le sexe, le statut marital ou civil de l’usager ou de la personne à aider ;
le lieu et la description des faits relatés et, le cas échéant, la qualification pénale de ces faits ;
l’existence de précédents ;
les renseignements sur les types d’aides apportées lors de l’entretien (sociale, psychologique, juridique ou matérielle).
le nom de l’association ou de l’institution (maison de justice, Défenseur des Droits, etc.) vers laquelle est orientée la personne aidée ;
son adresse, son téléphone ;
ses horaires d’ouverture ;
ses champs d’intervention.
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Néanmoins, elle rappelle que les données relatives aux victimes ne devront être recueillies que dans le cas où le traitement du dossier le nécessite.
Sur les destinataires
Les destinataires des informations sont :
les  associations d’aide aux victimes adhérentes à la fédération.
La Commission rappelle que les données transmises à ces partenaires doivent être limitées aux données strictement nécessaires à l’exercice de leurs missions.
Le ministère de la Justice  est également destinataire de données statistiques.
La Commission considère que ces destinataires ont un intérêt légitime à connaitre des données collectées.
Sur l’information et le droit d’accès
Les personnes concernées par le traitement sont informées de la finalité du traitement, des destinataires des informations, de l’existence et des modalités d’exercice de leurs droits par des mentions figurant sur le site internet de l’INAVEM et sur les courriers de réponse. Ils sont également informés oralement lors des entretiens téléphoniques et via la messagerie vocale.Les droits d’accès et de rectification prévus aux articles 39 et 40 de la loi s’exercent par courrier postal auprès de la Fédération nationale d’aide aux victimes et de médiation (INAVEM), sise  27, avenue Parmentier, 75011 PARIS, ou par voie électronique (contact@inavem.org).La Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Le responsable d’un traitement de données à caractère personnel est tenu, en application de l’article 34 de la loi du 6 janvier 1978 modifiée, de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment empêcher que des tiers non autorisés y accès. La Commission observe que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.L’authentification des utilisateurs est assurée par des mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules, des chiffres et des caractères spéciaux.Les habilitations d’accès au système d’information sont définies en fonction des attributions des utilisateurs. Les accès aux données font l’objet d’une traçabilité et les  traces sont conservées six mois.Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévues par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Autorise, conformément à la présente délibération, l’INAVEM à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n°1826862)
La Commission nationale de l'informatique et des libertés,
Saisie par la société EURO DISNEY ASSOCIES S.C.A. d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’évaluation des risques de fraude à la carte de paiement pour les transactions sur ses sites internet marchands ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-358 du 14 novembre 2013 portant adoption d’une recommandation concernant le traitement des données relatives à la carte de paiement en matière de vente de biens et de fourniture de services à distance ;
Vu le dossier et ses compléments ;
Sur la proposition de M. François PELLEGRINI, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société EURO DISNEY ASSOCIES S.C.A.
Sur la finalité
La société EURO DISNEY ASSOCIES S.C.A., ci-dessous dénommée EURO DISNEY, a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation relative à la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité l’évaluation des risques de fraude à la carte de paiement pour les transactions sur ses sites internet marchands.Afin de lutter contre les tentatives de fraude à la carte de paiement, elle souhaite se doter, dans le cadre des ventes dématérialisées, d’un outil d’évaluation des risques. Elle souhaite en outre conserver des données relatives aux tentatives de fraude détectées afin de procéder à une analyse approfondie des transactions ultérieures présentant une ou plusieurs de ces caractéristiques.Ce traitement peut avoir pour effet d’exclure le porteur de la carte de la possibilité de recourir au mode de paiement à distance. Un autre mode de paiement lui sera néanmoins toujours proposé.Dès lors, ce traitement relève des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements susceptibles du fait de leur nature, de leur portée ou de leurs finalités, d’exclure les personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire.La Commission observe que les fraudes recherchées correspondent à des utilisations illégitimes de cartes ou des données qui y sont attachées lorsque ces
utilisations risquent de générer un impayé pour la société EURO DISNEY. Les utilisations d’une carte par son titulaire légitime qui sont rendues irrégulières du seul fait d’un défaut de provision ne font pas partie des critères permettant d’évaluer le risque de fraude.Les sites marchands sur lesquels le système d’évaluation des risques de fraude est mis en œuvre sont tous les sites internet marchands édités par la société EURO DISNEY et/ou sa filiale, EURO DISNEY VACANCES SAS, permettant l’achat de billets parc ou de forfaits touristiques.L’évaluation a lieu après la validation par l’utilisateur des éléments de sa commande et des informations de sa carte bancaire.Si le système d’évaluation établit un risque de fraude, la personne est invitée à contacter la centrale de réservation téléphonique de la société pour effectuer sa commande. Dès lors, la Commission prend acte que la mise en œuvre de ce traitement automatisé n’est pas contraire aux alinéas 2 et 3 de l’article 10 de la loi du 6 janvier 1978 modifiée.La Commission considère que cette finalité est déterminée, explicite et légitime au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les données traitées dans le cadre du système d’évaluation des risques de fraude à la carte de paiement sont les suivantes :
données d’identification : les nom et prénom du titulaire de la carte et des personnes bénéficiant des prestations achetées, la civilité, le code postal, le nom de la ville et le pays de résidence, le numéro de téléphone, l’adresse électronique ;
données d’ordre économique et financier : montant de la transaction, numéro de la carte de paiement ;
données d’horodatage.
Les critères pris en compte pour l’analyse des risques présentés par la commande sont basés sur des règles de fréquence et de récurrence déterminées par la société EURO DISNEY. Ils incluent les données mentionnées ci-dessus. La transaction ne sera pas bloquée sur le fondement d’un seul de ces éléments mais au vu de la réunion de plusieurs d’entre eux, chacun de ces éléments se voyant attribuer un coefficient de risque défini par la société EURO DISNEY.
Ces données sont conservées pendant une durée de trois mois.
Aucune liste recensant les personnes à risque n'est mise en œuvre.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article   6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
L’accès au traitement est restreint aux seuls collaborateurs habilités du service Audit interne – lutte contre la fraude et de l’équipe monétique (rattachée à la Direction des systèmes d’information).La société n’a recours à aucun prestataire de service pour ce traitement.Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention figurant sur le formulaire de commande en ligne, présente avant la réalisation du paiement.Cette mention précise que les données sont collectées et traitées aux fins de gestion et paiement de la réservation et de lutte contre la fraude à la carte de paiement.Lorsqu’un risque de fraude est identifié, la personne concernée est invitée à contacter la centrale de réservation téléphonique pour effectuer sa commande.La Commission considère que les modalités d’information des personnes concernées sont satisfaisantes au regard des dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée et qu’elles satisfont aux exigences posées par les alinéas 2 et 3 de l’article 10 de la loi précitée.S’agissant des modalités d’exercice des droits des personnes, les droits d’opposition, d’accès et de rectification s’exercent dans les conditions légales auprès de la société EURO DISNEY.Ces modalités d’exercice des droits des personnes n’appellent pas d’observations de la part de la Commission.
La Commission prend acte des mesures de sécurité mises en place par la société EURO DISNEY, prévoyant que les numéros de cartes de paiement conservés sont hachés.Des sauvegardes quotidiennes sont réalisées. Elles sont stockées dans un endroit garantissant leur sécurité et leur disponibilité. Elles sont testées régulièrement afin de vérifier leur intégrité. Le transfert des sauvegardes est sécurisé. La continuité d'activité est testée régulièrement.L'accès à un compte d'un poste de travail est bloqué après un nombre limité de tentatives infructueuses. Les postes de travail disposent d'un pare-feu et d'un logiciel antivirus. Les logiciels et systèmes d’exploitation sont régulièrement mis à jour.Les interventions de maintenance font l'objet d'une traçabilité. Le matériel remisé est nettoyé de toute donnée à caractère personnel. L'accord de l'utilisateur est recueilli avant toute intervention sur son poste informatique. Les supports de stockages usagés ou en panne font l'objet d'une procédure de destruction ou d'effacement.Une journalisation des opérations de consultation, création, modification et suppression du traitement est réalisée. Les journaux sont conservés et font l’objet d’une analyse régulière.La Commission rappelle qu’une politique satisfaisante de mot de passe implique que ceux-ci soient composés de huit caractères minimum, comprenant au moins trois des quatre types de caractères suivants : majuscules, minuscules, chiffres et caractères spéciaux. Ils doivent en
outre être définis ou modifiés dès la première connexion par l’utilisateur, puis régulièrement renouvelés et ne doivent pas être stockés en clair.
Autorise, conformément à la présente délibération, la société EURO DISNEY à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1815749)
La Commission nationale de l'informatique et des libertés,
Saisie par PRICEMINISTER d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude et les impayés lors des ventes réalisés sur la plateforme PRICEMINISTER ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. François PELLEGRINI, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
PRICEMINISTER, société de vente à distance sur catalogue via la plateforme www.priceminister.com
Sur la finalité