AgentPublic/cnil huggingface dataset:
La société Histoire et Patrimoine souhaite utiliser un dispositif reposant sur la reconnaissance des empreintes digitales destiné au contrôle de l’ouverture et de la fermeture des locaux ainsi qu’à l’activation et la désactivation du système d’alarme. De même, un système prenant la forme d’une « serrure biométrique » doit contrôler l’accès à chacun des bureaux de l’établissement.
La Commission considère que la constitution de bases de données d'empreintes digitales ne peut être admise que dans certaines circonstances particulières où l'exigence d'identification des personnes résulte d’un fort impératif de sécurité, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée. En effet, cet article dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
A cet égard, la Commission observe que le dispositif destiné au contrôle de l’ouverture et de la fermeture des locaux ainsi qu’à l’activation et la désactivation du système d’alarme n’a pas pour objet de sécuriser une zone bien déterminée des locaux, représentant un enjeu majeur dépassant l’intérêt strict de l’organisme concerné, mais répond à un besoin général de sécurisation d’un l’établissement. En outre, la société Histoire et Patrimoine justifie notamment le choix du système présenté par sa « simplicité d’emploi » ; la note d’information destiné au personnel précise que son but « est de faciliter l’ouverture des locaux, le matin, leur fermeture le soir ». 
S’agissant des « serrures biométriques », la Commission constate, là aussi, que ce dispositif concerne tous les bureaux sans distinction et qu’il ne s’agit pas de sécuriser des zones bien déterminées, représentant un enjeu majeur dépassant l’intérêt strict de l’organisme concerné, mais uniquement de « permettre l’accès à chaque bureau à toute heure de la journée ».
usurper l’identité d’une personne, par exemple pour frauder un dispositif reposant sur la reconnaissance de l’empreinte digitale. 
Enfin, d’une manière générale, la Commission observe qu’une donnée biométrique constitue un élément d’identité irrévocable dont la diffusion non maîtrisée, ou accidentelle, peut avoir des conséquences irrémédiables pour les personnes. Ainsi, à la différence de tout autre identifiant (code, mot de passe, etc.) la donnée biométrique ne peut être changée une fois collectée, ce qui impose d’en limiter l’usage afin d’en garantir la sécurité et le contrôle par les personnes.
En conséquence, le traitement pris dans son ensemble n'apparaît ni adapté ni proportionné du point de vue de la protection des données personnelles. 
Dès lors, la Commission n’autorise pas, en l’état, la société Histoire et Patrimoine – 53 rue des belles feuilles – 75116 Paris - à mettre en œuvre un traitement de données à caractère personnel reposant sur l’utilisation d’un dispositif biométrique de reconnaissance des empreintes digitales et dont la finalité est le contrôle de l’accès aux locaux.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004 et notamment les articles 8-IV et 25-I-1° ; 
Vu la loi n°2004-803 du 9 août 2004 relative au service public de l'électricité et du gaz et aux entreprises électriques et gazières ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. de LONGEVIALLE, commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire adjoint du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, le régime spécial de sécurité sociale des industries électriques et gazières à mettre en place un traitement de données à caractère personnel ayant pour finalité l’indemnisation des agents du régime dénommé ARAMIS dont les caractéristiques sont résumées dans le tableau ci-dessous.
Responsable du traitement
Le service médical du régime spécial de sécurité sociale des industries électriques et gazières
Finalités
La Caisse nationale des industries électriques et gazières (CNIEG) assure la gestion des risques invalidité, vieillesse et décès ainsi que celle des rentes et capitaux versés en réparation des accidents du travail et des maladies professionnelles. 
Le Service général de médecine de contrôle (SGMC), en tant que service médical du régime spécial contrôle les prestations en espèce en matière d’invalidité, de décès et de rentes accident de travail, maladie professionnelle.
Afin de permettre à la SGMC d’effectuer ce contrôle, de répertorier les périodes d’absence pour maladie professionnelle ou accident du travail, d’enregistrer les rapports médicaux en vue de l’indemnisation, de saisir et de transférer les données nécessaires au suivi de l’activité du SGMC, d’établir des indicateurs de santé et de réaliser des études, plusieurs flux de données seront mis en place :
Envoi de la CNIEG vers le SGMC contenant la liste des affiliés au régime.
Envoi du SGMC à la CNEIG contenant les conclusions médico-administratives pour les risques accident du travail et maladie professionnelle.
Envoi de données issues de la base de données des ressources humaines vers Le SGMC pour renseigner le dossier administratif de l’agent.
Envoi du SGMC vers EDF assurance de conclusions médico-légales pour la gestion des actions récursoires et des préjudices puis retour d’informations vers le SGMC pour mise à jour des fiches de suivi.
Données traitées
Les données traitées seront relatives à l’identité, au NIR, à la situation familiale, à la vie professionnelle (code employeur, actif ou inactif), au suivi du pré contentieux (Commission de recours amiable) et du contentieux général et technique et aux données de santé : type de prise en charge, les affections, rapports et conclusions médicales, avis et décision du contrôle médical, longue maladie, maladie professionnelle, accident du travail, invalidité, majoration pour tierce personne, taux d’incapacité, conclusions médicales, arrêté de travail, préjudice, médecin traitant, examens médicaux, décès.
Destinataires
Les destinataires des données seront, dans le cadre de leurs fonctions, les médecins conseils régionaux et nationaux et le personnel du service sous leur autorité.Des données anonymisées pourront être transmises à des fins d’étude épidémiologiques dans le respect des dispositions de la loi du 6 janvier 1978 modifiée (Chap IX et X) .
Information et droit d’accès 
Le droit d’accès s’exercera auprès du médecin conseil local dont dépend l’assuré.
Caractéristiques particulières du traitement
Les données transiteront via un réseau privé et seront chiffrées.Les accès à l’application seront journalisées.Des profils d’habilitation seront définis pour chaque utilisateur qui s’identifiera et s’authentifiera.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Bernard PEYRAT, commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire du gouvernement adjoint;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société EDITIONS ATLAS, à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
EDITIONS ATLAS
Finalité du transfert
Gestion des relations clients/prospects (prospection téléphonique, opérations courantes relatives au compte client)
Catégories de données transférées
Données d’identification (nom, prénom, adresse, numéro de téléphone)
Données relatives à la relation commerciale telles que demande de documentation, produits achetés, résiliation des abonnements
Identité(s) du(des) destinataire(s)
Les personnes habilitées de la société:ISOSELL TELEMARKETING33 rue OuarghaRABATMAROC
Pays d’établissement du(des) destinataire(s)
Maroc
Service auprès duquel s’exerce le droit d’accès des personnes concernées
EDITIONS ATLAS1186 rue de Cocherel27000 EVREUXFRANCE
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision 2002/16/CE de la Commission européennes du 27 décembre 2001 concernant les transferts de responsable de traitement à sous-traitant.
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Bernard PEYRAT, commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire du gouvernement adjoint;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société JCB INTERNATIONAL SAS, à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
JCB INTERNATIONAL SAS
Finalité du transfert
Gestion et mise à jour de la base de données centralisant l’ensemble des partenaires commerçants de la société JCB International
Catégories de données transférées
Données d’identification (nom, prénom, enseigne du commerçant)
Adresse
Informations relatives au terminal de paiement du commerçant
Identité(s) du(des) destinataire(s)
Personnes habilitées du Service Clients de la société :JCB International Co.Ltd5-1-22 Minami AoyamaMinato KuTokyo 107-8686Japon
Pays d’établissement du(des) destinataire(s)
Japon
Service auprès duquel s’exerce le droit d’accès des personnes concernées
JCB INTERNATIONAL (FRANCE) SAS10 rue de la Paix75002 PARISFrance
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision 2004/915/CE de la Commission européenne du 27 décembre 2004 concernant les transferts de responsable de traitement à responsable de traitement.
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire du gouvernement adjoint;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société SIDEXA S.A., à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
SIDEXA S.A.
Finalité du transfert
gestion des ressources humaines (centralisation des contrats de travail, traiter le cas échéant les évaluations, traiter les détails du salaire de chaque salarié et les rémunérations des mandataires sociaux, promouvoir une égalité de rémunération entre les différents salariés du Groupe en fonction de leur classification, de leur positionnement t de leur ancienneté au sein du Groupe, identifier les salariés ayant une aptitude et une volonté de participer à des programmes de détachement intra-groupe, effectuer d’autres opérations utiles à la relation de travail – établissement de statistiques, politiques de rémunération) 
assurer le respect des règles applicables aux société cotées aux Etats-Unis et leurs filiales, notamment en matière d’obligations de transparence à l’égard des autorités boursières et de marché (effectuer toute déclaration relative à des informations qui seraient significatives pour tout investisseur, conformément à la « U.S. Exchange Act of 1933 of 1934 » et leurs textes d’application)   
Catégories de données transférées
données d’identification (nom, prénom, sexe, initiales, date et lieu de naissance)
situation familiale (nombre d’enfants)
formation (niveau de formation, diplôme, CV)
adresse (adresse, téléphone)
vie professionnelle (contrat de travail, salaire, primes, date d’embauche et de sortie, position, fonction)
Identité(s) du(des) destinataire(s)
Les personnes habilitées de la société:AUDATEX INC.Bishop Ranch 16111 Bollinger Canyon Road, Suite 200San Ramon, CA 94583Etats-Unis
Pays d’établissement du(des) destinataire(s)
Etats-Unis
Service auprès duquel s’exerce le droit d’accès des personnes concernées
SIDEXA S.A.RESSOURCES HUMAINES130 AV.DU GENERAL LECLERC92340 BOURG LA REINEFRANCE
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision 2004/915/CE de la Commission européenne du 27 décembre 2004 concernant les transferts de responsable de traitement à responsable de traitement.
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Bernard PEYRAT, commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire du gouvernement adjoint;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société Sélection du Reader’s Digest, à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
Sélection du Reader’s Digest
Finalité du transfert
Gestion des contacts clients/prospects en plateau multimédia (appels téléphoniques - courriels)
Catégories de données transférées
Données d’identification (nom, prénom, numéro de client, adresse, âge)
Utilisation des médias et moyens de communication (numéro de téléphone, adresse électronique – option)
Informations commerciales (suivi de l’exécution de la commande et/ou de l’abonnement, paiement du produit, renseignements, conseils, mise à jour des données)
Identité(s) du(des) destinataire(s)
Le centre d’appel de la société:Rogers Outsourcing Solution Ltd8 zone Industrielle DBMCoromandelIle Maurice
Pays d’établissement du(des) destinataire(s)
Ile Maurice
Service auprès duquel s’exerce le droit d’accès des personnes concernées
Sélection du Reader’s Digest5/7 avenue Louis Pasteur92220, BagneuxFrance 
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision 2002/16/CE de la Commission européennes du 27 décembre 2001 concernant les transferts de responsable de traitement à sous-traitant.
Le Président 
Alex TURK
Autorise, dans les conditions définies dans le dossier et ses compléments, le centre hospitalier  Dr. Recamier de Belley à mettre en œuvre un traitement de partage d’informations médicales à travers du portail internet régional SIS Rhône-Alpes, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Responsable du traitement
Le centre hospitalier Dr Recamier de Belley (01) 
Finalités
- Mise à disposition et collecte d’informations médicales sur les patients pris en charge par la clinique au travers du portail SIS Rhône-Alpes (Système d’information santé de la région Rhône-Alpes).- Le site internet du SISRA regroupe  :- un outil d’identification régionale du patient, le  « STIC » (Serveur Télématique d’Identité Communautaire) qui a pour objectif de délivrer et de gérer pour chaque patient un identifiant régional (IPPR) ;- un outil de partage des dossiers des patients, assimilable à un moteur de recherche sécurisé qui permet à des professionnels de santé de mettre à disposition leurs données sur les patients et d’accéder à celles de leurs confrères sur autorisation du patient dénommé « DPPR » (Dossier Patient Partagé et Réparti). Les données de santé des patients restent stockées au sein des structures de santé.- Le centre hospitalier Dr Recamier de Belley souhaite utiliser les fonctionnalités du DPPR et mettre à disposition ses données avec l’accord des patients concernés.
Données traitées
- Concernant les patients : données d’identification (nom, prénom, sexe, date et lieu de naissance, IPPR), adresse, habitude de vie et comportement, données administrative sur le séjour, données médicales (état général du patient, antécédents, actes réalisés, ordonnances, examens cliniques, comptes rendus, résultats d’analyses) et données de soins ;- Concernant les professionnels de santé : nom, prénom, spécialité, n° d’identification, coordonnées professionnelles, date d’adhésion au dispositif
Destinataires
Les professionnels de santé adhérant au DPPR pour les seuls patients qu’ils suivent.
Information et droit d’accès
- Remise d’un document d’information au patient et d’une fiche de recueil de consentement,- Exercice du droit d’accès auprès de la direction du centre hospitalier Dr Recamier de Belley, du médecin traitant ou du personnel du bureau des entrées.
Caractéristiques particulières du traitement
- Accès aux données via internet sur le portail régional SIS Rhône-Alpes : www.sante-ra.fr- Haut niveau de cryptage du transport et des données- L'accès aux dossiers des patients nécessite soit une habilitation préalable du patient et une carte de professionnel de santé ou en l'absence d'habilitation préalable du professionnel de santé par le patient, une CPS et la carte Vitale du patient, ce qui implique la présence physique de celui-ci.
Observations propres au traitement
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée en 2004, notamment son article 69 alinéa 8 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007,  notamment son article 103 ;
Sur le rapport de M. Emmanuel De Givry, commissaire et des observations de Mme Catherine POZZO DI BORGO, commissaire du gouvernement adjoint ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société AXA France IARD à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Société responsable du traitement
AXA France IARD
Finalité du transfert
Délégation de l’activité d’assistance dans le cadre du traitement ayant pour finalité la gestion des contrats IARD.La prestation d’assistance est sous-traitée à Axa Assistance. Ce traitement se fera par la filiale Axa Assistance Maroc Services.
Catégories de données transférées
-Données Véhicules (pour les contrats d’assistance automobile) : immatriculation du véhicule, lieu de stationnement du véhicule, marque, appellation commerciale, alimentation du véhicule, modèle précis, date de première mise en circulation, type mine, numéro dans la série du type, couleur du véhicule ;-Données Contrats : nom, prénom et adresse (rue, code postal, ville) du souscripteur, bénéficiaires des garanties, garanties (avec franchise et plafond), numéro du contrat de souscription, date de prise d’effet et de fin d’effet du contrat ;-Données Dossier : bénéficiaire concerné par le sinistre, adresse du bénéficiaire (si elle est différente de celle du souscripteur), nom, prénom et numéros de téléphone (fixe, portable) de l’appelant, type du dossier (automobile, habitation, …), cause et sous-cause du dossier, date et lieu de survenance du sinistre, dates de début et de fin du voyage (si le sinistre est survenu lors d’un voyage), numéro de dossier (généré par l’application) ;-Données Prestations : Informations saisies lors de la création de la prestation (nature de la prestation, garantie mise en jeu, type de service, prestataire choisi (les prestataires sont tous des personnes morales), date de mission, numéro de mission (généré par l’application)) ; informations saisies lors du paiement de la prestation (numéro et date de facture, date de réception de la facture, montant TTC, Taux de TVA, net à payer, devise, bénéficiaire du paiement).
Identité(s) du(des) destinataire(s)
Les personnes habilitées de la société AXA Assistance Maroc Services
Pays d’établissement du(des) destinataire(s)
Maroc
Service auprès duquel s’exerce le droit d’accès des personnes concernées
Service Information Clients d’Axa France IARD Axa 313 Terrasses de l’Arche 92727 Nanterre Cedex
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la Décision 2002/16/CE de la Commission européenne du 27 décembre 2001 concernant les transferts de responsable de traitement à sous-traitant 
Le Président
Alex TURK