AgentPublic/cnil huggingface dataset:
d'autorisation unique n° AU-005 du 2 février 2006 dès lors que le système de score qu'il utilise vise à apporter une aide à l'analyse de demandes de cautionnement et non de crédit.   La réponse apportée par le traitement DIAG tient compte non seulement des résultats d'une étude de la solvabilité des emprunteurs et d'une étude de marge, mais aussi d'une note de score qui est calculée en fonction des variables suivantes, simples ou croisées :   - en ce qui concerne les emprunteurs :  sexe, âge, situation familiale, catégorie socioprofessionnelle, antériorité professionnelle chez le dernier employeur, ancienneté bancaire, montant global des revenus, montant global du patrimoine mobilier,   - en ce qui concerne l'opération considérée :  nature de l'opération financée, taux d'apport personnel, type et région de localisation du bien financé, montant, durée maximale et type de taux des prêts de l'opération.
En cas de résultat non favorable du traitement DIAG, l'opération fait l'objet d'une étude approfondie par un analyste crédit, éventuellement sur la base d'un dossier préalablement enrichi, par exemple après demande de renseignements complémentaires.   En outre, l'automatisation de la prise de décision est par principe exclue pour des dossiers jugés plus complexes ou plus risqués :   - en cas de détection d'incohérences entre les données saisies,   - lorsque l'opération de financement correspond à certains critères (ex.  :  demande de crédit à long terme présentée par un jeune artisan, commerçant, dirigeant d'entreprise ou profession libérale, bien financé situé à l'étranger),   - lorsque l'un des emprunteurs bénéficiaires de la garantie est un mineur ou un étranger non résident ou exerce une profession libérale depuis moins de trois ans ou est inscrit au fichier central des chèques (FCC) ou au fichier des incidents de crédit aux particuliers (FICP) ou est identifié comme porteur d'un risque aggravé pour une autre opération (ex.  :  destruction ou donation de l'immeuble objet du financement) - signalement conservé aussi longtemps que son fait générateur perdure et au maximum jusqu'à l'expiration de la garantie concernée - ou fait l'objet d'un dossier contentieux en cours ou clôturé depuis moins de quatre ans (à l'exception des dossiers ayant dû faire l'objet d'un abandon de créances qui restent signalés pendant cinq ans).   En cas de refus de garantie par Crédit Logement,
le dossier fait systématiquement l'objet d'une réponse motivée qui est portée à la connaissance des emprunteurs par l'intermédiaire de leur interlocuteur au sein de l'établissement prêteur.   Les emprunteurs sont informés à cette occasion des difficultés précises qui ont été identifiées dans leur dossier, s'il y a lieu des conditions d'acceptation posées par Crédit Logement, ainsi que de la faculté qui leur est reconnue de présenter des observations ou arguments complémentaires pour une meilleure appréhension de leur situation.   Crédit Logement procède à une nouvelle étude de la demande ainsi complétée, dont le résultat est ensuite adressé à l'établissement bancaire concerné.   La Commission prend acte que Crédit Logement s'engage à rappeler ces règles de procédure à ses partenaires.
Les catégories de données personnelles utilisées par le logiciel d'analyse DIAG correspondent aux variables précitées.  Elles sont conservées pendant la durée de l'exécution du contrat au sein de l'application de production de Crédit Logement, déclarée par ailleurs à la CNIL.  Les données relatives aux dossiers refusés sont effacées au terme d'un délai de six mois.   Les destinataires des informations traitées sont les agents habilités des directions de la production et du recouvrement.  En outre, la direction du risque a communication des informations sous forme indirectement nominative selon des modalités qui restreignent fortement toute possibilité de ré-identifier les personnes concernées.   Les emprunteurs sont informés par l'établissement prêteur de la finalité du transfert d'informations à Crédit Logement et, sur les lettres d'accord de cautionnement, de la transmission de données au FICP tenu par la Banque de France en cas d'incident de paiement, ainsi que des modalités d'exercice des droits d'accès et de rectification.   La Commission prend acte que la prochaine version des lettres d'accord sera améliorée sur ce point.   Dans ces conditions, la Commission autorise Crédit Logement à mettre en oeuvre le traitement automatisé décisionnel en matière d'octroi de garantie dénommé DIAG.   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Saisie pour avis par la Direction Générale de l'Action Sociale du ministère de l'emploi, de la cohésion sociale et du logement et du ministère de la santé et des solidarités le 3 janvier 2007 d'un projet de décret en Conseil d'Etat relatif au traitement automatisé de données à caractère personnel mis en oeuvre par les maisons départementales des personnes handicapées ;   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 27-I-1° et 27-III ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 modifiée ;   Vu le Code de l'action sociale et des familles, et notamment ses articles L. 146-3 et L. 247-2 ;   Après avoir entendu Mme Anne DEBET, commissaire, en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations ;
Emet l'avis suivant :   La loi du 11 février 2005 pour l'égalité des droits et des chances, la participation et la citoyenneté des personnes handicapées a institué, dans chaque département, une Maison Départementale des Personnes Handicapées (MDPH) afin de simplifier les démarches nécessaires à la prise en charge du handicap, rendues complexes par la multiplicité des instances et des procédures.  La MDPH constitue le "guichet unique" auprès duquel toute personne handicapée ou sa famille doit pouvoir trouver l'accueil, l'information, l'accompagnement et le conseil nécessaires et formaliser ses demandes de prestation ou d'orientation.   Le décret en Conseil d'Etat soumis pour avis à la Commission par la Direction Générale de l'Action Sociale le 3 janvier 2007 crée un modèle de traitement automatisé de données à caractère personnel mis en oeuvre au sein des MDPH, dont la finalité principale est l'enregistrement et l'instruction des demandes de prestations, le suivi des décisions prises et leur mise en oeuvre, ainsi que et la production de statistiques destinées à orienter les politiques de prise en charge des handicaps.  A cet effet, le traitement servirait également à alimenter le système national d'informations mis en oeuvre par la Caisse Nationale de Solidarité pour l'Autonomie (CNSA).   S'agissant de traitements de données à caractère personnel mis en oeuvre pour le compte de l'Etat et d'une personne morale de droit public gérant un service public, qui porte sur des
données parmi lesquelles figure le NIR, le système d'information des MDPH est organisé par un décret en Conseil d'Etat pris après avis motivé et publié de la CNIL, conformément aux dispositions de l'article 27-I, 1° de la loi du 6 janvier 1978 modifiée.  La Commission a également été saisie d'un dossier de formalités préalables, conformément aux dispositions de l'article 30 de la loi du 6 janvier 1978 modifiée.   Ce projet de décret en Conseil d'Etat a vocation à constituer un acte réglementaire unique portant autorisation de création du traitement.  Dès lors, il appartiendra au responsable du traitement de chaque MDPH qui répond aux conditions fixées par le décret de prendre un engagement de conformité de celui-ci à la description figurant dans l'autorisation, conformément aux dispositions de l'article 27-III de la loi du 6 janvier 1978.  Pour les traitements ne répondant pas à ces conditions, une demande d'avis devra être adressée à la CNIL.
Sur la nature des données enregistrées   Les données à caractère personnel enregistrées concernent, d'une part, la personne handicapée et les personnes qui auraient déposé la demande pour son compte et, d'autre part, les membres de l'équipe pluridisciplinaire et de la commission des droits et de l'autonomie des personnes handicapées, pendant la durée de leur mandat.   Les informations collectées relatives aux personnes s'adressant aux MDPH et leurs représentants légaux sont les suivantes :  numéro d'inscription au RNIPP, nom, prénom, date et lieu de naissance, nationalité et date d'entrée en France, adresse du domicile et de la résidence, nature du diagnostic et des déficiences, capacité juridique, situation familiale et composition de la famille, niveau de formation et situation professionnelle, ressources et domiciliation bancaire lorsque la demande porte sur l'attribution d'une prestation soumise à des conditions de ressources, qualité au titre de laquelle est exercée la fonction de représentant légal, situation des aidants familiaux au regard de l'emploi.   Certaines de ces données appellent les observations suivantes de la part de la Commission.   Le NIR serait utilisé, d'une part, dans le cadre des relations avec les organismes en charge de la mise en oeuvre des décisions des MDPH et, d'autre part, pour s'assurer de l'identité des personnes.   S'agissant de la première finalité, et dans la mesure où les MDPH reprennent les compétences des COTOREP et des CDES, qui
étaient elles-mêmes autorisées à utiliser le NIR dans leurs rapports avec la sécurité sociale, elle n'appelle pas d'observation de la part de la Commission.   S'agissant de la seconde finalité, le recours au NIR pour certifier l'identité des personnes auprès du Système National de Gestion de l'Identité (SNGI) de la CNAVTS n'appelle pas d'observation de la Commission.   Le NIR serait également utilisé comme numéro du dossier de l'usager, dans le cadre de l'instruction et en cas de transfert du dossier.   La Commission considère que si un numéro unique national est nécessaire, la création d'un identifiant spécifique aux personnes handicapées serait susceptible de les stigmatiser.  En conséquence, elle admet que le numéro de sécurité sociale puisse être utilisé comme identifiant des usagers des MDPH à des fins d'instruction de leur dossier.   S'agissant des données médicales, la nature du diagnostic et des déficiences sera renseignée selon les nomenclatures CIM et CIH.  A cet égard, le projet de décret devra être complété de façon à mentionner que ces données seront recueillies sous cette forme.   S'agissant de la nationalité et la date d'entrée en France, recueillies afin de permettre de vérifier, pour l'attribution des prestations aux personnes de nationalité étrangère, hors les ressortissants des Etats membres de l'union européenne, que l'intéressé est en situation régulière de séjour en France, la Commission prend acte de ce que seule la nationalité, sous la forme
"français, ressortissant CEE, hors CEE" est enregistrée dans l'application.  A cet égard, le projet de décret devra également être complété de façon à mentionner que cette donnée sera recueillie sous cette forme.
Sur les destinataires des informations   La Commission observe que les services du ministère ont amélioré la rédaction du texte sur ce point pour tenir compte des observations de celle-ci.  Toutefois, la Commission propose de préciser la rédaction du projet de décret s'agissant notamment des personnes qui ont accès aux informations médicales et d'adopter la rédaction suivante :   Article R. 146-36 :   Peuvent accéder à l'application au sein des maisons départementales des personnes handicapées :   - les agents habilités par le directeur de la maison dans la limite de leurs attributions respectives et pour l'exercice des finalités précitées ;   - les agents de la maison départementale dont dépend la nouvelle résidence de la personne ayant déposé une demande ou obtenu une décision en sa faveur en cas de déménagement, dans les mêmes conditions ;   - les médecins de l'équipe pluridisciplinaire pour les informations à caractère médical et, sous leur responsabilité, les personnes habilitées par eux.   Article R. 146-36 :   Sont destinataires des informations au sein des organismes intervenant dans la gestion de la prise en charge du handicap :
I - les agents habilités dans la limite de leurs attributions respectives et pour l'exercice de leur mission dans le cadre des finalités précitées :   a. du conseil général pour le paiement des prestations prévues aux articles L. 245-1 et suivants du Code de l'action sociale et des familles, des transports scolaires ou des prises en charge de services ou établissements sociaux et médico-sociaux relevant de sa compétence ;   b. de la caisse d'allocations familiales pour le paiement des prestations prévues aux articles L. 541-1 et suivants et L. 821-1 et suivants du Code de la sécurité sociale ;   c. des organismes de protection sociale chargés du financement des prises en charge des services et établissements sociaux et médico-sociaux ;   d. des organismes de sécurité sociale,   e. de l'inspection académique pour la mise en oeuvre des décisions d'orientation scolaire ;    f. des organismes en charge du service public de l'emploi, notamment de la direction départementale du travail, de l'emploi et de la formation professionnelle, et de l'agence nationale pour l'emploi, pour mettre en oeuvre les décisions d'orientation professionnelle ;   g. des organismes mentionnés à l'article L. 323-11 du code du travail,    h. des établissements et services médico-sociaux accueillant des personnes handicapées   i. des organismes contribuant au fonds départemental de compensation, sous forme de statistiques agrégées.   j. de l'organisme départemental en charge des paiements effectués dans
le cadre du fonds de compensation,   k. de la direction départementale des affaires sanitaires et sociales sous forme de statistiques agrégées.   l. des organismes mentionnés à l'article L. 146-3 pour les missions soustraitées définies par la convention.
II - Les agents habilités de la DRESS pour ce qui concerne les informations individuelles nécessaires à la constitution des échantillons statistiquement représentatifs mentionnés à l'article L. 247-4 du code de l'aide sociale et des familles.   III - Le directeur de la caisse nationale de solidarité pour l'autonomie pour ce qui concerne les données anonymisées et agrégées mentionnées à l'article L. 247-2 du code de l'action sociale et des familles.   Sur les droits des personnes concernées    La Commission constate qu'une information individuelle et préalable des usagers sur l'existence du traitement, sa finalité, les destinataires des informations et leur droit d'accès est prévue sur les formulaires de demande et par affichage dans les locaux des MDPH.   Elle relève également que le droit d'accès aux informations enregistrées et aux données formalisées qui ont contribué à l'élaboration et au suivi d'une décision et à la mise en oeuvre de cette dernière est prévu.  L'indication des modalités de cet accès figure sur les formulaires de demande que les usagers ont à remplir ainsi qu'en bas de page des courriers émis par la MDPH.   Le projet de décret exclut l'exercice du droit d'opposition en application des dispositions de l'article 38, alinéa 3 de la loi du 6 janvier 1978 qui dispose que ce droit ne s'applique pas "lorsque le traitement répond à une obligation légale ou lorsque l'application de ces dispositions a été écartée par une disposition expresse de l'acte
autorisant le traitement".   La Commission prend acte de ces dispositions qui n'appellent pas d'observations de sa part.   S'agissant de la durée de conservation des données   La Commission prend acte du fait que les données à caractère personnel concernant les demandeurs ne peuvent être conservées au-delà de cinq ans après la dernière intervention sur le dossier ou à compter de l'échéance de la décision la plus tardive.  Passé ce délai, le dossier doit être archivé et ne doit plus figurer dans l'application.  Les données archivées sur un support distinct sont conservées dix ans dans des conditions de sécurité équivalentes à celles applicables aux données "vivantes".   Les données concernant les membres de l'équipe pluridisciplinaire et de la commission des droits et de l'autonomie sont conservées pendant la durée de leur activité.
Concernant les mesures de sécurité mises en place   Les utilisateurs de l'application seront habilités et nommément désignés par le responsable du traitement.  Ils ne pourront accéder au traitement qu'à l'aide d'un identifiant et d'un mot de passe individuel ou tout autre dispositif sécurisé équivalent.  Il sera procédé à la joumalisation des connexions à l'application.   La Commission prend acte de ce que lorsque l'accueil des personnes, la gestion des données et l'évaluation des personnes handicapées sont confiées par les MDPH à l'un des organismes mentionnés à l'article L. 146-3 du Code de l'action sociale et des familles, la convention signée par la MDPH avec l'organisme doit définir les opérations que celui-ci est autorisé à réaliser à partir des données à caractère personnel auquel il a accès, ainsi que des engagements qu'il prend pour garantir leur sécurité et leur confidentialité, en particulier l'interdiction d'utiliser les données à d'autres fins que celles indiquées par la convention.   La Commission estime que si ces mesures de sécurité sont satisfaisantes, elle méritent cependant d'être précisées dans la mesure où elles ne font pas référence à la nécessité de renouveler le mot de passe et proposent une durée de conservation des traces de connexions excessive au regard de la finalité de la joumalisation. En outre, des mesures de sécurités renforcées seront adoptées lorsque la base physique est partagée avec d'autres entités.   Par conséquent, la Commission
propose la rédaction suivante :   "Des mesures de protection physiques et logiques sont prises pour assurer la sécurité du traitement et des données, empêcher toute utilisation détournée ou frauduleuse des données, notamment par des tiers non autorisés, et préserver leur intégrité."    L'accès à l'application n'est ouvert qu'aux agents habilités et nommément désignés.  Les accès individuels à l'application s'effectuent par un identifiant et un mot de passe, régulièrement renouvelés, ou tout autre dispositif sécurisé au moins équivalent.   Un dispositif est mis en place, tel qu'un réseau privé virtuel, afin de limiter les connexions à distance aux seuls postes de travail des agents des collectivités ou de leurs groupements habilités à accéder au système d'information.   En cas de recours à l'un des organismes mentionnés à l'article L. 146-3 du Code de l'action sociale et des familles pour l'exécution des prestations, des engagements contractuels seront pris afin de garantir la sécurité et la confidentialité des données.   Une journalisation des connexions est assurée, la durée de conservation des données de connexions étant fixée à 6 mois".   Le président, Alex TURK.
Le bureau de la Commission nationale de l'informatique et des libertés,   Vu la loi modifiée n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 11, 19, 20 et 44 ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004, notamment ses articles 57 à 60 ;   Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés, notamment son article 61 ;   Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés ;   Vu les délibérations n° 2004-085 du 9 novembre 2004, n° 2006-166 du 13 juin 2006, n° 2006- 196 du 14 septembre 2006, n° 2006-216 du 28 septembre 2006 et n° 2006-241 du 23 novembre 2006 portant habilitation de certains agents de la CNIL pour procéder à des vérifications ;   Après avoir entendu M. Guy ROSIER, vice-président délégué, en son rapport, et Mme Catherine POZZO DI BORGO, commissaire du gouvernement adjoint, en ses observations,
Décide :   Article 1er :   Les agents de la Commission nationale de l'informatique et des libertés figurant sur la liste ci-dessous sont habilités à procéder sur l'ensemble du territoire national à des vérifications portant sur tous traitements en application des articles 11 (2°, f), 19, 20 et 44 de la loi du 6 janvier 1978 modifiée le 6 août 2004 susvisée :   Mme Leslie BASSE, direction des affaires juridiques,   Mme Valérie BEL, direction des affaires juridiques ;   Mme Jeanne BOSSI, direction des affaires juridiques,   Mme Johanna CARVAIS, direction des affaires juridiques.   M. Olivier COUTOR, direction des affaires juridiques,   M. Thomas DAUTIEU, direction de l'expertise informatique et des contrôles,   M. Guillaume DELAFOSSE, direction des affaires juridiques,   M. Xavier DELPORTE, direction des affaires juridiques,   M. Guillaume DESGENS, direction des affaires juridiques,   M. Julien DROCHON, direction de l'expertise informatique et des contrôles   M. Norbert FORT, direction des affaires juridiques,   Mme Florence FOURETS, direction de l'expertise informatique et des contrôles,   Mme Marie GEORGES, secrétariat général,   Mme Clarisse GIROT, service des affaires européennes et internationales,   M. Michel GUEDRE, direction de l'expertise informatique et des contrôles,   Mme Fatima HAMDI, secrétariat général,   Mme Odile JAMI, direction des affaires juridiques ;   M. Bernard LAUNOIS, direction de l'expertise informatique et des contrôles,   Mme Frédérique
LESAULNIER, direction des affaires juridiques,   M. Olivier LESOBRE, direction des affaires juridiques,   M. Laurent LIM, direction des affaires juridiques,   Mme Bérengère MONEGIER DU SORBIER, direction des affaires juridiques,   M. Mathias MOULIN, direction des affaires juridiques, Mme Sophie NERBONNE, direction des affaires juridiques,   M. Yann PADOVA, secrétariat général,   Mme Caroline PARROT, direction des affaires juridiques,   Mme Danièla PARROT, direction des affaires juridiques,   M. Judicaël PHAN, direction de l'expertise informatique et des contrôles,   Mme Émilie PASSEMARD, secrétariat général,   Mme Pascale SERRIER, service des affaires européennes et internationales ;   Mme Michèle SAISI, direction des affaires juridiques ;   Mme Sophie TAVERNIER, direction des affaires juridiques,   Mme Clémentine VOISARD, direction des affaires juridiques   Mme Vanessa YOUNES FELLOUS, direction des affaires juridiques.
Article 2 :  Les délibérations n° 2004-085 du 9 novembre 2004, n° 2006-166 du 13 juin 2006, n° 2006-196 du 14 septembre 2006, n° 2006-216 du 28 septembre 2006 et n° 2006-241 du 23 novembre 2006 portant habilitation de certains agents de la CNIL pour procéder à des vérifications sont abrogées.   Article 3 :  La présente décision prendra effet à compter de la date de sa publication au Journal Officiel de la République française.   Le Président, Alex TURK.