AgentPublic/cnil huggingface dataset:
-	I. Introduction1.	Historique de la réglementation  informatique et libertés 2.	Les concepts-clés de la loi  informatique et libertés-	II. Les obligations et les droits consacrés dans la loi  informatique et libertés 1.	Les obligations du responsable de traitement2.	Les droits des personnes fichées-	III. Les acteurs de la régulation  informatique et libertés 1.	La CNIL2.	Le groupe de l' article 29 3.	Le contrôleur européen à la protection des données4.	Les correspondants  informatique et libertés  (CIL)5.	Les associations professionnelles-	IV. Le risque de non-conformité à la loi  informatique et libertés 1.	Le risque pour la réputation2.	Le risque d'une sanction administrative prononcée par la CNIL3.	Le risque de contentieux judiciaire
La demande de label présentée par le CNAM inclut les modules complémentaires suivants : -	présentation de la CNIL et de ses missions ;-	présentation des formalités préalables à la mise en œuvre des traitements ;-	présentation de l'encadrement des transferts de données hors de l'Union européenne ;-	présentation du rôle du correspondant à la protection des données à caractère personnel ;-	présentation de l'encadrement des traitements dans le domaine de la santé ;-	présentation du pouvoir de contrôle a posteriori de la CNIL ;-	présentation du pouvoir de sanction de la CNIL ;-	présentation des dispositions pénales associées au non-respect de la loi Informatique et libertés.
La Commission reconnaît que la formation présentée est toujours conforme au référentiel auquel elle se rapporte, conformément à l'article 37 de son règlement intérieur.
Décide :
Du renouvellement du label CNIL  formation  pour le module intitulé  Le droit à la protection des données : enjeux et conséquences pour les professionnels  de la formation du CNAM consacrée au  Droit des technologies de l'information et de la communication , à compter du 28 mars 2016. 
Ce label est délivré pour une nouvelle durée de trois ans conformément à l'article 39 du règlement intérieur de la Commission.
L'utilisation de la marque LABEL CNIL est soumise au respect du règlement d'usage de la marque collective.
L'organisme s'engage à fournir à la CNIL un bilan d'activité au terme de la première année.
 
La PrésidenteIsabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie par le Crédit Agricole Mutuel de La Réunion d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l'identité dans le cadre des relations avec ses clients ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu le code monétaire et financier, notamment ses articles L. 561-5 et R. 561-5 ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 25.I.4° ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le dossier et ses compléments ;Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement	Le Crédit Agricole Mutuel de La Réunion, ci-dessus dénommé le Crédit Agricole.Sur la finalité	La finalité du traitement est de lutter contre la fraude à l'identité. Il vise, par l'utilisation du logiciel RESOCOM, à détecter les documents présentant des anomalies susceptibles de révéler une fraude (faux document ou document falsifié) dans deux hypothèses : au moment de l'entrée en relation du client auprès de la banque, en cas demande de prêt. 
La Commission estime que cette finalité est déterminée, explicite et légitime.Lorsque l'analyse de l'outil conclut à la non-conformité du document, la demande d'ouverture de compte ou la demande de prêt est refusée. Dans la situation inverse, si l'authenticité des documents est confirmée, il est fait droit à la demande du client. 
Dans l'hypothèse où la demande concerne l'octroi de crédit et si l'outil détecte une fraude documentaire présumée, la banque peut décider de clôturer le compte du client conformément aux conditions prévues par la convention de compte.
Ce traitement peut ainsi du fait de sa portée et de sa finalité, exclure une personne du bénéfice d'un droit ou d'un contrat en l'absence de toute disposition légale prévoyant une telle exclusion. Il est dès lors soumis à autorisation de la Commission, en application des dispositions du 4° du I de l'article 25 de la loi du 6 janvier 1978 modifiée.
Plus précisément, il existe un premier contrôle visuel réalisé par le chargé de clientèle qui reçoit la personne souhaitant entrer en relation avec la banque. 
Le contrôle de la pièce d'identité se fait ensuite via la bande MRZ tandis que le contrôle des justificatifs, notamment lors d'une demande d'octroi de crédit, est réalisé par comparaison avec la base de documents. Ce contrôle est réalisé par la saisie manuelle dans l'outil des données qui figurent sur le document d'identité ou par une analyse automatique, par reconnaissance optique de caractères, d'une copie numérisée. L'outil vérifie alors la cohérence des lignes MRZ avec les données saisies ou numérisées.
Lorsque les documents d'identité sont détectés non conformes, le service prévention de la fraude effectue un contrôle de second niveau.
Le traitement mis en œuvre ne constitue dès lors qu'un outil d'aide à l'analyse des documents d'identité présentés par la personne concernée lors de l'entrée en relation avec le Crédit Agricole. La Commission prend acte qu'en cas de détection d'anomalie, une analyse complémentaire sera effectuée par les personnels habilités du pôle lutte contre la fraude afin, le cas échéant, de confirmer la tentative de fraude.
Conformément aux dispositions de l'article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n'est donc prise à l'égard des personnes concernées.Sur les données traitées	Les catégories de données traitées sont relatives :
- à l'identité des personnes concernées : nom, prénom(s), sexe, adresse, date et lieu de naissance, nationalité,
- aux documents d'identité : numéro de document, date et lieu de délivrance, date d'expiration, validité pour les seuls titres de séjour, autorité émettrice du passeport, bande MRZ de la pièce d'identité,
- aux justificatifs de domicile et de revenu,
- au résultat du contrôle : compte rendu automatique généré par l'outil sur la cohérence du contrôle (positif ou négatif).
Les données collectées ne sont utilisées que le temps de la vérification de l'authenticité des documents. En cas de non-conformité des pièces, les documents sont restitués à la personne à l'origine de la demande. Dans l'hypothèse inverse et si la demande est validée, une copie des documents est conservée, conformément à la législation bancaire.
La Commission considère, compte tenu de la finalité poursuivie, que ces données sont pertinentes, adéquates et non excessives, conformément à l'article 6-3° de la loi du 6 janvier 1978 modifiée.Sur les destinataires	Les conseillers clients, le service prévention de la fraude, les analystes crédits et les collaborateurs en charge du contrôle de la conformité des dossiers d'entrée en relation ont accès aux informations contenues dans le logiciel.
La  liste de ces destinataires, qui font l'objet d'une habilitation individuelle, n'appelle pas d'observation particulière.Sur l'information et le droit d'accès 	Conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée, les clients de la banque sont informés de l'existence de ce traitement ainsi que des modalités d'exercice de leurs droits d'accès, de rectification et d'opposition par une mention qui figure dans la convention de compte du client et sur le site internet de la banque.
Cette mention rappelle notamment que les droits d'accès et de rectification s'exercent auprès du Service Qualité des données de la Caisse régionale de crédit agricole mutuel de La Réunion par courrier postal à l'adresse suivante : Parc Jean De Cambiaire Cité des Lauriers - BP 84 - 97462 SAINT-DENIS CEDEX.
La Commission considère que l'information est suffisante au regard de l'article 32 de la loi du 6 janvier 1978 modifiée.Sur les mesures de sécurité	Il existe un mécanisme d'authentification des personnes habilitées à accéder à l'application avec des profils d'habilitation et un contrôle d'accès logique qui se fait par mot de passe.
Chaque utilisateur dispose d'un identifiant qui lui est propre et d'un mot de passe composé de 8 caractères comprenant au moins 3 des 4 types de caractères suivants : majuscules, minuscules, chiffres et caractères spéciaux. La Commission prend note que ceux-ci sont générés par RESOCOM qui les fournit directement aux personnes habilitées et s'engage à détruire automatiquement toute trace des mots de passe, une fois ceux-ci envoyés. 
La Commission rappelle que les mots de passe doivent être changés par l'utilisateur à la première connexion et régulièrement.
Une journalisation des opérations de connexion à l'application, de vérification des pièces et du résultat de ces opérations est réalisée via un outil mis à disposition par RESOCOM. La Commission rappelle que les utilisateurs doivent être informés que leurs actions font l'objet d'une journalisation. Enfin, l'accès à l'application est sécurisé au moyen du protocole HTTPS.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. Sur les autres caractéristiques du traitement	Ce traitement ne permet pas d'établir une  liste noire  de personnes ayant présenté des titres d'identité comportant des anomalies ou des titres d'identité falsifiés ou volés.
Des statistiques sur des données anonymisées sont réalisées à partir des résultats de l'outil et permettent de chiffrer le nombre d'alertes par entité, par point de vente, par type de document et par département.
Ces autres caractéristiques n'appellent pas d'observation particulière de la Commission.Autorise, conformément à la présente délibération, le Crédit Agricole Mutuel de La Réunion à mettre en œuvre le traitement susmentionné.
 
La Présidente
 
I. FALQUE-PIERROTIN
Sur la proposition de Mme Marie-Hélène MITJAVILE, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,Formule les observations suivantes :En vertu de l'article 68 de la loi 6 janvier 1978 modifiée, les transferts de données à caractère personnel à destination de pays qui ne sont membres ni de l'Union européenne, ni de l'Espace économique européen et qui par conséquent n'ont pas transposé dans leur législation les dispositions de la directive n° 95/46/CE du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, sont interdits.Néanmoins, il peut être fait exception à cette interdiction par application de l'article 69 de la loi précitée, notamment par décision de la Commission nationale de l'informatique et des libertés lorsqu'un niveau de protection suffisant est apporté aux données transférées par l'intermédiaire de règles internes (règles contraignantes d'entreprise ou  binding corporate rules  (BCR) constituant un code de conduite interne s'imposant à toutes les entités d'un groupe).Au terme d'une procédure de coopération européenne, la Commission nationale de l'informatique et des libertés et les autorités de protection des données compétentes ont reconnu la conformité de ces BCR  responsable de traitement  aux exigences posées par les documents de référence adoptés par le Groupe de travail de l'article 29.
A ce titre, les BCR  responsable de traitement  du groupe CITI sont réputées apporter un niveau de protection suffisant aux données personnelles transférées au sein du groupe CITI.Par conséquent, les organismes mentionnés à l'article 1er ci-dessous, qui souhaiteront se référer à la présente autorisation unique n° BCR-022 et adresseront à cette fin à la Commission un engagement de conformité pour leurs transferts qui répondent strictement aux conditions définies dans la présente décision d'autorisation unique, seront autorisés à mettre en œuvre ces transferts.Tout transfert ne peut être autorisé que dans la mesure où :(i) Lorsque cela est requis, la formalité relative au traitement auquel ce transfert se rattache a été dûment accomplie auprès de la Commission nationale de l'informatique et des libertés, et(ii) Le transfert est réalisé dans le strict respect du cadre défini par ladite formalité.Par ailleurs, tout transfert de données à caractère personnel qui excèderait le cadre ou les exigences définis par la présente autorisation unique doit faire l'objet d'une décision d'autorisation spécifique.
Article 1
Sur les responsables de traitement/champ d'application.Peuvent seules adresser un engagement de conformité à la présente autorisation unique les entités du groupe CITI, agissant en qualité de responsable de traitement, étant juridiquement liées par les BCR  responsable de traitement  du groupe CITI et ayant mis en œuvre les engagements pris au titre des BCR.
 Article 2
Sur les finalités des transferts.Conformément au champ matériel et à la description des transferts couverts par les BCR  responsable de traitement  du groupe CITI et à leurs annexes, sont autorisés les seuls transferts de données à caractère personnel ayant pour finalités le traitement de données relatives aux employés européens en rapport avec leur emploi, pour obtenir ou fournir des services, ainsi que pour les activités opérationnelles courantes, y compris :
- communication avec les employés européens, conduite d'enquêtes et organisation de concours/manifestations et autres initiatives menées sur le lieu de travail ;- maintien de la continuité de l'entreprise ;- gestion des rémunérations, des avantages sociaux, des talents et des dépenses ;- gestion des effectifs CITI, de ses entreprises et ses opérations (dont : affectation des tâches, fourniture de moyens informatiques, activités assurant un lieu de travail sûr et sécurisé, y compris le contrôle individuel de l'utilisation des moyens de communication électroniques et des outils informatiques) ;- observation de lois ou de règlements et traitements à des fins d'enquête (y compris la divulgation de ces informations en réponse ou dans le cadre d'une procédure judiciaire ou d'un litige) ;- en cas de traitement de paye ou de services informatiques par une ou plusieurs entités ;- pour des raisons opérationnelles ou commerciales, dans la mesure autorisée par la loi ou en rapport avec la vie sociale de l'entreprise, y compris les fusions, ventes ou réorganisations.
 Article 3
Sur les catégories de données personnelles transférées.Conformément au champ matériel et à la description des transferts couverts par les BCR  responsable de traitement  du groupe CITI et à leurs annexes, peuvent être transférées, dans le cadre des finalités décrites ci-dessus, les catégories de données à caractère personnel suivantes :
- état civil/identité/données d'identification ;- vie professionnelle ;- vie personnelle ;- données de connexion ;- données de localisation ;- numéro de sécurité sociale (uniquement dans le cadre de la gestion de la paie et de l'épargne salariale) ;- informations d'ordre économique et financier ;- infractions, condamnations, mesures de sûreté ;- opinions religieuses, syndicales, données de santé, origine raciale,
étant précisé que le transfert de données sensibles au sens de l'article 8 de la loi du 6 janvier 1978 modifiée et le transfert de données relatives aux infractions, condamnations et mesures de sûreté ne peuvent être réalisés que dans la mesure où :(i) Le traitement auquel ce transfert se rattache a préalablement fait l'objet, lorsque cela est requis, d'une autorisation par la Commission nationale de l'informatique et des libertés, et(ii) Ce transfert est réalisé dans le strict respect du cadre défini par ladite autorisation.
 Article 4
Sur les catégories de personnes concernées par les transferts.Conformément au champ matériel et à la description des transferts couverts par les BCR  responsable de traitement  du groupe CITI et à leurs annexes, peuvent être transférées, dans le cadre des finalités décrites ci-dessus, les données à caractère personnel relatives aux catégories de personnes suivantes :
- salariés ;- dirigeants et administrateurs ;- candidats ;- stagiaires ;- prestataires ;- intérimaires ;- et plus généralement, tout(e) employé(e) actuel(le) ou ancien(ne), membre de la direction, administrateur ou non employé(e) engagés par CITI ainsi que toute personne candidate pour devenir employé et toutes les personnes à charge ou autre personnes dont les coordonnées ont été données à CITI par un employé pour des motifs de gestion des effectifs (par exemple, à des fins de contact en cas d'urgence),- non employés : personnes qui doivent accéder aux installations et/ou aux systèmes de CITI, y compris sans toutefois s'y limiter, des sous-traitants, des employés d'organisme, des consultants, des tiers prestataires de services et des agents ayant accès aux installations et/ou aux systèmes et plus généralement, tout(e) employé(e) actuel(le) ou ancien(ne), membre de la direction, administrateur ou non-employé(e) engagés par CITI ainsi que toute personne candidate pour devenir employé et toutes les personnes à charge ou autre personnes dont les coordonnées ont été données à CITI par un employé pour des motifs de gestion des effectifs (par exemple, à des fins de contact en cas d'urgence).
 Article 5
Sur les destinataires habilités à accéder aux données transférées.Peuvent seules être habilitées à accéder aux données les entités du groupe CITI juridiquement liées aux BCR  responsable de traitement  du groupe CITI et ayant mis en œuvre les engagements pris au titre de ces BCR, dont la liste à jour a été fournie à la Commission nationale de l'informatique et des libertés, et ce conformément aux BCR  responsable de traitement  du groupe CITI et à leurs annexes.
 Article 6
Sur les informations relatives à chaque transfert.Les responsables de traitement doivent tenir à disposition des services de la Commission nationale de l'informatique et des libertés une liste (cf. modèle proposé en annexe 1 de la présente délibération) détaillée et à jour des transferts effectués sur la base des BCR  responsable de traitement  du groupe CITI, précisant, pour chaque transfert, les informations suivantes :
- la finalité générale du transfert ;- la ou les catégories de données à caractère personnel transférées ;- la ou les catégories de personnes concernées par le transfert ;- les informations relatives à chaque destinataire des données :- raison sociale ;- nom du groupe auquel le destinataire appartient et ayant adopté des BCR  responsable de traitement  ;- pays d'établissement ;- catégorie de destinataire (ex : maison-mère, filiale) ; et- nature du traitement opéré par ce dernier.
 Article 7
Sur les droits d'accès, de rectification et d'opposition des personnes.Les droits d'accès, de rectification et d'opposition des personnes concernées définis au chapitre V de la loi du 6 janvier 1978 modifiée s'exercent auprès du ou des services que les responsables de traitement auront désignés.
 Article 8
Sur l'information des personnes.Les responsables de traitement doivent avoir clairement informé les personnes concernées de l'existence de transferts de données vers des pays tiers et des modalités d'exercice de leurs droits d'accès, de rectification et d'opposition, dans les conditions prévues par les dispositions des articles 90 et 91 du décret du 20 octobre 2005 modifié (notamment la finalité du transfert, le pays d'établissement du destinataire des données, ...).La présente délibération sera publiée au Journal officiel de la République française.
ANNEXE1MODÈLE DE DOCUMENTATION SUR LES TRANSFERTS DE DONNÉES À CARACTÈRE PERSONNEL ENCADRÉS PAR DES BCR  RESPONSABLE DE TRAITEMENT 
TRANSFERT N° 1
MODIFICATIONS(préciser la date et l'objet)
Date de mise en œuvre
 
 
Finalité générale du transfert
 
 
Catégories de personnes concernées
 
 
Nature des données personnelles transférées
 
 
Destinataire 1
Raison sociale
 
 
Pays d'établissement
 
 
Type de destinataire(ex : maison-mère, filiale)
 
 
Nature du traitement opéré par le destinataire(ex : lecture seule, saisie)
 
 
Destinataire 2
Raison sociale
 
 
Pays d'établissement
 
 
Type de destinataire(ex : maison-mère, filiale)
Nature du traitement opéré par le destinataire(ex : lecture seule, saisie)
 
 
 
Pour la présidente :
La vice-présidente déléguée,
M.-F. Mazars
ce titre, les BCR  responsable de traitement  du groupe Cardinal Health sont réputées apporter un niveau de protection suffisant aux données personnelles transférées au sein du groupe Cardinal Health.Par conséquent, les organismes mentionnés à l'article 1er ci-dessous, qui souhaiteront se référer à la présente autorisation unique n° BCR-021 et adresseront à cette fin à la commission un engagement de conformité pour leurs transferts qui répondent strictement aux conditions définies dans la présente décision d'autorisation unique, seront autorisés à mettre en œuvre ces transferts.Tout transfert ne peut être autorisé que dans la mesure où :(i) Lorsque cela est requis, la formalité relative au traitement auquel ce transfert se rattache a été dûment accomplie auprès de la Commission nationale de l'informatique et des libertés ; et(ii) Le transfert est réalisé dans le strict respect du cadre défini par ladite formalité.Par ailleurs, tout transfert de données à caractère personnel qui excèderait le cadre ou les exigences définis par la présente autorisation unique doit faire l'objet d'une décision d'autorisation spécifique.
Article 1
Sur les responsables de traitement/champ d'application.Peuvent seules adresser un engagement de conformité à la présente autorisation unique les entités du groupe Cardinal Health, agissant en qualité de responsable de traitement, étant juridiquement liées par les BCR  responsable de traitement  du groupe Cardinal Health et ayant mis en œuvre les engagements pris au titre des BCR.
 Article 2
Sur les finalités des transferts.Conformément au champ matériel et à la description des transferts couverts par les BCR  responsable de traitement  du groupe Cardinal Health et à leurs annexes, sont autorisés les seuls transferts de données à caractère personnel ayant pour finalité la gestion des ressources humaines, notamment :
- la gestion des données en matière d'emploi ;- l'exploitation des moyens informatiques associés à la gestion des données en matière d'emploi.
 Article 3
Sur les catégories de données personnelles transférées.Conformément au champ matériel et à la description des transferts couverts par les BCR  responsable de traitement  du groupe Cardinal Health et à leurs annexes, peuvent être transférées, dans le cadre des finalités décrites ci-dessus, les catégories de données à caractère personnel suivantes :
- état civil/identité/données d'identification ;- vie professionnelle ;- données de connexion ;- numéro de sécurité sociale (uniquement dans le cadre de la gestion de la paie) ;- informations d'ordre économique et financier.
 Article 4