AgentPublic/cnil huggingface dataset:
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la directive 91/308/CE du Conseil du 10 juin 1991 modifiée relative à la prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-I-4° ;
Vu le code monétaire et financier, notamment ses articles L.561-2 à L.561-22, L.561-32 à L.561-35, L. 561-45 et L. 562-1 à L. 562-11 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978 modifiée par la loi n° 2004-810 du 6 août 2004 ;
Vu la délibération n° 2005-297 du 1er décembre 2005 portant autorisation unique de certains traitements de données à caractère personnel mis en œuvre dans des organismes financiers au titre de la lutte contre le blanchiment de capitaux et le financement du terrorisme ;
Vu le dossier déposé par Barclays Bank PLC relatif à un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre le blanchiment de capitaux et le financement du terrorisme ;
Sur le rapport de M. Jean-Paul AMOUDRY, commissaire, et les observations de  Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Formule les observations suivantes :
Le traitement de données à caractère personnel soumis par Barclays Bank PLC à l’examen de la Commission a pour finalité de répondre à ses obligations légales en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme en apportant une aide à la détection, à l’examen et à la surveillance de certaines transactions financières dans le but éventuel, à l’issue d’une analyse non automatisée, de déclarer à la cellule de renseignement financier Tracfin les opérations qui relèvent de l’article L. 561-15 du CMF ou de bloquer la réalisation des opérations menées par une personne ou à destination d’une personne qui fait l’objet d’une mesure de gel des avoirs.
L’identification de tels faits, sur la base de critères intégrés dans les traitements automatisés de l’organisme financier, peut conduire Barclays Bank PLC à souhaiter, pour des raisons de prudence, rompre toute relation contractuelle avec certains des clients qui en font l’objet. Le traitement peut ainsi, du fait de sa portée, conduire à l’exclusion de personnes du bénéfice d’un contrat en l’absence de toute disposition légale prévoyant la mise en œuvre d’une telle exclusion.
Dès lors, ce traitement relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, être autorisé par la CNIL.
Par sa délibération n° 2005-297 du 1er décembre 2005 susvisée créant l’autorisation unique AU-003, la Commission a autorisé les traitements mis en œuvre par les organismes financiers au titre de la lutte contre le blanchiment de capitaux et le financement du terrorisme, sous réserve que les finalités de ces traitements, les catégories de données utilisées et leurs destinataires n’excèdent pas le cadre qui y est défini, que ces traitements remplissent également les conditions qui y sont fixées, et que les responsables de ces traitements adressent à la CNIL un engagement de conformité à l’autorisation unique AU-003.
L’analyse des conditions de mise en œuvre du traitement de Barclays Bank PLC fait apparaître des différences par rapport à l’autorisation unique AU-003 qui, de ce fait, sont soumises à l’examen de la CNIL.
La finalité du traitement inclut la création de groupes de clients dont le niveau de risque de blanchiment et de financement du terrorisme est homogène, afin d’effectuer des contrôles proportionnés au niveau de risque ainsi évalué. Un modèle de score visant à évaluer ce risque après pondération de certaines des catégories de données traitées est utilisé à cette fin.
La Commission observe que cette finalité est conforme aux articles L. 561-9 à L. 561-10 du code monétaire et financier qui prévoient que les mesures de vigilances doivent être proportionnées à la gravité des risques identifiés.
Le traitement porte, par ailleurs, sur plusieurs catégories de données supplémentaires :
- En ce qui concerne les personnes physiques, clients ou tiers : matricule, nature juridique (résident, non résident), pays de la résidence fiscale de l’auteur de la transaction, modalité d’entrée en relation (face à face ou à distance), indicateur de risque, risque accru (personne politiquement exposée, personne à patrimoine très élevé), numéros de téléphone ;
- En ce qui concerne les personnes morales, clients ou tiers : matricule, nature juridique, adresse, nationalité, adresse électronique, pays de la résidence fiscale de l’auteur de la transaction, indicateur de risque, adresse des dirigeants et associés, numéros de téléphone ;
- En ce qui concerne leurs situation et opérations financières : date de traitement de l’opération, avoirs possédés par le client et opérations s’y rapportant, type de produit souscrit, guichet où l’opération a été effectué, solde du compte, pays de commerce ou d’exercice des opérations de la personne morale ;
- En ce qui concerne les exploitants de Barclays Bank PLC : nom prénom, matricule, localisation.
Enfin, au titre des destinataires des données traitées, les conseillers de clientèle ont accès au seul indicateur de risque.
Les droits d’accès et de rectification s’exercent dans les conditions définies à l’article L. 56145 du code monétaire et financier ;
Autorise, dans les conditions prévues par la présente délibération, Barclays Bank PLC à mettre en œuvre le traitement automatisé de lutte contre le blanchiment de capitaux et contre le financement du terrorisme.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 9 et 25 ; 
Vu le code monétaire et financier, notamment ses articles L. 141-5 et L. 162-2 ;
Vu le code pénal, notamment ses articles 442-1 à 442-16 et R. 645-9 ;
Vu le code de procédure pénale, notamment ses articles 56 et 97 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Sur le rapport de M. Jean-Paul AMOUDRY, commissaire, et les observations de  Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés a été saisie par la Banque de France d’une demande d’autorisation relative à la mise en œuvre d’un traitement automatisé de données à caractère personnel dont les finalités sont d’assurer le suivi des procès pour faux-monnayage dans lesquels la Banque de France se constitue partie civile, d’identifier les cas dans lesquels plusieurs infractions en matière de faux-monnayage ont les mêmes auteurs et de procéder à une analyse statistique du traitement judiciaire de ces infractions.
La Banque de France a notamment pour mission d’émettre les billets qui ont cours légal sur le territoire national, d’assurer l’entretien de la monnaie fiduciaire et de gérer la bonne qualité de sa circulation.
Elle est, à ce titre, fondée à se constituer partie civile lorsque des personnes sont poursuivies pour des infractions relatives à la fausse monnaie, en particulier la contrefaçon ou la falsification des billets de banque et le transport, la mise en circulation ou la détention en vue de la mise en circulation des billets de banque contrefaisants ou falsifiés.
De même, la Banque de France est chargée d’examiner, en qualité de centre d’analyse national des billets faux, les billets de banque contrefaisants ou falsifiés et de récupérer ceux dont la confiscation a été prononcée aux fins de leur destruction éventuelle. Il en résulte qu’elle doit disposer d’une vision historique de ces infractions.
Dès lors, le traitement envisagé est conforme aux dispositions du 1° de l’article 9 de la loi du 6 janvier 1978 et doit être autorisé par la CNIL en application du 3° du I de l’article 25.
Les données enregistrées concernent :
- le nom de l’affaire,
- les nom et prénom des contrevenants,
- éventuellement, leur qualité de récidiviste,
- les nom, prénom et numéro de téléphone de l’avocat de la Banque de France,
- les juridictions saisies,
- la date de la constitution de partie civile, celle des jugements et arrêts,
- les type et nombre de billets de banque concernés,
- la nature de l’infraction de faux-monnayage (contrefaçon ou mise en circulation),
- la condamnation pénale ou le classement sans suite,
- les références du dossier papier,
- dans le cadre d’une zone commentaires, d’autres informations se rapportant à la procédure judiciaire ou au contenu de la décision de justice, à l’exclusion de toute autre donnée.
Ces informations sont conservées pendant dix ans à compter de la date du jugement définitif.
Seuls les agents habilités de la direction des services juridiques et des services d’audit interne sont destinataires des données traitées.
Les personnes sont informées de l’existence du traitement et de leurs droits par une mention sur le site Internet de la Banque de France.
Les droits d’accès et de rectification s’exercent auprès de la direction des services juridiques de la Banque de France.
Dans ces conditions, la Commission autorise la Banque de France à mettre en œuvre le traitement des données relatives aux procès pour faux-monnayage.
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la directive 91/308/CE du Conseil du 10 juin 1991 modifiée relative à la prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-I-4° ;
Vu le code monétaire et financier, notamment ses articles L.561-2 à L.561-22, L.561-32 à L.561-35, L. 561-45 et L. 562-1 à L. 562-11 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978 modifiée par la loi n° 2004-810 du 6 août 2004 ;
Vu l’arrêté du Conseil général de la Banque de France du 19 décembre 2003 relatif à la création d’un traitement automatisé dénommé « Surveillance des transactions à risque (STAR) »
Vu la délibération n° 2005-297 du 1er décembre 2005 portant autorisation unique de certains traitements de données à caractère personnel mis en œuvre dans des organismes financiers au titre de la lutte contre le blanchiment de capitaux et le financement du terrorisme ;
Vu le demande d’autorisation modificative déposée par la Banque de France et relative à un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre le blanchiment de capitaux et le financement du terrorisme ;
Sur le rapport de M. Jean-Paul AMOUDRY, commissaire, et les observations de  Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Formule les observations suivantes :
La Banque de France met en œuvre un traitement de données à caractère personnel dénommé STAR, qui a été créé par arrêté du Conseil général de la Banque de France du 19 décembre 2003 et qui vise à permettre la surveillance des transactions financières à risque au regard de la législation relative à la lutte contre le blanchiment de capitaux et le financement du terrorisme dans le but éventuel, à l’issue d’une analyse non automatisée, de déclarer à la cellule de renseignement financier Tracfin les opérations qui relèvent de l’article L. 561-15 du code monétaire et financier ou de bloquer la réalisation des opérations menées par une personne ou à destination d’une personne qui fait l’objet d’une mesure de gel des avoirs.
L’identification de tels faits, sur la base de critères intégrés dans les traitements automatisés de l’organisme financier, peut conduire la Banque de France à souhaiter, pour des raisons de prudence, rompre toute relation contractuelle avec certains des clients qui en font l’objet. Le traitement peut ainsi, du fait de sa portée, conduire à l’exclusion de personnes du bénéfice d’un contrat en l’absence de toute disposition légale prévoyant la mise en œuvre d’une telle exclusion.
Dès lors, ce traitement relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, être autorisé par la CNIL.
Par sa délibération n° 2005-297 du 1er décembre 2005 susvisée créant l’autorisation unique AU-003, la Commission a autorisé les traitements mis en œuvre par les organismes financiers au titre de la lutte contre le blanchiment de capitaux et le financement du terrorisme, sous réserve que les finalités de ces traitements, les catégories de données utilisées et leurs destinataires n’excèdent pas le cadre qui y est défini, que ces traitements remplissent également les conditions qui y sont fixées, et que les responsables de ces traitements adressent à la CNIL un engagement de conformité à l’autorisation unique AU-003.
L’analyse des modifications que la Banque de France envisage d’apporter à son traitement fait apparaître des différences par rapport à l’autorisation unique AU-003 qui, de ce fait, sont soumises à l’examen de la CNIL.
La Banque de France prévoit, en premier lieu, de prendre en compte la liste de l’OFAC (Office of Foreign Assets Control), administration relevant du département du Trésor américain, pour apporter une aide à l’identification des opérations qui doivent faire l’objet d’une vigilance particulière.
En deuxième lieu, la Banque de France constitue une « liste blanche » dont la finalité est de recenser les homonymes des personnes ou entités dites à risque, dont les opérations n’ont pas, en conséquence, à être bloquées.
En conséquence, le traitement STAR porte sur plusieurs catégories de données supplémentaires : appartenance à un groupement ou à une organisation listée par un règlement européen sur le gel des avoirs ou par l’OFAC, appartenance à une « liste blanche ».
L’ensemble des données à caractère personnel restent enregistrées pendant cinq ans à compter de la dernière opération traitée, sous réserve des durées de conservation spécifiques susmentionnées.
Les droits d’accès et de rectification s’exercent dans les conditions définies à l’article L. 56145 du code monétaire et financier ;
Autorise, dans les conditions prévues par la présente délibération, la Banque de France à modifier le traitement automatisé de lutte contre le blanchiment de capitaux et contre le financement du terrorisme.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-3° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu les articles R. 421-9 et R. 412-17 du code de la route ;
Sur le rapport de M. Emmanuel DE GIVRY, vice-président délégué et les observations de  Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société des autoroutes AREA à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la lutte contre la fraude sur la base des transactions, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Responsable du traitement
la société des autoroutes AREA
Finalités
Le traitement DART permet de lutter contre la fraude :
en contrôlant les transactions effectuées par les clients : contrôle des anomalies liées aux trajets par exemple par l’absence de ticket ou par l’usage d’un ticket illisible ou périmé, et contrôle des fraudes liées aux manipulations sur les tickets ou sur les données d’entrée consécutivement aux anomalies ;
Le dispositif présenté concerne la surveillance des fraudes aux péages. Il doit permettre à la société des Autoroutes Paris Rhin Rhône de constater et de poursuivre les infractions prévues aux articles R. 421-9 et R. 412-17 du code de la route résultant, pour tout conducteur, du refus d'acquitter le montant du péage ou de se soustraire d'une manière quelconque à ce paiement : l’intéressé est passible de l'amende prévue pour les contraventions de la deuxième classe.
Catégories de données traitées
Les catégories de données traitées sont les suivantes :
Données relatives aux clients (abonnés et non abonnés) : données d’identification, coordonnées, numéro d’immatriculation, informations relatives aux moyens de paiement et numéro de badge pour les abonnés.
Données relatives aux trajets
Données relatives aux anomalies de parcours
Destinataires
Les informations sont communiquées aux agents habilités et individuellement désignés du service de la fraude et aux forces de l’ordre.
Information et droit d’accès
Les clients abonnés sont informés, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée en août 2004, de l’identité du responsable de traitement, de la finalité poursuivie par le traitement, des destinataires des données et des droits qu’ils détiennent, dans les conditions générales du contrat. Les clients non-abonnés le sont par un affichage en gare d’entrée et de sortie.Les droits d’accès et de rectification s’exerceront auprès de la société des autoroutes AREA – Département Péage – 260 avenue Jean Monnet BP 48 – 69671 – BRON CEDEX.
Durée de conservation 
- Les données relatives aux contrevenants sont conservées le temps de la prescription de l’infraction délictuelle d’escroquerie, à savoir 3 ans : un an sur le serveur central et deux ans supplémentaires en archivage sur une base externe indépendante, accessible limitativement aux agents habilités des organismes publics ou privés gérant un service public de transport terrestre et pour des requêtes spécifiques.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 69 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Georges de La LOYERE, commissaire et les observations de  Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société YVES SAINT LAURENT SAS à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
YVES SAINT LAURENT SAS
Finalité du transfert
Accès à distance, de manière ponctuelle, à la base centrale située en France afin de la consulter et d’enregistrer les coordonnées relatives aux nouveaux clients de la boutique Yves Saint Laurent située à Monaco 
Catégories de données transférées
Données relatives à l’identité et à l’adresse des clients :
Nom
Prénom
Coordonnées
Identité(s) du(des) destinataire(s)
Les personnels habilités de la société SAM Yves Saint Laurent of Monaco :Avenue des Beaux Arts98000 MonacoMONACO
Pays d’établissement du(des) destinataire(s)
MONACO
Service auprès duquel s’exerce le droit d’accès des personnes concernées
YVES SAINT LAURENT SASDirection des boutiques7 avenue George V75008 PARIS
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la Décision 2002/16/CE de la Commission européenne du 27 décembre 2001 concernant les transferts de responsable de traitement à sous-traitant
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Jean MASSOT, commissaire, et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission a été saisie par le centre hospitalier de Bapaume d’un traitement de données à caractère personnel reposant sur la reconnaissance du réseau veineux de deux doigts de la main et ayant pour finalité le contrôle de l’accès de certains locaux sensibles de l’hôpital.
Formule les observations suivantes :
Le centre hospitalier de Bapaume souhaite utiliser un dispositif reposant sur la reconnaissance du réseau veineux de deux doigts de la main afin de sécuriser l’accès du personnel à certains locaux sensibles de l’hôpital. 
Le dispositif reposera sur la mise en place de 31 lecteurs biométriques (terminaux de lecture-comparaison) situés à l’entrée et à la sortie des locaux de l’hôpital, et reliés à un réseau informatique. L’enrôlement des personnes concernées s’effectuera à partir d’un lecteur permettant l’enregistrement des gabarits. Outre les données biométriques enrôlées, des éléments d’identification des personnes concernées (nom, prénom, fonction ou statut) seront également traités.
La vérification s’effectuera entre le doigt apposé sur le lecteur et le gabarit du réseau veineux des personnes, stocké dans le fichier biométrique. Les gabarits biométriques des employés seront conservés jusqu’à la cessation de leurs fonctions au sein de l’hôpital. L’historique des passages des trois derniers mois sera également conservé.