AgentPublic/cnil huggingface dataset:
La demande d'autorisation a pour objet principal de prendre en compte les modifications législatives relatives aux missions de la Commission nationale des comptes de campagne et des financements politiques, d'une part, et aux règles de financement de la vie politique, d'autre part, qui sont intervenues depuis la création de cette institution.   S'agissant des missions de la Commission, l'article 8 de la loi du 25 juin 1992 susvisée a, notamment, étendu aux territoires d'outre-mer et à la collectivité territoriale de Mayotte les dispositions du code électoral relatives aux dépenses électorales, à l'obligation pour les candidats d'établir des comptes de campagne et à leur contrôle par la Commission.   De même, l'article 2 de la loi organique du 5 avril 2006 relative à l'élection du Président de la République a étendu les compétences de la Commission aux dépenses électorales engagées par les candidats aux élections présidentielles.   La CNIL prend acte que ces modifications législatives prennent la forme, dans la définition de la finalité des traitements concernés, d'une référence expresse aux élections provinciales et territoriales, d'une part. et présidentielles, d'autre part.   S'agissant du financement de la vie politique, la loi du 19 janvier 1995 susvisée a interdit le financement de la vie politique par les personnes morales, sous quelque forme que ce soit.   La CNIL prend acte que cette modification se traduit, s'agissant des informations utilisées, par
l'impossibilité de collecter et de traiter, dans les fichiers concernés, des données relatives à des personnes morales.   Les catégories d'informations traitées en conséquence sont :   - les nom et prénom des donateurs et des cotisants, leur adresse, le candidat ou le parti ou groupement politique bénéficiaire du don ou de la cotisation, le montant du don ou de la cotisation, la date de versement du don ou de la cotisation,   - les nom et prénom des candidats, des mandataires financiers et des dirigeants d'associations de financement, leurs date et lieu de naissance, leurs adresse, numéro de téléphone, numéro de télécopie, courriel.   La CNIL prend acte que les services fiscaux sont, en application de l'article L. 84 A du livre des procédures fiscales, autorisés à obtenir communication des informations figurant dans le traitement relatif à la gestion et l'authentification des reçus délivrés aux personnes physiques.   Le droit d'accès et de rectification prévu par les articles 39 et 40 de la loi du 6 janvier 1978 susvisée s'exerce auprès du secrétaire général de la Commission nationale des comptes de campagne et des financements politiques.   L'information prévue par l'article 32 de la loi est portée à la connaissance des intéressés par l'intermédiaire d'une mention figurant sur les formulaires remis par la Commission.   La CNIL prend note que la Commission nationale des comptes de campagne et des financements politiques, faisant application de l'article 38 de la loi, a
écarté le droit d'opposition des intéressés à figurer dans ce traitement.  Ce choix n'appelle pas d'observation particulière.
Dans ces conditions, la CNIL autorise la mise en oeuvre, par la Commission nationale des comptes de campagne et des financements politiques, de deux fichiers informatisés ayant respectivement pour finalité d'assurer la gestion des reçus délivrés aux personnes ayant accordé leur soutien financier aux candidats aux élections et aux partis ou groupements politiques (traitement "Gardons") et celle des comptes de campagne des candidats aux élections et des comptes des partis ou groupements politiques (traitement "Périclès").   Le Président Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment ses articles 6 et 25-I-4° ;   Vu le code monétaire et financier, notamment l'article L. 511-33 ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 précitée ;   Vu la demande d'autorisation présentée par la société Experian et relative à la mise en place d'une centrale de crédit,   Après avoir entendu, M. Philippe NOGRIX, commissaire, en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations ;   Formule les observations suivantes :   La CNIL a été saisie par la société Experian d'une demande d'autorisation portant sur un traitement automatisé de données à caractère personnel dont la finalité déclarée est de favoriser le développement maîtrisé du crédit, notamment auprès de populations qui en sont
traditionnellement exclues, sans risquer le surendettement et tout en offrant aux établissements de taille moyenne les moyens d'une concurrence plus équilibrée par rapport aux grands établissements ou groupes d'établissements, lesquels disposent de sources d'informations beaucoup plus étendues.
Sur les caractéristiques du traitement   Le traitement, dénommé "centrale de crédit", a pour objet la mutualisation de certaines informations, détenues par des établissements de crédit sur leurs clients bénéficiaires de crédits à un titre non professionnel et sur les caractéristiques des crédits qu'ils leur ont accordés.  Ces données sont réparties entre plusieurs fichiers informatiques qui correspondent aux établissements d'où elles proviennent.   En cas de réception d'une demande d'informations portant sur une personne, le traitement réunit, sous la forme d'un rapport de crédit, l'ensemble des données personnelles détenues à son sujet, quelle qu'en soit la source.   Les établissements destinataires des informations doivent avoir adhéré à la "centrale de crédit" d'Experian pour être autorisés à avoir communication, à l'occasion de l'instruction de la demande de crédit d'un particulier, des informations le concernant qui y sont enregistrées.   Celles-ci portent sur son niveau d'endettement auprès des autres établissements adhérant à la "centrale de crédit", sur les caractéristiques des crédits que ces derniers lui ont déjà consentis, ainsi que sur les conditions dans lesquelles ces crédits sont remboursés.   La demande d'autorisation prévoit le recueil et la conservation de données relatives :   - à l'identification précise de l'emprunteur (noms, prénoms, alias, sexe, date et lieu de naissance) ;   - à ses adresses professionnelle et personnelle ;   - au crédit :
notamment l'organisme prêteur ayant adhéré à la centrale, le taux d'intérêt, le montant des apports, le détail de la clôture du crédit (sous la forme crédit remboursé par le garant, crédit remboursé par l' emprunteur, autre), le détail du financement (sous la forme crédit immobilier / crédit personnel / crédit consommation), l'historique du crédit sur 36 mois (état des remboursements du mois, solde des paiements du mois ...).   En outre, un indice de "similitude avec les informations d'identité présentées dans le crédit retrouvé" et les commentaires de l'emprunteur concerné, éventuellement conservés dans une zone bloc notes, fait partie des informations communiquées par Experian.   Les données transmises par les adhérents d'Experian sont conservées pendant trois ans après la date de fin du crédit.  Ainsi, dans le cas du crédit immobilier, la durée de conservation des informations peut être de plusieurs dizaines d'années.
Les données sont traitées dans des fichiers informatisés distincts en fonction de l'établissement qui les a transmises à la société Experian, mais qui ont vocation à être mis en relation à tout moment pour permettre l'élaboration des rapports de crédit. Dès lors, ce projet constitue un traitement automatisé de données personnelles, caractérisé par des finalités et des moyens informatiques déterminés par la société Experian, qui, conformément au 1 de l'article 3 de la loi du 6 janvier 1978 susvisée, en est ainsi le responsable.   La "centrale de crédit" constitue, en outre, ce qu'il est convenu d'appeler un "fichier positif" dès lors que, par opposition aux fichiers - dits négatifs - de signalements d'incidents de paiement lors du remboursement d'un crédit, le traitement permettrait le partage d'informations sur des crédits octroyés, indépendamment de la survenance ou non de difficultés de paiement.   L'absence d'une base de données centrale - les fichiers correspondant à chaque établissement financier étant logiquement séparés - est à cet égard sans incidence, puisque le traitement envisagé permet de consulter simultanément l'ensemble des fichiers.   La Commission estime que le traitement envisagé relève des dispositions du 4° du I de l'article 25 de la loi du 6 janvier 1978 et que sa mise en oeuvre doit être autorisée par la CNIL dans la mesure où il serait susceptible d'exclure des personnes du bénéfice d'un contrat de crédit en l'absence de toute disposition
législative ou réglementaire prévoyant une telle exclusion.
Sur le respect des principes de la loi du 6 janvier 1978   La Commission rappelle que, conformément à l'article 6 de la loi du 6 janvier 1978, des données personnelles doivent être collectées de manière loyale et licite, pour des finalités déterminées, explicites et légitimes et qu'elles ne peuvent pas être traitées ultérieurement de manière incompatible avec ces finalités.  En conséquence, il lui appartient d'apprécier si les caractéristiques du traitement envisagé sont proportionnées aux finalités déclarées.   1. La Commission observe que des informations couvertes par un secret légalement protégé seraient transférées de façon massive, en l'absence de toute base législative, à une société de services qui ne relève pas de la loi bancaire et dont l'activité n'est pas soumise à la règle du secret bancaire.   Elle relève qu'aucune disposition légale ne définit un régime juridique particulier pour les traitements qui, ayant pour objet la mutualisation de données personnelles sur les encours de crédit, seraient ouverts à l'adhésion d'établissements financiers n'ayant entre eux aucun lien juridique ni intérêt commun, excepté la volonté de partager, sous réserve de réciprocité, certains renseignements sur leurs clients respectifs bénéficiant d'emprunts à titre non professionnel et sur les crédits qu'ils leur ont accordés.   La Commission rappelle avoir indiqué à plusieurs reprises que seul le Législateur aurait compétence pour se prononcer sur l'utilité sociale de la
constitution de "fichiers positifs" dans le secteur du crédit, et notamment pour préciser les finalités et le contenu de ces bases de données, les conditions dans lesquelles les emprunteurs personnes physiques pourraient choisir d'accepter ou non, de façon libre et éclairée, d'adhérer à un tel dispositif, les précautions à prendre pour encadrer l'accès des établissements de crédit aux données ainsi collectées afin d'en prévenir toute utilisation à d'autres fins, ainsi que les conséquences des cas où un établissement conditionnerait l'attribution d'un crédit à l'acceptation par son client de l'enrichissement de sa "centrale de crédit".
La Commission estime, dans ces conditions, que la collecte et le traitement des données ne remplissent pas la condition de licéité posée à l'article 6 de la loi du 6 janvier 1978.   2. Au surplus, des informations couvertes par le secret bancaire ne peuvent faire l'objet d'une transmission à des tiers que si le client concerné l'a librement accepté de manière expresse, au vu d'une information précise lui permettant de prendre une décision éclairée.   Or, la Commission souligne que le client n'est pas complètement informé des conséquences de la signature de la clause de levée du secret bancaire qui lui est demandée, en ce qui concerne les finalités des transferts de données qu'il autorise, les utilisations qui pourront en être faites, les établissements financiers qui en seront les bénéficiaires, les données qui seront transmises et leur conservation par Experian pour une durée qui peut être très longue.   Elle note en effet que le client qui dépose une demande de crédit est incité à signer une clause de levée du secret bancaire à un moment où l'établissement financier avec lequel il contracte souhaite non seulement être autorisé à transmettre des données sur l'encours de crédit à la centrale d'Experian, puis à actualiser les données ainsi transmises sur les conditions de remboursement du crédit souscrit, mais aussi interroger la "centrale de crédit" pour récupérer des renseignements sur l'endettement de son client auprès des autres établissements ayant adhéré à la
centrale.  En outre, la signature de la clause de levée du secret par un client implique également que les autres adhérents de la centrale, présents ou à venir, pourront consulter ultérieurement l'ensemble des données le concernant qui y figurent, normalement lorsqu'il leur présentera une demande de crédit.   3. La société Experian prévoit la transmission aux établissements adhérents des informations relatives à une personne au moment de l'instruction d'une demande de crédit, sous la forme d'un rapport très détaillé sur les crédits déjà octroyés à cette personne, quelle que soit la nature de ces crédits, qu'ils soient encore en cours de remboursement ou intégralement remboursés depuis moins de trois ans.
La Commission considère que les données qui seraient stockées par Experian, parfois pendant une très longue durée, permettraient un profilage économique des particuliers concernés au travers des données relatives aux prêts immobiliers qui leur ont précédemment été accordés.   A cet égard, l'enregistrement de données très détaillées sur les crédits octroyés, quelle qu'en soit la nature, y compris sur ceux remboursés depuis moins de trois ans, permet d'en déduire le niveau des revenus, voire le montant du patrimoine immobilier acquis à crédit.   La Commission souligne, en outre, que ces informations sont susceptibles d'être conservées dans les traitements automatisés des organismes destinataires et ainsi d'être utilisées au-delà de l'instruction d'une demande de crédit qui en a justifié la transmission, notamment à des fins commerciales.   La Commission estime, en conséquence, que le traitement des données dans les conditions précitées ne répond pas à l'exigence de proportionnalité prévue à l'article 6 de la loi du 6 janvier 1978.   Dans ces conditions et pour l'ensemble de ces motifs, la Commission n'autorise pas la société Experian à mettre en oeuvre le traitement de données à caractère personnel dénommé "centrale de crédit".   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-8° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Vu la demande d'autorisation, présentée par François Charles Oberthur Fiduciaire d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès aux locaux sensibles de la société classée Point sensible de niveau 2 (PS2) et Etablissement à Régime Restrictif (ERR) par le Ministère de l'intérieur, le Ministère de la défense et le Ministère de l'économie de l'industrie et des finances ;   Après avoir entendu M. Hubert BOUCHET, commissaire en son rapport et Mme
Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :   La Commission nationale de l'informatique et des libertés a été saisie par François Charles Oberthur Fiduciaire d'une demande d'autorisation relative à un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès aux locaux sensibles de la société classée Point sensible de niveau 2 (PS2) et Etablissement à Régime Restrictif (ERR) par le Ministère de l'intérieur, le Ministère de la défense et le Ministère de l'économie de l'industrie et des finances.   Il y a lieu de faire application des dispositions prévues à l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.   Le dispositif présenté par François Charles Oberthur Fiduciaire, imprimerie fiduciaire de haute sécurité, a pour finalité de répondre aux impératifs de sécurité exigés par la Banque Centrale Européenne et imposés par la réglementation relative aux installations classées Point Sensible de niveau 2 (PS2) et Etablissement à Régime Restrictif (ERR) par les Ministères de l'Intérieur, de la Défense et de l'Economie de l'Industrie et des Finances.  Il doit permettre de contrôler l'accès aux locaux sensibles de la société où sont imprimés les matrices de l'Euro.   Le dispositif reposera sur des boîtiers installés au point d'accès des locaux sensibles
situés dans la zone prépresse de la société.  Ces boîtiers seront reliés à un serveur sur lequel seront enregistrés les évènements d'horodatage (nom de la personne, entrée, sortie, jour, identification du local).  Un gabarit chiffré, résultant des traitements des mesures de l'empreinte digitale par un algorithme et les données relatives à l'identité des personnes (nom, prénom) seront enregistrés au niveau du boîtier.  Lors du contrôle d'accès, l'employé apposera son doigt sur le lecteur biométrique du boîtier, une comparaison s'effectuera alors entre cette empreinte digitale et le gabarit enregistré dans la base de données stockée sur le boîtier.   Le gabarit de l'empreinte digitale et les données relatives à l'identité seront conservés pendant la durée de l'accès à la zone prépresse.  Les historiques des passages seront conservés six mois.   Les personnes seront informées de la mise en oeuvre du dispositif par une note d'information portée sur le formulaire de collecte qui leur est remis au moment de l'enrôlement ainsi que par voie d'affichage.  Les comités d'établissements seront informés de la mise en place du dispositif biométrique.   Compte tenu du fort impératif de sécurité lié à la nécessité de contrôler l'accès aux locaux sensibles de la zone prépresse de la société classée Point sensible de niveau 2 (PS2) et Etablissement à Régime Restrictif (ERR) par les ministères de l'intérieur, de la défense et de l'économie de l'industrie et des finances, les traitements soumis
à la Commission sont adaptés et proportionnés à la finalité assignée au dispositif.
Les droits d'accès et de rectification s'exerceront auprès de François Charles Oberthur Fiduciaire - 18/20 rue de Breil 35135 Chantepie.   Les catégories de données à caractère personnel enregistrées seront :   - l'identité des personnes (nom, prénom) ;   - le gabarit chiffré, résultat du traitement des mesures par un algorithme sur l'empreinte digitale,   - les données d'horodatage (nom de la personne, entrée, sortie, jour, identification du local).   Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée   - le responsable de sécurité et son adjoint.   Dans ces conditions, la Commission autorise la société François Charles Oberthur Fiduciaire, à mettre en oeuvre le traitement de données à caractère personnel présenté.   Le Président, Alex TURK.   Guy ROSIER, Vice-Président DELEGUE.
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-8° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Vu la demande d'autorisation, présentée par Millennium Chemicals Thann SAS d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès aux locaux sensibles.   Après avoir entendu M. Hubert BOUCHET, commissaire en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :   La Commission nationale de l'informatique et des libertés a été saisie par Millennium Chemicals Thann SAS d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès aux locaux sensibles.   Il y a lieu de faire application des dispositions prévues à l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.   Le dispositif a pour objet de contrôler l'accès aux locaux sensibles de l'usine chimique classée "SEVESO II" seuil haut dans la mesure oû y sont traités des produits potentiellement dangereux (tétrachlorure de titane, Oléum, Chlore, soude, potasse, ammoniac, acide chlorhydrique).   Le dispositif reposera sur des boîtiers situés dans les locaux sensibles de l'usine à savoir les salles contenant les serveurs qui régissent le fonctionnement complet et la gestion des sécurités instrumentales ou des automates de l'usine.  Ces boîtiers seront reliés à un serveur au niveau duquel seront enregistrés l'identité des personnes (nom, prénom), le service, l'identifiant, le gabarit chiffré, résultant des traitements des mesures de l'empreinte digitale par un algorithme.   Lors du contrôle d'accès, l'employé apposera son doigt sur le lecteur biométrique du boîtier, une comparaison s'effectuera alors entre cette empreinte
digitale et le gabarit enregistré dans la base de données stockée sur le serveur situé dans un local sécurisé et protégé par un dispositif biométrique.   Les personnes seront informées de la mise en oeuvre du dispositif par une note d'information portée sur le formulaire de collecte remis aux personnes au moment de l'enrôlement.  Les comités d'entreprise et le comité d'hygiène et de sécurité et des conditions de travail seront informés de la mise en oeuvre du dispositif.   Le gabarit de l'empreinte digitale et les données relatives à l'identité et à la fonction seront conservées jusqu'au départ de l'employé (mutation, licenciement, démission, retraite).   Compte tenu du fort impératif de sécurité lié à la nécessité de contrôler l'accès aux locaux de l'usine classée "SEVESO II" seuil haut où se trouvent les serveurs pilotant le fonctionnement et les automates des chaînes de fabrication; les traitements soumis à la Commission et en particulier, le recours à la constitution de bases de données biométriques, sont adaptés et proportionnés à la finalité assignée au dispositif.