AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-8° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 modifié par le décret n° 2007-451 du 25 mars 2007 ;   Vu la demande d'autorisation, présentée par l'Autorité de contrôle des assurances et des mutuelles (ACAM) d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès au réseau informatique (postes de travail fixes et portables) ;   Après avoir entendu M. Hubert BOUCHET, commissaire en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :   La Commission nationale de l'informatique et des libertés a été saisie par l'Autorité de contrôle des assurances et des mutuelles (ACAM) d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès au réseau informatique (postes de travail fixes et portables).   Il y a lieu de faire application des dispositions prévues à l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.   L'ACAM est chargée de contrôler le respect par les entreprises d'assurance et de réassurance, les mutuelles, les institutions de prévoyance et les institutions de prévoyance et les institutions de retraite supplémentaire, des dispositions législatives et réglementaires qui leur sont applicables et de sanctionner les manquements constatés.   Le dispositif a pour objet de contrôler l'accès au réseau informatique (postes de travail fixes et portables).   La Commission considère que la constitution de bases de données d'empreintes digitales ne peut être admise que dans certaines circonstances particulières où l'exigence d'identification des personnes résulte d'un fort impératif de sécurité, conformément aux dispositions de l'article 6-3° de la loi du 6 janvier 1978 modifiée. En effet, cet article dispose que les traitements ne peuvent
porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.   En l'espèce, l'objectif poursuivi par l'ACAM tendant au contrôle de l'accès au réseau informatique (postes de travail fixes et portables), s'il est légitime, n'est associé à aucune circonstance particulière justifiant la conservation dans une base de données des empreintes digitales des employés habilités à accéder au réseau informatique (postes de travail fixes et portables).  En conséquence, le traitement pris dans son ensemble n'apparaît ni adapté ni proportionné à l'objectif poursuivi.
Dès lors, la Commission n'autorise pas, en l'état, l'Autorité de contrôle des assurances et des mutuelles (ACAM) sise au 54 rue de Châteaudun 75436 Paris Cedex 09, à mettre en oeuvre un traitement de données à caractère personnel reposant sur l'utilisation d'un dispositif biométrique de reconnaissance des empreintes digitales et dont la finalité est le contrôle de l'accès au réseau informatique (postes de travail fixes et portables).   Le Président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-8°.   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004, modifié par le décret n° 2007-451 du 25 mars 2007 ;   Vu la demande d'autorisation, présentée par le Casino du Nivernais d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès aux locaux sensibles ;   Après avoir entendu M. Hubert BOUCHET, commissaire en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :   La Commission nationale de l'informatique des libertés a été saisie par le Casino du Nivernais d'une demande d'autorisation relative à un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès aux locaux sensibles.   Il y a lieu de faire application des dispositions prévues à l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.   Le dispositif est présenté par le Casino du Nivernais, établissement de jeux et délégataire d'un service public dont l'activité est sous la tutelle du ministère de l'intérieur.   Le dispositif a pour objet la gestion et le contrôle des droits d'accès aux locaux sensibles tels que la salle forte, la salle de comptée et les caisses.  Il reposera sur des boîtiers installés au point d'accès de ces locaux sensibles.   Ces boîtiers seront reliés à un serveur au niveau duquel seront enregistrés l'identité des personnes (nom, prénom), l'identifiant, l'historique des passages et le gabarit chiffré, résultant des traitements des mesures de l'empreinte digitale par un algorithme. Lors du contrôle d'accès, la personne habilitée apposera son doigt sur le lecteur biométrique du boîtier, une comparaison s'effectuera alors entre cette empreinte digitale et le gabarit enregistré dans la base de
données stockée sur le serveur dans une salle dédiée et protégé par une application biométrique.   Le gabarit de l'empreinte digitale et les données relatives à l'identité seront conservés jusqu'au départ de la personne concernée (mutation, licenciement, démission, retraite).  Un historique des passages sera conservé deux mois.    Les personnes seront informées de la mise en oeuvre du dispositif par une note d'information portée sur le formulaire de collecte qui leur est remis au moment de l'enrôlement.  Les représentants du personnel seront informés de la mise en place du dispositif biométrique.   Compte tenu du fort impératif de sécurité lié à la nécessité de contrôler l'accès aux locaux sensibles du Casino du Nivernais et des circonstances de l'espèce, les traitements soumis à la Commission sont adaptés et proportionnés à la finalité assignée au dispositif.   Les droits d'accès et de rectification s'exerceront auprès du service du personnel du Casino du Nivernais sis Avenue de Paris 58320 Pougues Les Eaux.
Les catégories de données à caractère personnel enregistrées seront :    - l'identité des personnes (nom, prénom) ;   - l'identifiant ;   - l'historique des passages (date, heure, porte, identifiant, numéro de la porte) ;   - le gabarit chiffré, résultat du traitement des mesures par un algorithme sur l'empreinte digitale.   Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, le directeur du Casino et/ou un membre du comité de direction.   Dans ces conditions, la Commission autorise le Casino du Nivernais à mettre en oeuvre le traitement de données à caractère personnel présenté.   Le Président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-8° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 modifié par le décret 2007-451 du 25 mars 2007 ;   Vu la demande d'autorisation, présentée par la société CSV International d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès aux locaux ;   Après avoir entendu M. Hubert BOUCHET, commissaire en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :   La Commission nationale de l'informatique et des libertés a été saisie par la société CSV International d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès aux locaux.   Il y a lieu de faire application des dispositions prévues à l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.   La société CSV International a pour activité la fourniture d'équipements militaires.   Le dispositif proposé a pour objet de contrôler l'accès aux locaux comportant les équipements militaires.   La Commission considère que la constitution de bases de données d'empreintes digitales ne peut être admise que dans certaines circonstances particulières où l'exigence d'identification des personnes résulte d'un fort impératif de sécurité, conformément aux dispositions de l'article 6-3° de la loi du 6 janvier 1978 modifiée. En effet, cet article dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.   En l'espèce, l'objectif poursuivi par la société CSV International tendant au contrôle de l'accès des locaux, s'il est légitime, n'est associé à aucune
circonstance particulière justifiant la conservation dans une base de données des empreintes digitales des employés habilités à accéder aux locaux.  En conséquence, le traitement pris dans son ensemble n'apparaît ni adapté ni proportionné à l'objectif poursuivi.
Dès lors, la Commission n'autorise pas, en l'état, la société CSV International sise 31-39 rue Saint-Denis 93533 Aubervilliers à mettre en oeuvre un traitement de données à caractère personnel reposant sur l'utilisation d'un dispositif biométrique de reconnaissance des empreintes digitales et dont la finalité est le contrôle de l'accès aux locaux.   Le Président Alex TURK.
La Commission nationale de l'informatique et des libertés,   Saisie pour avis par le ministère de l'intérieur d'un projet de décret portant création d'un traitement automatisé de données à caractère personnel relatives à des passagers des aéroports français franchissant les frontières extérieures des Etats parties à la Convention signée à Schengen le 19 juin 1990 ;   Vu le traité instituant la Communauté européenne, notamment son article 62, ensemble la convention du 19 juin 1990 d'application de l'accord signé à Schengen le 14 juin 1985 entre les gouvernements des Etats de l'Union économique Benelux, de la République fédérale d'Allemagne et de la République française relatif à la suppression graduelle des contrôles aux frontières communes dont la ratification a été autorisée par la loi n° 91-737 du 30 juillet 1991 ;   Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et
notamment son article 27 ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par le décret n° 2007-451 du 25 mars 2007 ;   Vu le décret n° 2005-556 du 27 mai 2005 portant création à titre expérimental d'un traitement automatisé de données à caractère personnel relatives à des passagers de l'aéroport Roissy - Charles-de-Gaulle ;   Vu le décret n° 2006-587 du 24 mai 2006 modifiant le décret n° 2005-556 du 27 mai 2005 portant création à titre expérimental d'un traitement automatisé de données à caractère personnel relatives à des passagers de l'aéroport Roissy - Charles-de-Gaulle ;   Après avoir entendu M. François Giquel, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations ;
Emet l'avis suivant   La Commission a été saisie le 14 novembre 2006 par le ministère de l'intérieur d'une demande d'avis sur un projet de décret portant création d'un traitement automatisé de données à caractère personnel relatives à des passagers des aéroports français franchissant les frontières extérieures des Etats parties à la Convention signée à Schengen le 19 juin 1990.   Le nouveau traitement dénommé PARAFES généralise et pérennise les expérimentations menées depuis 2005 par le ministère de l'intérieur dans le cadre du programme PEGASE, autorisé par le décret du 27 mai 2005.  Il vise à collecter et à conserver dans une base centrale les empreintes digitales des passagers aériens qui le souhaitent, afin de leur permettre d'emprunter un dispositif de passage rapide des frontières extérieures de l'espace Schengen, dans tous les aéroports français internationaux qui peuvent, de façon facultative, mettre en place ce dispositif.  Ce traitement concernerait environ cent mille voyageurs aériens fréquents.   Le passager empruntera un sas de passage rapide, dont l'ouverture est commandée par l'apposition de la bande à lecture optique (dite MRZ) de son passeport sur un lecteur , qui déterminera si la personne est bien inscrite au programme.  A l'intérieur du sas, il posera ses doigts sur un lecteur biométrique, et ces empreintes seront alors comparées à celles qui auront été préalablement enregistrées, lors de son inscription, dans une base de données centrale.  La
reconnaissance du voyageur permettra l'ouverture de la seconde porte du sas et donc le passage de la frontière. Simultanément, l'identité du voyageur fera l'objet d'une interrogation systématique du fichier des personnes recherchées et du système d'information Schengen, de manière à ce que les modalités réglementaires des contrôles aux frontières soient respectées.   Dans la mesure où il fait appel à un dispositif biométrique, la Commission considère que ce traitement relève du 2° du I de l'article 27 de la loi du 6 janvier 1978 modifiée.
Sur les bilans des expérimentations précédentes   La Commission a expressément demandé, dans ses délibérations du 10 février 2005 et du 16 mars 2006, de disposer d'un bilan détaillé et précis des résultats des expérimentations menées.  Celles-ci avaient notamment pour objectifs de tester la performance du système d'authentification biométrique choisi, de mesurer les bénéfices que l'automatisation partielle du contrôle du passage aux frontières est susceptible d'apporter et d'étudier son impact sur les passagers s'y soumettant volontairement.  La Commission a également demandé à être tenue informée des avantages et des inconvénients précis retirés du recours à une base centrale, par rapport à l'emploi d'une carte à puce.   La Commission constate qu'elle ne dispose toujours pas aujourd'hui d'une évaluation globale, reposant sur des critères et des objectifs bien identifiés.  Compte tenu des enjeux en termes de protection des données personnelles que comportent la collecte et l'enregistrement des empreintes digitales dans une base centrale, elle regrette l'absence de tels éléments d'information, qui lui permettraient d'apprécier précisément le caractère adéquat et proportionné du dispositif retenu pour la généralisation.   La Commission considère, de manière générale, que la présentation de l'évaluation décidée est nécessaire avant de procéder à la généralisation d'un dispositif, et, en particulier, pour permettre à la CNIL d'émettre un avis pleinement motivé sur le projet
de décret qui lui est soumis.   Dans cette optique, la Commission formule les observations suivantes.
Sur les finalités du traitement et la mise en place de la base de données biométriques   Si chacune des finalités assignées au traitement PARAFES - améliorer le contrôle de la police aux frontières sur les voyageurs aériens et faciliter un passage rapide des frontières extérieures des Etats parties à la convention Schengen - est légitime, la Commission constate que l'objectif principal est bien le passage plus rapide des frontières, sur la base du volontariat, pour "certains passagers qui ne présentent guère de risques du point de vue de la sécurité", comme l'indique le Rapport au Premier ministre qui accompagne le projet de décret, en vue d'un plus grand confort des voyageurs concernés, d'une meilleure image des aéroports et de l'attractivité de la France dans les relations d'affaires internationales.  Il devrait en résulter aussi des gains de productivité pour la police aux frontières.   Ce passage plus rapide des personnes souscrivant au programme PARAFES doit bien entendu se faire dans le respect des règles de fiabilité et de sécurité des contrôles aux frontières qui résultent notamment des obligations européennes, et qui sont appliquées d'ores et déjà à tous les voyageurs.   La Commission considère à cet égard, ainsi qu'elle l'a rappelé dans de nombreuses délibérations, que la mise en place d'une base centrale de données biométriques ne peut être admise que "dans la mesure où des exigences impérieuses en matière de sécurité ou d'ordre public le justifient".   La
Commission rappelle aussi que, dans ses avis précédents, elle avait souligné que l'inscription des empreintes digitales du voyageur dans une carte à puce individuelle et son utilisation comme moyen d'authentification biométrique présentaient de moindres risques par rapport à la protection des données à caractère personnel que la création d'une base centrale.   En ce qui concerne le nouveau dispositif, la Commission prend acte de la suppression de la carte d'appartenance au programme et de son remplacement par un système de lecture de la bande optique du passeport, en tant que moyen d'accès au sas.  Mais elle estime que l'utilisation nouvelle du passeport en tant que moyen d'accès au sas peut se combiner avec celle d'une carte à puce individuelle à l'intérieur du sas et que cela ne peut que réduire les risques, qui avaient pu être évoqués antérieurement, de falsification de la carte à puce, puisqu'il serait nécessaire de falsifier les deux documents pour franchir la frontière sous une autre identité.   Enfin, la Commission considère qu'un tel dispositif, fondé sur le volontariat, concernant un nombre limité de personnes et mis en oeuvre en particulier pour améliorer, par un passage plus rapide des contrôles aux frontières, le confort des passagers constitue le cadre adapté pour mettre en place des techniques de reconnaissance de l'identité des individus plus protectrices des données personnelles que l'établissement d'une base de données centralisée des empreintes digitales.
Sur le champ d'application du dispositif   La Commission relève que, si l'adhésion au programme demeure volontaire comme dans la phase expérimentale, le champ d'application du dispositif pérennisé, et donc l'extension du traitement PARAFES, ne sont pas précisément définis par le projet de décret.  Le traitement pourrait donc théoriquement s'ouvrir à la totalité des citoyens français, de l'Union européenne ou de certains autres Etats, à la seule condition qu'ils soient majeurs et détenteurs d'un passeport à bande de lecture optique, alors que le ministère de l'intérieur prévoit un nombre de participants d'environ cent mille personnes, sans exposer les critères et les conditions pour adhérer à ce dispositif de passage rapide.   Par conséquent, le champ d'application du traitement est potentiellement beaucoup plus large que la population officiellement visée par le responsable du traitement.  La Commission estime qu'il conviendrait que l'article 1er du projet de décret soit complété des critères précis d'adhésion au dispositif proposé.   Sur l'interconnexion avec le FPR et le SIS   L'interconnexion du fichier PARAFES avec le fichier des personnes recherchées (FPR) et le système d'information Schengen (SIS) constitue une nouveauté par rapport au dispositif expérimenté depuis 2005, qui l'excluait formellement.   La Commission considère que l'interrogation de ces fichiers de police apparaît en elle-même légitime, dès lors qu'elle permet d'harmoniser les conditions de contrôle
automatique des passagers empruntant le sas rapide avec celles du contrôle réglementaire classique opéré par les agents de la police de l'air et des frontières.  Elle admet également qu'une interrogation systématique de ces fichiers, en temps réel, est plus efficace.   La Commission, afin de lever toute ambiguïté, estime que le projet de décret devrait être complété pour mieux définir et limiter les modalités d'interconnexion de ces fichiers.  Elle propose de reformuler la première phrase du paragraphe 2 de l'article 4, par exemple sous la forme suivante :  "Des dispositions techniques sont prises pour que le traitement PARAFES - systématiquement le fichier des personnes recherchées et le système d'information Schengen, dans ce seul sens, sur la base des seules données alphanumériques, afin de ne connaître que le statut "connu, inconnu ou signalé" de la personne en cause".