AgentPublic/cnil huggingface dataset:
La société TEMPO FRANCE a saisi la Commission d’une demande d’autorisation relative à un traitement automatisé de données à caractère personnel pour répondre aux obligations légales en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme, ainsi que de gel des avoirs.Les traitements automatisés utilisés par les établissements du secteur bancaire dans le cadre de la lutte contre le blanchiment de capitaux et le financement du terrorisme visent notamment à détecter les transactions financières, réalisées par leurs clients, qui sont susceptibles d’être qualifiées d’infraction de blanchiment ou de financement du terrorisme par les autorités compétentes et qui, de ce fait, doivent, le cas échéant après collecte de renseignements complémentaires et analyse manuelle des éléments du dossier, donner lieu à l’envoi d’une déclaration à la cellule de renseignement financier nationale TRACFIN.L’identification de telles opérations, pour une large part sur la base de critères intégrés dans les traitements automatisés des établissements concernés, peut conduire ces derniers à souhaiter, pour des raisons de prudence, rompre toute relation contractuelle avec certains des clients qui en font l’objet. Ces traitements, peuvent ainsi, du fait de leur portée, conduire à l’exclusion de personnes du bénéfice d’un contrat en l’absence de toute disposition légale prévoyant la mise en œuvre d’une telle exclusion.Dès lors, le traitement considéré relève du 4° du I de
l’article 25 de la loi du 6 janvier 1978 modifiée en 2004 et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.Par sa délibération modificative n° 2005-297 du 1er décembre 2005 susvisée, la Commission a autorisé « certains traitements de données à caractère personnel qui sont mis en œuvre dans des organismes financiers au titre de la lutte contre le blanchiment de capitaux et le financement du terrorisme », sous réserve que les finalités de ces traitements, les catégories de données utilisées et leurs destinataires n’excèdent pas le cadre fixé par l’autorisation unique AU-003, que ces traitements remplissent également les conditions définies dans ce texte et que la CNIL ait reçu un engagement de conformité à l’AU-003.Tout projet de traitement automatisé dont les finalités ou les catégories de données ou de destinataires excèdent le cadre de cette autorisation unique ou qui ne respecterait pas les exigences qui y sont définies, doit, en revanche, faire l’objet d’une demande d’autorisation spécifique présentant et expliquant les différences entre le traitement envisagé et l’autorisation unique.L’analyse des caractéristiques des traitements automatisés visés par la présente demande d’autorisation permet de conclure à la conformité de la demande de traitement au regard de l’AU 003 à l’exception des différences sur les données qui, de ce fait, sont soumises à l’examen de la CNIL.
Sur les données traitées
Les données qui viennent s’ajouter à la liste déjà prévue par l’AU 003 sont les suivantes :
identification des clients : numéro de téléphone ;
vie professionnelle : curriculum vitae des salariés ;
informations d’ordre économique et financier : références bancaires des destinataires de fonds.
La Commission considère, compte tenu de la finalité poursuivie, que la collecte porte sur des données pertinentes, adéquates et non excessives au sens du 3° de l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur l’information et le droit d’accès 
Les clients des transferts de fonds sont informés du traitement dans le reçu qu’ils signent lorsque le transfert est exécuté. Les bénéficiaires sont informés via le site internet : tempo.eu.com. Enfin, les salariés sont informés par voie d’affichage conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978.Les droits d’accès, de rectification et d’opposition s’exercent auprès à l’adresse suivante : 88 avenue Victor Hugo – 75006 PARIS ou par courrier électronique à l’adresse : jphaneuf@tempo.eu.comCes modalités d’exercice des droits n’appellent pas d’observations de la part de la Commission.
Sur les autres caractéristiques du traitement
La finalité du transfert consiste à procéder au paiement des fonds transférés.Les données d’identification des salariés, des clients et des bénéficiaires des transferts de fonds, sont transmises aux différents établissements chargés du décaissement des fonds. La Commission relève que les établissements concernés garantissent un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes à l’égard du traitement dont ces données font l’objet.
Autorise, conformément à la présente délibération, TEMPO FRANCE à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1703571)
La Commission nationale de l'informatique et des libertés,
Saisie par l’association France Terre d’Asile d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion de l’accompagnement des demandeurs d’asile et des mineurs isolés étrangers ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment ses articles L. 226-3, L. 228-3 et L. 312-1 ;
Vu le code de l’entrée et du séjour des étrangers et du droit d’asile ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-François CARREZ, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
France Terre d’asile (FTDA), association « loi 1901 », qui a notamment pour missions de défendre le droit d'asile, de garantir l’application des conventions internationales protégeant les droits des migrants et d’accueillir, accompagner et protéger les mineurs isolés étrangers.
Sur la finalité
L’association FDTA souhaite mettre en place une base de  données lui permettant d’assurer le suivi efficace des demandeurs d’asile domiciliés et accompagnés dans les dispositifs de premier accueil qu’elle gère ainsi que des mineurs isolés étrangers suivis dans le cadre de dispositifs pour mineurs dont la gestion lui a été confiée par les pouvoirs publics, dans le cadre de conventions annuelles ou pluriannuelles.Le traitement permettra également d’établir des statistiques fiables et de justifier, auprès des financeurs publics des dispositifs gérés par FTDA, de l’exécution de ses obligations de suivi et d’accompagnement des personnes accueillies. La Commission estime que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes.La base de données projetée contenant des appréciations sur les difficultés sociales des personnes, il y a lieu de faire application des dispositions de l’article 25-I-7° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les données seront collectées directement auprès des personnes concernées, après recueil de leur consentement.
La Commission constate que pour les mineurs isolés étrangers, le consentement d’un représentant légal ne pourra être systématiquement recueilli car, par définition, les mineurs isolés ne disposent pas d’un représentant légal lors de leur arrivée dans un dispositif d’accueil et les délais pour obtenir la désignation d’un administrateur ad hoc ou d’un tuteur sont très longs. Ainsi, afin de ne pas paralyser la mise en place des mesures de protection et de respecter la personne du mineur isolé étranger, c’est le consentement de ce dernier qui sera recueilli.
Afin d’aider les membres de l’association à organiser et suivre efficacement l’accompagnement des personnes accueillies, seront collectées des données à caractère personnel relatives à :
pour toutes les personnes accompagnées :
l’identité de la personne
sa situation familiale
la perception d’allocations pour les demandeurs d’asile et réfugiés
son éventuelle prise en charge médicale
pour les seuls mineurs isolés étrangers :
la présence de sa famille en France, dans l’Union européenne, dans son pays d’origine
sa prise en charge scolaire et sociale
pour toutes les personnes accompagnées :
l’identité de la personne
sa situation familiale
la perception d’allocations pour les demandeurs d’asile et réfugiés
son éventuelle prise en charge médicale
pour les seuls mineurs isolés étrangers :
la présence de sa famille en France, dans l’Union européenne, dans son pays d’origine
sa prise en charge scolaire et sociale
Il est en outre prévu la possibilité de collecter la photographie de la personne accueillie. Cette collecte sera facultative. La Commission prend acte que, pour les mineurs étrangers accompagnés, la collecte de la photographie permettra d’éditer des documents relatifs à leur prise en charge ou des documents à usage interne à l’association, tandis que, pour les majeurs, cette collecte sera réservée à l’édition de documents nécessaires pour accéder aux dispositifs d’hébergement d’urgence. Elle prend également acte qu’aucun dispositif de reconnaissance faciale ne sera mis en œuvre. 
Sera par ailleurs renseigné le type de vulnérabilité de la personne suivie (femme ou homme isolé ; personne âgée, handicap/maladie ; femme avec enfant mineur) en cochant une case. Il est également prévu une zone libre de « commentaires » relative à cet état de vulnérabilité. La Commission prend acte que l’alimentation de ce champ est facultative et que l’évaluation de la situation sociale de la personne concernée est destinée à orienter prioritairement une personne vers un type d’hébergement ou de dispositif d’accompagnement adapté à sa situation. 
Des données relatives à la prise en charge médicale du migrant pourront également être enregistrées dès lors que l’état de santé de la personne accompagnée pourra donner lieu à une orientation spécifique. La Commission prend acte que la pathologie affectant une personne accompagnée ne sera toutefois pas renseignée.
Enfin, afin de permettre aux intervenants sociaux d’organiser le plus efficacement possible le suivi des mineurs isolés étrangers, des informations concernant leurs suivis éducatifs seront enregistrées (notamment le type de formation suivie, le type de budget alloué au mineur et les accompagnements et entretiens réalisés par les intervenants sociaux).
L’ensemble de ces données étant nécessaires aux fins de suivi et d’accompagnement personnalisé des demandeurs d’asile et des mineurs étrangers isolés et de contrôle, par les autorités, de l’activité des dispositifs conventionnés gérés par FTDA, la Commission considère que la collecte de celles-ci est proportionnée et pertinente au regard des finalités poursuivies. 
La Commission rappelle toutefois la nécessité de ne recueillir que les données strictement nécessaires à l’appréciation de la situation sociale de la personne accueillie et accompagnée et à son orientation envers les dispositifs les plus adaptés à celle-ci.
Sur les destinataires
Les données enregistrées dans la base ne seront accessibles qu’aux seuls salariés de l’association qui assurent l’accueil et le suivi des demandeurs d’asile ou des mineurs, à leur chef de service et aux salariés des directions thématiques du siège social de l’association. La Commission relève que l’étendue des accès aux données enregistrées dans la base sera fonction des habilitations des utilisateurs.Ainsi, les salariés des directions thématiques du siège social de l’association disposeront d’un profil d’administrateur général leur conférant accès à l’ensemble des données de la base. En revanche, les salariés travaillant au sein d’un dispositif d’accueil et de suivi local n’auront accès qu’aux données relatives aux personnes suivies au sein de ce dispositif particulier.La Commission relève par ailleurs que certaines administrations pour lesquelles l’association gère un dispositif conventionné (notamment les Conseils généraux, l’Office Français d’Immigration et de l’Intégration (OFII), la Direction Régionale et Interdépartementale de l'Hébergement et du Logement. (DRIHL)) ainsi que les services de l’aide sociale à l’enfance, autorité de tutelle des établissements d’accueil des mineurs étrangers isolés gérés par FTDA, seront également destinataires de données confidentielles ou de statistiques afin notamment d’adapter l’accueil de ces migrants sur le territoire. Ces organismes n’auront pas d’accès direct à la base de données envisagée, mais pourront recevoir communication de
données de portée générale et collective, transmises par les responsables des dispositifs de suivi.La Commission rappelle la nécessité de sécuriser les supports contenant ces données et leurs modes de transmission.Au regard de ces éléments, la Commission considère que ces personnes ont toutes un intérêt légitime à être destinataires, dans la limite du besoin d’en connaître, des données traitées.
Sur l’information et le droit d’accès 
Les personnes accueillies et accompagnées par FTDA seront individuellement informées de leurs droits oralement, au moment de leur entrée dans le dispositif de suivi, ainsi que par des mentions écrites sur le contrat de prise en charge.La Commission relève que les contrats de prise en charge seront traduits dans les principales langues parlées par les personnes suivies dans les dispositifs gérés par l’association et que, pour les usagers parlant d’autres langues, il sera fait appel à des interprètes en début de prise en charge. La Commission estime que cette traduction dans une langue étrangère comprise par la personne concernée lors du premier contact est à même de garantir l’effectivité de cette information.Le responsable de traitement procèdera également à l’information des personnes concernées par voie d’affichage. Les mentions d’information sur les affiches seront rédigées en français et en anglais.Les personnes seront de la même manière informées des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition, qu’elles pourront exercer auprès du siège de l’association FTDA, 24 rue Marc Seguin 75018 Paris.Elle considère que l’information ainsi délivrée aux personnes concernées par le traitement est conforme à l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
La Commission relève que le responsable du traitement prend toutes précautions utiles pour préserver la sécurité des données et, notamment, empêcher qu’elles ne soient déformées ou endommagées ou que des tiers non autorisés y aient accès. Le responsable de traitement s’assure que les postes des utilisateurs de la base de données bénéficient d’un support technique permettant la correction de failles de sécurité et de défauts.Les données sont ainsi stockées sur des serveurs extérieurs, gérés par la société EthicWeb. Tous les serveurs de ce prestataire sont hébergés dans le Data center de la société Netissime qui est en charge de la sécurité des locaux. Cette société utilise un dispositif biométrique (empreintes digitales), qui a fait l’objet des formalités préalables idoines auprès de la Commission, pour protéger les accès aux serveurs situés dans le Data Center. Ce dispositif biométrique est une mesure complémentaire à la vidéosurveillance des locaux. La base de données ainsi que les sauvegardes sont chiffrées selon l’état de l’art et les accès aux outils informatiques d’administration sont sécurisés.Des profils d’habilitation sont définis. Le contrôle d’accès logique se fait par compte usager et par certificat logiciel d’authentification, en respectant les recommandations de la Commission. Les droits administrateurs locaux pour chacun des sites sont attribués par deux personnes identifiées de l’administration générale.Les personnes habilitées font l’objet d’une clause
contractuelle avec engagement de confidentialité.Une traçabilité est présente par une journalisation des accès à l’application et à la consultation des données. À ce titre, les informations collectées sont un horodatage de connexion et de déconnexion ainsi que l’horodatage de l’accès aux données.Les mesures de sécurité mises en place sont donc conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données collectées sont conservées en base active pendant la durée du suivi et de l’accompagnement au sein du dispositif d’accueil. À compter de la date de sortie de la personne du dispositif de suivi, les données sont conservées pendant deux ans en base inactive afin de permettre aux personnes accompagnées par l’association d’avoir accès, en cas de besoin et sur demande, à leur dossier, après la fin de leur prise en charge. La Commission prend acte que les salariés de l’association ne consulteront les données ainsi désactivées que lorsqu’une personne sortie du dispositif demandera à accéder à son dossier. À l’issue de ce délai de deux ans, les données sont automatiquement purgées de la base de données.Compte tenu de ces éléments, la Commission considère que la durée de conservation est conforme aux dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée.
Autorise, conformément à la présente délibération, l’association France Terre d’Asile à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1767465)
La Commission nationale de l'informatique et des libertés,
Saisie par l’association ESATITUDE Menton d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion de l’accompagnement des personnes suivies ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment son article L. 312-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-6° et 25-I-7°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
ESATITUDE Menton est un établissement d'accompagnement social et professionnel de personnes handicapées.Cette structure fait partie du réseau ESATITUDE de l’ADAPEI des Alpes-Maritimes. 
Sur la finalité
Il s’agit de permettre la gestion de l’accompagnement des personnes suivies, et notamment : 
de recenser les besoins des personnes ; 
d’améliorer l’évaluation des besoins, la prise en charge sanitaire et médico-sociale, ainsi que le suivi des personnes présentant un handicap, en permettant le partage sécurisé entre les acteurs médicaux, paramédicaux et sociaux de l’association, des informations nécessaires à une prise en charge coordonnée et adaptée aux besoins des personnes ;
d’améliorer la qualité, la coordination et la continuité de la prise en charge entre tous ces intervenants, en fonction des besoins des personnes handicapées, identifiées comme prioritaires ;
de favoriser l’autonomie des personnes, par un accompagnement médico-social adapté ;
de favoriser les liens affectifs et familiaux, la formation, l’emploi, l’accès aux soins et aux prestations sociales, en accompagnant les personnes handicapées ou leurs familles dans les relations et les démarches à effectuer auprès des personnes et services compétents des partenaires concernés ;
d’établir des statistiques à partir de données préalablement anonymisées afin de produire des indicateurs d’activité.
Le traitement peut faire apparaître, directement ou indirectement, des données relatives à la santé qui sont collectées, après le recueil du consentement exprès des personnes concernées ou de leurs représentants légaux.
La Commission estime qu'il y a lieu de faire application de l'article 25-I-6 de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements dans lesquels figure le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques.
Il convient également de faire application de l’article 25-I-7° de la loi du 6 janvier 1978 modifiée, qui soumet à autorisation les traitements comportant des appréciations sur les difficultés sociales des personnes.
La Commission considère la finalité poursuivie comme déterminée, explicite et légitime.
Sur les données traitées
Les catégories de données collectées concernant les usagers sont relatives : 
à leur identité (nom, prénom, adresse, date et lieu de naissance, et de manière facultative la photographie) ;
à leur  vie personnelle (habitude de vie, situation familiale) ;
à leur vie professionnelle (CV, situation professionnelle, scolarité, formation, distinction) ;
à leur situation économique et financière ;
à leur santé ;
au numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (numéro de sécurité sociale), dans le cadre d’échanges avec les organismes d’assurance maladie ;
à des appréciations sur leurs difficultés sociales.
Ces données apparaissent pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Seul le personnel dûment habilité de l’association a accès aux informations concernant les usagers. La Commission prend acte que l’habilitation à consulter des données de santé ne peut être attribuée qu’à des personnes soumises au secret professionnel, et dans la stricte limite de leurs missions. La Commission considère que ces destinataires présentent un intérêt légitime à connaître de ces données.
Sur l’information et les droits des personnes
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par l’envoi d’un courrier personnalisé.La Commission considère que cette modalité d’information des personnes est satisfaisante. Elle rappelle que cette information doit être fournie selon des modalités adaptées à leur état. Les droits d’accès et de rectification s’exercent auprès de l’ESATITUDE Menton par courrier, fax ou courriel. La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité