AgentPublic/cnil huggingface dataset:
Sur les droits des personnes
La Commission prend acte de ce que le droit d’information prévu à l’article 32 I de la loi du 6 janvier 1978 modifiée et le droit d’opposition prévu à l’article 38 de cette même loi ne s’appliquent pas au présent traitement.
Les droits d’accès et de rectification s’exerceront auprès de la Commission nationale de l’informatique et des libertés conformément aux dispositions de l’article 42 de la loi du 6 janvier 1978 modifiée.
Le Président
Alex TURK
(Demande d’autorisation 1286261)
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la directive n° 2003/6/CE du 28 janvier 2003 sur les abus de marché ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment son article 25 ;
Vu le code monétaire et financier, notamment ses articles L. 621-15 et L. 621-17-2 à L. 621177 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 précitée ;
Vu le règlement général de l’Autorité des marchés financiers (AMF), notamment ses articles 315-42 à 315-44 et 621-1 à 622-2 ;
Vu l’instruction AMF n° 2008-05 du 29 juillet 2008 relative à la déclaration d’opérations suspectes prise en application de l’article 315-42 du Règlement général de l’AMF ;
Vu la demande d’autorisation déposée par Crédit Agricole SA pour le compte des établissements du groupe Crédit Agricole et relative à un traitement automatisé de données personnelles ayant pour finalité l’identification des opérations susceptibles de constituer des opérations d’initiés au sens de l’article L. 621-17-2 du code monétaire et financier ;
Après avoir entendu M. Jean-Paul AMOUDRY, commissaire, en son rapport, et  Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Crédit Agricole S.A. a saisi la CNIL d’une demande d’autorisation unique qui porte sur la mise en place d’un traitement automatisé de données à caractère personnel dont la finalité est de détecter, parmi les transactions sur instruments financiers passées par Crédit Agricole Titres pour le compte des clients du groupe Crédit Agricole, celles qui sont susceptibles de constituer des opérations d’initiés et doivent, à ce titre, donner lieu, après réalisation d’une analyse manuelle complémentaire, à l'envoi d'une déclaration de soupçon à l’Autorité des marchés financiers (AMF).
Le traitement est mis en œuvre pour le compte non seulement de Crédit Agricole S.A., mais aussi des Caisses régionales de Crédit Agricole Mutuel, de LCL et d’autres établissements du groupe Crédit Agricole.
Sur la procédure applicable
L'identification d’opérations d’initiés, sur la base de critères intégrés dans le traitement automatisé, peut conduire à souhaiter, pour des raisons de prudence, rompre toute relation contractuelle avec leurs auteurs. Le traitement, peut ainsi, du fait de sa portée, conduire à l'exclusion de personnes du bénéfice d'un contrat en l'absence de toute disposition légale prévoyant la mise en oeuvre d'une telle exclusion.
Dès lors, ce traitement relève du 4° du I de l'article 25 de la loi du 6 janvier 1978 modifiée et doit être autorisé par la CNIL. 
La demande d’autorisation est présentée par Crédit Agricole S.A. pour le compte des établissements du groupe Crédit Agricole qui mettront en œuvre le traitement pour leur compte et sous leur responsabilité.
En vertu de l'article 25-II de la loi du 6 janvier 1978 modifiée, la Commission peut autoriser par une décision unique une catégorie de traitements répondant aux mêmes finalités, portant sur des catégories de données identiques et ayant les mêmes catégories de destinataires. Il en résulte que chaque établissement du groupe Crédit Agricole qui mettra en œuvre un traitement conforme à cette décision unique d'autorisation pourra déclarer ce traitement en adressant à la Commission un engagement de conformité par lequel il s'engage à respecter les termes de la décision de la CNIL.
Sur les finalités du traitement
Le traitement automatisé a pour objet de détecter plusieurs signaux potentiellement constitutifs d’opérations d’initiés. Leur détection s’effectue a posteriori par comparaison, pour un compte-titres donné, entre des indicateurs relatifs au nombre ou au montant des transactions réalisées en bourse pendant un mois et la valeur moyenne de ces indicateurs pour les douze derniers mois.
Des alertes sont ainsi produites en présence :
- de comptes restés inactifs durant plusieurs mois qui présentent subitement des volumes importants de transactions ;
- de comptes qui enregistrent des opérations inhabituelles au regard des pratiques antérieures ;
- de comptes connaissant des variations d’activité fortes et soudaines ;
- de transactions importantes effectuées à la vente ou à l’achat, simultanément ou préalablement à d’importantes variations de cours ou de volume constatées pour une action ou une obligation donnée.
Les signalements d’opérations d’initiés potentielles sont transmis pour analyse au Responsable Conformité de l’établissement responsable du traitement, qui peut lancer des requêtes spécifiques pour disposer d’informations statistiques synthétisant l’activité constatée sur un compte-titres.
Les données enregistrées peuvent également faire l’objet d’une exploitation statistique pour mettre à jour le paramétrage du système d’émission automatique d’alertes.
Sur les catégories de données traitées
Les listes d’opérations à analyser ainsi obtenues comportent les catégories de données suivantes :
- les nom, prénom ou la raison sociale du détenteur du compte,
- le type de détenteur,
- le numéro du compte-titres,
- la date d’ouverture et la catégorie du compte,
- les date et motif des alertes,
- la montant des transactions ayant généré l’alerte,
- le nombre de titres faisant l’objet des transactions en cause,
- le détail des mouvements (valeurs concernées, caractéristiques de l’ordre donné et de l’ordre exécuté).
Sont également enregistrés :
- les nom, prénom et titre des destinataires des signalements et des personnes habilitées à consulter le système,
- les dates de début et de fin de leur habilitation,
- les données de connexion au système informatique.
Les informations sont conservées cinq ans à compter de la réalisation de l’opération.
Sur les destinataires des informations
Les destinataires de tout ou partie des données sont :
- le Responsable Conformité de l’établissement responsable du traitement, pour les seules données relatives aux opérations effectuées par les clients de cet établissement ;
- les responsables de la gestion des titres de l’établissement ;
- le Responsable Conformité de Crédit Agricole Titres, société chargée de la passation des ordres en bourse pour le compte du groupe ;
- le Responsable Conformité de Crédit Agricole SA, organe central du groupe chargé de l’administration et du paramétrage du système informatique ;
- en cas d’envoi d’une déclaration de soupçon à l’AMF, les agents habilités de cette autorité ainsi que ceux de la Direction générale de l’établissement concerné.
Sur le régime de droit d’accès
Le droit d’accès s’exerce auprès du Responsable Conformité de l’établissement teneur du compte du requérant.
Une clause de la convention de comptes de titres informe les clients de la finalité du traitement ainsi que des modalités d’exercice du droit d’accès. 
L’ensemble de ces dispositions est adéquat, pertinent et non excessif au regard des finalités déclarées et n’appellent pas d’observation particulière.
Autorise, dans ces conditions, les établissements du groupe Crédit Agricole à mettre en œuvre le traitement automatisé de détection des alertes d’opérations d’initiés potentielles, sous réserve qu’ils adressent à la CNIL, conformément aux dispositions de l’article 25-II de la loi du 6 janvier 1978, un engagement de conformité valant engagement de respecter les termes de la présente autorisation de la CNIL.
Le Président,
Alex TURK
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés modifiée, notamment ses articles 15 et 19 ;
Vu la délibération n°04-001 du 3 février 2004 portant élection du président de la Commission nationale de l'informatique et des libertés ;
Vu la délibération n°2009-093 du 12 février 2009 portant élection du vice-président et du vice-président délégué de la Commission nationale de l’informatique et des libertés ; 
Vu la délibération n°04-070 du 9 septembre 2004 portant délégation d’attributions au président de la Commission nationale de l’informatique et des libertés ;
Vu la délibération n°04-078 du 5 octobre 2004 portant délégation d’attributions au vice-président délégué de la Commission nationale de l’informatique et des libertés
Après avoir entendu Madame Claire DAVAL, en son rapport et Madame Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Article 1er. Il est donné délégation au président de la Commission nationale de l’informatique et des libertés pour exercer les attributions suivantes :
Formalités préalables à la mise en œuvre des traitements de données personnelles
- la délivrance du récépissé de déclaration prévu à l’article 23.I alinéa 3 de la loi du 6 janvier 1978 ;
- la délivrance du récépissé de déclaration prévu par l’article 23 de la loi du 6 janvier 1978 portant la mention d’une interdiction de transfert de données, en application de l’article 70 alinéa 1 de la même loi ;
- l’autorisation d’un traitement de données ayant pour fin la recherche dans le domaine de la santé dans les conditions prévues par l’article 54 alinéa 4 de la loi du 6 janvier 1978. Toutefois, la Commission reste compétente pour examiner, à la demande du président, celles des demandes d’autorisation qui présenteraient des difficultés ou une complexité particulières ;
- l’autorisation d’un traitement de données de santé à caractère personnel ayant pour fin l’évaluation des pratiques de soins et de prévention , dans les formes et conditions prévues par les dispositions des articles 63, 64 et 65 de la loi du 6 janvier 1978 ; 
Contrôle postérieur à la mise en œuvre des traitements de données personnelles 
- la réception des réclamations, pétitions et plaintes relatives à la mise en œuvre des traitements de données à caractère personnel et l’information de leurs auteurs concernant les suites données à celles-ci prévues à l’article 11.2°.c) de la loi du 6 janvier 1978 ;
- les dénonciations d’infractions pénales au procureur de la République en application de l’article 40 du code de procédure pénale, prévues à l’article 11.e) de la loi du 6 janvier 1978 ;
- les observations écrites et orales effectuées dans les procédures pénales dans les conditions de l’article 52 de la loi du 6 janvier 1978, prévues à l’article 11.e) de la même loi ; 
- l’attribution d’une mission de contrôle mentionnée à l’article 44 de la loi du 6 janvier 1978 aux membres de la CNIL ou à ses agents habilités, prévue à l’article 11.2°.f) de la même loi ;
Association à la politique internationale et communautaire du gouvernement
- sur demande du Premier ministre, l’association à la préparation et à la définition de la position française dans les négociations internationales dans le domaine de la protection des données à caractère personnel, prévue par l’article 11.4° de la loi du 6 janvier 1978 ; 
- sur demande du Premier ministre, la participation à la représentation française dans les organisations internationales et communautaires compétentes dans le domaine de la protection des données à caractère personnel, prévue par l’article 11.4° de la loi du 6 janvier 1978 ; 
Exercice du droit d’accès indirect
la notification au requérant qu’il a été procédé aux vérifications ; 
- la constatation, en accord avec le responsable du traitement, que la communication des données du traitement ne met en cause ni ses finalités, ni la sûreté de l’Etat, ni la défense ou la sécurité publique, conformément aux dispositions de l’article 41 de la loi du 6 janvier 1978 ;
Transfert de données personnelles
- l’autorisation de transfert de données, à l’exception des traitements mentionnés aux I et II de l’article 26 de la loi du 6 janvier 1978, prévue par les dispositions de l’article 69 alinéa 2 de la même loi. Toutefois, la Commission reste compétente pour examiner, à la demande du président, celles des demandes de transfert qui présenteraient des difficultés ou une complexité particulières ;
- la notification à la Commission des communautés européennes et aux autorités de contrôle des autres Etats membres de la communauté européenne des autorisations de transferts prises sur le fondement de l’article 69 alinéa 2 de la loi du 6 janvier 1978, prévue au dernier alinéa du même article ; 
Article 2. En cas de besoin, la délégation est donnée au vice-président délégué pour exercer les attributions énumérées à l’article précédent ; 
Article 3. Les délibérations n°04-070 du 9 septembre 2004 et n°04-078 du 5 octobre 2004 sont abrogées ;
Article 4. Le président est chargé de l’exécution de la présente délibération qui sera publiée au Journal officiel.
Le président 
Alex TURK
Délibération n° 2009-680 du 03 décembre 2009 autorisant la mise en œuvre par l’association CIMADE d’un traitement de données à caractère personnel ayant pour finalité la gestion des dossiers des étrangers assistés dans ses permanences
(demande d’autorisation n° 1277241)
La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment ses articles 8, 9 et 25 ;
Vu le code de l’entrée et du séjour des étrangers et du droit d’asile ; 
Vu le code pénal ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la demande d’autorisation, présentée par l’association CIMADE d’un traitement de données à caractère personnel ayant pour finalité la gestion des dossiers traités dans les permanences de l’association ; 
Après avoir entendu Monsieur Sébastien Huyghe, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du gouvernement, en ses observations ;
Emet l’avis suivant :
Sur les finalités du traitement
La CIMADE est une association « loi 1901 » qui a pour missions d’apporter son expertise et ses conseils juridiques aux migrants et demandeurs d’asile, et notamment d’accompagner et de défendre les droits des étrangers placés en centre de rétention administrative.
Cette association a adressé à la Commission un dossier de formalités préalables relatif à la mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité la gestion des dossiers des étrangers qui se présentent dans ses permanences. La CIMADE souhaite en effet enregistrer dans un traitement informatique, dénommé « base de données migrants et demandeurs d’asile », les données relatives aux étrangers qui se présentent dans les permanences de l’association afin de les suivre et de les assister dans leurs démarches auprès des administrations (obtention de carte de séjour, de visa, de la nationalité française ou durant la procédure devant l’OFPRA et la Cour Nationale du Droit d’Asile) ou pour les recours qu’ils forment devant les juridictions (contre les interdictions de territoire, les refus de séjour ou les arrêtés d’expulsion). Ce traitement concernerait environ 3 500 personnes par an.
La Commission prend acte de ces finalités d’information et d’assistance juridique des étrangers qui sollicitent l’association. Elle prend également acte ce que le traitement projeté permet l’établissement de statistiques anonymes sur la base des informations qui y sont enregistrées, afin que la CIMADE puisse rendre compte de ses actions auprès de ses financeurs et aux fins de rédaction de ses rapports annuels. 
Sur les catégories de données enregistrées
La Commission relève que la CIMADE souhaite enregistrer dans ce traitement des données relatives aux infractions commises par les personnes concernées ou aux condamnations prononcées à leur encontre. Ainsi, les données suivantes seraient enregistrées dans le traitement : existence d’une interdiction de territoire français, existence d’une mesure d’éloignement. Or, l’interdiction du territoire français constitue une peine qui peut être prononcée dans les conditions prévues aux articles 131-30 à 131-30-2 du code pénal.
La Commission estime dans ces conditions qu’il y a lieu de faire application des dispositions de l’article 25-I.3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté. Elle rappelle que l’article 9-1° de la loi du 6 janvier 1978 modifiée réserve notamment la faculté de mettre en œuvre des traitements relatifs à des infractions aux personnes morales gérant un service public et agissant dans le cadre de leurs attributions légales.
L’association CIMADE, reconnue d’utilité publique, est chargée d’une mission d’information et d’assistance juridique des étrangers sur le territoire français. Cette mission est notamment consacrée par la convention conclue entre l’association et le ministère chargé de l’immigration en application de l’article R. 553-14 du code de l’entrée et du séjour des étrangers et du droit d’asile (CESEDA), qui prévoit que la CIMADE doit assister les étrangers placés en centre de rétention administrative à exercer effectivement leurs droits. Dès lors, la Commission considère que les missions de la CIMADE relèvent d’une mission de service public. 
En outre, ces données relatives aux condamnations prononcées à l’encontre des personnes concernées apparaissent nécessaires à l’exercice des missions de la CIMADE, dans la mesure où ces mesures répondent à un régime procédural spécifique, que les services de l’association doivent nécessairement connaître afin d’aider les étrangers à exercer leurs droits.
Dès lors, et au regard des dispositions de l’article 9°-1 de la loi du 6 janvier 1978 modifiée, la Commission estime que l’association CIMADE est habilitée à procéder au traitement de telles données relatives aux étrangers qui sollicitent l’assistance de l’association.
La CIMADE souhaite également enregistrer les données suivantes relatives à l’état de santé des personnes concernées : « état de santé nécessitant une prise en charge médicale » et « avis du médecin inspecteur de santé publique » (existence d’une pathologie grave ; nécessité de suivi d’un traitement et durée ; existence d’un traitement dans le pays d’origine). La Commission considère que la collecte de ces données est nécessaire au regard des finalités du traitement, dans la mesure où l’article L. 313-11 du CESEDA prévoit qu’une carte de séjour temporaire portant la mention « vie privée et familiale » est délivrée de plein droit « à l'étranger résidant habituellement en France dont l'état de santé nécessite une prise en charge médicale dont le défaut pourrait entraîner pour lui des conséquences d'une exceptionnelle gravité, sous réserve qu'il ne puisse effectivement bénéficier d'un traitement approprié dans le pays dont il est originaire ».
La Commission relève que ces données sont limitées aux renseignements administratifs strictement nécessaires pour permettre le suivi juridique de la démarche administrative, et sont exclusives de toute appréciation subjective du personnel de la CIMADE ainsi que de toute référence à telle ou telle pathologie.
OU [Elle considère en outre que le traitement de ces données est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice, et qu’il est donc conforme à l’exception prévue par le 5° du II de l’article 8 de la loi du 6 janvier 1978 modifiée.]
OU [Elle considère en outre que le traitement de ces données est en l’espèce justifié par l’intérêt public, dans la mesure où il participe de l’exercice effectif de leurs droits par les étrangers, et qu’il y a donc lieu de l’autoriser en application du IV de l’article 8 de la loi du 6 janvier 1978 modifiée.]
Enfin, les autres données à caractère personnel enregistrées dans le traitement, relatives à l’identification des personnes concernées (nom, prénom, sexe, date de naissance, adresse, date d’entrée en France), à leur situation familiale (situation maritale, enfants) et à leur situation professionnelle, n’appellent pas d’observations particulières de la Commission.
La Commission prend acte de ce que la CIMADE a prévu une durée de conservation maximale de l’ensemble de ces données d’un an après la fin de la procédure dans laquelle elle assiste la personne concernée. Cette durée apparaît en effet nécessaire à la finalité statistique du traitement et aux fins de suivi des dossiers en cas de nouvelle décision administrative affectant les mêmes personnes. 
Sur les destinataires et les sécurités du traitement
La Commission prend acte de ce que les intervenants de chaque permanence n’auront accès qu’aux seules données relatives aux étrangers assistés dans la permanence concernée. Ces intervenants sont soit des permanents de la CIMADE soit des bénévoles ayant suivi un processus de formation et d’intégration préalable au sein de l’association. 
L’accès au traitement sera en effet conditionné à la saisie de clés d’accès individuelles, connues des seuls intervenants et renouvelées périodiquement. La Commission prend acte de ce que cette clé d’accès consiste en un identifiant et un mot de passe individuels, ce dernier étant de neuf caractères et devant contenir des caractères spéciaux, et de ce que l’ensemble des accès au traitement feront l’objet d’une journalisation. Elle relève également que les systèmes informatiques utilisés sont situés dans des locaux sécurisés.
La Commission prend acte de ce que l’habilitation des personnels ayant accès au traitement sera donnée par le siège de la CIMADE, pour une durée égale à la durée du contrat pour ses salariés, et de six mois pour les bénévoles. 
Enfin, la Commission prend acte de ce que deux responsables nationaux de la CIMADE seront habilités à accéder à l’ensemble des données du traitement afin de pouvoir réactiver un dossier clos en cas de survenance d’une nouvelle décision administrative affectant les mêmes personnes. 
Sur les droits des personnes concernées