AgentPublic/cnil huggingface dataset:
-         si   une procédure disciplinaire ou des poursuites judiciaires sont engagées à   l'encontre de la personne mise en cause ou de l'auteur d'une alerte abusive,   les données sont conservées jusqu’au terme de la procédure ;
 
 
-         les   données faisant l'objet de mesures d'archivage sont conservées, dans le cadre   d'un système d'information distinct à accès restreint, pour une durée   n'excédant pas les délais de prescription applicables.
 
La   Commission estime que ces durées de conservation ne sont pas excessives au   regard de la finalité poursuivie par le traitement conformément aux   dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée.
S’agissant des   transferts de données transfrontaliers, la Commission relève que les   transferts réalisés vers la maison mère du groupe ALCOA  ont pour   finalité la mise en œuvre d’un dispositif d’alerte professionnelle. Ils sont encadrés par    :
-         un contrat rédigé sur le modèle des clauses   contractuelles élaborées par la Commission européenne relatives aux   transferts de données de responsable de traitement à sous-traitant.
S’agissant des   transferts de données transfrontaliers, la Commission relève que les   transferts de données réalisés vers un prestataire établi aux Etats-Unis ont   pour finalité la mise en œuvre d’un dispositif d’alerte professionnelle. Ils   sont encadrés  par :
-un contrat rédigé sur le modèle des clauses contractuelles élaborées par   la Commission européenne relatives aux transferts de données de responsable   de traitement à   sous-traitant.
 Autorise, conformément à la présente délibération,  la société HOWMET SAS à mettre en œuvre le traitement susmentionné.
La Présidente
Le Vice-Président délégué,
 
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par la société EDUKYS SAS d’une demande d’autorisation  concernant un traitement automatisé de données à caractère personnel ayant  pour finalité la mise en œuvre d’un système d’aide à l’évaluation et à la  sélection des risques en matière d’octroi de prêts étudiants via le  financement participatif ;
Vu la convention n° 108 du Conseil de l’Europe pour la  protection des personnes à l’égard du traitement automatisé des données à  caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du  24 octobre 1995 relative à la protection des personnes physiques à l’égard du  traitement des données à caractère personnel et à la libre circulation de ces  données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à  l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu la loi n° 2014-1 du 2 janvier 2014 habilitant le  Gouvernement à simplifier et sécuriser la vie des entreprises ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour  l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique,  aux fichiers et aux libertés ;
Vu le décret n° 2014-1053 du 16 septembre 2014 relatif au  financement participatif ;
Vu l’ordonnance n° 2014-559 du 30 mai   2014 relative au financement participatif  ;
Vu la délibération no 2008-198 du 9 juillet 2008 modifiant  l’autorisation unique n° AU-005 relative à certains traitements de données à  caractère personnel mis en œuvre par les établissements de crédit pour aider à  l’évaluation et à la sélection des risques en matière d’octroi de  crédit ;
Après avoir entendu M. Jean-Luc VIVET, commissaire, en  son rapport, et M. Jean-Alexandre   SILVY, commissaire du Gouvernement, en ses observations,
 
Formule les observations suivantes :
 
La société EDUKYS a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation d’un traitement automatisé de données à caractère personnel dont la finalité est d’apporter une aide à la décision dans le cadre de l’examen des demandes d’étudiants souhaitant obtenir des prêts personnels pour financer leurs études.
La Commission observe que ce traitement a ainsi pour objet de qualifier les demandes qui correspondent à un niveau de risque de défaillance jugé satisfaisant. Il est, par voie de conséquence, susceptible de conduire à l’exclusion, au moins de façon temporaire, d’une personne du bénéfice d’un contrat en dehors de toute disposition législative ou réglementaire le prévoyant.
A ce titre, la Commission considère qu’il y a lieu de faire application des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée qui prévoit que doivent être autorisés par la CNIL les traitements susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un contrat en l’absence de toute disposition législative ou réglementaire.
 
La Commission rappelle qu’elle a adopté une autorisation unique (AU-005) relative à certains traitements de données à caractère personnel mis en œuvre par les établissements de crédit pour aider à l’évaluation et à la sélection des risques en matière d’octroi de crédit. 
 
Elle observe cependant que la société EDUKYS ne rentre pas dans le champ de l’autorisation unique AU-005 modifiée par la délibération n°2008-198 du 9 juillet 2008 dès lors qu’elle n’a pas le statut d’établissement de crédit mais d’intermédiaire en financement participatif.
 
Sur la finalité du traitement :
En France, le financement participatif (ou  crowdfunding ) permet de récolter des fonds, généralement de faibles montants, auprès d'un large public en vue de financer un projet. Afin d’accélérer la dynamique du financement participatif tout en veillant à protéger les contributeurs (donateurs, prêteurs ou investisseurs), la France s’est doté d’un cadre juridique fixé par l’ordonnance n° 2014-559 du 30 mai 2014 relative au financement participatif et le décret n° 2014-1053 du 16 septembre 2014 relatif au financement participatif.
 
En l’espèce, la société EDUKYS immatriculée à l’ORIAS a le statut d’intermédiaire en financement participatif (IFP) et doit à ce titre respecter le cadre fixé par l'ordonnance n°2014-559 du 30 mai 2014 et son décret d’application n° 2014-1053 du 16 septembre 2014.
 
La société EDUKYS, en qualité d’IFP souhaite proposer une plateforme de financement participatif dédiée aux prêts étudiants dont la finalité est de mettre en relation des étudiants à la recherche d’une solution de financement de leurs études, avec des particuliers prêts à financer ces étudiants via des contrats de prêts avec intérêts. Les contrats de prêts ne peuvent dépasser le montant de 10.000 euros par projet sur une durée de sept ans.
Ce traitement automatisé de données à caractère personnel a pour objet, d’une part, d’évaluer, pour chaque étudiant qui présente un projet de financement de ses études, le risque statistique de défaillance qui lui est attaché et, d’autre part, de sélectionner les demandes qui correspondent à un niveau de risque de défaillance jugé satisfaisant. 
Le processus de sélection des projets d’étudiants se déroulera en deux phases :
 
-       Une phase de vérification des pièces justificatives, de l’identité du porteur de projet et de contrôle de cohérence des éléments déclarés afin notamment de détecter des anomalies.
-       Une phase d’application du modèle de score de la société EDUKYS qui permet d’identifier les caractéristiques personnelles des étudiants qui paraissent différencier le mieux la population des emprunteurs défaillants de ceux qui ne font pas défaut.
 
Conformément à l’article 10 de la loi du 6 janvier 1978, le résultat du score ne peut, en toute hypothèse, avoir qu’un caractère indicatif lorsqu’il ne conclut pas à l’attribution du crédit sous la seule réserve de la production de pièces justificatives.
 
Sur la nature des données traitées :
 
La Commission relève qu’au regard de l’activité de financement participatif dédiée aux prêts étudiants, la société EDUKYS prend en compte les variables suivantes pour établir la note de score:
a) Sur la situation personnelle des demandeurs de crédit (les futurs signataires du contrat de crédit) : âge, nationalité (sous la forme : français, ressortissant d'un autre Etat de l'Union européenne, autre nationalité), capacité juridique, situation maritale (sous la forme : célibataire, veuf, marié, autre vie de couple), régime matrimonial ou afférent au PACS, nombre d'enfants, département de résidence, type d'habitation, situation de logement (sous la forme : propriétaire, locataire, hébergé à titre gracieux, logé par l'employeur, accédant à la propriété), ancienneté dans le logement, niveau d’études et filière suivie, situation professionnelle (contrat d’apprentissage, job étudiant, etc.), ancienneté dans l'emploi, types de téléphone, adresse électronique.
b) Sur la situation économique et financière des demandeurs de crédit : nature et montant des revenus et des charges.
c) Sur la situation bancaire des demandeurs de crédit : domiciliation bancaire, ancienneté bancaire, type de banque, montant du solde des comptes et des flux financiers, encours de l'épargne, mouvements financiers, moyens de paiement et de crédit détenus, fréquence d'utilisation, autres crédits en cours, incidents de paiement, respect des échéances.
d) Sur les garants : âge, nationalité (sous la forme : français, ressortissant d'un autre Etat de l'Union européenne, autre nationalité), situation maritale (sous la forme : célibataire, veuf, marié, autre vie de couple), régime matrimonial ou afférent au PACS, nombre d'enfants, situation de logement (sous la forme : propriétaire, locataire, hébergé à titre gracieux, logé par l'employeur, accédant à la propriété), catégorie socioprofessionnelle, situation professionnelle, ancienneté dans l'emploi, chômage, nature et montant des revenus et des charges, domiciliation bancaire, incidents de paiement. La société EDUKYS s’assure de l’information et du consentement des personnes se portant garants pour les demandeurs de crédit.
e) Sur les caractéristiques de l'opération de crédit : canal d'acquisition du client, montant, durée totale, durée du différé, taux, dépenses financées, garanties, date de mise à disposition des fonds, assurance.
 
La Commission considère que ces catégories de données sont pertinentes au regard de la finalité poursuivie.
 
Les autres caractéristiques du traitement mis en œuvre par la société EDUKYS sont conformes à l’autorisation unique n°AU-005.
 
Dans ces conditions, la Commission autorise la société EDUKYS à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la mise en œuvre d’un système d’aide à l’évaluation et à la sélection des risques en matière d’octroi de prêts étudiants via le financement participatif.
Pour La  Présidente,
Le Vice-Président délégué,
 
Marie-France  MAZARS
Saisie par le ministre des finances et des comptes publics d'une demande d'avis concernant un projet d'arrêté portant modification d'un traitement automatisé d'informations nominatives dénommé  accès au dossier fiscal des particuliers (ADONIS) ,Vu la convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu le code des relations entre le public et l'administration, notamment ses articles L. 113-12, L. 113-13 et L. 114-8 à L. 114-10 ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment les II (4°) et III de son article 27 ;Vu l' ordonnance n° 2005-1516 du 8 décembre 2005 modifiée relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 2010-112 du 2 février 2010 pris en application des articles 9, 10 et 12 de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités
administratives et entre les autorités administratives ;Vu l'arrêté du 5 avril 2002 portant création par la direction générale des finances publiques d'un traitement automatisé d'informations nominatives dénommé  accès au dossier fiscal des particuliers (ADONIS)  ;Vu l'arrêté du 24 juillet 2015 portant création d'un traitement de données à caractère personnel par la direction interministérielle des systèmes d'information et de communication d'un téléservice dénommé  FranceConnect  ;Vu la délibération n° 2015-254 du 16 juillet 2015 portant avis sur un projet d'arrêté portant création d'un traitement de données à caractère personnel par la direction interministérielle des systèmes d'information et de communication d'un téléservice dénommé  FranceConnect  ;Après avoir entendu M. Philippe GOSSELIN, commissaire, en son rapport et M. Jean­ Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :La commission a été saisie, par le ministère en charge des finances et des comptes publics, d'une demande d'avis relative à un projet d'arrêté portant modification d'un traitement automatisé d'informations nominatives dénommé  accès au dossier fiscal des particuliers  (ADONIS). L'objet de la modification projetée est de créer un module applicatif d'interrogation de données, permettant à toute administration saisie d'une démarche par un usager d'accéder à certaines données issues du dossier fiscal des particuliers.Dans la mesure où ce téléservice de l'administration électronique comporte un identifiant des personnes physiques, il relève des dispositions de l'article 27-II (4°) de la loi du 6 janvier 1978 modifiée et doit dès lors être autorisé par arrêté ministériel pris après avis motivé et publié de la commission. Il est en outre prévu que cet arrêté constitue un acte réglementaire unique au sens des dispositions de l'article 27-III de la même loi, permettant ainsi à chaque administration d'utiliser ce module applicatif d'interrogation de données fiscales.
Sur la finalité et les fonctionnalités du traitement :La mise en œuvre d'un module applicatif d'interrogation de données s'inscrit dans le cadre général de la simplification des démarches administratives des usagers. En particulier, ce traitement vise à permettre l'application des dispositions prévues à l' article L. 114-8 du code des relations entre le public et l'administration (CRPA), relatives aux échanges de données entre les administrations saisies de démarches par les usagers.Ces dispositions législatives permettent de dispenser les administrés de fournir certaines données ou pièces justificatives dans le cadre des démarches qu'ils entreprennent, dès lors que ces éléments seraient déjà disponibles auprès d'une autre autorité administrative. Le programme désigné  Dites-le nous une fois  (DLNUF) s'inscrit dans le cadre de ces dispositions.Dans ce contexte, l'article 2 du projet d'arrêté prévoit que ce module a pour finalité de transférer les informations fiscales nécessaires au traitement des démarches de certains administrés.Plus précisément, il se compose de deux interfaces, dénommées  API impôt particulier  et  API universelle , qui doivent permettre d'extraire du traitement ADONIS, mis en œuvre par la direction générale des finances publiques (DGFiP) et relatif au dossier fiscal des particuliers, une copie des données qui y sont enregistrées aux fins de les transférer aux autorités administratives saisies d'une démarche en ligne. Est ainsi créé un système automatisé
d'extraction de données permettant à toute administration saisie par un usager d'obtenir, avec l'accord de ce dernier, les informations fiscales nécessaires à l'instruction de sa saisine directement auprès de la DGFiP et ainsi de le dispenser de fournir ces données.Le même article prévoit que ces API (pour  application programming interface ) ne peuvent être utilisées que dans le cadre d'un téléservice recourant au dispositif FranceConnect, créé par l'arrêté du 24 juillet 2015 susvisé et qui vise notamment, conformément à l'article 2 dudit arrêté, à sécuriser le mécanisme d'échange d'informations entre autorités administratives prévu par les dispositions précitées du CRPA.Ainsi, lorsqu'un usager entreprend une démarche administrative par voie électronique, l'administration peut lui proposer de solliciter directement l'administration fiscale afin d'obtenir les données nécessaires au traitement de sa saisine. Dans ce cas, l'usager est orienté, par l'intermédiaire du dispositif FranceConnect, vers le portail de connexion de la DGFiP (impots.gouv.fr) pour s'authentifier auprès de cette dernière. Le dispositif FranceConnect génère alors un jeton matérialisant la bonne information de l'usager et le recueil de son consentement, prévu à l'article 3 de l'arrêté du 24 juillet 2015 précité. La DGFiP est rendue destinataire de ce jeton et peut alors transmettre à l'administration saisie de la démarche initiale, via ces API, les données fiscales concernées.La commission considère que ce
traitement est dès lors de nature à simplifier les démarches administratives et à améliorer les relations entre les usagers et l'administration. A ce titre, elle estime que les finalités poursuivies sont déterminées, explicites et légitimes, conformément aux dispositions de l'article 6 (2°) de la loi du 6 janvier 1978 modifiée.Dans la mesure où les finalités poursuivies par ce traitement sont spécifiques et distinctes du traitement ADONIS, la commission considère qu'il s'agit d'un nouveau traitement de données à caractère personnel qui répond à des caractéristiques propres. Elle prend dès lors acte que, à sa demande, le ministère s'engage à modifier le titre et l'article 1er du projet d'arrêté afin de faire expressément apparaître le fait que ce dernier porte création d'un nouveau traitement de données et non modification du traitement ADONIS.En outre, elle rappelle que les échanges entre administrations prévus par les dispositions précitées du CRPA doivent pouvoir intervenir quel que soit le mode de saisine de l'usager et que celles-ci n'imposent pas de canal technique particulier pour les démarches susceptibles d'en bénéficier. A cet égard, elle prend acte que le ministère s'engage à étudier durant l'année à venir le développement de mécanismes d'échanges similaires applicables aux démarches entreprises hors voie électronique et sans recourir à FranceConnect.
Sur la nature des données traitées :L'article 3 du projet d'arrêté liste les données à caractère personnel traitées par la DGFiP au sein des interfaces  API impôt particulier  et  API universelle . Il distingue les données fiscales, objet de l'échange, de celles qui sont traitées à des fins de traçabilité des interrogations et des transferts effectués.S'agissant des premières catégories, il s'agit de données  de référence  liées à la situation fiscale des particuliers. Dans la mesure où elles conditionnent l'accès à d'autres services publics, elles sont en effet fréquemment collectées à l'occasion de démarches entreprises par les administrés.Dans le cadre de  l'API impôt particulier , il s'agit des données qui sont le plus fréquemment demandées dans le cadre de diverses démarches administratives, à savoir : le revenu fiscal de référence (RFR) correspondant à l'année de revenu demandée et le nombre de parts ; l'adresse fiscale de taxation à l'impôt sur les revenus (IR) ; les revenus non salariaux ; la situation de famille (marié, pacsé, concubin, divorcé), le détail du nombre de personnes à charge et l'identité des déclarants figurant sur la première page de la déclaration de revenus 2042 ; le montant des pensions alimentaires perçues ; l'existence d'un déficit sur l'année de revenus.Il est en outre prévu une  API universelle , qui contient uniquement certaines des données traitées dans le cadre de l'API  impôt particulier , à savoir la situation de famille, le RFR, le nombre
de parts fiscales et le nombre de personnes à charge. En pratique, il s'agit des données nécessaires à l'instruction des demandes de bourses à l'entrée au collège ou au lycée, qui conditionnent notamment le niveau de l'allocation à attribuer. Ce jeu de données pourra néanmoins être proposé à d'autres autorités administratives dans le cadre de certaines démarches nécessitant systématiquement la collecte de ces mêmes données.S'agissant des secondes catégories de données, il s'agit des données techniques liées à la mise en œuvre et à la traçabilité des actions nécessaires aux échanges de données entre administrations. Ces données concernent l'identification des administrations sollicitant la transmission de données fiscales et l'identification des usagers au sein du traitement ADONIS, nécessaires à la récupération d'une copie des données objets de l'échange.A cet égard, la commission observe que ces données techniques permettent à la DGFiP d'identifier les administrés et de connaître l'ensemble des démarches qu'ils ont entreprises auprès d'autres administrations. Elle rappelle dès lors que ces données ne peuvent en aucun cas être traitées à d'autres fins que de traçabilité et de vérification de la régularité des échanges de données.Au regard de ces éléments, la commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées, conformément à l'article 6 (3°) de la loi  informatique et
libertés .
Sur la durée de conservation des données :L'article 6 du projet d'arrêté prévoit que la durée de conservation des données fiscales traitées par la DGFiP au sein des API projetées, dans le cadre des transferts requis pour l'accomplissement de démarches administratives, est limitée au temps nécessaire au transfert desdites données à l'autorité administrative concernée.Il prévoit en outre que les données dites de traçabilité sont conservées deux ans, ce qui semble justifié au vu de l'écosystème complexe dans lequel intervient le traitement projeté. Au regard de la sensibilité de ces données, la commission rappelle que ces traces doivent faire l'objet de modalités de conservation adaptées.La commission considère que ces durées de conservation sont conformes à l'article 6 (5°) de la loi  informatique et libertés .Le même article prévoit enfin que la durée de conservation des données collectées par l'administration destinataire d'un tel échange de données fiscales est corrélative à la finalité propre de chaque démarche entreprise.
Sur les destinataires des données :L'article 4 du projet d'arrêté prévoit que seuls les agents habilités de la DGFiP peuvent accéder directement aux données traitées pour gérer la traçabilité des utilisations des API.Le même article prévoit que les autorités partenaires habilitées à traiter les démarches et formalités des usagers en vertu d'un texte législatif ou réglementaire sont destinataires des données d'ordre fiscal précitées.A cet égard, la commission relève que chaque autorité administrative (dite  fournisseur de service ) doit, pour chaque type de démarche, conclure une convention de partenariat avec la DGFiP (dite  fournisseur de données ) pour bénéficier de tels transferts de données fiscales. Dans ce cadre, le partenaire doit notamment définir, parmi la palette d'offres personnalisables proposées par le ministère, les catégories de données nécessaires à chaque démarche administrative traitée par chaque entité, en mentionnant les dispositions législatives ou réglementaires l'autorisant à traiter ces données. Il doit en outre préciser dans la convention les références des formalités préalables réalisées auprès de la commission s'agissant des traitements de données utilisés dans le cadre du présent dispositif. Il est enfin prévu que cette convention fixe les rôles et engagements de chaque partie.Après s'être enregistrée auprès du ministère à l'appui de cette convention, toute administration peut ainsi proposer à l'usager recourant au dispositif FranceConnect une