AgentPublic/cnil huggingface dataset:
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales prévues sur le formulaire de prise en charge ainsi que dans les courriers personnalisés.La Commission considère que ces modalités d’information des personnes sont satisfaisantes. Elle rappelle que cette information doit être fournie selon des modalités adaptées à leur état. Les droits d’accès et de rectification s’exercent auprès de l’Association la Source  par courrier, fax ou courriel. La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
Les données à caractère personnel enregistrées dans le présent traitement sont conservées pendant la période d’accueil ou d’accompagnement de l’usager et pendant une durée complémentaire de deux ans à compter du dernier contact avec ce dernier. Au terme de cette durée, les données sont supprimées, sauf dispositions législatives ou réglementaires  contraires.La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie.
Autorise, conformément à la présente délibération, l’association la Source, à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1661969)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Association Tutélaire des Vosges prise en qualité de mandataire judiciaire à la protection des majeurs exerçant à titre associatif, d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalités  la gestion et le suivi de la représentation juridique des personnes placées par l’autorité judiciaire sous sauvegarde de justice, sous curatelle ou sous tutelle ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment ses articles L. 361-1, L. 471-1 à L. 473-4 et R. 472-1 à R. 472-26 ;
Vu le code civil;
Vu le code de procédure pénale, notamment ses articles 706-112 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25 ;
Vu la loi n°2007-308 du 5 mars 2007 portant réforme de la protection juridique des majeurs;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté nominatif d’agrément du 8 août 2013 du Préfet des Vosges;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
L’Association Tutélaire des Vosges en sa qualité de mandataire judiciaire à la protection des majeurs exerçant à titre associatif au 8, Allée des Blanches Croix à Epinal (88000).Le responsable de traitement exerce la mission de mandataire judiciaire à la protection des majeurs que le juge des tutelles lui confie conformément aux dispositions de l’article L. 471-1 du code de l’action sociale et des familles (CASF).Le responsable de traitement est spécifiquement agréé en tant que tel par le préfet de son département.
Sur la finalité
L’Association Tutélaire des Vosges a saisi la Commission, en qualité de mandataire judiciaire à la protection des majeurs d’une demande d’autorisation afin de mettre en œuvre un traitement de données à caractère personnel ayant pour finalités la gestion et le suivi de la représentation juridique des personnes placées par l’autorité judiciaire sous sauvegarde de justice, sous tutelle ou sous curatelle relevant de son mandat.A ce titre, une gestion administrative et comptable du service de tutelle est nécessaire.Le traitement, justifié par l’intérêt public, peut faire apparaître, directement ou indirectement, les opinions politiques, religieuses ou philosophiques, l’appartenance syndicale ou des données relatives à la santé des personnes. Dès lors, il y a lieu de faire application des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements, automatisés ou non, portant sur de telles données.Il convient également de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.La Commission estime qu’il y a également lieu de faire application de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements portant sur des données parmi lesquelles figure le numéro d’inscription des personnes au répertoire national d’identification des
personnes physiques.La Commission estime, enfin, que le recours à la formalité de l’autorisation se justifie au regard de l’article 25-I-7° de la loi 6 janvier 1978 modifiée pour ce qui concerne sur les difficultés sociales des personnes.
Sur les données traitées
Les données collectées dans le cadre du présent traitement peuvent être, en fonction du type de mesure de protection (sauvegarde de justice, curatelle ou tutelle), du contenu précis de la mesure prononcée par le juge et de la nature des actes à accomplir, relatives :
à l’identification des personnes et, le cas échéant, à celle de leurs conjoints et enfants (nom, prénom, adresse, date et lieu de naissance) ;
à leur vie personnelle (situation familiale) ;
à leur vie professionnelle (situation professionnelle, scolarité, formation) ;
à des informations d’ordre économique et financier (revenus, situation financière, dépenses, recettes, contrôle du budget) ;
aux opinions religieuses, politiques et philosophiques ou à l’appartenance syndicale ;
à la santé ; 
aux infractions, condamnations ou mesures de sûreté, dans les limites prévues par les dispositions législatives en vigueur ;
au numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (numéro de sécurité sociale), uniquement dans le cadre d’échanges avec des professionnels de santé, des organismes de sécurité sociale, de prévoyance ou de retraite, ainsi que des financeurs de prestations sociales ou médico-sociales ;
à des appréciations sur les difficultés sociales des personnes.
Sur les durées de conservation
Les données à caractère personnel enregistrées dans le présent traitement sont conservées jusqu’à la prescription de l’action en reddition des comptes, en revendication ou en paiement diligentée par la personne protégée ou ses héritiers à savoir, en application de l’article 515 du code civil, cinq ans à compter de la fin de la mesure de protection sauf interruption ou suspension de la prescription.  La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie.
Sur l’information et le droit d’accès
Les personnes concernées par le présent traitement sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales sur des notices d’information remises par le responsable de traitement aux personnes concernées lors de l’ouverture de la mesure, et par voie d’affichage.La Commission considère que ces modalités d’information des personnes sont satisfaisantes. Elle rappelle que ces informations doivent être fournies selon des modalités adaptées à leur état.Sauf décision contraire du juge des tutelles, les droits d’accès, de rectification et d’opposition pour motif légitime s’exercent auprès de l’Association Tutélaire des Vosges, par courrier, fax ou courriel.   La Commission considère que ces modalités d’exercice des droits des personnes n’appellent pas d’observation. 
Sur les mesures de sécurité
Autorise, conformément à la présente délibération, l’Association Tutélaire des Vosges, en qualité de mandataire judiciaire à la protection des majeurs exerçant à titre associatif,  à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(demande d’autorisation n° 1740008)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Association des Victimes d’Escroquerie et d’Usurpation du Net (L’A.V.E.U. du Net) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel à des fins d’identification des auteurs d’infractions réalisées au moyen d’Internet ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code pénal, notamment ses articles 226-4-1, 312-10, 434-23 ; 
Vu la loi du 1er juillet 1901 modifiée relative au contrat d’association ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9 et 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés a été saisie, par l’Association des Victimes d’Escroquerie et d’Usurpation du Net (L’A.V.E.U. du Net), d’une demande d’autorisation concernant la mise en œuvre d’un traitement de données à caractère personnel à des fins d’identification des auteurs d’infractions réalisées au moyen d’Internet. 
Cette association, régie par la loi du 1er juillet 1901 susvisée, a fait l’objet d’une déclaration en préfecture, laquelle a donné lieu à une publication officielle au Journal Officiel. Elle a ainsi pour objet de « conseiller, assister et représenter toute personne victime d’usurpation sur Internet dans le cadre de l’article 226-4-1 et de l’article  434-23 du Code pénal et toute personne victime des usurpateurs escrocs sur Internet, que ce soit par le biais d’une escroquerie aux sentiments qui a abouti ou non à une escroquerie financière ou un chantage à la webcam, et ce auprès de tout organisme, autorités répressives, tribunal ou assureur, dans le litige dont cette personne a été victime, des actions de formations et diverses interventions auprès du public afin de faire connaître ces fléaux que sont l’usurpation et l’escroquerie par ce biais sur Internet et leurs conséquences, des activités économiques telles que la facturation de prestations de formation, de signalements afin d’exiger le retrait des contenus, la recherche de faux profils dans une liste d’amis, la recherche d’imposteurs en nombre, etc. ».
Dans ce cadre, le traitement projeté par l’association a pour finalité d’exploiter les données fournies par les adhérents de l’association ainsi que des informations collectées par l’A.V.E.U du Net sur Internet, à des fins d’identification des auteurs  d’infractions. 
La Commission relève que toutes les actions engagées par l’association reposent notamment sur la collecte préalable des procès verbaux de plainte des personnes adhérentes à l’association et présumées victimes d’usurpation d’identité ou d’escroquerie. 
Le traitement projeté porte donc sur des données relatives à des infractions ou condamnations au sens de l’article 9 de la loi du 6 janvier 1978 modifiée.
Il y a donc lieu de faire application des dispositions prévues à l’article 25-I-3° de la loi du 6 janvier 1978 modifiée, qui soumettent à la procédure de l’autorisation par la Commission les traitements portant sur des données relatives aux infractions, condamnations ou mesures de sûreté. 
La Commission rappelle que les traitements portant sur de telles données ne peuvent être mis en œuvre que par les personnes et organismes limitativement énumérés à l’article 9 de la loi du 6 janvier 1978 modifiée : 
les juridictions, les autorités publiques et les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales ; 
les auxiliaires de justice pour les stricts besoins de l’exercice des missions qui leur sont confiées par la loi ;
les personnes morales mentionnées aux articles L. 321-1 et L. 331-1 du code de la propriété intellectuelle, agissant au titre des droits dont elles assurent la gestion ou pour le compte des victimes atteintes aux droits prévus  aux livres Ier, II et III du même code aux fins d’assurer la défense de ces droits. 
La Commission relève que l’association n’appartient à aucune des catégories précitées. 
Elle observe en outre que celle-ci ne peut davantage se prévaloir de la réserve d’interprétation du Conseil constitutionnel formulée dans sa décision du 29 juillet 2004, laquelle permet à une personne de droit privé, lorsqu’elle est victime d’une infraction, de constituer, pour les seuls besoins de l’exercice de son droit au recours, des fichiers d’infractions. Or, le traitement projeté par l’association a pour finalité déclarée d’identifier, à la suite de différentes investigations, des auteurs d’infractions réalisées au moyen d’Internet et transmettre, le cas échéant, le résultat de ces investigations aux autorités compétentes. 
La Commission relève ainsi que le traitement n’a pas pour objet de permettre l’exercice de voies de recours devant les juridictions par les personnes présumées victimes d’infractions, ni même par l’association à des fins d’exercice de ses propres recours.
Dès lors, et sans préjudice des autres caractéristiques du traitement projeté, la Commission estime que l’association l’A.V.E.U. du Net n’est pas habilitée à traiter des données d’infractions, ce qui ne remet pas en cause la possibilité pour l’association d’informer les autorités compétentes sur des faits qu’elle considérerait comme répréhensibles. 
Dans ces conditions, la Commission refuse la mise en œuvre, par l’Association des Victimes d’Escroquerie et d’Usurpation du Net (L’A.V.E.U du Net), d’un traitement de données à caractère personnel à des fins d’identification des auteurs d’infractions réalisées au moyen d’Internet.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1787815)
La Commission nationale de l’informatique et des libertés ; 
Saisie par l’Association de Moyens KLESIA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité de proposer aux bénéficiaires de l’Association de Moyens KLESIA des services personnalisés via la création d’un « WEB services » sur internet ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-6 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire et après avoir entendu les observations de  M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
L’Association de Moyens KLESIA est un groupe de protection sociale regroupant des activités de retraite complémentaire, de prévoyance collective, de santé et d’action sociale des services à la personne, située au 5 à 9, rue Van Gogh à Paris (75012). 
Sur la finalité
Le traitement mis en œuvre a pour finalité de proposer aux bénéficiaires de l’Association de Moyens KLESIA des services personnalisés via la création d’un « WEB services » sur internet.Ils pourront accéder à leurs contrats et aux informations les concernant, directement en ligne (par exemple, à l’état d’avancement de leurs remboursements). La Commission considère la finalité poursuivie comme déterminée, légitime et explicite. L’Association de Moyens KLESIA a saisi la Commission d’une demande d’autorisation sur le fondement de l’article 25-I-6 de la loi du 6 janvier 1978 modifié qui prévoit que sont mis en œuvre après autorisation de la Commission, les traitements portant sur des données parmi lesquelles figure le NIR.
Sur les données traitées
Les catégories de données collectées sont relatives :  
à l’identité  (nom, prénom, adresse, date et lieu de naissance, numéro de téléphone fixe et portable) ;
à la situation professionnelle ;
aux identifiants de connexion ;
au numéro de sécurité sociale (NIR).
un premier formulaire comprenant un mécanisme d’inscription complet sera réservé aux clients/bénéficiaires KLESIA, avec collecte du NIR ;
le second formulaire comprend un mécanisme d'inscription simplifié, sans collecte du NIR, et concerne uniquement les personnes déjà clientes de KLESIA (personnes certifiées) disposant d’un espace personnel sur les anciens sites Internet des sociétés MORNAY et D et O (entités ayant donné naissance à KLESIA). Il s’agit pour ces clients de se réinscrire afin de bénéficier du nouvel espace "Web Service" KLESIA.
S’agissant du NIR, lors de l’inscription au service en ligne, les personnes renseignent leur NIR afin que l’Association de Moyens KLESIA associe à leur compte les contrats dont ils disposent au sein de chaque institution (Retraite, Prévoyance et Santé). 
Il existe deux formulaires d’inscriptions:
à l’identité  (nom, prénom, adresse, date et lieu de naissance, numéro de téléphone fixe et portable) ;
à la situation professionnelle ;
aux identifiants de connexion ;
au numéro de sécurité sociale (NIR).
un premier formulaire comprenant un mécanisme d’inscription complet sera réservé aux clients/bénéficiaires KLESIA, avec collecte du NIR ;
le second formulaire comprend un mécanisme d'inscription simplifié, sans collecte du NIR, et concerne uniquement les personnes déjà clientes de KLESIA (personnes certifiées) disposant d’un espace personnel sur les anciens sites Internet des sociétés MORNAY et D et O (entités ayant donné naissance à KLESIA). Il s’agit pour ces clients de se réinscrire afin de bénéficier du nouvel espace "Web Service" KLESIA.
Le NIR n’est collecté que pour l’inscription au service, par la suite la personne est invitée à s’identifier avec son adresse mail et un mot de passe qui lui sera communiqué par courriel.
Au préalable, un code sera envoyé par courrier postal pour l’activation du compte.
La Commission observe que l’Association de Moyens KLESIA est habilitée à traiter le NIR dans le cadre de ses missions d’intérêt général et de sécurité sociale. 
En l’espèce, le NIR est utilisé pour une nouvelle finalité, à savoir la mise en œuvre d’un service en ligne. Il permet à l’Association de Moyens KLESIA d’interconnecter les trois bases de données lorsqu’un bénéficiaire utilise le « Web service » afin de lui fournir une information exhaustive sur l’ensemble de ses contrats.
La Commission prend acte que le NIR ne servira pas d’identifiant de connexion. 
Ces données apparaissent pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Seul le personnel dûment habilité de l’Association de Moyens KLESIA dans le cadre de leurs missions, a accès aux données concernant les bénéficiaires.
Sur l’information et l’exercice des droits des personnes
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales prévues sur les formulaires d’inscription en ligne, ainsi que par une information dans les clauses des contrats clients/bénéficiaires.Les droits d’accès, de rectification et d’opposition s’exercent auprès de l’Association de Moyens KLESIA par courrier, fax ou courriel.Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes pour la Commission. 
Sur les mesures de sécurité
Des mesures de sécurité sont prises afin de préserver la sécurité et la confidentialité des données et, notamment, empêcher que des tiers non autorisés y aient accès.
Les mots de passe pour l’accès au web services sont envoyés par courriel. Le mot de passe reçu de la part de l’administrateur de sécurité doit être changé immédiatement après la première connexion. L’authentification des utilisateurs du traitement est assurée par l’utilisation d’un mot de passe d’une validité maximale de 90 jours, comportant des lettres majuscules et minuscules, et au moins deux chiffres et des caractères spéciaux. Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. 
Sur les autres caractéristiques du traitement
Les données collectées sont conservées pendant le temps de la relation contractuelle, puis devront faire l’objet par la suite d’un archivage conformément à la réglementation en vigueur. La Commission considère que cette durée de conservation apparaît pertinente au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, l’Association de Moyens KLESIA à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1794822)
La Commission nationale de l'informatique et des libertés,
Saisie par LASER COFINOGA d’une demande de modification de la délibération n°2012-297 du 13 septembre 2012 autorisant l’aide à la sélection et à l’évaluation des risques en matière d’octroi de crédit ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25.I.4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n°2012-297 du 13 septembre 2012 autorisant l’aide à la sélection et à l’évaluation des risques en matière d’octroi de crédit ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société LASER COFINOGA propose à ses clients des crédits à la consommation.
Sur la finalité