AgentPublic/cnil huggingface dataset:
des personnes au répertoire national d’identification des personnes physiques.La Commission estime, enfin, que le recours à la formalité de l’autorisation se justifie au regard de l’article 25-I-7° de la loi 6 janvier 1978 modifiée pour ce qui concerne les traitements automatisés de données comportant des appréciations sur les difficultés sociales des personnes.
Sur les données traitées
Les données collectées dans le cadre du présent traitement sont, en fonction du type de la mesure de protection (sauvegarde de justice, curatelle ou tutelle), du contenu précis de la mesure prononcée par le juge et de la nature des actes à accomplir, relatives :
à  l’identification des personnes et, le cas échéant, à celle de leurs conjoints et enfants (nom, prénom, adresse, photographie, date et lieu de naissance) ;
à leur vie personnelle (situation familiale, habitudes de vie) ;
à leur vie professionnelle (CV, situation professionnelle) ;
à des informations d’ordre économique et financier (revenus, situation financière) ;
à des données de connexion (identifiants des terminaux, identifiants de connexions) ;
à l’appartenance religieuse, politique ou syndicale ;
à la santé ;
aux infractions, condamnations ou mesures de sûreté, dans les limites prévues par les dispositions législatives en vigueur ;
au numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (numéro de sécurité sociale), uniquement dans le cadre d’échanges avec des professionnels de santé, des organismes de sécurité sociale, de prévoyance ou de retraite, ainsi que des financeurs de prestations sociales ou médico-sociales ;
à des appréciations sur les difficultés sociales des personnes.
Seul le responsable de traitement et, le cas échéant, les membres habilités de son personnel soumis à une obligation de confidentialité peuvent accéder au présent traitement. Le responsable de traitement, exerçant en nom propre et à titre indépendant, est habilité à transmettre des données aux destinataires suivants. Le juge des tutelles compétent peut être destinataire de l’intégralité des données du traitement.La direction départementale de la cohésion sociale et les organismes financeurs, au nombre desquels figurent notamment les caisses d’allocations familiales ou de mutualité sociale agricole, la Caisse des dépôts et consignations ou encore les caisses primaires d’assurance maladie, peuvent être destinataires des données d’identification, des données relatives à la vie personnelle et des numéros de sécurité sociale.La Commission considère que ces destinataires présentent un intérêt légitime à connaître de ces données.Elle estime, par ailleurs, que le responsable du traitement peut également communiquer des données aux organismes en relation avec les personnes représentées, sous réserve que ces transmissions soient indispensables à ces relations, d’une part, et que les données concernées soient limitées au strict nécessaire, d’autre part. 
Sur les durées de conservation
Les données à caractère personnel enregistrées dans le présent traitement sont conservées jusqu’à la prescription de l’action en reddition des comptes, en revendication ou en paiement diligentée par la personne protégée ou ses héritiers à savoir, en application de l’article 515 du code civil, cinq ans à compter de la fin de la mesure de protection, sauf interruption ou suspension de la prescription.  La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie.
Sur l’information et le droit d’accès 
Les personnes concernées par le présent traitement sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales sur des notices d’information remises par le responsable de traitement aux personnes concernées lors de l’ouverture de la mesure.La Commission considère que cette modalité d’information des personnes est satisfaisante. Elle rappelle que cette information doit être fournie selon des modalités adaptées à leur état.Sauf décision contraire du juge des tutelles, les droits d’accès, de rectification et d’opposition pour motif légitime s’exercent auprès de Monsieur Jean-Luc JANNI, par courrier, fax ou courriel.  La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes. 
Sur les mesures de sécurité
Autorise, conformément à la présente délibération, Monsieur Jean-Luc JANNI, en qualité de mandataire judiciaire à la protection des majeurs exerçant à titre individuel,  à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1796072)
La Commission nationale de l'informatique et des libertés,
Saisie par le Crédit Agricole Mutuel Toulouse d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l’identité ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L. 561-5 et R. 561-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Crédit Agricole Mutuel Toulouse, ci-dessous dénommé le Crédit Agricole.
Sur la finalité
La finalité du traitement est de lutter contre la fraude à l’identité. Il vise, par l’utilisation du logiciel RESOCOM, à détecter les documents présentant des anomalies susceptibles de révéler une fraude (faux document ou document falsifié) dans deux hypothèses : au moment de l’entrée en relation du client auprès de la banque, en cas demande de prêt. La Commission estime que cette finalité est déterminée, explicite et légitime.Lorsque l’analyse de l’outil conclut à la non-conformité du document, la demande d’ouverture de compte ou la demande de prêt est refusée. Dans la situation inverse, si l’authenticité des documents est confirmée, il est fait droit à la demande du client. Dans l’hypothèse où la demande concerne l’octroi de crédit et si l’outil détecte une fraude documentaire présumée, la banque peut décider de clôturer le compte du client conformément aux conditions prévues par la convention de compte.Ce traitement peut ainsi du fait de sa portée et de sa finalité, exclure une personne du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition légale prévoyant une telle exclusion. Il est dès lors soumis à autorisation de la Commission, en application des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée.Plus précisément, il existe un premier contrôle visuel réalisé par le chargé de clientèle qui reçoit la personne souhaitant entrer en relation avec la banque. Le contrôle de la pièce d’identité se fait ensuite via la bande MRZ
tandis que le contrôle des justificatifs, notamment lors d’une demande d’octroi de crédit, est réalisé par comparaison avec la base de documents. Ce contrôle est réalisé par la saisie manuelle dans l’outil des données qui figurent sur le document d’identité ou par une analyse automatique, par reconnaissance optique de caractères, d’une copie numérisée. L’outil vérifie alors la cohérence des lignes MRZ avec les données saisies ou numérisées.Lorsque les documents d’identité sont détectés non conformes, le service prévention de la fraude effectue un contrôle de second niveau.
Les conseillers clients, les opérationnels chargés de la prévention de la fraude, le responsable et les chargés de la prévention de la fraude, les analystes crédits et les collaborateurs en charge du contrôle de la conformité des dossiers d’entrée en relation ont accès aux informations contenues dans le logiciel.La  liste de ces destinataires, qui font l’objet d’une habilitation individuelle, n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès 
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la banque sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention qui figure dans la convention de compte du client et sur le site internet de la banque.Cette mention rappelle notamment que les droits d’accès et de rectification s’exercent auprès du département risques contrôle permanent par courrier postal à l’adresse suivante : Crédit Agricole Mutuel Toulouse 6, place Jeanne d'Arc BP 40535 – 31005 Toulouse, ou par courrier électronique à l’adresse suivante : rcocp@ca-toulouse31.frLa Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Sur les autres caractéristiques du traitement
Ce traitement ne permet pas d’établir une « liste noire » de personnes ayant présenté des titres d’identité comportant des anomalies ou des titres d’identité falsifiés ou volés.Des statistiques sur des données anonymisées sont réalisées à partir des résultats de l’outil et permettent de chiffrer le nombre d’alertes par entité, par point de vente, par type de document et par département.Ces autres caractéristiques n’appellent pas d’observation particulière de la Commission.
Autorise, conformément à la présente délibération, le Crédit Agricole Mutuel Toulouse à mettre en œuvre le traitement susmentionné.
La Présidente 
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1697213)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Institut de veille sanitaire d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion d’un outil intermédiaire permettant la centralisation et l’analyse statistique de données relatives aux accidents du travail et maladies professionnelles ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1413-2 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la décision de la CNIL du 26 juin 2007 autorisant l’Institut de veille sanitaire à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité l’étude de faisabilité d’un outil de centralisation nationale des données sur les accidents du travail et les maladies professionnelles – régime général (demande d’autorisation n° 1229112) ;
Vu la décision de la CNIL du 5 octobre 2007 autorisant l’Institut de veille sanitaire à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité l’expérimentation d’un outil de centralisation nationale des données sur les accidents du travail et les maladies professionnelles (demande d’autorisation n° 1246830) ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
L’Institut de veille sanitaire (InVS) est un établissement public administratif placé sous la tutelle du ministre de la santé qui a pour missions, conformément aux dispositions de l'article L. 1413-2 du code de la santé publique, la surveillance et l'observation permanente de l'état de santé de la population, l’alerte des pouvoirs publics, notamment les agences sanitaires, en cas de menace pour la santé publique, quelle qu'en soit l'origine, et la recommandation de toute mesure ou action appropriée.En vue de l’accomplissement de ses missions, conformément aux dispositions de l’article L. 1413-3, 6° du code de la santé publique, l’InVS met en œuvre, en liaison avec l’assurance maladie et les services statistiques des départements ministériels concernés, un outil permettant la centralisation et l’analyse des statistiques sur les accidents du travail, les maladies professionnelles, les maladies présumées d’origine professionnelle et de toutes les autres données relatives aux risques sanitaires en milieu du travail, collectées conformément à l’article L. 1413-4 du code de la santé publique.
Sur la finalité
La finalité du traitement est la gestion d’un outil intermédiaire permettant la centralisation et l’analyse statistique de données relatives aux accidents du travail et maladies professionnelles (AT/MP). Cet outil permettra de générer des indicateurs nationaux sur les AT/MP de la population des salariés affiliés aux trois principaux régimes de sécurité sociale (régime général, régime agricole, régime des fonctionnaires territoriaux et hospitaliers) et sous-catégories d’AT/MP et de suivre les évolutions spatio-temporelles de ces indicateurs, dans l’objectif d’appuyer les politiques publiques nationales relatives à la prévention des AT/MP.Il s’agit de l’extension d’une étude de faisabilité d’un outil de centralisation des données d’AT/MP, réalisée par l’InVS sur les données de l’année 2004 du régime général de sécurité sociale et du régime de sécurité sociale des fonctionnaires territoriaux et hospitaliers, afin de calculer des indicateurs de surveillance des risques professionnels (autorisations n° 1229112 et n° 1246830). Cette étude de faisabilité, dont les résultats ont été publiés en 2011, a montré l’utilité et la faisabilité d’un outil centralisateur national des AT/MP.L’outil intermédiaire susmentionné sera mis en œuvre, dans l’attente d’une décision des pouvoirs publics actant la création d’un outil centralisateur, le financement de son développement informatique et l’organisation de sa gouvernance. La Commission considère les finalités poursuivies comme déterminées,
explicites et légitimes au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée.Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Des données relatives aux victimes d’AT/MP ont vocation à être recueillies dans le cadre du présent traitement, notamment le numéro d’identifiant anonymisé de la victime, leur sexe, mois et année de naissance et les données médicales relatives aux AT/MP (nombre de jours d’arrêt de travail, taux d’incapacité, date du décès éventuel, nature de la lésion…).Seront également recueillies des informations relatives aux sinistres (type de sinistre, date et heure de l’accident, cause, désignation de la maladie…), ainsi que des informations sur l’employeur de la victime (secteur d’activité, taille, département et numéro SIRET de l’établissement employeur).La Commission prend acte de ce que, d’une part, aucune donnée directement nominative n’est enregistrée dans l’application et, d’autre part, seuls l’année et le mois de décès seront conservés, une fois calculé le délai entre la date de l’accident et la date du décès.Les données sont collectées de manière indirecte par l’intermédiaire de chacun des trois régimes de sécurité sociale considérés qui assurent une transmission d’un fichier de données AT/MP à l’InVS selon une périodicité annuelle.Le traitement porte sur les données des trois régimes de sécurité sociale précités à partir de l’année 2008. Il intègre également les données de l’année 2004 sur lesquelles reposait l’étude de faisabilité et l’expérimentation de l’InVS (autorisations n° 1229112 et 1246830), afin d’analyser des évolutions temporelles.La Commission estime que les
données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les données ne seront accessibles qu’à un nombre limité de personnes spécialement habilitées au sein de l’InVS.Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, du traitement de leurs données au moyen d’une mention sur le formulaire Cerfa de déclaration d’accidents du travail et d’une mention sur le site internet de l’InVS.Les droits d’accès et de rectification, tels que reconnus par la loi du 6 janvier 1978 modifiée, s’exercent auprès des organismes gestionnaires des régimes de sécurité sociale.La Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Les personnes concernées par les données traitées, sont identifiées au moyen d’un numéro d’identifiant anonymisé distinct dans chaque régime.Les données de chaque régime de sécurité sociale seront transmises sur CD-Rom sécurisé remis en main propre au chef de projet de l’InVS en charge du dispositif, selon une périodicité annuelle. Les CD-Rom, conservés dans une armoire sécurisée au sein du département « Santé Travail » de l’InVS, seront détruits après transfert des données sur un serveur sécurisé de l’InVS.L’accès à l’application s’effectue par la combinaison d’un identifiant et d’un mot de passe composé de dix caractères comportant au moins une majuscule, une minuscule et un chiffre ou caractère spécial, renouvelé tous les 90 jours.Les accès à l’application doivent faire l’objet d’une journalisation. La Commission rappelle que les traces des accès à l’application et aux données doivent être analysées et qu’il convient d’informer les personnes concernées de la mise en œuvre de ces mesures.Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données seront conservées pendant une durée de cinq ans, afin de permettre des analyses d’évolution temporelles.La Commission prend acte de ce que le dispositif intermédiaire s’arrêtera une fois l’outil centralisateur mis en place.La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, l’Institut de veille sanitaire (InVS) à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1755342)
La Commission nationale de l'informatique et des libertés,
Saisie par le Centre communal d’action sociale de Toulouse, pris en qualité de service mandataire à la protection des majeurs, d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalités la gestion et le suivi de la représentation juridique des personnes placées par l’autorité judiciaire sous sauvegarde de justice, sous curatelle ou sous tutelle ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code civil, notamment son article 515 ;
Vu le code de l’action sociale et des familles, notamment ses articles L. 361-1,  L. 471-1 à L. 473-4 et R. 472-1 à R. 472-26;
Vu le code de procédure pénale, notamment ses articles 706-112 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25 ;
Vu la loi n° 2007-308 du 5 mars 2007 portant réforme de la protection juridique des majeurs ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 28 octobre 2010 modifié du Préfet de la Haute-Garonne ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Centre communal d’action sociale de Toulouse (CCAS de Toulouse), en sa qualité de service mandataire à la protection des majeurs, sis au 2 bis, rue de Belfort – 31000 TOULOUSE.Le CCAS de Toulouse est un établissement social et médico-social au sens de l’article L. 312-1 du code de l’action sociale et des familles (CASF).Le responsable de traitement exerce la mission de mandataire judiciaire à la protection des majeurs que le juge des tutelles lui confie conformément aux dispositions de l’article L. 471-1 du CASF.Le CCAS de Toulouse a été autorisé, par arrêté préfectoral du 28 octobre 2010, à gérer un service mandataire à la protection des majeurs relevant du 14° du I de l’article L312-1 du même code.
Sur la finalité
Le CCAS de Toulouse a saisi la Commission, en qualité de service mandataire à la protection des majeurs, d’une demande d’autorisation afin de mettre en œuvre un traitement de données à caractère personnel ayant pour finalités la gestion et le suivi de la représentation juridique des personnes placées par l’autorité judiciaire sous sauvegarde de justice, sous tutelle ou sous curatelle relevant de son mandat.A ce titre, une gestion administrative et comptable du service de tutelle est nécessaire. La Commission considère que cette finalité est déterminée, explicite et légitime.Le traitement, justifié par l’intérêt public, peut faire apparaître, directement ou indirectement, des données relatives à la santé des personnes. Dès lors, il y a lieu de faire application des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation de la Commission les traitements, automatisés ou non, portant sur de telles données.Il convient également de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.La Commission estime qu’il y a également lieu de faire application de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements portant sur des données parmi lesquelles figure le numéro d’inscription des personnes au répertoire national d’identification des