AgentPublic/cnil huggingface dataset:
Le dispositif reposera sur un boîtier (terminal de lecture-comparaison) situé au point d’accès aux locaux concernés. Il s’agit d’un boîtier autonome, qui ne sera relié à aucun réseau informatique. L’enrôlement des personnes s’effectuera à partir de ce seul boîtier qui est équipé d’un lecteur qui permet également l’enregistrement des gabarits. Outre les données biométriques, les éléments d’identification des personnes concernées (nom, prénom) et les éléments relatifs à la vie professionnelle seront également traités.
La vérification s’effectuera entre le doigt apposé sur le lecteur et le gabarit du réseau veineux des personnes qui sera stocké dans le lecteur. Le gabarit biométrique et les éléments d’identification des utilisateurs seront effacés lors du départ de l’employé de la société ou lorsque ce dernier n’a plus besoin d’accéder au stock. Un historique des passages sera conservé pendant trois mois.
La Commission considère que le réseau veineux des doigts de la main, en l’état actuel de la technique, est une biométrie sans trace dont l’enregistrement sur un terminal de lecture-comparaison aux fins de contrôler les accès aux locaux ne comporte pas de risques particuliers pour les libertés et les droits fondamentaux des personnes. A cet égard, en l’état actuel des techniques, la biométrie par reconnaissance du réseau veineux n’est pas susceptible d’être capturée à l’insu des personnes. Dès lors, la Commission considère que le traitement pris dans son ensemble apparaît adapté et proportionné du point de vue de la protection des données personnelles.
Les droits d’accès et de rectification s’exerceront auprès de la société NORD ORTHOPEDIE  – Rue Eugène Avinée – Parc Eurasanté – 59120 LOOS.
Les catégories de données à caractère personnel enregistrées seront :
l’identité de la personne (nom, prénom) ;
données relatives à la vie professionnelle du salarié ;
le gabarit du réseau veineux de deux doigts de la main ;
l’historique des passages.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les personnels habilités de la direction.
Dans ces conditions, la Commission autorise la société NORD ORTHOPEDIE, à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par le CENTRE HOSPITALIER JULES LESCARDE d’un traitement de données à caractère personnel reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité de sécuriser l’accès à l’hôpital, la pharmacie et les bureaux administratifs.
Formule les observations suivantes :
Le CENTRE HOSPITALIER JULES LESCARDE souhaite utiliser un dispositif reposant sur la reconnaissance du réseau veineux des doigts de la main afin de sécuriser l’accès aux locaux.
Le dispositif reposera sur un boîtier (terminal de lecture-comparaison) situé au point d’accès aux locaux concernés. Il s’agit d’un boîtier autonome, qui ne sera relié à aucun réseau informatique. L’enrôlement des personnes s’effectuera à partir de ce seul boîtier qui est équipé d’un lecteur qui permet également l’enregistrement des gabarits. Outre les données biométriques, les éléments d’identification des personnes concernées (nom, prénom) et les éléments relatifs à la vie professionnelle seront également traités.
La vérification s’effectuera entre le doigt apposé sur le lecteur et le gabarit du réseau veineux des personnes qui sera stocké dans le lecteur. Le gabarit biométrique et les éléments d’identification des utilisateurs seront effacés lors du départ de l’employé de l’établissement. Un historique des passages sera conservé pendant trois mois.
La Commission considère que le réseau veineux des doigts de la main, en l’état actuel de la technique, est une biométrie sans trace dont l’enregistrement sur un terminal de lecture-comparaison aux fins de contrôler les accès aux locaux ne comporte pas de risques particuliers pour les libertés et les droits fondamentaux des personnes. A cet égard, en l’état actuel des techniques, la biométrie par reconnaissance du réseau veineux n’est pas susceptible d’être capturée à l’insu des personnes. Dès lors, la Commission considère que le traitement pris dans son ensemble apparaît adapté et proportionné du point de vue de la protection des données personnelles.
Les droits d’accès et de rectification s’exerceront auprès du CENTRE HOSPITALIER JULES LESCARDE – 6 rue de l’hospice – 80700 ROYE.
Les catégories de données à caractère personnel enregistrées seront :
l’identité de la personne (nom, prénom) ;
données relatives à la vie professionnelle du salarié ;
le gabarit du réseau veineux de deux doigts de la main ;
l’historique des passages.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les personnels habilités de la direction.
Dans ces conditions, la Commission autorise le CENTRE HOSPITALIER JULES LESCARDE, à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK
(Demande d’autorisation n°1336995)
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-I-4° ;
Vu l’article L. 511-6 du code monétaire et financier ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978 modifiée par la loi n° 2004-810 du 6 août 2004 ;
Vu le dossier déposé par l’Association pour le droit à l’initiative économique (ADIE) relatif à un traitement automatisé de données à caractère personnel ayant pour finalité l’aide à la décision d’octroi de microcrédit ;
Après avoir entendu M. Jean-Paul AMOUDRY, commissaire, en son rapport, et  Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations, 
Formule les observations suivantes :
Le dossier transmis à la CNIL porte sur la mise en œuvre d’un traitement automatisé d’analyse des demandes de crédit qui sont adressées en ligne à l’association pour le droit à l’initiative économique (ADIE) par des personnes ayant des difficultés à obtenir un crédit auprès d’établissements bancaires. 
Le traitement d’aide à la décision d’octroi de crédit a pour finalité de générer une analyse de la demande en ligne qui conduit à un accord de principe sur l’octroi d’un prêt lorsque les conditions d’éligibilité sont remplies. 
Il a ainsi pour objectif de qualifier les demandes de crédit correspondant à certains critères d’attribution automatique. Toute demande inéligible au service d’octroi de crédit en ligne n’est pas refusée mais réorientée vers le réseau physique de l’association, où des conseillers font une étude plus approfondie de la demande. Les conseillers procèdent à l’évaluation, pour chaque personne qui présente une demande de crédit ou qui souhaite disposer d’un moyen de paiement adossé à un contrat de crédit, du risque statistique de défaillance qui lui est attaché. Suite à cette évaluation, ils procèdent à la sélection des demandes qui correspondent à un niveau de risque de défaillance jugé satisfaisant et qui peuvent donner lieu à une réponse favorable.
Le traitement est, par voie de conséquence, susceptible de conduire à l’exclusion, au moins de façon temporaire, d’une personne du bénéfice d’un contrat là où aucun texte législatif ou réglementaire ne prévoit une telle exclusion.
Dès lors, ce traitement relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée qui prévoit que doivent être autorisés par la CNIL les traitements susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un contrat, en l’absence de toute disposition législative ou réglementaire.
Par sa délibération n° 2008-198 du 9 juillet 2008 modifiant l’autorisation unique AU-005, la Commission a autorisé les traitements mis en œuvre par les établissements de crédit pour aider à l’évaluation et à la sélection des risques en matière d’octroi de crédit sous réserve que les finalités de ces traitements, les catégories de données utilisées et leurs destinataires n’excèdent pas le cadre qui y est défini, que ces traitements remplissent également les conditions qui y sont fixées, et que les responsables de ces traitements adressent à la CNIL un engagement de conformité à l’autorisation unique AU-005.
Le traitement n’entre pas dans le champ de la décision d’autorisation unique n° AU-005 dès lors que l’organisme qui met en œuvre le traitement est une association reconnue d’utilité publique et non un établissement de crédit.
Les catégories de données prises en compte pour le calcul du score attaché à chaque demande de crédit sont celles prévues par l’autorisation unique 005 mais également :
L’éligibilité aux services de l’ADIE reposent sur les critères suivants : 
elle ne finance que des personnes n’ayant pas accès au crédit dans le cadre de leur projet professionnel ;
elle est tenue de respecter les obligations légales au regard de son activité notamment le montant maximum de 10 000 € du crédit et interdiction d’octroyer un crédit de plus de cinq ans.
Au titre du premier critère cité, tout demandeur de crédit d’indiquer sa situation par rapport à l’accès au prêt bancaire notamment s’il a un prêt professionnel en cours, s’il a la possibilité d’obtenir un prêt bancaire, s’il a déjà eu un refus de prêt bancaire et s’il est dans l’impossibilité d’obtenir un tel prêt.
Le demandeur doit également indiquer l’existence et les coordonnées d’un témoin de moralité qui serait un garant social du client, la demande de microcrédit n’exigeant pas l’existence de garants du prêt.
Les données relatives au projet professionnel suivantes sont enregistrées afin de permettre l’instruction de la demande de prêt :
les caractéristiques de l’opération objet du financement : nature du projet et secteur d’activité ;
nature de l’activité professionnelle indépendante dans le cadre de laquelle s’intègre le projet : expérience professionnelle du client, organisation du travail, lieu de travail et statut dans l’entreprise.
La Commission estime que la prise en compte de ces données est adéquate, pertinente et non excessive au regard de la finalité poursuivie. 
Les seules personnes habilitées à prendre connaissance des données relatives à une demande de crédit sont les conseillers crédit du réseau physique de l’association.
Les demandeurs de crédit bénéficient de l’information prévue à l’article 32 de la loi du 6 janvier 1978 préalablement au recueil des données personnelles.
Autorise, dans les conditions prévues par le dossier du demandeur et la présente délibération, l’Association pour le développement de l’initiative économique à mettre en œuvre le traitement automatisé d’aide à la décision d’octroi de microcrédit.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Jean MASSOT, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société GE HEALTHCARE  SA à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
GE HEALTHCARE SA
Finalités du transfert
Mise en commun et partage de toutes les questions médicales et des  réponses apportées en Europe/EUASupervision de l’activité d’information médicale portant sur les produits et s’exerçant auprès des professionnels de santé du secteur privé et des hôpitaux
Catégories de données transférées 
Données d’identification (prénom, nom, Monsieur/Madame, sexe)
Formation – Diplômes – Distinctions (notamment spécialité )
Vie professionnelle (notamment adresse électronique, numéro de téléphone professionnel, adresse) 
Identité(s) du(des) destinataire(s)
GE Healthcare Medical Diagnostics 101 Carnegie CenterPrinceton NJ 085406231 EUA 
Pays d’établissement du(des) destinataire(s)
ETATS UNIS
Service auprès duquel s’exerce le droit d’accès des personnes concernées
GE Healthcare SADépartement Médical11 Avenue Morane Saulnier78457 Vélizy Cedex 
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la Décision 2001/497/CE du 15 juin 2001 de la Commission européenne concernant les transferts de données à caractère personnel de responsable de traitement à responsable de traitement.
Le Président,
 Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la déclaration n° 1356633 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de  Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société  CSC COMPUTER SCIENCES SAS de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
Société CSC COMPUTER SCIENCES SAS
Finalité du transfert
Développement des carrières
Catégories de données transférées
Nom, prénom de l’évalué et des évaluateurs,
Titres des diplômes, école, 
Année de formation, année d’obtention, certification,
E-mail de l’évalué et des évaluateurs,
Fonction de l’évalué,
Fonction de l’évaluateur,
Souhaits d’évolution, 
Service,
Compétences professionnelles, 
expériences professionnelles antérieures,
Lieu de travail,
Objectifs,
Analyse de la performance,
Axes d’amélioration
Période d’évaluation
I Catégories de personnes concernées par le transfert
Les salariés de CSC COMPUTER SCIENCES SAS 
Identité(s) du(des) destinataire(s)
Les personnes habilitées de COMPUTER SCIENCES CORPORATION
Pays d’établissement du(des) destinataire(s)
ETATS-UNIS
Service auprès duquel s’exerce le droit d’accès des personnes concernées
Société SCS COMPUTER SCIENCES SAS
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Signature d’un contrat de responsable de traitement à responsable de traitement conforme aux clauses types adoptées par la Commission européenne n° 95/46/CE du 15 juin 2001
Le Président,
 Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la déclaration n° 1311689 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de  Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société  CMA CGM SYSTEMS FRANCE de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
Société CMA CGM SYSTEMS FRANCE
Finalité du transfert
Gestion des frais professionnels des collaborateurs
Catégories de données transférées
1. Données d’identification des collaborateurs : 
Matricule,
Nom, 
Code utilisateur, 
Adresse électronique, 
Code service,
-    Code manager
I Catégories de personnes concernées par le transfert
Les employés de la filiale et les employés IBM 
Identité(s) du(des) destinataire(s)
Les personnes habilitées de IBM GERS150 KETTLETOWN RD,SOUTHBURY CT 06488-2600USA
Pays d’établissement du(des) destinataire(s)
U.S.A
Service auprès duquel s’exerce le droit d’accès des personnes concernées
Société CMA CGM SYSTEMS FRANCE
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Signature d’un contrat de responsable de traitement à responsable de traitement conforme aux clauses types adoptées par la Commission européenne n° 95/46/CE du 15 juin 2001
Le Président,
 Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la déclaration n° 1311666 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de  Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments,  BNP PARIBAS PARTNERS FOR INNOVATION de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
BNP PARIBAS PARTNERS FOR INNOVATION
Finalité du transfert
Gestion des frais professionnels des collaborateurs
Catégories de données transférées
1. Données d’identification des collaborateurs : 
Matricule,
Nom, 
Code utilisateur, 
Adresse électronique, 
Code service,
-    Code manager
I Catégories de personnes concernées par le transfert
Les employés de la filiale et les employés IBM 
Identité(s) du(des) destinataire(s)
Les personnes habilitées de IBM GERS150 KETTLETOWN RD,SOUTHBURY CT 06488-2600USA
Pays d’établissement du(des) destinataire(s)
U.S.A
Service auprès duquel s’exerce le droit d’accès des personnes concernées
BNP PARIBAS PARTNERS FOR INNOVATION
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Signature d’un contrat de responsable de traitement à responsable de traitement conforme aux clauses types adoptées par la Commission européenne n° 95/46/CE du 15 juin 2001
Le Président,
 Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la déclaration n° 1282784 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de  Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société  MDTVISION de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
Société MDTVISION
Finalité du transfert
Gestion des frais professionnels des collaborateurs
Catégories de données transférées
1. Données d’identification des collaborateurs : 
Matricule,
Nom, 
Code utilisateur, 
Adresse électronique, 
Code service,
-    Code manager
I Catégories de personnes concernées par le transfert
Les employés de la filiale et les employés IBM 
Identité(s) du(des) destinataire(s)
Les personnes habilitées de IBM GERS150 KETTLETOWN RD,SOUTHBURY CT 06488-2600USA
Pays d’établissement du(des) destinataire(s)
U.S.A
Service auprès duquel s’exerce le droit d’accès des personnes concernées
Société MDTVISION – direction des ressources humaines
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Signature d’un contrat de responsable de traitement à responsable de traitement conforme aux clauses types adoptées par la Commission européenne n° 95/46/CE du 15 juin 2001
Le Président,
 Alex TURK