AgentPublic/cnil huggingface dataset:
Formule les observations suivantes :
A titre liminaire, la Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle (AU-004). 
Elle observe que le traitement objet de la présente délibération ne répond pas aux conditions prévues par cette autorisation unique, notamment s’agissant du champ d’application du dispositif.
La Commission doit, par conséquent, procéder à une analyse spécifique du traitement, au regard des principes relatifs à la protection des données à caractère personnel et, notamment, de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
Responsable du traitement
La Commission est saisie par la société par actions simplifiée NEXANS France, spécialisée dans la fabrication de câbles et de matériel d'installation électrique pour le bâtiment, l'industrie et les réseaux d'infrastructures. La société NEXANS France est composée de 23 établissements répartis sur 12 sites industriels, 2 centres logistiques et 3 centres de recherche et de compétence.
Sur la finalité
La société NEXANS France a déposé un dossier de demande d’autorisation préalablement à la mise en place d’un dispositif d’alerte professionnelle.La Commission considère qu’il y a lieu de faire application des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire. La Commission rappelle qu’un dispositif d’alerte professionnelle doit, de façon générale, être limité dans son champ d’application et que son utilisation doit demeurer facultative et complémentaire par rapport aux autres voies de remontée de réclamations des salariés.En l’espèce, le dispositif d’alerte professionnelle mis en œuvre par la société NEXANS France est dédié au traitement des signalements relatifs aux manquements graves dans les domaines comptable, financier et bancaire ou en matière de corruption, en cas de violation du droit de la concurrence, de discriminations et de harcèlements au travail,  de violation de la réglementation relative à la santé, à l'hygiène et la sécurité au travail, de non respect de l'environnement, de recours au travail des enfants, de violation des droits de l'homme, du principe de liberté syndicale et du droit a la négociation collective et, enfin, de violation de la confidentialité des
informations et de la propriété intellectuelle.Ce mode de signalement ne se substitue pas à la remontée hiérarchique classique, en ce qu’il constitue un canal de signalement alternatif pour les personnes ne souhaitant pas emprunter la voie habituelle de signalement. La Commission estime que le dispositif qui lui est présenté est limité dans son champ d’application, facultatif et qu’il répond à l’intérêt légitime du responsable du traitement, conformément aux dispositions du 5° de l’article 7 de la loi du 6 janvier 1978 modifiée. Elle considère, dès lors, que les finalités du traitement sont en l’espèce déterminées, explicites et légitimes.
Sur les données traitées
Les catégories de données collectées, identiques à celles mentionnées par l’autorisation unique n°004, sont relatives :
à l’identité, aux fonctions et aux coordonnées de l'émetteur de l'alerte professionnelle ; 
à l’identité, aux fonctions et aux coordonnées des personnes faisant l'objet d'une alerte ; 
à l’identité, aux fonctions et aux coordonnées des personnes intervenant dans le recueil ou dans le traitement de l'alerte ; 
aux faits signalés ; 
aux éléments recueillis dans le cadre de la vérification des faits signalés ; 
au compte rendu des opérations de vérification ; 
aux suites données à l'alerte.
La Commission estime que ces données sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie par le responsable de traitement.
S’agissant du traitement de l’identité de l’émetteur de l’alerte, la Commission considère que l’obligation de s’identifier pour l’émetteur de l’alerte est de nature à limiter les risques de mise en cause abusive ou disproportionnée de l’intégrité professionnelle, voire personnelle des personnes concernées. 
La Commission prend acte qu’en l’espèce le dispositif impose que l’émetteur de l’alerte s’identifie, étant précisé que son identité est néanmoins traitée de façon confidentielle par les personnes chargées de la gestion des alertes. 
Sur les destinataires
S’agissant des modalités de signalement, la Commission prend acte du fait que tout salarié de la société NEXANS France peut déclencher la procédure en faisant remonter une alerte au Correspondant éthique du groupe NEXANS par l’intermédiaire d’une adresse électronique dédiée ou, en cas d’empêchement, en contactant ce dernier par téléphone.L’alerte est recueillie par le correspondant éthique du groupe NEXANS qui est le seul destinataire des données à caractère personnel du présent traitement. Ce dernier peut toutefois faire intervenir, en fonction du thème d’une alerte et dans le strict respect de la confidentialité, un collaborateur du groupe NEXANS disposant des compétences nécessaires à l’instruction de l’alerte.Toutes les personnes impliquées dans le traitement d’une alerte sont astreintes à une obligation de confidentialité et signent, pour chaque instruction, un accord de non-divulgation.La Commission considère que ces destinataires présentent un intérêt légitime à accéder aux données du présent traitement.Elle relève, par ailleurs, que ces personnes sont toutes astreintes à une obligation renforcée de confidentialité, contractuellement définie.
Sur l’information et le droit d’accès
La Commission prend acte du fait que le comité d’entreprise et le comité d’entreprise européen seront informés et consultés, préalablement à la décision de mise en œuvre dans l'entreprise, sur le dispositif d’alerte professionnelle et sur les modalités de sa mise en œuvre.Les salariés seront quant à eux informés du dispositif, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par l’intermédiaire du site internet, de l’intranet et de la charte d’éthique du groupe NEXANS.Ils seront notamment informés que l’utilisation de bonne foi du dispositif, même si les faits s’avèrent par la suite inexacts ou ne donnent lieu à aucune suite, n’expose son auteur à aucune sanction, mais que l’utilisation abusive du dispositif peut en revanche exposer son auteur à des sanctions disciplinaires et à des poursuites judiciaires. Une personne mise en cause par un signalement est quant à elle informée par le correspondant éthique du groupe NEXANS de l’existence d’une alerte à son encontre et notamment des faits reprochés et des modalités d’exercice de ses droits d’accès et de rectification. Cette information intervient dès l’enregistrement de données à caractère personnel la concernant. Néanmoins, si des mesures conservatoires doivent être prises, notamment pour prévenir la destruction de preuves relatives à l’alerte, l’information de la personne concernée intervient après l’adoption de ces mesures. Les droits d’accès et de rectification, prévus par les articles 39 et 40 de la loi
du 6 janvier 1978 modifiée, s’exercent quant à eux, auprès du correspondant informatique et libertés de la société NEXANS France ou du service des ressources humaines compétent.La Commission considère que ces modalités d’information et d’exercice des droits des personnes, décrites ci-dessus, sont satisfaisantes.
Le responsable du traitement, en application de l’article 34 de la loi du 6 janvier 1978 modifiée, doit prendre toutes les précautions utiles pour préserver la sécurité des données collectées et traitées, au regard de la nature des données, des risques présentés par le traitement, et notamment empêcher que des tiers non autorisés y aient accès par l’intermédiaire de mesures de sécurité physiques, logiques et organisationnelles.En l’espèce, la Commission relève l’existence de mesures de sécurité prises par le responsable de traitement afin de préserver la sécurité des données et, notamment, empêcher que des tiers non autorisés y aient accès.L’adresse électronique dédiée utilisée pour adresser une alerte n’est ainsi accessible que par le correspondant éthique du groupe NEXANS à partir d’un poste informatique sécurisé.Le contrôle d’accès logique est quant à lui opéré par l’intermédiaire d’un mot de passe comprenant au moins dix caractères de trois types distincts.Par ailleurs, les courriers électroniques adressés au correspondant éthique sont chiffrés dès lors qu’ils sont envoyés à partir du réseau interne.Dans la mesure où seul le correspondant éthique du groupe NEXANS est habilité à accéder aux alertes émises, le traitement ne comporte pas de politique d’habilitation ou de journalisation.Enfin, des mesures nécessaires permettent d’assurer la maintenance du matériel et sa mise au rebut dans des conditions de sécurité satisfaisantes, en particulier s’agissant de l’absence de
données à caractère personnel stockées dans les matériels remisés.La Commission rappelle que l'usage d'outils ou de logiciels développés par des tiers dans le cadre de la mise en œuvre d'un traitement de données à caractère personnel reste sous la responsabilité du responsable de traitement qui doit notamment vérifier que ces outils ou logiciels respectent l'ensemble des obligations que la loi du 6 janvier 1978 modifiée met à sa charge. Elle rappelle également qu’un responsable de traitement conserve la responsabilité des données à caractère personnel communiquées ou gérées par ses sous-traitants et, le cas échéant, que le contrat établi entre les parties doit mentionner les objectifs de sécurité qu'un sous-traitant doit respecter.La Commission rappelle enfin que l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
La Commission relève que les durées de conservation prévues par le responsable de traitement sont identiques à celles mentionnées à l’article 6 de l’autorisation unique n°004, à savoir :
les données relatives à un signalement, considéré dès son recueil, par le Correspondant éthique du groupe NEXANS, comme n'entrant pas dans le champ du dispositif sont détruites sans délai.
lorsque le signalement n'est pas suivi d'une procédure disciplinaire ou judiciaire, les données sont détruites dans un délai de deux mois à compter de la clôture des opérations de vérification
si une procédure disciplinaire ou des poursuites judiciaires sont engagées à l'encontre de la personne mise en cause ou de l'auteur d'une alerte abusive, les données sont conservées jusqu’au terme de la procédure.
La Commission estime que ces durées de conservation ne sont pas excessives au regard de la finalité poursuivie par le traitement conformément aux dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée.
Autorise, conformément à la présente délibération, la société par actions simplifiée NEXANS France à mettre en œuvre le traitement susmentionné.
Pour La Présidente 
La Vice-Présidente déléguée,
M.-F. MAZARS
(Demande d’autorisation n° 1880188)
La Commission nationale de l'informatique et des libertés,
Saisie par la Société VIDRESSING SAS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’évaluation des risques et la prévention de la fraude au paiement par carte bancaire et à la livraison lors des achats sur son site internet ; 
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. François PELLEGRINI, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
VIDEDRESSING SAS est une société française de vente à distance sur Internet par intermédiation.
Sur la finalité
La société VIDEDRESSING SAS a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation relative à la mise en œuvre d’un traitement ayant pour finalité la prévention de la fraude au paiement par carte bancaire et à la livraison lors des achats sur son site internet.Le traitement mis en œuvre permet l’analyse des commandes en temps réel et l’attribution d’un score lié à la commande. Le système de score est établi avec le prestataire de service de paiement. Les critères pris en compte pour l’analyse sont le montant et la fréquence des transactions.Les fraudes recherchées correspondent à des utilisations illégitimes de cartes de paiement ou des données qui y sont attachées lorsque ces utilisations risquent d’avoir des conséquences préjudiciables pour la société VIDEDRESSING SAS. Les utilisations d’un moyen de paiement par son titulaire légitime qui sont rendues irrégulières du seul fait d’un défaut de provision ne font pas partie des risques de fraude qui donnent lieu à la production d’alerte.On distingue deux types de paiements : les paiements en une seule fois et les paiements en trois fois.Dans le premier cas, il existe un contrôle systématique des commandes passées sur le site internet www.videdressing.com  payées par carte bancaire et éligibles au système 3D Secure. Il s’agit d’une analyse automatique par l’outil de détection de fraude du prestataire de paiement.Dès lors, le prestataire renvoie à VIDEDRESSING SAS une proposition
d'autorisation ou de refus de transaction. En cas de transaction identifiée comme présentant un risque de fraude, le service anti fraude de la société VIDEDRESSING SAS procède à une analyse manuelle et approfondie de la commande pour confirmer ou non le caractère frauduleux de la transaction.La Commission relève que pour les cartes étrangères et certaines cartes bancaires d’entreprises non éligibles au système 3DS, des contrôles a posteriori sur la transaction sont effectués par la société VIDEDRESSING SAS.Dans le second cas, pour les paiements en trois fois, la vérification 3D Secure est systématique. Elle est réalisée en amont de la transaction. Dès lors, le processus est identique à celui mis en œuvre pour les paiements réalisés en une fois pour les cartes éligibles au système 3D Secure.La Commission observe que le contrôle est opéré de façon régulière dès la passation de la commande et au plus tard avant l’expédition du produit par le vendeur, en fonction des cas précédemment exposés. Passé ces délais, la transaction devient définitive, c’est-à-dire que l’article est  expédié par le vendeur à l’acheteur. Dès lors, la société VIDEDRESSING SAS ne peut plus interférer sur la vente.La Commission relève qu’au stade du contrôle manuel, la transaction peut être qualifiée de « douteuse » à partir des critères cumulatifs d’analyse des risques présentés par la commande.La transaction qualifiée de « douteuse » passe ensuite en statut « en cours de validation ». Ce statut génère un
courrier électronique automatiquement envoyé à l’acheteur pour lui demander des documents complémentaires (une copie recto de la carte d’identité et un justificatif de domicile). En l’absence de réponse par l’acheteur sous un délai de 5 jours, la transaction est annulée.Si les vérifications complémentaires permettent d’écarter tout risque de fraude, la commande se poursuit normalement, et le produit est expédié par le vendeur à l’acheteur.Dès lors, la Commission considère que ce traitement peut avoir pour effet d’exclure des personnes, même temporairement, du bénéfice d’un contrat en l’absence de toute disposition légale ou réglementaire le prévoyant, en leur ôtant la possibilité de passer une commande sur le site VIDEDRESSING SAS lorsqu’ils ne disposent pas des moyens de paiement alternatifs proposés.Par ailleurs, la Commission considère que, dès lors qu’une présomption de fraude est confirmée à la suite de l’analyse complémentaire effectuée par la société VIDEDRESSING SAS, la personne doit être informée individuellement, par écrit, des raisons de l’annulation de sa commande ou de toute décision lui portant grief en lui donnant la possibilité de présenter ses observations.La fraude avérée correspond à un cas de fraude caractérisée sur la base de critères objectifs tels que la falsification de pièces justificatives ou l’opposition auprès de la banque par le titulaire légitime.La Commission prend acte que, conformément aux dispositions de l’article 10 de la loi du 6 janvier
1978 modifiée, les résultats du traitement feront l’objet d’une instruction par le service chargé de la prévention de la fraude au cas par cas, et non automatisée.La Commission considère que cette finalité est déterminée, explicite et légitime.
Sur les données traitées
Les catégories de données traitées sont les suivantes : 
identification : nom, prénom, adresse postale, photographie (recto de la carte d’identité) et justificatif de domicile, date et lieu de naissance,
informations relatives à la commande : numéro de commande, montant de la commande, type de carte bancaire et pays de livraison de la commande.
Les critères d’analyse des risques présentés par la commande prennent en compte les données suivantes :
date de création du profil de l’acheteur ;
historique de commandes de l’acheteur ;
adresse postale et de livraison de l’acheteur ;
montant de la commande concernée ;
pays de la carte bancaire utilisée ;
commentaires publics entre l’acheteur et le vendeur sur la fiche de l’article commandé sur le site internet.
Ces critères sont cumulatifs et établis à partir des règles de fréquence et de récurrence déterminées par la société VIDEDRESSING SAS.
Une copie recto de la pièce d’identité et un justificatif de domicile de la personne ayant passé commande peuvent également être collectés, dans des conditions permettant de garantir la transmission et la conservation de ces documents de manière sécurisée. Les pièces justificatives sont supprimées après vérification et conservées au maximum pendant 24h.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
L’accès au traitement est restreint, d’une part, au prestataire de services de paiement et, d’autre part, aux seuls collaborateurs habilités de la société VIDEDRESSING SAS :
- de la Direction Service client ;
- de la Directrice Juridique et trust ;
- du Service Finance et lutte anti-fraude.
Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées au préalable de la mise en œuvre du traitement, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention sur le site internet.Lors de la survenance de l’incident susceptible de donner lieu à une inscription en liste noire, les personnes concernées sont informées préalablement, par courrier électronique, des conséquences potentielles de cet enregistrement, de leurs  droits et de la possibilité de présenter leurs observations ou de régulariser leur situation dans un délai de 15 jours.Les droits d’accès et de rectification s’exercent par courrier auprès du service clients de VIDEDRESSING à l’adresse postale suivante : 11, avenue Parmentier 75011 PARIS, ou par courrier électronique : serviceclient@videdressing.com.
Sur les mesures de sécurité
L’ensemble des actions effectuées par les destinataires des données sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.Les mesures de sécurité mises en place n’appellent pas d’observations.
Sur les autres caractéristiques du traitement
Les données sur les éventuels fraudeurs (nom, prénom, numéro de commande, numéro de client interne et montant de la commande) sont conservées en base archive par le prestataire de paiement pendant une année. La Commission relève que, dès lors qu'un fraudeur a été identifié par la société VIDEDRESSING SAS, son adresse électronique est inscrite dans la liste noire détenue par le prestataire de service de paiement. Seuls les collaborateurs du Service risque du prestataire ont accès à la liste noire.En cas d’annulation de commande, le service comptabilité conserve pendant 6 mois, une trace papier de la commande et de l’échange avec l’émetteur de la carte de paiement VIDEDRESSING SAS n’a pas connaissance des identifiants du moyen de paiement. Les échanges se font sur la base d’un numéro d’autorisation ou d’un numéro de transaction.Les données relatives à la carte de paiement sont traitées par  VIDEDRESSING SAS le temps de la transaction. Ces données sont ensuite archivées par le prestataire monétique pendant une durée maximale de 15 mois.Il existe une liste des impayés en cours, également détenue par le prestataire. Cette liste permet de bloquer les commandes non réglées. Dans cette hypothèse, la société VIDEDRESSING SAS contacte le vendeur pour lui demander de régulariser sa situation. L’inscription sur cette liste prend fin au moment de la régularisation de l’impayé. En l’absence de régularisation, le vendeur est alors inscrit en liste noire.Les données qui font l’objet d’une
inscription en liste noire sont conservées pendant une durée de 3 ans. Les autres caractéristiques du traitement n’appellent pas d’observations.
Autorise, conformément à la présente délibération, la société VIDEDRESSING SAS à mettre en œuvre le traitement susmentionné.
Pour La Présidente
La Vice-Présidente déléguée,
M.-F. MAZARS
La Commission nationale de l'informatique et des libertés,Saisie par Pôle emploi d'une demande d'avis relative à la mise en œuvre d'un traitement de données à caractère personnel concernant les demandeurs d'emploi et les salariés et impliquant, notamment, la collecte et le traitement de numéros d'inscription des personnes au répertoire national d'identification des personnes physiques ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu le code du travail, notamment ses articles L. 5312-1 et suivants ;Vu le code de l'entrée et du séjour des étrangers en France, notamment ses articles R. 611-1 à R. 611-7-4 ;Vu le livre des procédures fiscales, notamment son article L. 152 ;Vu la loi n° 2008-126 du 13 février 2008 relative à la réforme de l'organisation du service public de l'emploi ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment les dispositions du 1° du I de son article 27 :Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 2012-927 du 30 juillet 2012