AgentPublic/cnil huggingface dataset:
Conformément aux dispositions de l’article 39 de la loi du 6 janvier 1978 modifiée, le droit d’accès s’exerce auprès de la Compagnie européenne de garanties et cautions.
Autorise, dans les conditions prévues par la présente délibération, la Compagnie européenne de garanties et cautions à mettre en œuvre un traitement automatisé d’aide à la décision en matière d’octroi de garanties.
                                                                                Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, et notamment son article 25-I-5° ; 
Vu la loi n° 2000-108 du 10 février 2000 relative à la modernisation et au développement du service public de l’électricité, et notamment son article 4 ;
Vu le décret n° 2004-325 du 8 avril 2004 relatif à la tarification spéciale de l’électricité comme produit de première nécessité ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2004-089 du 18 novembre 2004 portant autorisation d’un traitement de données à caractère personnel dans le cadre de la mise en œuvre du dispositif de tarification spéciale de l’électricité comme produit de première nécessité (1046711) ;
Sur le rapport de M. Claude DOMEIZEL, Commissaire et les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, Electricité de France (EDF) à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion des attestations des ayants droit bénéficiaires du Tarif de Première Nécessité (TPN), dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Responsable du traitement
Electricité de France (EDF) 
Finalités
Le traitement a pour objet d’assurer la gestion des attestations des ayants droit sélectionnés par les organismes d’assurance maladie afin qu’il puisse bénéficier pendant un an du tarif de première nécessité (TPN).La mise en place d’un traitement de pré-remplissage de l’attestation permettant aux clients, remplissant les conditions de ressources nécessaires, de demander l’application de la tarification spéciale de l’électricité comme produit de première nécessité. Ce pré-remplissage de l’attestation, réalisé par un prestataire d’EDF, a pour objectif de simplifier l’accès à ce tarif.
Caractéristiques particulières du traitement
Le processus est le suivant : 
les organismes d’assurance maladie envoient au prestataire d’EDF la liste des ayants droit au TPN ;
le prestataire transmet à EDF la liste des ayants droit du territoire de distribution d’ERDF ;
EDF croise ce fichier avec la base clientèle d’EDF et renvoie  au prestataire la liste des ayants droit retrouvés avec leurs références contractuelles ;
le prestataire envoie une attestation vierge aux ayants droits non retrouvés ou une attestation pré-remplie avec les références contractuelles retrouvées de l’ayant droit ;
si l’ayant droit veut bénéficier du TPN, il renvoie son attestation au prestataire ;
après vérification, le prestataire envoie à EDF la liste des ayants droit à qui appliquer le TPN.
Le processus reste inchangé par rapport à 2004, à l’exception du croisement de la liste des ayants droit avec la base clientèle d’EDF pour permettre un pré-remplissage des attestations pour les ayants droits figurant dans la base clientèle d’EDF.
Données traitées
Les données traitées sont : 
les noms et prénoms ;
l’adresse ;
la date et le lieu de naissance ;
identifiant du fichier chez le prestataire ;
le numéro de contrat EDF ;
le code tarif ;
le point de livraison ;
le numéro de client ;
le statut « connu » ou « non connu »;
les données relatives à l’accès au TPN.
En aucun cas, le numéro de téléphone ne figurera sur l’attestation pré-remplie adressée aux clients.
Destinataires
Seules les personnes habilitées du service national des consommateurs de la direction commerce d’EDF pourront être destinataires.
Durée de conservation
Les données sont conservées pendant une durée maximum de 14 mois.
Information et droit d’accès
Les personnes seront informées par une mention d’information sur les attestations pré-remplies.Les droits d’accès, de rectification et d’opposition s’exerceront auprès du centre de relation clientèle d’EDF dont dépend le client et pour lequel les coordonnées figurent sur sa facture. 
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-3° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu les articles R. 421-9 et R. 412-17 du code de la route ;
Sur le rapport de M. Emmanuel de GIVRY, Vice-président délégué et les observations de  Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société SANEF à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la constatation des fraudes au péage sur la base des transactions, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Responsable du traitement
La société SANEF
Finalités
La lutte contre la fraude en contrôlant les transactions effectuées par les clients : contrôle des anomalies liées aux trajets (par exemple : absence de ticket ou usage d’un ticket illisible ou périmé), et contrôle des fraudes liées aux manipulations sur les tickets ou sur les données d’entrée consécutivement aux anomalies.Le dispositif présenté concerne la surveillance des fraudes aux péages. Il doit permettre à la société SANEF de constater et de poursuivre les infractions prévues aux articles R. 421-9 et R. 412-17 du code de la route résultant, pour tout conducteur, du refus d'acquitter le montant du péage ou de se soustraire d'une manière quelconque à ce paiement ; l’intéressé est passible de l'amende prévue pour les contraventions de la deuxième classe.
Catégories de données traitées
Les catégories de données traitées sont les suivantes :
données relatives aux clients (abonnés et non abonnés) : données d’identification, coordonnées, la photographie latérale des  véhicules et informations relatives aux cartes magnétiques de paiement ;
données relatives aux trajets ;
données relatives aux anomalies de parcours.
Destinataires
Les informations sont communiquées aux destinataires suivants :
les agents habilités du service Méthode et Contrôle Péage (MCP) ;
les sociétés dont le réseau est en continuité avec le réseau de SANEF.
Information et droit d’accès
Les clients abonnés sont informés, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée en août 2004, de l’identité du responsable de traitement, de la finalité poursuivie par le traitement, des destinataires des données et des droits qu’ils détiennent, dans les conditions générales du contrat. Les clients non-abonnés le sont par un affichage en gare d’entrée et de sortie.Les droits d’accès et de rectification s’exerceront auprès de la société SANEF – 30 boulevard Gallieni – 92130 ISSY LES MOULINEAUX.
Durée de conservation 
Les données relatives aux contrevenants sont conservées le temps de la prescription de l’infraction, à savoir en matière délictuelle 3 ans : un an sur le serveur central et deux ans supplémentaires en archivage sur une base externe indépendante, accessible limitativement et pour des requêtes spécifiques.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi du 6 août 2004, notamment son article 25-I-4° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu la demande d’autorisation déposée par la Banque SOCREDO relative à un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à la carte bancaire ;
Sur le rapport de Monsieur Jean Paul AMOUDRY, commissaire, et les observations de  Madame Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes : 
La Banque SOCREDO a saisi la Commission nationale de l’informatique et des libertés d’un projet de traitement de données à caractère personnel dont la finalité est de détecter des suspicions de fraude à la carte bancaire.
Sur la procédure suivie auprès de la Commission
La Commission observe que le traitement a pour objet d’identifier des opérations réalisées par carte bancaire, qui sont susceptibles d’être constitutives d’une fraude et nécessitent de ce fait une confirmation du porteur, et les commerçants auxquels correspondent des tentatives de fraude et qui à ce titre sont soupçonnés de ne pas respecter leurs obligations issues du contrat d’adhésion au système de paiement de proximité ou de vente à distance par cartes bancaires.
Dès lors, ce traitement peut avoir pour effet d’empêcher, même temporairement, le porteur de faire usage de son moyen de paiement ou peut inciter la banque à rompre, pour des raisons de prudence, toute relation contractuelle avec un commerçant.
Il en résulte que le traitement mis en œuvre peut avoir pour effet d’exclure temporairement des personnes du bénéfice d’une prestation : l’utilisation d’une carte bancaire, en l’absence de toute disposition législative ou réglementaire le prévoyant. Dès lors, il relève du 4° de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, être autorisé par la CNIL.
Sur les finalités et les fonctions du traitement
Le traitement qui émet des alertes en temps réel sur la base des demandes d’autorisation et des transactions vise à :
analyser et à surveiller, au vu des demandes d’autorisation transmises par l’ensemble des commerçants, les modalités d’utilisation des terminaux de paiement électroniques (TPE) des commerçants acquéreurs qui sont ses clients afin d’identifier des points de compromission ;
détecter le plus rapidement possible les suspicions de fraude liées à l’utilisation d’une carte de paiement, afin d’en limiter les conséquences dommageables en permettant l’adoption de mesures adaptées dans les meilleurs délais. 
La Commission observe que les fraudes recherchées correspondent 
à des utilisations illégitimes d’une carte de paiement ou des données qui y sont attachées, lorsque ces utilisations risquent d’avoir des conséquences préjudiciables pour le porteur de la carte ou son établissement bancaire. Les utilisations d’une carte par son porteur légitime qui sont rendues irrégulières du seul fait d’un défaut de provision ne font pas partie des risques de fraude qui donnent lieu à la production d’alertes.
à des utilisations illégitimes d’un terminal de paiement par un commerçant acquéreur.
Les critères permettant de générer des alertes sont les suivants : 
le pays de réalisation de la transaction,
le montant de la transaction,
la date de la transaction,
la conclusion de l’opération (autorisation),
le nombre d’opérations réalisées chez un même commerçant dans un intervalle de 24 heures,
l’absence du porteur des fichiers clients de la Banque SOCREDO ou chez un commerçant,
le mode de réalisation de la transaction (notamment en cas de vente à distance par internet ou d’utilisation du système 3D Secure).
Ces alertes peuvent concerner des porteurs ou des commerçants acquéreurs.
A chaque alerte, un niveau de risque global est calculé sur la base de ces critères et des éventuelles alertes émises précédemment pour la même carte durant les dernières 24 heures ouvrées.
La Commission observe que ce traitement de détection des alertes ne permet pas d’établir une liste noire des porteurs ou des commerçants présentant un risque mais seulement d’analyser les alertes émises sur une période de 24 heures glissant ; de même ce traitement ne permet pas d’établir une liste des terminaux de paiements auxquels correspondent un taux significatif d’utilisations frauduleuses ou de tentatives d’utilisation frauduleuse.
Les alertes ainsi obtenues sont traitées selon les modalités suivantes :
s’agissant des alertes relatives au porteur : la banque SOCREDO tente de rentrer en contact téléphonique avec le porteur pour vérifier si ce dernier est à l’origine de la transaction à l’origine de l’alerte. 
s’agissant des alertes relatives au commerçant acquéreur : la banque sollicite le commerçant afin d’obtenir le justificatif de la transaction. Dans les cas où le commerçant ne peut pas fournir ce document, les chargés de clientèle sont alertés afin de prendre contact avec le commerçant.
La CNIL relève que le personnel de la Direction des opérations n’est pas habilité à procéder, de sa propre initiative, au blocage du moyen de paiement ou même de la transaction. En cas d’indice de risque de fraude jugé élevé ou en présence de plusieurs alertes, il peut décider d’appliquer à la carte bancaire une restriction temporaire de fonctionnement pendant le temps nécessaire à la prise de contact avec le porteur.
La Commission souligne que ce traitement ne peut pas donner lieu au blocage de la transaction ou à la mise en opposition de la carte bancaire sans avoir au préalable obtenu le consentement du porteur.
La Commission insiste cependant  sur la nécessité de paramétrer le traitement automatisé en fonction d’un niveau de risque jugé acceptable par le responsable de traitement afin de ne pas multiplier le nombre de fausses alertes susceptibles de provoquer une gêne injustifiée pour les porteurs légitimes de cartes.
Enfin, ce traitement permet d’établir une typologie des utilisations frauduleuses élaborée sur la base d’un traitement statistique de l’historique des autorisations. Cette typologie est utilisée pour analyser les demandes d’autorisations transmises à la banque et évaluer le niveau de fraude.
Les caractéristiques du traitement ainsi définies sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les données traitées et la durée de conservation :
Les catégories de données collectées afin de vérifier la pertinence de l’alerte et de prendre contact avec le porteur sont relatives :
à l’identification du porteur : identité et numéro de téléphone 
à sa situation économique et financière : numéro et date de validité de la carte, identifiant du compte bancaire auquel est attachée la carte, type de paiement, réponse et date d’autorisation, pays de réalisation de la transaction, devise et montant de la transaction, et son mode de lecture, abonnement au dispositif de banque à domicile de SOCREDO
à l’identification du commerçant : numéro.
Les alertes sont conservées pendant une durée maximum de 30 jours glissants.
La Commission considère que les données collectées sont adéquates, pertinentes et non excessives au regard de la finalité du traitement.
Sur les destinataires du traitement 
Seuls ont accès au traitement de gestion des alertes les agents habilités de la Direction des opérations.
Les chargés de clientèle peuvent également avoir connaissance des alertes pour les seules transactions intéressant leurs clients.
Les personnels habilités de la Direction des systèmes d’information peuvent également avoir accès à ce traitement pour l’exercice de leurs missions.
Sur les modalités d’information et d’exercice des droits des personnes 
Les personnes concernées sont informées de la mise en œuvre et des conséquences de ce traitement lors de la signature du contrat porteur et du contrat commerçant.
Les personnes concernées peuvent exercer leur droit d’accès conformément aux dispositions de l’article 39 de la loi n°78-17 du 6 janvier 1978 modifiée.
Autorise, dans les conditions prévues par la présente délibération, la banque SOCREDO à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à la carte bancaire.
                                                                              
                                                                                  Le Président
Alex TURK
(demande d’autorisation 1309683)
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu la demande d’autorisation, présentée par la société NERESSIS SAS, d’un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’une liste des annonceurs faisant l’objet d’une mesure d’interdiction de publication d’annonces sur le journal « de Particulier à Particulier » et sur le site Internet www.pap.fr ;
Après avoir entendu M. Claude DOMEIZEL, commissaire, en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes
La société NERESSIS SAS est spécialisée dans la mise en relation entre vendeurs et acheteurs particuliers de biens principalement immobiliers. Elle édite le journal « de Particulier à Particulier » et le site Internet www.pap.fr. 
La société NERESSIS SAS a adressé à la CNIL un dossier de formalités préalables relatif à la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’une liste des annonceurs faisant l’objet d’une mesure d’interdiction de publication d’annonces sur le journal « de Particulier à Particulier » et sur le site Internet www.pap.fr.
Les personnes inscrites sur la liste d’exclusion détenue par la société NERESSIS SAS seront les professionnels de l’immobilier ayant tenté de publier une annonce sur le journal « de Particulier à Particulier » ou le site Internet www.pap.fr, ainsi que les particuliers ayant tenté d’obtenir une commission d’intermédiaire auprès des acheteurs potentiels suite à la publication d’une annonce. 
Les personnes inscrites sur la liste d’exclusion en seront informées par courrier postal et pourront contester le projet de décision d’inscription sur cette liste.
Une fois les personnes inscrites sur cette liste, celles-ci ne pourront pas, pendant une période de cinq ans à compter de l’inscription sur la liste d’exclusion, publier d’annonce sur le journal « de Particulier à Particulier » et le site Internet www.pap.fr de la société NERESSIS SAS. Les données seront donc supprimées au bout de cette période de cinq ans. Toute nouvelle tentative de publication d’une annonce impliquera une nouvelle inscription sur la liste d’exclusion et fera donc repartir ce délai de cinq ans. 
La Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire. 
Les catégories de données à caractère personnel enregistrées seront relatives :
à l’identité des personnes (nom, prénom, date de naissance, inscription professionnelle, tout élément permettant de prouver l’exercice de la profession immobilière) ; 
aux annonces publiées (caractéristiques et situation des logements, numéros de téléphone).
La durée de conservation des informations sera de 5 ans.
Concernant la durée de la mesure d’exclusion, les personnes inscrites sur la liste ne pourront pas publier d’annonces sur le journal « de Particulier à Particulier » et le site Internet www.pap.fr de la société NERESSIS SAS pendant cinq ans à compter de leur inscription.
Les destinataires des informations seront, dans le cadre de leurs attributions respectives, les personnes habilitées chargées de la gestion de la liste d’exclusion, ainsi que les autorités judiciaires en cas d’action en justice. 
L’information des personnes quant à la possibilité qu’elles soient inscrites sur la liste d’exclusion s’effectuera par une mention sur le questionnaire de collecte, ainsi que sur le site Internet. La société NERESSIS SAS notifiera, individuellement par courrier postal, aux personnes concernées leur inscription sur la liste d’exclusion. 
Les droits d’accès et de rectification, définis au Chapitre V de la loi, s’exerceront auprès du responsable du service clientèle de la société NERESSIS SAS.
Dans ces conditions, la Commission autorise la société NERESSIS SAS à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la mise en place d’une liste des annonceurs faisant l’objet d’une mesure d’interdiction de publication d’annonces sur le journal « de Particulier à Particulier » et sur le site Internet www.pap.fr.
Le Président 
Alex TURK
Délibération n°2010- 420 du 16 novembre 2010 autorisant la mise en oeuvre par  l’Association Préfiguration Pays Vallée Isle  d’un traitement de données à caractère personnel dans  un système d’information géographique à partir des données cadastrales.   (autorisation n° 1435876) 
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-1-5° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de Mme Isabelle FALQUE-PERROTIN, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;