AgentPublic/cnil huggingface dataset:
Les violations des politiques nationales de certains Etats (ci-après « violations graves ») concernent la corruption, le blanchiment de capitaux résultant de la criminalité organisée et le soutien au terrorisme, aux personnes poursuivies ou recherchées pour crimes de guerre, crimes contre l’humanité, génocides, trafics d’arme, de drogues ou autres substances ou objets illicites, d’êtres humaines ou d’animaux et/ou autres atteintes graves à la sécurité nationale, aux biens ou aux personnes généralement reconnues comme des crimes par le code pénal français.
Les mesures de due diligence consistent à vérifier si le nom des cocontractants de COSAS figure dans les listes publiques de sociétés, organisations et personnes listées dans les listes de sanctions internationales ou en raison de leur participation à des violations graves accessibles établies ou édictées par des autorités nationales et internationales. Ces vérifications sont effectuées à l’aide d’une base de données fournie par le prestataire auquel a recours COSAS, en charge de la compilation et de la mise à jour des données.
Les éléments d’information utilisés par ce prestataire procèdent de sources officielles nationales et internationales, des informations issues de la presse, des décisions de justice ou d’autorités publiques.
Ces vérifications portent essentiellement sur les entités personnes morales contractant avec COSAS. Cependant, dans certains cas, elles peuvent porter sur des dirigeants de droit et de faits et sur les actionnaires principaux des co-contractants de COSAS.
L’utilisation de la base de données du prestataire peut donner lieu à des résultats (« Hit » ou « No Hit ») analysés
manuellement par la suite pour s’assurer que les personnes concernées sont effectivement celles visées dans les listes et écarter notamment les cas d’homonymie.
La Commission prend acte que la société COSAS est particulièrement exposée compte tenu de la nature de ses produits dans le domaine de la pétrochimie. En outre, de part le périmètre géographique de ses activités, elle peut être amenée à opérer avec des Etats à risques dont les gouvernements et/ou certaines organisations et individus qui y sont établis peuvent faire l’objet de sanctions internationales. La violation des lois américaines dans cet environnement à risque pourrait notamment engager le groupe Chevron.
La société COSAS met en place une approche graduée et proportionnée :
En limitant le traitement à des dirigeants et actionnaires de référence ;
En engageant d’abord un processus de vérifications manuelle, en cas d’occurrence, notamment afin d’éliminer les risques d’homonymie, de s’assurer de l’identité des personnes listées et un dirigeant et/ou un actionnaire de référence du partenaire envisagé, et de vérifier l’exactitude et la pertinence des informations fournies ;
En s’abstenant de toute prise de décision sur la seule base de ce traitement, qui constituera un élément d’appréciation parmi d’autres considérations globales.
L’outil fourni par le prestataire de service est configuré de telle sorte que la société COSAS ne puisse disposer que des informations spécifiques aux domaines précités.
Les informations détectées lors de ces opérations de vérification peuvent conduire la société COSAS à suspendre la transaction engagée avec les personnes concernées, après consultation de listes des personnes faisant l’objet de sanctions financières ou de mesures de restriction.
La Commission considère que les vérifications portant sur ces listes doivent procéder d’une obligation légale et ne doivent porter que sur une catégorie de personnes déterminée au regard du risque encouru conformément au principe de proportionnalité. Elle rappelle qu’aucune décision de refus d’entrée en relation ne peut être prise sur la base des seuls éléments d’information recueillis par le biais de l’outil utilisé, qui devront faire l’objet d’un examen individuel, permettant de lever les cas d’homonymies, après collecte, le cas échéant, d’informations complémentaires.
La Commission considère que sont légitimes, les vérifications portant sur les listes appliquées en France et dans le pays d’établissement de la maison mère et émises par une autorité publique dès lors que COSAS est tenue de les appliquer.
Dans ces conditions, la Commission estime que le traitement répond à l’intérêt légitime du responsable du traitement conformément à l’article 7-5° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Dans le cadre des vérifications portant sur la base de données du prestataire extérieur auquel à recours COSAS, seules les données suivantes sont collectées :
Le nom et prénom
Le pays de résidence
L’existence ou l’absence d’occurrence dans la base de données
Les vérifications porteront uniquement sur les dirigeants et les actionnaires des co-contractant, c’est-à-dire pour les dirigeants des partenaires commerciaux : les représentants légaux, les dirigeants de fait, les personnes bénéficiant d’une délégation générale ou d’un mandat équivalent selon le droit applicable et pour les principaux actionnaires, toute personne qui détient directement ou indirectement le contrôle du capital ou une partie substantielle de celui-ci et/ou une majorité des votes.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
Seules sont destinataires des données les personnes habilitées de la Direction des Ventes, des Achats, Juridique et Compliance.La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données traitées.
Sur l’information et le droit d’accès 
Les personnes concernées seront informées de l’existence du programme portant sur l’identification des personnes sous le coup d’une sanction économiques internationales ou de violations graves édictées par les autorités publiques via une mention d’information insérée dans les conditions générales d’achat (fournisseurs) et de vente (clients). Les personnes concernées pourront exercer leurs droits d’accès, de rectification et d’opposition à l’adresse suivante : Direction générale, COSAS, le Corosa, 1 rue Eugène et Armand Peugeot CS 10022, 92508, Rueil-Malmaison Cedex.
Sur les mesures de sécurité
Des mesures sont prises afin de préserver la sécurité et la confidentialité des données et, notamment, empêcher que des tiers non autorisés y aient accès. Les accès au système d’information et les opérations effectuées sur les supports d’enregistrement des données sont tracés.Les mesures de sécurité envisagées n’appellent pas d’observations particulières ; la Commission rappelle cependant la nécessité d’une mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
S’agissant de la durée de conservation, lorsqu’un contrat est conclu, les rapports traités et composés par la société Chevron Oronite SAS sur la base des informations recueillies et sélectionnées, lors des différentes étapes de vérification, sont conservés en base active pendant 90 jours à compter de l’évaluation, quel que soit le niveau du risque identifié. Les données sont ensuite archivées pendant dix ans pour pouvoir justifier, le cas échéant, des diligences auprès des autorités compétentes. Lorsqu’un contrat est conclu avec un partenaire commercial, la preuve des vérifications opérées sur les dirigeants et/ou associés est conservée pendant la durée du contrat concerné qui peut aller de trois à cinq ans, puis les données sont versées en archives pendant six ans à compter de la fin de la relation contractuelle.En fin, le processus de vérification fait intervenir un prestataire extérieur situé aux Etats-Unis qui a fait l’objet d’une certification « Safe Harbor ».
Autorise, conformément à la présente délibération, la société Chevron Oronite SAS à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1822424)
La Commission nationale de l'informatique et des libertés,
Saisie par Monsieur Michael SOUR, pris en qualité de mandataire judiciaire à la protection des majeurs exerçant à titre individuel, d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalités la gestion et le suivi de la représentation juridique des personnes placées par l’autorité judiciaire sous sauvegarde de justice, sous curatelle ou sous tutelle ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment ses articles L. 361-1, L. 471-1 à L. 473-4 et R. 472-1 à R. 472-26 ;
Vu le code civil ;
Vu le code de procédure pénale, notamment ses articles 706-112 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25 ;
Vu la loi n° 2007-308 du 5 mars 2007 portant réforme de la protection juridique des majeurs ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté nominatif d'agrément du Préfet du Bas-Rhin en date du 30 septembre  2011 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Monsieur Michael SOUR, pris en sa qualité de mandataire judiciaire à la protection des majeurs, exerçant à titre individuel au 12 boulevard de la Marne - 67000  STRASBOURG.Le responsable de traitement exerce la mission de mandataire judiciaire à la protection des majeurs que le juge des tutelles lui confie conformément aux dispositions de l’article L. 471-1 du code de l’action sociale et des familles (CASF).Le responsable de traitement est spécifiquement agréé en tant que tel par le préfet de son département.
Sur la finalité
Monsieur Michael SOUR a saisi la Commission, en qualité de mandataire judiciaire à la protection des majeurs, d’une demande d’autorisation afin de mettre en œuvre un traitement de données à caractère personnel ayant pour finalités la gestion et le suivi de la représentation juridique des personnes placées par l’autorité judiciaire sous sauvegarde de justice, sous tutelle ou sous curatelle relevant de son mandat.A ce titre, une gestion administrative et comptable du service de tutelle est nécessaire. La Commission considère que cette finalité est déterminée, explicite et légitime.Le traitement, justifié par l’intérêt public, peut faire apparaître, directement ou indirectement, les opinions  religieuses ou des données relatives à la santé des personnes. Dès lors, il y a lieu de faire application des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements, automatisés ou non, portant sur de telles données.Il convient également de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.La Commission estime qu’il y a également lieu de faire application de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements portant sur des données parmi lesquelles figure le numéro d’inscription des personnes au répertoire national
Sur les données traitées
Les données collectées dans le cadre du présent traitement sont, en fonction du type de la mesure de protection (sauvegarde de justice, curatelle ou tutelle), du contenu précis de la mesure prononcée par le juge et de la nature des actes à accomplir, relatives :
à  l’identification des personnes et, le cas échéant, à celle de leurs conjoints et enfants (nom, prénom, adresse, photographie, date et lieu de naissance, situation familiale et patrimoniale) ;
à leur vie personnelle (situation familiale, habitudes de vie) ;
à leur vie professionnelle (situation professionnelle) ;
à des informations d’ordre économique et financier (revenus, situation financière) ;
aux données de connexion (identifiants de connexion) ;
aux opinions religieuses ; 
aux données de santé (pathologie, affections, données relatives aux soins et comportements à risques) ;
aux infractions, condamnations ou mesures de sûreté, dans les limites prévues par les dispositions législatives en vigueur ;
au numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (numéro de sécurité sociale), uniquement dans le cadre d’échanges avec des professionnels de santé, des organismes de sécurité sociale, de prévoyance ou de retraite, ainsi que des financeurs de prestations sociales ou médico-sociales ;
à des appréciations sur les difficultés sociales des personnes.
Les données à caractère personnel enregistrées dans le présent traitement sont conservées jusqu’à la prescription de l’action en reddition des comptes, en revendication ou en paiement diligentée par la personne protégée ou ses héritiers à savoir, en application de l’article 515 du code civil, cinq ans à compter de la fin de la mesure de protection, sauf interruption ou suspension de la prescription.  La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie.
Sur l’information et le droit d’accès 
Les personnes concernées par le présent traitement sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales figurant sur une notice d’information et sur la charte des droits et libertés du majeur protégé remises par le responsable de traitement aux personnes concernées lors de l’ouverture de la mesure.La Commission considère que cette modalité d’information des personnes est satisfaisante. Elle rappelle que cette information doit être fournie selon des modalités adaptées à leur état.Sauf décision contraire du juge des tutelles, les droits d’accès, de rectification et d’opposition pour motif légitime s’exercent auprès de Monsieur Michael SOUR, par courrier, fax ou courriel.  La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes. 
Sur les mesures de sécurité
La Commission prend acte que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.L’authentification des utilisateurs est assurée par des mots de passe régulièrement renouvelés et constitués de huit caractères contenant des lettres minuscules et majuscules, des chiffres et des caractères spéciaux.Les habilitations d’accès au système d’information sont définies en fonction des attributions des utilisateurs. Les échanges de données effectués sur internet doivent être sécurisés par des procédés de chiffrement du transport des données.La Commission rappelle que les accès à l’application doivent faire  l’objet d’une journalisation et  que la conservation des traces ne peut excéder une durée de six mois, au-delà de laquelle celles-ci doivent être supprimées.Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévues par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Autorise, conformément à la présente délibération, Monsieur Michael SOUR, pris en qualité de mandataire judiciaire à la protection des majeurs exerçant à titre individuel,  à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1815122)
La Commission nationale de l'informatique et des libertés,
Saisie par Madame Sophie DAUDE, prise en qualité de mandataire judiciaire à la protection des majeurs exerçant à titre individuel, d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalités la gestion et le suivi de la représentation juridique des personnes placées par l’autorité judiciaire sous sauvegarde de justice, sous curatelle ou sous tutelle ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment ses articles L. 361-1, L. 471-1 à L. 473-4 et R. 472-1 à R. 472-26 ;
Vu le code civil ;
Vu le code de procédure pénale, notamment ses articles 706-112 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25 ;
Vu la loi n° 2007-308 du 5 mars 2007 portant réforme de la protection juridique des majeurs ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté nominatif d'agrément du Préfet des Landes en date du 22 mai 2014 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Madame Sophie DAUDE, prise en sa qualité de mandataire judiciaire à la protection des majeurs exerçant à titre individuel, sise allée des Hortensias, 40 140 SOUSTRONS.Le responsable de traitement exerce la mission de mandataire judiciaire à la protection des majeurs que le juge des tutelles lui confie conformément aux dispositions de l’article L. 471-1 du code de l’action sociale et des familles (CASF).Le responsable de traitement est spécifiquement agréé en tant que tel par le préfet de son département.
Sur la finalité
Madame Sophie DAUDE a saisi la Commission, en qualité de mandataire judiciaire à la protection des majeurs, d’une demande d’autorisation afin de mettre en œuvre un traitement de données à caractère personnel ayant pour finalités la gestion et le suivi de la représentation juridique des personnes placées par l’autorité judiciaire sous sauvegarde de justice, sous tutelle ou sous curatelle relevant de son mandat.A ce titre, une gestion administrative et comptable du service de tutelle est nécessaire. La Commission considère que cette finalité est déterminée, explicite et légitime.Le traitement, justifié par l’intérêt public, peut faire apparaître, directement ou indirectement, les opinions politiques et religieuses, l’appartenance syndicale et des données relatives à la santé des personnes. Dès lors, il y a lieu de faire application des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements, automatisés ou non, portant sur de telles données.Il convient également de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.La Commission estime qu’il y a également lieu de faire application de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements portant sur des données parmi lesquelles figure le numéro d’inscription des
Sur les données traitées
Les données collectées dans le cadre du présent traitement sont, en fonction du type de la mesure de protection (sauvegarde de justice, curatelle ou tutelle), du contenu précis de la mesure prononcée par le juge et de la nature des actes à accomplir, relatives :
à  l’identification des personnes et, le cas échéant, à celle de leurs conjoints et enfants (nom, prénom, adresse, photographie, date et lieu de naissance) ;
à leur vie personnelle (situation familiale, habitudes de vie) ;
à leur vie professionnelle (CV, situation professionnelle) ;
à des informations d’ordre économique et financier (revenus, situation financière) ;
à des données de connexion (identifiants de connexions) ;
aux opinions politiques et religieuses et à l’appartenance syndicale ;  
à la santé ;
aux infractions, condamnations ou mesures de sûreté, dans les limites prévues par les dispositions législatives en vigueur ;
au numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (numéro de sécurité sociale), uniquement dans le cadre d’échanges avec des professionnels de santé, des organismes de sécurité sociale, de prévoyance ou de retraite, ainsi que des financeurs de prestations sociales ou médico-sociales ;
à des appréciations sur les difficultés sociales des personnes.
Les données à caractère personnel enregistrées dans le présent traitement sont conservées jusqu’à la prescription de l’action en reddition des comptes, en revendication ou en paiement diligentée par la personne protégée ou ses héritiers à savoir, en application de l’article 515 du code civil, cinq ans à compter de la fin de la mesure de protection, sauf interruption ou suspension de la prescription.  La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie.
Sur l’information et le droit d’accès 
Les personnes concernées par le présent traitement sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par une notice d’information remise par le responsable de traitement aux personnes concernées lors de l’ouverture de la mesure, à laquelle est annexée la charte des droits et libertés des personnes protégées.La Commission considère que cette modalité d’information des personnes est satisfaisante. Elle rappelle que cette information doit être fournie selon des modalités adaptées à leur état.Sauf décision contraire du juge des tutelles, les droits d’accès, de rectification et d’opposition pour motif légitime s’exercent auprès de Madame Sophie DAUDE, par courrier, fax ou courriel.  La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes. 
Sur les mesures de sécurité
La Commission prend acte que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.L’authentification des utilisateurs est assurée par des mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules, des chiffres et des caractères spéciaux.Les habilitations d’accès au système d’information sont définies en fonction des attributions des utilisateurs. Les échanges de données effectués sur internet sont sécurisés par des procédés de chiffrement du transport des données.La Commission rappelle que les accès à l’application doivent faire l’objet d’une journalisation et que la conservation des traces ne peut excéder une durée de six mois, au-delà de laquelle celles-ci doivent être supprimées. Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévues par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Autorise, conformément à la présente délibération, Madame Sophie DAUDE, prise en qualité de mandataire judiciaire à la protection des majeurs exerçant à titre individuel, à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN