AgentPublic/cnil huggingface dataset:
(saisine 14036660) 
La Commission nationale de l'informatique et des libertés,
Saisie par l’organisme de formation COMUNDI, le 24 mars 2015, d’une demande de renouvellement de label concernant sa formation intitulée « Sécuriser les flux transfrontières de données à caractère personnel » ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11 3°c ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés notamment ses articles 32 et suivants ;
Vu la délibération n° 2011-315 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de formation tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu la délibération n° 2012-341 du 27 septembre 2012 portant labellisation de la formation intitulée « Sécuriser les flux transfrontières de données à caractère personnel » de l’organisme de formation COMUNDI ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-François CARREZ, commissaire, président du Comité de labellisation et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
Le titulaire d’un label, précédemment délivré par la Commission, peut transmettre une demande de renouvellement. D’après l’article 44 du règlement intérieur de la CNIL, cette demande doit avoir lieu au moins six mois avant la date d’échéance. 
En l’espèce, l’organisme COMUNDI a obtenu, le 27 septembre 2012 et pour une durée de trois ans, un label CNIL pour sa formation intitulée « Sécuriser les flux transfrontières de données à caractère personnel ». 
Le 24 mars 2015, l’organisme a transmis à la Commission une demande de renouvellement.
Pour rappel, la formation, objet de la demande, se compose comme suit : 
- Maîtriser la notion de flux transfrontières
- Identifier le niveau de protection des données d’un pays
- Mettre en place les clauses contractuelles et éviter toute sanction
La demande de label présentée par l’organisme de formation COMUNDI inclut les modules complémentaires suivants : 
la présentation de la CNIL et de ses missions ;
la présentation des formalités préalables à la mise en œuvre des traitements ;
la présentation de l’encadrement des transferts de données hors de l’Union européenne ;
la présentation du rôle du correspondant à la protection des données à caractère personnel ;
la présentation de l’encadrement des traitements dans le domaine de la santé ;
la présentation du pouvoir de contrôle a posteriori de la CNIL ;
la présentation du pouvoir de sanction de la CNIL ;
la présentation des dispositions pénales associées au non-respect de la loi Informatique et libertés.
La Commission reconnaît que la formation présentée est toujours conforme au référentiel auquel elle se rapporte, conformément à l’article 37 de son règlement intérieur.
Décide :
Du renouvellement du label CNIL « formation » pour la formation intitulée « Sécuriser les flux transfrontières de données à caractère personnel » de l’organisme de formation COMUNDI. 
Ce label est délivré pour une nouvelle durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
La Présidente
I. FALQUE-PIERROTIN
(saisine 15008515) 
La Commission nationale de l'informatique et des libertés,
Saisie par BNP PARIBAS Securities Services, le 17 mars 2015, d’une demande de renouvellement de label concernant sa formation intitulée « Conformité – Protection des données personnelles » ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11 3°c ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés notamment ses articles 32 et suivants ;
Vu la délibération n° 2011-315 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de formation tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu la délibération n° 2012-340 du 27 septembre 2012 portant labellisation de la formation intitulée « Conformité – Protection des données personnelles  » de BNP PARIBAS Securities Services ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, membre du Comité de labellisation et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
Le titulaire d’un label, précédemment délivré par la Commission, peut transmettre une demande de renouvellement. D’après l’article 44 du règlement intérieur de la CNIL, cette demande doit avoir lieu au moins six mois avant la date d’échéance. 
En l’espèce, l’organisme BNP PARIBAS Securities Services a obtenu, le 27 septembre 2012 et pour une durée de trois ans, un label CNIL pour sa formation intitulée « Conformité – Protection des données personnelles  ». 
Le 17 mars 2015, l’organisme a transmis à la Commission une demande de renouvellement.
Pour rappel, la formation, objet de la demande, se compose comme suit : 
- La présentation de la CNIL et de ses missions
- Les formalités préalables
- Le transfert des données hors Union européenne
- Le pouvoir de contrôle a posteriori
- Les dispositions pénales associées au non respect de la loi Informatique et Libertés
La demande de label présentée par XXX inclut les modules complémentaires suivants : 
la présentation de la CNIL et de ses missions ;
la présentation des formalités préalables à la mise en œuvre des traitements ;
la présentation de l’encadrement des transferts de données hors de l’Union européenne ;
la présentation du pouvoir de contrôle a posteriori de la CNIL ;
la présentation du pouvoir de sanction de la CNIL ;
la présentation des dispositions pénales associées au non-respect de la loi Informatique et libertés.
La Commission reconnaît que la formation présentée est toujours conforme au référentiel auquel elle se rapporte, conformément à l’article 37 de son règlement intérieur.
Décide :
Du renouvellement du label CNIL « formation » pour la formation intitulée « Conformité – Protection des données personnelles  » de BNP PARIBAS Securities Services. 
Ce label est délivré pour une nouvelle durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
La Présidente
I. FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie par le ministre des finances et des comptes publics d'une demande d'avis concernant un projet d'arrêté modifiant l'arrêté du 21 février 2014 portant création par la direction générale des finances publiques d'un outil de lutte contre la fraude dénommé  ciblage de la fraude et valorisation des requêtes  (CFVR) ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu le code général des impôts, notamment ses articles 1741 et suivants ;Vu le livre des procédures fiscales, notamment ses articles L. 10, L. 81, L. 229 à L. 231 ;Vu le code pénal, notamment ses articles 313-1 et suivants ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26 (I, 2°) ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu l'arrêté du 21 février 2014 modifié portant création par la direction générale des finances publiques d'un traitement automatisé de lutte contre la fraude dénommé  ciblage de la fraude et valorisation des
requêtes  ;Vu la délibération n° 2014-045 du 30 janvier 2014 portant avis sur un projet d'arrêté portant création par la direction générale des finances publiques d'un traitement automatisé de lutte contre la fraude dénommé  ciblage de la fraude et valorisation des requêtes  ;Après avoir entendu M. Jean-Luc VIVET, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :La commission a été saisie, par le ministre des finances et des comptes publics, d'une demande d'avis sur un projet d'arrêté modifiant l'arrêté du 21 février 2014 susvisé relatif au traitement automatisé de données à caractère personnel dénommé  ciblage de la fraude et valorisation des requêtes  (CFVR), mis en œuvre par la direction générale des finances publiques (DGFiP).Cet arrêté, pris après l'avis de la commission en date du 30 janvier 2014, a autorisé la mise en œuvre, à titre expérimental pour une durée d'un an, dudit traitement, basé sur du datamining et ayant pour finalité la lutte contre la fraude fiscale, et en particulier la fraude aux remboursements de TVA concernant les contribuables professionnels. Au vu de cette expérimentation, le ministère souhaite généraliser la mise en œuvre du traitement CFVR et étendre son périmètre à l'ensemble des fraudes fiscales et des contribuables.Dans la mesure où le traitement projeté a notamment pour objet la prévention, la recherche, la constatation et la poursuite d'infractions pénales, sa mise en œuvre doit être autorisée par arrêté ministériel, pris après avis motivé et publié de la commission, en application des dispositions de l'article 26 (I, 2°) de la loi du 6 janvier 1978 modifiée.Dans son avis du 30 janvier 2014, la commission avait pris acte de certaines garanties prévues dans le cadre de la mise en œuvre du traitement, dont le caractère expérimental du dispositif, le périmètre restreint de
l'expérimentation menée à la fraude à la TVA et aux seuls contribuables professionnels ainsi que le fait que les éléments qui en seront issus ne conduisent pas automatiquement à une programmation des contrôles ou à des décisions de redressement.Elle avait néanmoins demandé qu'un bilan détaillé lui soit communiqué avant toute pérennisation du traitement. C'est dès lors à l'aune de ce bilan d'expérimentation que l'ensemble des conditions de mise en œuvre du traitement projeté sont examinées par la commission. A cet égard, elle estime que, compte tenu des enjeux soulevés par le datamining, la combinaison et le croisement croissant de différents outils de détection et de lutte contre la fraude, l'ampleur des données traitées ainsi que le caractère innovant du dispositif envisagé, le traitement CFVR doit être entouré de garanties fortes de nature à assurer un niveau élevé de protection des données.
Sur les finalités et le champ d'application du dispositif :Ce traitement s'inscrit dans le cadre de la lutte contre la fraude fiscale. Il a pour objectif principal d'améliorer le ciblage des contribuables à contrôler, en permettant de détecter, à partir des données contenues dans les dossiers des contribuables, les corrélations existantes entre les dossiers à risques et les comportements frauduleux, ou susceptibles de l'être, modélisés par un logiciel de datamining. Il est mis en œuvre par une mission, dénommée  Requêtes et Valorisation , rattachée au service du contrôle fiscal et au service des systèmes d'information de la DGFiP et dernièrement créée dans cette perspective de rationalisation du contrôle fiscal.Plus précisément, le mode de fonctionnement de CFVR résulte d'un programme se basant sur des équations mathématiques de probabilité. Analysant les données issues de plusieurs traitements mis en œuvre par la DGFiP, ce dispositif utilise une technique dite de  datamining  consistant en une fouille approfondie des données s'appuyant sur des méthodes exploratoires basées sur des algorithmes, notamment statistiques, de nature à permettre de modéliser des comportements frauduleux. Il doit permettre, par l'amélioration des capacités d'analyse de l'administration fiscale, de mieux identifier les situations potentiellement frauduleuses en mettant en évidence des incohérences ou des défaillances déclaratives dans les dossiers des contribuables, perfectionnant ainsi le ciblage
des contrôles à la suite de requêtes appropriées.A titre général, la commission rappelle que la finalité de lutte contre la fraude fiscale, qui constitue un objectif à valeur constitutionnelle, est légitime au sens de l'article 6-2° de la loi du 6 janvier 1978 modifiée.Elle relève en outre que la production de listes de situations susceptibles de présenter un risque de fraude significative n'a pas pour effet de déclencher automatiquement des opérations de contrôle fiscal. En effet, ces listes de résultats seront transmises aux agents compétents des services de la DGFiP, qui évalueront le risque avant de prendre toute décision de contrôle. Ainsi, les éléments directement issus du traitement n'auront qu'une valeur de signalement parmi d'autres à la disposition des services fiscaux et ne conduiront en aucun cas à une programmation automatique des contrôles ni, a fortiori, à des décisions de redressement directement opposables aux contribuables. Dans le cas où de tels contrôles seraient opérés, la commission rappelle qu'ils devront être mis en œuvre dans les conditions prévues par le livre des procédures fiscales (LPF) et notamment dans le respect du principe du contradictoire. Elle estime dès lors que le traitement est conforme aux dispositions de l'article 10 de la loi du 6 janvier 1978 modifiée.La commission prend par ailleurs acte que, à sa demande, le projet d'arrêté sera modifié de façon à mieux faire apparaître les finalités du dispositif CFVR, qui doivent être,
conformément à l'article 6-2° de ladite loi, déterminées et explicites. Elle estime que la modification envisagée permet de déterminer plus précisément les conditions de mise en œuvre du traitement des données ainsi que les conditions d'exploitation de ces dernières.Néanmoins, elle estime que la rédaction concernant la seconde finalité poursuivie par le traitement, relative à  l'optimisation des outils existants sur l'analyse risques , devrait être clarifiée.En tout état de cause, au vu du caractère innovant du dispositif et des risques qu'il est susceptible de faire peser sur la protection des données, la commission estime que son champ d'application doit être, dans un premier temps, limité et précisément déterminé avant d'être, le cas échéant, mis en œuvre à grande échelle.En particulier, la commission relève que le dispositif projeté induit un changement d'échelle significatif en ce qu'il serait mis en œuvre pour les contribuables particuliers. Dès lors, elle considère que le traitement CFVR devrait être, dans un premier temps, limité à certains contribuables particuliers.A cet égard, la commission prend acte que, à sa demande, le projet d'arrêté sera complété pour viser non plus indistinctement l'ensemble des personnes physiques, mais les seules personnes disposant d'un lien factuel avec une entreprise (personnes y détenant ou y ayant détenu des parts sociales ou des actions, personnes y exerçant ou y ayant exercé des fonctions de dirigeant, liens interpersonnels entre
les personnes précitées), révélé dans le cadre d'un montage frauduleux.En outre, compte tenu du caractère nécessairement évolutif des hypothèses de fraude et, par conséquent, des modalités de fonctionnement du traitement, la commission estime que la mise en œuvre de CFVR devrait être progressive et conditionnée à l'élaboration de bilans réguliers sur les conditions d'utilisation et d'exploitation des données.A cet égard, elle prend acte que, à sa demande, le projet d'arrêté sera modifié afin de prévoir que le traitement CFVR est mis en œuvre à titre expérimental s'agissant des contribuables particuliers précités. Elle prend également acte des engagements du ministère à lui adresser, au terme d'une année de mise en œuvre, un bilan concernant le dispositif CFVR désormais généralisé pour les contribuables professionnels ainsi qu'un bilan concernant l'expérimentation relative aux contribuables particuliers. Elle rappelle néanmoins que le projet d'arrêté doit nécessairement préciser la durée de l'expérimentation ainsi autorisée s'agissant des contribuables particuliers.Ces bilans devront notamment préciser les résultats obtenus, les paramètres pris en compte pour établir les liens factuels entre une personne physique, un dirigeant ou associé et un contribuable professionnel, les catégories de fraude concernées par le dispositif ainsi que les modélisations spécifiques que chacune d'elles aura nécessitées. Ils permettront ainsi à la commission d'apprécier les conditions exactes de
mise en œuvre du traitement et de se prononcer sur une éventuelle généralisation du dispositif concernant les contribuables particuliers.
Sur la nature des données traitéesAux termes du projet d'article 3 de l'arrêté modifié, les données à caractère personnel traitées concernent l'identification des personnes physiques et des entreprises, des éléments de situation professionnelle et économique des contribuables, des informations d'ordre économique et financier ainsi que des  informations externes . Dès lors que l'ensemble de ces informations, à l'exception de ces dernières, sont issues de traitements de données mis en œuvre régulièrement par la DGFiP, la commission estime que leur traitement à des fins de lutte contre la fraude fiscale n'est pas incompatible avec les finalités initiales desdits traitements, conformément à l'article 6-2° de la loi  informatique et libertés .La commission relève que le traitement vise à combiner des données relatives à la fiscalité professionnelles et des données fiscales relatives aux particuliers. Elle estime que cette combinaison peut être justifiée par le fait qu'une analyse conjointe de ces fiscalités est susceptible de faciliter la détection de montages fiscaux frauduleux, tout particulièrement en cas d'activités dissimulées.Par ailleurs, la commission rappelle que les dispositions de l'article 29 de la loi du 6 janvier 1978 modifiée imposent la mention, dans tout acte réglementaire autorisant la mise en œuvre d'un traitement, de toutes les catégories de données personnelles traitées. Elle demande dès lors que les données bancaires et les coordonnées (postales,
téléphoniques et électroniques) des personnes physiques, qui sont enregistrées dans le traitement CFVR, soient expressément mentionnées dans le projet d'arrêté.En outre, au regard du volume important de données et de personnes concernées, la commission estime que des garanties doivent être prévues quant à la pertinence et à la qualité des données à caractère personnel traitées par l'outil  CFVR , ainsi qu'à l'utilisation qui pourra en être faite, conformément aux dispositions prévues aux 3° et 4° de l'article 6 de la loi du 6 janvier 1978 modifiée.Ainsi, au regard des modalités de collecte indirecte des données, principalement issues des autres traitements mis en œuvre par la DGFiP, une attention particulière devra être portée au caractère exact et mis à jour des données enregistrées dans le traitement CFVR.Le principe de pertinence des données ne pourra en particulier trouver application que dans la mesure où la mise en œuvre du traitement sera progressivement adaptée au regard des travaux de modélisation de la mission  Requêtes et Valorisation , pour chaque type de fraude concernée. A cet égard, la commission prend acte que, à sa demande, le projet d'arrêté sera complété de dispositions rappelant la nécessité que chaque catégorie de donnée ne soit enregistrée dans CFVR que pour autant qu'elle soit pertinente, adéquate et non excessive au regard des finalités précisément poursuivies par le traitement.Néanmoins, elle relève que la rédaction du projet d'arrêté, en ce qu'elle
mentionne le traitement d' informations externes , n'est pas conforme aux dispositions de l'article 6-3° de la loi du 6 janvier 1978 modifiée. En effet, au vu des nombreuses informations auxquelles peut accéder l'administration fiscale, elle ne permet pas de s'assurer que seules les données adéquates, pertinentes et non excessives soient enregistrées dans le traitement CFVR.
Si elle prend acte des quelques précisions apportées par le ministère sur les bases de données externes qui pourraient être exploitées, la commission relève qu'elles ne correspondent pas à la formulation de l'arrêté, bien plus générale. Elle demande dès lors que cette rédaction soit modifiée et, conformément à l'article 29 de la loi du 6 janvier 1978 modifiée, que les catégories de données susceptibles d'être traitées au titre de ces  informations externes  soient expressément mentionnées.En tout état de cause, la commission rappelle que de telles données doivent être régulièrement obtenues par l'administration fiscale et limitées au strict nécessaire au regard de chaque type de fraude visée.Elle rappelle également que les données susceptibles d'être obtenues dans le cadre de l'exercice du droit de communication prévu aux articles L. 81 et suivants du LPF doivent être exclues de tout enregistrement dans le traitement CFVR. En effet, ce droit, exercé ponctuellement par l'administration fiscale dans le cadre de dossiers spécifiques, n'a pas pour objet de déterminer les typologies de fraude mais de permettre à l'administration d'exercer ses missions de contrôle fiscal. Il constitue ainsi l'un des outils mis à disposition de l'administration fiscale pour lutter contre la fraude, dont la mise en œuvre peut éventuellement intervenir en aval de l'utilisation de CFVR, sur les dossiers que ce traitement aura permis d'identifier comme à risque et qui ne doit donc pas être confondu
avec ledit traitement,Sur ce point, le ministère a confirmé qu'aucune donnée obtenue dans ce cadre ne serait enregistrée dans CFVR. Dans la mesure où il s'agit d'une garantie substantielle, la commission estime néanmoins que le projet d'arrêté devrait le prévoir expressément.Enfin, à titre général, les conditions d'utilisation des informations  externes  ainsi collectées, et notamment leurs modalités de mise à jour, devront également faire l'objet d'un examen particulier. Les bilans qui seront communiqués à la commission à l'issue d'une année de mise en œuvre du traitement devront dès lors contenir des précisions sur ces points.