AgentPublic/cnil huggingface dataset:
La Commission relève en outre qu'en vertu de l'article R 325-13 du code de la route, les chefs de police municipale sont habilités à prescrire des mises en fourrière après avoir vérifié que le véhicule faisant l'objet de la mesure n'est pas signalé volé ; et que l'article R 130-2 du même Code donne compétence aux agents de police municipale pour constater par procès-verbal, lorsqu'elles sont commises dans la commune sur les voies autres que les autoroutes, la plupart des contraventions routières (excès de vitesse, dépassements dangereux, non-respect des sens interdits, arrêts et feux tricolores, défaut de ceinture de sécurité, etc.) ; pour effectuer la rétention immédiate du permis de conduire en cas d'excès de vitesse supérieur à 40 kilomètres-heures, ainsi que pour procéder aux épreuves de dépistage d'alcoolémie en cas d'accident ou d'infraction au code de la route et procéder à l'immobilisation des véhicules.
La Commission souligne que le ministère estime souhaitable, dans la mesure où les policiers municipaux sont amenés à contrôler un grand nombre de véhicules, qu'ils puissent être rendus destinataires d'informations du FVV, afin de leur permettre de procéder au signalement de véhicules volés et, dans les cas de flagrance, à l'interpellation des auteurs (qu'il s'agisse d'une interpellation directe au titre de l'article 73 du code de procédure pénale, soit que les policiers municipaux fassent appel aux services de police ou de gendarmerie nationales).
Sur l'ajout des agents de police municipale au nombre des destinataires du FVV
La Commission relève que les destinataires du traitement désignés par l'article 4 de l'arrêté du 15 mai 1996 modifié relatif au fichier des véhicules volés sont les services de police et gendarmerie, les agents des douanes habilités à exercer des missions de police judiciaire, les agents des douanes à l'occasion des contrôles qui relèvent de leurs attributions, les autorités judiciaires, les autorités administratives (pour les informations communiquées automatiquement au fichier national des immatriculations), les services de police d'Etats liés à la France par une convention ou un accord international leur autorisant l'accès à tout ou partie des informations enregistrées dans le FVV, les organismes de coopération internationale en matière de police judiciaire et les services de police étrangers présentant un niveau de protection des données adéquat, ainsi que les organismes d'assurance liés par protocole d'accord signé avec le ministère de l'intérieur et avec le ministère de la défense.
La Commission prend acte de l'ajout des agents de police municipale au nombre des destinataires de données à caractère personnel contenues dans le FVV, sur la base des modifications envisagées par le projet d'arrêté qui lui est soumis.
Elle relève que les agents des polices municipales seront habilités à recevoir communication des données mais ne disposeront d'aucun accès direct ni d'aucun accès en consultation au traitement FVV. Elle prend également acte que la transmission d'informations aux agents de police municipale relèvera de la seule initiative des services de l'Etat, qui veilleront à s'assurer du concours des polices municipales dans la limite des attributions de ces dernières.
La Commission considère que ces restrictions et conditions devraient être expressément et clairement mentionnées dans le projet de décret, qui devrait dès lors être modifié en conséquence.
Sur la nature des données transmises
Les informations du FVV qui pourront être communiquées aux agents de police municipale sont les éléments d'identification du véhicule (numéro d'immatriculation ou une liste de numéros d'immatriculation correspondant à des véhicules signalés volés, dénomination, marque, type, couleur, signes distinctifs du véhicule) et susceptibles d'être retrouvés ou aperçus sur le territoire de la commune, à l'exclusion des véhicules placés sous surveillance discrète.
La Commission relève qu'à titre exceptionnel, l'identité du propriétaire du véhicule pourra toutefois être communiquée le cas échéant, afin que les policiers municipaux puissent s'assurer directement que le conducteur est bien le propriétaire du véhicule.
Sur les modalités de transmission
La Commission prend acte de ce que, à la différence des agents de police judiciaire adjoints de la police et de la gendarmerie nationales, les policiers municipaux seront destinataires de certaines informations du FVV sans avoir accès au traitement.
La Commission observe que la transmission aux agents de police municipale d'informations provenant du FVV s'effectuera de la manière suivante :
- les agents de police municipale pourront, lors du contrôle d'un véhicule réalisé à leur initiative, interroger les services de la police ou de la gendarmerie nationales afin de déterminer si le véhicule fait l'objet d'une inscription au FVV ;- l'interlocuteur de la police ou de la gendarmerie indiquera verbalement si le véhicule est signalé volé ainsi que les caractéristiques du véhicule, afin de s'assurer qu'il s'agit bien du véhicule recherché ou, le cas échéant, de déceler un usage de fausses plaques d'immatriculation ;- en cas d'infraction (véhicule volé ou usage de fausses plaques d'immatriculation), les services de l'Etat et de la commune détermineront la conduite à tenir (soit interpellation direct par la police municipale, soit intervention d'une patrouille de police ou de gendarmerie).
La Commission relève qu'en outre, des informations issues du FVV pourront être communiquées aux agents de police municipale à l'initiative des services de police ou de gendarmerie nationales. Dans ce cas, un numéro ou une liste de numéros d'immatriculation correspondant aux véhicules signalés volés et susceptibles d'être retrouvés ou aperçus dans le territoire de la commune pourront être communiqués aux services de police municipale concernés.
La Commission prend acte des précisions du ministère selon lesquelles les informations provenant du FVV ainsi transmises aux agents de police municipale ne sont pas destinées à alimenter d'autres fichiers qui seraient détenus par les agents de police municipale. 
Elle estime dès lors nécessaire, que le décret relatif au fichier des véhicules volés soit modifié afin de mentionner expressément que les informations transmises aux agents de police municipale en provenance du FVV ne peuvent être utilisées aux fins de constituer de nouveaux fichiers ou d'alimenter d'autres fichiers.
La Commission prend également acte de ce que les fiches du FVV dont les informations pourront être transmises seront modifiées afin de comporter une mention explicite en ce sens, de façon à éviter tout risque qu'un service de police nationale ou de gendarmerie nationale communique à un service de police municipale une fiche ne correspondant pas à ses compétences.
Sur les mesures de sécurité et de traçabilité
La Commission prend acte de ce que, en cas de transmission aux services de police municipale d'informations issues du FVV, une mention écrite explicite sera apportée sur la fiche concernée par l'agent de la police nationale ou de la gendarmerie nationale ayant procédé à la transmission, afin d'indiquer que cette fiche a fait l'objet d'une communication.
La Commission demande que l'arrêté relatif aux fichier des véhicules volés précise que la mention écrite devant être apportée sur les fiches ayant fait l'objet d'une transmission aux services de police municipale ou dont certaines informations ont fait l'objet d'une transmission, comporte a minima l'identification du service de police municipale destinataire, l'identité de l'agent de la police nationale ou du militaire de la gendarmerie nationale ayant procédé à la transmission, ainsi que la date et l'heure de la transmission.
La Commission rappelle que la transmission d'informations provenant du FVV par les agents de la police nationale et de la gendarmerie nationale devra également faire l'objet de mesures de traçabilité individuelle.
Par ailleurs, la Commission observe que le ministère a précisé que la transmission des informations relatives aux personnes recherchées  pourra s'effectuer par tout moyen de communication . A cet égard, la Commission rappelle que s'agissant de l'échange d'information, et à plus forte raison de l'échange de données à caractère personnel provenant de fichiers de police, les responsables de traitements et destinataires sont tenus à une obligation d'assurer la sécurité, l'intégrité et la confidentialité des informations transmises.
Elle rappelle que la transmission d'informations par voie de messagerie électronique ou par voie de télécopie (fax) ne peut, en l'absence de l'adoption de précautions élémentaires, être considérée comme des moyens de communication sûrs, dans la mesure où, par exemple, une simple erreur de manipulation (adresse de courrier électronique erronée, numéro de télécopie erroné) peut conduire à la divulgation à des destinataires non habilités de données à caractère personnel.
La Commission observe que le dossier qui lui est soumis ne comporte aucun élément relatif aux mesures techniques de sécurité propres à assurer la confidentialité des données lors de leur transmission.
Dès lors, la Commission recommande au ministère d'utiliser les moyens de transmission les plus sûrs pour l'échange d'informations relatives au fichier des véhicules volés, de mettre en œuvre les mesures techniques pertinentes propres à assurer la sécurité, l'intégrité et la confidentialité des données, telles que le chiffrement des données, ainsi que des moyens de transmission utilisés.
Le Président,
 
Alex TÜRK
La Commission nationale de l'informatique et des libertés, 
Saisie par le ministère des Solidarités et de la Cohésion Sociale d'une demande d'autorisation pour la mise en œuvre d'une étude de la qualité de vie des personnes ayant fait appel au Conseil National pour l'Accès aux Origines Personnelles (CNAOP) ;
Vu la Convention n°108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée, notamment son article 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu le code de l'action sociale et des familles,
Sur le rapport de Monsieur Philippe GOSSELIN commissaire et les observations de Madame Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes
La Commission a été saisie par le ministère des Solidarités et de la Cohésion Sociale d'une demande d'autorisation pour la mise en œuvre d'une étude relative à la qualité de vie des personnes ayant fait appel au Conseil National pour l'Accès aux Origines Personnelles (CNAOP) ;
Sur la finalité du traitement
Le traitement a pour finalité la mise en œuvre, d'une étude visant à évaluer la qualité de vie et la satisfaction des personnes pupilles ou adoptées devenues adultes ainsi que celle des parents adoptifs et de naissance, avant et après leur rencontre par l'intermédiaire du CNAOP ;
La Commission estime que la finalité du traitement est déterminée, explicite, et légitime au sens de l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur la procédure applicable
Sont applicables les dispositions de l'article 25-I-7° de la loi du 6 janvier 1978 modifiée en 2004 relatives aux traitements automatisés comportant des appréciations sur les difficultés sociales des personnes ;
Sur l'objet du traitement 
L'étude portera sur les demandeurs dont le dossier a été clos définitivement en 2005, 2007 et 2009.
Seront inclus :
- la personne pupille ou adoptée ayant atteint l'âge adulte et ayant contacté le CNAOP afin d'accéder à ses origines et dont la demande a abouti à une rencontre avec le(s) parent(s) de naissance ;- le(s) parent(s) de naissance concerné(s) ;- le(s) parent(s) adoptif(s) concerné(s) à condition que l'enfant y ait consenti.
Ne seront pas inclus :- les pupilles/adoptés dont la mère de naissance n'a pas accepté de rencontre ;- les pupilles/adoptés dont l'adresse postale n'a pas été retrouvée ;- les mères de naissance qui ont accepté la levée du secret et que les pupilles/adoptés n'ont pas contacté.
Le projet a été confié au laboratoire d'épidémiologie, biostatistique et santé publique (EA2415) de l'Institut de biologie de l'Université de Montpellier I sous la direction de M. DUYM, Directeur de recherche CNRS.
S'agissant des modalités de l'étude, le CNAOP établira parmi les dossiers qu'il détient la liste des potentiels participants à l'étude (environ 700 personnes).
Cette liste permettra l'envoi, par le CNAOP, à chaque personne pré-incluse d'un courrier lui proposant de participer à l'étude et de recueillir son accord ou son opposition.
Afin d'éviter que l'entête du CNAOP n'apparaisse sur les coupons-réponses ou les enveloppes T utilisées, ceux-ci seront adressés au laboratoire chargé de la recherche qui les fera suivre au CNAOP sans les décacheter.
Le CNAOP établira ensuite une liste de correspondance pour les couples (demandeur-mère de naissance) ou les triplets (demandeur-mère de naissance-parents adoptifs). La liste, établie exclusivement à partir des coupons-réponses et des coordonnées qui y figurent, de personne ayant expressément accepté de participer à l'étude sera transmise au laboratoire de recherche.
Le laboratoire attribuera un numéro d'identification à chaque participant et établira une correspondance avec les noms. 
Les questionnaires seront numérotés de 1 à 223 (maximum). Le même numéro sera attribué au couple ancien pupille-parent de naissance ou au triplet adopté-parent adoptif-parent de naissance.
L'équipe de recherche adressera ensuite un questionnaire pré-numéroté aux différents participants :- au pupille-adopté ;- à ses parents adoptifs s'il y a consenti ;- à sa mère de naissance ;
Les questionnaires retournés feront ensuite l'objet d'un traitement informatisé puis d'une analyse.
Sur les catégories de données à caractère personnel traitées 
Les données traitées seront relatives à l'identité des personnes, à leurs coordonnées, à la situation familiale et professionnelle, à la filiation, aux démarches entreprises par l'intermédiaire du CNAOP ainsi que sur la qualité de vie avant et après la rencontre avec le parent de naissance.
La Commission estime que les données sont pertinentes au regard de la finalité poursuivie.
Sur les mesures d'information mises en œuvre
La Commission prend acte de ce que les personnes seront informées de l'étude par le CNAOP, qui détient leur identité, en vertu des missions qui lui sont dévolues par la loi. Le consentement des personnes sera recherché et conditionnera la transmission des données nominatives au laboratoire de recherche.
Les personnes seront informées de leurs droits d'accès, de rectification et d'opposition qui s'exerceront auprès du CNAOP.
La Commission estime que les mesures d'information mises en œuvre sont conformes à la loi du 6 janvier 1978 modifiée.
Sur les garanties de sécurité mises en place 
La Commission observe, d'une part, que l'authentification des utilisateurs habilités s'opérera par le biais d'une combinaison login/mot de passe conforme à ses préconisations et d'autre part, que l'analyse des données se fera en local sur le disque dur d'un ordinateur prévu à cet effet. Le support de stockage sera conservé dans une armoire fermée à clé. Un support de sauvegarde mensuelle sera conservé dans un lieu géographiquement différent dont l'accès sera contrôlé et fermé à clé.
La Commission estime que les droits d'accès au système d'information des utilisateurs doivent être définis en fonction des informations qu'ils ont à connaître. Il convient également que les activités des utilisateurs ainsi que les événements liés à la sécurité fassent l'objet d'une journalisation. L'accès à ces journaux doit être strictement limité et leur intégrité garantie au moyen de procédés éprouvés.
En outre, compte-tenu de la sensibilité particulière des données et de la confidentialité qui s'y attache, il convient de mettre en place un chiffrement conforme aux règles de l'art.
Enfin, toute personne susceptible d'accéder aux données devra être soumise à une clause de confidentialité.
Sur les destinataires des données
Les destinataires des données, en fonction des habilitations qui leurs sont délivrées, sont les personnes en charge de l'étude.
Les données anonymisées seront transmises au CNAOP. 
Sur la durée de conservation 
Le dossier prévoit que les données seront conservées 5 ans. La Commission estime que cette durée est adéquate au regard de la finalité poursuivie.
En conclusion, la Commission autorise le ministère des Solidarités et de la Cohésion Sociale à mettre en œuvre un traitement de données à caractère personnel relatif à une étude visant à évaluer la qualité de vie des personnes ayant fait appel au Conseil National pour l'Accès aux Origines Personnelles (CNAOP) conformément au dossier transmis à la Commission.
Le Président,
 
Alex TÜRK
La Commission nationale de l'informatique et des libertés, réunie en sa formation restreinte sous la présidence de Mme Claire DAVAL ; 
Etant aussi présents MM. Jean-Marie COTTERET, Claude DOMEIZEL et Sébastien HUYGHE, membres ; 
Vu la Convention n°108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2011-334 du 29 mars 2011, notamment ses articles 45 et 46 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ; 
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ; 
Vu le rapport de M. Bernard PEYRAT, commissaire rapporteur, notifié par porteur à la société X, le 6 mai 2011 ;
Vu les observations en réponse apportées par la société X par Maître A, son conseil, par lettre en date du 1er avril 2011, ainsi que le courrier complémentaire adressé en vue de la séance de la formation restreinte du 5 juillet 2011 ;
Vu les autres pièces du dossier ;
Après avoir entendu, lors de sa réunion du 5 juillet 2011 :- M. Bernard PEYRAT, commissaire, en son rapport ;- Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;- Maîtres B et A, conseils de la société X, en la présence de Monsieur C, secrétaire général, et Mme D, responsable juridique du groupe X, 
Les représentants de la société mise en cause ayant pris la parole en dernier,
A adopté la décision suivante :
I. FAITS ET PROCEDURE
La société X (ci-après la "société") appartient au groupe X qui édite notamment la version papier de l'annuaire universel, ainsi qu'un annuaire en ligne associé au portail internet d'informations locales [...]. 
La société propose également le service [...] , qui diffuse les informations figurant dans l'annuaire téléphonique des particuliers, disponible à l'adresse Web suivante : [...].
Le 25 mars et le 12 avril 2010, la CNIL a été alertée par deux plaintes concernant la fonctionnalité dite de webcrawl du service [...] offert par la société.
Cette fonctionnalité, que la société a annoncé avoir suspendue depuis le 21 mars dans l'attente de la décision de la formation restreinte de la Commission, permet d'ajouter aux résultats de recherche obtenus sur une personne déterminée les données à caractère personnel collectées sur les sites COPAINS D'AVANT, FACEBOOK, VIADEO, LINKEDIN, TWITTER, TROMBI. Les profils communautaires de toutes les personnes portant le même nom patronymique que celui recherché sur le site X apparaissent ainsi sur la page de résultats. 
Ainsi, cette fonctionnalité fait figurer, à partir d'une recherche sur un seul nom patronymique, les données classiques de l'annuaire (identité, coordonnées téléphoniques et adresse postale) ainsi qu'une photographie, une vue aérienne et un plan d'accès du lieu d'habitation, mais encore les données concernant la personne, issues des réseaux sociaux : nom, prénom, photographie, pseudonymes, établissements scolaires, employeurs, profession, localisation, etc. Un tri est en outre possible à partir des données de l'employeur, de l'établissement scolaire et de la localisation des personnes, dans une rubrique "Affiner par mots-clés".
Sur la base des plaintes susmentionnées, qui révélaient l'absence de prise en compte de demandes d'opposition formées par deux particuliers afin que les informations les concernant, issues des réseaux communautaires, ne soient plus diffusées sur le service [...] , le Président de la CNIL a ordonné une mission de contrôle sur place auprès du siège social de la société à [...], le 27 mai 2010, puis dans les locaux de son établissement secondaire, à [...], le 1er juin 2010 (décision n°2010-137C du 20 mai 2010).
Lors de ce contrôle, la délégation de la CNIL a examiné : - le traitement de données à caractère personnel relatif à la publication de profils communautaires dans le cadre du service [...] ;- le traitement de données réalisé à l'occasion des requêtes effectuées sur le portail X.
Sur la foi des constats effectués lors de ce contrôle, le Président de la Commission a désigné M. Bernard PEYRAT, Commissaire, membre de la CNIL, en qualité de rapporteur, afin d'engager à l'encontre de la société une procédure de sanction fondée sur le I de l'article 45 de la loi du 6 janvier 1978 modifiée.
A l'issue de son instruction, estimant que la société avait manqué à plusieurs obligations lui incombant en application de la loi du 6 janvier 1978 modifiée, le rapporteur détailla chacun des manquements reprochés à la société dans un rapport notifié par porteur à la société, le 6 mai 2011. Aux termes de ce rapport, le rapporteur a proposé à la formation restreinte de la CNIL de prononcer à l'encontre de la société un avertissement, dont il a par ailleurs demandé qu'il soit rendu public. 
La société, par courrier en date du 6 juin 2011, a réagi à ce rapport en réitérant des observations précédemment soumises à la Commission par courrier en date du 1er avril 2011. Elle a également présenté ses observations orales lors de la séance de la formation restreinte du 9 juin 2011.
II. MOTIFS DE LA DECISION
1. Sur le grief de collecte déloyale des données et d'absence d'information des personnes quant à l'indexation de leurs profils sur les réseaux sociaux
- Aux termes du 1° de l'article 6 de la loi n° 78-17 du 6 janvier 1978 modifiée, "les données à caractère personnel sont collectées et traitées de manière loyale et licite". 
La formation restreinte doit tout d'abord se prononcer sur le fait de savoir si la collecte effectuée en l'espèce par la société doit être considérée comme déloyale au sens de cette disposition, en ce qu'elle prévoit d'aspirer les profils issus des réseaux sociaux sur Internet sans que les personnes concernées en aient été préalablement informées.