AgentPublic/cnil huggingface dataset:
Les données sont conservées  pendant une durée maximale d'un mois à compter de la réception de l'avis de contravention, puis elles sont archivées pendant une durée maximale de dix-huit mois. La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement. Par ailleurs, il est précisé que la société MAQUET-SAS ne peut bénéficier de l’autorisation unique n°10 car elle met à disposition de ses employés des véhicules loués à la société DIRECT FLEET ; elle n’est donc pas titulaire du certificat d’immatriculation desdits véhicules. En revanche, les caractéristiques du traitement sont en tous points similaires à celles prévues dans cette autorisation unique.
Autorise, conformément à la présente délibération, MAQUET-SAS à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1607367)
La Commission nationale de l’informatique et des libertés, 
Saisie par l’association Tout Azimut d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi des demandes de logement social ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article  25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de M Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le responsable de traitement est l’Association Tout Azimut, sis 11 bis, rue des Champs-Elysées – 94250 Gentilly. Il s’agit d’une association de loi 1901 dont l’objet social est l’accompagnement de personnes en situation de précarité, de handicap ou de fragilité psychosociale par l’accès à l’emploi, au logement et aux soins.
Sur la finalité
La finalité du présent traitement est le suivi des familles en demande de logement social. En effet, dans le cadre de ses activités, l’association soutient l’accès à un logement locatif social à destination des familles reconnues prioritaires par une Commission de médiation départementale pour le droit au logement (COMED) d’Ile-de-France.La Commission considère la finalité poursuivie comme déterminée, explicite et légitime. La Commission estime qu’il y lieu de faire application des dispositions de l’article 25-I-7° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données portant sur les difficultés sociales des personnes.
Sur les données traitées
Les catégories de données collectées concernant les usagers sont relatives : 
à leur identité (nom, prénom, adresse, date et lieu de naissance, numéro de téléphone) ;
à leur  vie personnelle (situation familiale) ;
à leur vie professionnelle (situation professionnelle, scolarité et formation) ;
à leur situation économique et financière (revenus, situation financière) ;
à leurs difficultés sociales ;
Ces données apparaissent pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont la Direction Régionale et Interdépartementale de l'Hébergement et du Logement (DRIHL), le service logement de la Préfecture du Val-de-Marne, l’association COALLIA (en charge de l’appui logement dans le cadre du dispositif AVDL Dalo), l’association Le Relais 94 (en charge de l’appui logement dans le cadre du dispositif AVDL Dalo), les services sociaux du 94 et les bailleurs sociaux du 94.Cette liste de destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par voie d’une notice d’information remise aux personnes concernées.Les droits d’accès et de rectification s’exercent auprès l’association Tout Azimut, 11 bis, rue des Champs Elysées – 94250 Gentilly.Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes.
Sur les mesures de sécurité
L’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules ainsi que des chiffres.Des profils d’habilitation définissent les données et les fonctionnalités accessibles en fonction des utilisateurs. Le traitement comporte une fonctionnalité de journalisation des opérations de consultation, de modification ou de création permettant d’identifier  l’utilisateur à l’origine d’une opération, pour être en mesure de détecter a posteriori d’éventuelles opérations frauduleuses ou non souhaitées. Les données de traçabilité doivent être conservées six mois dans des conditions permettant de garantir leur intégrité et leur confidentialité et une procédure opérationnelle doit en définir les modalités d’accèsCes mesures de sécurité apparaissent satisfaisantes au regard des dispositions de l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant une durée n’excédant pas deux ans à compter du dernier contact avec l’usager. Les données sont ensuite supprimées, sauf disposition légale ou réglementaire contraire.Cette durée de conservation apparaît pertinente au regard de la finalité poursuivie par le traitement. 
Autorise, conformément à la présente délibération, l’association Tout Azimut à mettre en œuvre le traitement susmentionné. 
La Présidente
(Demande d’autorisation n° 1600982)
La Commission nationale de l’informatique et des libertés, 
Saisie par la société INDIBAT d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des dossiers des personnes en difficulté d’insertion ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment les articles 25-I-5° et 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de M Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le responsable de traitement est la société INDIBAT sis 6 rue Lirenne – 25480 Ecole Valentin.INDIBAT est une société de construction de structures dédiées à l’insertion et à l’économie sociale et solidaire (entreprise de travail temporaire d'insertion – ETTI, groupement d’employeurs pour l’insertion et la qualification – GEIQ ).
Sur la finalité
La finalité du présent traitement est le suivi des personnes en difficulté d’insertion socio-professionnelle. Le traitement recense les informations relatives aux personnes travaillant dans les structures d’insertion.La Commission considère la finalité poursuivie comme déterminée, explicite et légitime. La Commission estime qu’il y lieu de faire application des dispositions des articles 25-I-6° et 25-I-7° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données portant sur le numéro de sécurité sociale (NIR) et des appréciations sur les difficultés sociales des personnes.
Sur les données traitées
Les catégories de données collectées concernant les usagers sont relatives : 
à leur identité (nom, prénom, adresse, date et lieu de naissance, photographie) ;
à leur  vie personnelle (habitudes de vie, situation familiale) ;
à leur vie professionnelle (CV, situation professionnelle, scolarité, formation) ;
à leur situation économique et financière (revenus) ;
à leur numéro de sécurité sociale (NIR) ;
à leurs difficultés sociales ;
à leurs données de santé ;
Les numéros de sécurité sociale ainsi que les données relatives à la santé sont collectés, après le recueil du consentement exprès des personnes concernées.
Ces données apparaissent pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont les organismes sociaux (URSAFF, Pôle emploi) et les organismes financeurs (DIRECCTE, Conseils généraux, Fonds social européen, agglomérations).Cette liste de destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par voie d’une notice d’information remise aux personnes concernées et d’un affichage dans les établissements.Les droits d’accès et de rectification s’exercent auprès la société INDIBAT, 6 rue Lirenne – 25480 Ecole ValentinCes modalités d’information et d’exercice des droits des personnes apparaissent suffisantes.
Sur les mesures de sécurité
L’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules ainsi que des chiffres.Des profils d’habilitation définissent les données et les fonctionnalités accessibles en fonction des utilisateurs. Le traitement comporte une fonctionnalité de journalisation des opérations de consultation, de modification ou de création permettant d’identifier  l’utilisateur à l’origine d’une opération, pour être en mesure de détecter a posteriori d’éventuelles opérations frauduleuses ou non souhaitées. Les données de traçabilité doivent être conservées six mois dans des conditions permettant de garantir leur intégrité et leur confidentialité et une procédure opérationnelle doit en définir les modalités d’accès.Ces mesures de sécurité apparaissent satisfaisantes au regard des dispositions de l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant une durée de deux ans à compter du dernier contact avec l’usager. Les données sont ensuite supprimées, sauf disposition légale ou réglementaire contraire.Cette durée de conservation apparaît pertinente au regard de la finalité poursuivie par le traitement. 
Autorise, conformément à la présente délibération, la société INDIBAT à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n°1635171)
La Commission nationale de l’informatique et des libertés ;
Saisie par la Caisse d’épargne Lorraine Champagne Ardenne d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l’identité ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L561-5 et R561-5;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 25.I.4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Paul AMOUDRY, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
La Caisse d’épargne Lorraine Champagne Ardenne, ci-dessous dénommée la CELCA.
Sur la finalité
La finalité du traitement est de lutter contre la fraude à l’identité. Il vise à détecter les documents d’identité présentant des anomalies susceptibles de révéler une fraude à l’identité (faux documents ou documents falsifiés) provenant, d’une part des personnes souhaitant entrer en relation avec la CELCA, et d’autre part, des personnes déjà clientes, au cours de la relation d’affaires. La Commission observe que cette finalité est déterminée, explicite et légitime. Lorsque le contrôle automatique de l’outil « IdenTTT » est négatif et que le contrôle manuel réalisé par le service lutte anti fraudes confirme cette analyse, le CELCA refuse l’entrée en relation du client avec la banque.Ce traitement peut ainsi, du fait de sa nature et de sa finalité, conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat en l’absence de toutes dispositions légales ou réglementaires prévoyant une telle exclusion. Dès lors, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée en 2004 et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.
Sur les données traitées
Les catégories de données traitées sont relatives :
- à l’identification des personnes : nom, prénom, adresse, photographie, date et lieu de naissance,
- aux documents d’identité : 
Pour la carte nationale d’identité : nom de famille (nom de jeune fille), prénom(s), sexe, date de naissance, ligne MRZ, et numéro du document ;
Pour le passeport et le titre de séjour : sexe, numéro du document, date de naissance, date d’établissement et date d’expiration.
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente au sens du 3° de l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Seuls les conseillers clientèles de la CELCA en charge du suivi de la relation commerciale (les chargés d’affaires ou de comptes) et recevant les personnes souhaitant entrer en relation avec la CELCA ou les clients actuels, auront accès à ce traitement. Dans le cadre des missions de contrôles de second niveau, le service lutte anti-fraude, peut également avoir accès à ces informations.En cas d’anomalie, seuls les collaborateurs du service de lutte anti fraude auront également accès à ces informations.La Commission estime que ces destinataires ont un intérêt légitime à avoir communication de ces données.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la CELCA sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention d’information qui figure dans la convention de compte transmise lors de la signature du contrat.En outre, un affichage au sein des agences bancaires indique les droits d’accès et de rectification qui s’exercent auprès du Service Relations Clientèles de la CELCA, 2, rue royale, BP 70784-57012 Metz Cedex. La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Seules les personnes habilitées par la Direction de la conformité, peuvent utiliser l’outil. Il s’agit des commerciaux et des collaborateurs du service de la lutte anti fraude. Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application avec des profils d’habilitation et un contrôle d’accès logique basé sur un identifiant unique par collaborateur et un mot de passe. Celui-ci contient au moins 8 caractères comportant au moins 3 des 4 types de caractères (minuscules, majuscules, chiffres, caractères spéciaux), il doit être renouvelé  tous les 90 jours et ne peut être identique aux précédents 24 mots de passe utilisés par le collaborateur. Lorsque la pièce d’identité contrôlée est conforme, le résultat du contrôle n’est pas conservé. La pièce d’identité sera intégrée au dossier du client. Toutefois, pour l’agence à distance « Mon banquier en ligne » les résultats des contrôles sont conservés conformément aux dispositions légales en vigueur (articles R.563-1 et L.561-10 du code monétaire et financier relatifs à la « connaissance client »).Sur le processus de vérification, les informations permettant l'évaluation de la validité de la pièce d'identité sont directement saisies sur le serveur du prestataire via une connexion sécurisée par SSL. Le prestataire s'est engagé à ce qu'aucune donnée ne soit conservée. Les consultations ou modifications de données dans le système d’information de gestion de la clientèle font l’objet d’une traçabilité. Les
connexions à l’outil sont tracées par des logs de connexion conservés pendant un an.Les mesures de sécurité mises en place n’appellent pas d’autre observation.
Le client qui souhaite entrer en relation avec la banque, présente ses documents d’identité au collaborateur en charge du suivi de la relation commerciale. Un contrôle automatique est réalisé par l’outil « IdenTT ». Si le contrôle est positif (pièce d’identité valide) l’entrée en relation avec le client est réalisée et le collaborateur crée une fiche client dans l’application de gestion des clients. Dans le cas d’un contrôle négatif (pièce d’identité non valide) une alerte est adressée instantanément au service lutte anti fraude qui  procédera à un contrôle de second niveau. Si ce contrôle confirme que la pièce d’identité n’est pas valide l’entrée en relation n’aura pas lieu.Ainsi, et conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées. Pour toute entrée en relation le justificatif d’identité du client est numérisé et intégré systématiquement dans le dossier numérique du client. Le fichier pdf résultant du contrôle négatif est enregistré dans le dossier numérique uniquement pour l’agence « Mon banquier en ligne ».Les données collectées sont conservées pendant la durée nécessaire à la vérification des documents d’identité. Une fois le contrôle effectué, les données et les documents relatifs à l’identité des clients sont conservées pendant une durée de 5 années à compter de la clôture du compte ou de la cessation de la relation.Ce traitement ne permet pas
d’établir une « liste noire » de personnes ayant présenté des titres d’identité comportant des anomalies ou des titres d’identité falsifiés ou volés.
Autorise, conformément à la présente délibération, la Caisse d’épargne Lorraine Champagne Ardenne, à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1578073) 
La Commission nationale de l’informatique et des libertés, 
Saisie par l’association Olympique lyonnais d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des interdictions de stade prononcées par l’autorité judiciaire ou administrative ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code du sport, notamment ses articles L. 332-15, L. 332-16, R. 332-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu Monsieur Dominique RICHARD, commissaire, en son rapport, et Monsieur Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Sur la finalité du traitement :
La Commission nationale de l’informatique et des libertés a été saisie par l’association Olympique lyonnais, sur le fondement de l’article 25-1-3° de la loi du 6 janvier 1978 modifiée, d’une demande d’autorisation préalablement à la mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité la gestion des interdictions de stade prononcées à l’encontre de personnes physiques par l’autorité judiciaire ou l’autorité administrative.
L’association Olympique lyonnais, lorsqu’elle agit en qualité d’organisateur de manifestations sportives à but lucratif, est tenue d’y assurer la sécurité, notamment en empêchant les personnes frappées d’une interdiction judiciaire ou administrative d’y accéder.
L’article L. 332-15 du code du sport prévoit que le préfet du département ou, à Paris, le préfet de police communique aux associations et sociétés sportives, ainsi qu'aux fédérations sportives agréées, l'identité des personnes ayant été condamnées à une peine complémentaire d’interdiction de stade par l’autorité judiciaire. 
L’article L. 332-16 du même code prévoit des dispositions analogues s’agissant des personnes faisant l'objet d’une mesure d'interdiction de pénétrer ou de se rendre aux abords des enceintes sportives prononcée par l’autorité administrative, par arrêté motivé, en raison de l’existence d’une menace pour l'ordre public.
Au regard de ce qui précède, la Commission considère que la finalité du traitement dont elle est saisie est déterminée, explicite et légitime.
Sur la nature des données traitées :
Les données à caractère personnel collectées et traitées concernent les personnes frappées d’une peine complémentaire d’interdiction de stade prononcée par l’autorité judicaire ou d’une mesure de sûreté décidée par l’autorité administrative.
Elles sont relatives à :
l’identification des personnes (nom, prénom, adresse, date et lieu de naissance) ;
des condamnations ou mesures de sûreté (date, périmètre géographique et durée d’une interdiction de stade).
La Commission estime que les articles L. 332-15 et L. 332-16 du code du sport, par dérogation à l’article 9 de la loi du 6 janvier 1978 modifiée, permettent aux associations et sociétés sportives, au nombre desquelles figurent les clubs de football professionnels, de collecter des données relatives à des condamnations ou mesures de sûreté dans le cadre de la gestion des interdictions de stade prononcées par l’autorité judiciaire ou l’autorité administrative.
La Commission considère, dès lors, que le traitement des données précédemment visées est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
Sur la durée de conservation des données :
Les données à caractère personnel sont conservées uniquement pendant la durée de l’interdiction de stade prononcée par l’autorité judicaire ou administrative.