AgentPublic/cnil huggingface dataset:
(demande d’autorisation n° 1412986)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 9 et 25-I-3° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu le code monétaire et financier, notamment ses articles L 621-9 et suivants, L 621-15 et suivants et R 621-38 et suivants ;
Vu le règlement général de l’Autorité des marchés financiers, notamment ses articles 143-1 et suivants ;
Vu le dossier déposé par l’Autorité des marchés financiers relatif à un traitement de données à caractère personnel destiné au suivi de ses contrôles ; 
Sur le rapport de Monsieur Jean Paul AMOUDRY, commissaire, et les observations de  Madame Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
L’Autorité des Marchés Financiers (AMF), autorité administrative indépendante, est chargée de veiller à la protection de l’épargne investie dans les instruments financiers, à l’information des investisseurs et au bon fonctionnement des marchés d’instruments financiers. Aux termes des articles L 621-9 et suivants du Code monétaire et financier (CMF), l’AMF dispose pour l’exercice de ses missions du pouvoir de mener des enquêtes et de réaliser des contrôles, le plus souvent à partir d’informations recueillies dans le cadre de la surveillance des marchés, du suivi de la vie des sociétés côtées ou dans le cadre de plaintes. 
Dans ce contexte, l’AMF a saisi la CNIL d’une demande d’autorisation concernant la création d’une base de données ayant pour finalités la gestion administrative et documentaire des contrôles de l’AMF.
Sur la procédure suivie auprès de la Commission
Le traitement automatisé est susceptible de comporter des données à caractère personnel relatives à des infractions, soupçonnées ou qualifiées, relevant de la compétence de l’AMF, recueillies par les agents du Service des contrôles des prestataires et des infrastructures de marché (CPIM) lors de leurs missions de contrôle, que celles-ci aient donné lieu ou non à l’ouverture d’une procédure de sanction devant la Commission des sanctions de l’AMF ou à la transmission du rapport d’enquête au procureur de la République.
Le 1° de l’article 9 de la loi du 6 janvier 1978 modifiée autorise les autorités publiques, lorsqu’elles agissent dans le cadre de leurs attributions légales, à mettre en œuvre des traitements de données à caractère personnel relatives aux infractions, condamnations et mesures de sûreté. L’AMF, en tant qu’autorité administrative indépendante, entre dans le champ de cette disposition.
Dans ces conditions, il y a lieu de faire application des dispositions du 3° de l'article 25 de la loi susmentionnée qui soumet à autorisation de la CNIL les traitements, automatisés ou non, qui portent sur des données relatives aux infractions, condamnations ou mesures de sûreté, notamment lorsqu’ils sont mis en œuvre par des autorités publiques agissant dans le cadre de leurs attributions légales.
Sur les finalités et les caractéristiques  du traitement 
Le traitement a pour finalités la gestion administrative et documentaire des contrôles menés par les agents du CPIM. Il permet de suivre les procédures de contrôle à toutes leurs étapes, de la décision de réaliser une mission de contrôle jusqu’à sa clôture, et d’effectuer une recherche documentaire sur les contrôles clôturés.
Pour chaque contrôle enregistré dans l’application, des champs correspondants aux différentes étapes de la procédure sont référencés. Les pièces de procédure y sont annexées sous forme de fichiers images (lettre de mission, rapport de contrôle, lettre de suite, classement sans suites, etc.).
Les critères d’interrogation du traitement sont les suivants :
le numéro de dossier,
le type de dossier (en l’occurrence, dossier de contrôle),
le type de contrôle (sur pièces, sur place, délégué ou délégué à l’Autorité de contrôle prudentiel (ACP),
l’identité des agents de l’AMF, instructeur ou coordinateur,
le statut du dossier (mission non commencée, mission en cours, rapport en circulation, attente des observations, rédaction de la lettre de suivi, lettre de suivi en circulation, affectation du suivi, suite des suites, dossier clôturé),
la date de clôture,
le nom de l’entité contrôlée.
Aucune donnée relative à l’identité des personnes concernées par les contrôles, à l’exception de l’identité des personnels de l’AMF, ni aucune donnée d’infractions, qualifiées ou soupçonnées, ne peut être utilisée comme critère d’interrogation de la base. Ces données ne sont conservées dans le traitement qu’au titre de leur mention sur les pièces de procédure annexées sous la forme de fichiers-image.
Sur les données traitées et la durée de conservation : 
Les catégories de données à caractère personnel collectées concernent 
l’identité et la vie professionnelle des agents de l’AMF (instructeurs et coordinateurs), des personnes ou entités à qui l’AMF a délégué ses contrôles conformément à l’article L 621-9-2 du CMF, des correspondants AMF au sein des organismes contrôlés, des personnes mentionnées dans les rapports de contrôle, des destinataires des notifications de griefs,
les éléments relatifs aux contrôles engagés,
les infractions, concernant des personnes morales ou physiques et qui entrent dans le champ de compétence de l’AMF.
L’ensemble des données traitées sont conservées pendant une durée de dix ans à compter de la date de clôture du contrôle. Cette durée répond aux besoins de la finalité de recherche documentaire sur les contrôles clôturés.
Ces caractéristiques sont adéquates, pertinentes et non excessives au regard des finalités du traitement et n’appellent, en conséquence, aucune observation au regard de la loi du 6 janvier 1978 modifiée.
Sur les destinataires des données traitées 
Seuls les agents habilités de la Direction des prestataires, de la gestion et de l’épargne sont destinataires des données traitées. Ils sont tenus au secret professionnel dans les conditions prévues à l’article L 642-1 du CMF.
Sur les modalités d’information et d’exercice des droits des personnes physiques 
La prise en compte des dispositions légales relatives aux contrôles de l’AMF conduit à soumettre à procédure de l’article 42 de la loi du 6 janvier 1978 modifiée les demandes de droit d’accès et de rectification relatives aux données personnelles se rapportant à un contrôle, à partir de la remise de l’ordre de mission jusqu’à l’envoi du rapport de contrôle aux personnes concernées.
A compter de l’envoi du rapport de contrôle, les droits d’accès et de rectification s’exerceront conformément aux dispositions de l’article 39 de la loi précitée, auprès du CPIM de l’AMF.
Les informations relatives à la mise en œuvre du traitement et aux modalités d’exercice des droits d’accès et de rectification figurent dans la charte de conduite d’une mission de contrôle sur place adoptée par le collège de l’AMF et remise lors du déroulement de ces contrôles et disponible sur le site internet de l’AMF.
Autorise, dans les conditions prévues par la présente délibération, l’Autorité des marchés financiers à mettre en œuvre un traitement de données à caractère personnel ayant pour finalités la gestion administrative et documentaire de ses contrôles.
Le Président
Alex TURK
(demande d’autorisation n°1422368)
La Commission nationale de l’informatique et des libertés ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-8° ;
Vu le décret du 5 mai 1947 portant réglementation de la police des jeux dans les cercles ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 modifié par le décret 2007-451 du 25 mars 2007 ;
Vu l’arrêté du 28 mars 2001 modifiant l'instruction du 15 juillet 1947 sur la réglementation des jeux dans les cercles ;
Après avoir entendu M. Dominique RICHARD, commissaire, en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par le Cercle Wagram d’un traitement de données à caractère personnel reposant sur la reconnaissance du visage en trois dimensions exclusivement enregistrée sur un support individuel détenu par la personne concernée et ayant pour finalité le contrôle de l’accès au CERCLE WAGRAM.
Formule les observations suivantes :
Le CERCLE WAGRAM est un cercle de jeux dont l’activité est encadrée par le décret du 5 mai 1947 portant réglementation de la police des jeux dans les cercles et l’instruction ministérielle du 15 juillet 1947 sur la réglementation des jeux dans les cercles. 
Un membre peut se voir interdire l’accès au cercle soit parce qu’il figure dans le fichier des casinos et des exclus des salles de jeux détenu par le ministère de l’intérieur et créé par l’arrêté du 19 mai 1993, soit parce qu’il a été interdit par le CERCLE WAGRAM.  
La Commission a autorisé le 9 décembre 2010 le CERCLE WAGRAM à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la mise en place d’un fichier des membres interdits d’accès et de jeux.
Afin de s’assurer que seuls pénètrent dans le cercle les membres disposant d’une carte de membre qui ne figurent pas dans le fichier des casinos et des exclus des salles de jeux détenu par le ministère de l’intérieur ou interdit par le CERCLE WAGRAM, ce dernier souhaite proposer à sa clientèle un dispositif biométrique par la reconnaissance, dans le spectre infrarouge, du visage en trois dimensions.
La Commission constate que le recours à de tels dispositifs relève de l’article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes.
Le dispositif biométrique permettra de :
vérifier la validité de la carte ;
vérifier l’absence du membre dans le fichier des casinos et des exclus des salles de jeux détenu par le ministère de l’intérieur ou interdit par le CERCLE WAGRAM ;
vérifier le paiement à jour de la cotisation ;
assurer la vérification biométrique de la personne ;
autoriser son accès au cercle.
Le dispositif présenté repose sur l’utilisation d’une carte à puce sans contact du CERCLE WAGRAM qui sera exclusivement remise aux personnes volontaires. Il leur sera alors demandé de présenter un document d’identité sur la base duquel le personnel habilité du cercle interrogera le fichier des casinos et des exclus des salles de jeux détenu par le ministère de l’intérieur ou interdit par le CERCLE WAGRAM, afin de ne pas délivrer une carte à une personne exclue.
Après avoir consulté les fichiers précités, le personnel habilité du cercle procédera à la collecte et à la saisie, au sein d’un fichier de clientèle, du nom et du prénom de la personne, de sa date et de son lieu de naissance ainsi que le type et le numéro de sa pièce d’identité, dans la mesure où ces informations sont exigées par le ministère de l’intérieur dans le cadre de la réglementation applicable aux cercles.
A la suite de l’inscription dans le fichier de clientèle, il sera alors demandé à la personne concernée de se présenter devant une caméra équipée d’un illuminateur à infrarouge spécifique à courte distance et d’une caméra vidéo afin d’enregistrer le gabarit de son visage en trois dimensions au sein de la puce. Ce procédé s’effectuera en temps réel. L’ordinateur servant à l’enrôlement biométrique ne sera connecté à aucun réseau.
En outre, seul le gabarit du visage en trois dimensions, clé biométrique résultat du traitement des mesures par un algorithme, sera enregistré sur le support individuel et non une image ou une photographie du visage en trois dimensions. Le gabarit fera également l’objet d’un chiffrement.
De même, les lecteurs biométriques posséderont un « code site » unique propre au cercle. Ainsi, les cartes ne pourront être lues que par des lecteurs ayant le même « code site », ce qui exclut toute lecture par un lecteur similaire mais étranger à l’application.
Lorsque les personnes souhaiteront accéder au cercle, elles se présenteront devant la caméra et une comparaison sera effectuée entre le gabarit de leur visage en trois dimensions et le gabarit du visage en trois dimensions enregistré sur le badge. Aucun historique des entrées et des sorties ne sera réalisé. En outre, une interrogation automatisée du fichier des casinos et des exclus des salles de jeux détenu par le ministère de l’intérieur et du fichier des membres interdits d’accès et de jeux du CERCLE WAGRAM sera effectuée lors du passage des personnes afin de vérifier qu’elles n’ont pas fait l’objet d’une inscription dans ces fichiers depuis la date à laquelle leur carte leur a été délivrée.
Dans l’hypothèse où la personne figurerait dans le fichier des casinos et des exclus des salles de jeux détenu par le ministère de l’intérieur, il sera procédé au retrait et à la destruction de sa carte ainsi qu’à la suppression des données la concernant dans le fichier de gestion des cartes. Dans le cas contraire, les données seront conservées tant que la personne concernée souhaite adhérer au CERCLE WAGRAM.
En outre, la Commission prend acte que les personnes demandant à bénéficier d’une carte seront informées de leurs droits, dans les conditions prévues à l’article 32 de la loi du 6 janvier 1978 modifiée, par la diffusion à chacune d’entre elles d’une note d’information précisant la possibilité qui leur est reconnue de s’opposer à tout moment au traitement des données les concernant et d’utiliser une autre possibilité d’accès. Les personnes concernées seront également informées que le responsable de traitement interroge, sur la base des informations qu’elles auront communiquées, le fichier national des personnes exclues des salles de jeux et le fichier des interdits par le CERCLE WAGRAM.
La Commission note également que plusieurs mesures sont prévues par le CERCLE WAGRAM pour maîtriser les risques d’accès illégitime, de modification non désirée et de disparition de données. Il s’agit notamment de la sensibilisation des personnels, d’une gestion rigoureuse des interdits, d’un contrôle hebdomadaire des opérations, de la destruction sécurisée des documents papiers, du chiffrement du canal de communication entre les postes et du chiffrement des sauvegardes chiffrées.
Compte tenu des éléments précités et dans la mesure où d’une part, seules les données à caractère personnel des personnes volontaires seront traitées, et d’autre part, le gabarit du visage en trois dimensions est uniquement stocké dans un support individuel exclusivement détenu par la personne concernée et dont elle décide librement de l’utilisation, la Commission considère que le dispositif soumis par le CERCLE WAGRAM ne comporte pas de risques particuliers pour la protection des libertés et des droits fondamentaux de la personne.
Les droits d’accès et de rectification s’exerceront auprès du service Physio du CERCLE WAGRAM. 
S’agissant des personnes figurant dans le fichier national des personnes exclues des salles de jeux, le droit d’accès s’exerce auprès de la direction des libertés publiques et des affaires juridiques du ministère de l’intérieur.
Les catégories de données à caractère personnel enregistrées seront le gabarit du visage en trois dimensions, le nom, le prénom, la date et le lieu de naissance ainsi que le type et le numéro de la pièce d’identité de la personne.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, le service physionomie. Les agents habilités de la Préfecture de police de Paris pourront également accéder à ces informations dans la limite de leurs attributions.
Dans ces conditions, la Commission autorise le CERCLE WAGRAM, situé au 47 avenue de Wagram, à Paris (75017), à mettre en oeuvre un traitement de données à caractère personnel présenté.
Le président
Alex TURK
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la route ; 
Vu le code de procédure pénale ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-3° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la délibération n° 2006-188 du 6 juillet 2006 portant autorisation unique de mise en œuvre de traitements automatisés de données à caractère personnel  relatifs à la gestion du contentieux lié au recouvrement des contraventions au code de la route et à l’identification des conducteurs dans le cadre du système de contrôle automatisé des infractions au code de la route (AU-010) ;
Sur le rapport de M. Emmanuel de GIVRY, vice-président délégué et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, l’URSSAF DU PUY-DE-DOME à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité le recouvrement des contraventions routières, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Responsable du traitement
L’URSSAF DU PUY-DE-DOME
Finalités
Le traitement a pour objet le recouvrement des contraventions routières pour la flotte de véhicules mis à disposition de ses employés. Dès lors, le traitement présenté s’inscrit dans le cadre des dispositions de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée en août 2004 qui soumet à autorisation les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sureté. 
Caractéristiques particulières du traitement
L’organisme responsable de traitement met à disposition de ses employés des véhicules loués. Il n’est donc pas titulaire du certificat d’immatriculation desdits véhicules.
Catégorie de données traitées
Les catégories de données traitées sont : 
les données d’identification ; 
les données relatives à des infractions.
Destinataires
Sont destinataires les agents habilités et individuellement désignés :
des services généraux ;
du centre national de traitement des procès-verbaux ou du service indiqué dans l’avis de contravention.
Information et droit d’accès
Les personnes sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée en août 2004, par une mention dans la charte d’utilisation des véhicules ainsi que par voie d’affichage.Les droits d’accès et de rectification s’exerceront auprès du service CIL de l’URSSAF du Puy-de-Dôme – 4 rue Patrick Dépailler – 63045 CLERMONT-FERRAND.
Le Président
Alex TURK
Délibération n°2010-471 du 16 décembre 2010 autorisant la Chambre nationale des huissiers de justice et l’Association  droit électronique et Communication à mettre en œuvre un traitement automatisé de données à caractère personnel visant à la dématérialisation des échanges entre les huissiers de justice et les tribunaux d’instance ou juridictions de proximité relatifs aux requêtes en injonction de payer dénommé, « IPWEB »
(Autorisation n°1416267)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment son article 25-I-5° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par le décret n°2007-401 du 25 mars 2007 ;
Après avoir entendu Madame Claire DAVAL, en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes:
Sur la finalité poursuivie
Le traitement IP WEB permet aux études d’huissiers sous la responsabilité de la Chambre nationale des huissiers de justice de saisir les juridictions de proximité et les juridictions d’instance d’une requête en injonction de payer de manière dématérialisée conformément aux dispositions de l’article 748-1 du code de procédure civile. Il permet également aux juridictions concernées de gérer les dossiers de requêtes en injonction de payer conformément aux dispositions de l’article 729-1 du code de procédure civile et de produire des statistiques.
La Commission considère que la finalité poursuivie par ce traitement est déterminée, explicite et légitime.
Sur les données collectées
La Commission observe que la collecte des données d’identité relatives aux créanciers et débiteurs collectées est conforme aux dispositions de l’article 58 du code de procédure civile. Elle note que des pièces justificatives peuvent être jointes à la requête en injonction de payer. Elle rappelle toutefois qu’aucune requête ne pourra être lancée à partir d’une donnée sensible contenue dans une pièce justificative.
La Commission prend acte qu’aucune donnée sensible ou donnée comportant des appréciations sur les difficultés sociales n’est renseignée dans le traitement.
Elle appelle l’attention de la Chambre nationale des huissiers de justice sur le fait que seules les études  ayant introduit la requête initiale en injonction de payer pourront être destinataires du flux retour d’informations transmis par la juridiction et que les données concernant la situation économique et financière d’un débiteur ne doivent être collectées que pour les stricts besoins des procédures d’exécution que les études d’huissiers sont amenées à conduire.
La Commission prend acte que les données transmises à des fins statistiques sont anonymisées et qu’elles ne contiennent donc aucune donnée nominative concernant les débiteurs, mandataires ou créanciers.
Sur les destinataires
La liste des destinataires n’appelle pas d’observation dès lors que les études d’huissiers n’ont communication que des données relatives aux procédures dont ils ont la charge, et que les services de statistiques du ministère n’ont communication que de données préalablement anonymisées.
Sur les durées de conservation