AgentPublic/cnil huggingface dataset:
1. Sur la création et la tenue de fichiers de personnes à risques   La Commission rappelle qu'aux termes de l'article 2 alinéa 2 de la loi du 6 janvier 1978, "aucune décision administrative ou privée impliquant une appréciation sur un comportement humain ne peut avoir pour seul fondement un traitement automatisé d'informations donnant une définition du profil ou de la personnalité de l'intéressé".   La décision d'inscrire une personne dans un fichier spécifique ou l'enregistrement de données la concernant dans un fichier clientèle qui pourrait conduire à lui refuser la location d'un véhicule devrait relever des agents ayant compétence pour vérifier le caractère certain du préjudice udice subi et habilités à cet effet par la société ou l'organisme concerné.   La Commission rappelle également qu'aux termes des dispositions du code de la consommation, il est interdit de refuser à un consommateur la vente d'un produit ou la prestation d'un service, sauf motif légitime. En outre, selon l'article 5 c) de la Convention du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, les données à caractère personnel faisant l'objet d'un traitement automatisé doivent être pertinentes, adéquates et non excessives par rapport aux finalités pour lesquelles elles sont enregistrées.   En conséquence, l'inscription d'une personne dans un fichier spécifique ou l'enregistrement de données la concernant dans
un fichier clientèle qui conduit à refuser la location d'un véhicule doit reposer sur des motifs objectifs opposables à la personne concernée, faisant abstraction de tout jugement de valeur ou d'une appréciation de son comportement. La Commission recommande qu'une liste des motifs d'inscription soit pré-établie et que toute inscription sans indication de motif soit exclue.   La Commission recommande qu'une distinction soit établie entre les motifs d'inscription résultant du comportement d'un conducteur employé par une société ou un organisme et les motifs d'inscription imputables à ladite société ou audit organisme.   Par ailleurs, la Commission appelle l'attention des responsables des sociétés de location de véhicules sur la nécessité d'adopter des mesures permettant de pallier tout risque d'homonymie, notamment dans des cas signalés d'usurpation d'identité.
2. Sur la durée de conservation des données   La Commission rappelle qu'aux termes de l'article 5e) de la Convention du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, ces données ne doivent pas être conservées sous une forme permettant l'identification des personnes concernées pendant une durée excédant celle nécessaire aux finalités pour lesquelles elles sont enregistrées.   Il appartient en conséquence aux responsables des sociétés ou organismes concernés de fixer des durées de conservation des données enregistrées, directement ou indirectement nominatives, adaptées aux différents motifs d'inscription, et de mettre en oeuvre des procédures de mise à jour et de suppression des informations. Ainsi, les données enregistrées à la suite d'un impayé devraient être supprimées dès lors que le montant de la facture est réglé ou, à défaut, à l'expiration d'un délai déterminé.
3. Sur l'information des personnes   En application de l'article 27 de la loi du 6 janvier 1978, les personnes auprès desquelles sont recueillies des informations nominatives doivent être informées :   - du caractère obligatoire ou facultatif des réponses ;   - des conséquences à leur égard d'un défaut de réponse ;   - des personnes physiques ou morales destinataires des informations ;   - de l'existence d'un droit d'accès et de rectification.   Lorsque de telles informations sont recueillies par voie de questionnaires, ceux-ci doivent porter mention de ces prescriptions.   La Commission rappelle en outre qu'aux termes de l'article 26 de la loi précitée, toute personne physique a le droit de s'opposer, pour des raisons légitimes, à ce que des informations nominatives la concernant fassent l'objet d'un traitement.   La Commission recommande que les personnes soient systématiquement informées par les sociétés ou organismes concernés de l'existence d'un fichier spécifique ou de la possibilité d'enregistrer dans un fichier clientèle des données qui conduisent à refuser la location d'un véhicule, des motifs d'inscription, des destinataires des données, - information qui revêt une importance particulière lorsque les données sont mutualisées - et de leur faculté d'exercer leur droit d'accès, conformément à l'article 34 de la loi du 6 janvier 1978. La Commission rappelle que la communication des informations doit s'effectuer en langage clair et être conforme au contenu des
enregistrements.   La Commission recommande en outre que, sauf exception légitime, toute personne inscrite sur un fichier spécifique ou faisant l'objet de l'enregistrement de données conduisant à lui refuser la location d'un véhicule en soit informée dès son inscription, afin qu'elle soit en mesure de présenter alors ses éventuelles observations.
4. Sur la sécurité et la confidentialité des données   La Commission rappelle qu'aux termes de l'article 29 de la loi du 6 janvier 1978, tout responsable de traitement automatisé d'informations nominatives s'engage vis-à-vis des personnes concernées à prendre toutes précautions utiles afin de préserver la sécurité des informations et notamment d'empêcher qu'elles ne soient déformées, endommagées ou communiquées à des tiers non autorisés.   En conséquence, elle appelle l'attention des responsables des traitements automatisés d'informations nominatives concernés sur la nécessité de veiller à ce que, sous réserve de l'application de l'article 27 de la loi, les données ne soient communiquées qu'aux seuls professionnels de la location de véhicules, et ce par des moyens sécurisés (fichier ou mel crypté) .   Le Président, Michel Gentot.   Vice-Président Délégué, Hubert BOUCHET.
La Commission Nationale de l'Informatique et des Libertés ;   Saisie pour avis par le ministère de la jeunesse, de l'éducation nationale et de la recherche, en application de l'article 15 de la loi du 6 janvier 1978, d'un projet d'arrêté concernant le système d'information sur le suivi des étudiants, dénommé SISE ;   Vu la convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive n° 95/46/CE du parlement européen et du Conseil du 24 octobre 1998 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation des données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;   Vu la loi n° 51-711 du 7 juin 1951 sur l'obligation, la coordination et le secret en matière statistique ;   Vu le décret n° 78-774 du 17 juillet 1978, modifié, pris pour l'application de la loi du 6 janvier 1978 susvisée ;   Vu l'arrêté du ministre de l'enseignement supérieur et de la recherche en date du 12 décembre 1994 portant création du traitement SISE ;   Vu le projet d'arrêté présenté par le ministre de la jeunesse, de l'éducation nationale et de la recherche portant modification du traitement SISE et abrogeant l'arrêté précité de 1994,   Après avoir entendu Monsieur Maurice BENASSAYAG, Commissaire, en son rapport et Madame Charlotte-Marie PITRAT, Commissaire
du Gouvernement, en ses observations.
Formule les observations suivantes :   Le ministère de la jeunesse, de l'éducation nationale et de la recherche a saisi la CNIL d'une demande d'avis modificative du traitement automatisé de données individuelles dénommé "Système d'Information sur le Suivi des Etudiants" (SISE), géré par la direction de la programmation et du développement, service statistique ministériel.   Le traitement SISE, créé par l'arrêté du 12 décembre 1994, a pour objet de permettre au ministère de disposer de données fiables et cohérentes sur les élèves et les étudiants des établissements d'enseignement supérieur en vue de la répartition des moyens, de l'établissement de statistiques et d'études prospectives et longitudinales.   Le système SISE enregistre les données individuelles que lui transmettent les établissements d'enseignement supérieur et qui sont les suivantes : l'identifiant national étudiant (INE), le sexe, l'année de naissance, la situation de famille, la nationalité, la profession et la catégorie socio-professionnelle des parents et de l'étudiant, le type d'hébergement de l'étudiant, le type d'aide reçue, le département de résidence des parents, les modalités d'entrée et d'inscription dans l'enseignement supérieur (série du baccalauréat et année d'obtention, équivalence, année et établissement de première inscription, formation initiale et continue), le cursus suivi et les diplômes acquis, l'inscription et le résultat au diplôme.   L'identifiant national (INE) attribué à chaque
étudiant par le ministère en 1993, conformément aux recommandations de la Commission, comporte onze caractères dont un code géographique caractérisant sur deux caractères l'académie d'immatriculation, l'année d'attribution du numéro en deux caractères, un numéro d'ordre séquentiel en six caractères, la clé de contrôle du code en un caractère.
La première modification du traitement, sollicitée par le ministère, vise à permettre aux services statistiques des rectorats de disposer de l'intégralité du fichier national de données individuelles SISE. Les données transmises seront donc celles énumérées par l'article 2 de l'arrêté de décembre 1994 susvisé.   La transmission de ces informations à des fins exclusives d'études statistiques ayant trait notamment aux migrations inter-académiques, aux parcours des élèves passés dans l'enseignement supérieur doit contribuer à une meilleure connaissance du dispositif national de l'enseignement supérieur et à la mise en oeuvre de décisions appropriées. Elle s'inscrit enfin dans le cadre défini par la loi susvisée du 7 juin 1951.   . Le ministère prévoit également que les établissements publics d'enseignement supérieur sous sa tutelle pourront être destinataires d'un extrait du traitement SISE avec cryptage du numéro INE et agrégation de la nationalité. Il conviendra que le procédé de cryptage soit soumis à la Commission lorsqu'il sera arrêté.   La seconde modification présentée consiste à autoriser le service statistique de l'administration centrale, la direction de la programmation et du développement ainsi que les services statistiques des rectorats à conserver les données individuelles obtenues pendant une durée n'excédant pas dix ans. Un historique des données sur une période d'au moins dix ans est en effet de nature à permettre la réalisation d'études statistiques sur la
population concernée. Ce délai est pertinent compte tenu de la longueur des cursus universitaires et des réorientations possibles.
EMET un avis favorable au projet d'arrêté relatif au traitement SISE soumis à la Commission.   Le Président, Michel GENTOT.
La Commission Nationale de l'Informatique et des Libertés.   Saisie pour avis, en application de l'article 20 du décret n° 78-774 du 17 juillet 1978, du projet de loi relatif à l'immigration ;   Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive n° 95/46/CE du parlement européen et du conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation des données ;   Vu la Convention d'application de l'Accord de Schengen du 14 juin 1985, signée à Schengen le 19 juin 1990.   Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés :   Vu l'ordonnance n° 45-2658 du 20 novembre 1945 modifiée relative aux conditions d'entrée et de séjour des étrangers en France, et notamment son article 8-3 ;   Vu la décision du Conseil Constitutionnel n° 97-389 DC du 22 avril 1997 relative à la loi du 24 avril 1997 ;   Après avoir entendu Monsieur François GIQUEL, commissaire, en son rapport, et Madame Charlotte-Marie PITRAT, commissaire du Gouvernement, en ses observations ;
EMET L'AVIS SUIVANT   L'article 4 du projet de loi complète le premier alinéa de l'article 8-3 de l'ordonnance du 2 novembre 1945 et a pour objet d'étendre les cas dans lesquels les empreintes digitales des ressortissants étrangers, non ressortissants d'un Etat membre de l'Union européenne, peuvent être relevées, mémorisées et faire l'objet d'un traitement automatisé.   Les dispositions actuelles de cet article, introduites dans l'ordonnance du 2 novembre 1945 par la loi du 24 avril 1997, prévoient que les empreintes digitales des étrangers non ressortissants d'un Etat membre de l'Union européenne qui sollicitent la délivrance d'un titre pour un séjour de plus de 3 mois ainsi que celles des étrangers qui sont en situation irrégulière en France ou qui font l'objet d'une mesure d'éloignement du territoire français, peuvent être relevées, mémorisées et faire l'objet d'un traitement automatisé dans les conditions fixées par la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés. Elles n'ont reçu aucune application à ce jour.   Le deuxième alinéa du même article institue la possibilité pour les agents expressément habilités du ministère de l'intérieur ou de la gendarmerie de consulter, dans les conditions fixées par la loi du 6 janvier 1978, le fichier automatisé des empreintes digitales (FAED), géré par le ministère de l'intérieur, afin d'identifier les étrangers en situation irrégulière ou faisant l'objet d'une mesure d'éloignement qui
n'auraient pas présenté les pièces justificatives nécessaires.   La modification envisagée par l'article 4 du projet de loi a pour objet d'étendre la possibilité de prise d'empreintes digitales et de leur traitement aux étrangers qui, ayant été contrôlés à l'occasion du franchissement de la frontière en provenance d'un pays tiers, ne sont pas munis des documents et visas d'entrée exigés en application de l'article 5 de l'ordonnance du 2 novembre 1945 ou ne remplissent pas les conditions d'entrée sur le territoire des Parties contractantes pour un séjour n'excédant pas trois mois, prévues à l'article 5 de la convention signée à Schengen le 19 juin 1990.   L'article 5 du projet de loi introduit un nouvel article 8-4 dans l'ordonnance du 2 novembre 1945 aux termes duquel les empreintes digitales des étrangers non ressortissants de l'Union européenne qui sollicitent la délivrance, auprès d'un consulat ou à la frontière, d'un visa afin de séjourner dans un Etat membre de l'Union européenne, pourront être relevées, mémorisées et faire l'objet d'un traitement automatisé dans les conditions fixées par la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.
La Commission rappelle d'abord que, conformément aux principes généraux de la protection des données à caractère personnel et à l'article 5 de la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 susvisée, un traitement automatisé d'informations nominatives ne peut être mis en oeuvre que pour "des finalités déterminées et légitimes", les données enregistrées devant être adéquates, pertinentes et non excessives par rapport à ces finalités ;   Elle estime dès lors que le projet de loi devrait clairement indiquer les finalités pour lesquelles il pourra être procédé à des traitements automatisés d'empreintes digitales des étrangers non ressortissants de l'Union Européenne ;   En tout état de cause, la Commission tient pour légitime le recours, pour s'assurer de l'identité d'une personne, à des dispositifs de reconnaissance biométrique dès lors que la donnée biométrique est conservée sur un support dont la personne a l'usage exclusif.   En revanche, elle considère que la mémorisation et le traitement de données issues des empreintes digitales, compte tenu des caractéristiques de l'élément d'identification physique retenu et des usages possibles des bases de données qui pourraient ainsi être constituées, doivent être justifiés par des exigences impérieuses en matière de sécurité ou d'ordre public.   Il convient aussi que des garanties appropriées soient prises pour assurer le respect des droits et libertés individuelles, et ce d'autant plus que ces bases de données
d'empreintes digitales seraient susceptibles de concerner à court terme plusieurs millions de personnes, puisque, par exemple, le nombre de demandes de visa reçues par le ministère des affaires étrangères atteint aujourd'hui près de trois millions par an.   Au nombre de ces garanties, figure le respect des règles de protection des données à caractère personnel telles que fixées par la Convention n° 108 du Conseil de l'Europe et par la loi du 6 janvier 1978, et en particulier, l'obligation de ne conserver les données que pendant une durée n'excédant pas celle nécessaire aux finalités poursuivies, la nécessité de préserver la confidentialité de ces données et de ne les communiquer qu'aux personnes autorisées à en connaître, le respect de l'exercice du droit d'accès de chacun aux informations le concernant.
Ainsi la Commission estime que l'accès aux traitements d'empreintes digitales, eu égard à la sensibilité des données qui y seraient conservées, devrait être strictement réservé à un nombre limité de personnes expressément habilitées à cet effet et que des mesures particulières de sécurité devraient être adoptées pour éviter toute utilisation détournée des informations, compte tenu non seulement de la dimension des fichiers mais aussi de la répartition mondiale des postes consulaires.   Se référant d'autre part aux différents avis qu'elle a rendus en particulier sur le traitement de gestion, par le ministère de l'intérieur, des dossiers des ressortissants étrangers (AGDREF) et sur le traitement de délivrance des visas (RMV2) mis en oeuvre par le ministère des affaires étrangères, la Commission rappelle que, compte tenu des conséquences graves que pourrait entraîner à l'égard des personnes concernées la conservation dans les traitements d'empreintes digitales, d'informations incomplètes ou périmées, s'agissant par exemple de personnes ayant acquis la nationalité française ou ayant régularisé leur situation en France, les durées de conservation des informations et les procédures de mise à jour et d'apurement de celles-ci devraient être précisément définies et rigoureusement appliquées.   Enfin, la Commission considère que l'exercice du droit d'accès constitue, pour les personnes appelées à figurer dans ces fichiers, une garantie fondamentale, leur permettant ainsi de
vérifier l'exactitude des informations enregistrées sur leur compte et de les faire rectifier, voire supprimer le cas échéant si celles-ci s'avèrent inexactes ou périmées.   Elle estime en conséquence que la loi devrait renvoyer explicitement à un décret en Conseil d'Etat pris après avis de la CNIL les modalités d'application de chacun des deux articles du projet de loi, afin de préciser notamment les modalités d'habilitation des personnes pouvant accéder aux informations, la durée de conservation et les conditions de mise à jour des informations enregistrées et l'exercice de leur droit d'accès par les personnes concernées.
La Commission prend acte qu'aux termes des dispositions dont elle est saisie, les empreintes digitales des ressortissants étrangers sollicitant un visa feraient l'objet d'un traitement automatisé distinct de celui mis en oeuvre pour l'enregistrement des empreintes digitales des ressortissants étrangers qui sollicitent la délivrance d'un titre de séjour, qui sont en situation irrégulière en France, ou qui font l'objet d'une mesure d'éloignement du territoire français. De la même façon, elles ne prévoient, en l'état, aucune mise en relation, rapprochement ou interconnexion entre ces traitements ou avec d'autres fichiers hormis ceux déjà prévus par la loi.   Seul le fichier automatisé des empreintes digitales (FAED), géré par le ministère de l'intérieur, peut, aux termes de l'article 8-3 actuel, être consulté à des fins d'identification des étrangers en situation irrégulière ou faisant l'objet d'une mesure d'éloignement.   Enfin, la Commission constate que ces dispositions doivent s'intégrer, comme l'indique l'exposé des motifs, dans le cadre des travaux en cours au plan communautaire visant à systématiser l'introduction de données biométriques dans les passeports, les visas et les titres de séjour.   Le Conseil européen de Laeken, en décembre 2001, a en effet demandé au Conseil et aux Etats membres de prendre les dispositions nécessaires pour la mise en place d'un système commun d'identification des visas, qui permettrait de recenser dans une base unique les demandes et les
refus de visas, afin notamment de lutter contre la fraude, d'améliorer la coopération consulaire, de déterminer plus aisément aux postes de contrôle aux frontières extérieures ou lors des contrôles d'immigration ou de police, les usurpations d'identité, de faciliter l'application de la Convention de Dublin sur le droit d'asile, de vérifier l'identité des personnes en situation irrégulière. A cet effet certaines lignes directrices ont déjà été définies, parmi lesquelles l'intégration dans la base des photographies numérisées et d'autres données biométriques.
Dans la mesure où, d'une part, le système d'information national qui sera appelé à se mettre en place nécessitera l'instauration de nouveaux flux transfrontières de données au sein de l'espace Schengen et où, d'autre part, les dispositions communautaires ne sont pas encore définitivement arrêtées et qu'en particulier le dispositif biométrique qui sera utilisé n'est pas encore retenu, la Commission s'interroge sur la compatibilité du dispositif prévu par le projet de loi avec le futur système européen.   La Commission s'interroge aussi sur les conditions dans lesquelles les transmissions d'informations concernant les personnes appréhendées à l'occasion du franchissement irrégulier d'une frontière extérieure de l'Union Européenne ainsi que les étrangers se trouvant illégalement sur le territoire d'un Etat membre, prévues au titre de l'article 8 du règlement du Conseil de l'Union Européenne du 11 décembre 2000 concernant "la création du système EURODAC pour la comparaison des empreintes digitales aux fins de l'application efficace de la Convention de Dublin", pourraient ou non être alimentées par les données biométriques recueillies en application des articles 4 et 5 du projet de loi. La Commission observe que le système EURODAC a pour seul objet d'établir l'identité des demandeurs d'asile et de permettre à un Etat de vérifier si un étranger se trouvant illégalement sur le territoire ou appréhendé à l'occasion du franchissement irrégulier d'une frontière extérieure de la
Communauté a présenté une demande d'asile dans un autre Etat membre et que l'article 5 du règlement du Conseil du 28 février 2002 fixant certaines modalités d'application du règlement précité du 11 décembre 2000 prévoit expressément que la constitution de la base de données EURODAC doit être conçue de façon à séparer les données relatives aux personnes reconnues et admises comme réfugiés et les autres données.   La Commission considère en conséquence que si le dispositif prévu par le projet de loi avait vocation à être utilisé dans le cadre du système EURODAC, il y aurait lieu d'en faire mention à l'article 4 du projet de loi.   Le Président, Michel GENTOT.