AgentPublic/cnil huggingface dataset:
La société Cofiroute est habilitée à procéder à la constatation des infractions relatives au non-paiement d’un péage autoroutier. Un agent assermenté le constate et identifie le véhicule sur place ou à distance grâce aux images vidéos et aux photographies. Les caméras de surveillance sont situées au niveau des zones de paiement des gares de péage. Elles permettent grâce au réglage de l'angle de vision, une prise de photographies de l'avant du véhicule afin de disposer du numéro d'immatriculation dans le but d'identifier, par la suite, son propriétaire. Il n'y a toutefois pas de reconnaissance automatique des plaques d'immatriculation. Le procès-verbal une fois dressé est transmis à la gendarmerie ou à l’officier du ministère public compétent. La société Cofiroute demande alors la communication d’éléments sur le contrevenant lui permettant d’initier une procédure de recouvrement amiable du péage dû.Dans le cas du client sans moyen de paiement, ce dernier doit procéder à une reconnaissance de dette et s’acquitter dans un deuxième temps du montant du péage. S’il n’honore pas son engagement, une procédure de recouvrement est mise en œuvre. Le traitement présenté s’inscrit dans le cadre des dispositions de l’article 9-1° de la loi du 6 janvier 1978 modifiée en août 2004 qui autorisent les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales, à mettre en œuvre des traitements relatifs à des infractions.
Données traitées
Les données traitées relatives aux contrevenants sont : 
La civilité, le nom et le prénom ;
l’adresse ;
les données spécifiques à l’abonnement si le contrevenant est un abonné.
la date et le lieu de naissance ;
le numéro de téléphone ;
la raison sociale et l’adresse s’il s’agit d’une société ;
le numéro de carte d’identité, la date et la préfecture de délivrance ;
le numéro de permis de conduire, la date et la préfecture de délivrance ;
le numéro de carte grise si le client ne peut présenter une pièce d’identité ou le permis de conduire.
le lieu où l’infraction a été commise ;
les date, heure et le sens de circulation ;
le numéro de la voie ;
la gare de sortie ;
la constatation opérée de visu sur place ou à partir des images vidéo ;
le type d’infraction ;
le montant du péage dû ;
l’identification du véhicule ;
le numéro de la plaque d’immatriculation du véhicule ;
la classe du véhicule ; 
le nom de l’agent de Cofiroute ayant effectué le constat ;
la date de règlement / de régularisation ;
la nature du règlement ;
le numéro de reçu le cas échéant ;
la gendarmerie ou le service de police concerné ;
les données relatives à l’avancement du dossier ;
les données relatives au recouvrement de la créance et les frais divers recouverts ;
les actions engagées suite à l’infraction ;
la photographie et image du véhicule. 
Sont collectées en vue du recouvrement du péage à l’occasion d’une reconnaissance de dettes et avec l’accord de la personne, les données supplémentaires suivantes :
La civilité, le nom et le prénom ;
l’adresse ;
les données spécifiques à l’abonnement si le contrevenant est un abonné.
la date et le lieu de naissance ;
le numéro de téléphone ;
la raison sociale et l’adresse s’il s’agit d’une société ;
le numéro de carte d’identité, la date et la préfecture de délivrance ;
le numéro de permis de conduire, la date et la préfecture de délivrance ;
le numéro de carte grise si le client ne peut présenter une pièce d’identité ou le permis de conduire.
le lieu où l’infraction a été commise ;
les date, heure et le sens de circulation ;
le numéro de la voie ;
la gare de sortie ;
la constatation opérée de visu sur place ou à partir des images vidéo ;
le type d’infraction ;
le montant du péage dû ;
l’identification du véhicule ;
le numéro de la plaque d’immatriculation du véhicule ;
la classe du véhicule ; 
le nom de l’agent de Cofiroute ayant effectué le constat ;
la date de règlement / de régularisation ;
la nature du règlement ;
le numéro de reçu le cas échéant ;
la gendarmerie ou le service de police concerné ;
les données relatives à l’avancement du dossier ;
les données relatives au recouvrement de la créance et les frais divers recouverts ;
les actions engagées suite à l’infraction ;
la photographie et image du véhicule. 
Les données relatives aux caractéristiques de l’infraction sont : 
La civilité, le nom et le prénom ;
l’adresse ;
les données spécifiques à l’abonnement si le contrevenant est un abonné.
la date et le lieu de naissance ;
le numéro de téléphone ;
la raison sociale et l’adresse s’il s’agit d’une société ;
le numéro de carte d’identité, la date et la préfecture de délivrance ;
le numéro de permis de conduire, la date et la préfecture de délivrance ;
le numéro de carte grise si le client ne peut présenter une pièce d’identité ou le permis de conduire.
le lieu où l’infraction a été commise ;
les date, heure et le sens de circulation ;
le numéro de la voie ;
la gare de sortie ;
la constatation opérée de visu sur place ou à partir des images vidéo ;
le type d’infraction ;
le montant du péage dû ;
l’identification du véhicule ;
le numéro de la plaque d’immatriculation du véhicule ;
la classe du véhicule ; 
le nom de l’agent de Cofiroute ayant effectué le constat ;
la date de règlement / de régularisation ;
la nature du règlement ;
le numéro de reçu le cas échéant ;
la gendarmerie ou le service de police concerné ;
les données relatives à l’avancement du dossier ;
les données relatives au recouvrement de la créance et les frais divers recouverts ;
les actions engagées suite à l’infraction ;
la photographie et image du véhicule.
Des zones bloc-notes pourront être associées aux seuls actes et faits énumérés ci-dessus : les mentions inscrites dans ces zones ne doivent porter que sur des actes et des faits objectifs et ne peuvent, en aucun cas, faire apparaître, directement ou indirectement, des données relatives aux origines raciales, aux opinions politiques, philosophiques ou religieuses, aux appartenances syndicales ou aux mœurs de la personne concernée par ces actes ou ces faits. 
Destinataires
Deux catégories de destinataires ont accès aux données, à savoir les  personnes habilitées suivantes: 
dans tous les cas : les opérationnels de la filière de péage présents en gare de péage et dans les locaux de surveillance pour les secteurs qui les concernent ;
dans les cas où une procédure de recouvrement est initiée ou dans les cas où un dépôt de plainte est effectué : les membres du comité de pilotage et les membres du département juridique.
Durée de conservation
Les photographies sont conservées pendant un mois maximum. Les receveurs en cabine n’ont pas accès au système d’information dans lequel sont stockées les photographies ;
Les autres informations le sont pendant le temps nécessaire au suivi du dossier, cette durée ne pouvant excéder la prescription légale en matière de contravention, soit un an. 
Information et droit d’accès
Les personnes seront informées au préalable par des panneaux de signalisation routière et sur des affichettes apposées sur les équipements de péage en entrée et en sortie, de l’identité du responsable de traitement, de la finalité poursuivie par le traitement, des destinataires des données et des droits qu’ils détiennent, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée en août 2004.Dans le cadre du recouvrement des sommes dues, le contrevenant est informé par courrier qu’il fait l’objet d’un traitement.Les droits d’accès et de rectification s’exerceront, par courrier postal, auprès de la Direction de l’exploitation de COFIROUTE, 6-10 rue Troyon – 92310 SEVRES.
Le Président
Alex TURK
Le Président,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée par la loi n°2004-801 du 6 août 2004 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 11-2°c, 22 à 31 ;
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi  n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu la délibération n°2010-065 de la Commission Nationale de l’Informatique et des Libertés en date du 11 mars 2010;
Décide :
ARTICLE 1 : Il est créé par la Commission Nationale de l’Informatique et des Libertés un traitement automatisé de données à caractère personnel destiné à mettre à la disposition des usagers, sur son site internet « www.cnil.fr », des téléservices d’une part, pour l’accomplissement de toutes les formalités déclaratives prévues par la loi du 6 janvier 1978 modifiée ; d’autre part, pour la transmission de plaintes relatives à la mise en œuvre des traitements de données à caractère personnel. 
ARTICLE 2 : 
Les catégories de données à caractère personnel enregistrées sont les suivantes : 
s’agissant des dossiers de formalité : identification du responsable du traitement (nom, prénom, adresse postale, adresse électronique, numéro de téléphone, numéro de fax), les principales caractéristiques du traitement déclaré conformément aux dispositions de la loi précitée.
S’agissant des plaintes : identification du requérant (nom, prénom, adresse postale, adresse électronique, numéro de téléphone), identification de l’organisme mis en cause par le requérant (nom, adresse postale), les éléments de contexte fournis par le requérant utiles à l’instruction de la plainte.
ARTICLE 3
Les destinataires ou catégories de destinataires habilités à recevoir communication de ces données sont, à raison de leurs attributions respectives :
pour les dossiers de formalités : les services habilités de la Commission, les commissaires, le Commissaire du Gouvernement. Toute personne peut être destinataire de la liste des caractéristiques des traitements enregistrés par la CNIL dans les conditions prévues par l’article 31 de la loi de 1978 précitée.
Pour les plaintes : les services habilités de la Commission, les Commissaires, le responsable de l’organisme mis en cause dans le cadre d’une plainte ainsi que les organismes tiers  sollicités lors de l’instruction d’une plainte peuvent être destinataires des informations utiles au règlement de celle-ci.
ARTICLE 4 : 
Le droit d’accès et de rectification prévu par les articles 39 et suivants de la loi n° 78-17 du 6 janvier 1978  s’exerce  auprès du Correspondant  Informatique et Libertés de la CNIL (CIL, 8 rue Vivienne-CS 30223 75083 Paris cédex 02).
ARTICLE 5 : 
Le droit d’opposition prévu au titre de l’article 38 de la loi du 6 janvier 1978 ne s’applique pas au traitement des formalités préalables.
ARTICLE 6:
Le Président de la Commission est chargé de l’exécution de la présente décision  qui sera publiée au Journal Officiel de la République Française.
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la société ASCOMETAL d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès à ses locaux situés à Saint-Etienne.
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes :
La société ASCOMETAL, spécialisée dans la production d’aciers, souhaite utiliser un dispositif biométrique pour contrôler l’accès à ses locaux situés à Saint-Etienne. Le système doit être installé au portail principal. Les données biométriques du personnel en contrat à durée indéterminée sont enregistrées dans un serveur dédié et le personnel concerné ne dispose d’aucun support individuel.
D’une manière générale, la Commission observe qu’une donnée biométrique constitue un élément d’identité irrévocable dont la diffusion non maîtrisée, ou accidentelle, peut avoir des conséquences irrémédiables pour les personnes. Ainsi, à la différence de tout autre identifiant (code, mot de passe, etc.) la donnée biométrique ne peut être changée une fois collectée, ce qui impose d’en limiter l’usage afin d’en garantir la sécurité et le contrôle par les personnes.
La Commission considère également que la constitution de bases de données d'empreintes digitales ne peut être admise que dans certaines circonstances particulières où l'exigence d'identification des personnes résulte d’un fort impératif de sécurité, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée. En effet, cet article dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
A cet égard, la Commission observe que le dispositif destiné au contrôle de l’accès aux locaux situés à Saint-Etienne de la société n’a pas pour objet de sécuriser l’accès à une zone représentant un enjeu majeur dépassant l’intérêt strict de l’organisme concerné, mais répond aux besoins :
de protéger les personnes étrangères à l’entreprise, pour qu’elles ne puissent circuler librement dans l’enceinte de l’établissement (circulation d’engins) et rentrer dans des ateliers (accès libre) contenant des machines pouvant créer un danger ;
de filtrer les entrées et sorties des véhicules, qui pourraient servir à emporter du matériel indispensable à son activité (lutte contre le vol).
La Commission relève que ces objectifs pourraient être atteints, par exemple, via un système reposant sur un badge, ou via des dispositifs reposant sur la reconnaissance d’autres données biométriques telles que le contour de la main ou le réseau veineux du doigt de la main qui, en l’état actuel de la technique, ne sont pas susceptibles d’être capturées à l’insu des personnes et dès lors, ne comportent pas de risques particuliers pour les libertés et les droits fondamentaux des personnes.
La Commission rappelle que la constitution d’une base de données d’empreintes digitales comporte davantage de risques pour le droit des personnes et doit être réservée à des hypothèses particulières fondées sur un impératif fort de sécurité. En effet, parce que l’empreinte digitale constitue une « trace » laissée en abondance par les personnes à leur insu, sa captation frauduleuse, désormais aisée en l’état des techniques, exige que son utilisation soit limitée et encadrée afin d’empêcher que l’exemplaire de l’empreinte récupéré ne puisse être utilisé pour :
procéder à l’identification d’une personne à son insu par rapprochement avec un fichier nominatif d’empreintes digitales ;
usurper l’identité d’une personne, par exemple pour frauder un dispositif reposant sur la reconnaissance de l’empreinte digitale. 
En conséquence, le traitement pris dans son ensemble n'apparaît ni adapté ni proportionné du point de vue de la protection des données personnelles. 
Dès lors, la Commission n’autorise pas, en l’état, la société ASCOMETAL, 9 Esplanade BENEVENT, BP 723, 42950 Saint-Etienne Cedex à mettre en œuvre un traitement de données à caractère personnel reposant sur l’utilisation d’un dispositif biométrique de reconnaissance des empreintes digitales et dont la finalité est le contrôle de l’accès à ses locaux.
Le Président
Alex TURK
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment ses articles 8-IV et 25 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Vu le code de la sécurité sociale, et notamment son article L. 162-4-3 ;
Vu le décret n°2006-143 du 9 février 2006 relatif aux modalités d’accès des médecins aux données relatives aux prestations servies aux bénéficiaires de l’assurance maladie et modifiant le code de la sécurité sociale ;
Vu la délibération n°2005-046 de la Commission nationale de l'informatique et des libertés du 15 mars 2005 portant avis sur un projet de décret en Conseil d’Etat fixant les modalités selon lesquelles les médecins ont accès aux données relatives aux prestations servies aux bénéficiaires de l’assurance maladie modifiant le code de la sécurité sociale ;
Vu la délibération n° 2007-194 du 10 juillet 2007 autorisant la mise en place généralisée par la Caisse nationale d’assurance maladie des travailleurs salariés d’un traitement permettant aux médecins d’accéder aux données relatives aux prestations servies aux bénéficiaires de l’assurance maladie ;
Sur le rapport de M. Jean MASSOT, commissaire, et les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
La Commission a été saisie par la Caisse nationale d’assurance maladie des travailleurs salariés, CNAMTS, de plusieurs modifications du traitement permettant aux médecins de consulter, à l’occasion des soins qu’ils délivrent, les données relatives aux prestations servies aux bénéficiaires de l’assurance maladie sans modification du cadre législatif et réglementaire.
La CNAMTS a été autorisé par une délibération de la Commission nationale de l’informatique et des libertés, en date du 10 juillet 2007, à mettre en œuvre un traitement automatisé de données à caractère personnel offrant aux médecins la possibilité de consulter, depuis leur poste de travail et en présence du patient, les actes et prestations remboursés par l’assurance maladie sur une période de 12 mois. Le refus du bénéficiaire n’emporte aucune conséquence en matière de remboursement.
Ce traitement s’inscrit dans le cadre de l’article L. 162-4-3 du code de la sécurité sociale et du décret n°2006-143 du 9 février 2006 qui en détermine les modalités d’application et fixe les modalités selon lesquelles les médecins auront accès aux données.
La Commission a considéré qu’il y avait lieu de faire application des dispositions des articles 8-IV et 25 de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.
Les modifications apportées au traitement concernent : l’ouverture du service aux médecins hospitaliers, l’accès au service historique des remboursements (HR) par les logiciels de gestion de cabinet, la mutualisation de l’affichage des différents régimes, des évolutions techniques du service (migration vers l’infrastructure IMARS et FISS), la possibilité d’étendre le service à d’autres régimes obligatoires sous réserve que ces traitements soient au préalable soumis à la Commission et la prise en compte du changement de régime dans l’année qui précède.
La Commission prend acte que les autres éléments du dossier demeurent inchangés par rapport à sa précédente délibération 2007-194 du 10 juillet 2007. 
Les modalités de recueil de l’accord du patient restent fixées par l’article L. 162-4-3 du code de la sécurité sociale qui prévoit que le bénéficiaire donne son accord à cet accès en permettant au médecin d’utiliser, à cet effet, sa carte d’assurance maladie.
La Commission rappelle toutefois que la remise de la carte par le bénéficiaire doit s’accompagner d’une information claire sur l’accès qui sera ainsi autorisé et sur sa signification. Il convient en effet de distinguer, sans ambiguïté, les différentes opérations qui sont susceptibles d’être réalisées avec la carte d’assurance maladie. 
Les présentes modifications apportées par la CNAMTS n’appellent pas d’observations particulières.
Dès lors, la Commission autorise, dans les conditions définies dans le dossier et les annexes, la mise en œuvre par la CNAMTS des modifications apportées au traitement.
Le Président, 
Alex TURK
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu la délibération de la CNIL n°2005-305 du 8 décembre 2005 portant autorisation unique AU-004 de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle ;
Vu la demande d’autorisation, présentée par la société SELECT’BUSINESS SERVICES, d’un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ; 
Formule les observations suivantes :
La société JBM BUREAU MEDICAL PARIS a déposé le 5 mai 2010 un dossier de demande d’autorisation de mise en œuvre d’un dispositif de traitement de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle, conformément au Code Néerlandais de bonne gouvernance d’entreprise auquel la société mère du Groupe (RANDSTAD HOLDING) est soumise et qui impose la mise en place d’un système d’alerte professionnelle pour les sociétés cotées.
La Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire. 
La Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle. 
Elle observe que le traitement objet de la présente délibération répond à toutes les exigences prévues par l’autorisation unique, à l’exception des dispositions des articles 1 et 2. En effet, le traitement se fonde sur le respect des dispositions du Code Néerlandais de bonne gouvernance d’entreprise et couvre un périmètre plus large.