AgentPublic/cnil huggingface dataset:
Conformément aux articles 41 et R. 53-1 du code de procédure pénale, l’autorité judiciaire peut recourir à une association d’aide aux victimes conventionnée afin qu’il soit porté aide à la victime de l’infraction, justifiant ainsi la collecte et le traitement de données d’infractions, condamnations et mesures de sûreté. La Commission considère que cette mission d’aide aux victimes et d’accompagnement tout au long de la procédure judiciaire participe de l’exercice effectif de leurs droits par les victimes. De telles données peuvent également être collectées dans le cadre d’une médiation pénale. Il y a donc lieu de faire application des articles 9-1° et 25-I-3° de la loi du 6 janvier 1978 modifiée, qui disposent que les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales, peuvent être autorisées par la Commission à traiter de telles données. 
La Commission relève que le NIR pourra également être collecté, notamment dans le cadre d’une mesure d’administration ad hoc ou dans le cadre de l’aide aux victimes, conformément à l’article 25-I-6° de la loi du 6 janvier 1978 modifiée. Cette donnée ne devra cependant être collectée et traitée qu’aux seules fins d’échanges avec la sécurité sociale.
En outre, des données relevant de l’article 8 de cette même loi pourront être collectées, ainsi que plus généralement des critères de vulnérabilité (handicap, maladie, grossesse, âge, etc.). La Commission considère que le traitement de ces données, lorsqu’elles sont nécessaires à la mission confiée à l’association, permettent d’assurer un exercice effectif de leurs droits par les victimes ou l’exécution d’un mandat judiciaire, justifiant ainsi l’application des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée. Ces données devront néanmoins être traitées de manière objective et exclusive de toute appréciation subjective du personnel des associations.
Enfin, et notamment dans le cadre des enquêtes de personnalité des victimes, des données comportant des appréciations sur les difficultés sociales des personnes pourront être traitées, et la Commission estime qu’il y a donc lieu de faire application de l’article 25-I-7°de la loi du 6 janvier 1978 modifiée.
S’agissant des enquêtes de personnalité, la Commission prend acte que les documents rédigés dans ce cadre ne seront pas numérisés et intégrés dans l’application. Le traitement enregistre uniquement des informations relatives à l’identité de l’enquêteur et aux personnes entendues. De même, les données relatives aux enquêtes de personnalité concernant les auteurs d’infractions ne seront pas traitées.
La Commission autorise le traitement de ces données dans la mesure où elles sont pertinentes au regard du type de missions confié à ces associations. Néanmoins, elle estime que ces données ne devront pas être systématiquement recueillies, mais seulement dans le cas où le traitement du dossier le nécessite.  
La Commission relève que le traitement comportera de nombreux champs libres. A cet égard, elle rappelle que les données doivent être pertinentes, adéquates et non excessives au regard des finalités poursuivies, et ce aussi bien dans la nature des données collectées que dans la manière de les formuler. Par ailleurs, elles devront être communiquées à l’intéressé, à sa demande, conformément à l’article 39 de la loi du6 janvier 1978 modifiée.
Sur la durée de conservation des données 
Les données seront conservées pendant une durée de deux ans à compter du dernier contact. Elles seront ensuite versées dans une base d’archive inactive puis effacées définitivement à l’issue d’un délai de trois ans. 
Cette conservation permettra si besoin aux associations d’avoir accès à des anciens dossiers. La Commission relève que l’accès à la base inactive sera restreint, dans la mesure où une demande d’autorisation auprès de l’administrateur ou du service assistance du prestataire informatique devra être effectuée pour qu’un dossier de la base inactive soit reversé en base active et consulté. 
Sur les personnes accédant aux données
Les personnes accédant directement au traitement seront les personnels des associations (salariés et bénévoles), en fonction du besoin d’en connaître et selon des profils d’accès très déterminés. En outre, chaque association n’aura accès qu’aux dossiers qu’elle prend en charge.
Sur les droits des personnes 
Concernant le droit d’information des victimes, la Commission relève qu’il sera assuré de plusieurs manières. Une mention sera apposée dans les courriers adressés par l’association ; en outre, l’information sera également délivrée via son site internet, et enfin via la présence d’un tableau d’affichage lorsque la victime est reçue dans les locaux de l’association. En cas de contact téléphonique, et dans la mesure où la levée d’anonymat a lieu au moment de cet entretien téléphonique, la personne concernée devra être informée du traitement de ses données. Dans le cas où la personne souhaite garder l’anonymat, aucune donnée à caractère personnel ne sera enregistrée dans le traitement. Si, suite à cet entretien, une rencontre a lieu et des données à caractère personnel sont traitées, l’information sera délivrée lors de cette collecte. 
La Commission estime que ces modalités d’information des victimes sont satisfaisantes.
S’agissant des autres personnes qui verront leurs données à caractère personnel enregistrées (auteurs présumés d’infraction, magistrats, etc.), la collecte de leurs données sera réalisée de manière indirecte, justifiant l’application de l’article 32-III alinéa 2 de la loi du 6 janvier 1978 modifiée qui prévoit une exception au droit d’information quand l’information se révèle impossible ou exige des efforts disproportionnés par rapport à l’intérêt de la démarche.
Les droits d’accès et de rectification s’exerceront de manière directe, auprès de l’INAVEM, qui sera alors donneur d’ordre auprès de l’association concernée.
Sur la sécurité des données et la traçabilité des actions
L’ergonomie de l’outil INAVEM Pro-Gest a été conçue en fonction des cinq différentes missions exercées par les associations (aide aux victimes, médiation pénale, administration ad hoc, enquêtes de personnalité, accès au droit), et sera accessible via un accès web sécurisé.
C’est un progiciel qui a été développé selon un cahier des charges émis par l’INAVEM. Il s’agit d’une application web s’exécutant sur un serveur dédié hébergé chez un prestataire externe. L’application est accessible par connexion sécurisée https sur la base d’un certificat permettant d’authentifier le serveur hôte. Les données sont enregistrées dans une base de données SQL.
Le progiciel satisfait aux principales recommandations de sécurité exigées par l’article 34 de la loi du 6 janvier 1978 modifiée.
Seize types d’habilitation ont été définis, restreignant l’accès à certaines données en fonction des métiers des personnes, ce qui permet de s’assurer que seules les personnes ayant besoin d’en connaître auront accès aux données à caractère personnel.
La Commission rappelle que l’authentification des utilisateurs du traitement doit respecter ses préconisations. Les mots de passe doivent notamment être d’un niveau de complexité suffisant (huit caractères avec des lettres minuscules, majuscules, des chiffres et des caractères spéciaux).
Une traçabilité des actions est effectuée, et ces traces seront conservées un mois. Il convient d’ajouter qu’elles seront exploitées de manière hebdomadaire par l’administrateur.
La Commission prend acte que le traitement ne fera l’objet d’aucune interconnexion, notamment avec le traitement Cassiopée du ministère de la justice. Les données éventuellement issues de Cassiopée (numéro de parquet notamment) seront reportées manuellement dans l’application mise en œuvre par l’INAVEM.
Dans ces conditions, la Commission autorise l’INAVEM à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité le suivi et la gestion des activités des associations d’aide aux victimes membres de l’INAVEM et l’établissement de données statistiques.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1611919)
La Commission nationale de l’informatique et des libertés ; 
Saisie par IRCEM GESTION d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité de proposer aux bénéficiaires de l’IRCEM GESTION des services personnalisés via la création d’un « WEB services » sur internet ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-6 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire et après avoir entendu les observations de  M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le Groupe IRCEM est le groupe de protection sociale des emplois de la famille, salariés de la famille, employeurs et retraités de ce secteur d’activité en France.Le Groupe gère la retraite complémentaire, la prévoyance collective, la mutuelle et l’action sociale des services à la personne. Le Groupe IRCEM est composé de 3 institutions.L’Ircem Retraite est l’institution de retraite complémentaire des salariés du particulier employeur. Il s’agit d’une personne morale de droit privé à but non lucratif qui remplie une mission d'intérêt général. Elle relève de l’article L922-1 du code de la Sécurité sociale. Elle est sous contrôle des Fédérations AGIRC-ARRCO. L’Ircem Prévoyance est une institution de prévoyance régie par les dispositions du code de la Sécurité Sociale relatif à la prévoyance collective complémentaire et obligatoire des salariés du particulier employeur. Il s’agit d’une personne morale de droit privé a but non lucratif relevant de l’article L931-1 du code de la Sécurité sociale.L’Ircem Mutuelle est une mutuelle réservée aux salariés et anciens salariés du particulier employeur, aux assistantes maternelle en activité ou retraitées et aux particuliers employeurs. C’est une personne morale de droit privé à but non lucratif. Elle relève de l’article L111-1 du code de la mutualité.L’IRCEM GESTION a saisi la Commission d’une demande d’autorisation sur le fondement de l’article 25-I-6 de la loi du 6 janvier 1978 modifié qui prévoit que sont mis en œuvre après
autorisation de la Commission, les traitements portant sur des données parmi lesquelles figure le NIR.
Sur la finalité
Le traitement mis en œuvre a pour finalité de proposer aux bénéficiaires de l’IRCEM GESTION des services personnalisés via la création d’un « WEB services » sur internet.Ils pourront accéder à leurs contrats et aux informations les concernant, directement en ligne (par exemple l’état d’avancement de leurs remboursements). La Commission considère les finalités poursuivies comme déterminées, légitimes et explicites. 
Sur les données traitées
Les données à caractère personnel traitées sont les suivantes :
Nom, prénom ;
Adresse postale ;
Date de naissance ;
Numéro URSSAF ;
Situation professionnelle ;
Identifiants de connexion
Numéro de sécurité sociale (NIR).
La Commission observe que l’IRCEM GESTION propose aux « particulier employeurs » certaines garanties et couvertures notamment santé (pour eux ou au bénéfice de leurs salariés), à ce titre le numéro URSSAF est collecté en leur qualité d’employeur. 
S’agissant du NIR, lors de l’inscription au service en ligne, les personnes renseignent leur NIR afin qu’IRCEM GESTION associe à leur compte les contrats dont ils disposent au sein de chaque institution (Retraite, Prévoyance et Mutuelle). 
Le NIR n’est collecté que pour l’inscription au service, par la suite la personne est invitée à s’identifier avec son adresse mail et un mot de passe qui lui sera communiqué par courriel. Au préalable, un code sera envoyé par courrier postal pour l’activation du compte.
La Commission observe que l’IRCEM GESTION est habilitée à traité le NIR dans le cadre de ses missions d’intérêt général et de sécurité sociale. 
En l’espèce, le NIR est utilisé pour une nouvelle finalité, à savoir la mise en œuvre d’un service en ligne. Il permet à l’IRCEM GESTION d’interconnecter les trois bases de données lorsqu’un bénéficiaire utilise le « Web service » afin de lui fournir une information exhaustive sur l’ensemble de ses contrats.
La Commission prend acte que le NIR ne servira pas d’identifiant de connexion. 
Ces données apparaissent pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Seul ont accès aux informations concernant les bénéficiaires, le personnel habilité d’IRCEM GESTION dans le cadre de leurs missions. Les destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées par une mention d’information sur le formulaire d’inscription et par les conditions générales d’utilisation du service en ligne.Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes pour la Commission. 
Sur les mesures de sécurité
Des mesures de sécurité sont prises afin de préserver la sécurité et la confidentialité des données et, notamment, empêcher que des tiers non autorisés y aient accès. Les mots de passe pour l’accès au web service sont envoyés par messagerie électronique. Un courrier postal est au préalable adressé aux bénéficiaires avec le code d’activation.Les mesures de sécurité envisagées n’appellent pas d’observations particulières.
Autorise, conformément à la présente délibération, IRCEM GESTION à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1600569) 
La Commission nationale de l’informatique et des libertés, 
Saisie par la société IdTGV d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la détection et la prévention des fraudes relatives aux commandes ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Sur la proposition de M. Jean-François CARREZ, rapporteur, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
Le responsable de traitement est la société IdTGV, filiale de la Société Nationale des Chemins de Fer (SNCF).
Sur la finalité
La finalité du présent traitement est la détection et la prévention des fraudes à la carte bancaire lors d’achat de titres de transport ferroviaire IdTGV. Pour ce faire, la société IdTGV a recours à un outil d’évaluation des risques présentés par ce type de transaction. La société souhaite également mettre en place une liste noire pour les cas de commandes impayées. Les personnes figurant sur cette liste ne pourront plus passer de commande tant qu’elles n’auront pas réglé les sommes impayées. La Commission estime que la finalité poursuivie est déterminée, légitime et explicite. Elle considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire. 
Sur les données traitées
La société recourt à un outil d’évaluation des risques lorsqu’elle ne peut utiliser le dispositif 3D Secure (transactions effectuées sur les sites d’autres distributeurs et sur les applications mobiles). 
Dans ce cadre, les données collectées sont les suivantes : 
Données relatives à l’identification : identifiant, nom, prénom, date de naissance, adresse électronique, numéro de téléphone ;
Données de connexion : adresse IP horodatée ;
Informations d’ordre économique et financière : date et heure de la transaction, montant et numéro de la transaction, type, numéro (crypté) et nom du porteur de la carte bancaire, date d’expiration, monnaie de la commande ;
Informations relatives à la commande : panier mixte (montant, nom du partenaire), temps avant le départ, type de produit, itinéraire, villes de départ et d’arrivée, pays de départ et d’arrivée, type de billet (aller-retour).
Lorsque le dispositif 3D Secure peut être utilisé, seul le résultat 3D Secure est collecté et traité. 
Dans le cas de commande générant un impayé, l’adresse électronique et le numéro de carte bancaire attachés à la commande sont inscrits dans la liste noire.
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie. 
Sur les destinataires
Seuls les personnels habilités du service des fraudes de la société IdTGV sont destinataires de ces données.Ces destinataires n’appellent pas d’observation de la part de la Commission.En outre, la Commission observe qu’une partie du traitement est réalisée par un sous-traitant. Elle prend acte que les données ne sont pas communiquées à d’autres personnes susceptibles de recourir aux services proposés par ce sous-traitant et rappelle que conformément à l’article 35 de la loi du 6 janvier 1978 modifiée, les données ne peuvent faire l’objet d’une opération de traitement de la part d’un sous-traitant que sur instruction du responsable de traitement.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées au préalable de la mise en œuvre du traitement, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention figurant dans les conditions générales de vente.En cas d’inscription dans la liste noire des impayés, les personnes concernées en sont informées au moment même de l’inscription et peuvent présenter leurs observations en contactant le service client. 
Les droits d’accès et de rectification s’exercent auprès du Service client de la société IdTGV, 2, place de la Défense – CNIT 1 – BP 440 PARIS LA DEFENSE.  La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes. 
Sur les mesures de sécurité
Des profils d'habilitation sont prévus afin de gérer les accès aux données autant que de besoin. Les utilisateurs ayant accès au traitement sont authentifiés au moyen d’un mot de passe ayant un niveau de complexité suffisant, et régulièrement renouvelé.
La transmission des données au sous-traitant est chiffrée, et celui-ci conserve les numéros de cartes bancaires sous forme chiffrée. Le réseau de l’entreprise  fait l’objet de mesure de filtrage ayant pour but de restreindre l’émission et la réception des flux réseaux aux machines identifiées et autorisées Une journalisation des opérations de consultation, création et modification du traitement est réalisée. Ces journaux sont conservés pendant dix jours avec accès immédiat, puis sont archivés pendant un an.Les interventions de maintenance font également l'objet d'une traçabilité.Les autres mesures de sécurité mises en place n’appellent pas d’observation de la part de la Commission.
Sur les autres caractéristiques du traitement
La transaction est automatiquement bloquée lorsqu’elle correspond à un impayé figurant dans la liste d’exclusion (alerte rouge). Le client est alors informé que la commande ne peut avoir lieu et est invité à utiliser un autre moyen de paiement ou à contacter le service client afin de régulariser la situation.
En cas de transaction identifiée comme présentant un risque de fraude (alerte orange), la transaction a lieu mais le service dédié de la société IdTGV procède à une analyse manuelle des éléments de la commande après paiement afin de confirmer ou non le caractère frauduleux. Si l’alerte est confirmée, la commande est annulée. Le client en est informé par courrier électronique et est invité à utiliser un autre moyen de paiement ou à contacter le service client afin de régulariser la situation.Les règles de calcul issues des critères de risque sont définies par la société IdTGV à partir de la typologie des fraudes constatées en plus grand nombre. Ces règles sont régulièrement mises à jour en fonction du niveau de pertinence constaté. Ainsi, conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, aucune décision à l’égard d’une personne ne sera prise sur le seul fondement de ce traitement et les résultats font l’objet d’une analyse au cas par cas par les personnels habilités du service des fraudes de la société IdTGV. Par ailleurs, les données sont conservées pendant une durée de quatre-vingt dix jours dans la base active, puis elles sont archivées pendant une durée de deux ans. Les données figurant dans la liste noire sont également conservées pendant une durée de deux ans.La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, la société IdTGV à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n°1534085)
La Commission nationale de l’informatique et des libertés, 
Saisie par la Banque Nationale de Paris PARIBAS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des incivilités ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-3° et 25-I-4°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-11 du 10 janvier 2013 autorisant la mise en œuvre par la Banque Nationale de Paris PARIBAS d’un traitement de données à caractère personnel ayant pour finalité la gestion des incivilités ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Paul AMOUDRY, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
La Banque Nationale de Paris PARIBAS, ci-dessous désignée BNP PARIBAS.
Sur la finalité