AgentPublic/cnil huggingface dataset:
La Commission prend acte que les membres de la cellule spécialisée dédiée à la lutte contre la fraude sont physiquement installés au siège de l’Urssaf et que leurs postes de travail sont protégés par des mots de passe individuels. Elle relève que l’accès au fichier des cotisants à risque n’est possible qu’après identification de l’utilisateur. Les connexions et tentatives de connexion font l’objet d’un traçage. Le responsable de traitement utilise un système de signalement trimestriel, sur support papier ou en pièce jointe cryptée d’un courrier électronique, des dirigeants ayant fait l’objet d’une interdiction de gérer, ou déclarés en faillite personnelle, pour permettre une action rapide du Parquet face à de nouveaux agissements frauduleux commis par ces derniers. La Commission prend acte que les agents ayant accès au traitement et à l’information tirée de ce traitement sont tous tenus au secret professionnel.Enfin, une actualisation des autorisations d’accès à la base de données est réalisée deux fois par an afin notamment de désactiver les droits des agents ayant quitté l’Urssaf ou ayant changé de fonction.Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise l’URSSAF ILE-DE-FRANCE à mettre en œuvre le traitement de données à caractère personnel ayant pour finalité la prévention et la détection des fraudes en matière de recouvrement des cotisations et contributions sociales.
 La Présidente I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1768241)
La Commission nationale de l'informatique et des libertés,
Saisie par le Crédit Agricole Nord de France d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l’identité dans le cadre des relations avec ses clients ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L. 561-5 et R. 561-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25.I.4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Crédit Agricole Nord de France, ci-dessous dénommé le Crédit Agricole.
Sur la finalité
Les conseillers clientèle, les opérationnels chargés de la prévention de la fraude, le responsable et les chargés de la prévention de la fraude, les analystes crédits et les collaborateurs en charge du contrôle de la conformité des dossiers d’entrée en relation ont accès aux informations contenues dans le logiciel.La  liste de ces destinataires, qui font l’objet d’une habilitation individuelle, n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès 
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la banque sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention qui figure dans la convention de compte du client et sur le site internet de la banque.Cette mention rappelle notamment que les droits d’accès et de rectification s’exercent auprès du Service Clients à l’adresse suivante : Conformité et sécurité financière, 10 avenue Foch Lille 59020.La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Sur les autres caractéristiques du traitement
Ce traitement ne permet pas d’établir une « liste noire » de personnes ayant présenté des titres d’identité comportant des anomalies ou des titres d’identité falsifiés ou volés.Des statistiques sur des données anonymisées sont réalisées à partir des résultats de l’outil et permettent de chiffrer le nombre d’alertes par entité, par point de vente, par type de document et par département.Ces autres caractéristiques n’appellent pas d’observation particulière de la Commission.
Autorise, conformément à la présente délibération, le Crédit Agricole Nord de France à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1760124)
La Commission nationale de l'informatique et des libertés,
Saisie par la Haut Conseil du Commissariat aux Comptes d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion et le suivi des mesures et sanctions disciplinaires prononcées à l’encontre des commissaires aux comptes ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de commerce, notamment ses articles L.821-1 alinéa 8, L.822-7 alinéa 3, R.821-12 alinéa 2, R.822-46, R822-47 alinéas 1 et 6, R.822-50 et R.822-52 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9.3° 25.I.3°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Haut Conseil du Commissariat aux Comptes (H3C).
Sur la finalité
La finalité du traitement est d’assurer :
la gestion des mesures disciplinaires et notamment le suivi des dossiers d’appel à l’égard des commissaires aux comptes ;
le suivi des sanctions disciplinaires prononcées en première instance et en appel à l’égard des commissaires aux comptes.
Dans ce contexte, la Commission considère qu’il y a lieu de faire application des articles 25-I-3° et 9-3°de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté.
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes.
Sur les données traitées
Les données faisant l’objet d’un traitement sont les suivantes :- les données d’identification des commissaires aux comptes et des avocats et/ou experts intervenants à la procédure (nom, prénom, adresse) ;- les données relatives à la situation professionnelle (fonction exercée, adresse et numéro de téléphone professionnel) ; - les données relatives aux condamnations (nature de la sanction, durée, juridiction à l’origine de la sanction, et les pièces de procédures dans le cadre de la phase d’appel).Les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont :- les parties à la procédure et leurs représentants,- le personnel habilité du service en charge de la gestion et du suivi des dossiers ;- la direction du H3C.Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées du traitement de gestion et de suivi des mesures disciplinaires par une mention sur le site internet du H3C.Les droits d’accès et de rectification, tels que reconnus par la loi du 6 janvier 1978 modifiée, s’exerceront auprès du H3C par courrier adressé au correspondant informatique et liberté à l’adresse suivante : 10, rue Auber 75009 Paris ou par courriel (cil@h3c.org). Enfin, les personnes, conformément à l’article 32 de la loi précitée, auront la possibilité d’exercer leur droit d’opposition, pour motif légitime, au traitement de leurs données à caractère personnel auprès des services exposés ci avant.  Ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
La Commission relève que l’authentification des utilisateurs est assurée au moyen de mots de passe renouvelés toutes les 6 semaines. La Commission rappelle que les mots de passe doivent être suffisamment complexes, à savoir qu’ils doivent comporter au moins trois caractères différents (minuscules, majuscules, chiffres ou caractères spéciaux) et être d’une taille minimum de huit caractères pour les utilisateurs et de dix caractères pour les administrateurs en charge de la gestion des habilitations des utilisateurs. Par ailleurs, la Commission rappelle l’obligation d’assurer la confidentialité des transmissions et du stockage des données. La Commission relève qu’une fonctionnalité de journalisation des opérations de consultation, création, mise à jour et suppression a été définie, mais rappelle la nécessité de prévoir une durée de conservation de ces traces.  Sous réserve des observations de la Commission, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données traitées seront conservées pendant 10 ans ce qui correspond au délai de prescription de l’action disciplinaire.La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, le Haut Conseil du Commissariat aux Comptes à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(demande d’autorisation n° 1775891)
La Commission nationale de l'informatique et des libertés,
Saisie par la Banque Postale d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité de proroger l’expérimentation relative au système d’authentification des titulaires de cartes de paiement par biométrie;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Délibération n° 2013-198 du 11 juillet 2013 autorisant la Banque Postale à mettre en œuvre à titre expérimental un système d’authentification des titulaires de cartes de paiement par biométrie  ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Par délibération n° 2013-198 du 11 juillet 2013, la Commission a autorisé la Banque Postale à mettre en œuvre à titre expérimental un système d’authentification des titulaires de cartes de paiement avec pour biométrie utilisée, la reconnaissance vocale (« Talk To Pay »). Cette expérimentation a été autorisée pour une durée de 13 mois et doit prendre fin en août 2014.
Compte tenu des premiers résultats positifs, dont un bilan a été adressé à la Commission, la Banque Postale sollicite une modification de l’autorisation accordée afin de proroger l’expérimentation pour une période supplémentaire d’un an.
La Banque Postale souhaite confirmer sur la durée les résultats obtenus en matière :
-d’appétence des utilisateurs pour le service proposé,
-de fonctionnement du moteur biométrique.
La Commission considère que cette demande de prorogation n’appelle pas d’observation particulière. 
Dès lors, conformément à la présente délibération, la Commission autorise la Banque Postale à proroger l’expérimentation du dispositif « Talk To Pay » pour une durée maximale d’un an.
La Commission demande qu'au terme de cette seconde phase d’expérimentation, lui soit adressé un bilan des modalités de fonctionnement et d’utilisation du dispositif sur le même modèle que celui demandé dans la délibération n° 2013-198 du 11 juillet 2013.  
Cette autorisation ne saurait préjuger d’une éventuelle décision de la Commission saisie d’une demande de généralisation du service « Talk To Pay ».
La Présidente
La Commission nationale de l'informatique et des libertés, réunie en sa formation restreinte sous la présidence de M. Jean-François CARREZ ;
Et 
Composée de M. Alexandre LINDEN, Vice-président, Mme Marie-Hélène MITJAVILE, M. Sébastien HUYGHE, M. Claude DOMEIZEL et M. Maurice RONAI, membres ; 
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2011-334 du 29 mars 2011, notamment ses articles 45 et 46 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ; 
Vu la décision n° 2013-194C du 14 juin 2013 de la Présidente de la Commission nationale de l'informatique et des libertés ordonnant une mission de vérification auprès de la société X ; 
Vu le procès-verbal de contrôle sur place n° 2013-198 du 20 juin 2013, signé contradictoirement par A en sa qualité de responsable des lieux ; 
Vu la décision n° 2013-032 du 14 octobre 2013 de la Présidente de la Commission nationale de l'informatique et des libertés mettant en demeure la société X ;
Vu la décision de la Présidente de la Commission portant désignation d'un rapporteur, en date du 10 mars 2014 ; 
Vu le rapport de Mme Marie-France MAZARS, commissaire rapporteur, adressé par lettre recommandée avec demande d'avis de réception à la société X, le 1er avril 2014 ;
Vu les autres pièces du dossier ; Ayant entendu, lors de la séance de la formation restreinte du 22 mai 2014 : - Mme Marie-France MAZARS, commissaire rapporteur, en son rapport ;- M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations ; 
A adopté la décision suivante : 
I. FAITS ET PROCÉDURE
La société à responsabilité limitée X, créée en 2009, a pour activité la location de 36 véhicules de luxe. 
Le 21 octobre 2012, la Commission nationale de l'informatique et des libertés (ci-après la CNIL ou la Commission) a été saisie d'une plainte émanant d'un client de la société X (ci-après désignée la société) dénonçant la géolocalisation, à l'insu des clients, des véhicules de luxe mis en location par cette société. Une copie d'un extrait des conditions générales de location longue durée de la société datées de 2011 était jointe à cette plainte. 
Le 20 décembre 2012, la CNIL a adressé un courrier au gérant de la société en appelant son attention sur les dispositions de la loi du 6 janvier 1978 modifiée s'appliquant à la mise en œuvre d'un dispositif de géolocalisation, notamment ses articles 6 et 32.
Sans réponse de la société, la Commission lui a adressé deux courriers de relance par lettre recommandée avec accusé de réception, réceptionnés les 22 janvier 2013 et 11 mars 2013. Ces deux derniers courriers sont également demeurés sans réponse. 
Aussi en application de la décision n° 2013-194C du 14 juin 2013 de la Présidente de la CNIL, une délégation s'est rendue sur place le 20 juin 2013 afin d'effectuer une mission de contrôle auprès de la société X.
La délégation s'est attachée à vérifier la conformité de l'ensemble des traitements de données à caractère personnel mis en œuvre par la société aux dispositions de la loi n°78-17 du 6 janvier 1978 modifiée.
S'agissant du dispositif de géolocalisation, la délégation a constaté que 36 véhicules sans chauffeur sont proposés à la location et enregistrés dans ledit dispositif, qui ne dispose d'aucun système de désactivation et dont les plages d'utilisation sont paramétrées pour un usage 24h/24 et 7 jours/7. Elle a également relevé que diverses données (notamment de temps et de lieu) étaient enregistrées dans la base, dont les plus anciennes datent du 22 avril 2013, et que seule une information orale sur l'existence du dispositif de géolocalisation serait délivrée au client. En outre, la délégation a relevé que pour accéder au logiciel de géolocalisation de la société, la combinaison d'un identifiant et d'un mot de passe composé de 12 caractères alphanumériques est nécessaire mais que le mot de passe est resté inchangé depuis l'installation de ce dispositif, soit environ depuis plus de deux ans.
S'agissant de la gestion de la clientèle, la délégation a été informée qu'aucun logiciel spécifique n'est utilisé par la société, cette gestion se faisant essentiellement sur support papier à l'exception de certains contrats pré-remplis qui sont enregistrés dans des dossiers informatisés. La délégation a effectivement constaté qu'étaient enregistrés dans certains dossiers informatiques des contrats pré-remplis, des extraits K-bis de sociétés, des copies de permis de conduire ou des pièces d'identité comprenant des données nominatives de clients dont le traitement n'a fait l'objet d'aucune formalité. 
Au vu des faits constatés, la Présidente de la Commission a décidé le 14 octobre 2013 de mettre en demeure la société X, sous un délai de deux mois à compter de la notification de la décision, de procéder aux formalités préalables pour les traitements relatifs à la géolocalisation et à la gestion des clients, de limiter la collecte des données de géolocalisation aux situations de non restitution et de vols, d'informer les clients de la mise en œuvre des deux traitements précités et de définir une politique sécurisée de gestion des mots de passe.
Cette mise en demeure, notifiée à la société par lettre recommandée avec demande d'avis de réception le 30 mai 2013, est demeurée sans réponse.
Aussi au regard de l'ensemble de ces éléments, la Présidente de la Commission a désigné comme rapporteur le 10 mars 2014 Madame Marie-France MAZARS, sur le fondement de l'article 46 de la loi du 6 janvier 1978 modifiée. 
A l'issue de son instruction, considérant que la société avait manqué à ses obligations lui incombant en application de la loi du 6 janvier 1978 modifiée, le rapporteur lui a notifié, le 1er avril 2014, un rapport détaillant les manquements à la loi qu'il estimait constitués en l'espèce. Au vu de celui-ci, le rapporteur a proposé à la formation restreinte de la Commission de prononcer à son encontre une sanction pécuniaire de 5 000 € qui serait rendue publique. 
Était également jointe au rapport une convocation à la séance de la formation restreinte du 22 mai 2014 indiquant à la société le délai dont elle disposait pour communiquer ses observations écrites.
La société n'a pas produit d'observations écrites en défense et n'était ni présente ni représentée lors de la séance de la formation restreinte. 
II. MOTIFS DE LA DÉCISION
1. Sur les manquements à l'obligation d'accomplir les formalités préalables à la mise en œuvre de traitements
Le chapitre IV de la loi n° 78-17 du 6 janvier 1978 modifiée prévoit l'accomplissement de formalités préalablement à la mise en œuvre d'un traitement de données à caractère personnel.
L'obligation pour un responsable de traitement de procéder à de telles formalités pour les traitements qu'il met en œuvre a été rappelée à la société par la mise en demeure du 14 octobre 2013. Cette décision lui a en effet enjoint, d'une part, de procéder à une déclaration normale s'agissant de la mise en œuvre du traitement relatif à la géolocalisation des véhicules loués par les clients, d'autre part, de procéder aux formalités adéquates concernant la mise en œuvre du traitement informatisé relatif à la gestion des clients. 
La formation restreinte relève que la société ne s'est pas mise en conformité avec la mise en demeure qui lui a été notifiée et n'a par ailleurs pas présenté d'observations en défense, qu'elles soient écrites ou orales, sur le rapport de sanction qui lui a été adressé afin de justifier de quelconques mesures prises à ce sujet.
S'agissant, d'une part, du traitement relatif au dispositif de géolocalisation, la formation restreinte relève que si la société a effectué un engagement de conformité à la norme simplifiée n° 51 le 11 décembre 2008, ce texte ne concerne toutefois que la géolocalisation des véhicules utilisés par des salariés pour l'exercice de leur activité professionnelle et non la géolocalisation de véhicules loués à des clients. La formation restreinte relève ainsi que, les dispositions de la norme simplifiée n° 51 n'étant pas applicables en l'espèce, l'engagement de conformité à cette norme effectué par la société ne permet pas de considérer comme accomplie la formalité préalable à la mise en œuvre du traitement. Elle rappelle à cet égard qu'il incombe au responsable de traitement de s'assurer avant tout engagement de conformité à une norme simplifiée que sa situation lui permet d'en revendiquer le bénéfice. 
S'agissant, d'autre part, du traitement relatif à la gestion de la clientèle à l'aide de dossiers informatisés comprenant des données nominatives de clients, la formation restreinte relève que la société, malgré la mise en demeure du 14 octobre 2013, n'a accompli aucune formalité préalablement à sa mise en œuvre.
La formation restreinte considère donc que les faits précités, s'agissant des deux traitements mis en œuvre, constituent des manquements aux obligations résultant des dispositions du chapitre IV de la loi n° 78-17 du 6 janvier 1978 et que la société n'a pas respecté les termes de la mise en demeure qui lui a été adressée. 
2. Sur le manquement à l'obligation de veiller à l'adéquation, à la pertinence et au caractère non excessif des données
L'article 6 de la loi n° 78-17 du 6 janvier 1978 modifiée dispose qu'un traitement ne peut porter que sur des données à caractère personnel qui satisfont aux conditions suivantes : (...) 3° Elles sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs. 
Il résulte des circonstances de fait de l'espèce que le dispositif de géolocalisation est paramétré pour un usage 24h/24 et 7 jours/7, sans possibilité de désactivation. La formation restreinte relève en conséquence que le véhicule utilisé ou stationné par les clients peut être géolocalisé à tout moment par le gérant de la société, qui peut ainsi connaître en temps réel la position de chacun de ses 36 véhicules et reconstituer le parcours emprunté par ses clients à partir d'un accès web sur le poste de travail situé à l'accueil de la société.