AgentPublic/cnil huggingface dataset:
De plus, les articles 37 et 38 de la loi du 6 janvier 1978 (dans sa version antérieure au 6 août 2004, soit art. 6-4 et 40 nouveaux) disposent qu'"un fichier nominatif doit être complété ou corrigé même d'office lorsque l'organisme qui le tient acquiert connaissance de l'inexactitude ou du caractère incomplet d'une information nominative contenue dans ce fichier" et que "si une information a été transmise à un tiers, sa rectification ou son annulation doit être notifiée à ce tiers, sauf dispense accordée par la Commission".
X n'a donc ni respecté les dispositions du règlement n° 90-05 précité, ni celles de la loi du 6 janvier 1978, tant dans sa version antérieure à la loi du 6 août 2004 que dans sa version nouvelle.
Dans ses observations formulées par courrier du 30 mars 2005, X se borne à confirmer l'analyse faite par le rapporteur et n'apporte par ailleurs aucune garantie pour assurer que de tels faits ne se reproduiront pas.
En conséquence, décide de faire application des dispositions des articles 45 et 46 de la loi du 6 janvier 1978 modifiée et d'adresser un avertissement à X, située [...] et de le rendre public ;
Décide aussi que, conformément aux dispositions de l'article 15 du règlement n° 90-05 relatif au fonctionnement du FICP et de l'article L. 613-21 du Code monétaire et financier, le présent avertissement sera porté à la connaissance de la Commission bancaire.
Le président, Alex Türk.
Guy ROSIER, Vice-Président Délégué.
La Commission nationale de l'informatique et des libertés,   Saisie le 10 mars 2005 par le ministre délégué à l'industrie d'un projet de décret modifiant le décret n° 2004-325 du 8 avril 2004 relatif à la tarification spéciale de l'électricité comme produit de première nécessité,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel,   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données,   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004, et notamment son article 11-4°,   Vu la loi n° 2000-108 du 10 février 2000 relative à la modernisation et au développement du service public de l'électricité, et notamment son article 4,   Vu la délibération de la CNIL n° 2004-089 du 18 novembre 2004,   Après avoir entendu Madame Anne Debet, commissaire, en son rapport, et Madame Catherine Pozzo Di Borgo, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :   La loi n° 2000-108 du 10 février 2000 a instauré un dispositif de tarification spéciale de l'électricité comme produit de première nécessité, dont les conditions de mise en oeuvre ont été précisées par le décret n° 2004-325 du 8 avril 2004.   La CNIL a autorisé le 18 novembre 2004 ce dispositif à titre provisoire pour une durée de six mois, compte tenu de l'intérêt général poursuivi en demandant :   - qu'une solution alternative reposant sur la transmission directe par les organismes d'assurance maladie soit examinée ;   - que lui soit présenté, au terme de ce délai, un bilan du dispositif mis en oeuvre et les résultats de l'examen d'une solution alternative ;   - à être saisie à nouveau du dispositif retenu au terme de ce délai.   La loi n° 2005-32 du 18 janvier 2005 de programmation pour la cohésion sociale a modifié l'article 4 de la loi du 10 février 2000, lequel prévoit désormais que "chaque organisme d'assurance maladie constitue un fichier regroupant les ayants droit potentiels.  Ces fichiers sont transmis aux distributeurs d'électricité ou, le cas échéant, à l'organisme désigné à cet effet par les distributeurs, afin de leur permettre de notifier aux intéressés leurs droits à la tarification spéciale.  Les distributeurs d'électricité ou l'organisme qu'ils ont désigné préservent la confidentialité des informations contenues dans le fichier".   La Commission est saisie pour avis, conformément à l'article 11-4° de la loi du 6
janvier 1978 modifiée par le ministre délégué à l'industrie d'un projet de décret modifiant le décret n° 2004-325 du 8 avril 2004 relatif à la tarification spéciale de l'électricité comme produit de première nécessité.   - Sur la gratuité ou abattement de certains frais laissés à la charge des bénéficiaires de la tarification spéciale :   Les modifications envisagées par le projet de décret visent essentiellement à prévoir, pour les personnes bénéficiant de la tarification spéciale de l'électricité :   - la gratuité des frais de mise en service et d'enregistrement du contrat ;   - un abattement de 80 % sur la facturation par le fournisseur d'électricité au titulaire du contrat d'un déplacement au domicile de ce dernier en raison d'un défaut de règlement.   Ces modifications n'appellent pas d'observation particulière dans la mesure où elles n'ont pas d'impact en termes de transmission de données personnelles.
Sur les conditions de transmission des données et l'information des personnes concernées :   Le projet de décret vise à compléter l'article 4 par les deux alinéas suivants :   "Toutes précautions utiles pour préserver la sécurité et la confidentialité des données sont prises.  Les agents ou employés chargés de recueillir et exploiter ces données sont tenus à une obligation particulière de confidentialité".   "Les personnes concernées sont informées de la transmission des données les concernant aux distributeurs d'électricité ou à un organisme agissant pour leur compte, ainsi que de leurs droits d'accès et d'opposition".   Toutefois, si les attestations adressées par le prestataire choisi par les distributeurs comportent bien une mention d'information, celles-ci ne précisent pas aux personnes concernées les conditions d'exercice de leur droit d'opposition.   Il apparaît ainsi nécessaire que soient précisées dans ces attestations les conditions pratiques d'information des personnes concernées quant aux modalités d'exercice de leurs droits, et en particulier de leur droit d'opposition.
- Sur la durée de conservation des informations transmises par les organismes d'assurance maladie :   Le projet de décret dispose par ailleurs que "chaque information transmise par les organismes d'assurance maladie ne peut être conservée pour une durée supérieure à deux ans".   Les organismes d'assurance maladie adressent au prestataire un fichier regroupant l'ensemble des ayants droit potentiels, puis selon une périodicité mensuelle, un fichier comportant les nouveaux bénéficiaires de la CMU-C et ceux dont les droits ont été renouvelés.   Le fonctionnement actuel du dispositif est le suivant :  à réception de chaque notification mensuelle par les organismes d'assurance maladie de la liste des nouveaux bénéficiaires potentiels ou des bénéficiaires dont les droits à CMU-C ont été renouvelés, le prestataire met à jour sa base de données d'identification.   Les bénéficiaires potentiels disposent actuellement d'un délai d'un an pour compléter et renvoyer leur attestation.  En conséquence, le prestataire supprime les données d'identification des bénéficiaires potentiels au bout de 12 mois à compter de l'envoi par lui de l'attestation à compléter, si les intéressés n'ont pas renvoyé leur attestation dans ce délai, et s'ils ne disposent plus de droits ouverts à la couverture maladie universelle.   La fixation du délai de conservation des données à deux ans à compter de la réception de l'information envoyée par les organismes sociaux par le prestataire, conduirait ainsi à
doubler la durée pendant laquelle les coordonnées d'un ayant droit potentiel sont conservées alors même que ce dernier n'aurait pas demandé à bénéficier de la tarification.   Dans la mesure où les listes de bénéficiaires potentiels sont actuellement conservées par le prestataire pendant un an à compter de l'envoi par lui de l'attestation à compléter, sans à ce jour qu'une difficulté de fonctionnement du dispositif n'ait été rapportée en raison de cette durée, et où le prestataire a en outre précisé avoir constaté que les retours d'attestations ont en grande majorité lieu dans une période se situant entre un et deux mois après la réception par le bénéficiaire potentiel de son attestation à compléter, le délai de réponse d'un an actuellement appliqué paraît suffisant.   Au vu de ces éléments, il conviendrait que la phrase relative à la durée de conservation soit ainsi rédigée : "chaque information transmise par les organismes d'assurance maladie ne peut être conservée pour une durée supérieure à un an".   Il apparaît par ailleurs utile, afin de rendre compte du fonctionnement du dispositif dans son ensemble, de préciser par une deuxième phrase, que "les attestations dûment complétées sont conservées sous forme numérisée pendant une durée de treize mois à compter de la date de leur réception par les distributeurs d'électricité ou par le prestataire désigné par eux".
Sur les ayants droit potentiels visés par l'article 4 de la loi du 10 février 2000 :   L'article 4 de la loi n° 2000-108 modifiée par la loi du 18 janvier 2005 précise que "pour la mise en place de cette disposition, chaque organisme d'assurance maladie constitue un fichier regroupant les ayants-droit potentiels", sans faire référence à une condition d'ouverture de droits à la couverture maladie universelle complémentaire.   Par ailleurs, l'article 1er du décret du 8 avril 2004 prévoit que "Le bénéfice de la tarification de l'électricité comme produit de première nécessité (...) est ouvert sur leur demande (...) aux personnes physiques titulaires d'un contrat de fourniture d'électricité, dont les ressources annuelles du foyer, telles que définies aux articles L. 861-1 et R. 861-2 à R. 861-16 du code de la sécurité sociale, sont inférieures ou égales à un montant fixé à l'annexe au présent décret".   Au vu de ces éléments, la Commission considère que les textes déterminant les personnes éligibles au bénéfice de la tarification spéciale de l'électricité comme produit de première nécessité, dont les données peuvent faire l'objet des traitements visés par l'article 4 de la loi du 10 février 2000 ne semblent pas limiter expressément le bénéfice de la tarification aux seuls bénéficiaires de la CMU-C, dont les droits ne sont attribués que sur demande.   La Commission considère qu'il convient dès lors d'intégrer au projet de décret des précisions sur les conditions dans
lesquelles doivent être traitées informatiquement les données de personnes non bénéficiaires de la CMU-C mais éligibles à la tarification.   Compte tenu de ces éléments, la Commission formule les observations suivantes sur le projet de décret modifiant le décret n° 2004-325 du 8 avril 2004 relatif à la tarification spéciale de l'électricité comme produit de première nécessité qui lui est présenté :
La Commission demande :   - que le projet de décret soit modifié afin de :   . fixer la durée de conservation des données transmises par les organismes d'assurance maladie à un an à compter de leur réception par les distributeurs d'électricité ou par le prestataire désigné par eux ;   . préciser que les attestations dûment complétées sont conservées sous forme numérisée pendant une durée de treize mois à compter de leur réception par les distributeurs d'électricité ou par le prestataire désigné par eux,   . préciser les modalités et conditions dans lesquelles sont traitées informatiquement les données des ayants droit potentiels non bénéficiaires de la CMU-C mais éligibles à la tarification,   - que lui soient précisées les conditions d'exercice par les personnes concernées de leurs droits d'accès, de rectification et en particulier de leur droit d'opposition.   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Saisie pour avis par le ministère de l'Intérieur d'un projet de décret en Conseil d'Etat portant création, à titre expérimental, d'un traitement automatisé de données à caractère personnel ayant pour objet d'améliorer, par comparaison d'empreintes digitales, les conditions et la fiabilité des contrôles effectués lors du passage de la frontière à l'aéroport Roissy-Charles-de-Gaulle ;   Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la convention du 19 juin 1990 d'application de l'Accord entre les gouvernements des États de l'union économique Benelux, de la République fédérale d'Allemagne et de la République française relatif à la suppression graduelle des contrôles aux frontières communes, fait à Schengen le 14 juin 1985 ;   Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu la Charte des droits fondamentaux de l'Union européenne proclamée par la Commission européenne, le Parlement européen et le Conseil de l'Union européenne lors du Conseil européen de Nice du 7 décembre 2000, et notamment son article 8 ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux
libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 27 ;   Vu l'arrêté du 15 mai 1996 relatif au fichier des personnes recherchées géré par le ministère de l'Intérieur et le ministère de la Défense ;   Vu la délibération n° 04-075 du 5 octobre 2004 portant avis sur le projet de décret en Conseil d'État pris pour l'application de l'article 8-4 de l'ordonnance du 2 novembre 1945 relative aux conditions d'entrée et de séjour des étrangers en France et portant création à titre expérimental d'un traitement automatisé de données à caractère personnel relatives aux ressortissants étrangers sollicitant la délivrance d'un visa ;   Après avoir entendu M. François Giquel, commissaire, en son rapport, et Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations ;
Emet l'avis suivant   Le ministère de l'Intérieur a, en application de l'article 27 de la loi du 6 janvier 1978 modifiée, saisi la Commission d'un projet de décret en Conseil d'État relatif à la mise en oeuvre, à titre expérimental, d'un dispositif de reconnaissance des empreintes digitales des voyageurs adhérant volontairement au programme "PEGASE", lors de leur passage à la frontière dans l'enceinte de l'aéroport Roissy-Charles-de-Gaulle.   Aux termes du projet de décret soumis à la Commission, cette expérimentation a pour principale finalité d'améliorer les conditions du passage à la frontière et d'augmenter la fiabilité des contrôles que la France est tenue d'effectuer en vertu de ses engagements internationaux.   Cette expérimentation a également pour objectifs de tester la performance du système d'authentification biométrique choisi, de mesurer les bénéfices que l'automatisation partielle du contrôle du passage aux frontières est susceptible d'apporter et d'étudier son impact sur les passagers s'y soumettant volontairement.   La Commission rappelle que la mise en oeuvre d'un tel traitement doit être réalisée dans le respect des principes consacrés tant par l'article 8 de la Charte des droits fondamentaux de l'Union européenne que par la directive du 24 octobre 1995. Celle-ci doit en outre respecter les conditions de licéité posées à l'article 6 de la loi du 6 janvier 1978 modifiée, qui institue une protection des droits des personnes à l'égard du traitement
automatisé de leurs données à caractère personnel.   Cette expérimentation repose sur la constitution d'une base de données centralisée dans laquelle seront enregistrées les minuties des empreintes digitales des deux index des intéressés. La Commission rappelle à cet égard que le traitement, sous une forme automatisée et centralisée, de données biométriques telles que les empreintes digitales ne peut être admis, compte tenu à la fois des caractéristiques de l'élément d'identification physique retenu, des usages possibles de ces traitements et des risques d'atteintes graves à la vie privée et aux libertés individuelles en résultant, que dans la mesure où des exigences impérieuses en matière de sécurité ou d'ordre public le justifient.   S'agissant de la création de la base centrale envisagée, la Commission observe à titre liminaire que les précautions prises pour la première inscription d'un passager, pourvu qu'elles soient sûres et fiables, devraient rendre inutiles la constitution et la consultation de la base projetée, si celle-ci n'a comme objet que d'éviter une deuxième inscription sous un faux nom.   Elle observe également que la vérification de l'identité du passager pourrait être réalisée de façon tout aussi pertinente par une comparaison des empreintes digitales de la personne avec celles conservées dans une carte à puce détenue par l'intéressé, dès lors que cette carte serait infalsifiable.
Au regard de la finalité du traitement projeté et compte tenu en l'espèce du caractère facultatif de l'adhésion au programme, la Commission estime toutefois que la création d'une base centrale comprenant les empreintes digitales des voyageurs, pour s'assurer que la personne inscrite au programme "PEGASE" est bien la même que celle qui se soumet au contrôle à la frontière, peut être admise à titre expérimental, dès lors que des précautions particulières sont adoptées lors de l'enrôlement des données biométriques et à la condition que soient strictement définies les conditions de mise en oeuvre, d'alimentation, de consultation, de mise à jour et d'effacement de cette base.   Ce traitement ne saurait en tout état de cause être étendu à d'autres points de contrôle aux frontières ou pérennisé au-delà de la durée de l'expérimentation sans que la Commission ait été informée des avantages et des inconvénients précis retirés du recours à une base centrale, tout particulièrement sur le plan de la protection des droits des intéressés au regard du traitement des données biométriques les concernant et sur celui du respect du principe de proportionnalité.   La Commission demande en conséquence que lui soit adressé tout document, d'étape ou définitif, propre à lui apporter l'information nécessaire.
Ces éléments d'information devront être accompagnés :   - du protocole d'évaluation qui aura été établi, lequel devrait intégrer la prise en compte d'incidents ou de défaillances techniques graves ou une défaillance due à une compromission interne ; le principe de cette évaluation pourrait être inscrit expressément dans le projet de décret ;   - d'un rapport d'évaluation de la fiabilité des dispositifs et outils de lecture des empreintes digitales.   La Commission recommande que sur le plan technique, l'élaboration de ces documents soit menée avec le concours de la direction centrale de la sécurité des systèmes d'information, responsable de la définition, de l'application et du suivi de la politique des systèmes d'information au niveau interministériel, ou de tout autre organisme habilité et susceptible d'homologuer tout ou partie des dispositifs prévus.   S'agissant des informations traitées, la Commission prend acte qu'il est uniquement procédé, dans le cadre de cette expérimentation, à l'enregistrement de la date de la mise à jour de l'indicateur de passage des voyageurs à des fins de décompte des personnes concernées.   La Commission demande toutefois, afin de pas permettre une possibilité de suivi des déplacements des intéressés, que l'annexe du projet de décret soit modifiée sur ce point.   S'agissant de la durée de l'expérimentation, la Commission prend acte du fait que, conformément aux dispositions de l'article 7 du projet de décret, le traitement envisagé est
autorisé pour une durée d'une année à compter de la publication de ce texte.   La Commission prend acte des mesures d'information qui ont été prévues à destination des voyageurs s'inscrivant volontairement au programme "PEGASE".   Le président, Alex TURK.
Le bureau de la Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-I-8° ;   Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés ;   Après avoir entendu Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations,   Vu la demande d'autorisation, présentée par la direction des Monnaies et Médailles, portant modification d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance de la forme de la main ayant pour finalité de contrôler l'accès aux locaux sensibles ;
Formule les observations suivantes :   La direction des Monnaies et Médailles a adressé à la Commission un dossier portant modification d'un traitement automatisé de données à caractère personnel ayant pour finalité de contrôler l'accès aux locaux sensibles de ses établissements situés à Paris et Pessac. L'objet de la modification est l'utilisation d'un nouveau dispositif de contrôle d'accès par reconnaissance de la forme de la main.   Ce dispositif de contrôle d'accès biométrique est associé à un système de contrôle d'accès par badge et d'enregistrement vidéo des passages qui a fait l'objet d'un avis favorable de la Commission le 24 décembre 1999.   La direction des Monnaies et Médailles justifiant d'un fort impératif de sécurité lié à la nécessité de contrôler l'accès à des zones sensibles expressément désignées, la Commission considère que la mise en oeuvre d'un traitement reposant sur la reconnaissance de la forme de la main est adaptée et proportionnée à la finalité assignée au dispositif.   Le droit d'accès défini au chapitre VII de la loi s'exercera :   . pour l'établissement situé à Paris, auprès de la direction des Monnaies et Médailles, service sûreté, 11 quai de Conti, 75006 Paris,   . pour l'établissement situé à Pessac, auprès de la direction des Monnaies et Médailles, service sûreté, Etablissement Monétaire de Pessac, voie romaine, BP 92 - 33604 Pessac Cedex.   Les catégories de données à caractère personnel enregistrées seront les noms, prénoms, le gabarit
de la forme de la main et un mot de passe de 4 à 6 caractères des employés de la direction des Monnaies et Médailles concernés.   Le destinataire des informations sera le responsable du service de la sûreté de chacun des 2 sites de la direction des Monnaies et Médailles.
Autorise, dans ces conditions, la direction des Monnaies et Médailles à mettre en oeuvre, dans ses établissements de Paris et Pessac, un traitement de données à caractère personnel ayant pour finalité de contrôler l'accès aux locaux sensibles par la mise en oeuvre de dispositifs de contrôle d'accès par reconnaissance de la forme de la main, associé à un système de vidéo surveillance et de contrôle d'accès par badge.   Le président Alex TURK.