AgentPublic/cnil huggingface dataset:
Autorise, dans les conditions définies dans le dossier et ses compléments, la Société pour l’administration du Droit de Reproduction Mécanique à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la recherche et la constatation des délits de contrefaçon commis via les réseaux d’échanges de fichiers dénommés « peer to peer », dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Responsable du traitement
La Société pour l’administration du Droit de Reproduction Mécanique (SDRM).Il s’agit d’une société de perception et de répartition des droits d’auteur et droits voisins telle que visée à l’article L. 321-1 du code de la propriété intellectuelle.Outre la perception et la répartition des redevances provenant de l’exercice des droits patrimoniaux de ses membres, la SDRM a pour objet la défense de leurs intérêts matériels et moraux ou de ceux de leurs ayants droit.
Finalités
Le dispositif soumis à la Commission a pour seule finalité la constatation des délits de contrefaçon commis via les réseaux d’échanges de fichiers dénommés « peer to peer ».  Ce traitement s’inscrit dans le cadre de l’article 9-4° de la loi du 6 janvier 1978 modifiée qui dispose que les personnes morales mentionnées aux articles L. 321-1 et L. 331-1 du code de la propriété intellectuelle, agissant au titre des droits dont elles assurent la gestion ou pour le compte des victimes d’atteintes aux droits prévus aux livres Ier, II et III du même code aux fins d’assurer la défense de ces droits, peuvent procéder au traitement de données à caractère personnel relatives aux infractions. La Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-3° de la loi du 6 janvier 1978 modifiée en août 2004 qui soumet à autorisation les traitements portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.La SDRM aura recours aux services d’un prestataire qui dispose des moyens techniques nécessaires à la recherche et à la constatation des délits de contrefaçon sur les réseaux « peer to peer ». Le dispositif utilisé à cette occasion reposera sur une technologie consistant à calculer pour chaque œuvre musicale une empreinte numérique unique, insensible aux altérations qu’aurait pu subir l’œuvre concernée. Cette technologie permettra de s’assurer que le fichier mis à disposition par un internaute correspond bien à une œuvre musicale
protégée. La SDRM transmettra à son prestataire de service des fichiers musicaux originaux afin qu’il calcule pour chacun d’eux une empreinte numérique unique destinée à alimenter une base de données de référence. Une fois cette base de données de référence créée, les agents assermentés de la SDRM déclencheront des phases d’inspection grâce à un logiciel permettant d’effectuer des requêtes sur les réseaux « peer to peer » à partir du titre, du nom de l’auteur ou de l’année de production des œuvres figurant dans la base de données de référence. En réponse, ces agents obtiendront la liste des adresses IP des internautes mettant à disposition des fichiers musicaux dont les caractéristiques correspondent à la requête effectuée. Après téléchargement, ces fichiers seront confrontés à l’empreinte numérique unique de l’œuvre de référence figurant dans la base de donnée afin de déterminer si les deux coïncident.A l’issue de cette phase, les agents assermentés de la SDRM lanceront une phase de constitution de preuves d’une durée de quinze jours au cours de laquelle des requêtes seront effectuées spécifiquement sur l’adresse IP des internautes pour lesquels la phase d’inspection aura révélé qu’ils mettent à disposition un nombre d’œuvres supérieur à un seuil préétabli. A échéance de ces quinze jours, deux nouveaux seuils seront appliqués afin de déterminer quels seront les internautes devant faire l’objet de poursuites civiles et ceux retenus pour des poursuites pénales.Les traitements
présentés par la SDRM ne porteront que sur la protection des œuvres appartenant au catalogue des membres dont elle défend les intérêts.
Données traitées
Les données traitées seront :
Les données traitées seront :
l’adresse IP des internautes concernés ;
le fournisseur d’accès à internet ayant en charge la gestion de cette adresse IP ;
le numéro de port ;
le protocole « peer to peer » utilisé ;
le pseudonyme utilisé par l’internaute (« User Id »), lorsque celui-ci existe ; 
les informations sur l’œuvre (titre, artiste, identifiants) ;
le nom du fichier tel que présent sur le poste de l’internaute (si possible) ;
l’horodatage de la réponse à la requête.
Destinataires
Les destinataires des données seront dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les agents assermentés de la SDRM, le Directeur juridique, le Directeur général et les autorités judiciaires.
Information et droit d’accès
Les droits d’accès et de rectification s’exerceront auprès des agents assermentés de la SDRM, 225 avenue Charles de Gaulle – 92 200 Neuilly-sur-Seine Cedex.
Le président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, et notamment son article 69 alinéa 8 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007, et notamment son article 103 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société BP France S.A. à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
BP France S.A.
Finalité du transfert
Externalisation de la comptabilité :
Externalisation de la comptabilité :
factures des fournisseurs ;
paiement des clients ;
transactions bancaires ;
transactions entre sociétés.
Externalisation de la gestion des notes de frais
Externalisation de la gestion des notes de frais
Catégories de données transférées
Concernant les fournisseurs : nom, numéro d’immatriculation fiscale, adresse, numéro de téléphone, numéro de fax, numéro de compte bancaire, nom de la banque, conditions de paiement, nom, numéro de téléphone, numéro de fax et adresse e-mail des employés de BP France qui reçoivent les factures, nom de l’interlocuteur chez le fournisseur.Concernant les clients de BP : nom et numéro d’identifiant BP, adresse, numéro de compte bancaire, mode de paiement, classement selon le profil (il s’agit du type d’activité : aviation, marine, bitume…), numéro de téléphone, références comptables, conditions de paiement.Concernant les employés de BP : nom, numéro d’enregistrement chez IBM (numéro interne), références carte de crédit, montant des frais à régler, références de compte bancaire.
Identité(s) du(des) destinataire(s)
Les personnes habilitées de la société :IBM Daksh Business Process Services Pvt. LimitedD-1, Manyata Embassy Business ParkNagawara Post, Outer Ring RoadBangalore 560045 India
Pays d’établissement du(des) destinataire(s)
Inde
Service auprès duquel s’exerce le droit d’accès des personnes concernées
BP FranceImmeuble Le Cervier12, avenue des BéguinesCergy Saint Christophe95866 Cergy-Pontoise Cedex
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision 2002/16/CE de la Commission européennes du 27 décembre 2001 concernant les transferts de responsable de traitement à sous-traitant.
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, et notamment son article 69 alinéa 8 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007, et notamment son article 103 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société ADP GSI France, à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
ADP GSI FRANCE
Finalité du transfert
Externalisation des activités :- de « back office » au titre de la gestion de la paie et des déclaratifs, de la gestion administrative du personnel, de la gestion des ressources humaines et des temps et activités,- de prestations informatiques.
Catégories de données transférées
Consultation des données suivantes : 
Consultation des données suivantes : 
Données d’identification,
NIR, numéro de sécurité sociale,
Situation familiale,
Formation – diplôme – Distinction,
Adresse, caractéristique du logement,
Vie professionnelle,
Situation économique et financière,
Moyens de déplacement des personnes,
Santé (maladie et accidents du travail),
Information relatives aux infractions, condamnations, ou mesures de sûreté (suspension de permis, saisies sur salaire, etc.) 
Identité(s) du(des) destinataire(s)
Les personnes habilitées et chargées des activités de « back office » ainsi que des prestations informatiques de la société :APD ES Tunisie116, rue Jugurtha – Mutuelleville1002 Tunis, Tunisie
Pays d’établissement du(des) destinataire(s)
Tunisie
Service auprès duquel s’exerce le droit d’accès des personnes concernées
Les services compétents des clients de la société ADP GSI
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
La Commission nationale de l'informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex TÜRK ; 
Etant aussi présents M. Guy ROSIER, vice-président délégué, M. François GIQUEL, vice-président, Mlle Anne DEBET, membre et M. Bernard PEYRAT, membre ; 
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la délibération n° 2007-133 mettant en demeure la société X, adoptée par la CNIL le 14 juin 2007 ; 
Vu notamment les plaintes n° 07009731, 07010121, 07013255 et 07011662 ; 
Vu le rapport de M. Jean MASSOT, commissaire, notifié par huissier à la société X le 18 octobre 2007 et les observations en réponse reçues le 16 novembre 2007. 
Après avoir entendu, lors de la réunion du 22 novembre 2007, M. Jean MASSOT, commissaire, en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations.
Après avoir entendu, lors de la réunion du 22 novembre 2007, les observations orales de Maître A, avocat, et les représentants de la société X et de la société Y, ceux-ci ayant pris la parole en dernier.
Constate les faits suivants :
1. La Commission nationale de l'informatique et des libertés ("CNIL") a été saisie, à de nombreuses reprises (44 plaintes depuis février 2005), par des plaignants ayant reçu des messages publicitaires adressés par télécopie sous le nom commercial Z , de la part de la société X, sise [...], spécialisée dans le commerce de détail d'habillement. 
Il ressortait des éléments communiqués par les plaignants que ces derniers ont tenté, plusieurs fois et en vain, d'exercer leur droit d'opposition à ne plus recevoir de sollicitations commerciales de la part de la société X. 
La lecture du message commercial adressé par la société X précisait pourtant : "en conformité avec la loi n° 7817 (CNIL), vous pouvez vous désinscrire de nos listes de diffusion en nous retournant ce fax au [...]". 
Par un courrier en date du 23 avril 2007, relatif à la plainte n° 07009731, la CNIL a rappelé à la société qu'il convenait de faire droit à la demande d'opposition formulée par le requérant. Aucune réponse n'a été adressée à la Commission. 
Par délibération n° 2007-133 du 14 juin 2007, la Commission a donc mis en demeure la société X, sise [...], sous un délai de dix jours à compter de la notification de la délibération de :
- procéder à l'accomplissement des formalités préalables auprès de la CNIL pour tout traitement automatisé de données à caractère personnel mis en œuvre ; 
- cesser toute prospection commerciale par télécopie auprès des personnes qui n'auront pas préalablement donné leur accord pour être démarchées, en application des dispositions du 1° de l'article 6 de la loi du 6 janvier 1978 et de l'article L.34-5 du code des postes et des communications électroniques ; 
- supprimer les coordonnées des requérants ayant exercé leur droit d'opposition ; 
- apporter toute garantie que, pour l'avenir, les droits des personnes dont les données à caractère personnel font l'objet d'un traitement automatisé à des fins commerciales soient respectés, en particulier le droit d'opposition prévu par l'article 38 de la loi ; 
- indiquer par quels moyens la société X s'est procurée les numéros de télécopieurs de ses prospects et apporter toute garantie qu'une telle collecte a bien été réalisée conformément aux dispositions de la loi informatique et libertés.
2. Par un courrier en date du 26 juillet 2007, envoyé par recommandé avec avis de réception, la CNIL a notifié à la société X la délibération la mettant en demeure. La société n'ayant jamais réclamé la lettre qui lui était adressé, celle-ci a été retournée à la Commission. Par télécopie en date du 3 septembre 2007, accompagnée d'un courrier simple, la CNIL a une nouvelle fois adressé la notification de la mise en demeure à la société X.
La Commission a donc décidé de la lui remettre en mains propres. Le document en date du 19 septembre 2007, cacheté par la société X, atteste qu'elle a bien reçu le pli de la CNIL, relatif à la notification de la mise en demeure.
3. La société X n'a alors donné aucune suite. Le 28 septembre 2007, la CNIL a reçu un courrier de la société Y, seul document adressé en réponse à la mise en demeure de la société X, comme si cette dernière considérait que la société Y était le responsable de traitement, contrairement à ce qui ressortait de la mise en demeure.
La société Y a expliqué avoir mis en oeuvre un premier système de gestion des oppositions qui, en raison d'un problème technique, n'a pu prendre en compte qu'une partie des demandes de désinscription. Elle a ensuite précisé qu'un second numéro de télécopie a été mis en place, nécessitant une intervention humaine pour permettre de radier efficacement les personnes démarchées des listes de diffusion, sur la base desquelles s'effectue la prospection commerciale par télécopie de la société X.
4. Un rapport de sanction, qui a été proposée à la Commission, a été notifiée par huissier à la société X le 18 octobre 2007. Le rapporteur a rappelé, dans ses conclusions, que la société Y était le sous-traitant de la société X et non le responsable de traitement et souligné que la CNIL n'avait reçu aucune correspondance de la société X attestant qu'elle avait déclaré le traitement en cause, qu'elle avait supprimé les coordonnées des requérants ayant exercé leur droit d'opposition, qu'elle avait apporté toute garantie, pour l'avenir, les droits des personnes dont les données à caractère personnel font l'objet d'un traitement automatisé soient respectés. En tout état de cause, le rapporteur a considéré que le second système de gestion des oppositions mis en place par la société Y n'était pas satisfaisant, dans la mesure où la CNIL continuait à recevoir des plaintes de personnes démarchées par la société X.
Le 14 novembre 2007, la société X a adressé à la Commission ses observations en réponse.
5. Elle a précisé qu'elle traitait de manière loyale et licite les données à caractère personnel utilisées dans ses campagnes publicitaires par télécopie, dans la mesure où les coordonnées des personnes physiques démarchées figuraient sur des CD-ROM de prospection vendus dans le commerce et déclarés auprès de la CNIL par leurs éditeurs.
Lors de l'audience du 22 novembre 2007, la société X et son prestataire ont précisé n'avoir jamais eu l'intention de démarcher des personnes physiques et qu'ils n'étaient pas responsables du défaut de mises à jour des CD-ROM.
La Commission considère qu'au vu du nombre de demandes de désinscription - la société Y, ayant précisé lors de l'audience avoir recensé 8000 demandes d'opposition - la société X, responsable de traitement, aurait dû, le cas échéant avec l'aide son prestataire Y, mettre en place des mesures permettant d'éviter que les coordonnées de personnes physiques, notamment de professionnels exerçant sous leur nom personnel, ne figurent sur les listes de diffusion de télécopies publicitaires.
Si la société X a indiqué les moyens par lesquels elle s'est procurée les numéros de télécopieurs, elle n'a ainsi apporté aucune garantie permettant d'établir qu'elle collecte et traite les données à caractère personnel conformément à la loi du 6 janvier 1978 modifiée, et particulièrement de manière loyale et licite, aux termes du 1° de l'article 6 de la loi.
6. La Commission considère par ailleurs que la société X n'a apporté aucun élément de réponse attestant qu'elle aurait cessé toute prospection commerciale par télécopie auprès de personnes physiques n'ayant pas préalablement donné leur accord pour être démarchées.
7. La formation restreinte de la CNIL constate également que la société X n'a procédé à l'accomplissement d'aucune formalité préalable.
8. S'agissant du système de gestion des oppositions mis en place par le prestataire de la société X, il a été confirmé qu'une fois reçue la télécopie d'une personne souhaitant se désinscrire, une intervention manuelle est nécessaire pour la radier effectivement. 
La Commission observe que si les coordonnées des personnes ayant exercé leur droit d'opposition ont pu être supprimées, il s'agit d'un système qui ne garantit pas la prise en compte automatique et immédiate des demandes d'opposition, compte tenu, en particulier, du nombre de télécopies adressées mensuellement et à la lumière du nombre de personnes demandant à être radiées (8000 depuis août 2007). 
7. La Commission estime que la société X n'a pas répondu à l'ensemble des demandes figurant dans la mise en demeure dans le délai qui lui était imparti. 
En conséquence, la Commission décide de faire application des dispositions des articles 45 et suivants de la loi du 6 janvier 1978 modifiée le 6 août 2004 et de prononcer à l'encontre de la société X sise [...], compte tenu de la gravité des manquements commis, une sanction pécuniaire de 5.000 euros qui sera rendue publique. 
 
Le président,
Alex TÜRK.
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société LG Electronics France à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Société responsable du transfert
LG ELECTRONICS FRANCE
Finalité du transfert
Gestion des données du personnel pour faciliter la mobilité internationale.
Reporting financier à la maison mère
Catégories de données transférées
Pour chaque salarié : nom, sexe, date de naissance, diplômes, certificat et mention, adresse habitation, montant du salaire
Identité(s) du(des) destinataire(s)
Le personnel habilité de LG ELECTRONICS INC - LG Twin Towers 20, Yeouido-dong, Yeundeungpo-du, Séoul Korea - chargé du service financier et des ressources humaines.
Pays d’établissement du(des) destinataire(s)
Corée du Sud
Service auprès duquel s’exerce le droit d’accès des personnes concernées
LG ELECTRONICS France 117 avenue des Nations93420 VILLEPINTE
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision 2001/497/CE de la Commission européenne du 15 juin 2001 concernant les transferts de responsables de traitement à responsable de traitement.
                                                                                          Le Président 
                                                                                          Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société LG Electronics Mobilcomm France à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
LG ELECTRONICS MOBILCOMM FRANCE
Finalité du transfert
Gestion des données du personnel pour faciliter la mobilité internationale.
Reporting financier à la maison mère
Catégories de données transférées