AgentPublic/cnil huggingface dataset:
qui se rapportent à des procédures judiciaires en cours ou closes, à l'exception des cas où sont intervenues des mesures ou décisions mentionnées au quatrième alinéa de l'article 3 et des données relatives aux victimes, peuvent être consultées sans autorisation du ministère public .Dans ces conditions, la commission souhaite que l'application soit modifiée de façon à ce que les mécanismes de rappel d'identité ne donnent pas lieu au croisement du module relatif aux procédures administratives avec celui relatif aux procédures judiciaires.Sur les durées de conservation :Comme indiqué aux termes de l'article 2 du projet de décret, les données collectées pourraient être conservées dans l'application ARDOISE pendant cinq ans, à compter de la transmission de la procédure à l'autorité judiciaire ou administrative compétente.Si, selon le ministère de l'intérieur, la durée de conservation envisagée correspond au délai moyen pendant lequel l'intérêt opérationnel commande que les services de police puissent accéder aux procédures rédigées précédemment , aucune précision n'a pu être donnée en ce sens.En outre, ainsi que l'a précisé le ministère de l'intérieur, il convient de rappeler qu'ARDOISE ne constitue pas une base de recherche.Dans ces conditions, sans préjuger de l'avis qu'elle rendra, le moment venu, sur la version complète de l'application ARDOISE, la commission émet des réserves quant à la durée de conservation retenue, dès lors que, en l'état, l'application n'a d'autre
finalité que d'assurer la rédaction des procédures judiciaires et administratives. C'est pourquoi elle considère que le second alinéa de l'article 2 du projet de décret devrait être modifié comme suit : Ces données et informations sont conservées pendant un délai maximal de cinq ans. Au sein de ce délai et, dès lors que la procédure a été transmise à l'autorité compétente, l'accès aux données et informations considérées ne pourra être effectué que de façon strictement encadrée et dans le but exclusif de la réouverture éventuelle de la procédure concernée et sur la base de son seul numéro. Sur les destinataires :La commission prend acte de la liste des destinataires définie aux termes de l'article 3 du projet de décret, soit :- les fonctionnaires de la police nationale, individuellement désignés et spécialement habilités par leur supérieur hiérarchique mettant en œuvre le traitement mentionné à l'article 1er ;- les militaires de la gendarmerie nationale en fonction dans un service de police mettant en œuvre le traitement mentionnée à l'article 1er individuellement désignés et spécialement habilités par le chef du service concerné ;- les magistrats du parquet ;- les magistrats instructeurs pour les infractions dont ils sont saisis ;- les personnels investis de missions de police administrative individuellement désignés et spécialement habilités par le représentant de l'Etat pour les données et informations mentionnées au II de l'annexe au présent décret.Elle estime toutefois
qu'il pourrait être précisé aux termes du projet de décret que les agents individuellement désignés et spécialement habilités ne pourront accéder qu'aux données enregistrées dans l'application locale, dans la limite du besoin d'en connaître.Sur les droits des personnes :Le ministère de l'intérieur considère que le droit d'information prévu au I de l'article 32 de la loi du 6 janvier 1978, modifiée par la loi du 6 août 2004, et le droit d'opposition prévu à l'article 38 de la même loi ne s'appliquent pas au traitement considéré.Pour ce faire, il invoque aussi bien les dispositions du V que du VI de l'article 32 de la loi précitée.Dans la mesure où le législateur a expressément reconnu aux personnes faisant l'objet d'une inscription dans les fichiers de police judiciaire la possibilité, sous certaines conditions, de demander la rectification des données en cas de requalification judiciaire et, s'agissant des victimes, l'effacement des données les concernant, la commission estime que l'information des personnes sur l'existence et les conditions d'exercice de ces droits, ainsi que sur leur droit d'accès doit être reconnue et garantie par des mesures spécifiques.En conséquence, elle prend acte de ce que le projet de décret a été complété et prévoit dans son article 4 l'information des victimes. Elle considère néanmoins que les personnes faisant l'objet d'une procédure administrative devraient également pouvoir être informés de leurs droits.Ainsi, la commission estime que des
mentions d'informations pourraient être ainsi portées dans le formulaire de rappel des droits ainsi que sur des affiches apposées au sein des commissariats.Sur les sécurités :La commission considère que le projet de décret devrait comporter, à l'instar de ce qui est prévu dans le décret du 5 juillet 2001 modifié relatif au STIC, une mention selon laquelle les consultations font l'objet d'un enregistrement comprenant l'identifiant du consultant, la date et l'heure de la consultation .Dans le cadre de la sécurité des accès, la commission recommande la mise en place d'une politique de mots de passe, constitués d'au moins six caractères.Enfin, elle estime qu'une mesure de chiffrement devrait être mise en place dans le cadre de la procédure de sauvegarde.Fait le 6 novembre 2008.
Le président,
A. Türk
La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-3° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Sur le rapport de M. Bernard PEYRAT, commissaire, et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes :
La société CHANEL SAS a déposé un dossier de demande d'autorisation de mise en œuvre d'un traitement de données à caractère personnel ayant pour finalité la lutte contre la contrefaçon des droits des marques et noms de domaine (base de données  Diams/HyperMark ).
La Commission considère qu'il y a lieu de faire application des dispositions de l'article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté. 
Les finalités du traitement envisagé par la société CHANEL SAS seront les suivantes :
1)      La gestion et le suivi, par la société CHANEL SAS et toutes les sociétés exploitant légalement la marque CHANEL à l'étranger (ci-après les  Sociétés ), des procédures relatives aux demandes d'enregistrement, à la publication, à l'enregistrement et au renouvellement des marques et noms de domaines de chacune des Sociétés, en France et à l'étranger ;
2)      La gestion et le suivi des oppositions relatives aux marques et noms de domaines formées par l'une ou l'autre des Sociétés à l'égard des tiers ou formées par des tiers à l'égard de l'une ou l'autre des Sociétés, et ce en France ou à l'étranger ;
3)      La gestion et le suivi des procédures contentieuses en cours relatives aux marques et noms de domaines engagées par l'une des Sociétés à l'encontre de tiers ou engagées par des tiers à l'encontre de l'une des Sociétés, en France et à l'étranger ;
4)      La gestion et le suivi du précontentieux, à savoir :
a.       la collecte des informations relatives aux violations des droits des marques et noms de domaines de l'une ou l'autre des Sociétés ainsi qu'aux atteintes à son réseau de distribution ou à son image, identifiées en France ou à l'étranger ; 
b.      la consultation des informations relatives auxdites violations ; 
c.       le cas échéant, le suivi et la coordination des actes précontentieux initiés par l'une ou l'autre des Sociétés ;
5)      La gestion (et l'analyse) des coûts, frais, dépenses, et de façon plus générale, de toutes les sommes engagées ou obtenues par l'une ou l'autre des Sociétés dans le cadre de ces procédures, ainsi que la production de ces données à des fins de comptabilité et de justificatifs fiscaux.
La base de données Diams/HyperMark sera susceptible de faire l'objet d'une interconnexion avec la base de données  TPS  qui a pour finalité la lutte contre la contrefaçon des droits d'auteur, des dessins et modèles, et des brevets.
Les catégories de données à caractère personnel enregistrées seront les données suivantes : 
-          données d'identification : nom, prénom, sexe, date et lieu de naissance ;
-          données relatives à l'adresse postale ;
-          données relatives à l'utilisation des médias et aux moyens de communication : informations relatives aux sites Internet utilisés, adresses électronique, fournisseurs d'accès ;
-          données relatives aux infractions, condamnations et mesures de sûreté : décisions de justice résultant des procédures engagées, décisions des organismes en charge du dépôt et de la gestion des marques et noms de domaines.
 
Les durées de conservation des données seront les suivantes :
-          dans le cas où la société CHANEL SAS décide de ne pas poursuivre : les données seront conservées pendant un an à compter de la décision définitive de clôture du dossier ;
-          dans le cas où la société CHANEL SAS décide de poursuivre : les données seront conservées en base active pendant toute la durée de la procédure judiciaire ou jusqu'au règlement amiable du dossier, puis en archives pendant une période de dix ans ;
-          dans le cas où la société CHANEL SAS décide de ne pas poursuivre immédiatement : les données seront conservées en base active pendant une durée de cinq ans à compter de la dernière violation constatée ou du dernier acte effectué par les Sociétés CHANEL (acte de recherche, d'enquête, d'investigation ou de poursuite), puis en archives pendant 10 ans.
Les destinataires des données seront, dans la limite de leurs attributions et pour la poursuite des finalités précitées, les agents des services juridiques et comptables de la société CHANEL SAS, et les conseils chargés d'assister cette société dans la protection de ses droits de marques et noms de domaines.
L'information des personnes concernées relative à l'existence de la base de données Diams/HyperMark se fera notamment par une mention insérée dans les mentions légales des différents sites Internet de la société CHANEL SAS. La société informera également les personnes concernées de la mise en place de traitements automatisés de données à caractère personnel mis en œuvre pour lutter contre la contrefaçon dans les mises en demeure qu'elle adressera à ces personnes.
En principe, la personne dont les données font l'objet d'un traitement doit être informée par le responsable du dispositif dès l'enregistrement de données la concernant conformément à l'article 32 de loi du 6 janvier 1978 modifiée. La CNIL a, cependant, autorisé à plusieurs reprises, et notamment dans sa délibération n°2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle, que l'information de cette personne n'intervienne qu'après l'adoption des mesures conservatoires rendues nécessaires pour prévenir la destruction de preuves.
La CNIL constate que les actes de contrefaçon sont en constante augmentation et engendrent des pertes économiques considérables, en termes de chiffres d'affaire, de ralentissement de l'innovation et de la compétitivité des entreprises, d'atteintes aux investissements réalisés en matière de recherche et de développement, de manque à gagner, de déstabilisation des marchés par le développement d'une importante économie souterraine favorisée par l'utilisation de l'Internet, mais également de pertes d'emplois. 
En tant que société de luxe exploitant une marque renommée à travers le monde, la société CHANEL SAS est une cible de choix pour les contrefacteurs et ses droits de propriété intellectuelle font l'objet de violations incessantes. 
 
Afin de préserver ses droits, son image et son réseau commercial à l'échelle internationale, ainsi que d'assurer la sécurité des consommateurs, la société CHANEL SAS a dû investir d'importants moyens financiers et humains (25 personnes dans le monde entièrement dédiées à la protection de la marque et à la lutte contre la contrefaçon, dont 12 en France). 
La base de données Diams/HyperMark permettra à la société CHANEL SAS de gérer ses droits au niveau international et facilitera la lutte contre la contrefaçon. Elle sera utilisée, dans de nombreuses hypothèses, hors du territoire français, et ne contiendra qu'un nombre très restreint de données relatives à des personnes physiques.
Dans ce contexte, la Commission estime qu'imposer à la société CHANEL SAS d'informer les personnes concernées dans la lettre de mise en demeure qui leur est adressée, conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, serait contraire à l'objectif de protection des droits de propriété intellectuelle de la société CHANEL SAS et limiterait l'effectivité du droit de cette dernière à exercer un recours juridictionnel. 
Compte-tenu des circonstances particulières de l'espèce exposées ci-dessus, la Commission considère comme suffisante les mentions d'information proposées par la société CHANEL SAS.
Les droits d'accès et de rectification s'exerceront auprès du service juridique de la société CHANEL SAS - 135, avenue Charles de Gaulle, 92200 NEUILLY-SUR-SEINE.
Cependant, en cas de doute quant à la légitimité des demandes d'accès formulées par les personnes concernées, la société CHANEL SAS pourra aménager ce droit d'accès conformément à ce qui a pu être mis en place dans l'autorisation unique sur les traitements mis en œuvre par les banques au titre de la lutte contre le blanchiment d'argent. En effet, dans sa délibération n° 2005-297 du 1er décembre 2005, la CNIL prévoit que, pour l'application des articles L.563-3 et L.574-1 du Code monétaire et financier, et à la demande d'un organisme financier saisi d'une demande de droit d'accès, la CNIL peut formuler un avis sur le caractère communicable des informations enregistrées dans les traitements régis par l'autorisation unique.
Compte-tenu des circonstances particulières de l'espèce, la société CHANEL SAS pourra également, en cas de doute quant à la légitimité d'une demande d'accès, saisir la CNIL pour que cette dernière se prononce sur le caractère communicable des données.
Les transferts de données contenus dans la base de données Diams/HyperMark auront vocation à permettre la gestion, le suivi et la coordination des procédures d'enregistrement et d'opposition, des procédures contentieuses et précontentieuses, notamment initiées par l'une ou l'autre des Sociétés sur la base des informations collectées par l'une ou l'autre des Sociétés, et ce afin d'assurer une gestion cohérente des marques et noms de domaines des Sociétés sur le long terme.
Les données seront transférées vers les services juridiques et comptables des sociétés  CUPFSA (Panama), CHANEL KK (Japon), CHANEL Inc. (USA) et The CHANEL Company Ltd (USA).
Les transferts seront encadrés par les clauses contractuelles européennes issues de la décision 2004/915/CE de la Commission européenne du 27 décembre 2004 concernant les transferts de responsable de traitement à responsable de traitement. 
Dans ces conditions, la Commission autorise la société CHANEL SAS à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la lutte contre la contrefaçon et à transférer les données vers des pays n'appartenant pas à l'Union Européenne. 
Le président
 
 
Alex Türk
(décision d’autorisation unique n°AU- 015)
La Commission nationale de l’informatique et des libertés,
Vu la Convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales du 4 novembre 1950. 
Vu la convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment ses articles 1er et 25-II ;
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Vu l’article 9 du Code civil ;
Vu les articles 226-16 à 226-24 du code pénal ;
Vu la délibération n° 03-083 du 16 septembre 2003 portant adoption d’une recommandation relative à la collecte et au traitement d’informations nominatives par les sociétés de transports collectifs dans le cadre d’applications billettique ;
Après avoir entendu M. Eric PERES, Commissaire, en son rapport et  Mme Elisabeth ROLIN, Commissaire du gouvernement en ses observations.
Formule les observations suivantes : 
La modernisation des transports collectifs se traduit notamment par la délivrance de nouveaux titres de transport aux usagers, sous différents supports utilisant une technologie sans contact, en vue de faciliter leurs déplacements et de leur proposer des services complémentaires.
L’interopérabilité des systèmes permet, en outre, de voyager avec le même billet sur plusieurs réseaux et favorise l’harmonisation de la gestion des titres de transport.
Outre l’utilisation des titres de transport, le dispositif billettique vise à assurer la réalisation d’analyses statistiques, la mesure de la qualité du fonctionnement du système, la détection de la fraude technologique et le suivi des impayés : il y a lieu, à cet effet, de préciser que l’inscription d’une personne en liste d’opposition à la suite d’un impayé a pour effet d’invalider son passe billettique et ainsi ne lui permet plus d’utiliser ce type de titre de transport jusqu’à la régularisation des sommes dues.
La Commission considère, en conséquence, qu’il y a lieu, dès lors, de faire application de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée en août 2004 qui soumet à autorisation préalable de la CNIL « les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire ».
Cette autorisation peut prendre la forme d’une décision unique en application de l'article 25-II de la loi du 6 janvier 1978 susvisée dès lors que les traitements répondent à une même finalité, portent sur des catégories de données identiques et ont les mêmes destinataires ou catégories de destinataires. 
Ainsi l’organisme de transport collectif qui envisage de mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion des applications billettiques, pourra, s’il respecte les dispositions de la décision unique, adresser à la Commission un engagement de conformité aux caractéristiques de l’autorisation.
L’utilisation d’un titre de transport sans contact implique la collecte de données concernant les trajets effectués par le titulaire lors de la validation, c’est-à-dire de la présentation du titre de transport à une borne de contrôle en entrée et sortie du réseau ou à l’occasion d’une correspondance. Peuvent ainsi être mémorisés, tant sur la carte qu’au poste central de l’exploitant de transport, non seulement les date, heure et lieu des passages mais aussi le numéro de carte utilisé qui rend possible, à partir du fichier clientèle, l’identification du titulaire de la carte. Dès lors, les déplacements de ce dernier peuvent être reconstitués et ne sont plus anonymes, ce qui est de nature à porter atteinte tant à la liberté fondamentale d’aller et venir, qu’au droit à la vie privée. Le respect de ces principes justifie ainsi une vigilance particulière de la CNIL lorsqu’elle doit apprécier la pertinence des données collectées, conformément à l’article 6 de la loi Informatique et Libertés. 
La possibilité de circuler de façon anonyme doit, dans tous les cas, être préservée : chaque responsable de traitement qui met à disposition des usagers des titres nominatifs de transport doit également prévoir de leur laisser le choix d’utiliser des titres de transport anonymes.
L’autorité organisatrice de transport doit mettre en œuvre, dans la mesure du possible, les moyens nécessaires pour la préservation d’une alternative au titre nominatif quel que soit le type d’abonnements. Elle doit ainsi prévoir des abonnements sur des titres qui préservent l’anonymat des déplacements. 
Il existe trois sortes de titres de transport : le titre de transport nominatif (support nominatif, l’usager figure dans le fichier client du transporteur, ses déplacements ne sont donc pas anonymes), le titre de transport déclaratif (le support est nominatif mais l’usager ne figure pas dans le fichier client, ce qui permet un anonymat des déplacements) et le titre de transport anonyme (le support est anonyme, aucun abonnement ne peut donc être chargé dessus).
La Commission s’attache à l’anonymat des déplacements et à la possibilité pour l’usager de ne pas figurer dans le fichier clients du transporteur et non pas à l’anonymat du support sur lequel est chargé le titre de transport. 
Par ailleurs, dans la mesure du possible, les tarifs spéciaux doivent également être disponibles sur titres de transport déclaratifs.
Décide que les responsables de traitement qui adressent à la Commission une déclaration comportant un engagement de conformité pour les traitements de données à caractère personnel répondant aux conditions fixées par la présente décision unique sont autorisés à mettre en œuvre ledit traitement.
Article 1er : Finalités et caractéristiques techniques du traitement
Les traitements de billettique mis en œuvre par les exploitants de transport public ainsi que par les autorités organisatrices de transport doivent avoir pour finalités :
La gestion, la délivrance et l’utilisation des titres de transport :
gestion des abonnements et délivrance des titres de transport plein tarif, à tarif réduit ou même gratuits ;
gestion des opérations du service après vente et des réclamations clients.
La gestion et le suivi des relations commerciales :
gestion des offres commerciales (par exemple : envoi d’offres par les partenaires commerciaux) ;
gestion des programmes de fidélisation.
La gestion de la fraude :
détection de la contrefaçon et de la fraude technologique ;
instruction des dossiers de fraude technologique ;
gestion des cartes invalidées suite à une perte ou un vol ;
gestion des cartes invalidées suite à la détection d’un usage abusif (par exemple : détection de plusieurs dizaines de passage avec un même passe) ;
gestion des cartes invalidées suite à un incident de paiement.
La réalisation d’analyses statistiques d’utilisation des réseaux :
analyses statistiques du trafic ;
analyses statistiques de la nature des titres de transport délivrés ;
analyses statistiques de la clientèle ;
analyses statistiques d’utilisation par type de titres de transport.
La mesure de la qualité du fonctionnement du système :
analyses des problèmes techniques liés à la carte ;
analyses des problèmes techniques liés aux valideurs ;