AgentPublic/cnil huggingface dataset:
S'agissant de l'utilisation du numéro d'inscription au  répertoire national d'identification des personnes physiques (NIR), la  présente autorisation ne couvre son utilisation que dans le cadre du  remboursement auquel procède l'assurance maladie obligatoire auprès des  professionnels de santé en application des articles R. 115-1 et R. 115-2 du code de la sécurité sociale.
      Article 4
Durée de conservation des données.Les données relatives à  la prise en charge des personnes concernées sont conservées par les  structures de gestion jusqu'à la fin du suivi, décidée par la personne  elle-même ou son médecin. Ces durées doivent être conformes aux  dispositions législatives et réglementaires en vigueur.A l'expiration de ce délai, les données sont supprimées ou archivées sous une forme anonyme.La  conservation et l'archivage des données doivent être réalisés dans des  conditions de sécurité conformes aux dispositions de l'article 34 de la  loi du 6 janvier 1978 modifiée.
      Article 5
Destinataires des données.Dans la limite de leurs  attributions respectives et pour l'exercice des finalités précitées,  seules peuvent être habilitées à accéder aux données les personnes  suivantes :Pour les seules données relatives aux personnes qu'ils prennent en charge :
- les professionnels de santé ayant prescrit ou réalisé l'acte de dépistage ;- le médecin coordinateur de la structure de gestion ;- le médecin traitant ou le médecin désigné par la personne comme destinataire des résultats de l'examen de dépistage.
En outre, peuvent être destinataires des données relatives à ces personnes les personnels habilités :
- du laboratoire de biologie médicale centre de lecture ;-  des organismes d'assurance maladie, pour les seules données nécessaires  au remboursement des soins dans des conditions conformes à l'article 3 du décret n° 2015-390 du 3 avril 2015 ; les médecins spécialistes ayant réalisé des examens complémentaires à la suite d'un test positif.
      Article 6
Information et droit d'accès des personnes concernées.Le  responsable de traitement informe les personnes concernées de la mise en  œuvre d'un traitement de données à caractère personnel ayant pour  finalité la réalisation des opérations de dépistage organisé du cancer  du sein ou du cancer colorectal.Cette information s'effectue selon les modalités suivantes :
- la structure de gestion invite par courrier la personne  éligible au programme de dépistage à consulter son médecin traitant ou  un professionnel de santé agréé. Le courrier de réponse joint à ce  courrier contient une note d'information établie conformément à  l'article 32-I de la loi du 6 janvier 1978 modifiée qui rappelle  notamment les droits d'accès et de rectification et d'opposition  reconnus par les articles 38 à 40 de la loi précitée. Cette note précise  le service auprès duquel ces droits peuvent s'exercer ;- le médecin  traitant ou le professionnel de santé qui réalise l'examen de dépistage  informe oralement les personnes concernées conformément à l'article  32-I de la loi du 6 janvier 1978 modifiée. Il précise les modalités  d'exercice des droits d'accès, de rectification et d'opposition  précitées ;- cette information est également affichée dans les locaux des professionnels de santé participants.
S'agissant des professionnels de santé intervenant dans le programme de dépistage :
- les structures de gestion les informent du traitement de  leurs données à caractère personnel conformément à l'article 32-I de la  loi informatique et libertés ;- si une plate-forme électronique est  utilisée pour la communication des résultats, les professionnels de  santé sont informés lors de leur connexion à cette plateforme selon les  modalités prévues à l'article 32-I de la loi informatique et libertés.
      Article 7
Sécurité des données et traçabilité des actions.Conformément  à l'article 34 de la loi informatique et libertés de 1978 modifiée, le  responsable du traitement prend toutes les précautions utiles pour  préserver la sécurité et la confidentialité des données traitées,  notamment pour empêcher qu'elles soient déformées, endommagées ou que  des tiers non autorisés y aient accès.Le responsable de traitement  définit une politique de sécurité adaptée aux risques présentés par les  traitements et à la taille de l'organisme concerné. Cette politique doit  décrire :
- les objectifs de sécurité ainsi que les mesures de sécurité  physique, logique et organisationnelle permettant de les atteindre ;-  les habilitations d'accès aux données, en fonction du besoin des  utilisateurs du système d'information, en particulier les mesures de  restriction de l'accès à l'identité des professionnels de santé  intervenant dans le programme, les modalités d'accès aux traitements,  dont les mesures d'identification et d'authentification ; les  dispositifs de contrôle des identifications et habilitations et les  procédures de traçabilité des accès aux informations médicales, ainsi  que l'historique des connexions ;- les mesures de sécurité devant être mises en œuvre pour les transmissions de données.
Si le format électronique est utilisé par l'intermédiaire  d'une plate-forme électronique de recueil, d'échange et de mise à  disposition des résultats :
- les personnes doivent créer un compte personnel afin de  consulter les résultats. Leur adresse électronique pourra être collectée  afin de permettre l'envoi d'un courriel contenant un lien permettant  d'activer le compte et de vérifier que l'adresse électronique saisie est  valide ;- le contrôle d'accès au compte des professionnels de santé doit être opéré conformément aux dispositions de l'article L. 1110-4 du code de la santé publique  qui impose une authentification forte de ces professionnels par  l'utilisation d'une carte de professionnel de santé (CPS) ou d'un  dispositif équivalent agréé par l'organisme chargé d'émettre la CPS,  pour toute transmission ou tout accès aux données de santé ;- la transmission des informations relatives à la santé doit s'opérer dans des conditions conformes à la délibération n° 2014-239 du 12 juin 2014  portant autorisation unique de mise en œuvre, par les professionnels et  établissements de santé ainsi que par les professionnels du secteur  médico-social habilités par une loi, de traitements de données à  caractère personnel ayant pour finalité l'échange par voie électronique  de données de santé à travers un système de messagerie sécurisée.
Dans l'hypothèse d'une transmission par télécopie, les mesures de sécurité suivantes doivent être mises en place :
- le fax doit être situé dans un local physiquement contrôlé et accessible uniquement au personnel habilité ;- l'impression des messages doit être subordonnée à l'introduction d'un code d'accès personnel ;-  lors de l'émission des messages, le fax doit afficher l'identité du fax  destinataire afin d'être assuré de l'identité du destinataire ;- le carnet d'adresses des fax doit préenregistrer, dans la mesure du possible, les destinataires potentiels.
En cas de recours à un prestataire de service externe pour la mise en œuvre du traitement, le contrat doit prévoir :
- la limitation de l'utilisation des données à la finalité prévue par la présente autorisation ;- une clause de confidentialité ;-  l'encadrement des modalités de destruction ou de restitution de tous  les supports manuels ou informatisés de données à caractère personnel au  terme de la prestation ;- que l'hébergement des données, les modalités d'accès à celles-ci et leurs modalités de transmission soient conformes à l'article L. 1111-8 du code de la santé publique.
La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
I. Falque-Pierrotin
(Demande d’autorisation n° 1848455)
La Commission nationale de l'informatique et des libertés,
Saisie par le Crédit Maritime Atlantique d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l’identité ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L. 561-5 et R. 561-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Crédit Maritime Atlantique, établissement bancaire filiale du Groupe BPCE.
Sur la finalité
La finalité du traitement est de lutter contre la fraude à l’identité. Il vise à détecter les documents présentant des anomalies susceptibles de révéler une fraude (faux document ou document falsifié) dans trois hypothèses : au moment de l’entrée en relation du client auprès du Crédit Maritime Atlantique, en cas de modifications de données du compte existant, ou lors de l’étude d’un dossier de crédit pour un compte déjà ouvert dans cet établissement. La Commission observe que cette finalité est déterminée, explicite et légitime.Lorsque l’analyse de l’outil conclut à la non-conformité du document, la demande d’ouverture de compte ou la demande de crédit est refusée. Dans la situation inverse, si l’authenticité des documents est confirmée, il est fait droit à la demande du client. Dès lors, ce traitement peut ainsi, du fait de sa portée et de sa finalité, exclure une personne du bénéfice d’un droit ou d’un contrat en l’absence de toutes dispositions légales ou réglementaires prévoyant une telle exclusion.Le présent traitement est dès lors soumis à autorisation de la Commission, en application des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les catégories de données traitées sont relatives : - à l’identité des personnes concernées : le nom, le(s) prénom(s), le sexe, la date et lieu de naissance,- aux documents d’identité : le numéro de document, le numéro de la pièce d’identité, la date d’expiration, les 6 derniers caractères de la bande MRZ de la pièce d’identité et la bande MRZ figurant en bas des documents d’identité.La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente, adéquate et non excessive au sens de l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les personnes destinataires du traitement et habilitées à avoir accès aux informations sont :- le réseau commercial,- le service sécurité financière,- le service lutte contre la fraude.Les informations sont transmises sur un serveur hébergé par la société CTMS (Contrôle des échanges et Traitement physique des Monnaies-Sécurité), prestataire de service du Crédit Maritime Atlantique.La liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la banque sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention sur internet ainsi que dans la convention de compte du client. Cette mention rappelle en outre que les droits d’accès et de rectification s’exercent auprès de la Direction des risques conformité par courrier à l’adresse suivante : 2 rue Françoise Sagan - 44815 SAINT HERBLAIN ou par adresse électronique à l’adresse suivante : cmmatlantique@creditmaritime.comLa Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
S’il n’existe pas de journalisation détaillée des activités sur l’application, un journal d’accès global des collaborateurs du Crédit Maritime Atlantique aux serveurs CTMS est cependant mis en œuvre.Seules les personnes habilitées ont accès à l’application CMTS. Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application avec des profils d’habilitation et un contrôle d’accès logique. Ce mécanisme est actuellement basé sur un identifiant et un mot de passe de 8 caractères comprenant au moins trois des quatre types (minuscules, majuscules, chiffres, caractères spéciaux). Ce dernier doit être renouvelé tous les 41 jours. En cas de réponse positive, c’est-à-dire si le document d’identité n’est pas validé, ou dans le cas inverse, la réponse est conservée dans le dossier réglementaire du client afin de s’assurer que le contrôle d’identité a bien été réalisé par le collaborateur. Le Crédit Maritime Atlantique s’est engagé à ce que cet élément bénéficie du même niveau de protection que les copies des pièces d’identité actuellement conservées conformément aux dispositions de l’article L561.12 du Code monétaire et financier.Les mesures de sécurité mises en place n’appellent pas d’observation.
Sur les autres caractéristiques du traitement
Les données collectées ne sont utilisées que le temps de la vérification de l’authenticité des documents. En cas de non-conformité des pièces, les documents sont restitués à la personne à l’origine de la demande. Dans l’hypothèse inverse et si la demande est validée, une copie des documents est conservée, conformément à la législation bancaire.Il existe un premier contrôle visuel réalisé par le chargé de clientèle qui reçoit la personne souhaitant entrer en relation avec la banque. Un deuxième contrôle est réalisé via l’outil IDENTT qui permet de détecter des documents présumés frauduleux automatiquement par la lecture de la bande MRZ. Enfin, si l’anomalie persiste, un dernier contrôle manuel avec une analyse est réalisé par les personnes habilitées du service lutte contre la fraude.L’analyse de l’authenticité des pièces se fait en temps réel par l’outil, ce qui permet au chargé de clientèle d’accepter ou de refuser l’ouverture du compte ou la demande de crédit du client immédiatement.Le traitement mis en œuvre n’est qu’un outil d’aide à l’analyse des documents d’identité présentés par la personne concernée lors de l’entrée en relation avec le Crédit Maritime Atlantique. La Commission prend acte qu’en cas de détection d’anomalie, une analyse complémentaire sera effectuée par les personnels habilités du service lutte contre la fraude afin, le cas échéant, de confirmer la tentative de fraude.Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978
modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées.Ce traitement ne permet pas d’établir une « liste noire » de personnes ayant présenté des titres d’identité comportant des anomalies ou des titres d’identité falsifiés ou volés.Des statistiques sur des données anonymisées sont réalisées à partir des résultats de l’outil et permettent de chiffrer le nombre de pièces consultées par zone géographique.Dans l’hypothèse où la demande concerne l’octroi de crédit et si l’outil détecte une fraude documentaire présumée, le Crédit Maritime Atlantique peut décider de clôturer le compte du client.Les autres caractéristiques du traitement n’appellent pas d’observation particulière de la Commission.
Autorise, conformément à la présente délibération, le Crédit Maritime Atlantique à mettre en œuvre le traitement susmentionné.
La Présidente 
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1710461)
La Commission nationale de l'informatique et des libertés,
Saisie par LEASECOM d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude dans le cadre d’une demande de financement locatif ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.4° ;
Vu la loi n°78-753 du 17 juillet 1978 portant diverses mesures d'amélioration des relations entre l'administration et le public et diverses dispositions d'ordre administratif, social et fiscal, notamment son article 6 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société LEASCOM est une filiale du Crédit Mutuel ARKEA. Elle propose des solutions de location financière longue durée pour l’équipement d’un bien ou des solutions de services intégrés adaptées aux besoins des entreprises (ex : informatique, bureautique, télécoms etc.).
Sur la finalité
Le traitement mis en œuvre a pour objectif de détecter une fraude commise par une entreprise qui a fait une demande de financement locatif.LEASECOM utilise une solution décisionnelle développée par la société Experian. Le module utilisé permet d’étudier toutes les demandes de financement émanant des entreprises pour en déterminer un score de suspicion de fraude. La note de score permet d’instruire une décision de financement locatif.Le fonctionnement du module est le suivant. Il existe une pondération qui correspond à une liste de critères ou d’évènements pouvant conduire à une suspicion de fraude. Les critères sont déterminés à partir des cas de fraudes avérées dont la société a été victime. La somme des coefficients des critères est ensuite calculée par le module qui déclenche une alerte lorsque le résultat est supérieur ou égale à un score prédéterminé.Lorsqu’une alerte est générée la demande de financement est bloquée. Le service des engagements procède alors à une analyse manuelle du dossier de demande de financement émanant de la société suspectée de fraude.Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées.Si le risque est avéré et l’alerte confirmée, un refus est alors opposé à la société cliente. En revanche et si le risque n’est pas significatif, la demande de financement est acceptée.Ce traitement peut ainsi, du fait de sa nature et de sa
finalité, conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition légale ou réglementaire prévoyant une telle exclusion.Dès lors, ce traitement relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée en 2004 et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.La Commission considère que la finalité poursuivie est déterminée, explicite et légitime.
Sur les données traitées
Les catégories de données analysées sont relatives : - à l’identification du dirigeant : nom, prénom, date de naissance, numéro SIREN ;- aux informations d’ordre économique et financier : revenus, situation financière (liasse fiscale de l’entreprise).Les données utilisées pour la détermination des critères ou évènements sont les suivantes :- données juridiques et d’identités relatives à la gérance et à la structure sociale,- secteurs d’activité,- montant d’investissement,- origine de l’affaire,- informations relatives au distributeur.La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente au sens du 3° de l'article 6 de la loi du 6 janvier 1978 modifiée. 
Sur les destinataires
Les personnes habilitées sont celles du service des engagements et le responsable de ce service en charge d’étudier la validité de la demande de financement.Ces destinataires n'appellent pas d'observations particulières de la part de la Commission.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention légale d’information qui figure dans les conditions générales de location ainsi que sur le site internet de la société. Cette mention rappelle notamment que les droits d’accès et de rectification s’exercent auprès du service Contrôle permanent et conformité à l’adresse suivante : LEASECOM – CIL local - 75015 Quai André Citroën Paris Cedex 15 ou par courriel à l'adresse ld.cil.local@leasecom.fr La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Chaque utilisateur dispose d'un identifiant qui lui est propre.Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin. Le responsable de traitement a mis en place une politique de mot de passe qui exige que ceux-ci aient une longueur minimale de 8 caractères, et qu’ils contiennent au moins un chiffre, une minuscule et un caractère spécial.Les postes de travail disposent d'un pare-feu logiciel et d'un logiciel antivirus mis à jour régulièrement.Le réseau de l’entreprise fait l’objet de mesures de filtrage ayant pour but de restreindre l’émission et la réception des flux réseaux aux machines identifiées et autorisées.Des sauvegardes régulières sont réalisées, elles sont stockées dans un endroit garantissant leur sécurité et leur disponibilité.Seuls les accès à l’application sont journalisés, ce qui est acceptable compte tenu du nombre très réduit de personnes ayant accès au traitement.Des alarmes sont installées et leur fonctionnement est testé régulièrement.Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. 
Sur les autres caractéristiques du traitement
La Commission relève que les motifs de refus pour cause de suspicion de fraude sont enregistrés sur le CRM et liés au numéro SIREN.Le motif est conservé pour établi des statistiques sur le nombre de demandes de financement par an, le taux de concrétisation et la répartition des refus par motif.La Commission observe que les données relatives au nom, à la date de naissance du dirigeant et à la réponse générée par le score en cas de fraude avérée « réserve sérieuse sur l’entreprise » est de 5 ans que la demande de financement soit ou non acceptée. Passé ce délai les données sont supprimées.
La Commission relève que les données utilisées pour la détermination des critères ou évènements sont détruites dès lors que les critères et évènements sont déterminés.Enfin, les données relatives à l’identification du dirigeant sont conservées de manière anonyme pour l’élaboration de statistiques.La Commission considère que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, LEASECOM à mettre en œuvre le traitement susmentionné.
La Présidente 
I. FALQUE-PIERROTIN