AgentPublic/cnil huggingface dataset:
Données d’identification (nom, prénom, sexe, date de naissance, nationalité)
Numéro de Sécurité Sociale
Situation familiale (statut marital, nombre d’enfants)
Formation (école, diplôme, langues, précédents employeurs)
Adresse (adresse domicile fixe, adresse caisse de sécurité
Vie professionnelle (date d’entrée, ancienneté, département, historique des emplois, supervision, catégorie de contribution, adresse e-mail) 
Moyens de déplacement des personnes (informations pour le paiement éventuel d’une prime de transport)
sociale)
Données d’identification (nom, prénom, sexe, date de naissance, nationalité)
Numéro de Sécurité Sociale
Situation familiale (statut marital, nombre d’enfants)
Formation (école, diplôme, langues, précédents employeurs)
Adresse (adresse domicile fixe, adresse caisse de sécurité
Vie professionnelle (date d’entrée, ancienneté, département, historique des emplois, supervision, catégorie de contribution, adresse e-mail) 
Moyens de déplacement des personnes (informations pour le paiement éventuel d’une prime de transport)
Identité(s) du(des) destinataire(s)
Les personnes habilitées au sein des Ressources humaines et paie des sociétés :
E.I. du Pont de Nemours and Company
CONVERGYS CUSTOMER MANAGEMENT GROUP INC
1007 Market Street
Wilmington 
Delaware, 19898
Etats-Unis
E.I. du Pont de Nemours and Company
CONVERGYS CUSTOMER MANAGEMENT GROUP INC
201 East 4th street
Cincinnati
Ohio
Etats-Unis
Pays d’établissement du(des) destinataire(s)
Etats-Unis
Service auprès duquel s’exerce le droit d’accès des personnes concernées
DUPONT DE NEMOURS FRANCE SASEtablissement de Cernay82 rue Wittelsheim BP 9014968701 CERNAY CEDEXFrance
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision 2004/915/CE de la Commission européenne du 27 décembre 2004 concernant les transferts de responsable de traitement à responsable de traitement conclues avec la société E.I. du Pont de Nemours and Company
Clauses contractuelles européennes issues de la décision 2002/16/CE de la Commission européennes du 27 décembre 2001 concernant les transferts de responsable de traitement à sous-traitant conclues avec la société CONVERGYS CUSTOMER MANAGEMENT GROUP INC
Clauses contractuelles européennes issues de la décision 2004/915/CE de la Commission européenne du 27 décembre 2004 concernant les transferts de responsable de traitement à responsable de traitement conclues avec la société E.I. du Pont de Nemours and Company
Clauses contractuelles européennes issues de la décision 2002/16/CE de la Commission européennes du 27 décembre 2001 concernant les transferts de responsable de traitement à sous-traitant conclues avec la société CONVERGYS CUSTOMER MANAGEMENT GROUP INC
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire du gouvernement adjoint;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société DUPONT DE NEMOURS FRANCE SAS, à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
DUPONT DE NEMOURS FRANCE SAS(Etablissement de Uffholtz 2)
Finalité du transfert
Gestion des ressources humaines par la société E.I. du Pont de Nemours and Company (la société mère)
Catégories de données transférées
Données d’identification (nom, prénom, sexe, date de naissance, nationalité)
Numéro de Sécurité Sociale
Situation familiale (statut marital, nombre d’enfants)
Formation (école, diplôme, langues, précédents employeurs)
Adresse (adresse domicile fixe, adresse caisse de sécurité sociale)
Vie professionnelle (date d’entrée, ancienneté, département, historique des emplois, supervision, catégorie de contribution, adresse e-mail) 
Moyens de déplacement des personnes (informations pour le paiement éventuel d’une prime de transport) 
Identité(s) du(des) destinataire(s)
Les personnes habilitées au sein des Ressources humaines et paie des sociétés :
E.I. du Pont de Nemours and Company
CONVERGYS CUSTOMER MANAGEMENT GROUP INC (stockage et hébergement de données)
1007 Market Street
Wilmington 
Delaware, 19898
Etats-Unis
E.I. du Pont de Nemours and Company
CONVERGYS CUSTOMER MANAGEMENT GROUP INC (stockage et hébergement de données)
201 East 4th street
Cincinnati
Ohio
Etats-Unis
Pays d’établissement du(des) destinataire(s)
Etats-Unis
Service auprès duquel s’exerce le droit d’accès des personnes concernées
DUPONT DE NEMOURS FRANCE SASEtablissement de Uffholtz 22 rue de la scierie68703 UFFHOLTZFrance
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire du gouvernement adjoint;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société DUPONT DE NEMOURS FRANCE SAS, à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
DUPONT DE NEMOURS FRANCE SAS(Etablissement de Villers Saint Paul)
Finalité du transfert
Gestion des ressources humaines par la société E.I. du Pont de Nemours and Company (la société mère)
Catégories de données transférées
Données d’identification (nom, prénom, sexe, date de naissance, nationalité)
Numéro de Sécurité Sociale
Situation familiale (statut marital, nombre d’enfants)
Formation (école, diplôme, langues, précédents employeurs)
Adresse (adresse domicile fixe, adresse caisse de sécurité sociale)
Vie professionnelle (date d’entrée, ancienneté, département, historique des emplois, supervision, catégorie de contribution, adresse e-mail) 
Moyens de déplacement des personnes (informations pour le paiement éventuel d’une prime de transport)
Identité(s) du(des) destinataire(s)
Les personnes habilitées au sein des Ressources humaines et paie des sociétés :
E.I. du Pont de Nemours and Company
CONVERGYS CUSTOMER MANAGEMENT GROUP INC (stockage et hébergement de données)
1007 Market Street
Wilmington 
Delaware, 19898
Etats-Unis
E.I. du Pont de Nemours and Company
CONVERGYS CUSTOMER MANAGEMENT GROUP INC (stockage et hébergement de données)
201 East 4th street
Cincinnati
Ohio
Etats-Unis 
Pays d’établissement du(des) destinataire(s)
Etats-Unis
Service auprès duquel s’exerce le droit d’accès des personnes concernées
DUPONT DE NEMOURS FRANCE SASEtablissement de Villers Saint PaulRue Frédéric Kuhlmann60871 RIEUX CEDEXFrance
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire du gouvernement adjoint;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société DUPONT DE NEMOURS FRANCE SAS, à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
DUPONT DE NEMOURS FRANCE SAS(Etablissement de Nambsheim)
Finalité du transfert
Gestion des ressources humaines par la société E.I. du Pont de Nemours and Company (la société mère)
Catégories de données transférées
Données d’identification (nom, prénom, sexe, date de naissance, nationalité)
Numéro de Sécurité Sociale
Situation familiale (statut marital, nombre d’enfants)
Formation (école, diplôme, langues, précédents employeurs)
Adresse (adresse domicile fixe, adresse caisse de sécurité sociale)
Vie professionnelle (date d’entrée, ancienneté, département, historique des emplois, supervision, catégorie de contribution, adresse e-mail) 
Moyens de déplacement des personnes (informations pour le paiement éventuel d’une prime de transport) 
Identité(s) du(des) destinataire(s)
Les personnes habilitées au sein des Ressources humaines et paie des sociétés :
E.I. du Pont de Nemours and Company
CONVERGYS CUSTOMER MANAGEMENT GROUP INC
1007 Market Street
Wilmington 
Delaware, 19898
Etats-Unis
E.I. du Pont de Nemours and Company
CONVERGYS CUSTOMER MANAGEMENT GROUP INC
201 East 4th street
Cincinnati
Ohio
Etats-Unis
Pays d’établissement du(des) destinataire(s)
Etats-Unis
Service auprès duquel s’exerce le droit d’accès des personnes concernées
DUPONT DE NEMOURS FRANCE SASEtablissement de Nambsheim24 rue du Moulin68740 NAMBSHEIMFrance
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Philippe NOGRIX, commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire du gouvernement adjoint ;
Autorise, dans les conditions définies dans le dossier et ses compléments, les établissements de crédit HSBC France, HSBC UBP et HSBC Picardie à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Sociétés responsables des transferts
HSBC France, HSBC UBP et HSBC Picardie
Finalités des transferts de données
1° Sous-traitance aux fins d’hébergement provisoire (10 jours maximum début 2009) des données relatives à la gestion des comptes clients2° Sous-traitance des opérations de saisie des ouvertures, modifications et clôture des comptes des clients.
Catégories de données transférées
Pour les clients : nom, prénom, numéro de pièce d’identité, date et lieu de naissance, situation familiale, signature, fonction, dénomination sociale, forme juridique, n° SIREN, n° RCS, numéro de client, numéro de compte, numéro de carte bancaire, adresses, numéros de téléphone, fax, note Bâle II, budget annuel, chiffre d’affaires, produits détenus, opérations récurrentes
Pour les non-clients : nom, prénom, numéro de pièce d’identité, date et lieu de naissance, situation familiale, fonction, signature, numéro de tiers / prospect, adresses, numéros de téléphone, fax
Pour les salariés : nom, prénom, signature, fonction, matricule, code agence
Destinataires des transferts
Les agents habilités des sous-traitant :1° The Hongkong and Shanghai Banking Corporation Limited 2° HSBC Electronic Data Processing (private) Limited India
Pays d’établissement des destinataires des transferts
1° Chine (région administrative spéciale de Hongkong)2° Inde
Service auprès duquel s’exerce le droit d’accès
L’agence de la banque qui aura recueilli les données personnelles.
Nature des garanties mises en œuvre par le sous-traitant pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Contrat avec chaque sous-traitant incluant les clauses contractuelles européennes issues de la décision 2002/16/CE de la Commission européennes du 27 décembre 2001 concernant les transferts de données personnelles vers des sous-traitants établis dans des pays tiers.
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Philippe NOGRIX, commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire du gouvernement adjoint ;
Autorise, dans les conditions définies dans le dossier et ses compléments, les établissements de crédit HSBC France, HSBC UBP, HSBC Hervet, HSBC de Baecque Beau et HSBC Picardie à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Sociétés responsables des transferts
HSBC France, HSBC UBP, HSBC Hervet, HSBC de Baecque Beau et HSBC Picardie
Finalité des transferts des données
Sous-traitance aux fins d’hébergement provisoire (24 heures) des données relatives à la gestion des virements dans l’espace unique de paiement en euros.
Catégories de données transférées
Pour les clients et tiers émetteurs ou mandataires ou bénéficiaires des virements : nom, prénom, adresse,  numéro de compte, BIC/IBAN, domiciliation bancaire, solde de compte, référence et montant de la devise de virement ou prélèvement, valeur
Pour les salariés : nom, prénom, fonction, matricule, numéro de téléphone, fax, adresse électronique, code agence
Destinataire des transferts
Les agents habilités du sous-traitant, The Hongkong and Shanghai Banking Corporation Limited.
Pays d’établissement du destinataire des transferts
Chine (région administrative spéciale de Hongkong)
Service auprès duquel s’exerce le droit d’accès
L’agence de la banque qui aura recueilli les données personnelles.
Nature des garanties mises en œuvre par le sous-traitant pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Contrat avec chaque sous-traitant incluant les clauses contractuelles européennes issues de la décision 2002/16/CE de la Commission européennes du 27 décembre 2001 concernant les transferts de données personnelles vers des sous-traitants établis dans des pays tiers.
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de  Mme Catherine POZZO DI BORGO, commissaire du gouvernement adjoint ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la société NEMOPTIC d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux locaux.
Formule les observations suivantes :
La société NEMOPTIC souhaite utiliser un dispositif reposant sur la reconnaissance des empreintes digitales pour contrôler les accès du personnel aux locaux. Ce procédé doit permettre de remplacer un système basé sur l’utilisation de badges.
La Commission considère que la constitution de bases de données d'empreintes digitales ne peut être admise que dans certaines circonstances particulières où l'exigence d'identification des personnes résulte d’un fort impératif de sécurité, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée. En effet, cet article dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
A cet égard, la Commission observe que le dispositif n’a pas pour objet de sécuriser une zone bien déterminée des locaux, représentant un enjeu majeur dépassant l’intérêt strict de l’organisme concerné, mais répond à un besoin général de contrôler l’accès à l’entreprise. De même, la société NEMOPTIC justifie uniquement le choix du système présenté par le fait qu’il présente « un plus grande facilité d’emploi que les badges, par une élimination du risque de perte du badge et une meilleure immunité aux intrus ».
La Commission relève que cet objectif pourrait être atteint, par exemple, par le recours à des dispositifs reposant sur la reconnaissance d’autres données biométriques telles que le contour de la main ou le réseau veineux du doigt de la main qui, en l’état actuel de la technique, ne sont pas susceptibles d’être capturées à l’insu des personnes et dès lors, ne comportent pas de risques particuliers pour les libertés et les droits fondamentaux des personnes.
En effet, la Commission rappelle que la constitution d’une base de données d’empreintes digitales comporte davantage de risques pour le droit des personnes et doit être réservée à des hypothèses particulières fondées sur un impératif fort de sécurité. Parce que l’empreinte digitale constitue une « trace » laissée en abondance par les personnes à leur insu, sa captation frauduleuse, désormais aisée en l’état des techniques, exige que son utilisation soit limitée et encadrée afin d’empêcher que l’exemplaire de l’empreinte récupéré ne puisse être utilisé pour :
procéder à l’identification d’une personne à son insu par rapprochement avec un fichier nominatif d’empreintes digitales ;
usurper l’identité d’une personne, par exemple pour frauder un dispositif reposant sur la reconnaissance de l’empreinte digitale.
Enfin, d’une manière générale, la Commission observe qu’une donnée biométrique constitue un élément d’identité irrévocable dont la diffusion non maîtrisée, ou accidentelle, peut avoir des conséquences irrémédiables pour les personnes. Ainsi, à la différence de tout autre identifiant (code, mot de passe, etc.) la donnée biométrique ne peut être changée une fois collectée, ce qui impose d’en limiter l’usage afin d’en garantir la sécurité et le contrôle par les personnes.
En conséquence, le traitement pris dans son ensemble n'apparaît ni adapté ni proportionné du point de vue de la protection des données personnelles. 
Dès lors, la Commission n’autorise pas, en l’état, la société NEMOPTIC  – 1, rue Guynemer – 78114 Magny-les-Hameaux - à mettre en œuvre un traitement de données à caractère personnel reposant sur l’utilisation d’un dispositif biométrique de reconnaissance des empreintes digitales et dont la finalité est le contrôle de l’accès aux locaux.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié le 25 mars 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire du gouvernement adjoint ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la société Alain Bensoussan Selas d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux ordinateurs portables.
Formule les observations suivantes :
Le dispositif choisi par la société Alain Bensoussan Selas a pour objectif de renforcer les conditions d’accès aux ordinateurs portables remis aux employés et qui contiennent des informations couvertes par le secret professionnel. De même ce dispositif doit permettre de sécuriser l’accès à distance au réseau informatique de la société.
Les ordinateurs portables des personnels comporteront un lecteur biométrique intégré. La vérification s’effectuera entre le doigt apposé par l’employé sur le lecteur et le gabarit de l’empreinte digitale préalablement enregistré dans l’ordinateur portable. La procédure d’enrôlement ainsi que la reconnaissance de l’empreinte digitale lors du contrôle d’accès à l’ordinateur portable s’effectueront localement. A aucun moment, le gabarit de l’empreinte digitale ne circulera sur un réseau. 
Les personnes concernées seront informées par une note remise en même temps que l’ordinateur portable. Le gabarit biométrique ne sera conservé que le temps pendant lequel l’ordinateur portable sera confié à l’employé.