AgentPublic/cnil huggingface dataset:
Conformément à l’article 1er de la loi du 6 janvier 1978 modifiée, la Commission rappelle que la mise en place d’un tel dispositif ne doit « porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques ». En outre, il convient d’examiner ledit traitement au regard des principes relatifs à la protection des données à caractère personnel, et notamment, de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
En l’espèce, la Commission constate qu’aucune circonstance exceptionnelle n’est démontrée et que le dispositif biométrique de contrôle et du suivi du temps de travail des salariés ne résulte pas de la mise en œuvre de mesures de sécurité telles qu’identifiées par une analyse de risques. 
Au regard de l’ensemble de ces éléments, la Commission observe que le traitement envisagé ne relève pas d’une finalité de sécurité justifiant un recours impératif à la biométrie. 
En outre, concernant la demande qui lui a été soumise, la Commission relève particulièrement l’impossibilité pour les personnes concernées de recourir à un dispositif alternatif au dispositif biométrique.
En conséquence, elle considère que le recours exclusif à un dispositif biométrique de reconnaissance de l’empreinte digitale n’apparait ni adapté ni proportionné à la finalité poursuivie au sens de l’article 6-3° précité. 
Dans ces conditions, la Commission n’autorise pas la BANQUE INTESA SANPAOLO à mettre en œuvre un traitement de données à caractère personnel reposant sur un dispositif biométrique de reconnaissance de l’empreinte digitale et ayant pour finalité le contrôle et le suivi du temps de travail.
La Présidente
I. FALQUE-PIERROTIN
(demande d’autorisation n° 1813356)
La Commission nationale de l'informatique et des libertés,
Saisie par la société IQ CONCEPT SAS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel reposant sur un dispositif biométrique de reconnaissance du contour de la main et ayant pour finalité le contrôle des horaires ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Afin de contrôler les horaires de ses salariés, la société IQ CONCEPT SAS, spécialisée dans le secteur des activités des parcs d'attractions et parcs à thèmes, a saisi la Commission nationale de l’informatique et des libertés (CNIL) d’un traitement de données comportant un dispositif biométrique de reconnaissance du contour de la main.
A titre liminaire, il convient de rappeler qu’à l’issue d’une concertation avec les principales organisations syndicales et patronales, la Commission a modifié le champ d’application de l’autorisation unique n°7 (AU-007) portant sur la mise en œuvre de traitements reposant sur la reconnaissance du contour de la main.
Par délibération du 20 septembre 2012 (n°2012-322), la finalité de contrôle des horaires a été exclue du champ de cette autorisation unique. L’AU-007 en vigueur vise uniquement les finalités de « contrôle d’accès à l’entrée et dans les locaux limitativement identifiés de l’organisme faisant l’objet d’une restriction de circulation ; le contrôle de l’accès au restaurant d’entreprise [… et] le contrôle d’accès des visiteurs » (article 1er). 
Le recours à un dispositif biométrique pour le contrôle des horaires exige que le responsable de traitement effectue auprès de la CNIL une demande d’autorisation spécifique sur le fondement de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée.
Une telle demande d’autorisation doit s’inscrire dans le cadre de circonstances exceptionnelles fondées sur un impératif spécifique de sécurité, comme rappelé par la Commission lors de la modification de l’AU-007, qui seraient susceptibles de justifier, notamment, la proportionnalité du recours à un dispositif biométrique ayant pour finalité le contrôle des horaires des salariés.
Le traitement automatisé de données à caractère personnel que la société IQ CONCEPT SAS souhaite mettre en œuvre repose sur un dispositif biométrique de reconnaissance du contour de la main ayant pour finalité le contrôle des horaires. Elle justifie sa démarche de recourir à ce dispositif biométrique par le caractère sécurisant pour l’entreprise et les collaborateurs et pour éviter le risques d’erreurs.
Selon la société, le dispositif biométrique présente l’avantage d’être plus simple à mettre en oeuvre que les autres dispositifs.
Conformément à l’article 1er de la loi du 6 janvier 1978 modifiée, la Commission rappelle que la mise en place d’un tel dispositif ne doit « porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques ». En outre, il convient d’examiner ledit traitement au regard des principes relatifs à la protection des données à caractère personnel, et notamment de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
En l’espèce, la Commission constate qu’aucune circonstance exceptionnelle n’est démontrée et que le dispositif biométrique de contrôle des horaires des salariés ne résulte pas de la mise en œuvre de mesures de sécurité telles qu’identifiées par une analyse de risques. 
Au regard de l’ensemble de ces éléments, la Commission observe que le traitement envisagé ne relève pas d’une finalité de sécurité justifiant un recours impératif à la biométrie.  
En outre, concernant la demande qui lui a été soumise, la Commission relève particulièrement l’impossibilité pour les personnes concernées de recourir à un dispositif alternatif au dispositif biométrique.
En conséquence, elle considère que le recours exclusif à un dispositif biométrique de reconnaissance du contour de la main n’apparait ni adapté ni proportionné à la finalité poursuivie au sens de l’article 6-3° précité. 
Dans ces conditions, la Commission n’autorise pas la société IQ CONCEPT SAS à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité reposant sur un dispositif biométrique de reconnaissance du contour de la main et ayant pour finalité le contrôle des horaires.
La Présidente
I. FALQUE-PIERROTIN
(demande d’avis n° 1802540)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Assistance publique-hôpitaux de Paris (AP-HP) d’une demande d’avis concernant un projet d’arrêté du directeur général de l’Assistance publique-hôpitaux de Paris (AP-HP) portant création d’un téléservice et d’un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des demandes de paiements en ligne par carte bancaire ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment son article L. 6143-7 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 27-II-4°, 28 et 29 ;
Vu l’ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 22 décembre 2009 portant création d’un traitement automatisé de données à caractère personnel dénommé « TIPI » (titres payables par internet) ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Catherine POZZO di BORGO, commissaire adjoint du Gouvernement,
Émet l’avis suivant :
La Commission a été saisie, le 15 octobre 2014, par l’Assistance Publique-Hôpitaux de Paris d’une demande d’avis concernant un projet d’arrêté du directeur de l’Assistance publique-hôpitaux de Paris (AP-HP) portant création d’un téléservice et d’un traitement automatisé de données relatifs à la gestion des demandes de paiement en ligne par carte bancaire.
Les dispositions de l’ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives s’appliquent à ce téléservice de l’administration électronique.
En outre, ce traitement mis en œuvre par une personne morale de droit public aux fins de mettre à la disposition des usagers de l’administration un téléservice de l’administration électronique, dans la mesure où il porte sur des données parmi lesquelles figure un identifiant des personnes physiques autre que le numéro d’inscription des personnes au répertoire national d’identification (NIR), relève à ce titre des dispositions de l’article 27-II-4° de la loi du 6 janvier 1978 modifiée (ci-après loi « Informatique et Libertés »). Il doit, dès lors, en présence d’un traitement opéré pour le compte d’un établissement public, être autorisé par décision de l’organe délibérant chargé de leur organisation, pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés.
Sur la dénomination et les finalités du traitement :
L’article 1er du projet d’arrêté directorial (ci-après « le projet ») prévoit la création par l’AP-HP d’un traitement ayant pour finalité la gestion des demandes de paiement en ligne par carte bancaire. A cette fin, une interconnexion du présent traitement avec, d‘une part, le fichier de gestion des clients, des patients et usagers issus du système de gestion économique et financière de l’AP-HP dénommé « EIFEL » (Economie, Investissement, Finance et Logistique) et, d’autre part, le service d’encaissement des titres payables sur internet (TIPI) de la Direction générale des finances publiques (DGFIP) sera opérée.
La Commission considère que la finalité poursuivie par le traitement est déterminée, explicite et légitime. Elle demande, en application de l’article 29-1° de la loi Informatique et Libertés, que la dénomination du traitement soit précisée.
Sur les catégories de données à caractère personnel enregistrées :
L’article 2 du projet prévoit le traitement des données ou catégories de données à caractère personnel suivantes :
les données d’identification des clients, patients et usagers recourant au téléservice de paiement en ligne (nom, prénom, civilité, adresse électronique) et leur référence client (« numéro d’identification permanent » du patient, « identifiant permanent patient » ou identifiant de compte client) ;
les informations d’ordre économique et financier relatives à leurs dettes vis-à-vis de l’AP-HP (dates de début et fin des soins ou de la prestation et montants associés, nom de l’établissement de santé, bénéficiaire des soins ou de la prestation, date de l’avis ou du relevé des sommes à payer, numéro de client AP-HP pour TIPI, exercice, référence de la dette pour TIPI et son montant, résultat de la transaction, numéro d’autorisation délivré par le serveur d’autorisation du service TIPI, date et heure de transaction de paiement par carte bancaire, identifiant de l’opération de paiement) ;
les traces d’accès au téléservice.
S’agissant des données d’identification des patients, la Commission prend acte de ce que le Numéro d’identification permanent (NIP) et l’Identifiant permanent patient (IPP) sont distincts de leur numéro d’inscription des personnes au Répertoire national d’identification des personnes physiques (NIR) et ne sont pas générés à partir de ce numéro.
S’agissant de l’adresse électronique des personnes, l’AP-HP a précisé que sa collecte est imposée par le service TIPI, afin de permettre l’envoi aux personnes concernées de leur justificatif de paiement par carte bancaire, lorsque ces dernières ont formellement accepté cette modalité d’envoi et les risques inhérents à la transmission de données par courriel non chiffré qui y sont associés. 
La Commission estime que les données traitées apparaissent adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi « Informatique et Libertés ».
Sur les destinataires ou catégories de destinataires habilités à recevoir communication des données :
L’article 3 du projet prévoit les destinataires des données suivants :
les gestionnaires du fichier EIFEL précité de l’AP-HP ;
les personnes chargées de la mise en œuvre du système d’information de l’AP-HP ayant pour finalité la gestion des traces ;
les personnels de la DGFIP en charge du téléservice des titres payables sur internet (TIPI).
Ces destinataires n’appellent pas d’observations particulières de la Commission.
Sur la durée de conservation des données :
L’article 4 du projet prévoit que les données enregistrées dans le traitement seront conservées jusqu’à la clôture de la transaction de paiement.
L’AP-HP a précisé qu’une transaction est considérée comme close dès lors qu’un paiement est validé, qu’il est refusé ou qu’il est en attente d’un retour du service TIPI depuis plus de 48 heures.
Elle a précisé qu’afin de permettre la résolution des incidents de déconnexion entre le téléservice de paiement en ligne, le fichier EIFEL et le service TIPI, les données techniques suivantes sont conservées pendant un délai maximal de 48 heures par le traitement sous-jacent au téléservice : l’identifiant de l’opération de paiement transmis par le service TIPI, la référence de la dette dans le service TIPI et le résultat de la transaction (« payé », « abandon », « refus »).
Par ailleurs, les données de connexion seront conservées pendant un an.
La Commission en prend acte.
Sur l'information des personnes concernées :
La Commission relève que le projet ne comporte aucune disposition particulière concernant l’information des personnes.
L’AP-HP a précisé que les personnes concernées seraient informées par voie d’affichage sur son site internet. L’internaute souhaitant procéder à un paiement en ligne devra, au préalable, accepter les conditions générales d’utilisation du téléservice.
La Commission en prend acte.
Sur les droits d’accès et de rectification des personnes concernées :
L’article 6 du projet prévoit que le droit d’accès et de rectification s’exerce auprès de la direction économique financière, de l’investissement et du patrimoine de l’AP-HP.
La Commission en prend acte.
Elle prend également acte de ce que l’article 6 précité a été complété d’une mention expresse rappelant que les personnes concernées ont le droit de s’opposer, pour des motifs légitimes, à ce que des données à caractère personnel les concernant fassent l’objet d’un traitement, conformément aux dispositions de l’article 39 de la loi Informatique et Libertés.
Sur la sécurité des données et la traçabilité des actions :
La Commission relève que l’intégralité des transferts sont sécurisés par le recours au protocole SSL.
Les traces des accès par les usagers au téléservice, ainsi que par le personnel habilité de l’AP-HP au système d’information sont enregistrées et horodatées. Ces traces sont notamment utilisées pour la mise en œuvre d’un système de détection des attaques par force brute.
Les données propres au téléservice sont conservées une semaine, puis sont automatiquement supprimées.
La Commission relève que pour accéder au téléservice de paiement en ligne, il est nécessaire d’indiquer les références d’une facture ou d’un avis de sommes à payer ainsi que l’identifiant de patient ou l’identifiant du compte client présents sur l’avis des sommes à payer. Sur la base de ces informations, le système d’information de l’AP-HP identifie le compte client et affiche l’ensemble des dettes non soldées de ce client.
Bien que l’AP-HP ait mis en œuvre un système permettant de limiter les risques d’usurpation d’identité en réduisant le nombre de tentatives d’accès à une facture à deux toutes les secondes, la Commission relève que le téléservice de paiement en ligne ne prévoit pas de procédure d’authentification des usagers. Dans ces conditions, afin de garantir la confidentialité des factures notamment en cas de perte d’une d’entre elles par la personne concernée, la Commission estime que le téléservice devrait limiter l’accès de la personne concernée à une facture individuelle pour laquelle elle dispose d’une référence et ne devrait pas permettre de visualiser l’ensemble des factures liées entre elles par un compte client.
La Commission rappelle qu’il appartient à l’AP-HP d'attester de la conformité du traitement susmentionné au décret n° 2010-112 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives, et de le mentionner sur son site.
Les autres modifications apportées par le projet n’appellent pas, en l’état et au regard de la loi Informatique et Libertés, d’autres observations.
La Présidente
I. FALQUE-PIERROTIN
(demande d’autorisation n° 1488253)
La Commission nationale de l'informatique et des libertés,
Saisie par le laboratoire TOXGEN d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des données administratives et techniques relatives à l’établissement d’empreintes génétiques dans le cadre des expertises judiciaires ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code civil, notamment ses articles 16-12 et 2224 ;
Vu le code de procédure pénale, notamment ses articles 60, 77-1, 156 et suivants et 706-56 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-2° et 25-I-3° ;
Vu la loi n° 2004-130 du 11 février 2004 réformant le statut de certaines professions judiciaires ou juridiques, des experts judiciaires, des conseillers en propriété industrielle et des experts en vente aux enchères publiques ;
Vu le décret n° 97-109 du 6 février 1997 modifié relatif aux conditions d'agrément des personnes habilitées à procéder à des identifications par empreintes génétiques dans le cadre d'une procédure judiciaire ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2007-960 du 15 mai 2007 relatif à la confidentialité des informations médicales conservées sur support informatique ou transmises par voie électronique et modifiant le code de la santé publique (dispositions réglementaires) ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et Mme Catherine POZZO di BORGO, commissaire adjoint du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission a été saisie par le laboratoire TOXGEN d’une demande d’autorisation portant création d’un traitement de données à caractère personnel ayant pour finalité la gestion des données administratives et techniques relatives à l’établissement d’empreintes génétiques dans le cadre des expertises judiciaires.
La finalité du traitement consiste exclusivement à l’enregistrement et à la traçabilité des renseignements administratifs et des actes techniques réalisés sur réquisition (ou ordonnance de mission), formulée par l’officier de police judiciaire, le procureur de la République ou le juge d’instruction, dans les conditions prévues par les articles 60, 77-1, 156 et suivants ainsi que l’article 706-56 du code de procédure pénale (CPP). 
L’article 706-56 du CPP autorise l’intervention d’experts pour réaliser l’analyse d’identification par empreintes génétiques des personnes visées à l’article 706-54 dudit code, conformément aux articles 60, 77-1 et 156 et suivants de ce même code : « s’il y a lieu de procéder à des constatations ou à des examens techniques ou scientifiques, le procureur de la République ou, sur autorisation de celui-ci, l’officier de police judiciaire, a recours à toutes personnes qualifiées ». En application de ces dispositions, les identifications par empreintes génétiques peuvent être réalisées par toute personne habilitée dans les conditions fixées par l’article 16-12 du code civil.
Le traitement projeté repose sur la collecte des informations transmises par le dossier judiciaire, comprenant les scellés, qui contiennent les supports de prélèvements ou les pièces à conviction sur lesquels les analyses seront effectuées et des données relatives à des infractions, ainsi que les résultats des analyses génétiques réalisées. Dès lors, il relève des dispositions du 2° et du 3° de l’article 25-I de la loi du 6 janvier 1978 modifiée et doit donc faire l’objet d’une autorisation de la Commission.
Sur le responsable de traitement :
La mise en œuvre du traitement projeté par le laboratoire TOXGEN relève de la mission d’expertise ordonnée par requête par l’officier de police judiciaire, le procureur de la République ou par ordonnance de mission du juge d’instruction. 
Seules les personnes ayant fait l’objet d’un agrément, conformément au décret n° 97-109 susvisé, procèdent à des identifications par empreintes génétiques. Le directeur du laboratoire, inscrit sur la liste des experts judiciaires de la cour d’appel de Bordeaux, a obtenu une décision favorable en date du 8 septembre 2011 par la Commission chargée d’agréer les personnes habilitées à effectuer des missions d’identification par empreintes génétiques dans le cadre d’une procédure judiciaire. Il est ainsi habilité à effectuer des identifications de personnes à partir des empreintes génétiques, conformément à l’article 16-12 du code civil, au sein du laboratoire TOXGEN.