AgentPublic/cnil huggingface dataset:
Les actions effectuées par la Direction juridique sont tracées afin de permettre de détecter et d’analyser tous les accès, modifications et suppressions de données non autorisés.Seules ces personnes ont accès au logiciel de suivi et de gestion du pré contentieux et du contentieux. Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application avec des profils d’habilitation et un contrôle d’accès logique qui se fait par mot de passe.Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant la durée de la prescription légale.La Commission considère que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.Ces autres caractéristiques du traitement n’appellent pas d’observation particulière de la Commission.
Autorise, conformément à la présente délibération, la Caisse d’épargne Languedoc-Roussillon à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1448637v3)
La Commission nationale de l'informatique et des libertés,
Saisie par la société Electricité de France (EDF) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre de la tarification spéciale de l’électricité comme produit de première nécessité (TPN) ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-5° ;
Vu la loi n° 2013-312 du 15 avril 2013 visant à préparer la transition vers un système énergétique sobre et portant diverses dispositions sur la tarification de l'eau et sur les éoliennes ;
Vu le décret n° 2004-325 du 8 avril 2004 modifié relatif à la tarification spéciale de l’électricité comme produit de première nécessité ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Eric PERES, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le responsable de traitement est la société Electricité de France (EDF), qui, conformément aux dispositions du décret du 8 avril 2004 modifié, doit appliquer la tarification spéciale de l’électricité comme produit de première nécessité (TPN) à ceux de ses clients qui y sont éligibles. 
Sur la finalité
Le traitement a pour finalité la mise en œuvre de la TPN dans les conditions définies par le décret du 8 avril 2004 modifié.
Pour mettre en œuvre ce traitement, de nombreux fournisseurs d’électricité (dont la société EDF) recourent à un prestataire unique.
Concrètement, le traitement est mis en œuvre de la façon suivante :
Les organismes d’assurance maladie et l’administration fiscale transmettent au prestataire d’EDF la liste des personnes éligibles à la TPN.
Les gestionnaires de réseaux de distribution d’électricité communiquent à ce prestataire les données permettant d’identifier le fournisseur de chaque personne éligible.
Le prestataire croise l’ensemble de ces données pour identifier le fournisseur de chaque personne éligible.
Le prestataire envoie à EDF la liste de ses clients qui sont éligibles à la TPN pour que la société enrichisse ce fichier des références du contrat d’électricité desdits clients et renvoie le fichier enrichi au prestataire.
Le prestataire envoie à chaque client éligible à la TPN un courrier et une attestation pré-remplie avec les références de son contrat de fourniture d’électricité l’informant qu’il va bénéficier de la TPN, sauf refus exprès de sa part dans un délai de 15 jours. 
Les personnes éligibles dont le fournisseur d’électricité n’a pu être identifié reçoivent une attestation qu’elles doivent remplir et renvoyer si elles souhaitent bénéficier de la TPN. 
Une phase transitoire est prévue pour permettre au prestataire de rendre pleinement opérationnel le croisement entre les données des organismes sociaux, de l’administration fiscale et des gestionnaires de réseaux. En effet, une phase de paramétrage est nécessaire pour obtenir un taux de rapprochement satisfaisant.
Par conséquent, pendant cette phase transitoire, EDF met en œuvre le traitement autorisé par la Commission par la délibération n° 2013-375 du 5 décembre 2013 en parallèle du traitement ci-dessus décrit. En revanche, à l’issue de cette phase transitoire, seul le présent traitement pourra continuer à être mis en œuvre par EDF. 
La Commission considère que la finalité poursuivie est déterminée, explicite et légitime.
Elle estime qu’il y a lieu de faire application des dispositions de l’article 25-I-5° de la loi du 6 janvier 1978 modifiée, qui soumet à autorisation les traitements automatisés ayant pour objet l’interconnexion de fichiers ayant des finalités principales différentes.
Sur les données traitées
Conformément aux dispositions du décret du 8 avril 2004 modifié, les données suivantes sont collectées par EDF dans le cadre des finalités décrites ci-dessus : 
Données transmises par les organismes d’assurance maladie et l’administration fiscale : civilité, prénom, nom, date de naissance, adresse des personnes éligibles à la TPN et nombre de personnes composant le foyer ;
Données transmises par les gestionnaires de réseaux de distribution pour chaque point livraison (PdL) : civilité, prénom et nom des titulaires du contrat, numéro et adresse du PdL, nom du fournisseur et code postal, nom et code INSEE de la commune ;
Données transmises par les personnes éligibles à la TPN qui ont rempli et renvoyé l’attestation : nom, prénom, fournisseur d’électricité, références du contrat de fourniture d’électricité, point de livraison, puissance, numéro de téléphone (facultatif).
La Commission prend acte que sont également collectées les données relatives au refus des personnes éligibles à bénéficier de la TPN.
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente au sens du 3° de l'article 6 de la loi du 6 janvier 1978 modifiée. 
Sur les destinataires
Dans la limite de leurs attributions respectives et pour l'exercice des finalités précitées, les personnels dûment habilités de la Direction Commerce d’EDF (une dizaine de personnes) et du prestataire sont destinataires des données.La Commission rappelle que, conformément à l’article 35 de la loi du 6 janvier 1978 modifiée, le prestataire doit présenter des garanties suffisantes pour assurer la mise en œuvre des mesures de sécurité et de confidentialité des données.Ces destinataires n'appellent pas d'observation de la part de la Commission. 
Sur l’information et le droit d’accès
Conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée, EDF procède, dans ses conditions générales de vente, à l'information des personnes quant à l'identité du responsable de traitement, la finalité poursuivie par le traitement, les destinataires des données et les droits des personnes. En outre, les personnes sont informées de ces mêmes éléments, conformément au décret du 8 avril 2004 modifié, par une mention d’information sur les courriers et attestations qui leur sont adressés. Enfin, les droits d’accès, de rectification et d’opposition s’exercent par voie postale auprès de TARIFS SOCIAUX ENERGIES – 22309 LANNION CEDEX, par téléphone via le numéro vert dédié au TPN ou auprès du centre de relation clientèle d’EDF dont dépend le client et pour lequel les coordonnées figurent sur la facture.La Commission considère que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
Les données des gestionnaires de réseaux de distribution d’électricité sont transmises soit :
Par portail Web sécurisé par l’intermédiaire du protocole SSLV3, avec authentification par identifiant et mot de passe. Le mot de passe est constitué de dix caractères avec au moins une majuscule, une minuscule, un chiffre, un caractère spécial.
Par DVD chiffré et envoi séparé de la clé. Les DVD peuvent être réceptionnés et déchiffrés sur deux sites du prestataire : celui de Saint Denis et celui de Chassieu. Le site de Chassieu transfère alors les données au site de Saint Denis par ligne VPN chiffrée.
Concernant la transmission des données par DVD et plus particulièrement le chiffrement, la Commission recommande de se conformer au Référentiel Général de Sécurité Annexe B1 de l’ANSSI décrivant les règles et recommandations en matière de mécanismes cryptographiques.
La transmission des clés par courrier implique un renouvellement à chaque envoi des clés de chiffrement. La Commission recommande également de se conformer au Référentiel Général de Sécurité Annexe B2 de l’ANSSI décrivant les règles et recommandations concernant la gestion des clés de chiffrement.
Les DVD doivent être détruits dès que la procédure de déchiffrement et la copie des données dans le système d’information du prestataire sont terminées.
Les données sont ensuite transmises à EDF par le prestataire par l’intermédiaire d’une ligne spécialisée.
Le prestataire met en œuvre des sauvegardes régulières.
Les processus de développement sont réalisés sur des environnements distincts des environnements de production et sur des données fictives.
L’application met en œuvre des mesures de traçabilité des accès lors des actions de consultation, création, mise à jour et  suppression.
Sous réserve de ces observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Elle rappelle également que la transmission des données par les organismes d’assurance maladie et l’administration fiscale est encadrée par la délibération n° 2013-375 du 5 décembre 2013.
Sur les autres caractéristiques du traitement
Conformément aux dispositions du décret du 8 avril 2004 modifié, les données ne peuvent être conservées au-delà des durées suivantes : 
19 mois à compter de la date d’attribution de la TPN pour les données transmises par les organismes d’assurance maladie et l’administration fiscale ;
9 semaines à compter de la date d’attribution de la TPN pour les données transmises par les gestionnaires de réseaux de distribution ;
19 mois à compter de la date d’attribution de la TPN pour les données relatives aux attestations remplies et renvoyées par les personnes éligibles.
La Commission prend acte que l’ensemble des données du traitement (à l’exception des données issues des gestionnaires de réseaux de distribution) sont supprimées au bout de 13 mois dans le cas où la TPN n'est pas attribuée (pour cause de non identification ou d’opposition de la personne).
La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, la société Electricité de France (EDF) à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1711278)
La Commission nationale de l'informatique et des libertés,
Saisie par la société DFDS SEAWAYS SAS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’une liste de personnes faisant l’objet d’une interdiction d’embarquer dans les ferries de la compagnie ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Eric PERES, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le responsable de traitement est la société DFDS SEAWAYS SAS, qui offre un service de ferries reliant la France et l’Angleterre. 
Sur la finalité
La finalité du présent traitement est la mise en place d’une liste de personnes ne pouvant pas acheter de billets et ne pouvant donc pas embarquer à bord des ferries de la société.Les personnes peuvent être inscrites dans cette liste d’exclusion lorsqu’elles présentent un risque de sécurité pour elles-mêmes, les autres passagers, l’équipage, le navire ou les autres biens de la société, ou lorsqu’elles ne se sont pas conformées aux instructions ou règles de sécurité. Ainsi, l’inscription dans la liste d’exclusion peut notamment intervenir dans les cas suivants : vol, déclenchement d’un feu ou du système de détection incendie, agression physique, acte de vandalisme, tentative de suicide.La Commission estime que la finalité poursuivie est déterminée, explicite et légitime. Par ailleurs, elle considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire. 
Sur les données traitées
Les données enregistrées dans la liste d’exclusion sont relatives :
à l’identification de la personne concernée : nom, prénom, adresse, date et lieu de naissance, numéro de passeport ;
à l’exclusion : route/date du voyage à l’occasion duquel le manquement a eu lieu, date du début de l’exclusion ;
à l’identification de la personne qui a enregistré les données dans la liste d’exclusion.
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie. 
Sur les destinataires
Les données enregistrées dans la liste d’exclusion sont accessibles par les personnels dûment habilités :
de la société DFDS SEAWAYS SAS ;
de la maison-mère du groupe DFDS, située au Danemark. 
La Commission prend acte de ce que le motif d’exclusion n’est pas enregistré dans la liste d’exclusion et que le personnel opérationnel n’y a donc pas accès.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées de l’identité du responsable de traitement, de la finalité du traitement, des destinataires des données et de leurs droits par une mention dans les conditions générales de vente de la société.Les personnes sont également informées, dans ces mêmes conditions générales de vente, quant à la possibilité qu’elles soient inscrites sur la liste d’exclusion. En outre, en cas d’inscription sur la liste noire, les personnes concernées en sont informées par courrier postal ou électronique au moment de l’inscription.Les droits d’accès et de rectification s’exercent auprès de la société DFDS A/S, Sundkogsgade, 11 DK-2100 COPENHAGUE - DANEMARK.  La Commission prend acte que les personnes concernées peuvent exercer leurs droits en français.Elle estime que ces modalités d’information et d’exercice des droits sont satisfaisantes. 
Sur les mesures de sécurité
Les données du traitement sont accessibles depuis le réseau interne de l’entreprise. Des habilitations en restreignent l’accès.L’authentification des utilisateurs est réalisée au moyen d’un couple identifiant/mot de passe, dont la mise en œuvre respecte les exigences de la Commission. Une traçabilité des accès est conservée jusqu’à deux ans dans les sauvegardes.Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données enregistrées dans la liste d’exclusion sont conservées pendant trois ans à partir de la date d’enregistrement des données dans la liste, puis elles sont supprimées.La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement. 
Autorise, conformément à la présente délibération, la société DFDS SEAWAYS SAS à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1667826)
La Commission nationale de l'informatique et des libertés,
Saisie par le Conseil Général de la Charente-Maritime d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la constatation et le suivi des infractions au péage ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’environnement, notamment son article L. 321-11 ; 
Vu le code de la route, notamment son article R. 421-9 ;
Vu le code de la sécurité intérieure, notamment son article L. 252-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9-1° et 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Eric PERES, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
Le responsable de traitement est le Conseil Général de la Charente-Maritime, qui est en charge de la gestion du pont de l’Ile-de-Ré et dont les agents sont habilités à constater des infractions au péage.
Sur la finalité
La finalité du traitement est la lutte contre la fraude au péage du pont de l’Ile-de-Ré. Le dispositif mis en place permet, grâce à des caméras, de constater les infractions prévues à l’article R. 421-9 du code de la route qui prévoit que : « Le fait, pour tout conducteur, de refuser d'acquitter le montant du péage ou de se soustraire d'une manière quelconque à ce paiement est puni de l'amende prévue pour les contraventions de la deuxième classe ». En cas de fraude constatée, un agent assermenté dresse un procès-verbal, qui est transmis à l’Officier du Ministère Public. La Commission considère que les finalités poursuivies sont déterminées, explicites et légitimes. Le traitement présenté s’inscrit dans le cadre des dispositions de l’article 9-1° de la loi du 6 janvier 1978 modifiée qui autorisent les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales, à mettre en œuvre des traitements relatifs à des infractions.La Commission considère également qu’il y a lieu de faire application des dispositions de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements portant sur des données relatives aux infractions, condamnations et mesures de sûreté. 
Sur les données traitées
Les données suivantes sont collectées :
les données relatives au conducteur ayant commis une infraction : nom, prénom, adresse, date et lieu de naissance, numéro de plaque d’immatriculation ;
les données relatives à l’infraction : les enregistrements vidéo et les images horodatées issues de ces enregistrements.
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie. 
Sur les destinataires
Les destinataires des données sont les agents assermentés du Conseil Général de la Charente-Maritime, ainsi que l’officier du Ministère Public. Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès 
Conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées, par la remise d’un récépissé et par voie d’affichage, de l’identité du responsable de traitement, de la finalité du traitement, des destinataires des données et de leurs droits.Les droits d’accès et de rectification s’exercent auprès du Département de la Charente-Maritime, Service des ponts, 85, Boulevard de la République CS60003, 17076 La Rochelle.  La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes. 
Sur les mesures de sécurité
Le traitement est hébergé au sein de l’organisme et est confiné dans un réseau dédié. Des profils d’habilitations définissent les fonctions ou les types d’informations accessibles à un utilisateur. Le traitement met en œuvre une journalisation des accès à l’application et aux données. Cette journalisation concerne les accès, la création, la mise à jour et la suppression.Les fichiers vidéo peuvent uniquement être ouverts avec un utilitaire de consultation propriétaire.La Commission prend acte de ce que, à sa demande, le Conseil Général de la Charente-Maritime s’est engagé à respecter ses recommandations en matière de mots de passe. Pour rappel, la Commission recommande que les mots de passe soient composés de huit caractères incluant au moins trois des quatre complexités suivantes (majuscules, minuscules, caractères spéciaux, chiffres). Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. 
Sur les autres caractéristiques du traitement
Les enregistrements des vidéos ne peuvent être conservés au-delà d’une durée de trente jours, conformément aux dispositions de l’article L. 252-5 du code de la sécurité intérieure.Les autres données (dont les photographies issues des enregistrements vidéos) sont conservées pendant le temps nécessaire à l’instruction du dossier, dans la limite de la durée de la prescription légale en matière de contravention, soit un an.Seules les photographies strictement nécessaires à la constitution de la preuve de l’infraction peuvent être ainsi extraites des enregistrements vidéo et conservées. La Commission estime que ces durées de conservation sont proportionnées au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, le Conseil Général de la Charente-Maritime à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN