AgentPublic/cnil huggingface dataset:
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la déclaration n° 1394227 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de  Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments,  SPECIALTY MINERALS France à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
SPECIALTY MINERALS France
Finalité du transfert
Gestion du personnel : Centralisation intra-groupe de la base de données
Catégories de données transférées
Données d’identification,
Formation, diplômes, distinctions,
Adresse,
Vie professionnelle,
Situation économique et financière
I Catégories de personnes concernées par le transfert
Les candidats à l’emploi,Les employés (quelle que soit la nature de leur emploi),Le personnel temporaire et indépendants,Les anciens employés et retraités de SPECIALTY MINERALS France
Identité(s) du(des) destinataire(s)
Les personnes habilitées au sein de :- MINERALS TECHNOLOGIES Inc. (USA),- MINTEQ INTERNATIONAL Inc. (USA),- SPECIALTY MINERALS Inc. (USA)
Pays d’établissement du(des) destinataire(s)
U.S.A.
Service auprès duquel s’exerce le droit d’accès des personnes concernées
SPECIALTY MINERALS France
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision de la Commission européenne n° 95/46/EC du 15 juin 2001 concernant les transferts de responsable de traitement à responsable de traitement
Observations particulières
Les données d’identification, les données relatives à la formation, l’adresse et les données relatives à la vie professionnelle du personnel ne sont pas conservées au-delà de 3 mois après la fin de l’emploi de la personne concernée
Les données relatives à la paie ne sont pas conservées au-delà de 5 ans après le départ du salarié,
Les données relatives aux candidatures ne sont pas conservées au-delà de 2 ans après le dernier contact avec le candidat.
Le Président,
       Alex TURK
(Demande d’autorisation n°1383049)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la demande d’autorisation déposée par Banque Accord relative à un traitement de données à caractère personnel prévoyant l’expérimentation de cartes de paiement sans contact reposant sur la reconnaissance du réseau veineux des doigts de la main ;
Sur le rapport de M. Jean-Paul AMOUDRY, commissaire, et les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement.
Formule les observations suivantes :
1. Présentation de la demande d’expérimentation soumise à la CNIL
Banque Accord a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation relative aux traitements automatisés nécessaires à l’expérimentation d’un moyen de paiement sans contact, dénommé support P1G (paiement d’un geste) et reposant sur l’utilisation d’un moyen d'authentification biométrique.
Les traitements automatisés de données à caractère personnel mis en œuvre à cette occasion visent à réduire le temps nécessaire à la réalisation d’un paiement et à répondre au mieux aux exigences de sécurité en vigueur, au regard de l’état de la technique, en proposant une authentification formelle du porteur pour chacune de ses transactions et une sécurisation de tous les échanges de données afférents.
L’expérimentation projetée vise à associer les dispositifs techniques suivants :
- La communication sans contact à moyenne distance, par onde radio ;
- Une authentification forte du payeur basée sur un élément biométrique sans trace, le réseau veineux des doigts ;
- Le stockage sur un support - une carte bancaire classique permettant également de s’authentifier par la saisie d’un code secret - du gabarit biométrique qui ne pourra être actionné par son titulaire qu’à proximité d’un terminal de paiement électronique (TPE) ;
- Les dernières normes de sécurité du domaine bancaire EMV/PCI avec authentification dynamique, qui garantissent notamment le chiffrement à un haut niveau de sécurité des échanges de données entre le moyen de paiement sans contact et les terminaux biométriques. 
Pour s’authentifier puis initier le paiement, le porteur de la carte bancaire doit l’avoir sur lui et exécuter un geste volontaire : poser un doigt sur le lecteur biométrique du TPE. Il n’est en revanche pas nécessaire que la personne manie son moyen de paiement.
Le réseau veineux du doigt est lu par le TPE. Un gabarit biométrique en est extrait. Le lecteur du TPE recherche alors, dans un premier temps, si des cartes munies du dispositif P1G sont situées à proximité immédiate (1 m/1,5 m autour du lecteur). Dans un deuxième temps, le TPE s’assure, pour chacun des dispositifs P1G ainsi détectés, de l’intégrité de la puce qu’ils comportent avant tout échange de données à caractère personnel. Ce n’est que dans un troisième temps qu’un canal de communication sécurisé est ouvert par le TPE avec chacun des supports P1G authentifiés, afin de leur transmettre sous forme chiffrée le gabarit biométrique recueilli, en lieu et place du code secret habituel. Parallèlement, les communications sont interrompues avec les dispositifs non authentifiés.
Chaque carte munie du dispositif P1G est ainsi mise en mesure de vérifier si le gabarit reçu est conforme ou non à celui qu’elle conserve dans son coffre fort. En cas de comparaison positive, un certificat est émis et envoyé au TPE via le canal de communication sécurisé. La transaction de paiement peut alors être engagée selon les procédures et normes de sécurité bancaires habituelles. Le paiement est validé.
Calendrier et durée de l’expérimentation
L’expérimentation envisagée concerne l’utilisation en 2011-2012, pendant une durée de six mois, des moyens de paiement P1G chez quelques commerçants participant à cette phase pilote.
2. Analyse au regard de la loi du 6 janvier 1978 
Sur la procédure applicable
La Commission observe que le projet de traitement automatisé prévoit le recours à des données biométriques pour le « contrôle de l’identité des personnes ». Il relève, à ce titre, du 8° du I de l'article 25 de la loi du 6 janvier 1978 modifiée et doit donc être autorisé par la CNIL.
Sur le principe de l’expérimentation d’une nouvelle solution de paiement sécurisé fondée sur un procédé d’authentification biométrique sans trace
La Commission souligne que c’est la première fois qu’elle est appelée à se prononcer sur le recours à une technologie biométrique dans le cadre d’une application potentiellement de masse.
Le dispositif biométrique a, en effet, vocation à être utilisé dans le cadre de ce traitement :
- non pas par une population restreinte, à l’intérieur de locaux placés sous la responsabilité du seul responsable du traitement, mais par le grand public, dans de multiples lieux, pour partie placés sous la responsabilité de tiers ;
- pour la réalisation d’opérations très courantes : effectuer des paiements chez des commerçants, à l’exclusion, à ce stade expérimental, de tout autre type d’opérations.
C’est pourquoi la Commission a tenu à s’assurer de la prise en compte de ses préconisations les plus protectrices en cas de recours à une technologie biométrique.   
Par ailleurs, elle considère que le réseau veineux des doigts de la main, en l’état actuel de la technique, constitue une biométrie sans trace, c’est-à-dire qu’elle n’est pas susceptible d’être capturée à l’insu de la personne concernée et présente, en conséquence, des risques réduits pour les libertés et les droits fondamentaux des personnes.
Cette technologie peut ainsi être employée pour la vérification de l’identité des personnes, sous réserve, d’une part, que le recours à elle soit justifié par des raisons sérieuses, et d’autre part, qu’il soit entouré de garanties appropriées en matière de sécurité.
Sur les justifications invoquées pour expérimenter le recours à une biométrie sans trace
La Commission observe que l’expérimentation projetée a pour objet de proposer à des clients de Banque Accord de tester un dispositif qui vise à renforcer la sécurité et la confidentialité des transactions effectuées par carte chez les commerçants et apporter une réelle simplification des conditions d’utilisation des cartes bancaires : 
- Le client n’aura pas à manipuler son moyen de paiement qu’il gardera en sécurité sur lui, ce qui devrait conduire à un gain de temps pour chaque transaction ;
- Il ne risquera pas de se faire capturer son code secret, ce qui devrait se traduire par une réduction substantielle de la fraude ; 
- Il n’aura pas à s’interroger sur les règles d’authentification applicables chez le commerçant pour les paiements sans contact ;
- Il sera assuré qu’aucun tiers ne peut utiliser son moyen de paiement du fait de l’impossibilité d’usurper le gabarit biométrique d’un réseau veineux ;
- Il pourra à tout moment désactiver la fonction de communication sans fil de sa carte.
En outre, ce projet devrait à terme favoriser le développement de nouveaux services d’authentification, par exemple pour la banque en ligne ou la signature de documents.
La Commission note par ailleurs que les personnes ayant accepté de participer à l’expérimentation ne seront jamais obligées d’utiliser systématiquement la fonction de communication sans fil et le procédé d’authentification biométrique.
Ainsi, ces clients pourront à tout moment :
- Choisir d’utiliser leur carte bancaire en s’authentifiant par la saisie de leur code secret en lieu et place du système d’authentification biométrique ;
- Demander l’effacement de la donnée biométrique enregistrée dans leur carte bancaire, cette opération interdisant toute utilisation ultérieure du dispositif P1G de la carte ;
- Comme dit précédemment, désactiver la fonctionnalité de paiement sans contact de leur carte, en l’insérant dans un écrin empêchant toute transmission des ondes radio ou en actionnant un interrupteur situé sur le porte-carte, et réactiver cette fonctionnalité aussi facilement.
Enfin, la Commission, après avoir rappelé qu’il ne saurait être question pour elle de valider un nouveau mode de transaction bancaire, estime que le contrat signé avec les clients participant à l’expérimentation devra prévoir que le recours au dispositif d’authentification biométrique du payeur n’entraîne aucune modification des règles de preuve en vigueur.
Elle considère, dans ces conditions, que l’expérimentation d’une nouvelle modalité de validation des transactions recourant à une biométrie sans trace, aux lieu et place de la saisie d’un code confidentiel après insertion de la carte bancaire dans un TPE, ne méconnait pas les principes fondamentaux du droit de la protection des données à caractère personnel.
Sur les garanties de sécurité mises en place
La Commission prend acte, à cet égard, qu’aucune conservation dans une ou plusieurs bases de données des gabarits biométriques des titulaires des supports P1G n’est prévue. Les données biométriques du porteur, qui correspondent au réseau veineux de deux de ses doigts, ne sont conservées que dans la carte de paiement sans contact.
La Commission constate par ailleurs que la création d’un support P1G, et donc l’enregistrement du gabarit biométrique du réseau veineux de son titulaire, est réalisée, après vérification de l’identité de ce dernier, dans des agences bancaires qui disposent d’un lecteur biométrique d’initialisation sécurisé réservé à cet usage. Le personnel chargé de procéder à l’enregistrement aura, au préalable, été spécialement habilité à cette fin et sera authentifié lors de chaque opération. Les opérations d’enregistrement des gabarits biométriques font l’objet d’une traçabilité.
Des mesures de sécurité satisfaisantes sont prises pour que les données biométriques enregistrées ne puissent être ni altérées, ni dupliquées, ni extraites de la carte. A cette fin, les données biométriques du titulaire du moyen de paiement sont stockées dans l’environnement sécurisé du coffre-fort de la carte de paiement munie du dispositif P1G. Elles ne peuvent pas en sortir.
La Commission prend bonne note que des mesures de sécurité sont adoptées pour garantir que le gabarit biométrique du réseau veineux du titulaire du support P1G circulera exclusivement dans un circuit fermé, d’un environnement sécurisé vers un autre environnement sécurisé préalablement authentifié via un canal de communication chiffré.
A cette fin, un mécanisme de vérification préalable de la certification de la puce des cartes bancaires détectées dans la zone de communication du TPE est mis en place afin d’interdire toute communication avec des dispositifs non authentifiées. Le TPE est parallèlement identifié par les cartes munies du dispositif  P1G.
L’initiation de la phase de reconnaissance mutuelle nécessite toutefois la transmission de données sous une forme non chiffrée, en particulier de l’identifiant propre à chaque support P1G au TPE. La Commission note à cet égard que, pour éviter que le porteur puisse être tracé à son insu sur la base de l’identifiant de sa carte, ces identifiants sont dynamiques, c’est-à-dire modifiés lors de chaque transaction.
Le gabarit biométrique ne circule que dans un second temps, après établissement d’un canal de communication chiffré avec les seuls supports de paiement authentifiés.
Les communications entre le TPE et les autres supports P1G sont rompues sans que ces derniers aient la possibilité de conserver la moindre trace des demandes de comparaison infructueuses et des gabarits reçus par erreur. De même, le TPE ne conserve aucune trace des gabarits biométriques qu’il a lus. Enfin, le certificat du TPE est automatiquement effacé en cas d’ouverture intempestive du terminal de paiement, afin d’empêcher toute nouvelle transaction.
L’ensemble de ces mesures est de nature à sécuriser de manière satisfaisante le recours à des moyens de paiement sans contact avec authentification biométrique des porteurs.
Dans ces conditions, la Commission autorise Banque Accord à mettre en œuvre, à titre expérimental et selon les modalités décrites ci-dessus, les traitements automatisés liés à l’utilisation du système de paiement sans contact P1G pendant la durée de la phase pilote.
La Commission demande qu'au terme de cette expérimentation, lui soit adressé un bilan des modalités de fonctionnement et d’utilisation du dispositif P1G à l’appui de la nouvelle demande d’autorisation nécessaire à la poursuite de cette application.
Le Président,
Alex TURK
(demande d’autorisation n°1147702-V2)
La Commission nationale de l'informatique et des libertés, 
Saisie par l’Institut de recherche et documentation en économie de la santé d’une demande d’autorisation pour la mise en œuvre de l’enquête sur la santé et la protection sociale 2010 ;
Vu la Convention n°108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 51-711 du 7 juin 1951 relative à l’obligation, la coordination et le secret en matière de statistiques ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, notamment ses articles 8-IV° et 25-I-1°;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu les arrêtés du 11 avril 2002, 20 juin 2005, 26 septembre 2008 et 16 octobre 2008 relatifs au système national d'information inter-régimes de l'assurance maladie ;
Vu la délibération de la CNIL n°2006-090 portant autorisation de mise en œuvre par l’institut de recherche et documentation en économie de la santé de l’Enquête Santé Protection Sociale 2006 ;
Sur le rapport de Monsieur Jean MASSOT et Madame MITJAVILE, commissaires et les observations de Madame Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes :
Sur la finalité poursuivie par le traitement
La Commission a été saisie par l’Institut de recherche et documentation en économie de la santé, IRDES, d’une enquête sur la santé et la protection sociale « ESPS - 2010 » qui a pour objet principal d’analyser l’articulation entre l’état de santé de la population, la consommation de soins, l’accès aux soins, la couverture santé et le statut économique et social. 
Sur la procédure applicable
La Commission considère qu’il y a lieu de faire application des dispositions des articles 8-IV et 25 de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements automatisés comportant des données relatives à la santé justifiés par l’intérêt public.
Présentation de l’enquête
L’enquête ESPS, réalisée pour la première fois en 1988, est désormais menée à partir d’un échantillon de bénéficiaires des trois grands régimes de l’assurance maladie : Caisse nationale d’assurance maladie des travailleurs salariés (CNAMTS), Régime social des indépendants et Mutualité sociale agricole (échantillon permanent inter-régimes de bénéficiaires ou EGB : échantillon généraliste des bénéficiaires). Quatre échantillons sont constitués, deux échantillons sont sollicités alternativement tous les deux ans et deux autres échantillons de réserve permettent de surreprésenter certains des bénéficiaires en fonction des études.
L'enquête est menée tous les deux ans. Elle se déroule en deux sessions l'une au printemps l'autre à l'automne pour tenir compte de la saisonnalité de certaines pathologies. Elle combine des données déclaratives (questionnaires) avec des données de remboursements de l’assurance maladie. Des questions identiques (socle commun) permettent de suivre les évolutions du système de santé au travers de l’expérience des assurés et les questions ponctuelles (enquêtes complémentaires) permettent des analyses spécifiques en fonction des demandes issues de la recherche.
Afin de connaître les recours aux soins, un appariement des données de l’enquête avec les données du système national d’information inter-régimes de l’assurance maladie (SNIIRAM) est prévu. Ce système, géré par la CNAMTS, comporte les informations résultant du traitement des feuilles de soins, y compris les données du codage des actes, des prestations, des produits, des médicaments, des actes de biologie, des affections de longue durée ainsi que les données de facturation des établissements de santé, chaînées par individu sur 2 ans, plus l’année en cours. Le SNIIRAM ne comporte pas de données directement identifiantes sur les bénéficiaires de soins, en revanche les données relatives aux professionnels de santé enregistrées comportent leur numéro d’identification professionnelle.
Chaque année, les régimes d’assurance maladie extraient pour les personnes échantillonnées et leurs ouvrants droit ou ayants droit dénommés « grappe assurance maladie », leur adresse, NIR, identifiant SNIIRAM et les données médico-administratives dont le nom et le prénom.
L’INSEE, tiers de confiance, attribue aux personnes échantillonnées et aux différents membres de la « grappe », un numéro d’ordre non signifiant, pérenne, spécifique à l’étude ainsi qu’un numéro d’ordre pour l’ensemble de la « grappe ». 
L’IRDES confie la réalisation des enquêtes à une société qui contacte les personnes. La société renvoie les données recueillies avec le numéro d’ordre spécifique à l’étude.
L’INSEE envoie à la CNAMTS les numéros d’ordre des bénéficiaires et des membres de la grappe ainsi que l’identifiant SNIIRAM afin que soient extraites les données de consommations de soins liquidées. Ces données sont ensuite expédiées à l’IRDES avec les numéros d’ordre.
Les données de consommation de soins et les données d’enquête sont appariées par l’IRDES.
Avant de transmettre les données à l’assurance maladie, l’IRDES transformera les numéros d’ordre avec une nouvelle fonction d’anonymisation. Cette transmission fera l’objet de formalités préalables auprès de la CNIL avant toute mise en œuvre. 
Il est également prévu, à terme, un appariement des données de l’enquête et de l’assurance maladie obligatoire avec les données de remboursement issues des organismes d’assurance maladie complémentaire afin de connaître le reste à charge des ménages.
Cette deuxième partie de l’enquête, intitulée « projet MONACO » (Méthodes, Outils, Normes pour la mise en commun de données des Assurances Complémentaire et Obligatoire) fera l’objet d’un nouvel examen de la Commission lorsque les organismes d’assurance maladie complémentaire (AMC) auront défini précisément les modalités de circulation, d’anonymisation et de conservation des données.
Sur les catégories de données traitées
Les catégories de données à caractère personnel traitées sont relatives à l’identité des personnes, le numéro de sécurité sociale (NIR), l’adresse, l’identifiant SNIIRAM, le cas échéant le mois et l’année date de décès, la situation familiale, la vie professionnelle, la situation économique et financière, les habitudes de vie, des données de santé, le numéro d’identification du médecin traitant, l’exonération éventuellement du ticket modérateur, la consommation de soins liquidés et l’organisme complémentaire.
Le numéro de sécurité sociale est utilisé pour sélectionner les bénéficiaires (échantillon pérenne) au sein des systèmes d’information de l’assurance maladie, les identifier et extraire leurs données de consommation du SNIIRAM après l’utilisation de l’algorithme d’anonymisation FOIN. Le NIR reste strictement cantonné à l’assurance maladie et à l’INSEE qui sont déjà habilités à le traiter.
Le nom, le prénom et l’adresse sont utilisés afin que la société d’enquête contacte les personnes soit par téléphone soit en se rendant à leur domicile. Le nom de famille n’est pas retransmis à l’IRDES.
S’agissant du traitement du prénom, la Commission prend acte que seules les quatre premières lettres du prénom sont traitées.
Les données relatives à la santé et aux difficultés ressenties sont collectées directement auprès des personnes concernées.