AgentPublic/cnil huggingface dataset:
Pour les entités bancaires qui n’ont pas d’accès aux comptes titres de leurs collaborateurs, il appartient à ces derniers de déclarer leurs transactions personnelles (sur l’outil Compliance) puisqu’ils sont qualifiés de « personnes sensibles » au sens de la règlementation. Le contrôle opéré par la banque est alors effectué sur la déclaration de ces transactions personnelles.
Pour les entités bancaires qui détiennent les comptes titres de leurs collaborateurs, le collaborateur qualifié de « personne sensible » délivre à l’entité bancaire une autorisation permanente d’effectuer le contrôle qui porte sur la détention ou pas d’une information privilégiée à partir des opérations que le collaborateur réalise sur son compte titres. Le collaborateur doit ainsi notifier à la banque les comptes titres qu’il détient.
Plus précisément, le dispositif de détection génère des alertes déclenchées à partir d’une typologie d’ordres et de transactions pouvant donner lieu à des manipulations de marché (par ex : donner des indications fausses ou trompeuses, fixer les cours à un niveau anormal ou artificiel, recourir à des procédés fictifs ou à toute autre forme de tromperie ou d’artifice).
Cette typologie d’opérations suspectes et la liste des indicateurs sont établies, en amont, par la Fédération bancaire française (FBF) et tiennent compte de la règlementation européenne. Les indicateurs filtrent un ensemble de données (données relatives aux ordres, aux transactions, au marché,  aux clients, etc.) qui génèrent les alertes. 
Le dispositif de détection d’opérations susceptibles d’être considérées comme des abus de marché repose sur une analyse journalière et manuelle des opérations. Les transactions ainsi détectées ont vocation à être analysées sans délai.
Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées. 
Il convient de préciser que le traitement a pour seul objet le respect de la règlementation. Il n’est prévu aucune gestion de « liste noire » de personnes ayant fait l’objet de signalements, ni même d’un fichier des signalements déjà traités. Les situations détectées par le traitement automatisé ont, en effet, vocation à être analysées sans délai.
Par ailleurs, le dispositif permet le contrôle de l’application des règles déontologiques et des procédures internes relatives aux transactions personnelles des collaborateurs et personnes ayant accès à des informations privilégiées au sens des articles 7 à 10  du règlement (UE) n° 596/2014 du Parlement européen et du Conseil du 16 avril 2014 du fait de leur fonction. Tout collaborateur soumis à ce dispositif est qualifié d’initié et est, à ce titre soumis à des obligations déclaratives de ses transactions personnelles. 
Sont considérées, conformément aux articles 8.4 et 19 du règlement (UE) n° 596/2014, comme des personnes possédant une information privilégiée : 
les personnes membres des organes d’administration, de gestion ou de surveillance de l’émetteur ou du participant au marché des quotas d’émission ; 
les personnes détenant une participation dans le capital de l’émetteur ou du participant au marché des quotas d’émission ; 
les personnes ayant accès aux informations en raison de l’exercice de tâches résultant d’un emploi, d’une profession ou de fonctions ; ou 
toute personne qui possède une information privilégiée dans des circonstances autres que celles visées (recommander à un tiers d’effectuer ou l’inciter à effectuer une opération d’initié ou à utiliser ces recommandations ou ces incitations).
Les transactions personnelles des personnes précitées font l’objet d’un contrôle pour détecter celles qui pourraient aboutir à une déclaration de soupçon auprès de l’AMF.
La mise en œuvre de ce contrôle est effectuée, soit au moyen d’un outil de contrôle automatisé qui intègre les comptes notifiés par le collaborateur, soit manuellement sur la base des déclarations du collaborateur. 
Ces contrôles font suite à une autorisation préalable signée du collaborateur au moment de sa notification d’initié.
Sur les données traitées
Les listes des éléments à analyser et à transmettre, le cas échéant, à l’AMF, dans le cadre du traitement des abus de marché comportent les données suivantes : 
données d’identification : nom, prénom et numéro de référence (numéro de la relation client) ;
données relatives à la situation professionnelle (fonction financière ou fonction au sein d’une société cotée du client, le nom de son employeur et les fonctions exercées par le client chez son employeur) ;
la nature et le montant de la transaction financière ;
nombre de détections sur une période glissante inférieure à 3 mois et la date de la dernière détection ; 
numéro de relation auquel sont rattachés les comptes du client ;
code ISIN comme identifiant de la valeur ; 
caractéristiques de l’ordre détecté (nature, prix, quantité, montant, date) ;
caractéristiques de l’ordre exécuté (nature, prix, quantité, montant, date) ;
données relatives aux liens familiaux avec une personne déjà considérée comme potentiellement initiée.
Selon l’article 313-9 du règlement général de l’AMF, la notion de personne ayant des liens familiaux avec une personne concernée renvoie aux personnes suivantes :
le conjoint de la personne concernée non séparé de corps ou le partenaire avec lequel elle est liée par un pacte civil de solidarité ;
les enfants sur lesquels la personne concernée exerce l’autorité parentale, ou résidant chez elle habituellement ou en alternance, ou dont elle a la charge effective et permanente ; 
tout autre parent ou allié de la personne concernée résidant à son domicile depuis au moins un an à la date de la transaction personnelle concernée. 
La Commission considère que ces informations ne peuvent être traitées que dans la mesure où l’établissement financier est tenu, au regard de ses obligations réglementaires, de recueillir les informations liées à l’entourage familial du client ou dès lors que ce dernier consent à la collecte de ces informations dans le cadre de la gestion de son compte et de la souscription de produits et services.
Par ailleurs, la notification des transactions auprès de l’AMF comporte les informations suivantes : 
le nom de la personne ; 
le motif de la notification ; 
le nom de l’émetteur ou du participant au marché des quotas d’émission concerné ; 
la description et l’identifiant de l’instrument financier ;
la nature de la ou des transactions (par exemple acquisition ou cession), en indiquant si elles sont liées à l’exercice de programmes d’options sur actions ou aux exemples spécifiques énoncés au règlement ; 
la date et le lieu de la ou des transactions ;  
le prix et le volume de la ou des transactions. Dans le cas d’un gage dont les conditions prévoient un changement de valeur, cette information devrait être divulguée en même temps que sa valeur à la date du gage. 
Ces données sont adéquates, pertinentes et non excessives au regard des finalités déclarées et n’appellent pas d’observations particulières.
Les données ainsi collectées sont conservées pendant une durée n’excédant pas la durée de trois mois nécessaire à la levée du soupçon d’abus de marché ou à la réalisation d’une déclaration d’opérations suspectes auprès de l’AMF. En effet, les transactions détectées ont vocation à être analysées sans délai.
Les alertes ainsi que les déclarations d’opérations suspectes effectuées auprès de l’AMF sont conservées pendant une durée de cinq ans. 
Sur les destinataires
Seuls ont accès aux données :
le responsable conformité de Crédit Agricole SA ;
les personnes habilitées du service intégrité des marchés de Crédit Agricole SA et leurs responsables  hiérarchiques ;
les responsables gestion titres de l'entité ;
en cas d’envoi d’une déclaration de soupçon à l’AMF, les agents habilités de cette autorité ainsi que ceux de  la direction générale.
Les informations communicables sont celles qui figurent dans la déclaration de soupçon visée par le règlement délégué, telles que rappelées dans la présente délibération.
Les destinataires des données sont astreints aux obligations de  confidentialité et de secret professionnel. 
Sur l’information et les droits des personnes 
Les personnes sont informées de la mise en œuvre de ce traitement et de la manière d’exercer leurs droits d’accès, de rectification et d’opposition, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée par une mention dans les conditions générales de compte de titres.
Les droits d’accès, de rectification et d’opposition s’exercent auprès du service DAJ/DP du Crédit Agricole SA, 12 place des Etats-Unis – 92127 MONTROUGE.
Sur les mesures de sécurité
Des mesures de sécurité, tant physiques que logiques, notamment en termes d’habilitation d’accès et de cloisonnement du traitement, sont mises en place.
Les personnes accédant au traitement sont soumises contractuellement à une obligation de confidentialité renforcée. 
Les actions effectuées par le personnel spécifiquement habilité sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.
Sur les autres caractéristiques du traitement
La Commission observe que chaque entité du groupe Crédit agricole SA du réseau banque de détail France doit mettre en œuvre et appliquer un dispositif permettant de détecter les opérations d’initiés ou de manipulation de cours, conformément aux dispositions de l’article L. 511-34 du CMF et de l’arrêté du 3 novembre 2014.
Par conséquent, d’une part, la société mère Crédit Agricole SA, communiquera auprès des entités du groupe Crédit Agricole les informations nécessaires à la détection des abus de marchés. 
D’autre part, les entités du groupe qui seront concernées par des informations pertinentes devront communiquer ces informations à la société mère.
Les informations communicables sont celles qui figurent dans la déclaration de soupçon visée par le règlement délégué (UE) n° 2016/957 de la Commission du 9 mars 2016.
Elles sont communiquées au cas par cas aux responsables conformité des entités du groupe Crédit agricole selon des critères de pertinence adaptés aux circonstances et au cas d’espèce (même typologie d’abus de marché, même client, même instrument financier, même période, etc.).
Autorise, conformément à la présente délibération, le Crédit agricole SA à mettre en œuvre le traitement décrit ci-dessus.
La Présidente 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par l’association « ailes sportives airbus helicopters haltérophilie musculation » d’un traitement automatisé de données à caractère personnel ayant pour finalité le contrôle d’accès par reconnaissance faciale des adhérents aux locaux de l’association sportive ; 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission nationale de l'informatique des libertés a été saisie par l’association « ailes sportives airbus helicopters haltérophilie musculation » d'une demande d’autorisation portant sur un traitement automatisé de données à caractère personnel ayant pour finalité le contrôle d’accès par reconnaissance faciale des adhérents aux locaux de l’association sportive.
La Commission observe que le projet de traitement automatisé prévoit le recours à des données biométriques pour assurer le contrôle de l’identité des personnes. Il relève, à ce titre, du 8° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit dès lors être autorisé par la CNIL.
Le dispositif a pour objet de permettre aux 400 adhérents de l’association d’utiliser le dispositif de reconnaissance faciale pour accéder à la salle de sport. L’association étant composée de bénévoles, ce dispositif de contrôle d’accès permettrait de pallier l’indisponibilité d’un de ses dirigeants chargés de l’ouverture de la salle tout en s’assurant de l’identité des personnes souhaitant y accéder.
Compte tenu de la sensibilité des traitements de données biométriques, la Commission estime que ceux mis en œuvre pour des raisons de commodité, c’est-à-dire en dehors de forts enjeux de sécurité, ne peuvent pas être imposés aux personnes concernées, y compris au titre de l’intérêt légitime du responsable de traitement.
De tels dispositifs ne peuvent, dès lors, être mis en œuvre qu’avec le consentement des personnes concernées, entendu comme la manifestation de leur volonté libre, spécifique et éclairée.
La liberté du consentement suppose que la personne concernée dispose d’un choix réel et non contraint. La personne ne doit donc pas être influencée dans son choix par les conséquences négatives qui pourraient résulter de son refus d’utiliser un contrôle d’accès biométrique.
Or, la Commission observe qu’aucune alternative au dispositif biométrique n’étant proposée aux adhérents de l’association pour leur permettre d’accéder à la salle, leur consentement à la mise en œuvre de ce traitement biométrique ne peut être qualifié de libre. En effet, leur consentement conditionne leur capacité à accéder aux locaux en l’absence de personnes habilitées. 
Le traitement envisagé par l’association est donc dépourvu de base légale.
Au surplus, compte tenu des risques, par nature irrévocables, que la compromission de données biométriques pourrait provoquer, la Commission considère que les dispositifs biométriques mis en œuvre pour des raisons de commodité doivent l’être dans des conditions assurant aux personnes concernées une maîtrise de leurs gabarits biométriques aux fins d’assurer la sécurité et la confidentialité des données.
Cette maîtrise peut notamment se décliner sous la forme d’un stockage des données biométriques :
sur un support individuel détenu par les personnes concernées ou,
si la détention d'un tel support dédié n’était pas adaptée, de leur conservation en base sous forme chiffrée par une clé (y compris sous la forme d’un secret) de chiffrement/déchiffrement uniquement détenue par la personne concernée et non conservée sur le serveur. 
Or, le présent dispositif permet aux adhérents de n’avoir qu’à présenter leur visage devant le lecteur afin que celui-ci soit comparé à l’ensemble des gabarits qui sont enrôlés puis stockés en base, conditions de stockage présentant des risques accrus pour la vie privée.
Refuse d’autoriser l’association « ailes sportives airbus hélicopters haltérophilie musculation » à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité le contrôle d’accès par reconnaissance faciale des adhérents de l’association du fait :
de l’absence de consentement des personnes, seule base légale valable s’agissant d’un dispositif biométrique mis en œuvre au profit des usagers et clients pour des raisons de commodité (article 7 de la loi n° 78-17 du 6 janvier 1978 modifiée) et ; 
des conditions de stockage des gabarits dont il résulte des risques importants pour la sécurité des données (article 34 de la loi n° 78-17 du 6 janvier 1978 modifiée).
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par la Direction générale de la concurrence, de la consommation et de la répression des fraudes d’une demande d’avis concernant un projet de décret relatif aux obligations d’information relatives aux avis de consommateurs ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu l’article L111-7-2 du Code de la consommation ;
Vu l’article 52 de la loi du 6 octobre 2016 pour une République numérique ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11.4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. François PELLEGRINI, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Émet l’avis suivant :
La Commission nationale de l’informatique et des libertés (CNIL) a été saisie pour avis par Direction Générale de le Consommation de la Concurrence et de la Répression des Fraudes d’un projet de décret portant sur les obligations d’information relatives aux avis de consommateurs.
L’article L. 111-7-2 du Code de la consommation, codifié par l’article 52 de la loi pour une République numérique, dispose que […] toute personne physique ou morale dont l'activité consiste, à titre principal ou accessoire, à collecter, à modérer ou à diffuser des avis en ligne provenant de consommateurs est tenue de délivrer aux utilisateurs une information loyale, claire et transparente sur les modalités de publication et de traitement des avis mis en ligne. Elle précise si ces avis font ou non l'objet d'un contrôle et, si tel est le cas, elle indique les caractéristiques principales du contrôle mis en œuvre. Elle affiche la date de l'avis et ses éventuelles mises à jour. Elle indique aux consommateurs dont l'avis en ligne n'a pas été publié les raisons qui justifient son rejet.
Elle met en place une fonctionnalité gratuite qui permet aux responsables des produits ou des services faisant l'objet d'un avis en ligne de lui signaler un doute sur l'authenticité de cet avis, à condition que ce signalement soit motivé. Un décret, pris après avis de la Commission nationale de l'informatique et des libertés, fixe les modalités et le contenu de ces informations .
Le projet de décret soumis au présent avis porte sur la création de quatre articles du Code de la consommation : l’article D. 111-17 définit les notions d’avis en ligne et d’expérience de consommation, l’article D. 111-18 détermine les informations prévues à l’article L. 111-7-2 ainsi que leurs modalités d’affichage, l’article D. 111-19 précise les informations devant figurer dans une rubrique spécifique du site lorsque son éditeur procède à une vérification des avis en ligne et enfin l’article D. 111-20 oblige les personnes dont l’activité est visée à l’article L. 111-7-2 et qui refuseraient de publier un avis, à en informer son auteur.
La Commission relève en premier lieu que les articles D. 111-17, D. 111-18 et D. 111-20 comportent essentiellement des obligations de transparence à l’égard des consommateurs mises à la charge des personnes visées à l’article L. 111-7-2 et qu’à ce titre, ils n’entrent pas directement dans le champ de sa compétence.
En second lieu, la Commission accueille favorablement le renvoi opéré par l’article D. 111-19 au respect des dispositions de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés s’agissant des traitements réalisés par les acteurs visés à l’article L. 111-17-2, dans le cadre du contrôle préalable des avis en ligne.
À l’aune de cette dernière considération, la Commission émet un avis favorable au projet de décret objet du présent avis.
Pour la Présidente
Le Vice-Président Délégué
 
Marie-France MAZARS
La Commission nationale de l’informatique et des libertés,
 
Saisie par la société COMPTOIR NOUVEAU DE LA PARFUMERIE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la cosmétovigilance ;
 
Vu la Convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
 
Vu le règlement n° 1223 / 209 du Parlement européen et du Conseil relatif aux produits cosmétiques ;
 
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
 
Vu le code de la santé publique, notamment ses articles L. 5131-5, L. 5431-8 et R. 5131-6 à R. 5131-15 du code de la santé publique ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié, pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le dossier et ses compléments ;
 
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement ;
Formule les observations suivantes :
Responsable du traitement
Le responsable de traitement est la société COMPTOIR NOUVEAU DE LA PARFUMERIE, spécialisée dans la fabrication de parfums et de produits pour la toilette.
Sur la finalité
Le traitement a pour finalité la cosmétovigilance qui a pour objet de permettre la surveillance des éventuels effets indésirables des produits cosmétiques sur la santé humaine.
 
La Commission estime que la finalité du traitement est déterminée, explicite et légitime, conformément à l’article 6 de la loi du 6 janvier 1978 modifiée.
 
Ce traitement relève des dispositions combinées des articles 8-IV et 25-I-1° de la loi informatique et libertés qui soumettent à autorisation les traitements comportant des données relatives à la santé, et justifiés par l’intérêt public.
 
Sur les données traitées
Les données collectées sont les suivantes :
données d'identification du notificateur lorsque celui-ci n'est pas un professionnel de santé (consommateur ou membre d'une association de consommateurs) : nom, prénom, adresse, numéro de téléphone ;
données d'identification du consommateur : numéro, code alphanumérique ou code alphabétique d'identification, informations signalétiques (âge, année ou date de naissance, sexe, poids, taille, grossesse en cours, profession) ;
données de santé : pathologies, affections, données relatives aux soins, éventuels arrêt travail lié à l’effet du produit, antécédents médicaux,traitements médicamenteux au moment de l’effet ;
données d’identification des professionnels de santé concernés par l’observation : nom, nom d’usage, prénom, numéros de téléphone et de télécopie, adresse électronique, adresse postale, spécialité du professionnel de santé.
 
Le responsable de traitement doit mettre en place les mesures techniques adéquates afin que les données codées relatives aux consommateurs soient séparées des autres données.
 
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
 
Sur les destinataires
Les personnes habilitées à accéder aux données de pharmacovigilance sont :
 
le personnel habilité de la société COMPTOIR NOUVEAU DE LA PARFUMERIE ;
le prestataire externe de cosmétovigilance ;
les fabricants des produits en cause ;
les organismes publics en charge de la cosmétovigilance dans le cadre de leurs attributions légales.
 
Cette liste de destinataires n’appelle pas d’observation de la part de la Commission.
 
Sur l’information et les droits des personnes
Les personnes concernées sont informées avec une mention lors de l’appel téléphonique et dans les échanges par courrier. Des consignes sont données aux professionnels de santé ou associations afin qu’ils puissent délivrer l’information aux consommateurs.