AgentPublic/cnil huggingface dataset:
Enfin, à l’issue de la troisième année suivant la désignation de l’ADSN en tant que correspondant, un auditeur de l'association se déplace au sein de l'étude afin de faire un audit des modalités de gestion des traitements. L'objectif de cette ultime étape est de s'assurer que les traitements sont toujours mis en œuvre dans de bonnes conditions et que les mesures de sécurité sont toujours adaptées. Là aussi, un rapport d'audit est adressé à l’étude afin qu'elle puisse se mettre en conformité si des manquements à la loi sont constatés. 
A ce stade, il convient de préciser que des recommandations et des alertes sont également effectuées en dehors de phases d’audit. En effet, les études peuvent contacter à tout moment l'ADSN concernant des questions en lien avec la protection des données à caractère personnel. 
Sur les vérifications effectuées dans le cadre de l’examen de conformité à la loi du 6 janvier 1978 modifiée
A l’appui de sa demande, l’ADSN a communiqué à la CNIL l’ensemble des documents utilisés dans le cadre de son activité de correspondant et notamment, ceux permettant de connaître et comprendre les différentes étapes du processus de mise en conformité du notariat : modèles de courriers, notes internes, tableaux d’audit... La Commission a ainsi été en mesure de procéder à une analyse de ces éléments.
Dans un second temps, il est apparu indispensable de constater de visu les conditions dans lesquelles les audits par téléphone et sur place étaient réalisés. Une délégation de la Commission s’est ainsi déplacée afin d’assister à des audits dans des études de notaire. Elle a également pu assister, dans les locaux de l’ADSN, à un audit par téléphone. Il est à relever que les agents de la Commission présents lors de ces phases avaient un simple statut d’observateur et n’agissaient pas dans le cadre des pouvoirs de contrôle dévolus à la CNIL en application de l’article 44 de la loi 6 janvier 1978 modifiée. 
A l’issue de l’analyse des éléments communiqués et des vérifications effectuées sur place, un document comportant des observations et des demandes de compléments a été transmis à l’ADSN. En réponse, celle-ci a adressé un rapport détaillant les modifications apportées aux documents et procédures concernés ainsi que des explications sur les points qui restaient à éclaircir. En outre, chaque fois que cela a été matériellement possible, l’ADSN a communiqué à la CNIL les éléments permettant de prouver que les modifications avaient bien été effectuées. La CNIL a confronté, point par point, les réponses apportées et les documents amendés aux observations qu’elle avait effectuées. 
Sur les résultats de l’examen de conformité à la loi du 6 janvier 1978 modifiée
Il résulte de l’examen des procédures mises en œuvre par l’ADSN dans le cadre de son activité de correspondant à la protection des données, qu’elles satisfont aux exigences de la loi du 6 janvier 1978 modifiée ainsi qu’aux dispositions de son décret d’application n°2005-1309 du 20 octobre 2005 qui précise que le correspondant doit : 
veiller au respect des obligations prévues par la loi «  informatique et libertés » ; 
recenser la liste des traitements mis en œuvre au sein de l’organisme ; 
adresser des recommandations au responsable de traitement ; 
gérer les demandes et les réclamations des personnes concernées par les traitements ; 
informer le responsable des traitements sur les manquements constatés à la loi Informatique et Libertés ; 
établir un bilan annuel de ses activités. 
En conséquence, la Commission est d’avis que les procédures mises en œuvre par l’ADSN dans le cadre de son activité de correspondant à la protection des données personnelles pour les études notariales l’ayant désignée, sont conformes aux dispositions de la loi du 6 janvier 1978 modifiée. 
La Présidente
Isabelle FALQUE-PIERROTIN
(autorisation n°1434528)
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-4° ; 
Vu la loi n°2010-476 du 12 mai 2010 relative à l’ouverture à la concurrence et à la régulation du secteur des jeux d’argent et de hasard en ligne, notamment ses articles 17, 18 et 22 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu le décret n°2010-509 du 18 mai 2010 relatif aux obligations imposées aux opérateurs agréés de jeux ou de paris en ligne en vue du contrôle des données de jeux par l’ARJEL ;
Vu le décret n°2010-518 du 19 mai 2010 relatif à la mise à disposition de l’offre de jeux et de paris par les opérateurs agréés de jeux ou de paris en ligne ;
Sur le rapport de M. Dominique RICHARD, commissaire, et les observations de  Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés a été saisie par la société SPS BETTING France SAS d’une demande d’autorisation relative à la mise en œuvre d’un traitement automatisé des données à caractère personnel visant à lutter contre la fraude, le blanchiment de capitaux et le financement du terrorisme.
La société SPS BETTING France SAS a été agréée par l’Autorité de régulation des jeux en ligne (ARJEL) pour exploiter le site www.eurosportbet.fr, dédié aux jeux de cercles, paris sportifs et paris hippiques en ligne.
La loi n°2010-476 du 12 mai 2010 relative à l’ouverture à la concurrence et à la régulation du secteur des jeux d’argent et de hasard en ligne impose aux opérateurs de jeux en ligne, agréés par l’ARJEL, de mettre en place des mesures visant à lutter contre la fraude, le blanchiment de capitaux et le financement du terrorisme. Elle les assujettis aux obligations prévues par les dispositions des sections 2 à 7 du chapitre 1er du titre VI du livre V du Code monétaire et financier (CMF).
Les traitements ainsi mis en œuvre par les opérateurs de jeux en ligne agréés peuvent conduire ces derniers à souhaiter rompre toute relation contractuelle avec certains joueurs et donc à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat, nonobstant l’absence de toute disposition légale le prévoyant.
La Commission considère, dès lors, qu’il y a lieu de faire application des dispositions de l’article 25-I-4° pour les traitements mis en place par les opérateurs de jeux en ligne agréés ayant pour finalité la lutte contre la fraude, le blanchiment de capitaux et le terrorisme, et qui conduisent à la clôture du compte du joueur. 
Les traitements mis en place par la société SPS BETTING France SAS, objets de la présente autorisation, seront les suivants :
Traitement automatisé de données ayant pour finalité la vérification de l’identité du joueur à l’ouverture des comptes joueur
Conformément à l’article L. 561-5 du CMF, la société identifiera le joueur avant d’entrer en relation d’affaires et donc de lui créer un compte joueur sur son site. 
Pour ce faire, aux termes de l’article 2-1° du décret n°2010-518 du 19 mai 2010 la société SPS BETTING France SAS demandera à toute personne qui sollicite l’ouverture d’un compte joueur de lui communiquer ses nom, prénom, date et lieu de naissance, adresse postale et références d’un compte de paiement. La fourniture de l’ensemble de ces informations entraînera la création d’un compte provisoire. En revanche, en l’absence de ces informations, la société refusera l’ouverture du compte joueur. 
En outre et conformément à l’article 4 de ce décret, la société demandera à toute personne sollicitant l’ouverture d’un compte joueur de lui fournir, dans le délai maximum d’un mois à compter de la demande d’ouverture dudit compte :
La société désactivera le compte du joueur qui ne lui a pas transmis les pièces justificatives dans le délai d’un mois à compter de l’ouverture de son compte provisoire. Elle clôturera le compte si le joueur ne lui a pas adressé ces pièces dans un délai de deux mois à compter de la demande d’ouverture de compte ou n’a pas saisi le code secret dans un délai de six semaines à compter de l’envoi du code. 
La désactivation d’un compte fera obstacle à ce que le joueur engage ses mises ainsi que n’ordonne le reversement de ses avoirs sur son compte de paiement.
Traitement automatisé de données ayant pour finalité la surveillance des comptes joueur 
En vertu de l’article L. 561-6 du CMF, la société exercera, pendant toute la durée de la relation d’affaire, une vigilance constante et pratiquera un examen attentif des opérations de jeux effectuées sur son site en veillant à ce qu’elles soient cohérentes avec la connaissance actualisée que la société a de ses joueurs. 
En pratique, la société SPS BETTING France SAS mettra en place un dispositif d’alerte, qui permettra, le cas échéant, de diligenter une enquête visant à contrôler l’activité d’un joueur ou d’une partie lors de la survenance d’un des événements suivants : 
dépôt unitaire supérieur à 600 euros ;
dépôts cumulés sur 3 mois glissants d’une valeur supérieure à 1 200 euros ;
retraits cumulés sur 3 mois glissants d’une valeur supérieure à 1 000 euros ;
utilisation d’au moins 3 cartes de crédit différentes pour les dépôts ;
retrait unitaire supérieur à 500 euros.
En cas de soupçon de fraude, le compte joueur concerné pourra être suspendu et le joueur en sera informé. La société procèdera alors à une série de vérifications manuelles et pourra demander au joueur de fournir une attestation sur l’honneur (que le joueur est bien le titulaire du moyen de paiement utilisé, par exemple) ou des explications complémentaires (sur une main de poker spécifique, par exemple). 
La Commission prend acte de ce que la société ne collectera ni de copies de cartes bancaires ni de copies de relevés de comptes bancaires. 
A l’issue de l’enquête, si aucun acte frauduleux n’est finalement constaté, le joueur en sera informé et pourra à nouveau utiliser son compte. En revanche, si l’enquête permet de confirmer l’acte frauduleux, la société pourra clôturer le compte joueur, sous réserve d’en informer le joueur. 
En cas de soupçon de blanchiment de capitaux, la société fera une déclaration de soupçon à TRACFIN et s’abstiendra d’effectuer toute opération dont elle soupçonne qu’elle est liée au blanchiment de capitaux ou au financement du terrorisme jusqu’à ce qu’elle ait fait une telle déclaration, conformément aux articles L. 561-15 et suivant du CMF. Une fois la déclaration effectuée, et sauf à ce que TRACFIN ait notifié à l’opérateur son opposition dans un délai d’un jour ouvrable à compter de sa réception de la déclaration de soupçon, l’opérateur pourra procéder à la réalisation de l’opération.
Les catégories de données à caractère personnel enregistrées seront relatives :
aux données d’identification du joueur ;
aux informations d’ordre économique et financier ; 
aux données de connexion ;
aux opérations de jeu.
La durée de conservation des informations sera de 5 ans à compter de la clôture du compte joueur, sauf si aucune opération de jeu ou de pari n'a été réalisée avant la clôture du compte. Dans ce dernier cas, les données seront supprimées dès la clôture du compte. 
Les destinataires des informations seront, dans le cadre de leurs attributions respectives, les personnels de l’ARJEL et de TRACFIN. 
L’information des personnes du joueur s’effectuera conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée en août 2004 par une mention dans les conditions générales d’utilisation du site Internet. 
Le joueur sera également informé dans ces mêmes conditions générales de la possibilité que son compte soit suspendu et/ou clôturé, dans le cadre de la lutte contre la fraude, le blanchiment de capitaux et le financement du terrorisme. 
En outre, en cas de suspension du compte joueur, un courrier électronique sera systématiquement envoyé au joueur pour lui indiquer que son compte est suspendu et qu’une enquête est en cours en raison d’une suspicion de fraude. De même, à l’issue de l’enquête, le joueur sera informé par courrier électronique qu’il peut à nouveau utiliser son compte ou que ce dernier est clôturé.
Les droits d’accès et de rectification s’exerceront auprès du service client de la société SPS BETTING France SAS. 
Cependant, le droit d’accès aux traitements mis en œuvre aux seules fins de lutte contre le blanchiment de capitaux et le financement du terrorisme s’exercera de manière indirecte, auprès de la CNIL, conformément à l’article L 561-45 du Code monétaire et financier. Ainsi, ne pourront être communiquées au joueur les données susceptibles :
de porter à sa connaissance l’existence d’une déclaration de soupçon ou des suites qui lui ont été données ;
de l’informer de la mise en œuvre d’opérations liées à la lutte contre le blanchiment de capitaux ou au financement du terrorisme.
Dans ces conditions, la Commission autorise la société SPS BETTING France SAS à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la lutte contre la fraude, le blanchiment de capitaux et le financement du terrorisme.
La Présidente 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-6° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu l’ordonnance n° 67-693 du 17 août 1967 relative à l’épargne salariale ;
Vu le décret n° 67-1112 du 19 décembre 1967 fixant les conditions d’application de l’ordonnance n° 67-393 du 17 août 1967 relative à l’épargne salariale, notamment son article 14 ;
Vu le Code du travail, notamment son article L. 3341-7 ; 
Après avoir entendu M. Emmanuel de GIVRY, commissaire en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés est saisie par la société BTP Gestion SA d’une demande d’autorisation, relative à la mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité la gestion d’avoirs d’épargne salariale en déshérence non prescrits afin de les restituer à leurs bénéficiaires ou ayants droit, en application de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée.
Le décret n° 67-1112 du 19 décembre 1967 fixe les conditions d’application de l’ordonnance n° 67-393 du 17 août 1967 relative à l’épargne salariale. L’article 14 de ce décret dispose :
« Lorsque […] un salarié qui a quitté l’entreprise […] ne peut être atteint à la dernière adresse indiquée par lui, les sommes et droits auxquels il peut prétendre sont tenus à sa disposition par l’entreprise pendant une durée d’un an […]. Passé ce temps, ils sont remis à la Caisse des dépôts et des consignations où l’intéressé peut les réclamer jusqu’au terme de la prescription. »  
L’article L. 3341-7 du Code du travail, dans sa rédaction issue de l’ordonnance n° 2007-329 du 13 mars 2007, prévoit que le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (NIR) est la référence pour la tenue des livrets d’épargne salariale. Le NIR peut ainsi figurer sur les relevés de compte individuels et l’état récapitulatif des sommes dues aux salariés au titre de l’épargne salariale.
La Caisse des dépôts et des consignations (CDC) est ainsi fondée à traiter le NIR dans le cadre de la gestion des avoirs d’épargne salariale en déshérence non prescrits dont elle est légalement chargée.  
Par convention en date du 20 mai 1999, modifiée par avenant le 7 décembre 2005, la CDC et la société BTP Gestion SA ont convenu, notamment, que cette dernière assurera les retraits des sommes en déshérence confiées à la CDC et assumera la charge administrative correspondante. 
Il ressort de l’analyse de cette convention et des autres éléments du dossier que la société BTP Gestion SA doit être qualifiée de responsable de traitement dans le cadre de cette prestation, puisqu’elle se présente sous son nom propre aux personnes concernées, ne reçoit pas d’instructions précises de la CDC, réalise sa prestation sans contrôle de cette dernière et, enfin, est libre de déterminer les moyens permettant de réaliser sa prestation.
Les droits d’accès et de rectification s’exercent auprès de la société BTP Retraite, en sa qualité de service chargé de la mise en œuvre du traitement (7 rue du regard, 75294 Paris Cedex 06).
Les données à caractère personnel traitées sont :
des données d’identification ;
des données relatives à la vie professionnelle ;
des données relatives à des informations d’ordre économique et financier ;
les NIR des bénéficiaires d’avoirs d’épargne salariale en déshérence non prescrits.
La Commission nationale de l’informatique et des libertés relève que la société BTP Gestion SA utilisera les NIR qui lui sont remis, à l’issue de la phase de recherche des bénéficiaires d’avoirs d’épargne salariale en déshérence non prescrits, uniquement pour s’assurer de l’identité d’un créancier présumé par comparaison entre le NIR de ce dernier et celui dont elle dispose. 
Par ailleurs, la Commission observe que la société BTP Gestion SA s’est engagée à ne pas conserver les NIR qui lui ont été confiés au-delà de l’année 2017. 
Enfin, la Commission prend acte que les NIR font l’objet de mesures de sécurité renforcées.
Les destinataires des informations sont, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les personnels habilités de la société BTP Gestion SA et de la CDC, d’une part, ainsi que deux commissaires aux comptes de la société BTP Gestion SA, d’autre part.
Dans ces conditions, la Commission autorise la société BTP Gestion SA à mettre en œuvre le traitement de données à caractère personnel précédemment étudié.
La Présidente,
Isabelle FALQUE-PIERROTIN
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de procédure pénale, et notamment ses articles 29 et 29-1 ;
Vu le code pénal, et notamment ses articles 311-2, 322-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-3° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Claude DOMEIZEL, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société GRDF à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion des pertes et l’optimisation des recettes, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Responsable du traitement
La société Gaz Réseau Distribution de France (GRDF)
Finalités
Dans le cadre du processus d’optimisation des recettes acheminement (ORA), la société GRDF souhaite mettre en œuvre l’application IGOR (Interface Gaz Optimisation des Recettes), qui a pour finalité la gestion des pertes et l’optimisation des recettes. 
L’interface permet : 
la gestion des dysfonctionnements des appareils de mesure des consommations de gaz naturel ;
la gestion des anomalies techniques ayant une incidence sur la facturation des consommations de gaz naturel ;
la gestion des infractions constatées par des gardes particuliers assermentés sur le réseau de distribution de gaz naturel de GRDF ;
la gestion, la facturation et le recouvrement amiable des utilisateurs des ouvrages de distribution de gaz naturel sans fournisseur ;
la gestion des informations concernant les habilitations des gardes assermentés.
Caractéristiques particulières du traitement 
Les atteintes aux biens constatées sur le réseau de distribution de gaz naturel de GRDF correspondent à des infractions telles que : 
la soustraction frauduleuse d’énergie au préjudice d’autrui ;
les destructions, dégradations et détériorations de biens appartenant à autrui ;
l’atteinte volontaire au bon fonctionnement des ouvrages et installations de distribution de gaz naturel.
Données traitées
S’agissant des utilisateurs du réseau de distribution de gaz naturel, sont collectées les données d’identification, les données relatives à la situation du compteur et les données relatives aux anomalies constatées (dont les infractions).S’agissant des gardes assermentés de GRDF, sont collectées les données d’identification et les données relatives à leur vie professionnelle.S’agissant des salariés habilités à accéder à l’application, sont collectées les données d’identification et les données de connexion.
Destinataires
Les destinataires des informations sont les personnes habilitées : 
de la Délégation Acheminement Livraison ;
des Unités Réseau Gaz ;
des Agences Raccordement Développement Gaz ;
des Unités Client Fournisseurs.
des services Contentieux et Assurance ;
de la Délégation Juridique.
En cas de passage d’un dossier en contentieux, les destinataires des informations peuvent également être les personnes habilitées : 
de la Délégation Acheminement Livraison ;
des Unités Réseau Gaz ;
des Agences Raccordement Développement Gaz ;
des Unités Client Fournisseurs.
des services Contentieux et Assurance ;
de la Délégation Juridique.
En cas d’infractions commises par un client, une procédure de recouvrement amiable est initiée. Dans ce cadre, le fournisseur de gaz naturel devient destinataire des informations, sans qu’une copie du procès-verbal ne lui soit transmise. En parallèle, le procès-verbal est envoyé au Procureur de la République.
Les destinataires des données de connexion des agents sont : les personnes habilitées à consulter ou à modifier le dossier concerné dans l’application et les administrateurs de l’application pour la création/modification des données personnelles des agents.
Durée de conservation 
Les données des utilisateurs contenues dans des dossiers relatifs à des infractions sont conservées pour une durée maximale de 3 ans à compter de la date du PV de l’agent assermenté ce qui correspond à la prescription en matière délictuelle ou en cas d’engagement des poursuites jusqu’à la fin de la procédure judiciaire.Les données des utilisateurs liées à la facturation sont conservées pendant 3 ans en base active et deux ans supplémentaires en base archive.Les données relatives à l’identification et à la vie professionnelle des agents assermentés sont conservées jusqu’au départ de l’agent et jusqu’à la clôture des dossiers en cours lors de son départ.  Les données relatives à l’identification des salariés habilités à accéder à l’application sont conservées le temps de l’habilitation. Les données de connexion de ces salariés sont conservées pour une durée de trois ans. 
Information et droits d’accès et de rectification