AgentPublic/cnil huggingface dataset:
Mme Astrid MARIAUX, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Joanna MASSON, juriste au service du secteur économique à la direction de la conformité ;
M. Richard MONTBEYRE, chef du service des contrôles à la direction de la protection des droits et des sanctions ;
M. Mathias MOULIN, directeur adjoint de la protection des droits et des sanctions ;
Mme Sophie NERBONNE, directrice de la conformité ;
Mme Ingrid NKOUENJIN, juriste au service des correspondants Informatique et Libertés à la direction de la conformité ;
Mme Rabia OUADDAH, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Daniéla PARROT, chef du service des plaintes à la direction de la protection des droits et des sanctions ;
M. Frédéric PATTE-BRASSEUR, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Astrid PEYRARD, adjoint au chef du service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Délia RAHAL-LOFSKOG, chef du service de la santé à la direction de la conformité ;
Mme Florence RAYNAL, chef du service des affaires européennes et internationales ;
Mme Albane RICHET, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
M. David RUIZ, juriste au service des questions sociales et ressources humaines à la direction de la conformité ;
Mme Isabelle SANSOT, juriste au service du secteur économique à la direction de la conformité ;
Mme Katty SAINT-GELAIS, juriste responsable du pôle Transferts/BCR à la direction de la conformité ;
Mme Clémence SCOTTEZ, chef du service du secteur économique à la direction de la conformité ;
Mme Emilie SERUGA-CAU, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
M. Vincent TOUBIANA, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Félicien VALLET, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
Mme Sophie BORY, juriste au service des affaires européennes et internationales ;
M. Benjamin VIALLE, responsable de la sécurité des systèmes d'information au secrétariat général ;
Mme Albine VINCENT, chef du service des correspondants Informatique et Libertés à la direction de la conformité ;
M. Christophe VIVENT, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
Mme Sophie VULLIET-TAVERNIER, directrice des relations avec les publics et la recherche.
 
Article 2
La délibération n° 2017-150 du 9 mai 2017 habilitant des agents de la CNIL à procéder à des missions de vérification est abrogée.
 
Article 3
Les habilitations mentionnées à l'article 1er sont délivrées pour une durée de cinq ans.
 
Article 4
La Commission nationale de l’informatique et des libertés, 
Saisie par la société GOCONCEPTS, le 19 janvier 2017, d’une demande de délivrance de label concernant sa formation intitulée « Correspondant Informatique et Libertés pour les collectivités locales et territoriales » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2011-315 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de formation tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, membre du Comité de labellisation et après avoir entendu les observations de Mme. Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La formation, objet de la demande, se compose comme suit : 
- Introduction ;
- Audit de conformité ;
- Analyse du risque Informatique et Libertés ;
- Le contenu d’une analyse d’impact ;
- Analyse des traitements : Que doit-on déclarer ?
- Mise en pratique des Principes de la protection des données personnelles ;
- La gestion des incidents de conformité « Informatique et Libertés » ;
- La tenue du Registre ;
- Droits des personnes – Demandes d’accès ;
- Le bilan annuel ;
- Communication et Information.
La demande de label présentée par la société GOCONCEPTS inclut les modules complémentaires suivants : 
présentation de la CNIL et de ses missions ;
présentation des formalités préalables à la mise en œuvre des traitements ;
présentation de l’encadrement des transferts de données hors de l’Union européenne ;
présentation du rôle du correspondant à la protection des données à caractère personnel ;
présentation du pouvoir de contrôle a posteriori de la CNIL ;
présentation du pouvoir de sanction de la CNIL ;
présentation des dispositions pénales associées au non-respect de la loi Informatique et libertés.
La Commission reconnaît que la formation présentée est conforme au référentiel auquel elle se rapporte, conformément à l’article 37 de son règlement intérieur.
Décide 
De la délivrance du label CNIL « formation » pour la formation intitulée « Correspondant Informatique et Libertés pour les collectivités locales et territoriales » de la société GOCONCEPTS. 
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
Pour la Présidente
Le Vice-Président délégué
Marie-France MAZARS
La Commission nationale de l’informatique et des libertés, 
Saisie par le Cabinet ACTECIL, le 13 avril 2017, d’une demande de délivrance de label concernant sa procédure d’audit intitulée « Audit de traitement nominatifs - secteur collectivités »;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2011-316 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de procédure d’audit tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Maurice RONAI, commissaire, président du Comité de labellisation et après avoir entendu les observations de Mme. Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La Commission reconnaît que l’audit de traitements présenté est conforme au référentiel auquel il se rapporte, conformément à l’article 37 de son règlement intérieur.
Décide 
De la délivrance du label CNIL « audit de traitements » pour la procédure d’audit intitulée « Audit de traitement nominatifs – secteur Collectivités » du Cabinet ACTECIL. 
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
Pour la Présidente
Le Vice-Président délégué
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par la société ANAXIL, le 12 juin 2017, d’une demande de renouvellement de label concernant sa formation intitulée « Correspondant Informatique et Libertés dans le logement social » ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11 3°c ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés notamment ses articles 32 et suivants ;
Vu la délibération n° 2011-315 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de formation tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu la délibération n° 2014-504 du 11 décembre 2014 portant labellisation de la formation intitulée « Correspondant Informatique et Libertés dans le logement social » de la société ANAXIL ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Maurice RONAI, commissaire, président du Comité de labellisation, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
L’article 44 du règlement intérieur de la CNIL prévoit que le titulaire d’un label, précédemment délivré par la Commission, peut transmettre une demande de renouvellement.
En l’espèce, la société ANAXIL a obtenu, le 11 décembre 2014 et pour une durée de trois ans, un label CNIL pour sa formation intitulée « Correspondant Informatique et Libertés dans le logement social ». 
Le 12 juin 2017, l’organisme a transmis à la Commission une demande de renouvellement.
Pour rappel, la formation, objet de la demande, se compose comme suit : 
- Introduction ;
- La CNIL ;
- Sanctions et infractions ;
- Grands principes ;
- Encadrement des transferts de données hors de l’Union Européenne ;
- Diffusion des données ;
- Le Correspondant Informatique et Libertés – principes et désignation ;
- Le Correspondant Informatique et Libertés – Pratique du métier ;
- Formalités préalables à la mise en œuvre des traitements ;
- Logement Social.
La demande de label présentée par la société ANAXIL inclut les modules complémentaires suivants : 
présentation de la CNIL et de ses missions ;
présentation des formalités préalables à la mise en œuvre des traitements ;
présentation de l’encadrement des transferts de données hors de l’Union européenne ;
présentation du rôle du correspondant à la protection des données à caractère personnel ;
présentation du pouvoir de contrôle a posteriori de la CNIL ;
présentation du pouvoir de sanction de la CNIL ;
présentation des dispositions pénales associées au non-respect de la loi Informatique et libertés.
La Commission reconnaît que la formation présentée est toujours conforme au référentiel auquel elle se rapporte, conformément à l’article 37 de son règlement intérieur.
Décide :
Du renouvellement du label CNIL « formation » pour la formation intitulée « Correspondant Informatique et Libertés dans le logement social »  de la société ANAXIL, à compter du  11 décembre 2017. 
Ce label est délivré pour une nouvelle durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
La Présidente
Pour la Présidente
Le Vice-Président délégué
Marie-France MAZARS
I. FALQUE-PIERROTIN
La Commission nationale de l’informatique et des libertés, 
Saisie par la société TNP CONSULTANTS, le 09 juin 2017, d’une demande de délivrance de label concernant sa procédure d’audit intitulée « Audit des traitements de données à caractère personnel »;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2011-316 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de procédure d’audit tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, membre du Comité de labellisation et après avoir entendu les observations de Mme. Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La Commission reconnaît que l’audit de traitements présenté est conforme au référentiel auquel il se rapporte, conformément à l’article 37 de son règlement intérieur.
Décide 
De la délivrance du label CNIL « audit de traitements » pour la procédure d’audit intitulée « Audit des traitements de données à caractère personnel » de la société TNP CONSULTANTS. 
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
Pour la Présidente
Le Vice-Président délégué
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par NATIXIS LEASE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’analyse des risques dans le cadre de l’octroi des contrats de location avec option d’achat de véhicules par les réseaux apporteurs pour le compte de NATIXIS LEASE au moyen d'un système de score ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25.I.4°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2008-198 du 9 juillet 2008 modifiant l’autorisation unique AU-005 relative à certains traitements de données à caractère personnel mis en œuvre par les établissements de crédit pour aider à l’évaluation et à la sélection des risques en matière d’octroi de crédit ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
 Formule les observations suivantes :
Responsable du traitement
NATIXIS LEASE est une entité du groupe BPCE spécialisée dans les financements locatifs.
Sur la finalité
Le traitement envisagé poursuit deux finalités.
Tout d’abord, il vise à évaluer sur la base de modèles de score le risque statistique de défaut de remboursement des contrats de locations avec option d’achats (LOA) de véhicules proposés par les réseaux apporteurs (Banque populaire ou Caisse d’épargne) pour le compte de NATIXIS LEASE.
Par ailleurs, il permet de constituer des modèles de score à utiliser à partir de l’analyse statistique des données personnelles, d’en vérifier la pertinence et de les actualiser.
Le traitement vise à sélectionner les demandes qui correspondent à un niveau de risque de défaillance jugé satisfaisant. Il est, par voie de conséquence, susceptible d’exclure, au moins de façon temporaire, une personne du bénéfice d’un contrat de crédit là où aucun texte législatif ou réglementaire ne prévoit une telle exclusion.
Dès lors, ce traitement relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 et doit, à ce titre, être autorisé par la CNIL.
La Commission estime que ces finalités sont déterminées, explicites et légitimes.
Sur les données traitées
La Commission note que les catégories de données prises en compte pour le calcul du score attaché à chaque demande de crédit figurent parmi celles prévues par l’autorisation unique AU-005, à l’exception de quelques 
variables supplémentaires qui concernent le demandeur de crédit :
. la situation de divorcé ;
. le département de naissance ;
. le secteur d’activité de l’emprunteur ;
. le type de compte,
. la note Bâle 2 octroyé par le réseau distributeur.
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente, adéquate et non excessive au sens de l'article 6 de la loi du 6 janvier 1978 modifiée.
Les modalités de conservation et de réutilisation des données sont conformes à l’autorisation unique AU 005.
Sur les destinataires
Seuls peuvent être habilités à avoir communication des données précitées, sous réserve qu’elles soient nécessaires pour l’exercice de leurs fonctions :
- Pour l’ensemble des données nécessaires à l’élaboration et à l’actualisation des modèles de score : les personnels de l’établissement de crédit ou, en cas d’appartenance à un groupe, de l’entité du groupe qui sont chargés : 
de la définition de ces modèles, 
du contrôle interne.
- Pour le seul résultat de l’application du score :
les personnels des services chargés de l’octroi de crédit et de la sélection des risques ;
les commerciaux et chargés de clientèle ayant recueilli les données ;
les personnels habilités de l’apporteur d’affaires qui, une fois terminée la saisie des données demandées par le traitement, ne peuvent accéder qu’à un message indiquant l’acceptation immédiate ou non de la demande de crédit après application du score.
Ce message ne doit plus être consultable par les personnels de l’apporteur d’affaires après la communication au demandeur et à l’apporteur de la décision définitive de l’établissement de crédit. Il ne doit être conservé sur aucun support.
La liste de ces destinataires n'appelle pas d'observation particulière.
Sur le transfert des données hors UE
Lorsque des données sont transmises vers un Etat qui n’assure pas un niveau de protection suffisant ou reconnu comme tel par une décision de la Commission européenne, le transfert ne peut être effectué que sous réserve du respect par le responsable du traitement des dispositions des articles 68 et 69 de la loi du 6 janvier 1978 modifiée.
Tout contrat conclu avec les personnes habilitées à avoir communication des données devra respecter les décisions de la Commission européenne relatives aux clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers ou des sous-traitants établis dans des pays tiers en vertu de la directive du 24 octobre 1995 susvisée.
Sur l’information et le droit d’accès
En application des dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, aucune décision produisant des effets juridiques à l’égard d’une personne ne peut être prise sur le seul fondement d’un traitement automatisé de données destiné à définir le profil de l’intéressé.
Le respect de ces obligations légales est garanti, en cas d’utilisation d’un système de score, par la mise en place des règles prévues par l’AU 005 dès lors que la demande de crédit a fait l’objet d’un refus.
En outre et conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par le chargé de clientèle des réseaux apporteurs lors de l'octroi, dans le devis et dans le
contrat de LOA véhicule.
La mention d’information qui y figure rappelle notamment que les droits d’accès et de rectification s’exercent auprès de NATIXIS LEASE 30, avenue pierre Mendès France 75013 PARIS.
La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
Le responsable du traitement prend toutes précautions utiles pour préserver la sécurité et la confidentialité des données traitées et, notamment, pour empêcher qu’elles soient déformées,
endommagées ou que des tiers non autorisés puissent en prendre connaissance.
Les accès individuels au traitement s’effectuent par un identifiant et un mot de passe individuels, régulièrement renouvelés, ou par tout autre moyen d’authentification.
Les demandes de crédit en ligne donnent lieu à la création par l’établissement de crédit d’un compte informatique, individuel et provisoire, dont l’accès est sécurisé grâce à l’attribution au client d’un code d’accès et d’un mot de passe personnel ou de toute mesure offrant un niveau de sécurité supérieur.
Les mesures prises pour sécuriser l’accès aux données sont indiquées sur le premier écran de saisie.
 
Ce compte informatique, individuel et provisoire, est clôturé lors du rejet définitif de la demande de crédit ou de l’ouverture d’un compte client informatique définitif. Aucun document ne pourra être communiqué via le compte provisoire informatique.
Les demandes de crédit en ligne sont sécurisées dès l’affichage du premier écran de saisie (exemple : en https).
Sur les autres caractéristiques du traitement
Les autres caractéristiques du traitement respectent le cadre juridique défini par l’autorisation unique précitée.
Autorise, conformément à la présente délibération, NATIXIS LEASE à mettre en œuvre le traitement susmentionné.
Pour la Présidente
Le Vice-Président délégué
Marie-France MAZARS