AgentPublic/cnil huggingface dataset:
Par sa délibération n° 2008-198 du 9 juillet 2008 modifiant l’autorisation unique AU-005, la Commission a autorisé les traitements mis en œuvre par les établissements de crédit pour aider à l’évaluation et à la sélection des risques en matière d’octroi de crédit sous réserve que les finalités de ces traitements, les catégories de données utilisées et leurs destinataires n’excèdent pas le cadre qui y est défini, que ces traitements remplissent également les conditions qui y sont fixées, et que les responsables de ces traitements adressent à la CNIL un engagement de conformité à l’autorisation unique AU-005.
Tout projet de traitement automatisé dont les finalités ou les catégories de données ou de destinataires excèdent le cadre de cette autorisation unique ou qui ne respecterait pas les exigences qui y sont définies, doit, en revanche, faire l’objet d’une demande d’autorisation spécifique présentant et expliquant les différences entre le traitement envisagé et l’autorisation unique.
L’analyse des caractéristiques du traitement qui est l’objet de la présente demande fait apparaître plusieurs différences par rapport à l’AU-005 qui, de ce fait, doivent faire l’objet d’une autorisation spécifique de la Commission.
Les catégories de données prises en compte pour le calcul du score attaché à chaque demande de crédit sont celles prévues par l’autorisation unique AU-005 mais également :
- Certaines variables supplémentaires concernant le demandeur de crédit :
la situation de divorcé,
le type de contrat de travail,
certaines variables sont croisées : l’âge du demandeur et la situation familiale, le type et l’ancienneté de l’habitat, la situation de famille et le nombre d’enfants, les revenus et le nombre d’unités de consommation du foyer.
- D’autres variables supplémentaires se rapportant aux autres personnes qui contribuent aux revenus du ménage : l’ancienneté professionnelle du conjoint, croisée avec son code socioprofessionnel, son taux d’endettement.
Le traitement tient également compte :
du nombre global des crédits non encore intégralement remboursés, qui ont été consentis au demandeur par BNP Paribas Personal Finance ou les établissements de crédits qui lui sont liés,
du montant global restant à rembourser correspondant à ces crédits,
des demandes d’augmentation du plafond d’un découvert toujours en cours, lorsqu’elles ont été refusées par le Crédit Moderne Océan Indien.
La Commission estime que la prise en compte de ces données est adéquate, pertinente et non excessive au regard de la finalité poursuivie. Elle rappelle que les modalités de levée du secret bancaire doivent être conformes aux dispositions de l’article L. 511-33 du code monétaire et financier.
Les demandeurs de crédit bénéficient de l’information prévue à l’article 32 de la loi du 6 janvier 1978 préalablement au recueil des données personnelles, dans les conditions définies à l’article 90 du décret n° 2005-1309 susvisé, notamment en cas de commercialisation des crédits par voie téléphonique.
Par ailleurs, les conditions d’utilisation du résultat de l’application du score font apparaître des différences par rapport à l’autorisation unique 005 :
Les personnels habilités à participer à l’entretien prévu en vue du réexamen des demandes de crédit rejetées, dans un premier temps, par le système de score, disposeront de pouvoirs de délégation leur permettant de proposer, après prise en compte des observations du demandeur de crédit sur sa situation financière personnelle, une nouvelle décision. Cependant, cette nouvelle proposition n’entrera en vigueur que si elle est contresignée par un responsable hiérarchique habilité.
La Commission rappelle que ces règles de procédures et les critères à prendre en compte pour octroyer un crédit dans le cadre de cette procédure doivent être définis dans des instructions internes adressées aux personnels concernés.
En ce qui concerne les demandes de crédit satisfaites qui ont été présentées par de nouveaux clients, le déclarant prévoit également d’utiliser le résultat du score pour évaluer le risque de crédit associé à l’emprunteur au titre du système de notation interne dit Bâle II. La « note Bâle II » sera, dans cette hypothèse, le résultat du score. En effet, le responsable du traitement ne disposera pas, en de telles circonstances, d’autres éléments de référence jugés pertinents au regard des exigences de la maîtrise du risque.
La Commission reconnaît la légitimité de l’utilisation du résultat du score en tant que « note Bâle II » d’un nouvel emprunteur aussi longtemps que l’établissement de crédit n’est pas en possession d’informations plus pertinentes pour évaluer le risque de crédit qu’il représente. Elle note que la durée de conservation de ce résultat ne dépassera pas trois mois.
Enfin, s’agissant des garanties prises vis à vis des apporteurs d’affaires pour empêcher toute utilisation des données transmises par la société Crédit Moderne Océan Indien qui ne seraient pas conformes à la finalité du traitement, les clauses contractuelles prévoient une obligation de confidentialité.
Les autres caractéristiques du traitement mis en œuvre par la société Crédit Moderne Océan Indien sont conformes à l’autorisation unique AU 005.
Autorise, dans les conditions prévues par le dossier du demandeur et la présente délibération, la société Crédit Moderne Océan Indien à mettre en œuvre le traitement automatisé d’aide à la décision d’octroi de prêt immobilier.
Le Président
Alex TURK
(demande d’autorisation n°1306450)
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-I-4° ;
Vu le code monétaire et financier ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978 modifiée par la loi n° 2004-810 du 6 août 2004 ;
Vu la délibération n°2008-198 du 9 juillet 2008 modifiant l’autorisation unique n°AU-005 relative à certains traitements de données à caractère personnel mis en œuvre par les établissements de crédit pour aider à l’évaluation et à la sélection des risques en matière d’octroi de crédit ; 
Vu la demande d’autorisation déposée par la société Crédit Moderne Antilles Guyane relative à un traitement automatisé de données à caractère personnel ayant pour finalité l’aide à la décision d’octroi de crédit et la prévention des impayés ;
Après avoir entendu M. Jean-Paul AMOUDRY, commissaire, en son rapport, et de  Mme Elisabeth ROLIN, commissaire du gouvernement, en ses observations.
Formule les observations suivantes :
La société Crédit Moderne Antilles Guyane a saisi la Commission nationale informatique et libertés d’un dossier relatif à la mise en œuvre d’un traitement de données à caractère personnel dont la finalité est l’aide à la décision d’octroi de crédit et la prévention des impayés. 
Le traitement de données à caractère personnel soumis à l’examen de la Commission doit permettre d’évaluer, sur la base de modèles de score, le risque statistique de défaut de remboursement attaché à chaque demande de crédit qui lui est présentée et de constituer des modèles de score à partir de l’analyse statistique des données personnelles en sa possession, d’en vérifier la pertinence et de les actualiser.
Ce traitement permet d’évaluer pour chaque personne présentant une demande de prêts immobiliers, le risque statistique de défaillance qui lui est attaché et de sélectionner les demandes qui correspondent à un niveau de risque acceptable de défaillance. Il est, par voie de conséquence, susceptible d’exclure, au moins de façon temporaire, une personne du bénéfice d’un contrat là où aucun texte législatif ou réglementaire ne prévoit une telle exclusion.
Dès lors, ce traitement relève de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée et doit, à ce titre, être autorisé par la Commission.
la situation de divorcé,
le type de contrat de travail,
certaines variables sont croisées : l’âge du demandeur et la situation familiale, le type et l’ancienneté de l’habitat, la situation de famille et le nombre d’enfants, les revenus et le nombre d’unités de consommation du foyer.
- D’autres variables supplémentaires se rapportant aux autres personnes qui contribuent aux revenus du ménage : l’ancienneté professionnelle du conjoint, croisée avec son code socioprofessionnelle, son taux d’endettement.
Le traitement tient également compte :
du nombre global des crédits non encore intégralement remboursés qui ont été consentis au demandeur par BNP Paribas Personal Finance ou les établissements de crédits qui lui sont liés
du montant global restant à rembourser correspondant à ces crédits
des demandes d’augmentation du plafond d’un découvert toujours en cours, lorsqu’elles ont été refusées par le Crédit Moderne Antilles Guyane.
La Commission estime que la prise en compte de ces données est adéquate, pertinente et non excessive au regard de la finalité poursuivie. Elle rappelle que les modalités de levée du secret bancaire doivent être conformes aux dispositions de l’article L. 511-33 du code monétaire et financier.
Les demandeurs de crédit bénéficient de l’information prévue à l’article 32 de la loi du 6 janvier 1978 préalablement au recueil des données personnelles, dans les conditions définies à l’article 90 du décret n°2005-1309 susvisé, notamment en cas de commercialisation des crédits par voie téléphonique.
Par ailleurs, les conditions d’utilisation du résultat de l’application du score font apparaître des différences par rapport à l’autorisation unique 005 :
Les personnels habilités à participer à l’entretien prévu en vue du réexamen des demandes de crédit rejetées, dans un premier temps, par le système de score, disposeront de pouvoirs de délégation leur permettant de proposer, après prise en compte des observations du demandeur de crédit sur sa situation financière personnelle, une nouvelle décision. Cependant, cette nouvelle proposition n’entrera en vigueur que si elle est contresignée par un responsable hiérarchique habilité.
La Commission rappelle que ces règles de procédure et les critères à prendre en compte pour octroyer un crédit dans le cadre de cette procédure doivent être définis dans des instructions internes adressées aux personnels concernés.
En ce qui concerne les demandes de crédit satisfaites qui ont été présentées par de nouveaux clients, le déclarant prévoit également d’utiliser le résultat du score pour évaluer le risque de crédit associé à l’emprunteur au titre du système de notation interne dit Bâle II. La « note Bâle II » sera, dans cette hypothèse, le résultat du score. En effet, le responsable du traitement ne disposera pas, en de telles circonstances, d’autres éléments de référence jugés pertinents au regard des exigences de la maîtrise du risque.
La Commission reconnaît la légitimité de l’utilisation du résultat du score en tant que « note Bâle II » d’un nouvel emprunteur aussi longtemps que l’établissement de crédit n’est pas en possession d’informations plus pertinentes pour évaluer le risque de crédit qu’il représente. Elle note que la durée de conservation de ce résultat ne dépassera pas trois mois. 
Enfin, s’agissant des garanties prises vis à vis des apporteurs d’affaires pour empêcher toute utilisation des données transmises par la société Crédit Moderne Antilles Guyane qui ne seraient pas conformes à la finalité du traitement, les clauses contractuelles prévoient une obligation de confidentialité.
Les autres caractéristiques du traitement mis en œuvre par la société Crédit Moderne Antilles Guyane sont conformes à l’autorisation unique AU 005.
Autorise, dans les conditions prévues par le dossier du demandeur et la présente délibération, la société Crédit Moderne Antilles Guyane à mettre en œuvre le traitement automatisé d’aide à la décision d’octroi de prêt immobilier.
Le Président
Alex TURK
(Demande d’autorisation n°1404368)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la délibération de la CNIL n°2005-305 du 8 décembre 2005 portant autorisation unique AU-004 de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle ;
Vu la demande d’autorisation, présentée par la Société ARPA France SARL le 16 décembre 2009, d’un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
La société ARPA France SARL filiale à 100% de la société Arpa Industriale S.p.A a déposé un dossier de demande d’autorisation de mise en œuvre d’un dispositif de traitement de données à caractère personnel dénommé « Traitement d’alertes professionnelles », conformément au Code Néerlandais de bonne gouvernance d’entreprise auquel la société mère du Groupe Arpa Industriale S.p.A. ( Broadview Holding B.V. ) est soumise et qui impose la mise en place d’un système d’alerte professionnelle pour les sociétés cotées.
La Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire. 
La Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle. 
Elle observe que le traitement objet de la présente délibération répond à toutes les exigences prévues par l’autorisation unique, à l’exception du fondement juridique indiqué à l’article 1. En effet, le traitement se fonde sur le respect des dispositions du Code Néerlandais de bonne gouvernance d’entreprise.
La Commission doit, par conséquent, procéder à une analyse spécifique du traitement soumis à son appréciation, au regard des principes relatifs à la protection des données à caractère personnel, et notamment, de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
La Commission constate :
que le dispositif d’alerte professionnelle envisagé par la société ARPA France SARL est complémentaire par rapport aux autres modes d’alerte dans l’entreprise,
que son utilisation est facultative, aucune sanction ne pouvant être prise à l’encontre d’un salarié en cas de non utilisation du dispositif. 
Elle estime, par ailleurs, qu’afin de tenir compte de ce caractère intrinsèquement complémentaire, un dispositif d’alerte doit être limité dans son champ.
La Commission relève que le dispositif d’alerte professionnelle indique que l’utilisation est strictement limitée aux manquements sérieux qui s’appliquent aux domaines financier, comptable, et de lutte contre la corruption.
Aucune autre irrégularité ne doit être signalée par le biais de ce dispositif.
La Commission estime qu’en l’espèce le dispositif d’alerte qui lui est présenté est limité dans son champ et répond à l’intérêt légitime du responsable du traitement.
Par ailleurs, la Commission observe que le dispositif soumis par la société ARPA France SARL n’est pas conçu pour inciter des signalements anonymes. L’émetteur de l’alerte professionnelle doit s’identifier auprès du service dédié au sein de la société ARPA France SARL pour recueillir les alertes. Son identité est traitée de façon confidentielle par les personnes chargées de la gestion des alertes.
Les droits d’accès et de rectification s’exercent directement par courrier électronique auprès du Directeur Général de la société ARPA France.
Les catégories de données à caractère personnel enregistrées sont identiques à celles mentionnées dans l’autorisation unique n°4 (Délibération n°2005-305 du 8 décembre 2005). 
Les destinataires des informations sont, dans la limite de leurs attributions, les personnes dédiées au traitement des alertes au sein de la société ARPA France SARL.
Dans ces conditions, la Commission autorise la société ARPA France SARL à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle.
Le Président,
Alex TURK
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-3° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu l’article R212-43 du Code de l’organisation judicaire
Sur le rapport de Mme Claire DAVAL, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, l’Association d’Enquête et de Médiation à mettre en œuvre un traitement de données à caractère personnel reposant sur les décisions de justice, procès verbaux et autres documents de procédure transmis par les cours et tribunaux et ayant pour finalité le suivi administratif et statistique, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Responsable du traitement
l’Association d’Enquête et de Médiation
Finalités
La finalité du traitement est le suivi administratif et statistique des dossiers confiés à l’association et notamment par les réquisitions du parquet, les ordonnances et jugements des magistrats et les procès verbaux des gendarmeries et commissariats.
Fonctions
Les fonctions suivantes seront remplies par le traitement :Saisie informatique de dossiers papier de jugements, de procès verbaux et tout autre document relatif aux procédures judiciaires
Données traitées
Les catégories de données à caractère personnel enregistrées sont :
le nom, prénom, adresse, la date et lieu de naissance
la situation familiale et professionnelle, les revenus
les infractions, condamnations, mesures de sûreté et de sécurité
Durée de conservation des données
Les informations sont conservées pendant une durée de 6 ans conformément aux délais de clôture des dossiers de médiation et de contrôle judiciaire.
Destinataires
Les seules personnes autorisées à accéder au traitement sont, dans la limite de leurs attributions respectives :
le personnel permanent du siège social 
les responsables départementaux 
le personnel administratif en charge de la saisie des données sous la responsabilité du responsable départemental 
les psychologues et assistants socio judiciaires habilités sous la responsabilité du responsable départemental
L’accès au traitement se fait au moyen d’un mot de passe individuel pour chacune des personnes habilitées.
Information et droit d’accès
Les personnes seront informées de la finalité du traitement, des destinataires des informations, de l’existence et des modalités d’exercice de leurs droits par voie d’affichage.Le droit d’accès et de rectification défini au chapitre V de la loi s’exerce auprès de l’Association d’Enquête et de Médiation, Siège social, 9 rue Blériot, 60100 Creil par courrier.
Le Président
Alex TURK
Autorise à titre expérimental, et pour une durée de 8 mois, dans les conditions définies dans le dossier, le Conseil supérieur du notariat à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la transmission dématérialisée des déclarations d’intention d’aliéner, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Responsables du traitement
Le Conseil supérieur du notariatL’expérience pilote ne concerne que les notaires appartenant à la Chambre interdépartementale des notaires de l’Hérault et désignés pour participer à l’expérimentation.L’expérience pilote ne concerne que les communes de Murviel-les-Béziers, Castires, Bessan, Saint André de Sangonis, Pézenas, Lunel et Marsillargues.
Finalités
La finalité du traitement mis en œuvre est la dématérialisation des échanges et de la procédure d’instruction des DIA, en vue d’accélérer leur traitement.L’expérimentation, prévue pour une durée de 8 mois environ, consiste en l’interconnexion des serveurs Planète des notaires et l’application Lidia du Conseil Général de l’Hérault et vise à évaluer les gains, en temps et en qualité des données, de la dématérialisation de ces échanges, ainsi que les impacts en termes d’organisation (pour les communes comme pour les notaires). 
Fonctions
Pendant la durée de l’expérimentation, seules les fonctions suivantes seront remplies par le traitement :
l’intégration automatique dans l’application Lidia des données contenues dans les DIA dématérialisée ;
suivi de l’instruction des dossiers ;
représentation géographique des biens concernés par les DAI ;
génération des courriers d’irrecevabilité ou de non préemption ;
Données traitées
Les données à caractère personnel concernées par cet échange dématérialisé sont celles qui doivent être renseignées dans le formulaire simplifié, pour les biens qui doivent faire l’objet d’une déclaration d’intention d’aliéner :- informations relatives au titulaire du droit de propriété sur le bien (personne physique ou personne morale) : civilité, nom et prénoms , dénomination, forme juridique, civilité et fonction du représentant, adresse du siège social, nom de chaque co-indivisaire ;- informations relatives au demandeur/requérant (notaire) : civilité, nom et prénoms, titre et qualité, fonction, raison sociale de l’office, numéro CRPCEN de l’office, adresse professionnelle, numéro de téléphone, adresse électronique, référence courrier notarial ;- informations relatives au bien et aux droits sur le bien : situation (commune, département, adresse), superficie, références cadastrales, désignation du bien (immeuble bâti ou non), description des locaux et de la copropriété, quote-part du bien vendu, date d’achèvement du bâtiment, droits sociaux (désignation de la société et des droits), usage et occupation, droits réels ou personnels ;- modalités de la cession : vente amiable (prix de vente ou évaluation, modalités de paiement), adjudication (nature et modalités), rente viagère ;- existence d’un droit de préférence ou d’un droit de préemption ; existence d’une zone d’aménagement différé, existence d’une zone de préemption délimitée au titre des espaces naturels sensibles de