AgentPublic/cnil huggingface dataset:
(Demande d’autorisation n° 1797177)
La Commission nationale de l'informatique et des libertés,
Saisie par la société TRANSAT FRANCE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalités l’évaluation des risques et la prévention de la fraude au paiement ;
Vu la Convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-4° ;
Vu le décret n°2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. François PELLEGRINI, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
La société TRANSAT France est une filiale du voyagiste international TRANSAT A.T Inc, spécialisée dans les grands voyages et circuits.
Sur la finalité
La société TRANSAT FRANCE a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation relative à la mise en œuvre d’un traitement ayant pour finalité la prévention de la fraude à la carte de paiement. Afin de lutter contre les tentatives de fraude aux moyens de paiement, elle a recours à un outil d’évaluation des risques présentés par les paiements effectués sur son site Internet. La Commission considère que ce traitement peut avoir pour effet d’exclure des personnes du bénéfice d’un contrat en l’absence de toute disposition légale ou réglementaire le prévoyant en leur ôtant la possibilité de passer une commande sur le site internet de la société TRANSAT FRANCE. Les fraudes recherchées correspondent à des utilisations illégitimes de cartes ou des données qui y sont attachées lorsque ces utilisations risquent de générer un impayé pour la société TRANSAT FRANCE. Les utilisations d’une carte par son titulaire légitime qui sont rendues irrégulières du seul fait d’un défaut de provision ne font pas partie des risques de fraude qui donnent lieu à la production d’alerte.Seules les réservations sur le site Internet TRANSAT FRANCE présentant un risque accru de fraude font l’objet d’une analyse par l’outil de détection de fraude.En cas de transaction identifiée comme présentant un risque de fraude, le service chargé de la prévention de la fraude procède à une analyse manuelle et approfondie de la commande afin de confirmer ou non le caractère
frauduleux de la transaction. Un contact peut être pris avec le client afin de lui demander de confirmer certaines informations, avec le cas échéant communication de pièces justificatives. Si les vérifications complémentaires permettent d’écarter tout risque de fraude, la commande se poursuit normalement. Dans le cas contraire, elle est annulée.Aucune liste recensant les personnes à risque n’est mise en œuvre. La Commission prend acte que, conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, les résultats du traitement feront l’objet d’une instruction par le service chargé de la prévention de la fraude au cas par cas, et non automatisée. La Commission considère que cette finalité est déterminée, explicite et légitime.
Sur les données traitées
Les données traitées dans le cadre de l’outil de prévention de la fraude sont les suivantes : 
nom ;
prénom ;
adresse ;
adresse électronique ;
numéro de téléphone ;
Les critères pris en compte pour l’analyse des risques présentés par la commande prennent en compte les données mentionnées ci-dessus et sont basés sur des règles de fréquence et de récurrence déterminées par TRANSAT FRANCE. 
Une copie de la pièce d’identité et un justificatif de domicile de la personne ayant passé commande peuvent également être collectés dans des conditions permettant de garantir la transmission et la conservation de ces documents de manière  sécurisée.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
L’accès au traitement est restreint aux seuls collaborateurs habilités de la cellule de la prévention de la fraude de la société TRANSAT FRANCE. Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées au préalable de la mise en œuvre du traitement, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention figurant dans les conditions générales de vente devant être accepté par le client avant de valider sa commande, d’un message apparaissant sur la page de paiement du site Internet et par un e-mail adressé automatiquement lors de la confirmation de réservation pour chaque transaction concernée par le système de prévention.Les droits d’accès et de rectification s’exercent auprès du service back office ou marketing de la société TRANSAT France au 12, rue Truillot, 94200 Ivry sur seine.
Sur les mesures de sécurité
Chaque utilisateur dispose d'un identifiant qui lui est propre. Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin.Le responsable de traitement a mis en place une politique de mot de passe qui exige que ceux-ci aient une longueur minimale de 8 caractères, et qu’ils contiennent au moins un chiffre, une minuscule et un caractère spécial.Les postes de travail disposent d'un logiciel antivirus mis à jour régulièrement.Des sauvegardes quotidiennes sont réalisées.Les interventions de maintenance font l'objet d'une traçabilité.Une journalisation des opérations de consultation, création et modification du traitement est réalisée.Les communications intervenant sur le réseau informatique interne sont filtrées.L'accès aux locaux est restreint au moyen de portes verrouillées contrôlées par un moyen d'authentification personnel.
Sur les autres caractéristiques du traitement
Lorsqu’elles sont collectées, les copies de la pièce d’identité et du justificatif de domicile sont détruites dans un délai de six mois à compter de leur collecte.Ces autres caractéristiques n’appellent pas d’observation.
Autorise, conformément à la présente délibération, TRANSAT FRANCE à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1720111)
La Commission nationale de l'informatique et des libertés,
Saisie par la société SANOFI PASTEUR MSD S.N.C. d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’identification et l’analyse de risques relatifs aux conflits d’intérêt apparents ou potentiels de ses partenaires ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 7-5° et 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-Hélène MITJAVILE, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
SANOFI Pasteur MSD S.N.C. (ci-après « SPMSD ») est une société en nom collectif spécialisée dans le commerce de produits pharmaceutiques, issue d’un partenariat entre le laboratoire français SANOFI PASTEUR et le groupe pharmaceutique américain MERCK & Co., Inc. (connu sous l’acronyme « MSD » en dehors des États-Unis et du Canada), dont le siège est à Lyon, en France.La société SPMSD fabrique et commercialise les vaccins à utilisation humaine développés par les sociétés MSD et SANOFI PASTEUR. La société SPMSD possède des filiales dans treize pays de l’Union européenne, en Suisse et en Norvège.
Sur la finalité
Sur le fondement de l’article 25-I-4 de la loi du 6 janvier 1978 modifiée qui prévoit que sont soumis à autorisation préalable les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire, la Commission a été saisie par la société SPMSD d’une demande d’autorisation relative à un traitement ayant pour finalité la prévention de la corruption. Ce traitement consiste à mettre en œuvre un processus de gestion des conflits d’intérêts (« COI ») apparents ou potentiels de ses partenaires.La Commission considère qu’il y a lieu d’analyser le traitement au regard de l’article 7-5° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements de données à caractère personnel peuvent être mis en œuvre notamment dans l'intérêt légitime du responsable de traitement, dès lors que celui-ci est établi, sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux des personnes concernées. La société SPMSD se prévaut notamment à l’appui de sa demande d’autorisation des dispositions du « Foreign Corrupt Practices Act » américain (ci-après FCPA) en date du 20 décembre 1977, du « UK Bribery Act », ci-après UKBA et des articles 435-3 et suivants du code pénal français.Le renforcement des législations européenne et internationale en matière de lutte contre la corruption, en particulier
dans le cadre des relations avec des agents publics, conduit des sociétés telles que SPMSD à mettre en place un système de détection et de prévention de la corruption. En particulier, la loi britannique UKBA du 8 avril 2010 impose la mise en œuvre de procédures de contrôles préalables (« due diligence ») dans les entreprises multinationales dans le domaine de la lutte contre la corruption.Le groupe MSD est soumis au FCPA non seulement en ce qui concerne ses propres activités, mais aussi au titre des sociétés non américaines qui lui sont affiliées, dont fait partie SPMSD. S’agissant de l’UK Bribery Act, les sociétés françaises sont soumises à cette législation dès lors qu'elles ont une activité, même partielle, sur le territoire du Royaume-Uni, ou qu'elles sont partenaires de sociétés soumises à l’UKBA.Afin d’assurer la conformité de la société à ces dispositions, SPSMD a mis en place une politique et des procédures internes encadrant les relations avec les partenaires et applicables à toutes les sociétés du groupe.Le traitement envisagé par la société SPMSD vise à s’assurer qu’elle opère à tout moment en conformité avec les lois et les codes de conduite de l’industrie pharmaceutique, qui interdisent la corruption et l’influence inappropriée. Le traitement concerne essentiellement des professionnels de santé et de manière ponctuelle des responsables d’organisations à but non lucratif, des dirigeants de sociétés ou toute personne/dirigeant de toute autre organisation.Le
processus COI repose sur un système d’évaluation progressive, adaptée aux risques encourus. La Commission estime que le traitement répond à l’intérêt légitime du responsable du traitement conformément à l’article 7-5° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les catégories de données traitées, relatives au partenaire de la société SPMSD avec lequel une interaction est envisagée, portent sur : 
L’identification du partenaire : nom, prénom, numéro d’enregistrement professionnel (le cas échéant) ;
Les informations de contact du partenaire : adresse professionnelle, adresse électronique, numéro de téléphone ; 
L’activité professionnelle et le type de position d’influence potentielle ;
Les informations relatives aux précédentes interactions avec le partenaire.
Lorsqu'un partenaire potentiel indique qu'un membre de sa famille a une position d’influence, la société SPMSD ne collecte pas l'identité de cette personne dans le questionnaire, ni ultérieurement. Aucun contact n'est établi avec ce tiers. La société SPMSD ne cherche pas à identifier la personne en question. La nature de la position et le degré de parenté suffisent pour l’analyse et la prise de décision.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
Les opérations de vérification et d’analyse sont réalisées par les Process Manager, les Contacts COI et les Décisionnaires dûment habilités. Ils peuvent, de façon exceptionnelle, demander l’intervention d’autres services en raison de leur expertise financière ou juridique. Ces personnes n’interviendront qu’en tant que de besoin et n’auront accès qu’aux données nécessaires à leur expertise.La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données traitées.
Sur l’information et le droit d’accès 
Les personnes concernées seront informées de la politique menée par la société SPMSD en matière de lutte contre la corruption par une mention figurant dans le questionnaire et la lettre d’information l’accompagnant. La COI Fact Sheet mentionne les coordonnées du département juridique désigné par la société SPMSD pour permettre aux personnes concernées d’exercer leurs droits d’accès, de rectification et d’opposition reconnus par les articles 38, 39 et 40 de la loi Informatique et Libertés.
Sur les mesures de sécurité
Des mesures sont prises afin de préserver la sécurité et la confidentialité des données et, notamment, empêcher que des tiers non autorisés y aient accès. L’accès à la base de données COI et les opérations effectuées sur les données sont tracés.L’accès à la base de données COI est protégé par un mécanisme d’authentification basé sur un identifiant et un mot de passe personnels. La politique de gestion des mots de passe de l’entreprise impose à chaque utilisateur de changer de mot de passe tous les 60 jours. Il ne peut réutiliser les 6 derniers mots de passe. Les mots de passe doivent avoir une longueur minimum de 8 caractères, avec au moins trois types de caractères différents. Le mot de passe ne peut être identique au nom de l’utilisateur. Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi Informatique et Libertés. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
En raison de l’organisation de SPMSD au niveau européen, les données peuvent être transférées dans les pays où SPMSD opère, lorsqu’un partenaire y dispose d’une position d’influence. Ces pays sont situés au sein de l’Union européenne ou en Suisse et en Norvège (pays reconnus par la Commission européenne comme offrant un niveau de protection suffisant).Les données issues des COI Fact Sheets et des Grilles d’Analyse COI sont conservées dans la base de données COI pendant un an, puis archivées pendant 10 ans.
Autorise, conformément à la présente délibération, SANOFI Pasteur MSD S.N.C. à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie par le ministre des finances et des comptes publics d'une demande d'avis portant sur un projet d'arrêté modifiant l'arrêté du 15 juin 2007 relatif à la mise en service par la direction générale des impôts et la direction générale de la comptabilité publique d'un traitement automatisé d'informations à caractère personnel dénommé  Gestion des affaires informatisées - GAIA  ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 27-II-4°et 30-II ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu l'arrêté du 15 juin 2007 modifié relatif à la mise en service par la direction générale des impôts et al direction générale de la comptabilité publique d'un traitement automatisé d'informations à caractère personnel dénommé  Gestion des affaires informatisées - GAIA  ;Vu le dossier et ses compléments ;Sur la proposition de M. Jean-Luc VIVET, commissaire, et
après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Émet l'avis suivant :La Commission nationale de l'informatique et des libertés a été saisie d'une demande d'avis portant sur un projet d'arrêté modifiant l'arrêté du 15 juin 2007 relatif à la mise en service par la direction générale des impôts et la direction générale de la comptabilité publique d'un traitement automatisé d'informations à caractère personnel dénommé  Gestion des affaires informatisées - GAIA .
Ce traitement, sur lequel la Commission n'a pas rendu de délibération expresse, est mis en œuvre par la direction générale des finances publiques (DGFiP). Il offre la possibilité aux usagers de l'administration fiscale de gérer et de suivre leurs démarches fiscales courantes à distance. Les demandes relatives à ces démarches (réclamations, demandes de délai de paiement, questions diverses, etc.) sont transmises via Internet, à partir de leur espace abonné dans le portail fiscal (www.impôts.gouv.fr), et sont ensuite orientées vers les services gestionnaires compétents. Il relève dès lors des dispositions de l'article 27-II-4° de la loi du 6 janvier 1978 modifiée et les modifications apportées à l'arrêté du 15 juin 2007 susvisé nécessitent un avis motivé et publié de la Commission. 
Le traitement GAIA contient notamment une application  bloc-notes  permettant aux agents habilités de l'administration fiscale d'annoter les informations nécessaires à la bonne gestion du dossier des usagers et à améliorer le dialogue avec ces derniers.
Les modifications envisagées par le ministère visent à étendre l'accès aux  zones bloc-notes  à d'autres services que ceux initialement prévus. Plus précisément, il s'agit de permettre à tous les services en charge du contrôle fiscal amenés en cours de vérification, de contrôle sur pièce ou d'actes de recherche, de consulter le bloc-notes d'un usager, voire de l'annoter pour transmettre des informations utiles aux services en charge du recouvrement  intervenant également sur le dossier fiscal de l'usager concerné. De la même manière, cette extension doit permettre aux services de direction en charge du contrôle fiscal, du domaine des particuliers, des professionnels et du recouvrement d'accéder, sous réserve du strict besoin d'en connaître, aux informations saisies par les services dans le bloc-notes.
La Commission relève que ces modifications ne nécessitent pas une révision des termes de l'arrêté du 15 juin 2007, lequel prévoit déjà, en son article 4, que sont destinataires des informations contenues dans le traitement GAIA, les  agents de la direction générale des finances publiques habilités dans le cadre des missions d'assiette, de contrôle, de contentieux et de recouvrement qui leur sont dévolues .
Elle prend acte des garanties apportées par le ministère selon lesquelles, outre la mise en place d'une traçabilité permettant de connaître les agents ayant alimenté le bloc-notes, une campagne annuelle d'information et de sensibilisation des agents habilités à accéder au traitement GAIA et qui auront un accès au bloc-notes rappellera à ces derniers les règles à respecter et les bonnes pratiques à adopter en matière de renseignement d'informations dans une zone de saisie libre. Un guide de préconisations pour le bon usage du bloc-notes sera également remis à ces agents. Enfin, la Commission prend acte que le ministère prévoit d'intégrer une recommandation spécifique dans les champs du bloc-notes, par le biais d'un filigrane ou d'une surimpression rappelant la nécessité de n'y enregistrer que des commentaires appropriés, pertinents au regard du contexte et ne comportant aucune appréciation subjective ou données sensibles au sens de l'article 8 de la loi du 6 janvier 1978 modifiée. 
L'article 5-I de l'arrêté du 15 juin 2007 précité indique que la durée de conservation des données à caractère personnel traitées dans GAIA est de quatre ans avant l'archivage, de dix ans avant l'opération de purge des contacts et des affaires, à l'exception des informations contenues dans le bloc-notes qui sont conservées pendant deux ans.
L'article 1er du projet d'arrêté modifie ces dispositions afin de permettre, par exception, la prolongation du délai de purge des informations contenues dans le bloc-notes, lorsque le contenu de l'annotation répond à des besoins métiers spécifiques. La Commission prend acte des précisions apportées par le ministère selon lesquelles la prolongation du délai de purge pourra intervenir en cas de rescrit fiscal, d'événement mettant en jeu la responsabilité personnelle et pécuniaire du comptable public ou tant que la créance n'est pas soldée, de prise de position formelle dans le cadre d'un contrôle fiscal ainsi qu'en présence de toutes informations à caractère durable sur les caractéristiques patrimoniales, juridiques et de localisation du dossier. Elle s'interroge néanmoins sur ce que recoupe cette dernière catégorie et considère que cette formulation mériterait d'être clarifiée. De manière générale, la Commission demande que l'article 1er du projet d'arrêté soit modifié afin d'énumérer, de manière exhaustive, les événements susceptibles d'être concernés par cette prolongation.
Elle prend acte que cette annotation sera conservée tant qu'il n'aura pas été mis fin à la prolongation du délai de purge, ce qui n'appelle pas d'observation particulière, sous réserve que cette durée n'excède pas le délai maximal envisagé pour la conservation des informations prévues pour les événements précités. En tout état de cause, la Commission rappelle l'importance de s'assurer que les données ainsi conservées n'excèdent pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l'article 6-5° de la loi du 6 janvier 1978 modifiée. Dans le cas contraire, elles devront être effacées.
Enfin, en ce qui concerne les mesures de sécurité entourant l'application  bloc-notes  du traitement GAIA, la Commission relève que des garanties sont prévues afin de s'assurer notamment que des tiers non autorisés n'aient pas accès aux données contenues dans celle-ci. Le dispositif de profil d'habilitation mis en place dans le cadre du traitement GAIA s'applique à l'accès au bloc-notes en consultation ou en écriture. Outre la mise en œuvre d'opérations de contrôle interne et la traçabilité des actions effectuées par les agents sur les informations relatives aux démarches des usagers dans GAIA, une traçabilité spécifique des actions effectuées par ces agents, sur le bloc-notes est mise en œuvre. De manière générale, la Commission considère que les mesures de sécurité décrites et prévues par le responsable de traitement sont conformes à l'article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. 
La Présidente
I. FALQUE-PIERROTIN