AgentPublic/cnil huggingface dataset:
La Commission prend acte que la procédure de droit d’accès indirect ne sera appliquée qu’aux seules données relatives à la nature et à l’identification du ou des comptes détenus.
En conséquence, à compter de la date de publication de l’arrêté modificatif, le titulaire du droit d’accès continuera à avoir le droit d’obtenir directement communication, auprès de l’administration fiscale, des données d’identification le concernant en tant que titulaire d’un ou plusieurs comptes recensés dans l’application, tandis que les données relatives à la nature et à l’identification de ces comptes relèveront désormais de la procédure de droit d’accès indirect.
Conformément à l’article 41 de la loi, les requérants devront en conséquence adresser leur demande de droit d’accès à ces informations à la Commission ; en cas d’accord avec le ministère, les informations dont la communication ne portent pas atteinte au contrôle ou au recouvrement des impositions pourront être communiquées au requérant.
Ce dispositif ne fait pas obstacle à l’application des dispositions des deux derniers alinéas de l’article 40 de la loi du 6 janvier 1978 modifiée, en application desquels les héritiers d’une personne décédée justifiant de leur identité peuvent exiger qu’un traitement soit mis à jour afin de prendre en compte ce décès.
La Commission prend aussi acte que le ministère, au-delà de la prise en compte de ce droit, indique à tout héritier qui le saisit si chaque compte identifié dans sa demande est ouvert, en cours de succession ou clos.
La déclaration et le projet d’arrêté modificatif dont a été saisie la Commission ont aussi pour objet de permettre la consultation du fichier « FICOBA » aux comptables du Trésor en charge du recouvrement des créances des collectivités territoriales et de leurs établissements et de modifier l’article 4 de l’arrêté portant création de l’application afin d’y ajouter, au titre des tiers autorisés, les huissiers de justice agissant aux fins d’assurer l’exécution d’un titre exécutoire et le Fonds de garantie des victimes des actes de terrorisme et d’autres infractions.
Ces modifications n’appellent pas d’observation particulière dans la mesure où les agents de la comptabilité publique figurent déjà, à l’article 4 de l’arrêté portant création du traitement, au nombre des destinataires des informations traitées, d’une part, et où les huissiers de justice, lorsqu’ils agissent aux fins d’assurer l’exécution d’un titre exécutoire, peuvent obtenir « l’adresse des organismes auprès desquels un compte est ouvert au nom du débiteur » en application de l’article L. 151 A du livre des procédures fiscales et où l’administration fiscale a l’obligation de transmettre au Fonds de garantie des victimes des actes de terrorisme et d’autres infractions « les informations relatives à la situation des condamnés ayant à répondre financièrement des dommages qu'ils ont provoqués », en application de l’article L. 135 M du même code.
La Commission prend enfin acte que les autres caractéristiques du traitement, notamment les mesures de sécurité applicables au traitement et, singulièrement, la procédure de journalisation des connexions prévue à l’article 3 de l’arrêté portant création du fichier « FICOBA », ne subissent aucune modification.
Le président 
Alex TURK
(demande d’autorisation 1226906)
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu la demande d’autorisation présentée par le Groupe des Ecoles des Télécommunications (GET) concernant la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité principale l’évaluation d’algorithmes de reconnaissance de diverses données biométriques ;
Après avoir entendu M. Philippe LEMOINE, commissaire en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l’informatique des libertés a été saisie par le Groupe des Ecoles des Télécommunications (GET) d’une demande d’autorisation relative à la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité principale l’évaluation d’algorithmes de reconnaissance de diverses données biométriques.
Il y a lieu de faire application des dispositions prévues à l’article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes.
Le projet présenté par le GET s’intitule « BioSecure » et s’appuie sur un « réseau d'excellence européen » coordonné par l’Institut National des Télécommunications (INT). Il regroupe ainsi 30 partenaires internationaux et fédère les équipes européennes actuellement impliquées dans la recherche en biométrie. Ce projet de recherche européen est financé par le 6ème programme cadre de recherche.
Le programme « BioSecure » a pour finalité principale, « la promotion et l’intégration de la recherche en biométrie pour des applications de sécurité au niveau européen ». C’est dans ce contexte que les différents partenaires souhaitent constituer une base de données biométriques « multimodale » qui sera utilisée pour effectuer des mesures de performance de différents algorithmes de reconnaissance.
L’évaluation portera sur des algorithmes de reconnaissance :
du visage en deux dimension ;
des empreintes digitales ;
de la forme de la main ;
de la signature manuscrite ;
de l’iris ;
du visage parlant (image et son).
Des algorithmes dits de « fusion multimodale », c’est à dire permettant la reconnaissance d’une personne à partir de l’analyse simultanée de plusieurs caractéristiques biométriques, seront également testés.
En outre, des licences d’exploitation de la base de données pourront être concédées aux entreprises privées pour leurs besoins propres de recherche interne et dans le seul but de tester des systèmes de reconnaissance automatiques. Toute exploitation industrielle ou commerciale de la base sera exclue.
La mise en œuvre du dispositif reposera sur la collecte de données effectuées auprès du personnel du laboratoire et des étudiants du GET ainsi que des partenaires. Seules les données des personnes volontaires seront traitées. Une partie des informations sera récupérée via un formulaire, les données biométriques seront collectées dans les laboratoires de l’INT et de ses partenaires. Une fois l’acquisition terminée, la base de données en résultant sera distribuée parmi tous les partenaires de BioSecure.
S’agissant du GET, la base de données constituée sera située sur un poste informatique installé dans le bureau de l’ingénieur informatique du laboratoire de l’INT chargé de la mise en œuvre du traitement. L’accès à ce poste ne sera donné que temporairement pour transférer les données nécessaires vers le poste d’un chercheur impliqué dans le développement d’un algorithme de biométrie nécessitant les données de BioSecure. Cette demande d’accès devra être validée par la responsable du projet au sein du GET. 
Les données biométriques stockées sur ce poste informatique seront indexées par un code identifiant. La correspondance entre l’identité des personnes (nom, prénom et coordonnées) et le code identifiant figurant dans la base de données biométriques s’effectuera grâce à un fichier distinct qui sera sauvegardé sur un CD-ROM et conservé dans un coffre fort sous le contrôle de la personne responsable du projet. Il en ira de même pour les formulaires remplis par les participants à la campagne d’acquisition des données.
La Commission prend acte que lors de la transmission des données biométriques, le nom et les coordonnées des volontaires seront gardés et maintenus strictement confidentiels par le GET.
La Commission relève également que les données collectées par le laboratoire de l’INT ne concerneront qu’une centaine de personnes et qu’elles ne seront conservées que pendant trois années.
De même, elle prend acte que le formulaire utilisé pour la collecte des données est accompagné d’un formulaire de consentement que les personnes concernées doivent signer et dans le cadre duquel elles sont informées de la possible transmission d’une partie de leurs données à caractère personnel vers des laboratoires de recherche situés en dehors de l’Union européenne.
Compte tenu de ce qui précède, dans la mesure où seules les données biométriques des personnes volontaires seront traitées et ce dans le seul but d’évaluer des algorithmes de reconnaissance à des fins de recherche, les traitements soumis à la Commission et en particulier, le recours à la constitution de bases de données biométriques ne comportent pas de risques particuliers pour la protection des libertés et des droits fondamentaux de la personne.
Les droits d’accès et de rectification s’exerceront auprès du chef du département électronique et physique de l’INT d’Evry – 9 rue Charles Fournier – 91011 Evry Cedex.
Les catégories de données à caractère personnel enregistrées seront :
l’identité de la personne (nom, prénom) ;
les coordonnées ;
l’image du visage ;
le visage parlant (audio/vidéo) ;
la signature manuscrite ;
l’image de l’iris ;
l’image d’empreintes digitales ;
l’image de la main
l’âge ;
le sexe ;
l’indication droitier ou gaucher ;
l’indication travailleur manuel ou non ;
l’indication support visuel: lentilles ou verres de contact ;
le niveau d’anglais (bas/moyen/bilingue).
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée:
pour les données relatives à l’identité et aux coordonnées des personnes concernées : le chef du département électronique et physique de l’INT d’Evry ;
pour les autres données : les personnels des laboratoires et services de recherche en charge du projet BioSecure du GET et de ses partenaires.
De même pourront être destinataires des informations, à l’exclusion des données d’identification, les entreprises privées bénéficiant d’une licence d’exploitation sous réserve que :
les traitements soient mis en œuvre pour leurs besoins propres de recherche interne et dans le seul but de tester des systèmes de reconnaissance automatiques, à l’exclusion de toute exploitation industrielle ou commerciale de la base ;
lorsqu’elles sont situées dans des pays n’assurant pas un niveau de protection suffisant des données, le transfert de données ait préalablement été autorisé par la Commission nationale de l’informatique et des libertés.
Dans ces conditions, la Commission autorise le Groupe des Ecoles des Télécommunications (GET), à mettre en œuvre le traitement de données à caractère personnel présenté. 
Le président
Alex TURK
(demande d’autorisation 1038229)
La Commission nationale de l'informatique et des libertés,
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004, modifié le 25 mars 2007 ;
Vu la demande d’autorisation, présentée par la société Staubli Technology & Services concernant la mise en œuvre d’un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux locaux ;
Après avoir entendu M. Hubert BOUCHET, commissaire en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés a été saisie par la société Staubli Technology & Services d’une demande d’autorisation relative à un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux locaux.
Il y a lieu de faire application des dispositions prévues à l’article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes.
Le traitement projeté à pour finalité de renforcer le contrôle de l’accès au site dans lequel est abrité le patrimoine technologique de l’entreprise. Outre la protection des secrets de fabrique et du savoir faire, le renforcement du contrôle de l’accès aux locaux doit également permettre de garantir la sécurité de documents formalisant la titularité des droits de propriété industrielle de la société Staubli Technology & Services.
La Commission considère que la constitution de bases de données d'empreintes digitales ne peut être admise que dans certaines circonstances particulières où l'exigence d'identification des personnes résulte d’un fort impératif de sécurité, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée. En effet, cet article dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
En l’espèce, l'objectif poursuivi par la société Staubli Technology & Services tendant au contrôle de l’accès aux locaux, s’il est légitime, n’est pas associé à un fort impératif de sécurité justifiant la conservation dans une base de données des empreintes digitales des employés concernés. La Commission observe que le dispositif n’a pas pour objet de contrôler l’accès à une zone bien déterminée des locaux, représentant un enjeu dépassant l’intérêt strict de l’organisme concerné. 
La Commission relève également que cet objectif pourrait être atteint, par exemple, par le recours à des dispositifs reposant sur l’enregistrement de l’empreinte digitale sur des supports individuels tels que la carte à puce qui présente moins de risques au regard de la protection des données et libertés individuelles.
La Commission rappelle que la constitution d’une base centralisée d’empreintes digitales comporte davantage de risques pour le droit des personnes. En effet, une donnée biométrique constitue un élément d’identité irrévocable dont la diffusion non maîtrisée, ou accidentelle, peut avoir des conséquences irrémédiables pour les personnes.
Ainsi, la Commission souligne, qu’à la différence de tout autre identifiant (code, mot de passe, etc.) la donnée biométrique ne peut être changée une fois collectée, ce qui impose d’en limiter l’usage afin d’en garantir la sécurité et le contrôle par les personnes. Par ailleurs, le stockage des empreintes digitales sur le terminal de lecture comparaison ou sur un serveur représente un risque supplémentaire en cas d’usurpation d’identité. 
En effet, parce que l’empreinte digitale constitue une « trace » laissée en abondance par les personnes à leur insu, sa captation frauduleuse, désormais aisée en l’état des techniques, exige que son utilisation soit limitée et encadrée et que la constitution d’une base de stockage soit réservée à des hypothèses particulières fondées sur un impératif fort de sécurité.
En conséquence, le traitement pris dans son ensemble n'apparaît ni adapté ni proportionné du point de vue de la protection des données personnelles.
Dès lors, la Commission n’autorise pas, en l’état, la société Staubli Technology & Services, 7 avenue du Pré Closet PAE les Glaisins – 74940 Annecy le vieux, à mettre en œuvre un traitement de données à caractère personnel reposant sur l’utilisation d’un dispositif biométrique de reconnaissance des empreintes digitales et dont la finalité est le contrôle de l’accès aux locaux.
Le Président
Alex TURK
(demande d’autorisation 1108491)
La Commission nationale de l'informatique et des libertés,
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ; 
Vu la délibération n°2006-294 du 21 décembre 2006 autorisant la mise en œuvre par l’Association de Lutte contre la Piraterie Audiovisuelle (ALPA) d’un traitement de données à caractère personnel ayant pour finalité principale la recherche des auteurs de contrefaçons audiovisuelles ;
Vu la demande d’autorisation présentée par l’Association de Lutte contre la Piraterie Audiovisuelle (ALPA) relative à la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité la réalisation de statistiques concernant la circulation des œuvres audiovisuelles sur les réseaux d’échanges de fichiers dits de « pair à pair » ;
Après avoir entendu M. Emmanuel DE GIVRY, commissaire en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés a été saisie par l’Association de Lutte contre la Piraterie Audiovisuelle (ALPA) d’une demande d’autorisation portant modification des traitements autorisés par la délibération 2006-294 du 21 décembre 2006.
En plus des traitements ayant pour objet la gestion des procès-verbaux et la recherche et la constatation des faits de contrefaçons déjà autorisés, l’ALPA souhaite désormais réaliser des statistiques concernant la circulation des œuvres audiovisuelles sur les réseaux d’échanges de fichiers dénommés « pair à pair ».
L’ajout d’une finalité constituant une modification substantielle du traitement au sens de l’article 30 de la loi d 6 janvier 1978 modifiée par la loi du 6 août 2004, il y a lieu de procéder à un nouvel examen de la demande d’autorisation présentée par l’ALPA en application de l’article 25-3° de la loi précitée.
Le dispositif projeté doit permettre à l’ALPA d’effectuer un suivi statistique des téléchargements de fichiers de contrefaçons d’œuvres cinématographiques et audiovisuelles en langue française circulant sur l’internet et plus particulièrement sur les réseaux d’échange de fichiers dits de « pair à pair ».
Les données statistiques produites par le système seront les suivantes :
les cent titres les plus échangés en fonction des réseaux « pair à pair » utilisés ;
estimation du volume de fichiers audiovisuels et cinématographiques échangés sur les réseaux ciblés ;
classement des différents réseaux en fonction du nombre de fichiers audiovisuels et cinématographiques échangés.
Les résultats statistiques seront fournis tous les quinze jours et pourront faire l’objet de communications publiques. L’ALPA envisage également, après une période de plusieurs mois et en fonction de la pertinence des résultats obtenus, d’utiliser ces statistiques afin d’engager la responsabilité des éditeurs et distributeurs de logiciels manifestement destinés à la mise à disposition du public des œuvres cinématographiques et audiovisuelles conformément aux dispositions de l’article L. 335-2-1 du Code de la propriété intellectuelle.
Le traitement reposera sur des requêtes effectuées sur la base du titre d’œuvres appartenant au catalogue des membres de l’ALPA. Il sera procédé au téléchargement de certains fichiers dans leur intégralité afin de vérifier que le nom du fichier et la clé d’identification (hashe code) qui lui est attribuée par le logiciel d’échange de fichier correspond bien à l’œuvre audiovisuelle ou cinématographique protégée. Ces opérations s’effectueront sous le contrôle d’un agent assermenté de l’ALPA. 
Les données traitées lors des requêtes dont le résultat servira à l’établissement des statistiques seront : l’horodatage, les informations relatives à l’œuvre concernée ainsi que les adresses IP des internautes mettant à disposition la dite oeuvre. Ces adresses IP seront immédiatement anonymisées, puis effacées au bout de 24 heures. 
Les agents assermentés de l’ALPA qui pourront consulter les statistiques produites au fur et à mesure de leur constitution via une connexion sécurisée, n’auront accès qu’à des données anonymisées.
La Commission considère que, dés lors que les données permettant d’identifier indirectement les internautes (adresses IP) mettant à disposition des œuvres audiovisuelles ou cinématographiques sur les réseaux d’échange de fichiers sont immédiatement anonymisées, puis effacées au bout de 24 heures et que les opérations s’effectuent sous le contrôle des agents assermentés de l’ALPA, les traitements sont proportionnés à la finalité qui leur est assignée.
Compte tenu des caractéristiques du dispositif présenté, il y lieu, en l’espèce, de faire application du dernier paragraphe du II de l’article 39 de la loi du 6 janvier 1978 modifiée en août 2004 qui prévoit que les dispositions relatives à l’exercice des droits d’accès et de rectification ne s’appliquent pas lorsque les données à caractère personnel sont conservées sous une forme excluant manifestement tout risque d’atteinte à la vie privée des personnes concernées et pendant une durée n’excédant pas celle nécessaire aux seules finalités d’établissement de statistiques ou de recherche scientifique ou historique.
Les catégories de données à caractère personnel enregistrées seront :
l’adresse IP anonymisée ;
le titre de l’œuvre audiovisuelle ou cinématographique ;
les informations relatives au fichier audiovisuelle ou cinématographique (nom et clé d’identification ;
l’horodatage ;
le type de réseau d’échange de fichier (nom et protocole).
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les agents assermentés de l’ALPA.
Dans ces conditions, la Commission autorise l’Association de Lutte contre la Piraterie Audiovisuelle, à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK