AgentPublic/cnil huggingface dataset:
En adoptant la loi n° 89-1010 du 31 décembre 1989, dite "Loi Néiertz", qui a créé le fichier national des incidents de remboursement des crédits aux particuliers (FICP), le législateur a entendu mettre en place un dispositif de prévention et de traitement des situations de surendettement.
Le fichier national des incidents de remboursement des crédits aux particuliers (FICP), géré par la Banque de France, constitue un instrument de lutte contre le surendettement des particuliers et n'a pas pour finalité la mise en commun entre les banques, les établissements de crédits et les établissements financiers de la Poste, d'informations relatives à leurs débiteurs, sauf dans les cas prévus par les dispositions du règlement n° 90-05 précité.
L'inscription du requérant au FICP, injustifiée, a de surcroît été maintenue par X malgré les démarches effectuées par le requérant, la mainlevée de cette inscription n'ayant été finalement opérée qu'après l'intervention de la Commission.
En ne répondant pas aux demandes de mainlevée de cette inscription formulées par le requérant, X n'a pas respecté les dispositions des articles 36, 37 et 38 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.
DEMANDE à X de prendre des mesures afin de rappeler, au sein de ses services, les règles de fonctionnement du FICP et d'être tenue informée des dispositions prises à cet effet ;
DECIDE, faisant application des dispositions de l'article 21.4° de la loi du 6 janvier 1978, d'adresser à cet effet un AVERTISSEMENT à X, dont le siège social est situé [...].
DECIDE que, conformément aux dispositions de l'article 15 du règlement n° 90-05 relatif au fonctionnement du FICP et de l'article L. 613-21 du Code monétaire et financier, le présent avertissement sera porté à la connaissance de la Commission bancaire.
Le Président, 
 
Alex TURK
La Commission Nationale de l'Informatique et des Libertés,
Saisie, le 28 novembre 2003, d'une plainte par un particulier qui a reçu, à son attention, un relevé de compte bancaire détenu par une tierce personne ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, pris ensemble le décret n° 78-774 du 17 juillet 1978 modifié ;
Vu les articles 226-16 à 226-22 du code pénal ;
Vu la délibération de la Commission nationale de l'informatique et des libertés n° 87-25 du 10 février 1987 fixant le règlement intérieur de la CNIL, et notamment son article 54 ;
Après avoir entendu Monsieur Philippe NOGRIX, commissaire, en son rapport, et Madame Charlotte-Marie PITRAT, commissaire du Gouvernement, en ses observations ;
FORMULE LES OBSERVATIONS SUIVANTES
L'instruction de la plainte dont a été saisie la CNIL a permis d'établir que des relevés de comptes de clients de X ont été envoyés à d'autres personnes que les titulaires des comptes.
La CNIL a rappelé à cet établissement bancaire, par courrier du 6 février 2004 que ces faits sont susceptibles d'être qualifiés pénalement et d'engager la responsabilité de X sur le fondement de l'article 226-17 du code pénal qui punit de cinq ans d'emprisonnement et de 300.000 euros d'amende "le fait de procéder ou de faire procéder à un traitement automatisé d'informations nominatives sans prendre toutes les précautions utiles pour préserver la sécurité de ces informations et notamment empêcher qu'elles ne soient déformées, endommagées, ou communiquées à des tiers non autorisés".
X a indiqué à la CNIL qu'elle sous-traitait auprès d'une société extérieure la mise sous pli et l'envoi des relevés de compte de ses clients à la suite d'une erreur matérielle, plusieurs de ses clients ont reçu, à leur attention, des relevés de compte concernant des tiers.
X ajoute avoir été alertée par plusieurs de ses clients et avoir décidé de changer de prestataire de service, recourant désormais à une société présentant de meilleures garanties s'agissant du taux d'anomalie relatif aux mises sous pli automatisées.
L'article 226-22 du code pénal punit par ailleurs d'un an d'emprisonnement et de 15.000 euros d'amende le fait "par toute personne qui a recueilli, à l'occasion de leur enregistrement, de leur classement, de leur transmission ou d'une autre forme de traitement, des informations nominatives dont la divulgation aurait pour effet de porter atteinte à la considération de l'intéressé ou à l'intimité de sa vie privée, de porter, sans autorisation de l'intéressé, ces informations à la connaissance d'un tiers qui n'a pas qualité pour les recevoir".
Les clients dont les relevés de compte ont été portés à la connaissance de tiers seraient fondés à intenter une action judiciaire contre X sur le fondement de ces dispositions.
DECIDE, au vu des mesures prises par X, de faire application des dispositions de l'article 21.4 de la loi du 6 janvier 1978, et d'adresser un AVERTISSEMENT à X, dont le siège social est situé [...].
Le Président, 
 
Alex TÜRK
La Commission nationale de l'informatique et des libertés ;   Saisie pour avis par le directeur du Trésor d'un projet de décret relatif à la mise en oeuvre d'un fichier des personnes habilitées à procéder au démarchage bancaire ou financier ;   Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation des données ;   Vu la convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;   Vu la loi n° 2003-706 du 1er août 2003 de sécurité financière :   Vu le décret n° 78-774 du 17 juillet 1978 modifié pris pour l'application des chapitres ler à IV et VII de la loi du 6 janvier 1978 précitée ;   Vu le projet de décret communiqué par le directeur du Trésor ;   Après avoir entendu M. Philippe NOGRIX, commissaire, en son rapport et Mme Charlotte-Marie PITRAT, commissaire du gouvernement, en ses observations ;
Formule les observations suivantes :   Le directeur du Trésor a saisi pour avis la Commission d'un projet de décret relatif à la mise en oeuvre d'un fichier des personnes habilitées à procéder au démarchage bancaire ou financier, conformément à l'article L. 341-7 du code monétaire et financier.   Conformément à l'article 1er du projet de décret, le fichier a vocation à recenser l'ensemble des démarcheurs enregistrés dans les conditions prévues à l'article L. 341-6 du code monétaire et financier. Cet article prévoit qu'à l'exception de certaines personnes, tous les démarcheurs doivent être enregistrés par leurs mandants ou leurs employeurs auprès des autorités d'agrément (Autorité des marchés financiers, Comité des établissements de crédit et des entreprises d'investissement et Comité des entreprises d'assurance). Ces mandants et employeurs sont tenus, au préalable, de s'assurer du respect de l'ensemble des conditions (âge, compétence, honorabilité) permettant d'exercer une activité de démarchage. Le fichier sera librement consultable par le public.   Le fichier des personnes habilitées à procéder au démarchage bancaire ou financier constitue le prolongement des formalités d'enregistrement des démarcheurs prévues à l'article L. 341-6 du code monétaire et financier, aux termes desquelles chaque démarcheur se voit attribuer un numéro d'enregistrement. Ce numéro devra être indiqué à la personne démarchée quel que soit le support de communication utilisé et figurera notamment
dans le fichier des démarcheurs.   Les données recueillies sont énumérées par l'article 4 du projet. Elles sont relatives.   Au numéro d'enregistrement du démarcheur ;   Aux nom, prénoms, date et lieu de naissance du démarcheur, personne physique ;   - A l'adresse professionnelle du démarcheur ;   - Aux nom, adresse et s'il y a lieu, numéro SIREN de la personne morale ou des personnes morales relevant de l'une des catégories mentionnées aux 1° et 3° de l'article L. 341-3 du code monétaire et financier, pour le compte de laquelle ou desquelles le démarcheur exerce une activité de démarchage bancaire ou financier ;   - Dans le cas où le démarcheur exerce cette activité pour le compte d'une ou plusieurs personnes morales, elles-mêmes mandatées dans les conditions prévues au I de l'article L. 341-4 : à la dénomination, à l'adresse et s'il y a lieu au numéro SIREN de ces personnes morales et de leurs mandants ;   - Le cas échéant, au(x) numéro(s) d'enregistrement de la personne morale ou des personnes morales mandatées dans les conditions prévues au I de l'article L. 341-4 ;   A la nature des opérations, services ou prestations, définis aux 1° à 5° de l'article L. 341-1 du code précité, pour lesquels le démarcheur a reçu des instructions de son employeur ou de son mandant ;   A la date d'expiration du mandat.
La Commission considère que les données à caractère personnel collectées dans le cadre de la mise en oeuvre du fichier des démarcheurs sont adéquates, pertinentes et non excessives au regard de la finalité définie par la loi de sécurité financière, conformément aux dispositions de l'article 5-c de la Convention n° 108 du Conseil de l'Europe.   La Commission prend note que les informations relatives à la date et au lieu de naissance des démarcheurs, nécessaires lors de la saisie des informations pour éviter les risques d'homonymie, ne seront pas rendues publiques.   La Commission prend également note que l'article 6 du projet exclut l'application du droit d'opposition prévu par l'article 26 de la loi du 6 janvier 1978 en application de la dérogation ouverte par l'article 26-2 de la précitée.   S'agissant de la durée de conservation des informations, le principe du renouvellement explicite du mandat a été préféré à celui d'une reconduction tacite, à l'issue du délai de deux ans prévu au II de l'article L. 341-4 du code monétaire et financier.   La Commission relève que le fichier des démarcheurs sera tenu par la Banque de France, pour le compte de l'Autorité des marchés financiers, du Comité des établissements de crédit et des entreprises d'investissement et du Comité des entreprises d'assurance.   Elle rappelle que, compte tenu des termes de l'article L. 341-7 du code monétaire et financier qui dispose qu'un fichier des personnes habilitées à procéder au démarchage
bancaire ou financier est tenu conjointement par les trois organismes précités, ces derniers pourraient voir leur responsabilité engagée tant au plan civil que pénal, dans le cadre de la gestion future du fichier.   La Commission observe que les modalités de gestion du fichier et les relations entre la Banque de France et chacune des autorités concernées seront fixées dans le cadre de conventions. Celles-ci prévoiront notamment les modalités selon lesquelles les informations prévues à l'article 4 pourront être communiquées directement à la Banque de France. Elles pourront également prévoir l'attribution directe par la Banque de France du numéro d'enregistrement prévu au quatrième alinéa de l'article L. 341-6 du code monétaire et financier.   La Commission demande que les projets de conventions lui soient communiqués pour avis lors d'accomplissement par la Banque de France des formalités préalables visées à l'article 15 de la loi du 6 janvier 1978.
Emet un avis favorable au projet de décret relatif à la mise en oeuvre d'un fichier des personnes habilitées à procéder au démarchage bancaire ou financier.   Le Président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Saisie par l'établissement public Aéroports de Paris d'une demande d'avis concernant la mise en oeuvre de traitements automatisés d'informations nominatives permettant un contrôle des accès aux zones réservées des aéroports d'Orly et de Roissy (demande d'avis n° 1000850) ;   Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe sur la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, pris ensemble le décret n° 78-774 du 17 juillet 1978 ;   Vu l'arrêté du 1er septembre 2003 relatif aux infrastructures, équipements et formations en matière de sûreté du transport aérien ainsi qu'à certaines modalités d'exercice des agréments en qualité d'agent habilité, de chargeur connu, d'établissement connu et d'organisme technique, et notamment son article 4 ;   Vu la délibération de la CNIL n° 02-034 du 23 avril 2002 portant avis favorable sur le projet, présenté par l'établissement publie Aéroports de Paris, d'expérimentation de trois dispositifs biométriques permettant le contrôle des accès aux zones réservées de sûreté des aéroports d'Orly et de
Roissy ;   Après avoir entendu M. Hubert Bouchet, Commissaire, en son rapport et Mme Charlotte-Marie Pitrat, Commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :   Sur les finalités poursuivies et le caractère proportionné du dispositif   A la suite de l'expérimentation de trois dispositifs biométriques conduite en 2002 et 2003, l'établissement public Aéroports de Paris a saisi la Commission d'une demande d'avis afin de mettre en oeuvre à titre définitif un contrôle d'accès aux zones réservées de sûreté des aéroports d'Orly et de Roissy reposant sur la reconnaissance de l'empreinte digitale des personnes employées dans ces zones aéroportuaires. Ce traitement biométrique est complété par un dispositif automatique de contrôle de la validité des badges présentés aux points d'inspection.   Le gabarit de l'empreinte digitale n'est stocké que sur une carte individuelle (badge) détenue par l'employé concerné. La commission relève que Aéroports de Paris a ainsi suivi la recommandation qu'elle avait exprimée sur ce point en 2002.   La Commission observe également que le Service technique des bases aériennes de la Direction générale de l'aviation civile considère, après examen, que le traitement biométrique présenté par Aéroports de Paris satisfait aux conditions de performances posées par l'article 4 de l'arrêté du 1er septembre 2003 susvisé.   L'ensemble de ces éléments conduit la Commission à retenir que le dispositif présenté par Aéroports de Paris est adapté et proportionné à la finalité qui lui est assignée.   Sur la nature des données enregistrées   Les données enregistrées dans les serveurs
dédiés au contrôle des accès se limitent aux données nécessaires à l'identification de la personne concernée (nom, prénom, photographie, fonction), à la réalisation des contrôles relatifs à la validité de son badge et à ses habilitations d'accès en zone réservée de sûreté, ainsi qu'à la production de statistiques individuelles liées aux passages aux points d'inspection filtrage.   Seuls sont enregistrés sur le badge le gabarit biométrique, le numéro du badge (permettant la vérification de la validité du titre de circulation) et le code PIN associé au badge (permettant une identification du porteur lorsque la capture biométrique est inexploitable).   Ces données sont adéquates, pertinentes et non excessives.
Sur la durée de conservation des données   Les informations relatives à l'identification du titulaire du badge, et en particulier ses données biométriques, ainsi qu'à ses habilitations d'accès sont conservées tant que le titulaire dispose du droit d'accéder en zones réservées de sûreté. Au-delà, ces données sont détruites.   Les données relatives aux statistiques individuelles sont conservées dans la limite de trois mois à compter de leur enregistrement.   La Commission considère ces durées de conservation comme non excessives.   Sur les destinataires des données   Les destinataires des données enregistrées sont, à raison de leurs attributions respectives, les membres de la Direction de la sûreté relevant de l'équipe de projet responsable de la mise en oeuvre du traitement, les agents chargés de l'enregistrement des données sur le badge, les agents de sûreté visés à l'article L. 282-8 du code de l'aviation civile sur les points d'accès à la zone réservée, les administrateurs techniques et fonctionnels du traitement, et enfin les agents de l'Etat chargés du contrôle du personnel au sein de la zone réservée.   La Commission estime légitimes les habilitations d'accès aux informations enregistrées dans le cadre de ce dispositif ainsi définies.   Sur l'information des personnels concernés   L'information des employés concernés (personnels de Aéroports de Paris, des services publics et des entreprises prestataires oeuvrant dans les zones réservées) sur les finalités du
dispositif, les destinataires des données les concernant et leur droit d'accès et de rectification est assurée de manière collective et individuelle, notamment au moment de l'enregistrement des données biométriques.
Emet un avis favorable au projet présenté par Aéroports de Paris.   Le Président, Alex TURK.
La commission nationale de l'informatique et des libertés,   Saisie par le Centre hospitalier de Hyères d'une demande d'avis relative à la mise en oeuvre d'un traitement automatisé d'informations nominatives ayant pour finalité la gestion du temps de travail et ses personnels (demande d'avis n° 892491) ;   Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe sur la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés pris ensemble le décret n° 78-774 du 17 juillet 1978 ;   Vu les délibérations de la CNIL n° 00-057 du 16 novembre 2000, 01-006 du 25 janvier 2001 et 02-033 du 23 avril 2002 ;   Après avoir entendu M. Hubert Bouchet, Commissaire, en son rapport et Mme Charlotte-Marie Pitrat, Commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :    Le Centre hospitalier de Hyères envisage de mettre en oeuvre un traitement automatisé d'informations nominatives pour la gestion du temps de travail de ses personnels (six cents agents). Ce traitement d'horodatage des entrées et sorties de l'établissement s'appuierait sur un dispositif de reconnaissace de l'empreinte digitale.   L'utilisation d'une technique biométrique a été choisie afin de renforcer l'identification des agents hospitaliers au moment des pointages et d'éviter les contraintes liées à la gestion d'un badge magnétique. Les éléments caractéristiques de chaque empreinte digitale (gabarits) devraient être enregistrés dans le lecteur biométrique.   D'une manière générale, le recours à la biométrie associée aux nouvelles technologies peut être de nature à apporter une réponse adaptée à certaines situations dans lesquelles l'idenfication des personnes doit être parfaitement assurée.   Cependant, le surcroît de sécurité et les commodités d'usage qui sont attendues du recours aux techniques biométriques ont, le plus souvent, pour contrepartie l'enregistrement dans une base de données informatique des éléments physiques d'identification des personnes. Or, les empreintes digitales font partie des données biométriques qui laissent des traces pouvant être exploitées à des fins d'identification des personnes à partir des objets les plus divers que l'on a pu toucher ou avoir en main. Aussi la constitution d'une base de données
d'empreintes digitales est-elle susceptible d'être utilisée à des fins étrangères à la finalité recherchée par sa création.   C'est au regard de l'ensemble de ces considérations qu'il y a lieu pour la Commission d'apprécier, dans chaque cas, si le recours à des techniques de reconnaissance d'éléments biométriques et la constitution d'une base de données sont, compte tenu des caractéristiques de l'élément d'identification physique retenu et des usages possibles des bases de données ainsi constituées, adaptés et prortionnés à la finalité assignée au dispositif.   La Commission considère ainsi que seul un impératif particulier de sécurité est susceptible de justifier la centralisation de données biométriques.   Dans le cas d'espèce, le gabarit biométrique serait enregistré non pas sur un support individuel (tel qu'une carte à puce) détenu par la personne concernée, mais dans le lecteur d'empreintes digitales qui, comme une base de données centralisée, n'est pas de nature à garantir la personne concernée contre toute utilisation détournée de ses données biométriques.   La Commission considère que l'objectif d'une meilleure gestion des temps de travail, s'il est légitime, ne paraît pas de nature à justifier l'enregistrement dans un lecteur biométrique des empreintes digitales des personnels du Centre hospitalier. Aussi le traitement pris dans son ensemble n'apparaît-il ni adapté ni proportionné à l'objectif poursuivi.   Emet un avis défavorable au projet présenté par le Centre
hospitalier de Hyères.   Le Président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Saisie pour avis, en application de l'article 15 de la loi du 6 janvier 1978, par la Régie Autonome des Transports Parisiens (RATP), d'un projet d'acte réglementaire portant création d'un traitement ayant pour finalité l'exploitation des données de validation des passes "Navigo" ;   Vu la Convention européenne de sauvegarde des Droits de l'homme et des libertés fondamentales du 4 novembre 1950 ;   Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation des données ;   Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés et le décret n° 78-774 du 17 juillet 1978 pris pour son application ;   Vu la délibération n° 03-008 de la Commission nationale de l'informatique et des libertés relative à la mise en oeuvre par la RATP d'un traitement automatisé d'informations nominatives ayant pour finalité l'exploitation des données de validation des passes "Navigo" ;   Vu la délibération n° 03-038 de la Commission nationale de l'informatique et des libertés portant recommandation relative à la collecte et au traitement d'informations nominatives par les
sociétés de transports collectifs dans le cadre d'applications billettiques ;   Après avoir entendu M. Guy ROSIER, commissaire, en son rapport, et Mme Charlotte-Marie PITRAT, commissaire du Gouvernement, en ses observations ;