AgentPublic/cnil huggingface dataset:
Sur les destinataires
Seul le responsable de traitement et, le cas échéant, les membres habilités de son personnel soumis à une obligation de confidentialité peuvent accéder au présent traitement. Le responsable de traitement, exerçant en nom propre et à titre indépendant, est habilité à transmettre des données aux destinataires suivants. Le juge des tutelles compétent peut être destinataire de l’intégralité des données du traitement.La direction départementale de la cohésion sociale et les organismes financeurs, au nombre desquels figurent notamment les caisses d’allocations familiales ou de mutualité sociale agricole, la Caisse des dépôts et consignations ou encore les caisses primaires d’assurance maladie, peuvent être destinataires des données d’identification, des données relatives à la vie personnelle et des numéros de sécurité sociale.La Commission considère que ces destinataires présentent un intérêt légitime à connaître de ces données.Elle estime, par ailleurs, que le responsable du traitement peut également communiquer des données aux organismes en relation avec les personnes représentées, sous réserve que ces transmissions soient indispensables à ces relations, d’une part, et que les données concernées soient limitées au strict nécessaire, d’autre part. 
Sur les durées de conservation
Les données à caractère personnel enregistrées dans le présent traitement sont conservées jusqu’à la prescription de l’action en reddition des comptes, en revendication ou en paiement diligentée par la personne protégée ou ses héritiers à savoir, en application de l’article 515 du code civil, cinq ans à compter de la fin de la mesure de protection sauf interruption ou suspension de la prescription.  La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie.
Sur l’information et le droit d’accès 
Les personnes concernées par le présent traitement sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales sur des notices d’information remises par le responsable de traitement aux personnes concernées lors de l’ouverture de la mesure.La Commission considère que cette modalité d’information des personnes est satisfaisante. Elle rappelle que cette information doit être fournie selon des modalités adaptées à leur état.Sauf décision contraire du juge des tutelles, les droits d’accès, de rectification et d’opposition pour motif légitime s’exercent auprès de Madame Christine LEYENDECKER, par courrier, fax ou courriel.  La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes. 
Sur les mesures de sécurité
La Commission rappelle que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.L’authentification des utilisateurs est assurée par des mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules, des chiffres et des caractères spéciaux.Les échanges de données effectués sur internet doivent être sécurisés par des procédés de chiffrement du transport des données.La Commission recommande que les accès à l’application fassent l’objet d’une journalisation. Elle rappelle que la conservation des traces ne peut excéder une durée de six mois, au-delà de laquelle celles-ci doivent être supprimées.Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévues par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Autorise, conformément à la présente délibération, Madame Christine LEYENDECKER, en qualité de mandataire judiciaire à la protection des majeurs exerçant à titre individuel, à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1791951)
La Commission nationale de l'informatique et des libertés,
Saisie par la Banque Populaire Atlantique d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l’identité ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L. 561-5 et R. 561-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Banque Populaire Atlantique, ci après dénommée la Banque Populaire.
Sur la finalité
La finalité du traitement est de lutter contre la fraude à l’identité. Il vise à détecter les documents présentant des anomalies susceptibles de révéler une fraude (faux document ou document falsifié) dans trois hypothèses : au moment de l’entrée en relation du client auprès de la banque populaire, en cas de modifications de données du compte existant, ou lors de l’étude d’un dossier de crédit pour un compte déjà ouvert dans cet établissement. La Commission observe que cette finalité est déterminée, explicite et légitime.Lorsque l’analyse de l’outil conclut à la non-conformité du document, la demande d’ouverture de compte ou la demande de crédit est refusée. Dans la situation inverse, si l’authenticité des documents est confirmée, il est fait droit à la demande du client. Dès lors, ce traitement peut ainsi, du fait de sa portée et de sa finalité, exclure une personne du bénéfice d’un droit ou d’un contrat en l’absence de toutes dispositions légales ou réglementaires prévoyant une telle exclusion.Le présent traitement est dès lors soumis à autorisation de la Commission, en application des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les catégories de données traitées sont relatives : - à l’identité des personnes concernées : le nom, le(s) prénom(s), le sexe, la date et lieu de naissance,- aux documents d’identité : le numéro de document, le numéro de la pièce d’identité, la date d’expiration, les 6 derniers caractères de la bande MRZ de la pièce d’identité et la bande MRZ figurant en bas des documents d’identité.La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente, adéquate et non excessive au sens de l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les personnes destinataires du traitement et habilitées à avoir accès aux informations sont :- le réseau commercial,- le service sécurité financière,- le service lutte contre la fraude.Les informations sont transmises sur un serveur hébergé par la société CTMS (Contrôle des échanges et Traitement physique des Monnaies-Sécurité), prestataire de service de la banque populaire.La liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la banque sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention sur internet ainsi que dans la convention de compte du client. Cette mention rappelle en outre que les droits d’accès et de rectification s’exercent auprès du Service risques opérationnels et contrôle permanent : 1, rue Françoise Sagan Saint Herblain – 44919 Nantes Cedex 9.La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
S’il n’existe pas de journalisation détaillée des activités sur l’application, un journal d’accès global des collaborateurs de la Banque Populaire aux serveurs CTMS est cependant mis en œuvre.Seules les personnes habilitées ont accès à l’application CMTS. Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application avec des profils d’habilitation et un contrôle d’accès logique. Ce mécanisme est actuellement basé sur un identifiant et un mot de passe de 8 caractères comprenant au moins trois des quatre types (minuscules, majuscules, chiffres, caractères spéciaux). Ce dernier doit être renouvelé tous les 41 jours. En cas de réponse positive, c’est-à-dire si le document d’identité n’est pas validé, ou dans le cas inverse, la réponse est conservée dans le dossier réglementaire du client afin de s’assurer que le contrôle d’identité a bien été réalisé par le collaborateur. La Banque Populaire s’est engagée à ce que cet élément bénéficie du même niveau de protection que les copies des pièces d’identité actuellement conservées conformément aux dispositions de l’article L561.12 du Code monétaire et financier.Les mesures de sécurité mises en place n’appellent pas d’observation.
Sur les autres caractéristiques du traitement
Les données collectées ne sont utilisées que le temps de la vérification de l’authenticité des documents. En cas de non-conformité des pièces, les documents sont restitués à la personne à l’origine de la demande. Dans l’hypothèse inverse et si la demande est validée, une copie des documents est conservée, conformément à la législation bancaire.Il existe un premier contrôle visuel réalisé par le chargé de clientèle qui reçoit la personne souhaitant entrer en relation avec la banque. Un deuxième contrôle est réalisé via l’outil IDENTT qui permet de détecter des documents présumés frauduleux automatiquement par la lecture de la bande MRZ. Enfin, si l’anomalie persiste, un dernier contrôle manuel avec une analyse est réalisé par les personnes habilitées du service lutte contre la fraude.L’analyse de l’authenticité des pièces se fait en temps réel par l’outil, ce qui permet au chargé de clientèle d’accepter ou de refuser l’ouverture du compte ou la demande de crédit du client immédiatement.Le traitement mis en œuvre n’est qu’un outil d’aide à l’analyse des documents d’identité présentés par la personne concernée lors de l’entrée en relation avec la banque populaire. La Commission prend acte qu’en cas de détection d’anomalie, une analyse complémentaire sera effectuée par les personnels habilités du service lutte contre la fraude afin, le cas échéant, de confirmer la tentative de fraude.Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée,
aucune décision automatisée n’est donc prise à l’égard des personnes concernées.Ce traitement ne permet pas d’établir une « liste noire » de personnes ayant présenté des titres d’identité comportant des anomalies ou des titres d’identité falsifiés ou volés.Des statistiques sur des données anonymisées sont réalisées à partir des résultats de l’outil et permettent de chiffrer le nombre de pièces consultées par zone géographique.Dans l’hypothèse où la demande concerne l’octroi de crédit et si l’outil détecte une fraude documentaire présumée, la Banque Populaire peut décider de clôturer le compte du client.Les autres caractéristiques du traitement n’appellent pas d’observation particulière de la Commission.
Autorise, conformément à la présente délibération, la Banque Populaire Atlantique à mettre en œuvre le traitement susmentionné.
La Présidente 
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1768297)
La Commission nationale de l'informatique et des libertés,
Saisie par la société LASER COFINOGA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’aide à la décision en matière d’octroi de crédit à la consommation et la prévention des impayés ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n°2008-198 du 9 juillet 2008 modifiant l’autorisation unique n° AU-005 relative à certains traitements de données à caractère personnel mis en œuvre par les établissements de crédit pour aider à l’évaluation et à la sélection des risques en matière d’octroi de crédit ;
Vu la délibération n°2011-167 du 9 juin 2011 autorisant la mise en œuvre par la société FIDEM d’un traitement ayant pour finalité l’aide à la décision en matière d’octroi de crédit à la consommation et la prévention des impayés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société LASER COFINOGA, établissement de crédit à la consommation.
Sur la finalité
La société LASER COFINOGA a saisi la Commission d’un dossier relatif à la mise en œuvre d’un traitement de données à caractère personnel dont la finalité est l’aide à la décision d’octroi de crédit à la consommation et la prévention des impayés. Le traitement de données à caractère personnel soumis à l’examen de la Commission doit permettre d’évaluer, sur la base de modèles de score, le risque statistique de défaut de remboursement attaché à chaque demande de crédit à la consommation qui lui est présentée et de constituer des modèles de score à partir de l’analyse statistique des données personnelles en sa possession, d’en vérifier la pertinence et de les actualiser.Ce traitement permet d’évaluer pour chaque personne présentant une demande de crédit à la consommation, le risque statistique de défaillance qui lui est attaché et de sélectionner les demandes qui correspondent à un niveau de risque acceptable de défaillance. Il est, par voie de conséquence, susceptible d’exclure, au moins de façon temporaire, une personne du bénéfice d’un contrat là où aucun texte législatif ou réglementaire ne prévoit une telle exclusion.Dès lors, ce traitement relève de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée et doit, à ce titre, être autorisé par la Commission.Par sa délibération n° 2008-198 du 9 juillet 2008 modifiant l’autorisation unique n° AU-005, la Commission a autorisé les traitements mis en œuvre par les établissements de crédit pour aider à l’évaluation et à la
sélection des risques en matière d’octroi de crédit sous réserve que les finalités de ces traitements, les catégories de données utilisées et leurs destinataires n’excèdent pas le cadre qui y est défini, que ces traitements remplissent également les conditions qui y sont fixées, et que les responsables de ces traitements adressent à la CNIL un engagement de conformité à l’autorisation unique n° AU-005.Tout projet de traitement automatisé dont les finalités ou les catégories de données ou de destinataires excèdent le cadre de cette autorisation unique ou qui ne respecterait pas les exigences qui y sont définies, doit, en revanche, faire l’objet d’une demande d’autorisation spécifique présentant et expliquant les différences entre le traitement envisagé et l’autorisation unique.L’analyse des caractéristiques du traitement, objet de la présente demande d’autorisation, fait apparaître une différence par rapport à l’AU-005 relative à la collecte d’une nouvelle donnée concernant le niveau de diplôme. Dès lors, la collecte de cette donnée est soumise à l’examen de la CNIL.
Sur les données traitées
La Commission relève que les catégories de données prises en compte pour le calcul du score attaché à chaque demande de crédit figurent parmi celles prévues par l’autorisation unique AU-005, à l’exception de la variable supplémentaire concernant le demandeur de crédit et les garants qui concerne le niveau de diplôme.La Commission observe que la référence au niveau de diplôme a d’ores et déjà fait l’objet d’une autorisation dans la délibération n°2011-167 du 9 juin 2011 autorisant la mise en œuvre par la société FIDEM d’un traitement ayant pour finalité l’aide à la décision en matière d’octroi de crédit à la consommation et la prévention des impayés. 
La Commission considère que cette nouvelle donnée est adéquate, pertinente et non excessive par rapport à la finalité du traitement.Les autres caractéristiques du traitement mis en œuvre par la société LASER COFINOGA sont conformes à l’autorisation unique n° AU-005.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la société LASER COFINOGA sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention qui figure dans la convention de compte du client et sur le site internet de la société.Cette mention rappelle notamment que les droits d’accès et de rectification s’exercent auprès du service assistance clients par courrier postal à l’adresse suivante : TSA 70014 Bordeaux cedex 9 - 33914, ou par courrier électronique à l’adresse suivante : assistance.clients@cofinoga.frLa Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Autorise, conformément à la présente délibération, la société LASER COFINOGA à mettre en œuvre le traitement susmentionné.
La Présidente 
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1710724)
La Commission nationale de l'informatique et des libertés,
Saisie par le CREDIT MUTUEL ARKEA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité de lutter contre la fraude à l’identité;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
Le CREDIT MUTUEL ARKEA agit en qualité de responsable de traitement pour les trois fédérations suivantes qui la composent : le Crédit Mutuel de Bretagne, le Crédit Mutuel du Massif central et le Crédit Mutuel du Sud-ouest.
Sur la finalité
La finalité du traitement est la lutte contre la fraude à l’identité. Le traitement vise à détecter les documents présentant des anomalies susceptibles de révéler une fraude (faux document ou document falsifié). Il est mis en œuvre dans le cadre de l’entrée en relation et lors de contrôles menés postérieurement à l’ouverture du compte. Le CREDIT MUTUEL ARKEA a recours à l’application « IdentTT » de la société CTMS qui permet une saisie en ligne des éléments de contrôle de la ligne MRZ et l’obtention d’un résultat en temps réel. L’application ne procède à aucune conservation de données ainsi renseignées en ligne. Le CREDIT MUTUEL ARKEA contrôle la cohérence des données d’état civil, des données de délivrance et des données de la bande MRZ des pièces d’identité (cartes nationales d'identité, passeports, visa, titre de séjour).Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées. Le traitement mis en œuvre est un outil d’aide à l’analyse des documents d’identité présentés par la personne concernée lors de l’entrée en relation avec le CREDIT MUTUEL ARKEA. La Commission prend acte qu’en cas de détection d’anomalie, une analyse complémentaire sera effectuée afin, le cas échéant, de confirmer la tentative de fraude. En effet, lorsque l’analyse de l’outil conclut à la non-conformité du document, le conseiller se rapproche du directeur de la caisse et du service de
contrôle permanent qui validera ou non la poursuite de la relation client. Si l’authenticité des documents est confirmée, il est fait droit à la demande du client. Dès lors, ce traitement peut ainsi, du fait de sa portée et de sa finalité, exclure une personne du bénéfice d’un droit ou d’un contrat en l’absence de toutes dispositions légales ou réglementaires prévoyant une telle exclusion.Le présent traitement est dès lors soumis à autorisation de la Commission, en application des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée.La Commission observe que cette finalité est déterminée, explicite et légitime.
Sur les données traitées
Les catégories de données traitées sont relatives : - à l’identité des personnes concernées : le nom, le(s) prénom(s), le sexe, l’adresse, la date et lieu de naissance,- aux documents d’identité : le numéro de document, le numéro de la pièce d’identité, la date d’établissement, la date d’expiration, les 6 derniers caractères de la bande MRZ de la pièce d’identité et la bande MRZ figurant en bas des documents d’identité.La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente, adéquate et non excessive au sens de l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Seuls ont accès aux données traitées les conseillers concernés de l’agence et le personnel du service risque et contrôle de la maison mère. Ils sont en nombre limité.Ces destinataires n'appellent pas d'observation particulière.
Sur l’information et le droit d’accès 
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la banque sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention sur internet ainsi que dans les conditions générales de compte du client. Elles peuvent exercer leurs droits auprès du Service Relations Clientèle de chaque fédération.La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.