AgentPublic/cnil huggingface dataset:
Gestion du séjour des clients (arrangement des emplacements, création de séjours et encaissement, gestion du planning, gestion des factures, contrôles des ventes, mailing, statistiques de fréquentation, recensement de l’origine du contact…) ;
Création d’une liste d’exclusion des clients, appelé « liste aurore ».
Gestion du séjour des clients (arrangement des emplacements, création de séjours et encaissement, gestion du planning, gestion des factures, contrôles des ventes, mailing, statistiques de fréquentation, recensement de l’origine du contact…) ;
Création d’une liste d’exclusion des clients, appelé « liste aurore ».
Cette dernière finalité relève des dispositions de l’application de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à l’autorisation préalable de la CNIL les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire.
Données traitées
Pour la gestion des clients : 
les nom et prénoms du client ;
son adresse ;
son numéro de téléphone ;
son adresse électronique ;
son moyen de déplacement : voiture ou moto et le numéro d’immatriculation correspondant (afin de vérifier que les véhicules circulant dans le camping appartiennent bien aux campeurs).
le comportement naturiste ou non du client.
les nom et prénoms du client ;
son adresse ;
son numéro de téléphone ;
son adresse électronique.
des conditions d’admission / article 1 du règlement intérieur du centre hélio marin Oltra ;
des modalités du paiement des redevances (Solde dû) / article 3 du règlement intérieur du centre hélio marin Oltra ;
de la réglementation visiteurs / article 4 du règlement intérieur du centre hélio marin Oltra ;
de la tranquilité des vacanciers (bruit-silence) / article 6 du règlement intérieur du centre hélio marin Oltra ;
des règles de sécurité relatives aux animaux / article 7 du règlement intérieur du centre hélio marin Oltra ;
des règles de sécurité relatives aux personnes et aux biens (vol-agression) / article 9 du règlement intérieur du centre hélio marin Oltra ;
des règles de circulation et de stationnement des véhicules / article 11 du règlement intérieur du centre hélio marin Oltra ;
des règles d’hygiène et de propreté / article 12 du règlement intérieur du centre hélio marin Oltra ;
des dispositions concernant les photographies ou filmages de personnes (prise de photos ou de films sans autorisation) / article 13 du règlement intérieur du centre hélio marin Oltra.
Pour la liste « aurore » : 
les nom et prénoms du client ;
son adresse ;
son numéro de téléphone ;
son adresse électronique ;
son moyen de déplacement : voiture ou moto et le numéro d’immatriculation correspondant (afin de vérifier que les véhicules circulant dans le camping appartiennent bien aux campeurs).
le comportement naturiste ou non du client.
les nom et prénoms du client ;
son adresse ;
son numéro de téléphone ;
son adresse électronique.
des conditions d’admission / article 1 du règlement intérieur du centre hélio marin Oltra ;
des modalités du paiement des redevances (Solde dû) / article 3 du règlement intérieur du centre hélio marin Oltra ;
de la réglementation visiteurs / article 4 du règlement intérieur du centre hélio marin Oltra ;
de la tranquilité des vacanciers (bruit-silence) / article 6 du règlement intérieur du centre hélio marin Oltra ;
des règles de sécurité relatives aux animaux / article 7 du règlement intérieur du centre hélio marin Oltra ;
des règles de sécurité relatives aux personnes et aux biens (vol-agression) / article 9 du règlement intérieur du centre hélio marin Oltra ;
des règles de circulation et de stationnement des véhicules / article 11 du règlement intérieur du centre hélio marin Oltra ;
des règles d’hygiène et de propreté / article 12 du règlement intérieur du centre hélio marin Oltra ;
des dispositions concernant les photographies ou filmages de personnes (prise de photos ou de films sans autorisation) / article 13 du règlement intérieur du centre hélio marin Oltra.
Peuvent faire l’objet d’un enregistrement dans la liste « aurore », les données associées aux actes ou faits entrant dans l’une des catégories suivantes par suite du non respect :
les nom et prénoms du client ;
son adresse ;
son numéro de téléphone ;
son adresse électronique ;
son moyen de déplacement : voiture ou moto et le numéro d’immatriculation correspondant (afin de vérifier que les véhicules circulant dans le camping appartiennent bien aux campeurs).
le comportement naturiste ou non du client.
les nom et prénoms du client ;
son adresse ;
son numéro de téléphone ;
son adresse électronique.
des conditions d’admission / article 1 du règlement intérieur du centre hélio marin Oltra ;
des modalités du paiement des redevances (Solde dû) / article 3 du règlement intérieur du centre hélio marin Oltra ;
de la réglementation visiteurs / article 4 du règlement intérieur du centre hélio marin Oltra ;
de la tranquilité des vacanciers (bruit-silence) / article 6 du règlement intérieur du centre hélio marin Oltra ;
des règles de sécurité relatives aux animaux / article 7 du règlement intérieur du centre hélio marin Oltra ;
des règles de sécurité relatives aux personnes et aux biens (vol-agression) / article 9 du règlement intérieur du centre hélio marin Oltra ;
des règles de circulation et de stationnement des véhicules / article 11 du règlement intérieur du centre hélio marin Oltra ;
des règles d’hygiène et de propreté / article 12 du règlement intérieur du centre hélio marin Oltra ;
des dispositions concernant les photographies ou filmages de personnes (prise de photos ou de films sans autorisation) / article 13 du règlement intérieur du centre hélio marin Oltra.
Aucun commentaire ne figurera en zones libres de ladite liste.
Destinataires
Pour la gestion des clients : les agents de sécurité, les hôtesses, la direction et la responsable du service accueil.
Pour la liste « aurore » : la direction et la responsable du service accueil.
Pour la gestion des clients : les agents de sécurité, les hôtesses, la direction et la responsable du service accueil.
Pour la liste « aurore » : la direction et la responsable du service accueil.
Information et droit d’accès 
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients seront informés par des panneaux d’affichage et par le règlement intérieur disposés à l’entrée du centre et à l’accueil. Une mention rappelant les droits des personnes à l’égard des traitements de données à caractère personnel (articles 38, 39 et 40 de la loi « Informatique et Libertés ») figurera sur le site Internet du centre, sur les brochures ainsi que sur les contrats.
Durée de conservation 
pour la gestion des clients : 3 ans ;
pour la liste « aurore » : 3 ans sauf si l’inscription est due à un impayé (motif : « solde dû »), dans lequel cas, elle est maintenue jusqu’à régularisation des sommes dues ou à défaut pendant 3 ans ;
pour le traitement de reconnaissance des plaques minéralogiques : le temps du séjour.
Le Président
Alex TURK
La Commission nationale de l'informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex TURK ; 
Etant aussi présents, M. Guy ROSIER, vice-président délégué, M. François GIQUEL, vice-président, Mlle Anne DEBET, membre, M. Bernard PEYRAT, membre et M. Hubert BOUCHET, membre ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ; 
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ; 
Vu la délibération n° 2008-064 du 6 mars 2008 de la Commission nationale de l'informatique et des libertés mettant en demeure la société Y, notifiée le 31 mars 2008 ;
Vu la plainte n° 07021505 ;
Vu le rapport de M. de GIVRY, commissaire rapporteur, notifié par huissier à la société X le 9 mai 2008 ; 
Vu les autres pièces du dossier ;
Après avoir entendu, lors de la réunion du 12 juin 2008 :
· M. Emmanuel de GIVRY, commissaire, en son rapport ;· Mme Catherine POZZO di BORGO, commissaire adjoint du Gouvernement, en ses observations ;· M.M ; · M. A ;· Maître G., avocat de la société X.
Maître G. ayant pris la parole en dernier ;
I. FAITS ET PROCEDURE
· Faits
1. Mlle B, abonnée de la société Y (ci-après la société ), a souhaité exercer son droit d'accès auprès de ce fournisseur d'accès à internet, à plusieurs reprises. 
La plaignante a demandé une première fois par courriel du 29 juillet 2007 que ses données à caractère personnel figurant dans les traitements mis en œuvre par la société Y, lui soient transmises.
Le 31 juillet 2007, la société Y a d'abord expliqué ne pas être en mesure de lui communiquer ces informations pour des raisons de confidentialité et de sécurité.
La requérante continuant à faire valoir son droit d'accès dans ses courriels des 3 et 5 août 2007, la société Y a finalement expliqué pouvoir lui communiquer par téléphone ses données à caractère personnel, en appelant un numéro surtaxé, ce que la requérante a refusé de faire. Elle a par ailleurs signalé, le 5 août 2007, sa décision de saisir la Commission Nationale de l'Informatique et des Libertés (ci-après CNIL ).
Melle B a par la suite reçu un courrier papier en date du 15 août 2007 dans lequel la société Y lui a délivré les informations qu'elle leur avait transmis lors de son abonnement, à savoir ses nom, prénom, adresse, numéro de carte bancaire et date de l'ouverture de son compte auprès de la société Y. 
Mlle B a alors relevé par courriel en date du 18 août 2007 qu'il ne s'agissait pas d'une copie de l'intégralité de ses données à caractère personnel. Elle a précisé que les informations étaient erronées et incomplètes, dans la mesure où rien ne lui avait été communiqué sur ses facturations, ses paiements, ses communications et relations avec le service clientèle de la société. 
N'ayant pas obtenu de réponses précises répondant à ses attentes de la part de la société Y, Mlle B a saisi la CNIL le 16 août 2007.
Dans un courrier du 26 septembre 2007, la CNIL a demandé à la société Y de faire parvenir à la requérante une copie de l'ensemble des données la concernant, conformément à l'article 39 de la loi du 6 janvier 1978 modifiée.
La société Y n'a apporté aucune suite à la demande de la Commission, réitérée dans ses courriers des 6 novembre et 18 décembre 2007.
· Procédure
2. En conséquence, par délibération n° 2008-064 du 6 mars 2008, la formation restreinte de la Commission a mis en demeure la société Y, sous un délai d'un mois à compter de la notification de la décision (le 31 mars 2008) de :
· adresser à Melle B la copie de l'intégralité des documents contenant des données à caractère personnel la concernant figurant dans le ou les fichiers de la société, conformément aux demandes formulées par la CNIL dans ses courriers ;
· informer la Commission sur les raisons pour lesquelles la demande de Melle B d'exercer son droit d'accès n'a pas été prise en compte ainsi que celles pour lesquelles aucune réponse n'a été apportée aux courriers adressés par la CNIL ;
· communiquer à la CNIL l'intégralité des procédures mises en œuvre au sein de la société Y visant à respecter les dispositions des articles 32 (droit à l'information), 38 (droit d'opposition), 39 (droit d'accès) et 40 (droit de rectification) de la loi du 6 janvier 1978 ;
· justifier auprès de la CNIL que l'ensemble des demandes précitées ont bien été respectées, et ce dans le délai imparti.
3. En réponse à la mise en demeure, la société X a adressé, le 1er avril 2008, à la CNIL un courrier à l'en-tête [...] , la société X ayant absorbé entre temps la société Y, lui communiquant copie d'une lettre adressée à Mme B mais n'apportant aucune réponse sur les autres points de la mise en demeure. 
4. Sur la base de ces faits, une proposition de sanction pécuniaire a été notifiée par huissier à la société X le 9 mai 2008, à laquelle était jointe la convocation à l'audience du 12 juin 2008. Le rapport de sanction faisait état du manquement constaté à la loi informatique et libertés relatif au droit d'accès.
La société X a adressé le 28 mai 2008 ses observations écrites en réponse au rapport de M. de GIVRY. 
II. MOTIFS DE LA DECISION
5. Le rapporteur a considéré que la société X, qui a repris les activités de Y, n'avait pas respecté les dispositions de l'article 39 de la loi du 6 janvier 1978 modifiée. En effet, si la société a délivré à Melle B quelques-unes des informations personnelles demandées, la mise en demeure de la CNIL portait sur l'intégralité des documents contenant des données à caractère personnel sur la plaignante. Les éléments concernant la facturation et les paiements ne lui ont ainsi pas été transmis. Le courrier adressé à Melle B comportait uniquement le récapitulatif de ses contacts (date et heure de l'appel ainsi que le motif et la solution apportée). 
Par ailleurs, le rapporteur a souligné que la réponse de la société du 1er avril 2008 ne comportait aucune explication sur les raisons pour lesquelles la demande de Melle B n'a pas été prise en compte, ni pour lesquelles aucune réponse n'a été apportée aux courriers adressés par la CNIL.
La société X, dans son courrier du 28 mai 2008 et lors de l'audience du 12 juin 2008, en réponse au rapport de sanction, a indiqué que les dysfonctionnements constatés étaient dus à la période d'acquisition de Y par X et que l'application aux clients de Y des procédures CNIL de X avait imposé des changements importants ayant eux-mêmes engendré des difficultés techniques dans la transmission de l'information et la centralisation des réponses aux abonnés. 
La Commission prend acte des difficultés organisationnelles qui ont pu affecter les deux sociétés au moment de leur rapprochement mais considère que cela n'empêchait nullement d'apporter une réponse complète à la demande de Melle B, ni de justifier auprès de la Commission par un simple courrier les raisons pour lesquelles les demandes successives de la plaignante, ainsi que celles de la CNIL, n'avaient pas été prises en compte. La Commission rappelle que ces demandes étaient formulées dans sa mise en demeure du 6 mars 2008.
La Commission constate, à la lumière des éléments fournis par la société X qu'un courrier contenant l'ensemble des éléments sollicités n'a été adressé par la société à Melle B que le 28 mai 2008.
6. Le rapporteur a également souligné que la société n'avait apporté aucun élément permettant de considérer qu'elle avait mis en place un système efficace de gestion du droit d'accès de ses abonnés.
La société a détaillé à la formation restreinte de la CNIL, lors de l'audience du 12 juin 2008, les mesures, figurant déjà dans son courrier du 28 mai 2008, afin de garantir le droit d'accès. Elle a également précisé la procédure de contrôle interne mise en place ainsi que les mesures prises pour permettre un exercice immédiat du droit d'opposition en matière de prospection commerciale par courriel ou par téléphone. La société a également produit à l'appui de son courrier du 28 mai 2008 les mesures d'information de ses abonnés sur les droits offerts par la loi du 6 janvier 1978 modifiée. Elle a aussi adressé deux projets de chartes données personnelles destinées aux prospects et aux clients. 
La Commission rappelle qu'elle a déjà décidé, par une délibération n° 2007-046 du 15 mars 2007 une sanction pécuniaire de 10 000 euros contre la société X pour ne pas avoir répondu complètement à une mise en demeure de la CNIL portant également sur une difficulté d'exercice du droit d'accès par un client. A cette occasion, la société avait, dans un courrier du 1er mars 2007, déjà présenté les mêmes mesures à la Commission. S'il n'est pas anormal que ces mesures soient identiques plus d'un après, elle constate, notamment, que les chartes données personnelles , annoncées dans le courrier du 27 mars 2008, étaient déjà des projets en mars 2007 (point 2.2.3 du courrier du 1er mars 2007).
La Commission relève, par conséquent, à la lumière des faits qui lui ont été soumis, qu'elle ne dispose que de faibles garanties sur la réelle mise en œuvre des mesures annoncées par la société X.
8. La Commission estime que les observations, tant écrites qu'orales, ainsi formulées par la société X ne sont pas de nature à supprimer totalement le manquement au respect de l'article 39 de la loi du 6 janvier 1978 modifiée justifiant le prononcé d'une sanction. 
PAR CES MOTIFS, conformément à l'article 45 de la loi du 6 janvier 1978 modifiée, la CNIL décide de :
- prononcer à l'encontre de la société X une sanction pécuniaire de 7000 euros ;- publier la présente décision sur son site internet et sur la base Légifrance . 
A Paris, le
Le Président Alex TURK
La Commission nationale de l’informatique et des libertés,
Saisie pour avis par le ministère de l’intérieur, de l’outre-mer et des collectivités territoriales le 27 mars 2008 d’un projet de décret en Conseil d’Etat (modifié le 13 juin 2008) portant création au profit de la direction centrale de la sécurité publique d’un traitement automatisé de données à caractère personnel dénommé « EDVIGE » et d’un projet de décret portant modification du décret n°91-1051 du 14 octobre 1991 relatif aux fichiers gérés par les services des renseignements généraux et du décret n°2007-914 du 15 mai 2007 pris pour l’application du I de l’article 30 de la loi n°78-17 du 6 janvier 1978. 
Vu la Convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé de données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment ses articles 6, 8, 26, 29, 30 et 31;
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007, et notamment son article 83 ;
Vu le décret n°85-1057 du 2 octobre 1985 modifié relatif à l’organisation de l’administration centrale du ministère de l’intérieur et de la décentralisation, notamment son article 12 ;
Vu le décret n°91-1051 du 14 octobre 1991 portant application aux fichiers informatisés, manuels ou mécanographiques gérés par les services des renseignements généraux des dispositions de l’article 31, alinéa 3, de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n°91-1052 du 14 octobre 1991 relatif au fichier informatisé du terrorisme mis en œuvre par les services des renseignements généraux du ministère de l’intérieur ;
Vu le décret n°2007-914 du 15 mai 2007 pris pour l’application du I de l’article 30 de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le projet de décret portant modification du décret n°85-1057 du 2 octobre 1985 relatif à l’organisation de l’administration centrale du ministère de l’intérieur et de la décentralisation et le projet de décret relatif à l’organisation déconcentrée de la direction centrale de la sécurité publique ;
Après avoir entendu M. Jean-Marie COTTERET, commissaire, en son rapport, et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations ;
Emet l’avis suivant : 
La Commission a été saisie le 27 mars 2008 par le ministère de l’intérieur, de l’outre-mer et des collectivités territoriales de deux dossiers de formalités préalables relatifs à la mise en œuvre des traitements de données à caractère personnel respectivement dénommés « EDVIGE » (Exploitation Documentaire et Valorisation de l’Information GEnérale) et « CRISTINA » (Centralisation du Renseignement Intérieur pour la Sécurité du Territoire et les Intérêts NAtionaux).
Ils comportent chacun un projet de décret en Conseil d’Etat portant autorisation de la création du traitement considéré ainsi qu’un projet de décret en Conseil d’Etat portant modification du décret n°91-1051 du 14 octobre 1991 relatif aux fichiers gérés par les services des renseignements généraux et du décret n°2007-914 du 15 mai 2007 pris pour l’application du I de l’article 30 de la loi n°78-17 du 6 janvier 1978, modifiée par la loi n°2004-801 du 6 août 2004.
La mise en œuvre de ces nouveaux traitements résulte de la réforme des services de renseignement, laquelle devrait être effective au 1er juillet 2008 et devrait ainsi aboutir à la mise en place d’une nouvelle organisation, fondée sur une répartition différente des missions jusqu’alors dévolues à la direction de la surveillance du territoire (DST) et à la direction centrale des renseignements généraux (DCRG).
Ainsi, le renseignement intérieur, au sens strict, serait pris en charge par la direction centrale du renseignement intérieur (DCRI), chargée de lutter contre toutes les activités susceptibles de constituer une atteinte aux intérêts fondamentaux de la nation. La mission d’information générale, actuellement assurée par la DCRG, serait confiée à la direction centrale de la sécurité publique (DCSP). Enfin, la surveillance des établissements de jeux et des champs de courses serait confiée à la direction centrale de la police judiciaire (DCPJ).
Constitué d’une base nationale de données informatiques et d’archives papier, le traitement « EDVIGE » doit permettre à la DCSP de remplir la mission d’information générale qui lui sera dévolue, laquelle consiste dans la recherche, la centralisation et l’analyse des renseignements destinés à informer le représentant de l’Etat et le gouvernement dans les domaines institutionnel, économique et social, ainsi qu’en matière de phénomènes urbains violents et dans tous les domaines susceptibles d’intéresser l’ordre public.
Sur les finalités
Le traitement « EDVIGE » a pour finalités :
de centraliser et d’analyser les informations relatives aux personnes physiques et morales ayant sollicité, exercé ou exerçant un mandat électif, syndical ou économique ou qui jouent un rôle institutionnel, économique, social ou religieux significatif, afin de donner au gouvernement ou à ses représentants tous les éléments utiles à leur action ;
de centraliser et d’analyser les informations relatives aux individus, groupes, organisations et personnes morales qui, en raison de leur activité individuelle ou collective, sont susceptibles de porter atteinte à l’ordre public ;
de permettre aux services de police d’exécuter les enquêtes administratives qui leur sont confiées, pour déterminer si le comportement des personnes physiques ou morales intéressées est compatible avec l’exercice des fonctions ou des missions envisagées.