AgentPublic/cnil huggingface dataset:
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée en 2004, notamment son article 69 alinéa 8 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007,  notamment son article 103 ;
Sur le rapport de M. Emmanuel De Givry, commissaire et des observations de Mme Catherine POZZO DI BORGO, commissaire du gouvernement adjoint ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société AXA Assurances IARD Mutuelle à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Société responsable du traitement
AXA Assurances IARD Mutuelle
Finalité du transfert
Les personnes habilitées de la société AXA Assistance Maroc Services
Pays d’établissement du(des) destinataire(s)
Maroc
Service auprès duquel s’exerce le droit d’accès des personnes concernées
Service Information Clients d’Axa Assurances Iard MutuelleAxa 313 Terrasses de l’Arche 92727 Nanterre Cedex
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la Décision 2002/16/CE de la Commission européenne du 27 décembre 2001 concernant les transferts de responsable de traitement à sous-traitant 
Le Président
Alex TURK
Autorise, dans les conditions définies dans le dossier et ses compléments, le centre médico-chirurgical de réadaptation des Massues à mettre en œuvre un traitement de partage d’informations médicales à travers du portail internet régional SIS Rhône-Alpes, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Responsable du traitement
Le centre médico-chirurgical de réadaptation des Massues (69) 
Finalités
- Mise à disposition et collecte d’informations médicales sur les patients pris en charge par la clinique au travers du portail SIS Rhône-Alpes (Système d’information santé de la région Rhône-Alpes).- Le site internet du SISRA regroupe  :- un outil d’identification régionale du patient, le « STIC » (Serveur Télématique d’Identité Communautaire) qui a pour objectif de délivrer et de gérer pour chaque patient un identifiant régional (IPPR) ;- un outil de partage des dossiers des patients, assimilable à un moteur de recherche sécurisé qui permet à des professionnels de santé de mettre à disposition leurs données sur les patients et d’accéder à celles de leurs confrères sur autorisation du patient dénommé « DPPR » (Dossier Patient Partagé et Réparti). Les données de santé des patients restent stockées au sein des structures de santé.- Le centre médico-chirurgical de réadaptation des Massues souhaite utiliser les fonctionnalités du DPPR et mettre à disposition ses données avec l’accord des patients concernés.
Données traitées
- Concernant les patients : données d’identification (nom, prénom, sexe, date et lieu de naissance, IPPR), adresse, habitude de vie et comportement, données administrative sur le séjour, données sociales, données médicales (état général du patient, antécédents, allergies, affections, co-morbidités, évolutions néoplasiques, actes réalisés, prescriptions, examens cliniques, comptes rendus, résultats d’analyses, traitements sanguins) et données de soins ;- Concernant les professionnels de santé : nom, prénom, spécialité, n° d’identification, coordonnées professionnelles, date d’adhésion au dispositif
Destinataires
Les professionnels de santé adhérant au DPPR pour les seuls patients qu’ils suivent.
Information et droit d’accès
- Remise d’un document d’information au patient et d’une fiche de recueil de consentement,- Exercice du droit d’accès auprès de la direction du centre médico-chirurgical de réadaptation des Massues, du médecin traitant ou du personnel du bureau des entrées.
Caractéristiques particulières du traitement
- Accès aux données via internet sur le portail régional SIS Rhône-Alpes : www.sante-ra.fr- Haut niveau de cryptage du transport et des données- L'accès aux dossiers des patients nécessite soit une habilitation préalable du patient et une carte de professionnel de santé ou en l'absence d'habilitation préalable du professionnel de santé par le patient, une CPS et la carte Vitale du patient, ce qui implique la présence physique de celui-ci.
Observations propres au traitement
- Durée de conservation des données : jusqu’au terme de la prise en charge du patient dans le cadre du réseau. A l’issue de cette période, les données sont archivées conformément à la réglementation en vigueur et pourront être conservées de façon anonymisée à des fins statistiques. 
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Bernard PEYRAT, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société AOL France SNC à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Société responsable du transfert
La société AOL France SNC 
Finalité du transfert
Le transfert de données s’inscrit dans le cadre de contrats de prestations de services ayant pour objet la fourniture de services :
commerciaux (notamment le support client) ;
techniques (services d’hébergement, d’exploitation du réseau et d’utilisation d’internet) ;
d’infrastructures.
Catégories de données transférées
Pour les utilisateurs des services proposés en ligne par la société AOL, les anciens clients ou clients actuels ou prospects recevant les services de la société AOL France SNC : 
données d’identification (nom, prénom, identifiant/pseudonyme) ;
adresse, (adresse postale, téléphones personnel et professionnel et courrier électronique) ;
vie professionnelle (profession, catégorie socioprofessionnelle) ;
situation économique et financière (informations relatives aux achats, coordonnées bancaires ou numéro de carte bancaire des anciens abonnés au service d’accès à internet initialement proposé par AOL - ces informations sont conservées avec un accès limité pendant une année) ;
utilisation des médias et moyens de communication (données de trafic) ;
habitudes de vie et comportement (indications relatives aux goûts et préférence pour la personnalisation des services).
Des données faisant apparaître les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l’appartenance syndicale des personnes ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci peuvent également être traitées, lorsque les personnes concernées les ont diffusées de leur propre initiative notamment sur les espaces publics en ligne (blogs, forums…).
Identité(s) du(des) destinataire(s)
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée les personnels habilités de la société AOL Online India Private Limited – 401 Prestige Meridian II, 30, MG Road – Bangalore 56001 – Inde.
Pays d’établissement du(des) destinataire(s)
Inde 
Service auprès duquel s’exerce le droit d’accès des personnes concernées
AOL France SNC – Immeuble le France, 115/123 avenue Charles de Gaulle – 92525 Neuilly-sur-Seine.
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision 2002/16/CE de la Commission européenne du 27 décembre 2001 concernant les transferts de responsables de traitement à sous-traitant.
Observations particulières
La Commission nationale de l’informatique et des libertés, Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, notamment son article 25-I-8° ; Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié le 25 mars 2007 ;Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire du gouvernement adjoint ;En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la société Barclays Bank PLC d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux postes informatiques.Formule les observations suivantes :La société Barclays Bank PLC souhaite utiliser deux dispositifs biométriques différents pour sécuriser l’accès aux applications permettant :
de consulter et de manipuler les données des clients de la banque ;
d’effectuer des opérations sensibles telles que par exemple des virements financiers vers des pays étrangers.
Un premier dispositif concernera les personnels travaillant sur un poste informatique fixe. L’utilisation de ce procédé se fera dans le cadre d’un outil de signature unique chargé de gérer l’accès aux différents logiciels. Le gabarit de l’empreinte digitale sera exclusivement enregistré sous forme chiffré sur le disque dur du poste de travail. Un identifiant relatif à ce poste informatique sera également associé au gabarit de l’empreinte digitale afin d’empêcher qu’il ne soit utilisé sur un autre poste. Lors du contrôle d’accès, l’employé apposera son doigt sur le lecteur biométrique, une comparaison s’effectuera alors entre cette empreinte digitale et le gabarit enregistré.Le second dispositif sera destiné aux employés travaillant sur plusieurs postes. Il reposera sur une clé USB à laquelle sera associé un lecteur d’empreintes digitales. Le gabarit de l’empreinte digitale des personnes concernées sera exclusivement stocké dans la mémoire de la clé USB. Le contrôle d’accès aux données s’effectuera par une comparaison entre le doigt apposé sur le lecteur et le gabarit de l’empreinte digitale enregistré dans la clé USB.Le gabarit de l’empreinte digitale et les données relatives à l’identité de l’employé seront conservés tant que la personne sera habilitée à accéder aux applications précitées. Les personnes seront informées par la remise d’une note.S’agissant du premier dispositif, la Commission considère que compte tenu du fort impératif de sécurité lié à la nécessité de
contrôler l’accès aux applications de gestion des données bancaires et des opérations financières et des circonstances de l’espèce, les traitements sont adaptés et proportionnés à la finalité assignée au dispositif au regard de la protection des données personnelles.S’agissant du second dispositif, elle estime que dans la mesure où le gabarit de l’empreinte digitale est uniquement stocké dans un support individuel exclusivement détenu par la personne concernée et dont elle décide librement de l’utilisation, le dispositif soumis par la société Barclays Bank PLC ne comporte pas de risques particuliers pour la protection des libertés et des droits fondamentaux de la personne.Les droits d’accès et de rectification s’exerceront auprès de la direction informatique de la société Barclays Bank PLC – 32 avenue Georges V – 75008 Paris.Les catégories de données à caractère personnel enregistrées seront :
le gabarit de l’empreinte digitale ;
l’identité (nom, prénom) ;
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les personnes habilités de la direction informatique.Dans ces conditions, la Commission autorise la société Barclays Bank PLC, à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Philippe NOGRIX, commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire du gouvernement adjoint;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société COFIDIS, à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
COFIDIS
Finalité du transfert
Assurer et d’améliorer la gestion et l’assistance téléphonique des clients/prospects en gérant leurs demandes
Catégories de données transférées
Données d’identification (nom, prénom, numéro de client, date de naissance, sexe)
Adresse ( adresse, numéro de téléphone)
Vie professionnelle
Situation économique et financière
Identité(s) du(des) destinataire(s)
Les personnes habilitées de la société :Mezzo12, rue 8608ZI La ChargiaTunis Carthage 2035Tunisie
Pays d’établissement du(des) destinataire(s)
Tunisie
Service auprès duquel s’exerce le droit d’accès des personnes concernées
COFIDISService consommateurs61 avenue de Halley59866, Villeneuve d’AscqFrance
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision 2002/16/CE de la Commission européennes du 27 décembre 2001 concernant les transferts de responsable de traitement à sous-traitant.
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire du gouvernement adjoint ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société Gilead sciences à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
GILEAD SCIENCES
Finalité du transfert
Revue des évaluations professionnelles et identifications des besoins en formation.
Catégories de données transférées
Données d’identification : - nom et prénomVie professionnelle :- période évaluation (date début et fin)- objectifs et statut de mi-année par rapport aux objectifs- évaluation par le responsable, objectifs supplémentaires réalisés et niveau de performance- compétences professionnelles- évaluation du respect des valeurs de l’entreprise.
Identité(s) du(des) destinataire(s)
 Agents habilités
Pays d’établissement du(des) destinataire(s)
Etats-Unis
Service auprès duquel s’exerce le droit d’accès des personnes concernées
Gilead Science100 avenue de Suffren75015 Paris
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision 2001/497/CE de la Commission européenne du 15 juin 2001 concernant les transferts de responsable de traitement à responsable de traitement.
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire du gouvernement adjoint ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société Gilead Sciences à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
GILEAD SCIENCES
Finalité du transfert
Recrutement et validation du candidat retenu.
Catégories de données transférées
Données d’identification : - nom et prénom- date de naissance- adresse personnelle et numéro de téléphone- e-mailFormation - diplômes obtenusVie professionnelle :- nom du dernier employeur- dernier poste occupé- dernier salaire (bonus, stock options)- autres avantages- salaire attendu
Identité(s) du(des) destinataire(s)
 Agents habilités
Pays d’établissement du(des) destinataire(s)
Etats-Unis
Service auprès duquel s’exerce le droit d’accès des personnes concernées
Gilead Science100 avenue de Suffren75015 Paris
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision 2001/497/CE de la Commission européenne du 15 juin 2001 concernant les transferts de responsable de traitement à responsable de traitement.
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire du gouvernement adjoint ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société Gilead Sciences à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
GILEAD SCIENCES
Finalité du transfert
Revue des promotions et augmentations de salaires.
Catégories de données transférées
Données d’identification : - nom et prénomVie professionnelle :- date entrée Gilead- pays d’établissement- titre, grade- historique des salaires perçus- salaire actuel- nombre de stock options attribuées- nouveau titre en cas de promotion- positionnement salarial (fourchette de salaire)- pourcentage augmentation- bonus 
Identité(s) du(des) destinataire(s)
 Agents habilités
Pays d’établissement du(des) destinataire(s)
Etats-Unis
Service auprès duquel s’exerce le droit d’accès des personnes concernées
Gilead Science100 avenue de Suffren75015 Paris
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision 2001/497/CE de la Commission européenne du 15 juin 2001 concernant les transferts de responsable de traitement à responsable de traitement.
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la déclaration n° 834195 V2 ;
Sur le rapport de M. Pierre de Longevialle, commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire adjoint du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société HOSTA S.A. à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
HOSTA S.A.
Finalité du transfert
Gestion des remboursements de prestations aux assurésGestion des renseignements téléphoniques
Catégories de données transférées
Nom, prénom, 
adresse
n° de sécurité sociale,
n° d’adhérent,
date de naissance,
RIB,