AgentPublic/cnil huggingface dataset:
La société WAKANIM gère une plateforme de vidéos à la demande (ou « video on demand » - VOD) spécialisée dans la diffusion de séries d'animation japonaises. Elle assure le doublage en français de ces séries dont elle détient les droits d’exploitation exclusifs.
Afin de défendre ses droits, la société WAKANIM souhaite d’abord collecter et traiter les données relatives aux connexions depuis lesquelles les œuvres protégées sont mises en ligne sur les réseaux d’échanges de fichiers dénommés « pair à pair ». La société souhaite ensuite obtenir par la voie judiciaire les coordonnées des internautes concernés auprès de leurs fournisseurs d’accès à internet.
Le traitement permet l’exercice effectif du droit à un recours juridictionnel d’une victime contre les auteurs de faits qu’elle estime être des infractions au sens de la décision du Conseil constitutionnel du 29 juillet 2004 rendue sur l’article 9 de la loi du 6 janvier 1978 modifiée.
Ainsi, la Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-3° de ladite loi, qui soumet à autorisation les traitements automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.
Sur la finalité du traitement :
Le dispositif soumis à la Commission a pour finalité la collecte d’informations relatives aux connexions à l’origine de la mise en ligne de contenus protégés par des droit de propriété intellectuelle. Les traitements mis en œuvre ne porteront que sur les mises à disposition d’œuvres appartenant au catalogue de la société WAKANIM c’est-à-dire pour lesquelles elle dispose de droits d’exploitation exclusifs.
La société WAKANIM procède en plusieurs étapes : 
dans un premier temps, elle recourt  aux services d’un prestataire technique la société la société TMC Right afin de rechercher les fichiers mis en ligne sur les réseaux pair-à-pair. Cette société effectue une recherche active de tous les référencements comportant le nom de l’œuvre dont WAKANIM détient les droits. Ces fichiers sont contrôlés et validés par le prestataire afin d’éliminer les leurres et les versions incomplètes. Les données relatives à la connexion impliquée dans la mise en ligne de l’œuvre protégée sont enfin collectées ; 
dans un second temps, ces informations sont transmises à un cabinet d’avocat mandaté par WAKANIM afin d’obtenir auprès des fournisseurs d’accès à internet, par la voie judiciaire, l’identité et l’adresse des internautes concernés ;
à l’issue de cette première procédure aux fins d’obtention judiciaire des adresses physiques, la société WAKANIM décide des poursuites à engager.
La Commission considère que cette finalité est déterminée, explicite et légitime.
Sur la nature des données traitées :
Les données traitées par le prestataire et transmises au cabinet d’avocat sont : 
l’adresse réseau (IP) ; 
la date et heure de la connexion ; 
l’identifiant de l’utilisateur ;
le nom du fichier mis en ligne ainsi que l’URL correspondante ;
le nom du fournisseur d’accès à Internet.
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente au sens du 3° de l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation des données :
Les données de connexion collectées par la société TMC Right sont conservées un jour dans leur serveur avant transmission au cabinet d’avocat ZBACZYNIAK.
Ces données de connexion sont ensuite conservées par le cabinet d’avocats le temps de réaliser l’assignation du fournisseur d’accès à Internet concerné et d’obtenir l’identité et l’adresse de résidence de l’abonné. Elles sont supprimées après l’obtention par voie judiciaire de ces éléments.
Votre rapporteur considère que cette durée de conservation est proportionnée à la finalité poursuivie.
Sur les destinataires des données :
Les destinataires des données seront dans la limite de leurs attributions et pour la poursuite de la finalité précitée, le personnel habilité de la société TMC Right, du cabinet d’avocat ZBACZYNIAK et les autorités judiciaires.
Sur l'information et les droits des personnes :
Le responsable de traitement fait figurer sur son site Internet une information générale sur l’existence du traitement précisant son identité, la finalité du traitement, les destinataires des données et la manière d’exercer les droits d’accès, de rectification et d’opposition. Les droits des internautes s’exercent par envoi de message électronique à la société WAKANIM.
Sur la sécurité des données et la traçabilité des actions :
Les échanges de données sont réalisés au moyen de canaux sécurisés. Les données échangées sont chiffrées par des moyens appropriés (clés USB sécurisées).
Concernant le sous-traitant TMC Right, des profils d’habilitation définissent les fonctions ou les types d’informations accessibles à un utilisateur.
Sous réserve des observations de la Commission, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise la société WAKANIM à mettre en œuvre un traitement de données à caractère personnel aux fins d’exercice de son droit à un recours juridictionnel contre des personnes ayant mis à disposition sur Internet sans son autorisation des contenus sur lesquels elle dispose de droits exclusifs d’exploitation.
La Présidente
I. FALQUE-PIERROTIN
(demande d’autorisation n° 1526330 v1) La Commission nationale de l'informatique et des libertés, Saisie par la société SEPHORA SA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la collecte du  device fingerprint  dans le cadre de la lutte contre la fraude aux moyens de paiement ; Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 6-3°, 25-I-4° et 32-II ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; Vu la délibération n° 2013-378 du 5 décembre 2013 portant adoption d’une recommandation relative aux Cookies et aux autres traceurs visés par l'article 32-II de la loi du 6 janvier 1978 ; Vu la délibération n° 2012-187 du 7 juin 2012 à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude et les impayés par carte bancaire. Après avoir entendu M. François PELLEGRINI,
commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations, Formule les observations suivantes : La société SEPHORA SA, ci-dessous dénommée SEPHORA commercialise des produits cosmétiques par Internet. Afin de lutter contre les tentatives de fraudes à la carte bancaire effectuées lors d’achat à distance, elle a recours à un outil d’évaluation des risques présentés par ce type de transaction. Ce traitement a pour objet d’identifier les paiements par carte bancaire effectués à distance auprès de la société SEPHORA et présentant un risque de fraude susceptible de générer un impayé.  La Commission considère que ce traitement peut avoir pour effet d’exclure des personnes du bénéfice d’un contrat en l’absence de toute disposition légale ou réglementaire le prévoyant en leur ôtant la possibilité de recourir à ce mode de paiement à distance. Il relève donc du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, faire l’objet d’une autorisation de la Commission. A ce titre, SEPHORA a été autorisé par une délibération n°2012-187 du 7 juin 2012 à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude et les impayés par carte bancaire. La société SEPHORA a saisi la Commission d’une demande de modification du traitement précité. Les modifications concernent principalement la nature des données traitées et les caractéristiques du traitement. En
complément des données de connexion mentionnées dans la délibération n°2012-187 du 7 juin 2012, la société SEPHORA souhaite collecter le  device fingerprint    du terminal ayant permis de réaliser la commande par carte de paiement. L’analyse du device fingerprint  est une fonctionnalité complémentaire de l’outil d’évaluation des risques de fraude proposé par le prestataire de service auquel a recours SEPHORA et qui permet d’individualiser les terminaux à partir desquels les achats sont réalisés via la collecte d’informations techniques. Au moment du calcul du score, en sus des autres éléments lui permettant de déterminer le niveau de risque global associé à la commande, le prestataire de service de la société SEPHORA, qui a également recours à un sous-traitant, va interroger ce dernier afin de vérifier si des commandes frauduleuses ont déjà été réalisées à partir d’un terminal auquel est affecté le même  device fingerprint . SEPHORA procédera à la validation ou à l’annulation des commandes ayant un score élevé en prenant en considération cette nouvelle donnée. La Commission relève que SEPHORA ne conserve pas le  device fingerprint . Il convient notamment d’examiner lesdites modifications au regard de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements
ultérieurs et de l’article 32-II qui prévoit le recueil du consentement exprès et spécifique de la personne concernée en cas de collecte de l’empreinte numérique du terminal  device fingerprinting  qui s’apparente à un traceur. SEPHORA prévoit la diffusion d’un bandeau d’information préalable à la collecte du  device fingerprint  en page d’accès du site et rédigé comme suit :  En poursuivant votre navigation sur ce site, vous acceptez l'utilisation de cookies et autres traceurs pour vous proposer des services/offres adaptés à vos centres d'intérêts et le contrôle de votre commande par nos dispositifs de lutte contre la fraude. Pour en savoir plus et paramétrer les cookies. . Cette mention d’information renverra, via un lien hypertexte, à la charte de données personnelles qui comportera la mention suivante :  Dans le cadre de la lutte contre les fraudes sur Internet, les informations relatives à la Commande de l'Acheteur ainsi que des informations relatives au terminal de l’Acheteur ayant permis de réaliser la Commande (notamment le système d'exploitation utilisé, la localisation de la machine, l'utilisation ou non de proxy ...) pourront être transmises à tout tiers habilité par la loi ou désigné par SEPHORA aux seules fins de vérification de l'identité de l'Acheteur, de la validité de la Commande, du mode de règlement utilisé et de la livraison envisagée.  La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
S’agissant du recueil de consentement préalable à la collecte du  device fingerprint . En modifiant l’article 5(3) de la directive 2002/58/CE par l'adoption de la directive 2009/136/CE, le législateur européen a posé le principe selon lequel le stockage d’informations sur l’équipement d’un utilisateur ou l’accès à des informations déjà stockées, ne devaient être mises en œuvre qu'avec le consentement préalable de l’utilisateur sauf, si ces actions sont strictement nécessaires au fournisseur pour la délivrance d’un service de la société de l’information expressément demandé par l’abonné ou l’utilisateur. Ainsi, l’article 32-II de la loi du 6 janvier 1978, modifié par l’ordonnance n°2011-1012 du 24 août 2011 qui a transposé la directive 2009/136/CE, dispose désormais que tout abonné ou utilisateur d'un service de communications électroniques doit être informé de manière claire et complète, sauf s'il l'a été au préalable, par le responsable du traitement ou son représentant :  de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ; des moyens dont il dispose pour s'y opposer. Ces accès ou inscriptions ne peuvent avoir lieu qu'à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son accord qui peut résulter de paramètres appropriés de son dispositif de
connexion ou de tout autre dispositif placé sous son contrôle.  Le terme accord visé par l'article 32-II de la loi précitée correspond au  consentement  défini à l’article 2 (h) de la directive 95/46/CE, c’est-à-dire  toute manifestation de volonté, libre, spécifique et informée . La Commission considère que le consentement ne peut être valable que si la personne concernée est en mesure d’exercer valablement son choix et n’est pas exposée à des conséquences négatives importantes si elle refuse de donner son consentement.  En l’espèce, la personne qui refuse la technologie du  device fingerprinting  peut poursuivre sa commande dès lors que l’analyse manuelle opérée par la cellule fraude n’identifie aucun autre élément lié à la commande présentant un risque de fraude. A défaut, un justificatif d’identité sera demandé dans les conditions fixées par la délibération susvisée du 7 juin 2012. Dans ces conditions, la Commission autorise, conformément à la présente délibération, la société SEPHORA SA à modifier le traitement susmentionné. La Présidente I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1795410)
La Commission nationale de l'informatique et des libertés,
Saisie par la Compagnie de Gestion et de Prêts d’une demande de modification de la délibération n°2012-296 du 13 septembre 2012 autorisant la Compagnie de Gestion et de Prêts à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité l’aide à la sélection et à l’évaluation des risques en matière d’octroi de crédit ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25.I.4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n°2012-296 du 13 septembre 2012 autorisant la Compagnie de Gestion et de Prêts à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité l’aide à la sélection et à l’évaluation des risques en matière d’octroi de crédit
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Compagnie de Gestion et de Prêts (ci-dessous dénommée CGDP), filiale du Groupe Laser Cofinoga, propose à ses clients des crédits à la consommation.
Sur la finalité
Ce traitement vise à évaluer le risque d’impayés en matière d’octroi de crédit afin de prévenir le risque de défaillance de l’emprunteur lors de la demande initiale ou en cas de demande d’augmentation du plafond de crédit octroyé. Le traitement consiste en l’élaboration et l’utilisation de grilles de  scores en matière d’octroi de crédit.La Commission relève que la note de score attribuée au client est calculée en prenant en compte l’état des encours et incidents de paiements survenus sur les comptes du client détenus auprès de l’une ou l’autre des sociétés du Groupe Laser (Laser Cofinoga, CGDP, SYGMA BANQUE).La Commission relève qu’en cas de défaillance de l’emprunteur, un plan de rééchelonnement des sommes dues, adapté à la situation du client, pourra être mis en place.Enfin, il existe une communication d’information entre la CGDP et la société LASER COFINOGA, destinée à évaluer le niveau d’endettement d’un demandeur de crédit au regard des crédits précédemment souscrits auprès de l’une de ces sociétés et le cas échéant, afin de proposer au client un rééchelonnement de sa dette.La Commission considère que cette finalité est déterminée, explicite et légitime.Ce traitement peut néanmoins, du fait de sa nature et de sa finalité, conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition législative ou réglementaire prévoyant une telle exclusion. Dès lors, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978
modifiée et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.
La Commission relève que les fichiers clients de CGDP seront consultés par les personnels habilités de LASER COFINOGA à l’occasion d’une demande de crédit ou de la défaillance d’un emprunteur nécessitant d’engager une procédure de recouvrement. La Commission prend acte que ces opérations n’emportent pas constitution d’un fichier centralisant les incidents de paiement ou les encours de crédit et qu’il n’y a pas de mémorisation des informations consultées dans les fichiers clients respectifs. Elle observe également que ces  deux sociétés appartiennent au même groupe et qu’elles sont toutes spécialisées dans le crédit à la consommation et qu’il existe une communauté de risque financier entre les sociétés bénéficiaires de cet échange.Conformément à l’article 10 de la loi du 6 janvier 1978 modifiée, le résultat de ce traitement n’a qu’un caractère indicatif, et qu’il est toujours possible d’y déroger au moyen d’une procédure d’analyse non automatisée en cas de dossiers plus complexes.Ces autres caractéristiques du traitement n’appellent pas d’observation particulière de la Commission.Les données collectées ne sont conservées que pendant le temps nécessaire à la prise de décision. Les données utilisées pour les grilles de score et relatives aux contrats des clients sont conservées pendant la durée de vie du contrat. Le résultat du traitement permet d’attribuer à l’emprunteur une note de score mise à jour mensuellement.Ces durées de conservation n’appellent pas d’observations de la
part de la Commission.
Autorise, conformément à la présente délibération, la Compagnie de Gestion et de Prêts à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1795335)
La Commission nationale de l'informatique et des libertés,
Saisie par SYGMA BANQUE d’une demande de modification de la délibération n°2012-298 du 13 septembre 2012 autorisant  SYGMA BANQUE à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité l’aide à la sélection et à l’évaluation des risques en matière d’octroi de crédit ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25.I.4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n°2012-298 du 13 septembre 2012 autorisant n°2012-298 du 13 septembre 2012 autorisant SYGMA BANQUE à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité l’aide à la sélection et à l’évaluation des risques en matière d’octroi de crédit ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société SYGMA BANQUE, filiale du Groupe Laser Cofinoga, propose à ses clients des crédits à la consommation.
Sur la finalité
Ce traitement vise à évaluer le risque d’impayés en matière d’octroi de crédit afin de prévenir le risque de défaillance de l’emprunteur lors de la demande initiale ou en cas de demande d’augmentation du plafond de crédit octroyé. Le traitement consiste en l’élaboration et l’utilisation de grilles de  scores en matière d’octroi de crédit.La Commission relève que la note de score attribuée au client est calculée en prenant en compte l’état des encours et incidents de paiements survenus sur les comptes du client détenus auprès de l’une ou l’autre des sociétés du Groupe Laser (Laser Cofinoga, CGDP, SYGMA BANQUE).La Commission relève qu’en cas de défaillance de l’emprunteur, un plan de rééchelonnement des sommes dues, adapté à la situation du client, pourra être mis en place.Enfin, il existe une communication d’information entre la SYGMA BANQUE et la société LASER COFINOGA, destinée à évaluer le niveau d’endettement d’un demandeur de crédit au regard des crédits précédemment souscrits auprès de l’une de ces sociétés et le cas échéant, afin de proposer au client un rééchelonnement de sa dette.La Commission considère que cette finalité est déterminée, explicite et légitime.Ce traitement peut néanmoins, du fait de sa nature et de sa finalité, conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition législative ou réglementaire prévoyant une telle exclusion. Dès lors, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978
La Commission relève que les fichiers clients de SYGMA BANQUE seront consultés par les personnels habilités de LASER COFINOGA à l’occasion d’une demande de crédit ou de la défaillance d’un emprunteur nécessitant d’engager une procédure de recouvrement. La Commission prend acte que ces opérations n’emportent pas constitution d’un fichier centralisant les incidents de paiement ou les encours de crédit et qu’il n’y a pas de mémorisation des informations consultées dans les fichiers clients respectifs. Elle observe également que ces  deux sociétés appartiennent au même groupe et qu’elles sont toutes spécialisées dans le crédit à la consommation et qu’il existe une communauté de risque financier entre les sociétés bénéficiaires de cet échange.Conformément à l’article 10 de la loi du 6 janvier 1978 modifiée, le résultat de ce traitement n’a qu’un caractère indicatif, et qu’il est toujours possible d’y déroger au moyen d’une procédure d’analyse non automatisée en cas de dossiers plus complexes.Ces autres caractéristiques du traitement n’appellent pas d’observation particulière de la Commission.Les données collectées ne sont conservées que pendant le temps nécessaire à la prise de décision. Les données utilisées pour les grilles de score et relatives aux contrats des clients sont conservées pendant la durée de vie du contrat. Le résultat du traitement permet d’attribuer à l’emprunteur une note de score mise à jour mensuellement.Ces durées de conservation n’appellent pas
d’observations de la part de la Commission.
Autorise, conformément à la présente délibération, SYGMA BANQUE à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN