AgentPublic/cnil huggingface dataset:
Le processus d’alimentation de l’application implique tout d’abord la mise en œuvre d’une interconnexion avec le traitement de gestion opérationnelle des examens du permis de conduire, dénommé AURIGE et créé par un arrêté du 26 juin 1996. Cette interconnexion permettra de transférer vers le SI-FAETON les demandes d’inscription au permis de conduire, le résultat après examen ainsi que les mentions additionnelles à l’initiative de l’inspecteur du permis de conduire. En retour, le traitement SI-FAETON adressera à AURIGE, aux fins de mise à jour, les données relatives à l’éligibilité des candidats avant affectation des places d’examen et à la fabrication du titre ou au refus du bénéfice des résultats des épreuves (cas des candidats faisant l’objet d’une interdiction d’obtenir ou de présenter les épreuves). 
Ce processus d’alimentation nécessite également une interconnexion avec le traitement dénommé RAFAEL, registre national de l'enseignement de la conduite des véhicules à moteur et de la sécurité routière créé par un arrêté du 8 janvier 2001, aux fins de transmission des référentiels contenant les agréments des écoles de conduite et des centres de stage.
Ces interconnexions n’appellent pas d’observation particulière de la part de la Commission, de même que l’interconnexion prévue avec le système d’information de l’Imprimerie Nationale aux fins d’édition des nouveaux modèles sécurisés de permis de conduire ainsi que des lettres de notification des décisions judiciaires et administratives. 
Aux fins de transmission et d’enregistrement des décisions à caractère définitif concernant des infractions au code de la route, la Commission relève que trois interconnexions sont prévues avec les applications utilisées par les officiers du ministère public. Il s’agit de l’application « Win OMP » utilisée par ces officiers au sein des tribunaux de police, de « l’applicatif PP », qui constitue l’équivalent, au sein de la Préfecture de Police, de l’application « Win OMP », ainsi que du « système contrôle sanction automatisé » (CSA), créé par l’arrêté du 13 octobre 2004 modifié et mis en œuvre par les officiers du ministère public spécialisés dans cette modalité d’infraction (les infractions au code de la route constatées au moyen de radars automatiques). Ces interconnexions n’appellent pas d’observation particulière de la part de la Commission.
En application de l’article L. 225-5 du code de la route, l’application SI-FAETON doit également permettre à l'organisme chargé de la délivrance et de la gestion des cartes de conducteur associées au chronotachygraphe électronique utilisé pour le contrôle des transports routiers et à l'organisme chargé de la délivrance et de la gestion des cartes de qualification de conducteur de vérifier la validité des droits à conduire des personnes concernées. Deux interconnexions sont donc mises en œuvre dans ce cadre avec l’application chargée de gérer la délivrance des cartes professionnelles aux conducteurs routiers et avec l’application du service délivrant les cartes chronotachygraphes pour les conducteurs routiers.
Afin de mettre à jour les données enregistrées dans le traitement « Télépoints », téléservice créé par un arrêté du 27 juin 2007 et qui permet à chaque titulaire du permis de conduire français de consulter le solde des points qui lui est affecté, le traitement SI-FAETON doit enfin transmettre les données relatives au solde de points du permis de conduire. 
La Commission souligne enfin que de nouvelles interconnexions sont actuellement à l’étude par le ministère de l’intérieur. Elle rappelle à cet égard que leur mise en œuvre nécessitera une nouvelle demande d’autorisation auprès de la Commission.
Sur les sécurités du dispositif
En ce qui concerne tout d’abord l’accès au traitement SI-FAETON, la Commission souligne que tous les personnels disposant d’un accès direct font l’objet d’une habilitation individuelle et que chaque type d’habilitation obtenu est associé à un profil d’utilisation déterminé en fonction des responsabilités (niveau hiérarchique, poste) et de l’entité d’appartenance. Ce profil est également associé à des droits dans le traitement : droits de lecture (consultation) ou droits d’écriture (saisie de nouvelles données, modification et suppression des données existantes), ces derniers n’étant accordés qu’aux personnes qui peuvent être authentifiées de manière forte, par l’intermédiaire soit de certificats logiciels (écoles de conduite et centres de stage, médecins agréés) soit par carte à puce munie d’un code PIN (forces de l’ordre, agents de préfecture, agents du service du fichier national des permis de conduire).
La Commission considère que les actions effectuées par les utilisateurs font en outre l’objet d’une traçabilité suffisante. Un module dédié aux recherches en traçabilité permettra de savoir quel agent a effectué une action donnée, à quelle date et quel était l'état des données avant et après l'action. Ce module sera réservé à un profil spécifiquement habilité sous la responsabilité du service du fichier national des permis de conduire.
Elle prend acte que ces les accès indirects aux données enregistrées dans le traitement SI-FAETON, c’est-à-dire les accès prévus par l’article L. 225-5 du code de la route, feront également l’objet d’une traçabilité. Celle-ci sera assurée par l’intermédiaire de l’enregistrement des actions effectuées par les personnes assurant la communication des données à ces destinataires. 
La Commission relève par ailleurs que tous les échanges sur les réseaux sont chiffrés et qu’en ce qui concerne en particulier les interconnexions prévues, ce chiffrement intervient par authentification mutuelle des serveurs par certificat, ce qui est de nature à assurer la sécurité des données échangées. En outre, elle souligne que la confidentialité des données enregistrées dans l’application est assurée par le fait que les sécurités d’accès au système sont différenciées selon le type de réseau utilisé et la nature des destinataires.
Dans ces conditions, la Commission estime que les mesures de sécurité prévues en ce qui concerne le traitement SI-FAETON sont satisfaisantes au regard des obligations de l’article 34 de la loi du 6 janvier 1978 modifiée.
Elle observe que le titre lui-même fait l’objet de mesures de sécurisation importantes, comme le chiffrement, dans la puce sans contact, de la photographie et de la signature du porteur. La Commission estime néanmoins que ces mesures doivent être améliorées. En ce qui concerne le chiffrement utilisé, de type BAC – ce qui est conforme à la norme communément admise, elle relève ainsi que la sécurité de la puce serait plus importante si un aléa était ajouté en fin de bande MRZ, afin de limiter aux seuls destinataires ayant physiquement accès au titre l’accès à ces données chiffrées.
Sur l'information et les droits d’accès, de rectification et d'opposition des personnes 
Tout comme dans le cas du SNPC, la Commission relève que l’information des personnes concernées est assurée au moyen de mentions d’information figurant sur les formulaires de demande d’inscription au permis de conduire. Ces formulaires CERFA sont signés par les demandeurs avant d’être dématérialisés et contiennent les mentions prévues à l’article 32 de la loi du 6 janvier 1978 modifiée.
La Commission prend acte que le droit d’opposition prévu à l’article 38 de la loi du 6 janvier 1978 modifiée n’est pas applicable au traitement SI-FAETON.
Elle rappelle enfin que les personnes concernées disposent, en application des articles 39 et 40 de la loi du 6 janvier 1978 modifiée, d’un droit d’accès et de rectification des données enregistrées dans le traitement. Le droit à la communication du relevé intégral des mentions le concernant pour tout titulaire ou usager est en outre prévu par l’article L. 225-3 du code de la route. Ces droits s’exercent directement auprès du préfet du lieu de résidence.
Dans ces conditions, la Commission autorise le ministère de l’intérieur, de l’outre-mer, des collectivités territoriales et de l’immigration à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion des droits à conduire. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1576743) 
La Commission nationale de l’informatique et des libertés, 
Saisie par la société AIGLE-AZUR TRANSPORTS AERIENS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des contentieux opposant la société aux passagers ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9-3° et 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Sur la proposition de M. Jean-François CARREZ, commissaire, et après avoir entendu Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :
Sur le responsable du traitement
Le responsable de traitement est la société AIGLE-AZUR TRANSPORTS AERIENS. 
Sur la finalité
La finalité du présent traitement est la gestion des contentieux opposant la société aux passagers. L’article 9 de la loi du 6 janvier 1978 modifiée prévoit que le traitement de données relatives aux infractions, condamnations et mesures de sûreté ne peut être mis en œuvre que par :« 1° Les juridictions, les autorités publiques et les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales ;2° Les auxiliaires de justice, pour les stricts besoins de l’exercice des missions qui leur sont confiées par la loi ;3° [Dispositions déclarées non conformes à la Constitution par décision du Conseil constitutionnel n° 2004-499 DC du 29 juillet 2004 ;] 4° Les personnes morales mentionnées aux articles L. 321-1 et L. 331-1 du code de la propriété intellectuelle, agissant au titre des droits dont elles assurent la gestion ou pour le compte des victimes d’atteintes aux droits prévus aux livres Ier, II et III du même code aux fins d’assurer la défense de ces droits ».Dans sa décision du 29 juillet 2004, le Conseil Constitutionnel a invalidé l’article 9-3° qui permettait à une personne morale de droit privé, mandatée par d’autres personnes morales estimant avoir été victimes ou être susceptibles d’être victimes d’agissements passibles de sanctions pénales, de rassembler des données portant sur des infractions, condamnations ou mesures de sûreté, au motif de son caractère trop général et du manque de précision sur les garanties devant encadrer ce type
de traitement. Pour autant, le Conseil Constitutionnel a précisé que cette annulation ne saurait être interprétée comme « privant d’effectivité le droit d’exercer un recours juridictionnel dont dispose toute personne physique ou morale s’agissant des infractions dont elle a été victime ». Cette réserve d’interprétation était indispensable pour ne pas priver de base légale les traitements légitimement mis en œuvre pour assurer le suivi des dossiers contentieux relatifs à des infractions. Elle permet à toute personne de constituer, pour les besoins de l’exercice de son droit au recours, des fichiers de pré-contentieux.Dans ce contexte, la Commission considère qu’il y a lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté. La Commission estime que la finalité poursuivie est déterminée, légitime et explicite.
Sur les données traitées
Les données collectées sont relatives : 
à l’identification (nom, prénom) ;
aux infractions et condamnations ;
à l’état et au suivi de la procédure.
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie. 
Sur les destinataires
Les destinataires des données sont les personnels dûment habilités de la société AIGLE-AZUR TRANSPORTS AERIENS.Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention dans les conditions générales de transport publiées sur le site internet ou remises par l’agence de réservation.Les droits d’accès et de rectification s’exercent auprès du service juridique de la société AIGLE-AZUR TRANSPORTS AERIENS, 36, rue des Jeuneurs – 75002 PARIS.  La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes. 
Sur les mesures de sécurité
La Commission observe que l’authentification des utilisateurs du traitement respecte ses préconisations, et notamment que les mots de passe utilisés sont d’un niveau de complexité suffisant.Le traitement est accessible via internet, et que les données sont chiffrées lors de leur transmission, ce afin de garantir leur confidentialité.Les mesures de sécurité mises en place n’appellent pas d’observation de la part de la Commission.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant la durée de prescription civile, soit 5 ans, ou jusqu’au complet versement des dommages-intérêts. La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement. 
Autorise, conformément à la présente délibération, la société AIGLE-AZUR TRANSPORTS AERIENS à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n°1553879)
La Commission nationale de l’informatique et des libertés, 
Saisie par le Crédit Agricole Consumer Finance d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’aide à l’évaluation et à la sélection des risques en matière d’octroi de crédit à la consommation ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n°2008-198 du 9 juillet 2008 modifiant l’autorisation unique n°AU 005 relative à certains traitements de données à caractère personnel mis en œuvre par les établissements de crédit pour aider à l’évaluation et à la sélection des risques en matière d’octroi de crédit ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Paul AMOUDRY, commissaire et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
Crédit Agricole Consumer Finance (CACF)
Sur la finalité
Le traitement de données à caractère personnel soumis par le CACF à l’examen de la Commission doit permettre d’évaluer, sur la base de modèle de score, le risque statistique de défaut de remboursement attaché à chaque demande de crédit à la consommation présentée par un candidat à l’emprunt. Il permet d’évaluer pour chaque personne présentant une demande de crédit, le risque statistique de défaillance qui lui est attaché et de sélectionner les demandes qui correspondent à un niveau de risque acceptable de défaillance. Il est, en conséquence, susceptible d’exclure, au moins de façon temporaire, une personne du bénéfice d’un contrat en l’absence de dispositions législatives ou réglementaires prévoyant une telle exclusion. Dès lors, il doit faire l’objet d’une autorisation de la Commission conformément aux dispositions de l’article 25, I, 4° de la loi du 6 janvier 1978 modifiée.Par sa délibération n° 2008-198 du 9 juillet 2008 modifiant l’autorisation unique AU-005, la Commission a autorisé les traitements mis en œuvre par les établissements de crédit pour aider à l’évaluation et à la sélection des risques en matière d’octroi de crédit sous réserve que les finalités de ces traitements, les catégories de données utilisées et leurs destinataires n’excèdent pas le cadre qui y est défini, que ces traitements remplissent également les conditions qui y sont fixées, et que les responsables de ces traitements adressent à la CNIL un engagement de conformité à l’autorisation unique
AU-005.Tout projet de traitement automatisé dont les finalités ou les catégories de données ou de destinataires excèdent le cadre de cette autorisation unique ou qui ne respecterait pas les exigences qui y sont définies, doit, en revanche, faire l’objet d’une demande d’autorisation spécifique présentant et expliquant les différences entre le traitement envisagé et l’autorisation unique.L’analyse des caractéristiques du traitement qui est l’objet de la présente demande fait apparaître plusieurs différences par rapport à l’AU 005 qui, de ce fait, sont soumises à l’examen et à l’autorisation de la CNIL.
Sur les données traitées
La Commission note que les catégories de données prises en compte dans le calcul du score attaché à chaque demande de crédit figurent parmi celles prévues dans l’autorisation unique AU-005, à l’exception des données suivantes : 
L’ancienneté dans l’emploi du conjoint non co-emprunteur. 
La Commission prend acte qu’il s’agit d’une donnée facultative et que dans le cas où la personne concernée n’aurait pas communiqué cette information, le calcul de la note de score sera réalisé sur une base n’incluant pas ce critère.
En outre, les variables prises en compte, s’agissant de la situation du logement seront les suivantes : logé par un tiers, par la famille, locataire, logé par l’employeur, par l’administration, accédant à la propriété ou autre.
Conformément à l’AU 005, aucune des variables n’a, à elle seule, ou en corrélation avec d’autres, un effet d’exclusion absolu ou disqualifiant. 
Dans ces conditions, la Commission estime que ces données sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie par le traitement.
Sur les destinataires
Les destinataires sont ceux mentionnés dans l’autorisation unique AU 005.Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes sont informées conformément à l’article 32 de la loi du 6 janvier 1978 modifiée par une clause figurant dans le contrat de crédit, une mention d’information figurant sur le formulaire de collecte et sur le site internet de CACF.Les droits d’accès, de rectification et d’opposition des personnes s’exercent auprès du Crédit Agricole Consumer Finance, 128-130 boulevard Raspail, 75006 Paris.La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes. 
Sur les mesures de sécurité
Les actions effectuées par les personnes accédant au traitement  sont tracées afin de détecter et d’analyser tout accès, modifications et suppressions de données non autorisés.Les autres mesures de sécurité mises en place n’appellent pas d’observations.
Sur les autres caractéristiques du traitement
La Commission observe que le traitement mis en œuvre n’est qu’un outil d’aide à l’évaluation des risques présentés par les demandeurs de crédit et la sélection des demandes dont le niveau est jugé acceptable. La Commission prend acte qu’en cas de refus, le demandeur sera en mesure de présenter des observations et pourra voir sa situation réexaminée, le cas échéant avec collecte de données complémentaires. Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées.
Autorise, conformément à la présente délibération, le Crédit Agricole Consumer Finance à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L.6316-1, L.1110-4, L.1111-8, et R.6316-1 ; 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée, notamment les articles 8-IV et 25-I-1° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié ;
Vu le dossier et ses compléments ;
Sur la proposition de Monsieur Jean MASSOT, commissaire et après avoir entendu les observations de Mme ROLIN, commissaire du Gouvernement ;
Sur le responsable du traitement
Conseil général des Alpes Maritimes (CG06)
Sur les finalités
Le système mobile de téléexpertise « e-valise » permet, en application de l’article R.6316-1 du code de la santé publique, à un professionnel de santé du haut et moyen pays niçois de solliciter, à distance, l’avis d’un ou de plusieurs professionnels médicaux de la bande littorale, en raison de leurs formations ou de leurs compétences particulières, en se fondant sur les informations médicales liées à la prise en charge du patient. 
Afin de répondre à la désertification médicale de l’arrière pays niçois, la « e-valise » permet la mise en place de téléexpertise destinée aux patients n’ayant pas la possibilité de se rendre sur le littoral pour consulter directement les professionnels de santé, spécialisés ou non. 
Dans le cadre de la réalisation de l’acte de téléexpertise, La « e-valise » permettra aux infirmières du CG06, assurant la prise en charge des bénéficiaires du revenu de solidarité active (RSA), de déterminer la nécessité ou non d’organiser des actions médicales et sociales complémentaires. 
La « e-valise » est une tablette mobile permettant la collecte et le traitement des données liées aux actes médicaux suivants : 
électrocardiogrammes, 
prises de tension, 
analyses de biologie médicale (via l’utilisation de bandelettes), 
mesures de la saturation pulsée en oxygène, 
mesures des volumes d'air inspirés et expirés par un patient ainsi que des débits s'y rattachant.
Par ailleurs, la « e-valise » sera équipée d’une caméra numérique, permettant la prise de photographies, notamment de lésions cutanées ou de plaies en vue de la réalisation de l’acte de téléexpertise lié. 
Le dispositif mobile destiné à devenir la « e valise », commercialisé industriellement, est équipé d’un système de webcam. Le CG06 précise que dans le cadre du programme de téléexpertise « e-valise », cette fonctionnalité ne sera pas utilisée. Par conséquent, elle n’est pas couverte par l’autorisation délivrée par la Commission. 
Dans le cadre de ce service mobile de téléexpertise, le patient est pris en charge à son domicile, ou par un professionnel de santé ou un établissement de santé proche de son domicile 
Les finalités poursuivies par le traitement sont déterminées, explicites et légitimes.
La Commission considère qu’il y a lieu de faire application des articles 8-IV et 25-I, 1° de la loi du 6 janvier 1978 modifiée, qui soumettent à la procédure de l’autorisation les traitements de données de santé qui sont justifiés, comme en l’espèce, par un intérêt de santé publique. 
Sur les données traitées