AgentPublic/cnil huggingface dataset:
Le traitement mis en œuvre vise la gestion du pré contentieux et des contentieux civils, commerciaux et éventuellement prud’homaux et pénaux dans le cadre des procédures engagées à l’encontre de FCA France dans deux hypothèses. Soit, la procédure est diligentée par des clients propriétaires de véhicules pour vice caché ou défaut de conformité, soit il s’agit de contentieux prud’homaux engagés par d’anciens salariés de la société.La Commission estime que les finalités poursuivies sont déterminées, explicites et légitimes. Elle considère qu’il y a lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté.
Sur les données traitées
Les catégories de données traitées sont relatives : - à l’identité des personnes concernées : nom, prénom, - à la situation professionnelle : établissement de rattachement, dates d’emploi du salarié, dernier poste occupé,- à la situation financière : montant exigible, - aux condamnations (type, montant et échelonnement),- à l’état et au suivi de la procédure.Dans sa décision du 29 juillet 2004, le Conseil Constitutionnel a déclaré non conforme à la Constitution l’article 9-3° qui permettait à une personne morale de droit privé, mandatée par d’autres personnes morales estimant avoir été victimes ou être susceptibles d’être victimes d’agissements passibles de sanctions pénales, de rassembler des données portant sur des infractions, condamnations ou mesures de sûreté, au motif de son caractère trop général et du manque de précision sur les garanties devant encadrer ce type de traitement. Pour autant, le Conseil Constitutionnel a précisé que cette annulation ne saurait être interprétée comme « privant d’effectivité le droit d’exercer un recours juridictionnel dont dispose toute personne physique ou morale s’agissant des infractions dont elle a été victime ». Cette réserve d’interprétation était indispensable pour ne pas priver de base légale les traitements légitimement mis en œuvre pour assurer le suivi des dossiers contentieux relatifs à des infractions. Elle permet à toute personne de constituer, pour les besoins de l’exercice de son droit au recours, des fichiers de pré
contentieux.La Commission considère, compte tenu de la finalité poursuivie, que ces données sont pertinentes, adéquates et non excessives, conformément à l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les personnes destinataires du traitement sont :- les personnes du service juridique,- les personnes de la direction administrative et financière,- les avocats,- le prestataire en charge de la comptabilité et trésorerie.La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès 
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la société sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention d’information qui figure dans le contrat tandis que les salariés sont informés de leurs droits sur le site intranet de FCA FRANCE. Enfin, les avocats et les tiers sont informés par courrier électronique.Les droits d’accès et de rectification s’exercent auprès de la Direction juridique à l’adresse suivante : FCA France 6, rue Nicolas Copernic – ZA TRAPPES ELANCOURT – 78190 TRAPPES.La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
La Commission relève que le responsable de traitement s’engage à mettre en œuvre une traçabilité des actions effectuées par les collaborateurs de la Direction juridique afin de détecter et d’analyser tous les accès, modifications et suppressions de données non autorisés.Seules ces personnes ont accès au fichier Excel de suivi et de gestion du pré contentieux et du contentieux. Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application avec des profils d’habilitation et un contrôle d’accès logique qui se fait par mot de passe.Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les données sont conservées le temps nécessaire au traitement du dossier augmenté de la durée de la prescription légale.La Commission considère que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.Ces autres caractéristiques du traitement n’appellent pas d’observation particulière de la Commission.
Autorise, conformément à la présente délibération, FCA FRANCE à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1621908)
La Commission nationale de l'informatique et des libertés,
Saisie par la Société FINANCO d’une demande de modification de la délibération n°2013-138 du 23 mai 2013 autorisant la société FINANCO à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l’identité  ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L. 561-5 et R. 561-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-4 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n°2013-138 du 23 mai 2013 autorisant la société FINANCO à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l’identité ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Société FINANCO est un organisme de crédit, filiale du Crédit Mutuel Arkéa, ci-dessous dénommée FINANCO.
Sur la finalité
La finalité du traitement est de lutter contre la fraude à l’identité. Il vise à détecter les documents présentant des anomalies susceptibles de révéler une fraude (faux document ou document falsifié) au moment d’une demande de crédit par un client auprès de FINANCO. Le contrôle des pièces justificatives permet de détecter les documents présumés frauduleux, et dans ce cas, la demande de crédit est refusée par FINANCO.Ce traitement peut ainsi, du fait de sa portée et de sa finalité, exclure une personne du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition légale ou réglementaire prévoyant une telle exclusion.La Commission observe que cette finalité est déterminée, explicite et légitime.Dès lors, il est soumis à autorisation de la Commission, en application des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les données collectées concernent les nom et prénoms, sexe, date et lieu de naissance, la nature du document d’identité, son numéro, l’autorité de délivrance, la date d’expiration (uniquement pour les passeports) et la bande MRZ figurant en bas des documents d’identité. La date de délivrance de la pièce d’identité, la date de fin de validité et l’autorité de délivrance sont également enregistrées dans le traitement.La Commission considère que ces données sont adéquates, pertinentes et non excessives par rapport à la finalité du traitement.Les données collectées sont conservées pendant une durée de 6 mois par FINANCO en cas de refus d’octroi du crédit au client. Dans le cas contraire, les données collectées pour effectuer les contrôles ne seront utilisées que le temps de la vérification de l’authenticité des documents. Le résultat du contrôle du document d’identité n’est pas conservé par FINANCO. Le résultat est cependant accessible à deux personnes du back office de FINANCO via l’outil de gestion statistique de la consommation. Ainsi, il n’est pas possible pour un salarié de FINANCO de vérifier si le refus est lié au traitement ou à une autre incohérence.
Enfin, les dossiers des clients sont  supprimés du système  d'information au terme des durées de conservation définies ci dessus.
Sur les destinataires
Seuls les collaborateurs de FINANCO ayant initié le contrôle ont accès à ce traitement.La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès 
Les personnes sont informées, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, dans le contrat de crédit ainsi que sur le site internet de FINANCO.Les droits d’accès et de rectification s’exercent auprès du Service client de FINANCO, 2 quai de la douane – CS 91841-29218 Brest Cedex 2.
Sur les mesures de sécurité
Seuls les assistants commerciaux et les gestionnaires risques opérationnels ont accès au logiciel. Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application avec des profils d’habilitation et un contrôle d’accès logique qui se fait par mot de passe.Chaque utilisateur dispose d'un identifiant qui lui est propre et d’un mot de passe composé de 8 caractères comprenant au moins 3 des 4 types de caractères (majuscules, minuscules, chiffres et caractères spéciaux). La Commission prend note que ceux-ci sont générés par le logiciel qui les fournit directement aux personnes habilitées et s’engage à détruire automatiquement toute trace des mots de passe, une fois ceux-ci envoyés. La Commission rappelle que les mots de passe doivent être changés par l’utilisateur à la première connexion.Une journalisation des opérations de connexion à l’application, de vérification des pièces et leur résultat est réalisée via un outil de gestion statistique de la consommation mis à disposition par le logiciel. Seules deux personnes ont  accès à cette application et peuvent contrôler le nombre de connexions, global et par utilisateur, ainsi que la nature des pièces contrôlées et le résultat valide/non valide du contrôle.  La Commission rappelle que les utilisateurs doivent être informés que leurs actions font l'objet d'une journalisation. Enfin, l’accès à l’application est sécurisé au moyen du protocole SSL.Les mesures de sécurité mises en place n’appellent pas
Sur les autres caractéristiques du traitement
Le traitement mis en œuvre n’est qu’un outil d’aide à l’analyse des documents d’identité présentés par la personne concernée lors de l’entrée en relation avec FINANCO. La Commission prend acte qu’en cas de détection d’anomalie, une analyse complémentaire sera effectuée par les personnels habilités de FINANCO afin, le cas échéant, de confirmer la tentative de fraude.Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées.Ce traitement ne permet pas d’établir une « liste noire » de personnes ayant présenté des titres d’identité comportant des anomalies ou des titres d’identité falsifiés ou volés.
Autorise, conformément à la présente délibération, la Société FINANCO à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1514146)
La Commission nationale de l'informatique et des libertés,
Saisie par la société FORTUNEO d’une demande de modification de la délibération n° 2014-405 du 2 octobre 2014 autorisant la société à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la détection de la fraude documentaire en matière de pièces d’identité et de justificatifs de domicile;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L. 561-5 et R. 561-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, relative à l’informatique, aux fichiers et aux libertés ; notamment ses articles 25.I.4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n°2014-405 du 2 octobre 2014 autorisant la société FORTUNEO à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la détection de la fraude documentaire en matière de pièces d'identité et de justificatifs de domicile ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
FORTUNEO, filiale du Crédit Mutuel Arkéa, est une banque en ligne qui propose une gamme de produits et services à destination des particuliers.
Sur la finalité
FORTUNEO a saisi la Commission d’un traitement ayant pour finalité la détection de la fraude documentaire en matière de pièces d'identité et de justificatifs de domicile. Le traitement vise, par l’utilisation d’un logiciel à détecter les documents présentant des anomalies susceptibles de révéler une fraude (faux document ou document falsifié) lors de l'ouverture des comptes courants et des livrets. Lorsque l’analyse de l’outil conclut à la non-conformité du document, la demande d’ouverture de compte ou de livret peut être refusée. Dans la situation inverse, si l’authenticité des documents est confirmée, il est fait droit à la demande du client. Ce traitement peut ainsi du fait de sa portée et de sa finalité, exclure une personne du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition légale prévoyant une telle exclusion. Il est dès lors soumis à autorisation de la Commission, en application des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée.Plus précisément, il existe un premier contrôle des documents réalisé directement par le chargé de clientèle qui reçoit la personne souhaitant entrer en relation avec la banque. Le contrôle de la pièce d’identité se fait ensuite via la bande MRZ tandis que le contrôle des justificatifs est réalisé par comparaison avec la base de documents. Ce contrôle est réalisé par la saisie manuelle dans l’outil des données qui figurent sur le document d’identité ou par une analyse automatique, par
Les données suivantes sont traitées pour la détection de la fraude identitaire : nom, prénom,  sexe, adresse, date et lieu de naissance, n° de la pièce d’identité, date délivrance, autorité qui a délivrée la pièce, ligne MRZ, type de la pièce d'identité (CNI , Passeport, titre de séjour),  pays d'émission de la pièce d'identité, date de validité.Les données suivantes sont traitées pour l’émission d’alerte via l’outil : n° du document d'identité, nom, prénoms, sexe, date de naissance, date de délivrance, autorité qui délivrée la pièce, ligne MRZ, date expiration passeport, nationalité passeport, type de la pièce d'identité, pays d'émission de la pièce d'identité, lieu de naissance, date de validité.Les données collectées ne sont utilisées que le temps nécessaire à la vérification de l’authenticité des documents. Par la suite, elles sont supprimées ou anonymisées pour la production de statistiques. Lorsque la demande d’ouverture de compte ou de livret est validée, une copie des documents est conservée, conformément aux dispositions du code monétaire et financier.La Commission considère, compte tenu de la finalité poursuivie, que ces données sont pertinentes, adéquates et non excessives, conformément à l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application avec des profils d’habilitation et un contrôle d’accès logique qui se fait par mot de passe.Chaque utilisateur dispose d'un identifiant qui lui est propre et d’un mot de passe composé de 9 caractères comprenant à la fois des lettres majuscules et minuscules,  des chiffres et des caractères spéciaux. La Commission prend note que ceux-ci sont générés par l’outil et fournit directement aux personnes habilitées et s’engage à détruire automatiquement toute trace des mots de passe, une fois ceux-ci envoyés. La Commission rappelle que les mots de passe doivent être changés par l’utilisateur à la première connexion et régulièrement.Une journalisation des opérations de connexion à l’application, de vérification des pièces et du résultat de ces opérations est réalisée via un outil. La Commission rappelle que les utilisateurs doivent être informés que leurs actions font l'objet d'une journalisation. L’accès à l’application est sécurisé au moyen du protocole HTTPS.Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. 
Sur les autres caractéristiques du traitement
Ce traitement ne permet pas d’établir une « liste noire » de personnes ayant présenté des titres d’identité comportant des anomalies ou des titres d’identité falsifiés ou volés.Ces autres caractéristiques n’appellent pas d’observation particulière de la Commission.
Autorise, conformément à la présente délibération, la société FORTUNEO à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1761898)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Amicale du Nid de Marseille d’une demande d’autorisation concernant un traitement  de données à caractère personnel ayant pour finalités l’accompagnement et le suivi des personnes majeures et mineures en situation ou en risque de prostitution ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment ses articles L312-1, L121-9 et L345-1;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme. Laurence Dumont, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
L’Amicale du NID, située boulevard Baille à Marseille (13006), est un établissement social et médico-social au sens de l’article L312-1 du code de l’action sociale et des familles.Il s’agit d’un centre d’hébergement et de réinsertion sociale (CHRS) qui accueille, accompagne, oriente, aide à la réinsertion sociale et professionnelle des personnes en situation d’exclusion sociale,  conformément à l’article L.345-1 du code de l’action sociale et des familles.Cet établissement dépend de l’association Amicale du Nid, association nationale à but non lucratif, créée en 1946, et régie par la loi du 1er juillet 1901.
Sur la finalité
Le traitement mis en œuvre vise à permettre : - la gestion administrative des personnes concernées ;-  l’accueil, l’accompagnement et le suivi personnalisé proposés aux personnes concernées incluant notamment l’évaluation des besoins et des difficultés des personnes concernées ;- l’organisation et le suivi du parcours d’insertion et ou d’intégration scolaire, sociale et professionnelle ;- d’accompagner les personnes dans l’accès aux droits et prestations et dans les relations et les démarches à effectuer auprès des personnes et services compétents des partenaires concernés ;- d’assurer un suivi médical des personnes ;- l’établissement de statistiques à destination des organismes financeurs et de l’association Amicale du Nid à des fins  d’évaluation des dispositifs d’accompagnement  et des besoins à couvrir.La Commission considère les finalités poursuivies comme déterminées, légitimes et explicites.
Sur les données traitées
Les catégories de données traitées sont relatives :
à l’identité et aux coordonnées des personnes suivies et accompagnées ;
à la situation familiale ; 
à la vie professionnelle (situation professionnelle, scolarité et formation) ;
à la situation économique et financière ;
aux infractions, condamnations et  mesures de sûreté ;
à la situation vis-à-vis des organismes sociaux : nature des droits et avantages et des prestations dont bénéficient les personnes concernées ;
à l’évaluation des besoins, des difficultés rencontrées et aux appréciations sur les difficultés sociales ;
aux données médicales, étant précisé que ces informations ne sont accessibles que par l’infirmière de l’association et ne sont transmises à un médecin que dans le cas de la demande de la personne concernée.
La Commission relève que les données collectées dans le cadre des traitements envisagés varient en fonction des particularités des situations sociales rencontrées, du type de prestation ou de l’aide demandée et de la nature des actions individuelles et collectives à accomplir.
Elle prend acte que les données relatives au suivi et à l’accompagnement des personnes figurent dans des dossiers papiers. 
Compte tenu de la nature des données collectées, la Commission considère qu’il y a lieu de faire application des dispositions de l’article 9-1° et 25-I-3° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements automatisés ou non, comportant des données relatives aux infractions.
Les informations relatives aux infractions et condamnations sont notamment collectées par l’association dans le cadre de l’aide  à la constitution d’un dossier de demande d’aide juridictionnelle.
Ce dossier peut être conservé au sein de l’association à la demande de la personne concernée.
Il a en effet été indiqué que, lorsqu’elles n’ont pas de domicile stable, les personnes peuvent être amenées à confier leurs documents administratifs à l’association.