AgentPublic/cnil huggingface dataset:
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007, et notamment son article 103 ;
Sur le rapport de M. Philippe Nogrix, commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire du Gouvernement adjoint ;
Autorise, dans les conditions figurant dans le tableau ci-dessous, Cetelem à mettre en œuvre des transferts de données personnelles hors de l’Union Européenne, vers un Etat qui n’assure pas un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes. 
Société responsable du transfert
Cetelem
Finalité du transfert
Sous-traiter la prise en charge de certaines communications avec les clients et prospects :- la demande par téléphone d’informations et de pièces complémentaires pour compléter les demandes de crédit en cours d’analyse ;- la réponse aux internautes ayant demandé, à l’occasion de dialogues en ligne, une aide pour remplir une demande de crédit en ligne ;- la réponse aux questions des clients envoyées par messages électroniques ;- la réponse aux appels téléphoniques des clients concernant certaines catégories de demande d’informations.
Catégories de données transférées au sous-traitant ou saisies par lui
* en ce qui concerne les demandeurs de crédit et leurs cautions :- les nom, prénoms, civilité, date et lieu de naissance, adresses postales et électroniques, numéros de téléphone des personnes à contacter (domicile, fixe, professionnel), type et numéro de la pièce d’identité,- la situation matrimoniale, le nombre d’enfants et leur âge,- la profession, la catégorie socio-professionnelle, les coordonnées de l’employeur, l’ancienneté professionnelle,- le montant des charges et des ressources annuelles, les coordonnées bancaires,- les date d’ouverture, type et montant des crédits en cours, le mode de contact et le canal d’acquisition, un code fidélité, un code situation de la personne, le taux effectif global et le montant des mensualités, le mode de paiement, l’état des règlements, la qualité des remboursements, les échanges récents avec le client,- les éléments de la demande de crédit : date, type de produit, montant du prêt et des mensualités souhaités, garanties proposées, type de bien à financer, montant et origine de l’apport, résultat de la pré-étude, échanges récents avec le demandeur,* en ce qui concerne les collaborateurs de Cetelem :- initiales de la personne en charge du dossier.
Bénéficiaire du transfert de données
Les agents habilités de la société Phone Serviplus qui accèdent aux dossiers des clients pour être en mesure de leur répondre ou de compléter leur demande.
Pays d’établissement du bénéficiaire du transfert
Maroc
Service auprès duquel s’exerce le droit d’accès
Le service Consommateurs de Cetelem
Garantie mise en œuvre pour assurer un niveau de protection suffisant aux données transférées
Signature avec le sous-traitant d’un contrat incluant les clauses contractuelles européennes issues de la décision 2002/16/CE de la Commission européenne du 27 décembre 2001 concernant les transferts de données personnelles vers des sous-traitants établis dans des pays tiers.
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire du gouvernement adjoint ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la société Proto Tôlerie d’un traitement de données à caractère personnel reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle de l’accès aux locaux.
Formule les observations suivantes :
La société Proto Tôlerie souhaite utiliser un dispositif reposant sur la reconnaissance du réseau veineux des doigts de la main afin de sécuriser l’accès aux locaux dans lesquels se trouvent les produits finis et les matériels de production. Le choix d’un dispositif biométrique répond à la nécessité de garantir l’identification des personnes accédant aux locaux et la fiabilité de l’historique de ces accès.
Le dispositif reposera sur un boîtier (terminal de lecture-comparaison) situé au point d’accès aux locaux concernés. Il s’agit d’un boîtier autonome, qui ne sera relié à aucun réseau informatique. L’enrôlement des personnes s’effectuera à partir de ce seul boîtier qui est équipé d’un lecteur qui permet également l’enregistrement des gabarits. Outre les données biométriques, les éléments d’identification des personnes concernées (nom, prénom, date de naissance) seront également traitées.
La vérification s’effectuera entre le doigt apposé sur le lecteur et le gabarit du réseau veineux des personnes qui sera stocké dans le lecteur. Le gabarit biométrique et les éléments d’identification des utilisateurs seront effacés lors du départ de l’employé de la société. Un historique des passages sera conservé pendant trois mois.
La Commission considère que le réseau veineux des doigts de la main, en l’état actuel de la technique, est une biométrie sans trace dont l’enregistrement sur un terminal de lecture-comparaison aux fins de contrôler les accès aux locaux ne comporte pas de risques particuliers pour les libertés et les droits fondamentaux des personnes. A cet égard, en l’état actuel des techniques, la biométrie par reconnaissance du réseau veineux n’est pas susceptible d’être capturée à l’insu des personnes. Dès lors, la Commission considère que le traitement pris dans son ensemble apparaît adapté et proportionné du point de vue de la protection des données personnelles.
Les droits d’accès et de rectification s’exerceront auprès de la direction générale de la société Proto Tôlerie, 35 rue les quatre vents – 95650 BOISSY L’AILLERIE.
Les catégories de données à caractère personnel enregistrées seront :
l’identité de la personne (nom, prénom,) ;
la date de naissance ;
le gabarit du réseau veineux de deux doigts de la main ;
l’historique des passages.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, le responsable de la sécurité, les personnels habilités du service en charge de l’administration du personnel ainsi que de la direction générale.
Dans ces conditions, la Commission autorise la société Proto Tôlerie, à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire du gouvernement adjoint ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la société D3L d’un traitement de données à caractère personnel reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle de l’accès aux locaux.
Formule les observations suivantes :
La société D3L souhaite utiliser un dispositif reposant sur la reconnaissance du réseau veineux des doigts de la main afin de sécuriser l’accès aux locaux dans lesquels se situent les serveurs informatiques. Le choix d’un dispositif biométrique répond à la nécessité de garantir l’identification des personnes accédant aux locaux et la fiabilité de l’historique de ces accès.
Le dispositif reposera sur un boîtier (terminal de lecture-comparaison) situé au point d’accès aux locaux concernés. Il s’agit d’un boîtier autonome, qui ne sera relié à aucun réseau informatique. L’enrôlement des personnes s’effectuera à partir de ce seul boîtier qui est équipé d’un lecteur qui permet également l’enregistrement des gabarits. Outre les données biométriques, les éléments d’identification des personnes concernées (nom, prénom, date de naissance) seront également traitées.
La vérification s’effectuera entre le doigt apposé sur le lecteur et le gabarit du réseau veineux des personnes qui sera stocké dans le lecteur. Le gabarit biométrique et les éléments d’identification des utilisateurs seront effacés lors du départ de l’employé de la société. Un historique des passages sera conservé pendant trois mois.
La Commission considère que le réseau veineux des doigts de la main, en l’état actuel de la technique, est une biométrie sans trace dont l’enregistrement sur un terminal de lecture-comparaison aux fins de contrôler les accès aux locaux ne comporte pas de risques particuliers pour les libertés et les droits fondamentaux des personnes. A cet égard, en l’état actuel des techniques, la biométrie par reconnaissance du réseau veineux n’est pas susceptible d’être capturée à l’insu des personnes. Dès lors, la Commission considère que le traitement pris dans son ensemble apparaît adapté et proportionné du point de vue de la protection des données personnelles.
Les droits d’accès et de rectification s’exerceront auprès de la direction générale de la société D3L, 13 rue du Général de Castelnau – 67000 STRASBOURG.
Les catégories de données à caractère personnel enregistrées seront :
l’identité de la personne (nom, prénom,) ;
la date de naissance ;
le gabarit du réseau veineux de deux doigts de la main ;
l’historique des passages.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, le responsable de la sécurité, les personnels habilités du service en charge de l’administration du personnel ainsi que de la direction générale.
Dans ces conditions, la Commission autorise la société D3L, à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire du gouvernement adjoint ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la société Natixis d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux données stockées sur des clés USB ;
Formule les observations suivantes :
Le dispositif présenté a pour objet de garantir que seules les personnes habilitées pourront accéder au contenu des clés USB et ainsi de préserver la confidentialité des données qui y sont stockées.
Il reposera sur une clé USB à laquelle sera associé un lecteur d’empreintes digitales. Le gabarit de l’empreinte digitale des personnes concernées sera exclusivement stocké dans la mémoire de la clé USB. Le contrôle d’accès aux données s’effectuera par une comparaison entre le doigt apposé sur le lecteur et le gabarit de l’empreinte digitale enregistré dans la clé USB. Les empreintes seront supprimées au départ du salarié de l’entreprise. Les employés seront informés directement au cours de la procédure d’enrôlement. 
La Commission considère que dans la mesure où le gabarit de l’empreinte digitale est uniquement stocké dans un support individuel exclusivement détenu par la personne concernée et dont elle décide librement de l’utilisation, le dispositif soumis par la société Natixis ne comporte pas de risques particuliers pour la protection des libertés et des droits fondamentaux de la personne.
Les droits d’accès et de rectification s’exerceront auprès Natixis- Systèmes d’information et services partagés-30 avenue Pierre Mendès-France 75013 Paris. 
La donnée à caractère personnel enregistrée sur la clé USB sera le gabarit chiffré, résultat du traitement des mesures par un algorithme sur l’empreinte digitale.
Le destinataire des informations sera, dans la limite de ses attributions et pour la poursuite de la finalité précitée, l’employé dépositaire de la clé USB.
Dans ces conditions, la Commission autorise la société Natixis à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire du gouvernement adjoint ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par l’entreprise BEDIER SAS d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux locaux.
Formule les observations suivantes :
L’entreprise BEDIER SAS souhaite utiliser un dispositif reposant sur la reconnaissance du réseau veineux des doigts de la main afin de sécuriser l’accès aux locaux dans lesquels se trouvent les produits finis et les matériels de production. Le choix d’un dispositif biométrique répond à la nécessité de garantir l’identification des personnes accédant aux locaux et la fiabilité de l’historique de ces accès.
Le dispositif reposera sur un boîtier (terminal de lecture-comparaison) situé au point d’accès aux locaux concernés. Il s’agit d’un boîtier autonome, qui ne sera relié à aucun réseau informatique. L’enrôlement des personnes s’effectuera à partir de ce seul boîtier qui est équipé d’un lecteur qui permet également l’enregistrement des gabarits. Outre les données biométriques, les éléments d’identification des personnes concernées (nom, prénom, date de naissance) seront également traitées.
La vérification s’effectuera entre le doigt apposé sur le lecteur et le gabarit du réseau veineux des personnes qui sera stocké dans le lecteur. Le gabarit biométrique et les éléments d’identification des utilisateurs seront effacés lors du départ de l’employé de la société. Un historique des passages sera conservé pendant trois mois.
La Commission considère que le réseau veineux des doigts de la main, en l’état actuel de la technique, est une biométrie sans trace dont l’enregistrement sur un terminal de lecture-comparaison aux fins de contrôler les accès aux locaux ne comporte pas de risques particuliers pour les libertés et les droits fondamentaux des personnes. A cet égard, en l’état actuel des techniques, la biométrie par reconnaissance du réseau veineux n’est pas susceptible d’être capturée à l’insu des personnes. Dès lors, la Commission considère que le traitement pris dans son ensemble apparaît adapté et proportionné du point de vue de la protection des données personnelles.
Les droits d’accès et de rectification s’exerceront auprès de la direction générale de la société Proto Tôlerie, 133 avenue de Stalingrad – 95100 ARGENTEUIL.
Les catégories de données à caractère personnel enregistrées seront :
l’identité de la personne (nom, prénom,) ;
la date de naissance ;
le gabarit du réseau veineux de deux doigts de la main ;
l’historique des passages.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, le responsable de la sécurité, les personnels habilités du service en charge de l’administration du personnel ainsi que de la direction générale.
Dans ces conditions, la Commission autorise l’entreprise BEDIER SAS, à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25- I- 4° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Bernard PEYRAT, commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire du gouvernement adjoint ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la Société CSF France à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la prévention et la gestion des chèques impayés ainsi que la protection contre la fraude par chèque bancaire dans les magasins de l’enseigne « Champion » appelée à devenir « Carrefour Market » dont les caractéristiques sont résumées dans le tableau ci-dessous.
Responsable du traitement
La société Carrefour Administratif France (CSF France)
Finalités
Le traitement a pour finalité la prévention et la gestion des impayés ainsi que la protection contre la fraude par chèque bancaire dans les  magasins de l’enseigne « Champion » appelée à devenir « Carrefour Market ». 
Le présent traitement concerne exclusivement les magasins sous enseigne « Champion » ou « Carrefour Market » exploités par les sociétés du groupe Carrefour (c'est-à-dire les « magasins intégrés »).  Les « magasins franchisés » sont exclus du bénéfice du présent traitement. 
Le traitement comprend : 
un dispositif de détection des chèques impayés non régularisés ;
un dispositif d’alerte relatif à l’utilisation répétée d’un chéquier sur un laps de temps très court afin de procéder, le cas échéant, à la vérification de l’identité du client et des raisons de cette utilisation répétée du chéquier, à l’exclusion de tout blocage automatique de paiement par chèque dans le système de caisse.
Données traitées
Les données traitées dans le cadre du traitement de CSF France sont :
S’agissant du traitement de chèques impayés non régularisés :
S’agissant des dispositifs d’alerte relatifs à l’utilisation répétée d’un chéquier sur un laps de temps très court :
- nom, prénom, adresse,
- la ligne magnétique figurant en bas des chèques (ligne « CMC7 » composée du numéro de compte, du code banque et du numéro du chèque)
- montant du chèque 
- la date de l’impayé,
- la date de rejet bancaire,
- nom de la banque du débiteur, devise,
- le montant cumulé du compte restant dû,
- le magasin d’origine de l’impayé,
- le motif du rejet,
- l’heure de passage en caisse. 
S’agissant du traitement de chèques impayés non régularisés :
S’agissant des dispositifs d’alerte relatifs à l’utilisation répétée d’un chéquier sur un laps de temps très court :
- la date et l'heure de passage en caisse ;  - la caisse de passage ;  - le nombre de chèques présentés dans un laps de temps donné;  - l'identifiant du magasin;  - le montant du chèque ;  - le numéro de compte, le code banque et le numéro du chèque (ligne « CMC7 »).
Durée de conservation des données
Les informations relatives aux incidents de paiement sont effacées du traitement dans les 24 heures suivant la notification de la régularisation du paiement.Les régularisations effectuées auprès des organismes de recouvrement sont enregistrées auprès de Carrefour administratif France dans un délai d’une semaine maximum.Les informations relatives aux incidents de paiement non régularisés ne peuvent être conservées dans le fichier que pendant une période maximale de 2 ans puis sont archivées pendant 5 ans pour des raisons comptables et fiscales dans une base de données distincte non accessible aux commerçants.  En cas de vol ou de perte des chèques, après justification du client, les informations relatives au client sont effacées du traitement de prévention et de gestion des impayés par chèque bancaire. Toutefois la ligne « CMC7 » et le motif du rejet des chèques seront conservés.Les informations relatives à l’analyse statistique de l’utilisation répétée d’un chéquier sur un laps de temps très court sont conservées dans le fichier pendant 3 jours puis archivées pendant 7 jours à des fins statistiques. 
Destinataires
Seuls peuvent avoir communication des informations traitées :
le responsable de la base centrale et les personnes chargées de traiter les dossiers aux sein du CPE ;
les caissières des magasins uniquement pour les messages d’alerte en caisse ;
les responsables des magasins habilités pour assurer la résolution de toute contestation ou de toute demande d’information des clients concernés par un refus de paiement par chèque ;
les organismes de recouvrement habilités pour assurer le recouvrement.
Information et droit d’accès