AgentPublic/cnil huggingface dataset:
La Commission estime en outre que le seul fait d’être un dirigeant d’une société du CAC 40 ne suffit pas à considérer la personne concernée comme exposée à des risques particuliers de nature à justifier le recours à un système reposant sur l’enregistrement des empreintes digitales dans une base de données.
De même, la « possible » manipulation de documents dits « classifiés » sans autre précision ne permet pas d’apprécier s’il s’agit d’informations devant faire l’objet d’une protection particulière pouvant aller jusqu’à l’utilisation du dispositif projeté.
La Commission relève également que cet objectif pourrait être atteint, par exemple, par le recours à des procédés reposant sur l’enregistrement de l’empreinte digitale sur des supports individuels tels que la carte à puce qui présente moins de risques au regard de la protection des données et libertés individuelles. Dans ce cas en effet, la personne concernée conserve la maîtrise de sa donnée biométrique. celle-ci reste, en effet, sous sa responsabilité et ne peut pas être utilisée pour l’identifier à son insu. En cas de vol ou de perte du support de stockage, on ne peut avoir accès qu’à une seule donnée biométrique et non à une grande concentration de données d’identification comme dans le cadre d’un enregistrement sur le terminal de lecture-comparaison ou sur un serveur.
La Commission rappelle à cette occasion, que la constitution d’une base de données d’empreintes digitales comporte davantage de risques pour le droit des personnes et doit être réservée à des situations particulières nécessitant un impératif fort de sécurité. En effet, parce que l’empreinte digitale constitue une « trace » laissée en abondance par les personnes à leur insu, sa captation frauduleuse, désormais aisée en l’état des techniques, exige que son utilisation soit limitée et encadrée afin d’empêcher que l’exemplaire de l’empreinte récupéré ne puisse être utilisé pour :
procéder à l’identification d’une personne à son insu par rapprochement avec un fichier nominatif d’empreintes digitales ;
usurper l’identité d’une personne, par exemple pour frauder un dispositif reposant sur la reconnaissance de l’empreinte digitale. 
Enfin, d’une manière générale, la Commission observe que la donnée biométrique constitue un élément d’identité irrévocable dont la diffusion non maîtrisée, ou accidentelle, peut avoir des conséquences irrémédiables pour les personnes : ainsi, à la différence de tout autre identifiant (code, mot de passe, etc.) cette donnée ne peut être changée une fois collectée, ce qui impose d’en limiter l’usage afin d’en garantir la sécurité et le contrôle par les personnes.
En conséquence, le traitement présenté pris dans son ensemble n'apparaît ni adapté ni proportionné du point de vue de la protection des données personnelles.
Dès lors, la Commission n’autorise pas, en l’état, le GIE 32 Hoche GIE – 32 avenue Hoche – 75008 Paris, à mettre en œuvre un traitement de données à caractère personnel reposant sur l’utilisation d’un dispositif biométrique de reconnaissance des empreintes digitales et dont la finalité est le contrôle de l’accès aux locaux.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Didier GASSE, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société 118218 Le Numéro à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
118 218 Le Numéro
Finalité du transfert
Externalisation de la gestion du centre d’appel de renseignements téléphoniques. Permettre la consultation de l’annuaire téléphonique de la société 118 218 Le Numéro afin de pouvoir répondre aux demandes de renseignements téléphoniques.
Catégories de données transférées
Consultation des données suivantes : 
nom et prénom ;
adresses ;
vie professionnelle,
numéro de téléphone ;
numéro de télécopie ;
données relatives aux autres utilisateurs de la ligne ;
l’activité ou la profession des personnes qui en font la demande ;
l’adresse de courrier électronique des personnes qui en font la demande.
Identité(s) du(des) destinataire(s)
Société EURO CRM Mauritius Ltd.Avenue Mahatma GandhiMokaIle MauriceLes destinataires des données seront dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les personnels habilités de la société EURO CRM Mauritius Ltd en charge de la réponse aux demandes de renseignements téléphoniques.
Pays d’établissement du(des) destinataire(s)
Ile Maurice
Service auprès duquel s’exerce le droit d’accès des personnes concernées
Les personnes habilitées du service en charge des relations avec la clientèle.
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision 2002/16/CE de la Commission européennes du 27 décembre 2001 concernant les transferts de responsable de traitement à sous-traitant.
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la SARL Brochage 3000 d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle des horaires.
Formule les observations suivantes :
La SARL Brochage 3000 souhaite utiliser l’historique des passages à une borne biométrique reposant sur la reconnaissance des empreintes digitales pour contrôler les horaires et gérer les cumuls d’heures dans le cadre de l’annualisation du temps de travail.
La Commission considère que la constitution de bases de données d'empreintes digitales ne peut être admise que dans certaines circonstances particulières où l'exigence d'identification des personnes résulte d’un fort impératif de sécurité, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée. En effet, cet article dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
En l’espèce, l'objectif poursuivi par la SARL Brochage 3000 tendant au contrôle des horaires, s’il est légitime, n’est pas associé à un fort impératif de sécurité justifiant la conservation dans une base de données des empreintes digitales des employés concernés. La Commission observe que le dispositif n’a pas pour objet de contrôler l’accès à une zone bien déterminée des locaux, représentant un enjeu majeur dépassant l’intérêt strict de l’organisme concerné.
La Commission relève également que cet objectif pourrait être atteint, par exemple, par le recours à des procédés reposant sur l’enregistrement de l’empreinte digitale sur des supports individuels tels que la carte à puce qui présente moins de risques au regard de la protection des données et libertés individuelles. Dans ce cas en effet, la personne concernée conserve la maîtrise de sa donnée biométrique. Celle-ci reste sous sa responsabilité et ne peut pas être utilisée pour l’identifier à son insu. En cas de vol ou de perte du support de stockage, on ne peut avoir accès qu’à une seule donnée biométrique et non à une grande concentration de données d’identification comme dans le cadre d’un enregistrement sur le terminal de lecture-comparaison ou sur un serveur.
Ainsi, la Commission rappelle que la constitution d’une base de données d’empreintes digitales comporte davantage de risques pour le droit des personnes et doit être réservée à des hypothèses particulières fondées sur un impératif fort de sécurité. En effet, parce que l’empreinte digitale constitue une « trace » laissée en abondance par les personnes à leur insu, sa captation frauduleuse, désormais aisée en l’état des techniques, exige que son utilisation soit limitée et encadrée afin d’empêcher que l’exemplaire de l’empreinte récupéré ne puisse être utilisé pour :
procéder à l’identification d’une personne à son insu par rapprochement avec un fichier nominatif d’empreintes digitales ;
usurper l’identité d’une personne, par exemple pour frauder un dispositif reposant sur la reconnaissance de l’empreinte digitale. 
Enfin, d’une manière générale, la Commission observe qu’une donnée biométrique constitue un élément d’identité irrévocable dont la diffusion non maîtrisée, ou accidentelle, peut avoir des conséquences irrémédiables pour les personnes. Ainsi, à la différence de tout autre identifiant (code, mot de passe, etc.) la donnée biométrique ne peut être changée une fois collectée, ce qui impose d’en limiter l’usage afin d’en garantir la sécurité et le contrôle par les personnes.
En conséquence, le traitement pris dans son ensemble n'apparaît ni adapté ni proportionné du point de vue de la protection des données personnelles. 
Dès lors, la Commission n’autorise pas, en l’état, la SARL Brochage 3000 – Zone artisanale – 53200 Fromentières, à mettre en œuvre un traitement de données à caractère personnel reposant sur l’utilisation d’un dispositif biométrique de reconnaissance des empreintes digitales et dont la finalité est le contrôle des horaires.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la mairie de Trappes d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité l’identification des utilisateurs d’une alarme anti-intrusion.
Formule les observations suivantes :
La mairie de Trappes souhaite utiliser un dispositif reposant sur l’enregistrement des empreintes digitales dans un terminal de lecture comparaison dans le but d’identifier les personnes habilitées à utiliser l’alarme anti-intrusion d’un gymnase de la ville.
La Commission considère que la constitution de bases de données d'empreintes digitales ne peut être admise que dans certaines circonstances particulières où l'exigence d'identification des personnes résulte d’un fort impératif de sécurité, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée. En effet, cet article dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
A cet égard, la Commission observe que le dispositif n’a pas pour objet de contrôler l’accès à un matériel représentant un enjeu majeur dépassant l’intérêt strict de l’organisme concerné, mais répond uniquement au souhait de la mairie de Trappes de remplacer un système de « digicode » par un dispositif jugé plus à même de limiter l’usage d’une alarme aux seules personnes habilitées.
La Commission relève que cet objectif, qui n’est associé à aucune circonstances particulières mais répond uniquement à un besoin général de protection des biens, pourrait être atteint, par exemple, par le recours à des dispositifs reposant sur l’enregistrement de l’empreinte digitale sur des supports individuels tels que la carte à puce qui présente moins de risques au regard de la protection des données et libertés individuelles. Dans ce cas en effet, la personne concernée conserve la maîtrise de sa donnée biométrique. Celle-ci reste sous sa responsabilité et ne peut pas être utilisée pour l’identifier à son insu. En cas de vol ou de perte du support de stockage, on ne peut avoir accès qu’à une seule donnée biométrique et non à une grande concentration de données d’identification comme dans le cadre d’un enregistrement sur le terminal de lecture-comparaison ou sur un serveur.
Ainsi, la Commission rappelle que la constitution d’une base de données d’empreintes digitales comporte davantage de risques pour le droit des personnes et doit être réservée à des hypothèses particulières fondées sur un impératif fort de sécurité. En effet, parce que l’empreinte digitale constitue une « trace » laissée en abondance par les personnes à leur insu, sa captation frauduleuse, désormais aisée en l’état des techniques, exige que son utilisation soit limitée et encadrée afin d’empêcher que l’exemplaire de l’empreinte récupéré ne puisse être utilisé pour :
procéder à l’identification d’une personne à son insu par rapprochement avec un fichier nominatif d’empreintes digitales ;
usurper l’identité d’une personne, par exemple pour frauder un dispositif reposant sur la reconnaissance de l’empreinte digitale. 
Enfin, d’une manière générale, la Commission observe qu’une donnée biométrique constitue un élément d’identité irrévocable dont la diffusion non maîtrisée, ou accidentelle, peut avoir des conséquences irrémédiables pour les personnes. Ainsi, à la différence de tout autre identifiant (code, mot de passe, etc.) la donnée biométrique ne peut être changée une fois collectée, ce qui impose d’en limiter l’usage afin d’en garantir la sécurité et le contrôle par les personnes.
En conséquence, le traitement pris dans son ensemble n'apparaît ni adapté ni proportionné du point de vue de la protection des données personnelles. 
Dès lors, la Commission n’autorise pas, en l’état, la mairie de Trappes, 1 place de la république – 78190 Trappes, à mettre en œuvre un traitement de données à caractère personnel reposant sur l’utilisation d’un dispositif biométrique de reconnaissance des empreintes digitales et dont la finalité est l’identification des utilisateurs d’une alarme anti-intrusion.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par l’hôpital local « Le Prieuré » d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux locaux.
Formule les observations suivantes :
L’hôpital local « Le Prieuré » souhaite utiliser un dispositif reposant sur la reconnaissance des empreintes digitales pour contrôler les accès du personnel à l’établissement. Ce procédé doit permettre de remplacer un système basé sur l’utilisation d’un code d’accès considéré comme insuffisamment sécurisé.
La Commission considère que la constitution de bases de données d'empreintes digitales ne peut être admise que dans certaines circonstances particulières où l'exigence d'identification des personnes résulte d’un fort impératif de sécurité, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée. En effet, cet article dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
A cet égard, la Commission observe que le dispositif n’a pas pour objet de sécuriser une zone bien déterminée des locaux, représentant un enjeu majeur dépassant l’intérêt strict de l’organisme concerné, mais répond à un besoin général de limiter l’accès à l’ensemble de l’établissement au personnel. De même, l’hôpital local « Le Prieuré » justifie uniquement le choix du système présenté par le fait qu’il « est plus sécurisant pour les personnes accueillies, âgées et vulnérables, car il remplace l’utilisation d’un code d’accès connu de tous et facilement communicable ».
La Commission relève que cet objectif pourrait être atteint, par exemple, par le recours à des procédés reposant sur l’enregistrement de l’empreinte digitale sur des supports individuels tels que la carte à puce qui présente moins de risques au regard de la protection des données et libertés individuelles. Dans ce cas en effet, la personne concernée conserve la maîtrise de sa donnée biométrique. Celle-ci reste sous sa responsabilité et ne peut pas être utilisée pour l’identifier à son insu. En cas de vol ou de perte du support de stockage, on ne peut avoir accès qu’à une seule donnée biométrique et non à une grande concentration de données d’identification comme dans le cadre d’un enregistrement sur le terminal de lecture-comparaison ou sur un serveur.
Ainsi, la Commission rappelle que la constitution d’une base de données d’empreintes digitales comporte davantage de risques pour le droit des personnes et doit être réservée à des hypothèses particulières fondées sur un impératif fort de sécurité. En effet, parce que l’empreinte digitale constitue une « trace » laissée en abondance par les personnes à leur insu, sa captation frauduleuse, désormais aisée en l’état des techniques, exige que son utilisation soit limitée et encadrée afin d’empêcher que l’exemplaire de l’empreinte récupéré ne puisse être utilisé pour :
procéder à l’identification d’une personne à son insu par rapprochement avec un fichier nominatif d’empreintes digitales ;
usurper l’identité d’une personne, par exemple pour frauder un dispositif reposant sur la reconnaissance de l’empreinte digitale. 
Enfin, d’une manière générale, la Commission observe qu’une donnée biométrique constitue un élément d’identité irrévocable dont la diffusion non maîtrisée, ou accidentelle, peut avoir des conséquences irrémédiables pour les personnes. Ainsi, à la différence de tout autre identifiant (code, mot de passe, etc.) la donnée biométrique ne peut être changée une fois collectée, ce qui impose d’en limiter l’usage afin d’en garantir la sécurité et le contrôle par les personnes.
En conséquence, le traitement pris dans son ensemble n'apparaît ni adapté ni proportionné du point de vue de la protection des données personnelles. 
Dès lors, la Commission n’autorise pas, en l’état, l’hôpital local « Le Prieuré » – Le Prieuré – 72510 Pontvallain, à mettre en œuvre un traitement de données à caractère personnel reposant sur l’utilisation d’un dispositif biométrique de reconnaissance des empreintes digitales et dont la finalité est le contrôle de l’accès à l’établissement.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés,
Vu la Convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la Directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physique à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la sécurité sociale, et notamment son article L. 162-4-3 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés et notamment son article 25-5°; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu le décret n°2006-143 du 9 février 2006 relatif aux modalités d’accès des médecins aux données relatives aux prestations servies aux bénéficiaires de l’assurance maladie et modifiant le code de la sécurité sociale ; 
Vu la délibération n°2005-046 de la Commission nationale de l'informatique et des libertés du 15 mars 2005 portant avis sur un projet de décret en Conseil d’Etat fixant les modalités selon lesquelles les médecins ont accès aux données relatives aux prestations servies aux bénéficiaires de l’assurance maladie modifiant le code de la sécurité sociale ;
Vu la délibération n° 2007-194 de la Commission nationale de l'informatique et des libertés du 10 juillet 2007 autorisant la mise en place généralisée par la Caisse nationale d’assurance maladie des travailleurs salariés d’un traitement permettant aux médecins d’accéder aux données relatives aux prestations servies aux bénéficiaires de l’assurance maladie ; 
Sur le rapport de M. Jean-Pierre de LONGEVIALLE, commissaire, et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la mise en oeuvre par la société APRIA Réunion de sociétés d’assurance d’un traitement de données à caractère personnel dont les caractéristiques sont résumées dans le tableau ci-dessous ayant pour finalité d’accéder à l’historique des remboursements des ressortissants des régimes d’assurance maladie obligatoire gérés par la société APRIA RSA.
Responsable du traitement
La société APRIA Réunion de sociétés d’assurance (R.S.A) à ParisCette association est chargée par le Groupement des assureurs maladie des exploitants agricoles (GAMEX), la Réunion des Assureurs Maladie (RAM) et l’association des assureurs AAEXA de gérer, pour leur compte, des régimes d’assurance maladie obligatoire.
Finalités