AgentPublic/cnil huggingface dataset:
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-3° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. PEYRAT, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la FNAC SA à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité le traitement, la gestion et le suivi administratif des plaintes, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Responsable du traitement
La FNAC SA
Finalités
Dépôt et traitement des plaintes et suivi de la procédure judiciaire dans le cadre d’un recours juridictionnel à l’encontre de personnes prises sur le fait dans l’enceinte d’un magasin  concernant la commission d’infractions relatives à des atteintes aux personnes ou aux biens. 
Données traitées
données d’état civil de la personne prise sur le fait ;
date et lieu de naissance de la personne prise sur le fait ;
son adresse ;
le cas échéant, les données relatives à la pièce d’identité : le numéro et la nature de la pièce d’identité ; la date et l’organisme de délivrance de la pièce d’identité. L’obtention de ces données par le responsable de traitement ne peut résulter que d’une communication volontaire de la pièce d’identité de la personne concernée ; 
commentaires  sur les circonstances de la prise sur le fait ;
données d’identification du responsable légal du mineur ou majeur incapable pris sur le fait. 
Les données sont collectées dans le cadre d’un traitement manuel (non automatisé) puis exploitées dans le cadre d’un traitement automatisé.
Des zones bloc-notes peuvent être associées aux seuls actes et faits énumérés ci-dessus : les mentions inscrites dans ces zones ne doivent porter que sur des actes et des faits objectifs et ne peuvent, en aucun cas, faire apparaître, directement ou indirectement, des données relatives aux origines raciales, aux opinions politiques, philosophiques ou religieuses, aux appartenances syndicales ou aux mœurs de la personne concernée par ces actes ou ces faits.
Dans le cadre de la collecte de ces données, les magasins ne sauraient se substituer aux enquêteurs. Ainsi, ils ne peuvent procéder sous la contrainte à aucun contrôle d’identité des personnes, ni procéder à de véritables auditions ou interrogatoires, ni évidemment exercer aucune mesure de contrainte sur les individus.
Destinataires
le responsable de la sécurité et/ou le directeur du magasin concerné ;
les agents habilités de la direction de la prévention des risque du groupe ;
les autorités judiciaires et les auxiliaires de justice en cas de dépôt de plainte.
Information et droit d’accès
Les personnes seront informées par le biais d’un panneau figurant dans la pièce dans laquelle elles seront conduites, en cas de flagrant délit, après leur prise sur le fait par les agents de sécurité, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée en août 2004, de l’identité du responsable de traitement, de la finalité poursuivie par le traitement, du caractère obligatoire ou facultatif des réponses, des conséquences éventuelles d’un défaut de réponse, des destinataires des données et des droits qu’elles détiennent.Par ailleurs, les personnes seront informées par un récépissé remis ou adressé à la personne suite à tout dépôt de plainte simplifiée, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée en août 2004, de l’identité du responsable de traitement, de la finalité poursuivie par le traitement, du caractère obligatoire ou facultatif des réponses, des conséquences éventuelles d’un défaut de réponse, des destinataires des données et des droits qu’elles détiennent.Les droits d’accès et de rectification s’exerceront auprès de la direction prévention des risques de la FNAC SA – 67 boulevard du Général Leclerc – 92612 Clichy Cedex.
Durée de conservation 
en magasin : transmission immédiate à la direction ;
par la direction : 3 ans à partir de la prise sur le fait ou, le cas échéant, durée de la procédure judiciaire. S’agissant de mineurs âgés de 13 à 16 ans, la durée de conservation est limitée à 1 an à partir de la prise sur le fait, ou, le cas échéant, durée de la procédure judiciaire. 
Divers 
Le responsable de traitement prend toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès. 
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, notamment ses articles 1 et 25-I-8° ; 
Vu le Code civil, notamment ses articles 16 et 16-1 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié le 25 mars 2007 ;
Sur le rapport de Madame Anne DEBET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par l'Association d'aide pour l'accès et le maintien en logement autonome (ADAMAL) d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux locaux.
Formule les observations suivantes :
L'Association d'aide pour l'accès et le maintien en logement autonome (ADAMAL) souhaite installer un dispositif biométrique afin de contrôler les accès au foyer de jeunes travailleurs dont elle assure la gestion. Il devrait permettre d’empêcher les intrusions de personnes non-autorisées à pénétrer dans le foyer. Il sécuriserait l’accès aux locaux d’hébergement la nuit, les week-ends et les jours fériés.
Le système présenté par l’ADAMAL repose sur un boîtier qui serait situé à l’entrée du foyer. Le contrôle d’accès s’effectuerait par une comparaison entre le doigt apposé sur le lecteur et le gabarit de l’empreinte digitale enregistré sur le support individuel. Les données relatives à l’identité des personnes (nom, prénom, numéro de chambre et sexe) seraient également traitées. 
L’ADAMAL veut imposer ce dispositif biométrique à l’ensemble des résidents, aucun système alternatif ne leur étant proposé. Elle entend également conserver un historique des entrées pendant un mois.
En application de l’article 1er de la loi du 6 janvier 1978 modifiée en août 2004, « l'informatique doit être au service de chaque citoyen. […]. Elle ne doit porter atteinte ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée, ni aux libertés individuelles ou publiques ».
Dans ce contexte, la Commission relève que les données biométriques sont, à la différence de toute autre donnée personnelle, produites par le corps lui-même et le désignent de façon immuable. A ce titre, en dehors de certains cas précis, leur utilisation devrait reposer sur le consentement des utilisateurs afin de préserver, toutes les fois que cela est possible, la maîtrise de ceux-ci sur ces données particulièrement sensibles.
La Commission observe qu’en l’espèce l’obligation qui serait faite aux résidents de soumettre à un dispositif de contrôle, un élément de leur corps, pour pouvoir accéder librement à leur logement, est de nature à porter atteinte au respect de leur domicile et de leur vie privée, principes consacrés  à l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales.
Il apparaît ainsi qu’un tel dispositif, en ce qu’il impose le recours à de telles données, est susceptible de porter atteinte non seulement aux principes fixés à l’article 1er précité mais également aux principes à valeur constitutionnelle d’intégrité du corps humain et de dignité de la personne, tels que reconnus par les articles 16 et 16-1 du Code civil.
Il résulte de tout ce qui précède que le traitement pris dans son ensemble n'est ni adapté ni proportionné du point de vue de la protection des données personnelles.
Dès lors, la Commission n’autorise pas, en l’état, l'Association d'aide pour l'accès et le maintien en logement autonome (ADAMAL) – 89 Bd Aristide Briand – 13300 Salon de Provence - à mettre en œuvre un traitement de données à caractère personnel reposant sur l’utilisation d’un dispositif biométrique de reconnaissance des empreintes digitales et dont la finalité est le contrôle de l’accès aux locaux.
Le Président
Alex TURK
La Commission nationale de l'informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex TÜRK, président ; 
Etant aussi présents M. Guy ROSIER, vice-président délégué, M. François GIQUEL, vice-président, Mlle Anne DEBET, M. Hubert BOUCHET, membres ; 
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n°2004-801 du 6 août 2004 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par le décret n°2007-451 du 25 mars 2007 ; 
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ; 
Vu la décision n° 2008-108 C du 9 octobre 2008 du président de la Commission nationale de l'informatique et des libertés de procéder à une mission de contrôle auprès de la société X ; 
Vu les plaintes n° 06020432, n° 08018908 et n° 08000868 ;
Vu le courrier de la société X du 15 janvier 2009 ;
Vu le rapport de Mme Isabelle FALQUE-PIERROTIN, commissaire rapporteur, notifié le 19 décembre 2008 à la société X ;
Vu les autres pièces du dossier ;
Après avoir entendu, lors de la réunion du 20 janvier 2009 :
- Mme Isabelle FALQUE-PIERROTIN, commissaire, en ses rapports ; 
- Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations ;
- M. A ;
- M. B.
M. A ayant pris la parole en dernier.
I. Faits et procédure
A. Faits
La Commission nationale de l'informatique et des libertés (ci-après "CNIL" ou la "Commission") a été saisie de plaintes signalant un défaut d'information concernant le passe de transport [...] anonyme des transports urbains [...] ainsi que du différentiel de tarif existant entre ce passe et un passe [...] nominatif.
Le dispositif de billettique [...] par carte RFID est mis en place par la société X (ci-après la "société"), sous l'enseigne commerciale Y. Ce délégataire de service public gérant les transports publics [...] de métro et de bus emploie 800 salariés.
Un correspondant informatique et libertés a été désigné, par la société, le 19 mai 2006.
En application de la décision n° 2008-108 C du 9 octobre 2008 du président de la CNIL, une délégation de la Commission a procédé à une mission de vérification sur place, les 21 et 22 octobre 2008, auprès de la société.
La délégation de la CNIL s'est attachée à examiner plusieurs traitements.
1. Le traitement "Gestion des fiches clients (GFC)" contient l'intégralité des données à caractère personnel des clients disposant d'une carte RFID nominative (les données à renseigner de manière obligatoire sont les nom, prénom, adresse postale, date de naissance, de manière facultative, la photographie, l'adresse électronique, les numéros de téléphone fixe et mobile). En outre, y figurent les numéros de client, numéros des cartes détenues par le client avec les éventuelles inscriptions sur la liste noire et un historique client ("journal"), contenant notamment l'historique des anciennes cartes détenues. L'application dispose, également, d'une zone de commentaire libre (dite "mémo") permettant l'inscription de la mention "impayé en cours".
La création de ces fiches clients s'effectue exclusivement auprès de l'agence commerciale principale. Le personnel de l'agence en charge de la gestion des clients peut accéder à l'ensemble de l'application, seuls les superviseurs ayant la possibilité de supprimer des fiches clients. Le service comptable, situé au siège administratif de X peut également accéder à l'application ainsi que le service informatique.
La délégation a constaté qu'aucune politique de durée de conservation n'a été définie pour toutes ces données.
Le traitement GFC contient, en outre, une fonctionnalité dénommée cession en prélèvement automatique , qui gère les modifications liées à ce mode de paiement (nouvelles données bancaires du client, suspension du prélèvement automatique, résiliation du prélèvement automatique). Après une résiliation, les données bancaires sont conservées durant une durée indéterminée, dans une liste créée spécifiquement et appelée "clients en résiliation définitive PA".
Il contient également une fonction de "Gestion des impayés", assurée par le service recouvrement. Si le traitement GFC a fait l'objet d'une déclaration n° 1140928, auprès de la CNIL, en décembre 2005, cette fonctionnalité n'avait pas été déclarée à la Commission au jour du contrôle (la société a procédé, le 7 novembre 2008, à un engagement de conformité à l'autorisation unique n° 15 relative à la gestion des applications billettiques par les exploitants et les autorités organisatrices de transports publics qui permet de gérer cette fonctionnalité).
En cas d'incident de paiement, la mention "impayé" est inscrite dans la zone de commentaire de la base GFC. Cette indication est supprimée manuellement si le débiteur régularise sa situation. Dans le cas contraire, la mention impayé demeure inscrite sans limitation de durée et le client ne peut plus souscrire d'abonnement, à l'exception du passe anonyme.
Aucune information sur la possibilité d'être exclu de ce droit de souscrire un abonnement nominatif en raison d'un impayé n'est cependant portée à la connaissance des usagers lors de la conclusion des contrats.
2. La délégation s'est, ensuite, attachée à examiner les données de validation - date, heure et lieu de passage - transmises depuis les terminaux de validation associées aux numéros de carte, qui sont traitées dans une autre base de données que GFC. Les numéros de carte sont ensuite anonymisés dans un délai de 24 heures maximum.
Une copie de ces données de validation est conservée informatiquement dans une autre base avec un but statistique (définir les heures de pointes ou les périodes creuses, anticiper des événements majeurs tels que des manifestations, fêtes de la musique etc. sur la base de fréquentations ultérieures...). La délégation a constaté que les données de validation ne sont pas anonymisées dans cette base (le numéro de carte est conservé) et y figurent sans limitation de durée (les plus anciennes datent de la fin d'année 2007).
3. Puis, la délégation de la CNIL a examiné le dispositif de passe [...] anonyme, qui se présente, comme le passe nominatif, sous la forme d'une carte RFID. Il est en vente dans les agences commerciales, pour la somme de cinq euros, alors que le passe nominatif est gratuit. Il ne peut charger que des titres unitaires ou journaliers et non des abonnements (hebdomadaire, mensuel, annuel). Pour un utilisateur régulier, le passe anonyme revient donc, selon son âge, entre 2,5 et 4 fois le prix d'un abonnement nominatif. 
La délégation de la CNIL a constaté une absence d'information sur ce type de passe, sur le site internet de la société, aux guichets de l'agence commerciale ou sur les supports papiers présentant les différents types d'abonnement. Depuis 2006, 53 passes anonymes ont été vendus pour 186 650 passes nominatifs.
4. S'agissant du traitement des réquisitions judiciaires, elles sont transmises à la société par télécopie, courriel ou courrier postal, dans le cadre d'enquêtes préliminaires, d'enquêtes de flagrance ou de commissions rogatoires. Aucun justificatif de la réquisition judiciaire n'est fourni en pièce jointe des courriels et la société ne procède à aucune authentification de l'expéditeur (si les adresses électroniques correspondent bien à des adresses défense.gouv.fr pour la gendarmerie nationale et interieur.gouv.fr pour la police nationale, ce type d'adresse peut cependant être détourné). Ces réquisitions sont traitées par le correspondant informatique et libertés de la société. 
En réponse à ces réquisitions, les données de validation communiquées sont celles datant de moins de 24 heures et la société ne délivre pas de données de validation pour des trajets antérieurs. Les données sont envoyées aux demandeurs par une liaison non chiffrée.
Les données clients et anciens clients de GFC sont, quant à elles, conservées et communicables sans limitation de temps aux autorités de police, en l'absence de politique de conservation, de purge et d'archivage.
5. La délégation a constaté, concernant la sécurité des systèmes, que les mots de passe utilisés par le personnel pour accéder aux bases de données clients ou de données de validation étaient trop courts, qu'aucune formalisation des règles de sécurité du système d'information n'avait été faite par écrit. Il a été relevé que des mots de passe d'utilisateurs étaient écrits sur des papiers collés sur les écrans informatiques.
B. Procédure
A la suite de cette mission de vérification sur place, il a été décidé d'engager une procédure de sanction à l'encontre de la société, compte tenu de la nature et de la gravité des manquements constatés. 
Le rapport du commissaire rapporteur, Mme Isabelle FALQUE-PIERROTIN, proposant à la formation restreinte de la CNIL de prononcer un avertissement, a été notifié à la société le 19 décembre 2008.
La société a formulé des observations écrites le 15 janvier 2009. Puis, représentée par M. A et M. B, elle a présenté ses observations orales lors de la séance de la formation restreinte du 20 janvier 2009.
II. Motifs de la décision
A/ Sur le manquement au respect de la vie privée et des libertés individuelles
La Commission rappelle qu'en application de l'article 1er de la loi du 6 janvier 1978 modifiée : "L'informatique doit être au service de chaque citoyen. Son développement doit s'opérer dans le cadre de la coopération internationale. Elle ne doit porter atteinte ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée, ni aux libertés individuelles ou publiques".
La délibération n° 2008-161 du 3 juin 2008 portant autorisation unique (n° 15) de mise en œuvre de traitements automatisés de données à caractère personnel relatifs à la gestion des applications billettiques par les exploitants et les autorités organisatrices de transports public, s'inspirant, ainsi, de l'article premier de la loi du 6 janvier 1978 précité, prévoit, dans son préambule, que la possibilité de circuler de façon anonyme doit, dans tous les cas, être préservée : chaque responsable de traitement qui met à disposition des usagers des titres nominatifs de transport doit également prévoir de leur laisser le choix d'utiliser des titres de transport anonymes .
La société a souscrit un engagement de conformité à l'autorisation unique n° 15 le 7 novembre 2008.
Le rapporteur a constaté qu'il existe de véritables obstacles à souscrire un passe [...] anonyme. En effet, l'abonnement avec ce passe n'offre que la possibilité de le charger à l'unité, ce qui est très contraignant et très coûteux pour un utilisateur régulier. En outre, à l'inverse du passe nominatif, le passe anonyme est payant et d'une valeur de cinq euros. Ainsi, le passe anonyme coûterait entre 2,5 et 4 fois plus cher que le passe nominatif, selon l'âge de l'utilisateur. 
Dans sa réponse du 15 janvier 2009, la société a indiqué à la CNIL qu'il appartenait à la Communauté d'agglomération [...] de fixer les tarifs et les conditions d'attribution d'un titre de transport, au terme d'une part, de l'article 10 de la convention de gestion et d'exploitation du réseau de transport public de voyageurs dans le périmètre des transports urbains de l'agglomération [...] et d'autre part, de la délibération du Conseil de [...] du 30 mars 2006.
Lors de la séance de la formation restreinte du 20 janvier 2009, la société a, tout d'abord, exposé à la Commission qu'un quart des utilisateurs des transports publics [...] voyageait anonymement via la billetterie papier, ce qui établirait selon elle que ceux-ci disposent d'un choix entre des titres nominatifs et des titres anonymes. Elle a, ensuite, informé la Commission que des échanges avaient eu lieu entre la société et la Communauté d'agglomération au sujet du passe anonyme et qu'une réflexion était en cours afin de mettre éventuellement en place des abonnements anonymes en sus des tickets à l'unité. Or, la société a exposé que si des abonnements anonymes étaient mis en œuvre, le statut des abonnés (étudiant, retraité...) ne pourrait pas être pris considération afin de fixer un tarif adéquat. En outre, le remboursement intégral ou partiel des titres (en cas de grève ou par l'employeur) serait impossible.
La Commission relève que le respect de la vie privée et de la liberté d'aller et venir anonymement implique, aux termes de l'autorisation unique n° 15, que les voyageurs disposent d'un véritable choix entre des déplacements anonymes ou nominatifs, ce qui suppose que ceux-ci soient réalisés dans des conditions équivalentes. La société ayant souscrit à cette autorisation unique ne pouvait ignorer cette prescription. Le surcoût que représente le passe anonyme et la disproportion entre la diffusion des deux types de passe [...] est à cet égard édifiante, seuls 53 passes anonymes ayant été vendus pour 186 650 passes nominatifs, au jour du contrôle. Aussi, malgré les démarches engagées par la société auprès de la Communauté d'agglomération [...] afin d'examiner la possibilité d'étendre le passe anonyme aux abonnements, la Commission relève qu'il n'existe, aujourd'hui, aucun véritable choix entre les deux titres [...] et qu'en l'état, la mise en œuvre quasi exclusive d'un passe nominatif constitue un manquement à l'article 1er de la loi du 6 janvier 1978 et aux finalités figurant dans l'autorisation unique n° 15.
B/ Sur le manquement à l'obligation de définition d'une finalité déterminée, explicite et légitime du traitement