AgentPublic/cnil huggingface dataset:
A titre liminaire, la Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle (AU-004). 
Elle observe que le traitement objet de la présente délibération ne répond pas aux conditions prévues par cette autorisation unique, notamment s’agissant du champ d’application du dispositif.
La Commission doit, par conséquent, procéder à une analyse spécifique du traitement, au regard des principes relatifs à la protection des données à caractère personnel et, notamment, de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
Responsable du traitement
La société KAWNEER France est une société en nom collectif et est spécialisée dans le secteur d’activité de la fonderie de métaux légers.
Sur la finalité
La société KAWNEER France a déposé un dossier de demande d’autorisation préalablement à la mise en place d’un dispositif d’alerte professionnelle.La Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire. La Commission rappelle qu’un dispositif d’alerte professionnelle doit, de façon générale, être limité dans son champ d’application et que son utilisation doit demeurer facultative et complémentaire par rapport aux autres voies de remontée de réclamations des salariés.En l’espèce, le dispositif d’alerte professionnelle mis en œuvre par la société KAWNEER France est dédié au traitement des signalements relatifs aux manquements dans les domaines suivants : -Bancaires, comptables et financiers (fraude comptable, financière, bancaire, détournements d’actifs) ;-Lutte contre la corruption ;-Pratiques anticoncurrentielles ;-Respect de la réglementation sur l’environnement ;-Respect de la réglementation relative à l’hygiène, la santé, la sécurité au travail et aux conditions de travail ;-Respect des règles relatives aux conflits d’intérêt ;-Divulgations d’informations confidentielles (secret de fabrique et secret des affaires) ;-Lutte
Elle note par ailleurs que le responsable du traitement n’incite pas les usagers du dispositif à émettre des alertes anonymes et qu’il s’engage, en cas d’alerte anonyme, à traiter cette dernière de façon différenciée. Les alertes anonymes peuvent en effet être traitées lorsque la gravité des faits le justifie, en présence d’éléments factuels suffisamment détaillés et, enfin, à condition de prendre des précautions particulières, telles qu'un examen préalable par son premier destinataire de l'opportunité de sa diffusion dans le cadre du présent dispositif.
Sur les destinataires
S’agissant des modalités de signalement, la Commission prend acte du fait que tout salarié de la société KAWNEER France peut déclencher la procédure par une ligne téléphonique dédiée et par un site internet dédié.L’alerte est recueillie par le personnel en charge de la réception des alertes, le personnel en charge de la vérification interne des alertes et le directeur de l’éthique du groupe Alcoa.La Commission considère que ces destinataires présentent un intérêt légitime à accéder aux données du présent traitement.Elle relève, par ailleurs, que ces personnes sont toutes astreintes à une obligation renforcée de confidentialité, contractuellement définie.
Sur l’information et le droit d’accès
lorsque le signalement n'est pas suivi d'une procédure disciplinaire ou judiciaire, les données relatives à ce signalement sont détruites ou archivées par le responsable du traitement des signalements ou ses délégataires dans un délai de deux mois à compter de la clôture des opérations de vérification ;
si une procédure disciplinaire ou des poursuites judiciaires sont engagées à l'encontre de la personne mise en cause ou de l'auteur d'une alerte abusive, les données sont conservées jusqu’au terme de la procédure ;
les données faisant l'objet de mesures d'archivage sont conservées, dans le cadre d'un système d'information distinct à accès restreint, pour une durée n'excédant pas les délais de prescription applicables.
un contrat rédigé sur le modèle des clauses contractuelles élaborées par la Commission européenne relatives aux transferts de données de responsable de traitement à sous-traitant.
S’agissant des transferts de données transfrontaliers, la Commission relève que les transferts de données réalisés vers un prestataire établi aux Etats-Unis ont pour finalité la mise en œuvre d’un dispositif d’alerte professionnelle. Ils sont encadrés  par :
-un contrat rédigé sur le modèle des clauses contractuelles élaborées par la Commission européenne relatives aux transferts de données de responsable de traitement à sous-traitant.
Autorise, conformément à la présente délibération, la société KAWNEER  France à mettre en œuvre le traitement susmentionné.
La Présidente
(Demande d’autorisation n° 1972829)
La Commission nationale de l'informatique et des libertés,
Saisie par la société RTI-REAMET d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dispositif d’alerte professionnelle;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération de la Cnil n° 2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle, telle que modifiée le 30 janvier 2014 ; 
Vu le dossier et ses compléments ;
Sur la proposition de Madame Marie-France MAZARS, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
A titre liminaire, la Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle (AU-004). 
Elle observe que le traitement objet de la présente délibération ne répond pas aux conditions prévues par cette autorisation unique, notamment s’agissant du champ d’application du dispositif.
La Commission doit, par conséquent, procéder à une analyse spécifique du traitement, au regard des principes relatifs à la protection des données à caractère personnel et, notamment, de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
Responsable du traitement
La société RTI-REAMET est une société en nom collectif et est spécialisée dans le secteur d’activité de la fonderie de métaux légers.
Sur la finalité
La société RTI-REAMET a déposé un dossier de demande d’autorisation préalablement à la mise en place d’un dispositif d’alerte professionnelle.La Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire. La Commission rappelle qu’un dispositif d’alerte professionnelle doit, de façon générale, être limité dans son champ d’application et que son utilisation doit demeurer facultative et complémentaire par rapport aux autres voies de remontée de réclamations des salariés.En l’espèce, le dispositif d’alerte professionnelle mis en œuvre par la société RTI-REAMET est dédié au traitement des signalements relatifs aux manquements dans les domaines suivants : -Bancaires, comptables et financiers (fraude comptable, financière, bancaire, détournements d’actifs) ;-Lutte contre la corruption ;-Pratiques anticoncurrentielles ;-Respect de la réglementation sur l’environnement ;-Respect de la réglementation relative à l’hygiène, la santé, la sécurité au travail et aux conditions de travail ;-Respect des règles relatives aux conflits d’intérêt ;-Divulgations d’informations confidentielles (secret de fabrique et secret des affaires) ;-Lutte contre le
Elle note par ailleurs que le responsable du traitement n’incite pas les usagers du dispositif à émettre des alertes anonymes et qu’il s’engage, en cas d’alerte anonyme, à traiter cette dernière de façon différenciée. Les alertes anonymes peuvent en effet être traitées lorsque la gravité des faits le justifie, en présence d’éléments factuels suffisamment détaillés et, enfin, à condition de prendre des précautions particulières, telles qu'un examen préalable par son premier destinataire de l'opportunité de sa diffusion dans le cadre du présent dispositif.
Sur les destinataires
S’agissant des modalités de signalement, la Commission prend acte du fait que tout salarié de la société RTI-REAMET peut déclencher la procédure par une ligne téléphonique dédiée et par un site internet dédié.L’alerte est recueillie par le personnel en charge de la réception des alertes, le personnel en charge de la vérification interne des alertes et le directeur de l’éthique du groupe Alcoa.La Commission considère que ces destinataires présentent un intérêt légitime à accéder aux données du présent traitement.Elle relève, par ailleurs, que ces personnes sont toutes astreintes à une obligation renforcée de confidentialité, contractuellement définie.
Sur l’information et le droit d’accès
lorsque le signalement n'est pas suivi d'une procédure disciplinaire ou judiciaire, les données relatives à ce signalement sont détruites ou archivées par le responsable du traitement des signalements ou ses délégataires dans un délai de deux mois à compter de la clôture des opérations de vérification ;
si une procédure disciplinaire ou des poursuites judiciaires sont engagées à l'encontre de la personne mise en cause ou de l'auteur d'une alerte abusive, les données sont conservées jusqu’au terme de la procédure ;
les données faisant l'objet de mesures d'archivage sont conservées, dans le cadre d'un système d'information distinct à accès restreint, pour une durée n'excédant pas les délais de prescription applicables.
un contrat rédigé sur le modèle des clauses contractuelles élaborées par la Commission européenne relatives aux transferts de données de responsable de traitement à sous-traitant.
S’agissant des transferts de données transfrontaliers, la Commission relève que les transferts de données réalisés vers un prestataire établi aux Etats-Unis ont pour finalité la mise en  œuvre d’un dispositif d’alerte professionnelle. Ils sont encadrés  par :
-un contrat rédigé sur le modèle des clauses contractuelles élaborées par la Commission européenne relatives aux transferts de données de responsable de traitement à sous-traitant.
Autorise, conformément à la présente délibération, la société RTI-REAMET  à mettre en œuvre le traitement susmentionné.
La Présidente
(Demande d’autorisation n° 1872256)
La Commission nationale de l'informatique et des libertés,
Saisie par la société CARTE BLANCHE PARTENAIRES d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l’assurance maladie complémentaire ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code des assurances ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-3° et 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
CARTE BLANCHE PARTENAIRES est une société par actions simplifiée qui gère une plateforme de conventionnement de professionnels de santé et, à ce titre, intervient notamment entre, d’une part, les enseignes/opticiens conventionnés et, d’autre part, les organismes d’assurance maladie complémentaire.
Sur la finalité
Le traitement a pour finalité la lutte contre la fraude aux contrats d’assurance santé complémentaire.Au titre de ce traitement sont visées :- l’analyse et la détection des actes réalisés dans le cadre de la passation, la gestion et l’exécution des contrats présentant une anomalie, une incohérence ou ayant fait l’objet d’un signalement pouvant révéler une fraude à l’assurance ou une inadéquation entre les accords de prise en charge et les factures émises par les professionnels de santé ;- la gestion des alertes en cas d’anomalies, d’incohérences ou de signalements ;- la collecte de documents complémentaires permettant de constituer un dossier de fraude et la communication de ces pièces aux gestionnaires d’assurance concernés.Le traitement concerne la lutte contre la fraude externe correspondant à un acte ou omission commis intentionnellement par les opticiens conventionnés du réseau afin d'obtenir un avantage ou un bénéfice de façon illégitime, illicite ou illégale.La Commission considère que la finalité poursuivie est déterminée, explicite et légitime.Dans la mesure où le traitement peut, du fait de sa nature et de sa finalité, porter sur des données relatives aux infractions, condamnations ou mesures de sûreté et conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition légale ou réglementaire prévoyant une telle exclusion, il est soumis à une autorisation de la CNIL en application des dispositions des articles 25-I-3° et
25-I-4° de la loi Informatique et Libertés.
Sur les données traitées
Les catégories de données traitées sont relatives :
aux bénéficiaires : nom, prénom, statut (adulte/enfant), données de prise en charge (correction ophtalmique, date de la prise en charge, magasin d’optique et organisme complémentaire concernés) ;
aux professionnels de santé conventionnés : enseigne de rattachement, raison sociale, numéro FINESS, adresse professionnelle.
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente au sens de l'article 6-3° de la loi Informatique et Libertés.
Sur les destinataires
CARTE BLANCHE PARTENAIRES communiquera aux personnes suivantes les données relatives aux contrôles qui les concernent :
les gestionnaires de contrats et de sinistres au sein des organismes d’assurance maladie complémentaire clients de CARTE BLANCHE PARTENAIRES ; 
au sein des enseignes optiques : les gestionnaires de fraudes, les comités déontologiques et les directeurs en charge des relations avec les plateformes de professionnels de santé.
La Commission estime que ces destinataires ont un intérêt légitime à avoir communication de ces données. Elle rappelle que la communication de ces données ne peut en aucun cas donner lieu à la création d'un fichier concernant les données relatives aux fraudes et mutualisé entre les destinataires.
Sur l’information et le droit d’accès
Les professionnels de santé sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention figurant dans la convention qu’ils signent avec CARTE BLANCHE PARTENAIRES.Les bénéficiaires sont informés des mêmes éléments dans une note d’information remise avant toute demande de prise en charge ainsi que sur le formulaire de recueil de consentement qu’ils signent pour la prise en charge.Les droits des personnes s’exercent par courrier ou courriel auprès du service de conventionnement de CARTE BLANCHE PARTENAIRES.La Commission considère que ces modalités d’information et d’exercice des droits sont suffisantes au regard de l’article 32 de la loi Informatique et Libertés.
Sur les mesures de sécurité
Le responsable de traitement a défini une politique d’habilitation et d’authentification qui limite l’accès aux données à son personnel en charge des contrôles et notamment les experts en fraude (opticiens), dans la limite de leurs attributions respectives et pour l'exercice des finalités précitées.Les données sont conservées chez un prestataire agréé pour héberger des données de santé.La Commission rappelle que le responsable de traitement doit prendre toutes précautions utiles pour préserver la sécurité et la confidentialité des données traitées et notamment pour empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés y aient accès.Il doit définir une politique de sécurité adaptée aux risques qui devra décrire les objectifs de sécurité et les mesures de sécurité physique, logique et organisationnelle permettant de les atteindre.Les droits permettant d'accéder aux données doivent être précisément définis en fonction des besoins réels de chaque utilisateur, il s'ensuit que les permissions d'accès devront être supprimées pour tout utilisateur n'étant plus habilité.Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
La procédure de détection des fraudes est soumise à un contrôle de pertinence effectué par le gestionnaire fraude au sein de CARTE BLANCHE PARTENAIRES à partir de critères objectifs.Le gestionnaire fraude peut décider de diligenter des investigations complémentaires qui conduisent à solliciter des documents justificatifs aux professionnels concernés. Après étude des documents reçus, le gestionnaire fraude qualifie la pertinence de l’alerte.La Commission observe qu’aucune décision automatisée n’est donc prise à l’égard des personnes concernées conformément aux dispositions du deuxième alinéa de l’article 10 de la loi du 6 janvier 1978 modifiée.Les alertes sont traitées dans un délai maximum de six mois. A l’issue de ce délai, les alertes n’ayant pas reçu de qualification sont supprimées.En cas d’alerte pertinente, les données sont conservées pour une durée de 5 ans à compter de la clôture du dossier de fraude.Ces durées de conservation n’appellent pas d’observation de la part de la Commission.
Autorise, conformément à la présente délibération, la société CARTE BLANCHE PARTENAIRES à mettre en œuvre le traitement susmentionné.
Pour La Présidente,
Le Vice-Président délégué,
Marie-France MAZARS
(Demande d’autorisation n° 1908078) La Commission nationale de l’informatique et des libertés, Saisie par l’Institut Français des Sciences et Technologies des Transports, de l’Aménagement et des Réseaux (IFSTTAR) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la réalisation d’une étude épidémiologique des accidents de deux/trois roues motorisés, Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV, 25-I-1° et 25-I-3° ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; Vu l’avis du 16 novembre 2015 rendu par le Comité consultatif sur le traitement de l’information en matière de recherche dans le domaine de la santé concernant la demande n° 15.935 intitulée  quantification des causes des accidents de deux/trois-roues motorisés et de leurs conséquences corporelles – approche épidémiologique  ; Vu l’avis du 29 avril 2015 rendu par le Comité
d’Evaluation des Registres concernant le registre des victimes corporelles d’accidents de la circulation routière ; Vu le dossier et ses compléments ; Sur la proposition M. Eric PERES, rapporteur et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement, Formule les observations suivantes :
Sur le responsable du traitement
 L’Institut Français des Sciences et Technologies des Transports, de l’Aménagement et des Réseaux (IFSTTAR)
 Sur la finalité
 Le traitement a pour finalité la réalisation d’une étude épidémiologique des accidents de deux et trois roues motorisés, visant à déterminer les facteurs de risque et les causes d’accidents.La base de sondage de cette étude est constituée des victimes d’accidents de la circulation ayant eu lieu dans le département du Rhône, dont les coordonnées et tableaux lésionnels sont inscrits au Registre du Rhône. Le Registre du Rhône a été labellisé par le Comité d’évaluation des registres et a fait l’objet de formalités préalables auprès de la Commission sous le numéro 999211.La collecte des réponses sera réalisée par voie de questionnaires facultatifs. L’autorisation des titulaires de l’autorité parentale des participants mineurs sera recueillie préalablement à la participation de ces derniers à l’étude.La Commission considère que la finalité poursuivie est déterminée, explicite et légitime.
 Sur les données traitées
 Les catégories de données collectées sont relatives : 
à l’identification des blessés ; 
à leur habitude de mobilité en deux, trois roues motorisés ; 
aux circonstances de l’accident ; 
aux données de santé ; 
aux données d’infraction. 
 La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente au sens du 3° de l'article 6 de la loi du 6 janvier 1978 modifiée.