AgentPublic/cnil huggingface dataset:
Vu la demande d’autorisation déposée par la société Crédit Immobilier de France (CIF) Ile–de–France relative à un traitement automatisé de données à caractère personnel ayant pour finalité l’aide à l’évaluation et à la sélection des risques en matière d’octroi de crédit  ainsi qu’à la détermination du niveau de délégation pour la prise de décision d’octroi de prêt ;
Après avoir entendu M. Jean-Paul AMOUDRY, commissaire, en son rapport, et de  Mme Elisabeth ROLIN, commissaire du gouvernement, en ses observations.
Formule les observations suivantes :
La société CIF Ile-de-France est un établissement de crédit au sens de l’article L.511-1 du code monétaire et financier, agréé en qualité de société financière.
Le traitement de données à caractère personnel soumis à l’examen de la Commission doit permettre d’évaluer, sur la base de modèles de score, le risque statistique de défaut de remboursement attaché à chaque demande de prêts immobiliers qui lui est présentée, de déterminer la personne compétente pour se prononcer sur la demande de crédit, de constituer des modèles de score à utiliser à partir de l’analyse statistique des données personnelles en sa possession, d’en vérifier la pertinence et de les actualiser.
Ce traitement permet d’évaluer pour chaque personne présentant une demande de prêts immobiliers, le risque statistique de défaillance qui lui est attaché et de sélectionner les demandes qui correspondent à un niveau de risque acceptable de défaillance. Il est, par voie de conséquence, susceptible d’exclure, au moins de façon temporaire, une personne du bénéfice d’un contrat là où aucun texte législatif ou réglementaire ne prévoit une telle exclusion.
Dès lors, ce traitement relève de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée et doit, à ce titre, être autorisé par la Commission.
Par sa délibération n° 2008-198 du 9 juillet 2008 modifiant l’autorisation unique AU-005, la Commission a autorisé les traitements mis en œuvre par les établissements de crédit pour aider à l’évaluation et à la sélection des risques en matière d’octroi de crédit sous réserve que les finalités de ces traitements, les catégories de données utilisées et leurs destinataires n’excèdent pas le cadre qui y est défini, que ces traitements remplissent également les conditions qui y sont fixées, et que les responsables de ces traitements adressent à la CNIL un engagement de conformité à l’autorisation unique AU-005.
Tout projet de traitement automatisé dont les finalités ou les catégories de données ou de destinataires excèdent le cadre de cette autorisation unique ou qui ne respecterait pas les exigences qui y sont définies, doit, en revanche, faire l’objet d’une demande d’autorisation spécifique présentant et expliquant les différences entre le traitement envisagé et l’autorisation unique.
L’analyse des caractéristiques du traitement qui est l’objet de la présente demande fait apparaître plusieurs différences par rapport à l’AU-005 qui, de ce fait, doivent faire l’objet d’une autorisation spécifique de la Commission.
En premier lieu, la Commission constate que l’une des finalités du traitement n’est pas prévue par l’AU-005, dans la mesure où le niveau hiérarchique de la personne habilitée à octroyer le crédit est déterminé par le risque statistique de défaut de remboursement calculé pour chaque demandeur de crédit.
En second lieu, elle note que les documents d’aide à la décision issus de la mise en œuvre sont indirectement nominatifs.
La Commission considère que ces nouvelles finalités n’appellent pas d’observations particulières.
Les autres caractéristiques du traitement mis en œuvre par la société CIF Ile–de–France sont conformes à l’autorisation unique AU 005.
Autorise, dans les conditions prévues par le dossier du demandeur et la présente délibération, la société Crédit Immobilier de France Ile–de–France à mettre en œuvre le traitement automatisé d’aide à la décision d’octroi de prêt immobilier.
Le Président
Alex TURK
La Commission nationale de l'informatique et des libertés, 
Saisie le 11 janvier 2010 par l’association Guichet Entreprises d’une demande d’avis sur un projet de résolution portant création d’un téléservice dénommé « guichet-entreprises.fr » ; 
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment son article 27-II-4° ;
Vu l’article 2 de loi n°94-126 du 11 février 1994 relative à l’initiative et à l’entreprise individuelle modifié par la loi n°2008-776 du 4 août 2008 de modernisation de l’économie, et notamment le V de son article 8 ;
Vu le projet de décret  modifiant le code de commerce et relatif aux centres de formalités des entreprises examiné par la Commission nationale de l'informatique et des libertés le 14 janvier 2010 ;
Sur le rapport de Madame Isabelle FALQUE-PIERROTIN et Monsieur Bernard PEYRAT, commissaires, et les observations de Madame Elisabeth ROLIN, commissaire du Gouvernement ;
Emet l’avis suivant :
L’association Guichet Entreprises a saisi la Commission nationale de l’informatique et des libertés d’une demande d’avis sur un projet de résolution portant création d’un téléservice dénommé « guichet-entreprises.fr », conformément aux dispositions de l’article 27-II-4° de la loi du 6 janvier 1978 modifiée.
Cette demande d’avis fait suite à l’examen par la Commission le 14 janvier 2010 d’un projet de décret modifiant le code de commerce et relatif aux centres de formalités des entreprises. Ce projet de décret modifiait, notamment, l’article R123-21 du code de commerce afin que la gestion du guichet unique dématérialisé constitue une mission de service public et qu’ainsi,  l’Association Guichet Entreprises, personne morale de droit privé qui regroupe les réseaux des Centre de Formalités des Entreprises, l’INPI et l’Agence pour la création d’entreprise, puisse, au titre de cette mission de service public qui lui est confiée, être responsable du téléservice « guichet-entreprises.fr ».
Il convient de rappeler que les Centres de Formalités des Entreprises (CFE) ont un rôle de centralisation des déclarations, de contrôle formel des documents présentés, de transmission de l'ensemble des pièces aux organismes destinataires qui s'assurent de leur régularité et de leur validité. La transposition de la directive européenne dite « services » en droit français a confié un rôle nouveau aux CFE : celui de recevoir les demandes d’autorisations administratives nécessaires à l’exercice des activités réglementées telles que celles d’agent immobilier, de vétérinaires, d’architectes ou de commerçants ambulants. La répartition des demandes entre les sept réseaux de CFE (les Chambres de Commerce et d'Industrie, les Chambres de Métiers et de l'Artisanat, la chambre nationale de la batellerie artisanale, les greffes des tribunaux de commerce ou des tribunaux de grande instance, les chambres d'agriculture, les centres des impôts, les URSSAF) se fait toujours selon la compétence matérielle précisée par l’article R123-3 du code de commerce puis au sein de chaque réseau, selon un critère géographique. 
Présentation du téléservice « guichet-entreprises.fr »
Le portail permet de créer un compte utilisateur qui donne accès à un espace personnel dédié au déclarant dans lequel il peut remplir les formulaires nécessaires à la création de son activité et déposer des pièces justificatives.
Dès lors que le déclarant considère son dossier comme complet, le téléservice permet la transmission dématérialisée de celui-ci. Le portail permet, le cas échéant, de rediriger le déclarant vers un site sécurisé afin qu’il s’acquitte du paiement du coût des formalités.
Le portail a pour objectif, à terme, de permettre au déclarant de consulter son dossier, de suivre son état d’avancement et éventuellement de le compléter. 
Analyse du projet de résolution au regard de la loi du 6 janvier 1978 modifiée
Sur les finalités et les fonctionnalités
L’article 1er du projet de résolution énonce que ce téléservice a pour objet de permettre à l’entrepreneur d’accomplir l’ensemble des formalités et procédures nécessaires à l’accès et à l’exercice de son activité. 
Les principales fonctionnalités de ce portail sont : 
1 - accéder à la documentation précisant les obligations des centres de formalités des entreprises ainsi que les éléments constitutifs du dossier de déclaration et du dossier de demandes d’autorisations ;
2 - constituer son dossier unique visé à l’article R 123-1 du code de commerce comprenant le dossier  de déclaration et, le cas échéant, de demandes d’autorisations, grâce à un espace de stockage personnel. Cet espace permet au déclarant de gérer et utiliser ses données à caractère personnel, de conserver les informations le concernant et les documents et pièces justificatives qui lui sont nécessaires pour l’accomplissement des démarches administratives. Cet espace est accessible au seul déclarant au moyen d’un identifiant et d’un mot de passe. Son utilisation est placée sous le contrôle et la responsabilité de son titulaire qui peut le désactiver ou le clore à tout moment. Seul le déclarant peut accéder aux données contenues dans son espace personnel et il gère directement les informations qu’il y a stockées. Il peut choisir de les modifier ou de les supprimer librement.
Il conviendrait que cet alinéa soit modifié afin de faire apparaître deux fonctionnalités distinctes : l’une relative à la création du compte utilisateur, et l’autre à la constitution du dossier grâce à l’espace de stockage dont il est le seul à pouvoir accéder.
3 - transmettre son dossier de déclaration et, le cas échéant, de demandes d’autorisations au centre de formalités des entreprises compétent ;
A la lecture du cahier des charges, il apparaît que cette transmission se traduit par la conversion du dossier finalisé par le déclarant dans un format garantissant l’intégrité de son contenu, puis par la possibilité pour les agents habilités des CFE de le lire sans pouvoir le modifier. 
4 - accéder aux informations de suivi du traitement du dossier de déclaration et, le cas échéant, du dossier de demandes d’autorisations.
Au vu des éléments complémentaires qui ont été adressés à la Commission, il a été précisé que ce suivi permettrait au déclarant de compléter son dossier, le cas échéant, ainsi que de suivre son état d’avancement. 
La Commission constate la légitimité de la finalité du téléservice « guichet-entreprises.fr » ainsi que de ses fonctionnalités, notamment en ce qu’elle s’inscrit dans la transposition de la directive services visant à simplifier et à dématérialiser les procédures relatives à l’accès et à l’exercice de l’activité des prestataires de services. 
La Commission rappelle que le développement de l’administration électronique doit avoir pour objectif de mettre en place des outils de simplification des démarches administratives et d’amélioration des relations entre les usagers et l’administration, sans que ces outils soient exclusifs d’autres canaux d’échanges. A ce titre, elle relève que le projet de résolution précise le caractère facultatif pour les usagers du portail « guichet-entreprises.fr»
La Commission se félicite que toutes les opérations effectuées sur l’espace personnel de stockage (dépôt et conservation de documents, transmission d’informations ou de pièces dématérialisées utiles à l’accomplissement des démarches administratives) soient à l’initiative et sous le seul contrôle de l’usager. 
Sur les données à caractère personnel 
L’article 2 du projet de résolution énumère les catégories de données à caractère personnel enregistrées, en distinguant celles nécessaires pour la gestion de l’accès au portail « guichet-entreprises.fr»  et celles relatives à l’utilisation de l’espace personnel de stockage.
Les données relatives à la gestion de l’accès à l’espace personnel du téléservice n’appellent pas d’observations particulières. 
Les informations collectées lors de l’utilisation de l’espace de stockage personnel et donc du remplissage des formulaires de création d’entreprises correspondent aux données actuellement demandées dans les formulaires papier.
Il convient de préciser que le NIR n’est transmis qu’aux organismes sociaux pour la prise en charge du déclarant par les organismes maladie et vieillesse ainsi qu’à l’URSAFF. Il a été précisé que la collecte de cette information concernait toutes les personnes devant s’affilier au régime des travailleurs non salariés telles que les entreprises individuelles, les auto-entrepreneurs et pour certains dirigeants de personnes morales (gérants majoritaires de SARL et associés et/ou dirigeants de sociétés de personnes).
La Commission constate que les données collectées sont pertinentes au regard des finalités pour lesquelles elles sont collectées. 
Sur la durée de conservation des informations
L’article 3 du projet de résolution indique qu’ « il est procédé à l’effacement de toutes les données et de tous les fichiers présents dans l’espace de stockage personnel du déclarant à l’issue d’une période de douze mois suivant l’ouverture de cet espace de stockage par le déclarant ». 
Cette durée apparaît conforme à la durée de conservation de douze mois du « service de conservation provisoire » qui a été fixée par le projet d’article R123-27 du code de commerce tel qu’il a été examiné par la Commission le 14 janvier 2010.
Les éléments complémentaires adressés à la Commission indiquent que passé ce délai d’un an, les données seront effacées si le déclarant n’a pas transmis son dossier.
Cependant, la Commission constate que les données du compte utilisateur ne sont pas visées par l’article 3 précité, alors même qu’il s’agit de données à caractère personnel. 
Par ailleurs, la Commission considère que les usagers doivent être préalablement informés de la destruction prochaine de leurs données et documents, et qu’il convient en conséquence de mettre en place un système d’alerte par courriel, donnée fournie par l’usager lors de son inscription au service.
Compte tenu de toutes ces remarques, la Commission préconise que l’article 3 soit rédigé de la manière suivante :
«  Il est procédé à l’effacement de toutes les données et de tous les fichiers présents dans l’espace de stockage personnel du déclarant [ainsi que les données relatives à la gestion de l’accès à l’espace personnel du téléservice] à l’issue d’une période de douze mois suivant l’ouverture de cet espace de stockage par le déclarant, si ce dernier n’a pas finalisé et transmis son dossier.
[Deux messages sont au préalable envoyés au déclarant, respectivement trois mois et deux semaines avant la suppression du compte]. »
En outre, bien que l’article 1-4° du projet de résolution prévoit comme fonctionnalité la possibilité d’accéder aux informations de suivi du traitement du dossier de déclaration et, le cas échéant, de celui de demandes d’autorisations, aucune précision sur la durée de conservation des données relatives à ce suivi n’a été indiquée.
Toutefois, la Commission a examiné le 14 janvier 2010 l’article R123-19 du code de commerce tel que rédigé de la manière suivante :
« Le support de la déclaration ainsi que les renseignements qu'elle contient et les pièces relatives à celle-ci et, le cas échéant, aux procédures d’autorisation requises ne peuvent être conservées par le centre au-delà des délais nécessaires, en application de l’article R 123-10, à la transmission prévue à l’article R 123-18. ».
Les précisions apportées à la Commission indiquent que le déclarant devrait pouvoir consulter le contenu de sa déclaration pendant le temps nécessaire à l’instruction de son dossier ainsi qu’être en mesure de compléter son dossier dans l’hypothèse où il aurait fourni une mauvaise pièce justificative ou si le dossier faisait apparaître la nécessité de solliciter de nouvelles pièces justificatives. 
Par conséquent, l’article 3 du projet de résolution pourrait être complété de la manière suivante : « Une fois le dossier validé et transmis au CFE compétent, le dossier est conservé le temps nécessaire à l’instruction de la déclaration ainsi que le cas échéant, aux procédures d’autorisations.  Pendant cette période, le déclarant peut consulter le dossier qu’il a transmis et, le cas échéant, le compléter à la demande du CFE ». 
Sur les destinataires
L’article 4 du projet de résolution énumère les destinataires habilités à recevoir communication de ces données à raison de leurs attributions respectives.
La Commission rappelle que ces données sont transmises au CFE par le déclarant une fois que celui-ci a validé le dossier. Les CFE transmettent ensuite les seules données nécessaires aux organismes compétents dans le cadre de leur mission. 
Dès lors, la Commission recommande que le 1er alinéa de cet article soit précisé de la manière suivante :
« Les destinataires ou catégories de destinataires habilités à recevoir communication ,[des seules données nécessaires à l’exercice de leurs missions] sont, à raison de leurs attributions respectives ».
Les destinataires énumérés à l’article 4-I° correspondent à la liste des « principaux organismes destinataires des formalités des entreprises » telle que définie par l’annexe 1-1 à l’article R123-30 du code de commerce. 
Il convient de rappeler que le téléservice proposé a pour vocation de transmettre les informations au CFE compétent qui retransmet les informations aux organismes et autorités en charge de l’instruction des formalités relatives à la création d’activité. 
Par exemple, l’inspection du travail est destinataire des formalités du CFE lorsque l’entreprise ou l’établissement emploie des salariés.
Sur la sécurité et la confidentialité
La Commission prend acte que l’article 1 rappelle que « Les fonctions du service sont mises en œuvre dans un environnement sécurisé assurant le chiffrement de l’ensemble des données à caractère personnel et des communications avec les partenaires du service ainsi que la traçabilité des accès et des transmissions de données ».
Plus particulièrement, s’agissant de l’accès à son dossier par l’usager, il convient de noter que la confidentialité des échanges est assurée au moyen du protocole sécurisé SSL. L’authentification de l’usager est établie à partir d’un couple identifiant/mot de passe librement choisi par lui. Le mot de passe doit toutefois être d’une longueur d’au moins huit caractères.
La Commission observe, que s’agissant de l’accès au dossier par les agents des CFE, il convient de préciser que la confidentialité des communications entre les systèmes d’information des CFE et le téléservice « guichet-entreprises.fr » est assurée au moyen de protocoles sécurisés éprouvés. Afin de prendre connaissance d’un dossier, les agents habilités doivent s’authentifier au moyen d’un certificat de classe 3+  protégé par un code secret (code PIN). 
Par ailleurs, un horodatage des documents est réalisé par un tiers et leur l’intégrité est garantie au moyen d’une signature électronique. Enfin, les consultations des documents par les agents habilités sont enregistrées.
Au regard de ces éléments, la Commission constate que le dispositif présente un niveau de sécurité globalement satisfaisant. 
Sur les droits des personnes
La Commission rappelle l’obligation de faire figurer les mentions d’information prévues à l’article 32 de la loi du 6 janvier 1978 modifiée sur chacune des pages contenant des formulaires de collecte de données à caractère personnel. Les éléments complémentaires adressés à la Commission indiquent que l’information concernant la conservation des données des formalités est précisée au déclarant lors de l’utilisation de la fonction de conservation temporaire. 
Elle constate que le droit d’opposition ne s’applique pas au présent traitement.
Les droits d’accès et de rectification s’exercent auprès du centre de formalités des entreprises destinataire du dossier de déclaration.
Sur les formalités relatives aux traitements  des CFE
Les CFE réalisent déjà des traitements informatiques des déclarations reçues en tant que guichet unique physique ou via des portails tels que CFEnet  (pour les entreprises relevant des Chambres de Commerce et d'Industrie) CFEmétier (pour les entreprises relevant des Chambres de Métiers et de l'Artisanat) ou des sites locaux .
Les nouvelles missions des CFE de gestion des demandes d’autorisation des professions réglementées et la mise en place d’un portail unique nécessiteront qu’ils modifient leurs traitements existants.
Dans un souci de simplification, la Commission propose que les formalités des CFE puissent être accomplies sur la base du projet de résolution portant création du téléservice « guichet-entreprises.fr », qui constituerait un acte réglementaire unique au sens de l’article 27-III de la loi du 6 janvier 1978 modifiée. Chaque nouveau partenaire pourrait alors effectuer une déclaration de conformité à cet acte réglementaire unique.
La mise en place d’un acte réglementaire unique, implique toutefois que l’article 1er du projet de résolution soit complété pour couvrir les traitements mis en œuvre par les CFE ce qui n’est pas le cas actuellement. Ainsi, la Commission propose d’ajouter un cinquième paragraphe à l’article 1er dudit projet qui pourrait être rédigé comme suit :
5°) permettre aux CFE de mettre en œuvre les traitements nécessaires à l’exploitation des informations reçues de la personne morale visée au dernier alinéa de l’article R. 123-21 du code de commerce : réception  du dossier unique prévu à l’article 2 de la loi n° 94-126 du 11 février 1994 relative à l’initiative et à l’entreprise individuelle et transmis par la personne morale visée à l’article R 123-21 du code de commerce ; réception des informations de suivi du traitement de ces dossiers tels que transmises par les organismes et autorités partenaires ; transmission  des informations de suivi du traitement des dossiers uniques à la personne morale visée à l’article R 123-21 du code de commerce ».
Toutefois, la Commission appelle l’attention des CFE sur le fait que le projet de résolution portant création du téléservice «guichet-entreprises.fr » ne peut en aucun cas couvrir leurs propres téléservices, qui répondent à des finalités propres liées aux missions et compétences de chacun, et dont les traitements ne sont pas décrits dans le projet de résolution soumis à la Commission.
Afin d’éviter que la Commission ait à nouveau à examiner ce dossier et pour que les CFE aient une meilleure visibilité sur la manière dont ils pourront s’acquitter de leurs obligations au titre des formalités préalables, la Commission propose que le projet de résolution soit complété par un article qui pourrait être rédigé comme suit : « Acte réglementaire unique: La mise en œuvre des traitements de données à caractère personnel nécessaire à l’exploitation des informations reçues via le téléservice « guichet-entreprises.fr » par le Centre de Formalités des Entreprises compétent est subordonnée à un engagement de conformité faisant référence à la présente résolution. Cette déclaration peut s’effectuer sur le site internet de la Commission nationale de l’informatique et des libertés Toutefois, cette déclaration ne couvre pas la mise en œuvre des traitements de données à caractère personnel liés à d'autres applications propres à chaque administration, qui restent soumis à l’accomplissement des formalités préalables prévues au chapitre IV de la loi du 6 janvier 1978 susvisée ».
Le président