AgentPublic/cnil huggingface dataset:
Ainsi, la Commission souligne, qu'à la différence de tout autre identifiant (code, mot de passe, etc.) la donnée biométrique ne peut être changée une fois collectée, ce qui impose d'en limiter l'usage afin d'en garantir la sécurité et le contrôle par les personnes. Par ailleurs, le stockage des empreintes digitales sur le terminal de lecture comparaison ou sur un serveur représente un risque supplémentaire en cas d'usurpation d'identité. 
En effet, parce que l'empreinte digitale constitue une  trace  laissée en abondance par les personnes à leur insu, sa captation frauduleuse, désormais aisée en l'état des techniques, exige que son utilisation soit limitée et encadrée et que la constitution d'une base de stockage soit réservée à des hypothèses particulières fondées sur un impératif fort de sécurité.
En conséquence, le traitement pris dans son ensemble n'apparaît ni adapté ni proportionné du point de vue de la protection des données personnelles.
Dès lors, la Commission n'autorise pas, la société Synergie Cad Synergie Cad sise 1ère avenue 2ème rue - BP 423 06515 Carros, à mettre en œuvre un traitement de données à caractère personnel reposant sur l'utilisation d'un dispositif biométrique de reconnaissance des empreintes digitales et dont la finalité est le contrôle de l'accès aux locaux.
 
 
Le Président
 
 
Alex TÜRK
La Commission nationale de l'informatique et des libertés, 
 
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-1-8 ; 
 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par le décret n°2007-401 du 25 mars 2007 ;
 
Vu la demande d'autorisation, présentée par la société CCI Conseils concernant la mise en œuvre d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès aux locaux ;
 
Après avoir entendu M. Hubert BOUCHET, commissaire en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l'informatique et des libertés a été saisie par la société CCI Conseils d'une demande d'autorisation relative à un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l'accès aux locaux.
Il y a lieu de faire application des dispositions prévues à l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.
La société CCI Conseils souhaite sécuriser l'accès à ses locaux afin de garantir la confidentialité des documents en sa possession et d'assurer la  traçabilité  des accès pendant les heures de fermeture.
La Commission considère que la constitution de bases de données d'empreintes digitales ne peut être admise que dans certaines circonstances particulières où l'exigence d'identification des personnes résulte d'un fort impératif de sécurité, conformément aux dispositions de l'article 6-3° de la loi du 6 janvier 1978 modifiée. En effet, cet article dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
En l'espèce, l'objectif poursuivi par la société CCI Conseils tendant au contrôle de l'accès aux locaux, s'il est légitime, n'est associé à aucune circonstance particulière justifiant la conservation dans une base de données des empreintes digitales des employés. La Commission observe que le dispositif n'a pas pour objet de contrôler l'accès à une zone bien déterminée des locaux, représentant un enjeu dépassant l'intérêt strict de l'organisme concerné. 
La Commission relève également que cet objectif pourrait être atteint, par exemple, par le recours à des dispositifs reposant sur l'enregistrement de l'empreinte digitale sur des supports individuels tels que la carte à puce qui présente moins de risques au regard de la protection des données et libertés individuelles.
La Commission rappelle que la constitution d'une base centralisée d'empreintes digitales comporte davantage de risques pour le droit des personnes. En effet, une donnée biométrique constitue un élément d'identité irrévocable dont la diffusion non maîtrisée, ou accidentelle, peut avoir des conséquences irrémédiables pour les personnes.
Ainsi, la Commission souligne, qu'à la différence de tout autre identifiant (code, mot de passe, etc.) la donnée biométrique ne peut être changée une fois collectée, ce qui impose d'en limiter l'usage afin d'en garantir la sécurité et le contrôle par les personnes. Par ailleurs, le stockage des empreintes digitales sur le terminal de lecture comparaison ou sur un serveur représente un risque supplémentaire en cas d'usurpation d'identité. 
En effet, parce que l'empreinte digitale constitue une  trace  laissée en abondance par les personnes à leur insu, sa captation frauduleuse, désormais aisée en l'état des techniques, exige que son utilisation soit limitée et encadrée et que la constitution d'une base de stockage soit réservée à des hypothèses particulières fondées sur un impératif fort de sécurité.
En conséquence, le traitement pris dans son ensemble n'apparaît ni adapté ni proportionné du point de vue de la protection des données personnelles. 
Dès lors, la Commission n'autorise pas, en l'état, la société CCI Conseils, 31 place Grand Clément, 2 bis rue tête d'or - 69006 LYON, à mettre en œuvre un traitement de données à caractère personnel reposant sur l'utilisation d'un dispositif biométrique de reconnaissance des empreintes digitales et dont la finalité est le contrôle de l'accès aux locaux.
 
 
                                                                                              Le Président
La Commission nationale de l'informatique et des libertés,
 
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
 
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-4° ; 
 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
 
Vu le code monétaire et financier, notamment ses articles L 621-15 et L. 621-17-2 à L. 621-17-7 ; 
 
Vu le règlement général de l'Autorité des Marchés Financiers (AMF), notamment ses articles 315-42 à 315-44, 611-1 à 631-10 et 632-1 ;
 
Vu l'instruction AMF n°2008-05 du 29 juillet 2008 relative à la déclaration d'opérations suspectes prise en application de l'article 315-42 du règlement général de l'AMF ;
 
Vu la demande d'autorisation présentée par la société EXOE relative à un traitement automatisé de données à caractère personnel ayant pour finalité la détection des alertes potentielles d'abus de marché ;
Sur le rapport de Monsieur Jean Paul AMOUDRY, commissaire, et les observations de Madame Elisabeth ROLIN, commissaire du Gouvernement ;
 
Formule les observations suivantes : 
 
La société EXOE a saisi la Commission nationale de l'informatique et des libertés d'une demande d'autorisation d'un traitement automatisé de données à caractère personnel permettant de détecter des opérations susceptibles de constituer des abus de marché.
 
Sur la procédure suivie auprès de la Commission
 
Ce traitement vise à détecter des opérations de transactions sur titres, réalisées par les clients de la société EXOE susceptibles de constituer des opérations d'abus de marché et qui, de ce fait, doivent le cas échéant après la collecte de renseignements complémentaires, ou un travail d'analyse non automatisé, donner lieu à l'envoi d'une déclaration de soupçon à l'Autorité des Marchés Financiers (AMF).
L'identification de telles opérations peut conduire la société EXOE à souhaiter pour des raisons de prudence, rompre toute relation contractuelle avec certains des clients qui en font l'objet. Ce traitement peut ainsi, du fait de sa portée, conduire à l'exclusion de personnes du bénéfice d'un contrat en l'absence de toute disposition légale le prévoyant.
 
Dès lors, il relève des dispositions du 4° du I de l'article 25 de la loi du 6 janvier 1978 modifiée et doit à ce titre être autorisé par la CNIL.
 
Sur les finalités et les caractéristiques du traitement
Les critères d'alerte retenus dans le cadre de ce traitement ont pour objet de détecter de manière automatisée diverses situations en fonction des facteurs de détection énumérés aux articles 631-2 et 631-3 du Règlement général de l'AMF.
 
Le dispositif de détection d'opérations susceptibles d'être suspectées d'abus de marché repose sur une analyse mensuelle des opérations, a posteriori, à partir du carnet d'ordre et des portefeuilles.
 
La Commission souligne que ce traitement ne permet pas la constitution d'une  liste noire  de personnes qui ont déjà été concernées par une ou plusieurs alertes.
 
Sur les données traitées et la durée de conservation
Les listes d'opérations à analyser comportent les catégories de données suivantes :
•-         les nom et prénom ou la raison sociale du détenteur du compte,
•-         le numéro SIREN,
•-         l'adresse,
•-         la date de détection,
•-         la date et la nature de la détection,
•-         les caractéristiques de la valeur (code ISIN, libellé, marché, place et mode de cotation),
•-         les caractéristiques de l'ordre détecté (achat ou vente, type d'ordre, prix, quantité, origine, date, etc.)
•-         les caractéristiques de l'ordre exécuté (achat ou vente, type d'ordre, prix, quantité, origine, date, etc.)
Le traitement est réalisé une fois par mois sur les données du mois précédent. Les listes ainsi constituées sont conservées pendant une durée maximum de 30 jours, avant d'être archivées pendant une période de trois ans.
 
Ces dispositions sont adéquates, pertinentes et non excessives au regard des finalités déclarées et n'appellent pas d'observations particulières.
 
Sur les destinataires du traitement 
Les destinataires de tout ou partie des données sont :
•-         le responsable de la conformité des services d'investissement de la société EXOE et les agents habilités placés sous leur responsabilité,
•-         En cas d'envoi d'une déclaration de soupçon à l'AMF, les agents habilités de cette autorité ainsi que ceux de la direction générale de l'établissement concerné.
Ces règles n'appellent pas d'observations particulières.
 
Sur les modalités d'information et d'exercice des droits des personnes physiques 
Les personnes sont informées de la mise en œuvre de ce traitement conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée par une clause de la convention d'instruments financiers.
 
Le droit d'accès s'exerce auprès du responsable de la conformité de la société EXOE conformément aux dispositions de l'article 39 de la loi susvisée.
 
Dans ces conditions, la Commission autorise, la société EXOE à mettre en œuvre un traitement automatisé de données à caractère personnel de détection des opérations susceptibles de constituer des abus de marché.
Le Président
                                                                                          Alex TÜRK
La Commission nationale de l'informatique et des libertés,Saisie pour avis par le ministre de l'intérieur, de l'outre-mer et des collectivités territoriales, le 27 janvier 2009, de sept articles d'un projet de loi d'orientation et de programmation pour la performance de la sécurité intérieure et, le 12 mars 2009, d'un article du même projet de loi ;
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé de données à caractère personnel ;Vu la Convention du 19 juin 1990 d'application de l'accord signé à Schengen le 14 juin 1985 entre les gouvernements des Etats de l'Union économique Benelux, de la République fédérale d'Allemagne et de la République française relatif à la suppression graduelle des contrôles aux frontières communes dont la ratification a été autorisée par la loi n°91-737 du 30 juillet 1991 ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;Vu la décision-cadre 2006/960/JAI du Conseil du 18 décembre 2006 relative à la simplification de l'échange d'informations et de renseignements entre les services répressifs des Etats membres de l'Union européenne ; Vu le code civil ;Vu le code pénal ;Vu le code de procédure pénale ;Vu le code général des collectivités territoriales ;Vu le code de la défense ;Vu la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 11 et 26 ;Vu la loi n°95-73 du 21 janvier 1995 d'orientation et de programmation relative à la sécurité ;Vu la loi
n°2003-239 du 18 mars 2003 pour la sécurité intérieure, et notamment ses articles 21 et 21-1 ;Vu la loi n°2006-64 du 23 janvier 2006 du 23 janvier 2006 relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles frontaliers, modifiée par la loi n° 2008-1245 du 1er décembre 2008, et notamment ses articles 9 et 33 ; Après avoir entendu M. Jean-Marie COTTERET, Mme Claire DAVAL et M. Didier GASSE, commissaires, en leurs rapports, et Mmes Pascale COMPAGNIE, commissaire du Gouvernement et Catherine POZZO DI BORGO, commissaire adjoint, en leurs observations ;
Emet l'avis suivant :La Commission a été saisie pour avis par le ministre de l'intérieur, de l'outre-mer et des collectivités territoriales, le 27 janvier 2009, de sept articles d'un projet de loi d'orientation et de programmation pour la performance de la sécurité intérieure et, le 12 mars 2009, d'un autre article du même projet de loi. Un des articles, consacré aux échanges d'informations entre services répressifs au sein de l'Union européenne, a cependant été retiré par le Gouvernement, le 8 avril 2009.
A titre liminaire, la Commission regrette de n'avoir pas été saisie de l'ensemble des dispositions du projet de loi précité, conformément aux dispositions du a) du 4° l'article 11 de la loi du 6 janvier 1978, modifiée par la loi du 6 août 2004.
Sur l'article 1er (articles 706-02-1 à 706-102-10 nouveaux du code de procédure pénale)
L'article premier du projet de loi vise à modifier le Titre XXV du Livre IV du Code de procédure pénale, relatif à la criminalité organisée, en y insérant une nouvelle section VI bis intitulée De la captation des données informatiques en matière de criminalité organisée . La Commission prend acte de ce que le titre de l'article 1er du projet de loi sera identique.
Le projet de section VI bis vise ainsi à ajouter dans le code de procédure pénale dix nouveaux articles (706-102-1 à 706-102-10) ayant pour objet d'autoriser le juge d'instruction, sur la base d'une ordonnance écrite spécialement motivée, à mettre en œuvre un dispositif de captation de données informatiques dans le cadre d'une information judiciaire portant sur des faits relevant de la criminalité organisée.
Aux termes du projet d'article 706-102-1, les opérations de captation s'opéreront grâce à un dispositif technique ayant pour objet, sans le consentement des intéressés, d'accéder à des données informatiques, de les observer, les collecter, les enregistrer, les conserver et les transmettre, telles qu'elles s'affichent pour l'utilisateur d'un système de traitement automatisé de données ou telles qu'il les y introduit par saisie de caractères .
En d'autres termes, le dispositif vise à capter en continu des données informatiques utilisées ou saisies sur un ordinateur, que ces données soient ou non destinées à être émises, et qu'elles empruntent ou non un réseau de communications électroniques.
Le projet de loi ne concerne donc ni la captation d'un fichier informatique sur un disque dur, ni la captation de courriers électroniques qui n'auraient pas été ouverts, ni celle de l'intégralité d'un fichier alors que celui-ci n'a été que partiellement visualisé par l'intéressé.
Le texte prévoit la possibilité de mettre en place un dispositif logiciel ou matériel de captation de données informatiques aussi bien dans un lieu public que dans un lieu privé.
A titre liminaire, la Commission s'interroge sur l'impact éventuel que pourrait avoir la réforme actuellement annoncée des textes relatifs au juge d'instruction sur les dispositions créées par l'article 1er du projet de loi dont elle est saisie.
Comme le projet institue une importante exception aux principes de la loi du 6 janvier 1978 concernant la collecte des données, et que cette exception est fondée sur les nécessités de l'information relative aux infractions relevant de la criminalité organisée, il revient à la Commission d'apprécier si les dispositions proposées sont proportionnées au but poursuivi. A cet égard, le projet de loi a prévu une série de limitations et de garanties, dont il convient d'examiner la pertinence et l'effectivité.
Enfin, la Commission relève que la Cour constitutionnelle fédérale allemande a estimé, dans une décision du 27 février 2008, que l'introduction clandestine dans des systèmes informatiques de logiciels espions ne peut être autorisée que s'il existe réellement des éléments présentant une menace concrète sur l'intégrité corporelle, la vie, la liberté des personnes, ou une atteinte aux intérêts fondamentaux de la nation.
Sur la collecte des données :La collecte de données par captation en continu des données utilisées ou saisies sur un ordinateur ne devrait concerner que les données utiles à la manifestation de la vérité ou les personnes susceptibles d'être impliquées dans des faits relevant de la criminalité organisée. A cet égard, les dispositions de l'article premier du projet de loi soulève trois types d'interrogations.
Sur la collecte de données non utiles à la manifestation de la vérité :Le projet de loi prévoit qu'à l'issue des opérations de captation, les enregistrements informatiques utiles à la manifestation de la vérité seraient placés sous scellés fermés (art. 706-102-8 du code de procédure pénale). Par ailleurs, le procès-verbal versé au dossier décrirait ou transcrirait les seules données utiles à la manifestation de la vérité (art. 706-102-9). Enfin, il serait procédé à la destruction des enregistrements des données informatiques à l'expiration du délai de prescription de l'action publique (art. 706-102-9).
Le ministère de l'intérieur a cependant indiqué, dans un courrier du 27 mars 2009, que l'ensemble des enregistrements opérés seraient placés sous scellés et non pas seuls ceux utiles à la manifestation de la vérité . Dès lors, la rédaction proposée au dernier alinéa de l'article 706-102-8 dont a été saisi la Commission était erronée. Cet alinéa sera donc ainsi libellé : Les enregistrements des données informatiques sont placés sous scellés fermés , dans une rédaction similaire à celle figurant à l'article 706-100 du même code en matière de sonorisations.
Cette modification de la rédaction résulte de l'impossibilité de réaliser un tri préalable au niveau de la collecte entre ce qui est utile et non utile à la manifestation de la vérité. A cet égard, dans sa décision du 2 mars 2004 relative à la loi portant adaptation de la justice aux évolutions de la criminalité. Le Conseil constitutionnel a indiqué, s'agissant des nouvelles dispositions du code de procédure pénale autorisant les sonorisations et fixations d'images de certains lieux et véhicules que l'article 706-101 limite aux seuls enregistrements utiles à la manifestation de la vérité le contenu du procès-verbal et que dès lors, le législateur a nécessairement entendu que les séquences de la vie privée étrangères aux infractions en cause ne puissent en aucun cas être conservées dans le dossier de la procédure . La Commission appelle donc au strict respect de ces principes dans l'hypothèse comparable de la captation des données informatiques.
Sur la collecte de données en des lieux ou sur des systèmes utilisés par des personnes bénéficiant d'une protection particulière :Le dernier alinéa de l'article 706-102-6 serait ainsi rédigé : La mise en place de la captation de données informatiques mentionnée au premier alinéa ne peut concerner les systèmes automatisés de traitement de données se trouvant habituellement dans les lieux visés aux articles 56-1, 56-2 et 56-3 ou habituellement utilisés par les personnes visées à l'article 100-7 .
Les lieux visés concernent les cabinets d'avocat, de médecin, de notaire, d'avoué ou d'huissier, ainsi que les locaux d'une entreprise de presse. Les personnes visées sont les parlementaires, les avocats et les magistrats.
Cette rédaction est légèrement différente de celle retenue à l'article 706-96 alinéa 3 (relatif à la sonorisation de lieux ou de véhicules) selon lequel La mise en place du dispositif technique ne peut concerner les lieux visés aux articles 56-1, 56-2 et 56-3 ni être mise en oeuvre dans le véhicule, le bureau ou le domicile des personnes visées à l'article 100-7 .
Le ministère a confirmé que cette rédaction vise à ne pas entacher de nullité les opérations de captation de données réalisées sur un ordinateur, qui se trouverait de façon non habituelle dans un des lieux précités ou qui serait utilisé de façon non habituelle par un parlementaire, un avocat ou un magistrat.
La Commission considère toutefois que l'ajout de l'adverbe habituellement crée un aléa et un risque d'insécurité juridique disproportionnés au regard des finalités poursuivies.
Cet aléa et ces difficultés d'interprétation conduisent donc la Commission à considérer que la rédaction actuelle du projet de loi n'est pas, en l'état, conforme aux principes de collecte adéquate, pertinente et non excessive posés par l'article 6 de la loi informatique et libertés du 6 janvier 1978 modifiée en 2004.