AgentPublic/cnil huggingface dataset:
Dans le cas de contraventions n’ayant pas donné lieu à une transaction au sens des articles L. 529-3 et 529-4 du code de procédure pénale, les données ci-dessus seront conservées en base active pour une durée maximale de douze mois consécutifs en vue de déterminer si le délit d’habitude est caractérisé et de constater l’infraction prévue à l’article L. 2242-6 du code des transports.
A l’issue de cette période, les données seront conservées en archivage intermédiaire sur une base externe indépendante, accessible limitativement aux agents habilités et pour des requêtes spécifiques, dans la limite du délai de prescription de 5 ans prévu à l’article 2224 du code civil.
Les données relatives aux agents SNCF seraient conservées pendant toute la durée d’affectation de l’agent au sein de l’organisme.
Dans tous les cas, la Commission rappelle que lorsqu’un assistant électronique individuel est utilisé pour l’enregistrement des infractions et pour l’émission des bulletins de régularisation ou des procès-verbaux, les données à caractère personnel collectées et stockées sur l’assistant électronique individuel ne peuvent être conservées que pour une durée maximale de cinq jours sur ledit assistant.
La Commission estime que ces durées de conservation sont proportionnées au regard de la finalité poursuivie.
Sur les destinataires des données :
Sont destinataires des données précitées :
les agents des établissements du groupe (SNCF, SNCF Mobilités, SNCF Réseau) assermentés au sens de l’article L. 2241-1 du code des transports ;
les agents des établissements du groupe (SNCF, SNCF Mobilités, SNCF Réseau) agréés par le procureur de la République selon les modalités prévues aux articles R. 49-8-1 et R. 49-8-4 du code de procédure pénale ;
les agents habilités du service chargé du recouvrement de SNCF Mobilités ; 
les agents habilités du service comptabilité pour l’édition comptable ;
les agents habilités du service juridique de SNCF Mobilités, en charge du contentieux et de la lutte contre les infractions à la police du transport ferroviaire ;
les agents habilités de la direction de la sûreté de la SNCF ;
les agents habilités du service « médiation » de la SNCF ;
les prestataires d’éditique (édition et envoi de courriers de relance) ou études d’huissiers de justice chargées de recouvrement ;
les agents individuellement désignés et spécialement habilités par le ministère public ;
les agents individuellement désignés et spécialement habilités par le Trésor public en cas d’amende forfaitaire majorée pour recouvrir les sommes dues en vertu du titre rendu exécutoire.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l'information des personnes :
Les personnes concernées sont informées :
préalablement à toute verbalisation : par une mention dans les « tarifs voyageurs » de SNCF Mobilités et sur le site www.sncf.com ;
au moment de la verbalisation : par une mention figurant sur l’avis d’infraction ;
au stade du recouvrement des transactions ou des créances civiles nées de l’infraction : par une mention inscrite sur les courriers ou courriels de relance, ou par un message vocal diffusé lors des appels téléphoniques de relance ou de contestation.
S’agissant de l’interconnexion entre le SI recouvrement NEO avec des bases de données de tiers, les personnes concernées sont informées de son existence sur les lettres de relance qui leur seront adressées si elles ne payent pas l’amende.
Les droits d’accès et de rectification s’exercent auprès de la Direction Juridique de SNCF Mobilités, département « Responsabilités » (JRS), 9 rue Jean-Philippe Rameau, 93212 Saint-Denis.
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur la sécurité des données et la traçabilité des actions :
La Commission prend acte que des mesures de protection physique et logique sont prises pour préserver la sécurité des informations enregistrées dans le traitement projeté afin d’empêcher toute utilisation détournée ou frauduleuse de celles-ci.
Les accès au traitement de données mis en œuvre reposent sur une authentification, au moyen d’un identifiant et d’un mot de passe individuels, suffisamment robustes et régulièrement renouvelés, conformément aux recommandations de la Commission en la matière.
Des profils d’habilitation définissent les données et les fonctionnalités accessibles en fonction des utilisateurs et du besoin d’en connaître.
La Commission prend acte de la mise en œuvre de solutions de chiffrement des données stockées ou en transit par des protocoles de chiffrement à l’état de l’art permettant d’assurer la confidentialité des données traitées, en complément des éléments d’authentification et de cloisonnement des environnements, qui s’appuie sur des solutions logicielles et de sécurité, notamment antivirale, régulièrement mises à jour.
La Commission note le fait qu’une journalisation des connexions est mise en œuvre.
Ces mesures de sécurité apparaissent satisfaisantes au regard des dispositions de l’article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise la Société Nationale des Chemins de Fer (SNCF) Mobilités à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion des infractions à la police des chemins de fer.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1959647)
La Commission nationale de l'informatique et des libertés,
Saisie par la Banque populaire Côte d’Azur d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la détection des clients en situation de fragilité financière afin de leur proposer des mesures d'accompagnement adaptées ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-7° ;
Vu le code monétaire et financier et notamment son article L.312-1-1 A, créé par la loi n°2013-672 du 26 juillet 2013 de séparation et de régulation des activités bancaires ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 5 novembre 2014 portant homologation de la charte d'inclusion bancaire et de prévention du surendettement ;
Après avoir entendu M. Jean-Luc VIVET, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
Responsable du traitement
Banque populaire Côte d’Azur.
Sur la finalité
La Banque populaire Côte d’Azur souhaite mettre en place un mécanisme de détection précoce de ses clients en situation de fragilité financière en combinant les dispositifs d’alertes internes et de connaissance client. 
Le dispositif envisagé permet d’identifier les difficultés financières des clients au regard de l’utilisation des produits et des services qu’ils ont souscrits et sur la base des critères suivants :
Il s’agit d’une part de critères relatifs au profil : 
les clients majeurs  à l’exception de ceux qui font l’objet d’une gestion patrimoniale ;
qui ne sont pas en situation de surendettement connue et déclarée ;
qui sont titulaires ou co-titulaires d’un compte chèque et d’un prêt personnel.
la détention d’un découvert autorisé ;
le statut résidentiel (propriétaire, logé à titre gratuit, locataire, non connu) ;
l’existence de frais de rejet et de commissions d’intervention sur le trimestre ;
l’utilisation d’un  crédit renouvelable ;
la surface financière (total des avoirs du client en moyenne sur 3 mois) ;
le rapport entre le montant de l’échéance mensuelle et le capital total emprunté du prêt personnel ;
l’existence  d’impayés sur crédit sur 2 mois consécutifs ou plus au cours des 6 derniers mois.
En outre, si sa situation l’exige, le client peut être orienté avec son consentement vers les organismes gestionnaires de prestations sociales : les collectivités locales, les institutions ayant une mission de service public ou des associations caritatives jouant le rôle de médiation sociale. 
Il s’agit ainsi de favoriser l’accès d’une part, aux droits et prestations auxquels les personnes peuvent prétendre, et d’autre part, aux  acteurs du milieu associatif spécialisés dans l’accompagnement des personnes en difficultés afin de proposer aux clients des solutions ou des offres adaptées.
Ces différents acteurs prennent en charge le client selon leur processus interne de traitement de situation de « mal endettement » ou de surendettement. Tous les échanges ultérieurs entre le client et les partenaires relèvent de leur seule responsabilité et ne sont pas communiqués à la Banque populaire Côte d’Azur. Ainsi, le service proposé par la banque ne se substitue en aucun cas à l’accompagnement des acteurs sociaux mais intervient en amont et en complément d’un accompagnement social. 
La Commission observe que les clients détectés, mais qui ne se manifesteraient pas suite à la réception de la proposition de prise de contact, ne font l’objet d’aucune autre action,  ni limitation dans l’usage des produits et services précédemment souscrits, ou dans ceux qu’ils envisageraient de souscrire ultérieurement.
La Commission estime que les finalités du traitement sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Le dispositif vise en conséquence uniquement à détecter, prévenir et accompagner les clients potentiellement en difficultés.
Par conséquent, le traitement envisagé est susceptible de comporter des appréciations sur les difficultés sociales des personnes concernées. Dès lors, il relève des dispositions du 7° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et sa mise en œuvre doit, à ce titre, être autorisée par la CNIL.
Sur les données traitées
Les catégories de données à caractère personnel collectées sont relatives à :
l’identification du client ;
ses coordonnées ;
son logement (locataire, propriétaire) ;
sa situation familiale ;
sa situation professionnelle ;
ses revenus et situation financière (découvert autorisé, frais de rejet, utilisation crédit renouvelable, surface financière, impayés) ;
ses charges et revenus actuels et le cas échéant aux prévisions d’évolution future.
La Commission considère que ces données sont adéquates, pertinentes et non excessives au sens de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Les données sont conservées pendant une durée maximale de 5 ans et sont ensuite supprimées. Cette durée correspond notamment à celle prévue en matière d’incidents de remboursement des crédits aux particuliers (article L 333-4 et suivants du code de la consommation).
Dès lors, la Commission considère qu’elle est conforme aux dispositions de l’article 6-4° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des informations sont, dans la limite de leurs attributions, les conseillers clientèle de la Banque populaire Côte d’Azur, la structure dédiée dénommée, Qualité Relation Client (QRC), ainsi que Natixis Financement et CASDEN (Groupe BPOC), pour les clients communs.Les acteurs du milieu associatif seront également destinataires des données relatives à l’identification des clients, à la vie personnelle et professionnelle dès lors que le client aura donné son consentement.La Commission relève que les informations d’ordre économique et financier ne seront en aucun cas transmises à un tiers externe à la banque.La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la banque sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition dans les conditions contractuelles de la convention de compte.La mention d’information qui y figure rappelle notamment que les droits d’accès et de rectification s’exercent auprès du service marketing de la Banque populaire Côte d’Azur à l’adresse suivante : 457, Promenade des Anglais - BP241 NICE CEDEX 3  ou par courrier électronique à l’adresse suivante : balbpcazmarketing@bpca.fr.Les clients orientés vers les acteurs du milieu associatif devront préalablement donner leur consentement exprès pour la transmission de leurs coordonnées, afin d’être mis en contact. La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
La Commission relève que les informations pouvant être recueillies lors de l’entretien ne pourront porter que sur des éléments objectifs liés aux difficultés financières du client (revenus, charges actuelles ou futures…).La Commission rappelle que les informations concernant les clients et relatives à la vie personnelle et professionnelle, communiquées par la Banque populaire Côte d’Azur aux autres organismes nécessite au préalable la levée du secret bancaire, avec le recueil du consentement de la personne. 
Autorise, conformément à la présente délibération, la Banque populaire Côte d’Azur à mettre en œuvre le traitement susmentionné.
Pour La Présidente,
Le Vice-Président délégué,
Marie-France MAZARS
(Demande d’autorisation n°1871061)
La Commission nationale de l'informatique et des libertés,
Saisie par la Caisse d’Epargne et de prévoyance de Rhône Alpes d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi et la gestion du pré-contentieux et des contentieux civils, commerciaux et pénaux ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9-3°et 25-I-3°; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Caisse d’épargne et de prévoyance de Rhône-Alpes, ci-dessous dénommée, CERA.
Sur la finalité
Le traitement mis en œuvre vise la gestion du pré-contentieux et des contentieux civils, commerciaux et pénaux dans le cadre des relations de la Caisse d’Epargne avec ses clients d’une part et ses salariés d’autre part. Lorsque les clients ou salariés se retrouvent en situation de contentieux et n’ont pas remboursé les sommes dues aux échéances prévues, une procédure de recouvrement est engagée. Par ailleurs, certains contentieux de l’agence portent sur des infractions pénales.La Commission estime que les finalités poursuivies sont déterminées, explicites et légitimes. Elle considère qu’il y a lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté
Sur les données traitées
Les catégories de données traitées sont relatives : 
à l’identité des personnes concernées : nom, prénom, adresse, date et lieu de naissance,
à la situation maritale (célibataire, marié, divorcé, veuf),
à la situation professionnelle,
à la situation financière : montant exigible de la créance, montant à l’origine, montant actualisé, montant de la provision, numéro de compte, solde du compte et montant de la garantie.
aux infractions et condamnations (type, montant et échelonnement),
à l’état et au suivi de la procédure.
Dans sa décision du 29 juillet 2004, le Conseil Constitutionnel a déclaré non conforme à la Constitution l’article 9-3° qui permettait à une personne morale de droit privé, mandatée par d’autres personnes morales estimant avoir été victimes ou être susceptibles d’être victimes d’agissements passibles de sanctions pénales, de rassembler des données portant sur des infractions, condamnations ou mesures de sûreté, au motif de son caractère trop général et du manque de précision sur les garanties devant encadrer ce type de traitement. Pour autant, le Conseil Constitutionnel a précisé que cette annulation ne saurait être interprétée comme « privant d’effectivité le droit d’exercer un recours juridictionnel dont dispose toute personne physique ou morale s’agissant des infractions dont elle a été victime ». 
Cette réserve d’interprétation était indispensable pour ne pas priver de base légale les traitements légitimement mis en œuvre pour assurer le suivi des dossiers contentieux relatifs à des infractions. Elle permet à toute personne de constituer, pour les besoins de l’exercice de son droit au recours, des fichiers de pré contentieux.
La Commission considère, compte tenu de la finalité poursuivie, que ces données sont pertinentes, adéquates et non excessives, conformément à l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les personnes destinataires du traitement sont :
les personnes du service de la Direction juridique,
les auxiliaires de justice (avocats),
les assureurs,
les sous-traitants (sociétés de recouvrement et prestataires informatiques).
La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès 
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la Caisse d’épargne sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention d’information qui figure dans la convention de compte; tandis que les salariés sont informés de leurs droits soit en qualité de clients de la banque via le site internet soit dans le règlement intérieur.Les droits d’accès et de rectification s’exercent auprès du service relation client de la Caisse d’épargne et de prévoyance Rhône Alpes à l’adresse suivante : 42, boulevard Eugène Deruelle 69003 LYON ou par courrier électronique à l’adresse cera-l-dept-relations-clientele@cera.caisse-epargne.fr.La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Les actions effectuées par la Direction du contentieux et du recouvrement sont tracées afin de permettre de détecter et d’analyser tous les accès, modifications et suppressions de données non autorisés.Seules ces personnes, ainsi que les services de contrôle et la Direction comptable, peuvent accéder au logiciel de suivi et de gestion du pré contentieux et du contentieux. Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application avec des profils d’habilitation et un contrôle d’accès logique qui se fait par mot de passe.Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant la durée de la prescription légale.La Commission considère que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.Ces autres caractéristiques du traitement n’appellent pas d’observation particulière de la Commission.
Autorise, conformément à la présente délibération, la Caisse d’Epargne et de prévoyance Rhône-Alpes à mettre en œuvre le traitement susmentionné.
Pour La Présidente,
Le Vice-Président-Délégué,
Marie-France MAZARS
(Demande d’autorisation n° 1895186)
La Commission nationale de l'informatique et des libertés,
Saisie par MEDECIN DIRECT d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la réalisation d’actes de téléconsultation ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de santé publique, notamment ses articles L. 1110-4, L. 6316-1, L. 1111-8, R. 6316-1 à R. 6316- 11 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2010-1229 du 19 octobre 2010 relatif à la télémédecine ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
La Commission a été saisie le 8 octobre 2015 par la société MEDECIN DIRECT d’une demande d’autorisation relative à un traitement de données à caractère personnel portant sur la mise en œuvre d’une activité de télémédecine.
Cette activité et son organisation font l’objet d’un contrat particulier conclu entre le directeur général de l'agence régionale de santé d’Ile-de-France et la société MEDECIN DIRECT, conformément à l’article R. 6316-6 du code de la santé publique (ci-après « du CSP »).
En vue de développer son activité, MEDECIN DIRECT souhaite offrir des services de téléconsultation aux salariés d’entreprises, aux adhérents de complémentaires santé ou de mutuelles (ci-après les « bénéficiaires »). MEDECIN DIRECT et ces structures clientes (ci-après les « tiers payeurs ») financent en totalité les services de téléconseil et de téléconsultation en inclusion dans les contrats complémentaires santé.
Responsable du traitement
MEDECIN DIRECT est une société par actions simplifiée, opérationnelle depuis l’année 2010. 
Sur la finalité
L’outil de télémédecine projeté a pour finalité d’organiser la réalisation d’actes de téléconsultation dans un objectif d’amélioration de l’accessibilité des soins.A cette fin, il est prévu la création d’un dossier médical partagé temporaire des bénéficiaires, intitulé « télédossier ». La Commission estime que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes.Elle considère qu’il y a lieu de faire application des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation de la Commission les traitements de données de santé qui sont justifiés, comme en l’espèce, par un intérêt de santé publique.
Sur les données traitées
Les données faisant l’objet d’un traitement sont :
S’agissant des bénéficiaires :
données d’identification : nom, prénom, sexe, numéro de téléphone, courriel et adresse postale, date et lieu de naissance, numéro d’adhérent proposé par le tiers payeur afin de vérifier auprès de ce dernier si l’assuré ou l’adhérent bénéficie effectivement du service MEDECIN DIRECT ;
habitudes de vie ;
données de connexion : log de connexion, adresse IP,
données de santé : pathologie, affection, antécédents familiaux, données relatives aux soins, situations ou comportements à risque.
nom, prénom, n° RPPS, n° ADELI, numéro de portable ou courriel pour recevoir un code de 6 chiffres leur permettant d’accéder à leur espace de travail, adresse professionnelle, spécialité ;