AgentPublic/cnil huggingface dataset:
Formule les observations suivantes :   La société SOFINCO a saisi la CNIL d'une demande d'autorisation relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité la prévention du surendettement par les filiales de crédit à la consommation du groupe Crédit Agricole.   La Commission rappelle que relèvent de la procédure de demande d'autorisation prévues par les dispositions de l'article 25-4° de la loi du 6 janvier 1978 modifiée par la loi du 6 août 2004 les traitements de données à caractère personnel ayant pour objet la sélection du risque d'octroi de crédit susceptibles d'exclure une personne du bénéfice d'un contrat de crédit sans qu'aucun texte ne prévoie une telle exclusion.   La Commission rappelle qu'aux termes de l'article 10 alinéa 2 de ladite loi "aucune décision produisant des effets juridiques à l'égard d'une personne ne peut être prise sur le seul fondement d'un traitement automatisé de données destiné à définir le profil de l'intéressé ou à évaluer certains aspects de sa personnalité" et qu'en application des dispositions de l'article 6-3° les données traitées doivent être "pertinentes, adéquates et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs".   La Commission relève que le traitement repose sur un échange ponctuel d'informations entre les sociétés FINAREF et SOFINCO destiné à évaluer le niveau d'endettement d'un demandeur de crédit au regard des crédits
à la consommation précédemment souscrits auprès de l'une des deux sociétés ou d'une société ayant confié la gestion de ses crédits à la société SOFINCO.   La Commission observe que cet échange limité d'informations interviendra uniquement entre deux sociétés appartenant au même groupe financier, le groupe Crédit agricole, toutes deux spécialisées dans le crédit à la consommation et qu'il existe une communauté de risque financier entre les sociétés bénéficiaires de l'échange de données.   La Commission relève en outre que le consentement des clients est recueilli par le biais d'une clause particulière de la demande de crédit précisant la finalité et les destinataires des échanges d'information. Dans la mesure où les informations échangées sont couvertes par le secret bancaire, il est prévu que la clause comporte l'autorisation explicite du client de partager des informations couvertes par le secret bancaire.
Les catégories de données à caractère personnel enregistrées seront relatives à l'identité de l'emprunteur, le montant de son endettement, sa charge mensuelle, ainsi que l'état des impayés éventuels concernant les crédits à la consommation souscrits.   Les destinataires des informations seront le personnel habilité de la société SOFINCO, les services chargés du contrôle, les établissements de crédit pour lesquels la société SOFINCO assure directement la gestion des crédits à la consommation, et la société FINAREF.   Le droit d'accès défini au chapitre VII de la loi s'exercera auprès de la société SOFINCO, service consommateurs, rue du Bois Sauvage, 91038 Evry cedex.   Autorise, dans ces conditions, la société SOFINCO à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité la prévention du surendettement par les filiales de crédit à la consommation du groupe Crédit Agricole.   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-4° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Vu la demande d'autorisation, présentée par la société DISPONIS, d'un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des financements des crédits aux particuliers ;   Après avoir entendu M. Philippe Nogrix, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :   La société DISPONIS a saisi la CNIL d'une demande d'autorisation relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité la gestion des financements des crédits aux particuliers.   Les traitements de données à caractère personnel ayant pour objet de sélectionner la clientèle à des fins d'octroi de crédit ou de prêt à partir d'outils de notation ou de score relèvent de la procédure de demande d'autorisation prévues par les dispositions de l'article 25-4° de la loi du 6 janvier 1978 modifiée en août 2004 dans la mesure où ils sont susceptibles d'exclure une personne du bénéfice d'un contrat de crédit lorsque aucune disposition législative ou réglementaire ne le prévoit.   L'article 10 de ladite loi dispose dans son deuxième alinéa qu'"aucune décision produisant des effets juridiques à l'égard d'une personne ne peut être prise sur le seul fondement d'un traitement automatisé de données destiné à définir le profil de l'intéressé ou à évaluer certains aspects de sa personnalité" et dans son troisième alinéa que "ne sont pas regardées comme prises sur le seul fondement d'un traitement automatisé les décisions prises dans le cadre de la conclusion ou de l'exécution d'un contrat et pour lesquelles la personne concernée a été mise à même de présenter ses observations, ni celles satisfaisant les demandes de la personne concernée" et qu'en application des dispositions de l'article 6-3° les données
traitées doivent être "pertinentes, adéquates et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs".   La Commission considère, en application de ces dispositions, que la pertinence et la pondération des variables du score doivent résulter d'une analyse statistique établie selon une méthodologie reconnue, comprenant notamment la qualification du lien de causalité ou de corrélation entre le critère pondéré et le risque mesuré.   Elle estime également que les données traitées doivent avoir été directement obtenues de la personne concernée ou produites à partir d'informations communiquées par cette dernière ou de l'exécution d'un contrat ou d'une prestation de service conclus directement avec la personne concernée et qu'elles doivent être définies et combinées avec d'autres données du calcul automatisé du risque de manière objective et proportionnée à partir d'éléments se rapportant directement à l'emprunteur ou en rapport avec le financement et présentant un lien de corrélation notoire, direct et étroit avec le risque de défaut de l'emprunteur.
Les catégories de données à caractère personnel enregistrées seront relatives à l'identité de l'emprunteur, l'âge de l'emprunteur, la situation familiale, l'existence d'un numéro de téléphone, la situation professionnelle de l'emprunteur et de son conjoint, l'ancienneté bancaire, le statut résidentiel, la situation financière, les informatives relatives au compte bancaire et aux moyens de paiement.   La Commission considère que la prise en compte des variables du score est adéquate et proportionnée.   La Commission relève que le résultat du score n'entraîne pas d'exclusion automatique, mais s'accompagne d'une étude du dossier.   Les destinataires des informations seront le personnel habilité de la société DISPONIS (l'équipe commerciale interne), les sociétés du Groupe Société Générale, les prestataires ou tout tiers participant à l'exécution du contrat.   Le droit d'accès défini au chapitre VII de la loi s'exercera auprès de la société DISPONIS, 69 avenue de Flandre, 59700 MARCO EN BAROEUL.   Autorise, dans ces conditions, la société DISPONIS à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité la gestion des financements des crédits aux particuliers.   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-I-6° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Vu la demande d'autorisation présentée par MFP SERVICES le 2005 portant sur l'utilisation du numéro de sécurité sociale à des fins de gestion de la relation client ;   Après avoir entendu M. Bernard Peyrat, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations :
Formule les observations suivantes :   La MFP SERVICES a saisi la CNIL d'une déclaration relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité la gestion de la relation client.   La Commission observe qu'aux termes de la déclaration, le traitement permettra notamment aux différents services (sinistres, finances...) de se partager les mêmes informations et de disposer des même bases documentaires ; le traitement permet également la centralisation des activités des centres d'appels téléphoniques.   Elle relève que parmi les informations traitées figure le numéro de sécurité sociale.   La Commission constate que ce traitement relève de la procédure de demande d'autorisation prévue par les dispositions de l'article 25-1-6° dans la mesure où il porte sur des données parmi lesquelles figure le numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) et où il apparaît que ce numéro est utilisé à des fins de gestion de la relation client.   La Commission rappelle que le numéro d'inscription au répertoire national d'identification des personnes physiques ou NIR, communément appelé "numéro de sécurité sociale", constitue un identifiant particulièrement signifiant, dont l'utilisation présente des risques pour la vie privée et les libertés individuelles et est de ce fait encadrée par la loi.   La Commission souligne à cet égard que l'origine même de la loi Informatique et libertés résulte du rejet du projet
SAFARI d'interconnexion de fichiers publics à partir du numéro de sécurité sociale.   L'utilisation généralisée d'un identifiant unique dans l'ensemble des fichiers, en ce qu'elle faciliterait leur interconnexion, permettrait de tracer les individus dans tous les actes de la vie courante.   Par ailleurs, le caractère unique et signifiant du NIR pour chaque individu le place dans une position particulière de vulnérabilité au regard des usurpations d'identité.   Ces considérations ont conduit la Commission à limiter l'usage du NIR en tant qu'identifiant propre à la sphère de la santé et à la sphère sociale et à recommander le recours à des identifiants sectoriels spécifiques à chaque secteur d'activité.  Les dérogations prévues par le législateur n'ont porté que sur des cas limités, justifiés par l'intérêt général et en tenant compte de l'intérêt des personnes concernées.   Par ailleurs, il résulte des dispositions de l'article 7-5° de ladite loi que la réalisation de l'intérêt légitime du responsable de traitement doit être prise en compte sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux de la personne concernée.   La Commission relève que la Mutualité fonction publique services (MFP SERVICES) est un organisme gestionnaire du régime d'assurance maladie obligatoire et de la complémentaire santé de mutuelles de la Fonction publique regroupées au sein de la Mutualité Fonction Publique.
A l'appui de sa demande MFP SERVICES invoque l'intérêt d'identifier le client, l'adhérent ou l'assuré par le NIR afin d'éviter les risques d'homonymie et d'erreur, repérer les doublons et permettre la gestion centralisée de la relation client.   MFP SERVICES expose de surcroît qu'il dispose déjà du NIR dans le cadre de la gestion des régimes d'assurance maladie obligatoires et complémentaires, et que l'utilisation du NIR à des fins de gestion de la relation client permettrait de simplifier et rationaliser la gestion commerciale de ses fichiers.   MFP SERVICES précise que l'utilisation du NIR concerne la gestion de la relation commerciale se rapportant à la gestion des prestations prévues par les contrats des adhérents du régime complémentaire.   L'identification de l'adhérent par le NIR permettrait de déterminer quelle personne a téléphoné ou s'est déplacée dans une section départementale ainsi que le motif de l'appel ou du déplacement.   La Commission relève que les mutuelles ne sont autorisés à traiter le NIR que dans le cadre réglementaire défini par les articles R. 115-1 et R. 115-2 du code de la sécurité sociale.   La Commission considère que ces dispositions ne permettent pas un usage du NIR dans des traitements mis en oeuvre par les mutuelles, entreprises régies par le code des assurances et les institution de retraite complémentaire et de prévoyance à des fins autres que l'exercice des activités d'assurance maladie, maternité et invalidité complémentaire ou dans
leurs activités d'assurance vieillesse ; qu'en particulier, elles n'autorisent pas les organismes visés à utiliser le NIR en qualité d'identifiant unique à des fins de prospection commerciale ou de gestion de la relation commerciale.   La Commission observe que les éléments présentés par MFP SERVICES n'apportent aucune garantie sur le fait que le numéro de sécurité sociale n'est pas utilisé à des fins autres que celle prévues par les articles R. 115-1 et R. 115-2 du code de la sécurité sociale.   La Commission estime en conséquence le traitement contraire aux dispositions des articles 6-3° et 7-5° de la loi du 6 janvier 1978.   N'autorise pas, en l'état des informations dont elle dispose, MFP SERVICES à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité l'utilisation du numéro de sécurité sociale à des fins de gestion de la relation client.   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu le code général des collectivités territoriales, et notamment ses articles L. 2131-1, L. 2131-2, L 3131-1, L. 3131-2, L. 4141-1, L. 4141-2, L. 5211-3 et R. 2131-1 à R. 2131-4 ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 23 et 24 ;   Vu l'arrêté du 26 octobre 2005 portant approbation d'un cahier des charges des dispositifs de télétransmission des actes soumis au contrôle de légalité et fixant une procédure d'homologation de ces dispositifs ;   Vu la circulaire du ministre de l'Intérieur et de l'Aménagement du territoire et du ministre délégué aux collectivités locales du 17 janvier 2006 sur la modernisation du contrôle de légalité ;   Après avoir entendu M. Jean-Marie Cotteret, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du gouvernement, en ses observations ;
Formule les observations suivantes :   Le principe du contrôle de légalité des actes des collectivités territoriales obéit, s'agissant de ses modalités d'application à chaque niveau de collectivité, à un cadre juridique précis fixé par la Constitution et par la loi.  Il en est de même de la télétransmission des actes des collectivités territoriales concernées, qui doit également satisfaire aux conditions juridiques et techniques déterminées de manière stricte par l'arrêté susvisé.   Les traitements de données à caractère personnel mis en oeuvre par les collectivités territoriales qui feront le choix de transmettre par voie électronique les actes soumis au contrôle de légalité, d'une part, et ceux mis en oeuvre par le représentant de l'Etat afin de permettre le contrôle des actes des collectivités territoriales, quel que soit leur mode de transmission, ne paraissent pas susceptibles de porter atteinte à la vie privée ou aux libertés dans le cadre de leur utilisation régulière.  En conséquence et eu égard à leurs finalités, leurs destinataires, aux données à caractère personnel traitées, à la durée de conservation de celles-ci et aux catégories de personnes concernées, la Commission estime qu'il y a lieu de faire application des dispositions de l'alinéa premier de l'article 24-II de la loi du 6 janvier 1978 modifiée et de dispenser ces traitements de toute formalité déclarative préalable.
Décide :   Article 1er : Objet de la dispense   Sont dispensés de déclaration les traitements de données à caractère personnel mis en oeuvre par les collectivités territoriales afin d'assurer la dématérialisation du contrôle de légalité des actes qu'elles transmettent au représentant de l'Etat à ce titre et ceux mis en oeuvre par les préfectures et sous-préfectures aux mêmes fins, dès lors que ces traitements satisfont aux conditions posées par la présente délibération.   Article 2 :  Finalités des traitements   Les traitements doivent avoir pour seules fonctions :   . La télétransmission des actes des collectivités territoriales, que ces actes soient soumis obligatoirement au contrôle de légalité ou qu'ils relèvent du pouvoir d'évocation du préfet ;   . La gestion automatisée par les préfectures de l'ensemble des actes transmis soit par voie électronique, soit par courrier papier. Cette gestion recouvre :   - la réception et l'enregistrement des actes par les agents des préfectures ;   - la délivrance d'accusés de réception ;   - le suivi des actes identifiés comme étant illégaux ;   - le calcul et la computation automatique des délais de recours contentieux ;   - l'élaboration de statistiques non nominatives ;   - le recours à des moteurs de recherche afin de gérer les flux générés tant par les actes eux-mêmes que par les documents et courriers qui s'y rapportent, à l'exclusion de toute possibilité de tri ou de recherche sur des données à caractère personnel.   Article
3 :  Catégories de données traitées   Peuvent seules être collectées et traitées pour les finalités décrites à l'article 2 les catégories de données à caractère personnel strictement nécessaires à la rédaction et la transmission des actes visés au code général des collectivités territoriales qui sont soumis au contrôle de légalité ou qui peuvent être évoqués dans ce cadre par le représentant de l'Etat.   Article 4 :  Destinataires des données   Dans les limites de leurs attributions respectives, peuvent seuls être destinataires des informations :   - les agents habilités des préfectures et des sous-préfectures chargés du contrôle de légalité des actes des collectivités territoriales ;   - les agents habilités des collectivités territoriales en charge de la rédaction, de la transmission et du suivi des actes soumis au contrôle de légalité.
Article 5 : Recours à un prestataire   Les préfectures ou les collectivités territoriales peuvent avoir recours à un prestataire externe technique pour assurer la télétransmission des actes vers les préfectures.  Cette prestation doit être strictement conforme au cadre légal et technique défini par le ministère de l'Intérieur. Les opérations que le prestataire est autorisé à réaliser à partir des données à caractère personnel qui lui sont transmises, ainsi que les engagements qu'il prend pour garantir leur sécurité et leur confidentialité sont définies par l'arrêté du 26 octobre 2005 et par le cahier des charges précisant la procédure d'homologation des dispositifs de télétransmission.   En particulier, le prestataire s'engage à garantir la sécurité et la stricte confidentialité des données personnelles figurant dans les actes, les documents et les messages qu'ils transmettent.  II est interdit à ces prestataires d'utiliser ou de diffuser les données contenues dans les actes soumis au contrôle de légalité à d'autres fins que la transmission des actes échangés entre les collectivités territoriales et le représentant de l'Etat.   Le prestataire doit procéder à la destruction ou à la restitution de tous les fichiers stockant les informations dès l'achèvement de son contrat.   Article 6 :  Durée de conservation des données   Les actes télétransmis par les collectivités, les données issues de ces actes qui sont collectées et traitées par les services du représentant de l'Etat
afin de les soumettre au contrôle de légalité, ainsi que les documents et messages échangés dans le cadre de ce contrôle et émanant de ces mêmes services sont conservés conformément aux recommandations de la circulaire AD 97-2 du 27 février 1997 relative au traitement et à la conservation des documents relatifs aux relations de l'Etat avec les collectivités territoriales, produits ou reçus par les services des préfectures et des sous-préfectures s'agissant des durées d'utilité administrative de ces différents documents et de leur sort à l'issue de ces durées.   La conservation des données et des actes par les prestataires à des fins purement techniques de vérification du bon acheminement et de l'intégrité des échanges dématérialisés et cryptés ne saurait excéder un mois.   Article 7 :  Information des personnes concernées   Dans la mesure où les données à caractère personnel figurant dans les actes transmis ne sont pas collectées directement auprès de la personne concernée et où l'information des personnes concernées par l'ensemble des actes des collectivités locales soumis au contrôle de légalité se révèle impossible ou exige des efforts disproportionnés par rapport à l'intérêt de la démarche, la Commission décide de faire application des dispositions de l'article 32-III de la loi du 6 janvier 1978.   La Commission observe en tout état de cause que les actes concernés feront l'objet d'une publication, d'un affichage ou d'une notification, permettant ainsi aux intéressés de
contrôler les données à caractère personnel les concernant qui y figurent.
Article 8 : Sécurités   Le responsable du traitement est tenu de prendre toutes précautions utiles pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès.   Le dispositif mis en place doit assurer l'identification et l'authentification de la collectivité territoriale émettrice, l'intégrité des flux de données relatives aux actes transmis, ainsi que la sécurité et la confidentialité de ces données.   Article 9 :  Effets de la dispense de déclaration   Les traitements répondant aux conditions définies par la présente norme peuvent être mis en oeuvre sans délai et sans déclaration préalable auprès de la CNIL.   La dispense de déclaration n'exonère le responsable des traitements concernés d'aucune de ses autres obligations prévues par les textes applicables à la protection des données à caractère personnel.   Le président : Alex TURK.