AgentPublic/cnil huggingface dataset:
(Demande d’autorisation n° 1523263)
La Commission nationale de l’informatique et des libertés, 
Saisie par la Croix-Rouge Française d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le rétablissement des liens familiaux.
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-IV, 25-I-1°, 25-I-7°, 69-1° et 69-2°;
Vu le décret n°52-253 du 28 février 1952 portant publication de la Convention relative au traitement des prisonniers de guerre, de la Convention relative à la protection des personnes civiles en temps de guerre, de la Convention pour l’amélioration du sort des blessés, des malades et des naufragés des forces armées sur mer, de la Convention pour l’amélioration du sort des blessés et des malades dans les forces armées en campagne, signées à Genève le 12 août 1949 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Philippe GOSSELIN, commissaire et après avoir entendu les observations de Mme Catherine POZZO DI BORGO, commissaire adjointe du Gouvernement ;
Formule les observations suivantes :
La Commission a été saisie par la Croix-Rouge Française d’une demande d’autorisation pour un traitement de données à caractère personnel ayant pour finalité le rétablissement des liens familiaux entre des personnes séparées par un conflit, une catastrophe ou un déplacement de population. 
La Commission considère qu’il y a lieu de faire application des dispositions des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements justifiés par l’intérêt public comportant des données sensibles. Elle estime qu’il y a également lieu de faire application des dispositions de l’article 25-I-7° de la loi pour ce qui concerne les traitements comportant des données permettant d’apprécier les difficultés sociales des personnes. 
Sur le responsable de traitement : 
Créée en 1864, la Croix-Rouge Française est une association à but non lucratif régie par la loi du 1er juillet 1901 qui a été reconnue d’utilité publique en 1945. 
Elle fait partie du Mouvement international de la Croix-Rouge et du Croissant-Rouge (MICR) qui est composé :
du Comité international de la Croix-Rouge (CICR) ;
de la Fédération internationale des Sociétés de la Croix-Rouge et du Croissant-Rouge (FISCR), elle-même composée des Sociétés Nationales de la Croix-Rouge et du Croissant-Rouge. 
Sur la finalité du traitement : 
Le rétablissement des liens familiaux (RLF) fait partie des missions historiques de la Croix-Rouge Française. Cette mission nécessite de conduire, notamment dans des situations de conflit armé, de violence, de catastrophe naturelle ou de migrations internationales, des actions visant à :
éviter les séparations et les disparitions ;
rétablir et maintenir les contacts familiaux ; 
clarifier le sort des personnes portées disparues.
Gratuit et accessible à tous, ce service trouve notamment son fondement juridique dans les quatre Conventions de Genève de 1949 et dans les Protocoles additionnels de 1977. Le Protocole additionnel 1 précise dans son article 74 que : « Les Hautes Parties contractantes et les Parties au conflit faciliteront dans toute la mesure du possible le regroupement des familles dispersées en raison de conflits armés et encourageront notamment l’action des organisations humanitaires qui se consacrent à cette tâche conformément aux dispositions des Conventions et du présent protocole ». Les Conventions de Genève ont été ratifiées par la France et publiées par le Décret n°52-253 du 28 février 1952.
Au regard de ce qui précède et dans la mesure où le service RLF participe à la préservation du droit au respect de la vie privée et de la vie familiale au sens de la Convention Européenne des Droits de l’Homme, la Commission considère que la mission de la Croix-Rouge Française est d’intérêt public. 
Dans le cadre du service RLF, la Croix-Rouge Française traite deux types de demandes :
les demandes entrantes, émanant d’une société nationale de la Croix-Rouge autre que la Croix-Rouge Française ou du CICR concernant une personne située sur le territoire français ;
les demandes sortantes, émanant d’une personne vivant sur le territoire français concernant une personne située à l’étranger. 
Pour mener cette mission, la Croix-Rouge Française doit être en mesure de collecter et de traiter de nombreuses informations sur les personnes portées disparues, décédées ou vulnérables (enfants séparés de leurs familles ou personnes privées de liberté, par exemple), mais également sur les personnes formulant les demandes de recherche (demandeurs). 
Une fois que la personne recherchée a été retrouvée, les coordonnées de cette dernière sont transmises à la Croix-Rouge Française (pour les demandes sortantes) ou à la société nationale concernée (pour les demandes entrantes), qui les communique alors au demandeur, sous réserve de l’accord exprès de la personne recherchée.
La Commission considère la finalité poursuivie comme déterminée, explicite et légitime. 
Sur la nature des données traitées :
Les données suivantes sont collectées au moyen d’un formulaire de demande de recherche, établi par le CICR et utilisé par l’ensemble du réseau du MICR : 
données relatives à l’identification :
de la personne recherchée : nom complet, autres noms, noms complets du père et de la mère, nationalité, sexe, date de naissance ou âge, lieu de naissance, origine ethnique, dernière adresse connue, numéros de téléphone et de fax, adresse électronique ; 
de la personne accompagnant la personne recherchée : nom complet, date de naissance, sexe, lien de parenté avec la personne recherchée ;  
du demandeur : nom complet, autres noms, noms complets du père et de la mère, nationalité, sexe, date de naissance ou âge, lieu de naissance, origine ethnique, adresse postale détaillée, numéros de téléphone et de fax, adresse électronique, lien de parenté avec la personne recherchée ;
des personnes susceptibles de fournir des informations : noms et adresse ;
contexte de la demande : date et nature des dernières nouvelles de la personne recherchée, circonstances exactes ayant entraîné la rupture de contact, autres informations qui pourraient aider les recherches.
Pour les demandes sortantes, ces données sont collectées par la Croix-Rouge Française et transmises au CICR ou à la société nationale de la Croix-Rouge concernée. Elles sont, en revanche, collectées par la société nationale de la Croix-Rouge qui les transmet à la Croix-Rouge Française pour ce qui concerne les demandes entrantes.
Les données suivantes peuvent également être collectées et traitées dans le cadre des recherches effectuées en France (demandes entrantes) : 
données relatives à l’identification : photographies de la personne recherchée, adresse électronique ;
données relatives à la vie personnelle : situation familiale, lieux fréquemment fréquentés ;
données relatives à la vie professionnelle : CV, situation professionnelle, scolarité, formation, distinction, employeurs ;
informations d’ordre économique et financier : revenus, situation financière ;
données comportant des appréciations sur les difficultés sociales des personnes : situation de précarité ou de fragilité sociale, accès à des prestations sociales, assistants sociaux ;
données de santé : pathologie affection, antécédents familiaux, données relatives aux soins, situations ou comportements à risques, groupe sanguin, signes particuliers, lieux d’hospitalisation ;
autres données sensibles : origines raciales ou ethniques, opinions politiques, opinions religieuses, appartenance syndicale, vie sexuelle.
La Commission estime que ces données sont pertinentes au regard de la finalité poursuivie.
Par ailleurs, la Commission relève que, si la Croix-Rouge Française est susceptible, dans le cadre du service de rétablissement des liens familiaux, de recevoir communication de documents comportant d’autres informations telles que le NIR ou relatives aux infractions et condamnations, le traitement autorisé ne peut porter sur de telles données. 
Sur la durée de conservation des données :
Les données sont conservées pour une durée de deux ans à compter de la fin de la dernière opération enregistrée, puis elles sont archivées. 
La Commission considère que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement. 
Sur les destinataires des données :
Pour les demandes entrantes, sont destinataires des données : 
les personnels et bénévoles habilités de la Croix-Rouge Française ;
le ministère de la santé et l’OFPRA, le cas échéant : les nom, prénom, date et lieu de naissance, et extrait de naissance de la personne recherchée ;
la société nationale de la Croix-Rouge et la délégation du CICR concernée : les coordonnées de la personne recherchée (qui sont ensuite communiquées au demandeur sous réserve de l’accord de la personne recherchée) ou l’acte de décès et le lieu de sépulture de la personne recherchée, le cas échéant.
Pour les demandes sortantes, sont destinataires des données :
les personnels et bénévoles habilités de la société nationale de la Croix-Rouge et de la délégation du CICR concernée ;
le demandeur en France : les coordonnées de la personne recherchée sous réserve de l’accord de cette dernière ou l’acte de décès et le lieu de sépulture de la personne recherchée, le cas échéant.
La Commission prend acte de ce que les données de santé sont uniquement accessibles par six personnes au sein de la Croix-Rouge Française. 
La Commission considère ces destinataires comme légitimes. 
Sur l'information et les droits des personnes :
Le formulaire de demande de recherche permet de recueillir des informations sur plusieurs catégories de personnes, qui sont informées conformément à l’article 32-I de la loi du 6 janvier 1978 modifiée de la façon suivante :
la personne recherchée : lorsqu’elle est recherchée en France (demande entrante), la personne est informée par l’envoi d’un courrier dès qu’elle est retrouvée ; 
le demandeur : lorsque la demande a été formulée en France (demande sortante), la personne est informée via le courrier accompagnant le formulaire de demande de recherche ;
les personnes susceptibles de fournir des informations : ces personnes sont informées par voie orale au moment où elles sont effectivement contactées. 
Ces personnes peuvent exercer leurs droits d’accès et de rectification par voie postale auprès du service juridique de la Croix-Rouge Française, - 98, rue Didot, 75694 PARIS cedex 14.  
La Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes. 
Sur les transferts de données :
Les données peuvent être transférées aux délégations du CICR ou aux sociétés nationales de la Croix-Rouge situées hors de l’Union européenne, dans la mesure où ces transferts sont nécessaires à la sauvegarde de la vie humaine et de l’intérêt public, conformément aux articles 69-1° et 69-2° de la loi du 6 janvier 1978 modifiée.
Sur la sécurité :
La Commission observe que les modalités d’authentification des utilisateurs sur la plateforme d’échange de données avec les sociétés nationales de la Croix-Rouge respectent ses recommandations en la matière. Des profils d’habilitation permettant de gérer les autorisations d’accès sont également mis en place, et une procédure de revue régulière de ces profils permet d’assurer leur mise à jour régulière.
Cette plateforme dispose également de fonctionnalités de journalisation permettant de tracer l’accès aux données, tant en consultation qu’en modification. Ces données sont conservées pendant 6 mois.
La plateforme étant accessible via Internet, toutes les données échangées depuis la plateforme sont chiffrées en utilisant le protocole https, afin d’en assurer la confidentialité.
Les sauvegardes sont stockées chiffrées chez le prestataire et les supports de stockage mis au rebut sont physiquement détruits.
La Commission considère que ces mesures sont satisfaisantes. Cependant, elle rappelle qu’il appartient à la Croix-Rouge Française de s’assurer du bien-fondé des demandes qu’elle reçoit et de l’utillisation légitime du dispositif.
Dans ces conditions, la Commission autorise la Croix-Rouge Française à mettre en place un traitement de données à caractère personnel ayant pour finalité le rétablissement des liens familiaux. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1573133)
La Commission nationale de l’informatique et des libertés, 
Saisie par l’association pour la réadaptation professionnelle d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion d'un service de soins et d'hébergement temporaire de personnes handicapées (TEMP'HAU).
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment son article L. 312-1 ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-IV, 25-I-1° et 25-I-6° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Philippe GOSSELIN, commissaire et après avoir entendu les observations de Mme Catherine POZZO DI BORGO, commissaire adjointe du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
L’association pour la réadaptation professionnelle a pour objet de gérer un centre de réadaptation professionnelle accueillant des personnes présentant des déficiences physiques ou motrices. Ce centre est un établissement social et médico-social au sens de l’article L. 312-1 du code de l’action sociale et des familles.Au regard de ce qui précède, la Commission considère que la mission de l’association pour la réadaptation professionnelle est d’intérêt public.
Sur la finalité
La finalité du présent traitement est la gestion du service de soins et d'hébergement temporaire de personnes handicapées moteurs dépendants en recherche d’autonomie (TEMP'HAU), y compris la gestion des demandes d’entretien et de réservation par Internet.La Commission considère la finalité poursuivie comme déterminée, légitime et explicite. Dans ce contexte, la Commission estime qu’il y a lieu de faire application des dispositions des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.Elle considère que le recours à la formalité de l’autorisation se justifie également au regard de l’article 25-I-6° de la loi pour ce qui concerne le traitement du numéro de sécurité sociale. 
Sur les données traitées
Les catégories de données collectées sont relatives : 
à l’identification (nom, prénom, adresse, date et lieu de naissance) ;
à la vie personnelle (habitudes de vie, situation familiale, mesure tutélaire éventuelle) ;
au numéro de sécurité sociale (aux seules fins de facturation et d’échanges avec la sécurité sociale) ;
aux données de santé (pathologie, affection, situations ou comportements à risques, sécurité alimentaire).
Ces données apparaissent pertinentes au regard de la finalité poursuivie. 
Sur les destinataires
Les destinataires des données sont les personnels dûment habilités de l’établissement, du Conseil général de l’Ile-et-Vilaine, de la Maison Départementale des Personnes Handicapées (MDPH) et des services de l’Assurance Maladie.La Commission prend acte que l’habilitation à consulter des données de santé ne peut être attribuée qu’à des personnes soumises au secret professionnel, et dans la stricte limite de leurs missions. Des remontées statistiques sont également adressées à l’Agence Régionale de Santé (ARS).Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention sur le formulaire de demande d’entretien ou de réservation en ligne, ainsi que sur le contrat de séjour et dans le règlement de fonctionnement de l’établissement. Les droits d’accès et de rectification s’exercent auprès des personnels de l’association pour la réadaptation professionnelle, Le Patis Faux – 35770 VERN SUR SEICHE.  Ces modalités d’information et d’exercice des droits des personnes apparaissent satisfaisantes.
Sur les mesures de sécurité
La Commission rappelle que l’authentification des utilisateurs du traitement doit respecter ses préconisations. Les mots de passe doivent notamment être d’un niveau de complexité suffisant (8 caractères avec des lettres minuscules, majuscules, des chiffres et des caractères spéciaux).Le traitement doit également comporter une fonctionnalité de journalisation des opérations de consultation, création et modification des données à caractère personnel. Ces journaux de connexion doivent être conservés pendant 6 mois.En outre, lorsque le traitement est accessible sur internet, le protocole HTTPS doit être utilisé pour garantir la confidentialité des données échangées.Lorsque les données sont échangées sur des canaux non sécurisés, ces échanges doivent également être chiffrés afin de garantir la confidentialité des données.
Sur les autres caractéristiques du traitement
Les données sont conservées pour une durée de deux ans à compter de la fin de la dernière opération enregistrée, puis elles sont archivées. Cette durée de conservation apparaît pertinente au regard de la finalité poursuivie par le traitement. 
Autorise, conformément à la présente délibération, l’association pour la réadaptation professionnelle à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1570575)
La Commission nationale de l’informatique et des libertés, 
Saisie par la société BETURF d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude, le blanchiment de capitaux et le financement du terrorisme. 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L.  561-2 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu la loi n° 2010-476 du 12 mai 2010 relative à l’ouverture à la concurrence et à la régulation du secteur des jeux d’argent et de hasard en ligne, notamment ses articles 17, 18 et 22 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2010-509 du 18 mai 2010 relatif aux obligations imposées aux opérateurs agréés de jeux ou de paris en ligne en vue du contrôle des données de jeux par l’ARJEL ;
Vu le décret n° 2010-518 du 19 mai 2010 relatif à la mise à disposition de l’offre de jeux et de paris par les opérateurs agréés de jeux ou de paris en ligne ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Dominique RICHARD, commissaire et après avoir entendu les observations de Mme Catherine POZZO DI BORGO, commissaire adjointe du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
La société BETURF a été agréée par l’Autorité de régulation des jeux en ligne (ARJEL) pour exploiter le site www.leturf.fr, dédié aux paris hippiques. 
Sur la finalité
La loi n°2010-476 du 12 mai 2010 relative à l’ouverture à la concurrence et à la régulation du secteur des jeux d’argent et de hasard en ligne impose aux opérateurs de jeux en ligne agréés  de mettre en place des mesures visant à lutter contre la fraude, le blanchiment de capitaux et le financement du terrorisme. 
Les traitements mis en place par la société BETURF, objets de la présente autorisation, sont les suivants :
Traitement automatisé de données ayant pour finalité la vérification de l’identité du joueur à l’ouverture des comptes joueur
Traitement automatisé de données ayant pour finalité la surveillance des comptes joueur 
Conformément à l’article L. 561-5 du CMF, la société identifie le joueur avant d’entrer en relation d’affaires et donc de lui créer un compte joueur sur son site.
Pour ce faire, aux termes du décret n°2010-518 du 19 mai 2010, la société BETURF demande à toute personne qui sollicite l’ouverture d’un compte joueur de lui communiquer ses nom, prénom, date et lieu de naissance, adresse postale et références d’un compte de paiement. La fourniture de l’ensemble de ces informations entraîne la création d’un compte provisoire. En revanche, en l’absence de ces informations, la société refuse l’ouverture du compte joueur. 
En outre, la société demande à toute personne sollicitant l’ouverture d’un compte joueur de lui fournir, dans le délai maximum d’un mois à compter de la demande d’ouverture dudit compte :
1° La copie d’une carte nationale d’identité, d’un passeport ou d’un permis de conduire, en cours de validité, justifiant de son identité et de sa date de naissance ;
2° Un document portant références du compte de paiement.
Lorsque la société reçoit ces documents, un code secret est adressé au joueur pour vérifier la réalité de l’adresse qu’il a communiquée lors de son inscription. La saisie de ce code permet de mettre fin au statut provisoire du compte.
La société désactive le compte du joueur qui ne lui a pas transmis les pièces justificatives dans le délai d’un mois à compter de l’ouverture de son compte provisoire. Elle clôture le compte si le joueur ne lui a pas adressé ces pièces dans un délai de deux mois à compter de la demande d’ouverture de compte ou n’a pas saisi le code secret dans un délai de six semaines à compter de l’envoi du code. 
Traitement automatisé de données ayant pour finalité la vérification de l’identité du joueur à l’ouverture des comptes joueur
Traitement automatisé de données ayant pour finalité la surveillance des comptes joueur 
En vertu de l’article L. 561-6 du CMF, la société exerce, pendant toute la durée de la relation d’affaire, une vigilance constante et pratique un examen attentif des opérations de jeux effectuées sur son site en veillant à ce qu’elles soient cohérentes avec la connaissance actualisée que la société a de ses joueurs. 
La société BETURF met en place un dispositif d’alerte, qui permet, le cas échéant, de diligenter une enquête visant à contrôler l’activité d’un joueur ou une partie, lorsque se produit un événement spécifique (liste des événements communiquée à la Commission dans le dossier de formalités préalables).