AgentPublic/cnil huggingface dataset:
Le consentement exprès ou écrit, libre et éclairé, doit être donné par la personne concernée et/ou, le cas échant, par ses représentant légaux, pour participer à la recherche en application des dispositions des articles L. 1122-1 et suivants du code de la santé publique et du chapitre V du règlement UE n° 536/2014 du Parlement européen et du Conseil du 16 avril 2014 relatif aux essais cliniques de médicaments à usage humain et abrogeant la directive 2001/20/CE.    Le cas échéant, et conformément aux dispositions de l'article 56 de la loi informatique et libertés, le consentement écrit des personnes concernées et/ou de leurs représentant légaux devra être recueilli dans le cas où la recherche nécessite le recueil de prélèvements biologiques identifiants.    Le cas échéant, et conformément aux dispositions de l'article 16-10 du code civil, le consentement écrit des personnes concernées et/ou de leurs représentant légaux devra être recueilli dans le cas où la recherche nécessite la réalisation d'un examen des caractéristiques génétique.    Outre une information générale sur l'éventualité que leurs données puissent être utilisées à des fins de recherche, en application de l'article 59 de la loi informatique et libertés, les personnes se prêtant à la recherche et/ou leurs représentants légaux sont, en application des dispositions de l'article 57 de cette même loi, préalablement et individuellement informés du traitement de leurs données à caractère personnel, notamment :
- de la nature des informations transmises ;    - de la finalité du traitement de données ;    - des personnes physiques ou morales destinataires des données ;    - du droit d'accès et de rectification institués aux articles 39 et 40 de la loi informatique et libertés ;    - du droit d'opposition institué à l'article 56 de la loi informatique et libertés.
    Les personnes se prêtant à la recherche et/ou leurs représentants légaux sont également préalablement informés du caractère facultatif de leur participation et des modalités d'exercice des droits d'accès, de rectification et d'opposition (notamment en cas de retrait du consentement).    Dans l'hypothèse de recueil d'informations par questionnaire remis à la personne se prêtant à la recherche et/ou à ses représentants légaux, les mêmes informations sont mentionnées sur le questionnaire ou la lettre jointe.    Le cas échéant, et conformément aux dispositions de l'article L. 1121-16 du code de la santé publique, les personnes se prêtant à la recherche sont également informées de leur inscription au fichier national des personnes qui se prêtent à des recherches.
    2.4.2. Modalités d'exercice des droits des personnes se prêtant à la recherche
Les traitements de données des professionnels de santé intervenant dans la recherche doivent avoir pour seule finalité la mise en place, la réalisation de la recherche et le respect des obligations légales du responsable de traitement.    Les données à caractère personnel des professionnels de santé intervenant dans la recherche peuvent alimenter d'autres traitements de données à caractère personnel mis en œuvre par le responsable de traitement et relatifs à la gestion des ressources humaines et de la formation.
    3.2. Origine et nature des donneées    3.2.1. Nécessité du recours à des données personnelles
    Le suivi des professionnels de santé intervenant dans la recherche ne peut s'opérer qu'au moyen de données personnelles comportant leur identité complète.
    3.2.2. Origine et nature des donneées
    Les données relatives aux professionnels de santé intervenant dans la recherche proviennent des intéressés eux-mêmes, de listes publiques ou de toute autre liste constituée à cette fin dans le respect des dispositions de la loi informatique et libertés.
    3.2.3. Nature des données
- le responsable de traitement et les personnes agissant pour son compte ;    - le responsable scientifique de la recherche ;    - les professionnels de santé intervenant dans la recherche et les personnels agissant sous leur responsabilité ;    - les personnes chargées des affaires réglementaires et de l'enregistrement de la recherche auprès des autorités compétentes ;    - les personnels d'autorités sanitaires et d'autorités publiques de contrôle légalement habilités, dans le cadre d'une mission particulière ou de l'exercice d'un droit de communication ;    - les personnels habilités agissant sous la responsabilité de l'organisme d'assurance garantissant la responsabilité civile du promoteur, notamment en application de l'article L. 1121-10 du code de la santé publique.
    Ces catégories de personnes, soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal, peuvent relever du responsable de traitement des centres participant à la recherche ou de structures agissant pour le compte du responsable de traitement.
    3.4. Information et droits des professionnels de santé intervenant dans la recherche    3.4.1. Information des professionnels de santé intervenant dans la recherche
- saisie des données :    - les données peuvent faire l'objet d'une informatisation ou, le cas échéant, faire l'objet d'une saisie sur support  papier  renseignés par les professionnels de santé intervenant dans la recherche ou sous leur responsabilité. Lors de la saisie, les données sont identifiées par un numéro d'ordre ou un code alphanumérique, tel que défini à l'article 2.2.3 ;    - l'ensemble des données est saisi soit au fur et à mesure de l'avancement de la recherche, soit globalement lorsque la recherche est terminée ;    - cette saisie peut également être réalisée par les professionnels de santé, les laboratoires d'analyses biologiques ou les autres professionnels intervenant dans la recherche et ayant à traiter des données dans le cadre des missions qui leur sont confiées par le responsable de traitement ou la personne agissant pour son compte. Elle peut résulter en particulier d'enregistrements automatiques de paramètres d'examens complémentaires ;    - contrôle de validité et de cohérence : si la finalité ou la typologie de la recherche le nécessitent, les données font l'objet d'un contrôle de cohérence ou d'un contrôle qualité réalisé selon des modalités conformes aux articles 2.3 et 3.3 de la présente méthodologie ;    - analyse statistique : les données peuvent faire l'objet de traitements statistiques et donner lieu à l'édition de résultats.
De plus, la relation contractuelle avec les éventuels prestataires de saisie doit s'opérer dans des conditions conformes à l'article 35 de la loi informatique et libertés et intégrer la conformité à l'exigence de sécurité prévue par l'article 34 de la même loi.    Pour tout projet commencé avec un nouveau prestataire, un audit est effectué. Il couvre notamment la vérification des plans qualité et sécurité de l'entreprise, la validation des systèmes informatiques avec l'existence d'un système de sauvegarde et de récupération des données, et de mesures destinées à garantir leur confidentialité et leur intégrité.    Le traitement automatisé une fois achevé, les données sont récupérées au format défini par le service en charge du traitement des données de la recherche et sont stockées temporairement - le temps de préparer notamment l'archivage - sur un répertoire dont l'accès est techniquement restreint aux personnes dûment habilitées et authentifiées, présentes dans les locaux du responsable de traitement.
    Titre V : TRANSFERTS DE DONNÉES
Le responsable de traitement doit avoir préalablement informé les personnes concernées de l'existence de transferts de données vers des pays tiers et des droits qui leurs sont reconnus par la loi informatique et libertés ainsi que de leurs modalités d'exercice.    S'il est satisfait à ces conditions et si le traitement dont le transfert est envisagé est par ailleurs conforme à l'ensemble des autres dispositions de la présente méthodologie de référence, l'engagement de conformité à celle-ci porte également autorisation du transfert envisagé en application de l'article 69 de la loi informatique et libertés.
    Titre VI : FORMALITÉS
    Les responsables de traitement adressent à la Commission nationale de l'informatique et des libertés un seul engagement de conformité à la présente méthodologie pour l'ensemble des traitements qu'ils mettent en œuvre dans le cadre des recherches dès lors qu'ils sont réalisés en conformité avec l'ensemble des dispositions de la méthodologie.    Les responsables de traitement ayant procédé à un engagement de conformité à la MR-001 adoptée le 5 janvier 2006 qui ne respectent pas les conditions fixées par la présente délibération disposent d'un délai de douze mois à compter de la publication de celle-ci pour mettre leur traitement en conformité. Il n'est pas nécessaire que ces organismes procèdent à un nouvel engagement de conformité à la présente méthodologie pour les traitements qui relèveraient de son champ d'application.
Titre VII : ENTRÉE EN VIGUEUR
    La décision du 5 janvier 2006 portant homologation d'une méthodologie de référence pour les traitements de données personnelles opérés dans le cadre des recherches biomédicales (méthodologie de référence MR-001) est abrogée.    La présente méthodologie de référence entre en vigueur à compter de sa publication au Journal officiel de la République française.
 
Le vice-président,
M.-F. Mazars
(Demande d’autorisation n° 1804839)
La Commission nationale de l'informatique et des libertés,
Saisie par la banque BCP d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi et la gestion du pré contentieux et des contentieux civils, commerciaux et pénaux ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9-3°et 25-I-3°; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La « Banco Comercial Português », ci-après la banque BCP est détenue par la Caisse d’Epargne Ile-de-France et le groupe BPCE.
Sur la finalité
Le traitement mis en œuvre vise la gestion du pré-contentieux et des contentieux civils, commerciaux et pénaux dans le cadre des relations de la banque BCP avec ses clients d’une part et ses salariés d’autre part. Lorsque les clients se retrouvent en situation de contentieux et n’ont pas remboursé les sommes dues aux échéances prévues, une procédure de recouvrement est engagée. Par ailleurs, certains contentieux de l’agence portent sur des infractions pénales.La Commission estime que les finalités poursuivies sont déterminées, explicites et légitimes. Elle considère qu’il y a lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté.
Sur les données traitées
Les catégories de données traitées sont relatives à : 
l’identité des personnes concernées : nom, prénom, adresse, date et lieu de naissance ;
la situation maritale : célibataire, marié, divorcé, veuf ;
la situation professionnelle ;
la situation financière : montant exigible, montant à l’origine, montant actualisé, montant de la provision, numéro de compte, solde du compte et montant de la garantie ;
aux infractions et condamnations : type, montant et échelonnement ;
à l’état et au suivi de la procédure.
Dans sa décision du 29 juillet 2004, le Conseil constitutionnel a déclaré non conforme à la Constitution l’article 9-3° qui permettait à une personne morale de droit privé, mandatée par d’autres personnes morales estimant avoir été victimes ou être susceptibles d’être victimes d’agissements passibles de sanctions pénales, de rassembler des données portant sur des infractions, condamnations ou mesures de sûreté, au motif de son caractère trop général et du manque de précision sur les garanties devant encadrer ce type de traitement. Pour autant, le Conseil constitutionnel a précisé que cette annulation ne saurait être interprétée comme « privant d’effectivité le droit d’exercer un recours juridictionnel dont dispose toute personne physique ou morale s’agissant des infractions dont elle a été victime ». 
Cette réserve d’interprétation était indispensable pour ne pas priver de base légale les traitements légitimement mis en œuvre pour assurer le suivi des dossiers contentieux relatifs à des infractions. Elle permet à toute personne de constituer, pour les besoins de l’exercice de son droit au recours, des fichiers de pré- contentieux.
La Commission considère, compte tenu de la finalité poursuivie, que ces données sont pertinentes, adéquates et non excessives, conformément à l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les personnes destinataires du traitement sont :
les personnes du service de la Direction juridique et contentieux,
les auxiliaires de justice : avocats, huissiers,
les assureurs (pour les dossiers sur lesquels ils interviennent),
les sous-traitants (sociétés de recouvrement et prestataires informatiques).
La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès 
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la banque sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention d’information qui figure dans la convention de compte; tandis que les salariés sont informés de leurs droits sur le site intranet de la banque BCP.Les droits d’accès et de rectification s’exercent auprès de la direction juridique et contentieux de la banque BCP à l’adresse suivante : 14, avenue Franklin D. Roosevelt, 75008 Paris.La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Les actions effectuées par la Direction juridique sont tracées afin de permettre de détecter et d’analyser tous les accès, modifications et suppressions de données non autorisés.Seules ces personnes ont accès au logiciel de suivi et de gestion du pré-contentieux et du contentieux. Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application avec des profils d’habilitation et un contrôle d’accès logique qui se fait par mot de passe.Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant la durée de la prescription légale.La Commission considère que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.Ces autres caractéristiques du traitement n’appellent pas d’observation particulière de la Commission.
Autorise, conformément à la présente délibération, la banque BCP à mettre en œuvre le traitement susmentionné.
Pour La Présidente
Le Vice-Président délégué,
Marie-France MAZARS
(Demande d’autorisation n° 1934727)
La Commission nationale de l'informatique et des libertés,
Saisie par le Crédit Agricole Consumer d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’évaluation et à la sélection des risques en matière d’octroi de crédit à la consommation ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2008-198 du 9 juillet 2008 modifiant l’autorisation unique AU 005 relative à certains traitements de données à caractère personnel mis en œuvre par les établissements de crédit pour aider à l’évaluation et à la sélection des risques en matière d’octroi de crédit  ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Crédit Agricole Consumer Finance (CACF).
Sur la finalité
Sur les données traitées
La Commission note que les catégories de données prises en compte dans le calcul du score attaché à chaque demande de crédit figurent parmi celles prévues dans l’autorisation unique AU-005, à l’exception des données suivantes : 
l’ancienneté dans l’emploi du conjoint non co-emprunteur. 
le nombre d’heures travaillées sur les 12 derniers mois pour les demandeurs d’un prêt « intérimaires ». 
La Commission prend acte qu’il s’agit d’une donnée facultative et que dans le cas où la personne concernée n’aurait pas communiqué cette information, le calcul de la note de score sera réalisé sur une base n’incluant pas ce critère.
l’ancienneté dans l’emploi du conjoint non co-emprunteur. 
le nombre d’heures travaillées sur les 12 derniers mois pour les demandeurs d’un prêt « intérimaires ». 
La Commission prend acte qu’il s’agit de prendre en compte  les  risques spécifiques attachés aux demandeurs « intérimaires » afin d’évaluer la régularité dans l’emploi et leur capacité à rembourser un crédit en cas de période d’inactivité.
En outre, les variables prises en compte, s’agissant de la situation du logement seront les suivantes : logé par un tiers, par la famille, locataire, logé par l’employeur, par l’administration, accédant à la propriété ou autre.
Conformément à l’AU 005, aucune des variables n’a, à elle seule, ou en corrélation avec d’autres, un effet d’exclusion absolu ou disqualifiant.
Dans ces conditions, la Commission estime que ces données sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie par le traitement.
Sur les destinataires
Les destinataires sont ceux mentionnés dans l’autorisation unique AU 005.Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes sont informées conformément à l’article 32 de la loi du 6 janvier 1978 modifiée par une clause figurant dans le contrat de crédit, une mention d’information figurant sur le formulaire de collecte et sur le site internet de CACF.Les droits d’accès, de rectification et d’opposition des personnes s’exercent auprès du Crédit Agricole Consumer Finance, 128-130 boulevard Raspail, 75006 Paris.La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes. 
Sur les mesures de sécurité
Les actions effectuées par les personnes accédant au traitement  sont tracées afin de détecter et d’analyser tout accès, modifications et suppressions de données non autorisés.Les autres mesures de sécurité mises en place n’appellent pas d’observations.
Sur les autres caractéristiques du traitement
La Commission observe que le traitement mis en œuvre n’est qu’un outil d’aide à l’évaluation des risques présentés par les demandeurs de crédit et la sélection des demandes dont le niveau est jugé acceptable. La Commission prend acte qu’en cas de refus, le demandeur sera en mesure de présenter des observations et pourra voir sa situation réexaminée, le cas échéant avec collecte de données complémentaires. Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées.
Autorise, conformément à la présente délibération, le Crédit Agricole Consumer à mettre en œuvre le traitement susmentionné.
La présente délibération annule et remplace la délibération n°2012-218 du 5 juillet 2012.
Pour La Présidente
Le Vice-Président délégué,
Marie-France MAZARS
(Demande d’autorisation n° 1783771)
La Commission nationale de l'informatique et des libertés,
Saisie par l’association ATELIER BUDGETAIRE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l'accompagnement budgétaire des personnes, ou le montage de dossiers de microcrédits ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
L’ATELIER BUDGETAIRE est une association de lutte contre l’exclusion financière. Son objet principal est la prévention du surendettement et l’inclusion sociale via :
l’accompagnement budgétaire des personnes en difficulté financière ;
des actions de formation collective sur l’optimisation de la gestion du budget des particuliers ou sur l’approche financière de l’accompagnement des travailleurs sociaux ;
le montage de microcrédits personnels pour les personnes en exclusion bancaire, à des fins de réinsertion sociale et professionnelle.
Sur la finalité
Sur le fondement de l’article 25-I-7° de la loi du 6 janvier 1978 modifiée qui prévoit que sont soumis à autorisation préalable les traitements automatisés de données comportant des appréciations sur les difficultés sociales des personnes, la Commission a été saisie par l’ATELIER BUDGETAIRE d’une demande d’autorisation relative à un traitement ayant pour finalité l'accompagnement budgétaire des personnes, ou le montage de dossiers de microcrédits. 
L’ATELIER BUDGETAIRE établit avec la personne un diagnostic personnalisé de sa situation financière et des problématiques budgétaires rencontrées et propose des solutions en adéquation avec les problématiques identifiées : soutien à la médiation auprès de créanciers, réorganisation du budget, mise en place d’un planning de suivi, etc.