AgentPublic/cnil huggingface dataset:
Une application web accessible via un navigateur internet. Cet accès permet aux médecins régulateurs de se connecter au dossier médical d’un blessé et d’en communiquer la teneur au médecin urgentiste sur le terrain dans l’hypothèse où celui-ci ne peut accéder à l’application (panne du téléphone ; problème technique d’accessibilité à l’application iPhone®…) 
S’agissant de l’application iPhone® sur le téléphone fourni par la société Code d’Urgence, le chef de service du SAMU ou du SMUR doit d’abord la télécharger à partir de l’App Store d’Apple®.
A cet égard, la Commission observe qu’elle sera disponible pour tout utilisateur d’iPhone®. Toutefois, son utilisation nécessitera l’installation préalable sur l’appareil d’un certificat électronique par le chef de service des urgences. 
Le chef de service devra faire la demande auprès de l’hébergeur qui mettra à sa disposition le certificat, protégé par un mot de passe, sur un serveur spécifique. Il devra alors procéder à son téléchargement sur l’iPhone®  via une adresse URL qui lui sera transmise par email.
La procédure d’installation du certificat n’est accomplie qu’une seule fois. En cas de perte ou de vol de l’appareil, une procédure spécifique est prévue.  
Les utilisateurs urgentistes seront également sensibilisés à la nécessité de verrouiller le téléphone par un mot de passe afin d’éviter que des personnes non autorisées puissent accéder à l’application en cas de perte ou de vol de l’appareil.
L’utilisateur urgentiste pourra accéder à l’application par le biais d’un identifiant et d’un mot de passe personnels.
Une fois l’opération d’identification accomplie, l’urgentiste pourra « flasher » le code 2D ou saisir manuellement le numéro associé afin de pouvoir accéder aux données. 
La session utilisateur pour l’application iPhone® est automatiquement fermée après deux heures d’inactivité.
Toutefois, dans certaines hypothèses l’accès aux données par le biais de l’application iPhone® peut être compromis. L’utilisateur urgentiste peut alors contacter le médecin régulateur du SAMU ou du SMUR dont il dépend qui accèdera aux données par le biais de l’application web.
Concernant cette application web, l’authentification est réputée forte et requiert l’utilisation d’une combinaison login/mot de passe couplée à un certificat électronique. Les mots de passe utilisés sont conformes aux recommandations de la Commission (8 caractères, 1 majuscule, 1 minuscule et 1 chiffre). En outre, il est prévu que les sessions soient désactivées automatiquement après 20 minutes d’inactivité.
En outre, les abonnés au service peuvent accéder à leurs données directement sur internet en se connectant par le biais d’un identifiant/mot de passe, auquel s’ajoute une combinaison issue d’une « carte de clés personnelles ». Cette carte consiste en un tableau comportant 6 lignes et 6 colonnes de numéros de 5 chiffres chacun. Lorsque l’abonné souhaite se connecter, il lui sera demandé un de ces mots de passe sous la forme « index ligne/index colonne ».
La Commission observe que les mots de passe utilisés par les médecins urgentistes et le personnel de Code d’Urgence sont créés et transmis automatiquement par mail par Santeos, hébergeur de la solution, après la création du compte associé.
Le manuel d’utilisation de la solution précise que l’utilisateur doit modifier son mot de passe dès la première connexion.
La Commission prend acte de ce qu’à l’occasion de la première connexion, cette modification soit imposée aux utilisateurs.
La Commission estime ces mesures satisfaisantes.
La traçabilité :
Les consultations des professionnels de santé sont tracées avec la date et l’heure d’accès au dossier. L’abonné a la possibilité d’accéder à ces traces directement en consultant son dossier par internet.
La Commission estime ces mesures satisfaisantes.
La sécurité des données :
La Commission observe d’une part, que les transferts de données seront sécurisés par l’utilisation d’un protocole HTTPS, et d’autre part, que les données sont chiffrées en base de données par un algorithme de chiffrement fort (AES-256 bits).
S’agissant de l’hébergement de données de santé.  La Commission observe qu’il est fait appel à un hébergeur extérieur disposant d’un agrément d’hébergeurs de données de santé, délivré par le ministre en charge de la santé, pour d’autres solutions.
Elle estime nécessaire de rappeler que l’hébergeur de la solution doit avoir reçu un agrément en sa qualité d’hébergeur de données de santé à caractère personnel, pour ce type de solutions, préalablement à la mise en œuvre du traitement.
Sur la durée de conservation 
La Commission relève que le dossier présenté ne prévoit pas de durée de conservation des données et fixe, dès lors, cette durée à celle de la relation contractuelle entre l’abonné et la société Code d’Urgence.
Enfin, s’agissant d’une expérimentation, la Commission informe le déclarant que préalablement à toute demande de généralisation, un bilan devra lui être communiqué. Celui-ci devra notamment porter sur le nombre de personnes abonnées au service, le nombre de services d’urgence ainsi équipés, un audit sur la sécurité mise en œuvre ainsi que les conditions d’interopérabilité avec le dossier médical personnel mis en œuvre par l’Agence des systèmes d’informations partagés de santé.
(
En conclusion, la Commission autorise la société Code d’Urgence à mettre en œuvre, à titre expérimental, un dossier médical d’urgence informatisé accessible aux médecins du SAMU et du SMUR dans les conditions précitées conformément au dossier transmis à la Commission.
La Présidente,
Isabelle FALQUE-PIERROTIN
(demande d’autorisation n°1531977)
Vu le traité sur le fonctionnement de l’Union européenne, notamment son article 215 ; 
Vu le règlement n°2580/2001/CE du Conseil du 27 décembre 2001 concernant l’adoption de mesures restrictives spécifiques à l’encontre de certaines personnes et entités dans le cadre de la lutte contre le terrorisme ;
Vu le règlement n°881/2002 du Conseil du 27 mai 2002 instituant certaines mesures restrictives spécifiques à l’encontre de certaines personnes et entités liées à Oussama ben Laden, au réseau Al-Qaida et aux Taliban, et abrogeant le règlement (CE) n°467/2001 du Conseil interdisant l’exportation de certaines marchandises et de certains services vers l’Afghanistan, renforçant l’interdiction des vols et étendant le gel des fonds et autres ressources financières décidées à l’encontre des Taliban d’Afghanistan ;
Vu le règlement n°1781/2006 du Parlement européen et du Conseil du 15 novembre 2006 relatif aux informations concernant le donneur d’ordre accompagnant les virements de fonds ;
Vu les règlements du Conseil pris en application de l’article 215 du Traité sur le fonctionnement de l’Union européenne ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive n°2005/60/CE du Parlement européen et du Conseil du 26 octobre 2005 relative à la prévention de l’utilisation du système financier aux fins du blanchiment de capitaux et du financement du terrorisme ;
Vu la directive n°2006/70/CE de la Commission du 1er août 2005 portant mesures de mise en œuvre de la directive 2005/60/CE du Parlement européen et du Conseil pour ce qui concerne la définition des « personnes politiquement exposées » et les conditions techniques de l’application d’obligations simplifiées de vigilance à l’égard de la clientèle ainsi que de l’exemption au motif d’une activité financière exercée à titre occasionnel ou à une échelle très limitée ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée, notamment son article 25-I-4°; 
Vu le code pénal, notamment les articles 222-38 et suivants, 324-1 et suivants et 421-1 et suivants ; 
Vu le code monétaire et financier (CMF), notamment ses articles, L. 511-34, L. 561-1 à L. 562-11 et R. 561-1 à R. 562-5; 
Vu l’article 19 de l’ordonnance n°2009-104 du 30 janvier 2009 relative à la prévention de l’utilisation du système financier aux fins de blanchiment de capitaux et de financement du terrorisme ;
Vu le décret n°2005-1309 du 20 octobre 2005 pris en application de la loi n°78-17 du 6 janvier 1978 précitée ;
Vu les décrets pris en application de l’article L. 151-2 du CMF ;
Vu l’arrêté du 2 septembre 2009 pris en application de l’article R. 561-12 du CMF et définissant des éléments d’information liés à la connaissance du client et de la relation d’affaires aux fins d’évaluation des risques de blanchiment de capitaux et de financement du terrorisme ;
Vu les arrêtés du Ministre en charge de l’économie pris en application des articles L. 562-1 et L. 562-2 du CMF ;
Vu le règlement du Comité de la réglementation bancaire et financière (CRBF) n°97-02 du 21 février 1997 modifié relatif au contrôle interne des établissements de crédit et des entreprises d’investissement, le règlement n° 2002-01 du 18 avril 2002 modifié relatif aux obligations de vigilance en matière de chèques aux fins de lutte contre le blanchiment de capitaux et le financement du terrorisme et le règlement n° 2002-13 du 21 novembre 2002 modifié relatif à la monnaie électronique et aux établissements de monnaie électronique ; 
Vu la demande d’autorisation déposée par BOUWFONDS MARIGNAN IMMOBILIER ;
Après avoir entendu M. Jean-Paul AMOUDRY, commissaire, en son rapport, et de Mme Elisabeth ROLIN, commissaire du gouvernement, en ses observations.
Formule les observations suivantes :
La société BOUWFONDS MARIGNAN IMMOBILIER, filiale du groupe hollandais Rabobank, a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation relative à la mise en œuvre d’un traitement de données à caractère personnel dont les finalités sont : d’une part, la lutte contre le blanchiment d’argent et le financement du terrorisme, et l’application des mesures de gel des avoirs, d’autre part.
Le traitement de données à caractère personnel soumis à l’examen de la Commission doit permettre à la société BOUWFONDS MARIGNAN IMMOBILIER de répondre à ses obligations d’identification et de vigilance constante à l’égard de l’ensemble de ses clients, qu’il s’agisse de relations d’affaires ou de clients occasionnels, qu’il lui appartient de moduler, conformément aux dispositions législatives et réglementaires, en fonction de l’évaluation du risque de blanchiment de capitaux et de financement du terrorisme propre à chaque relation d’affaire, ou à chaque client occasionnel.
Il vise également à permettre l'application du dispositif de gel des avoirs dans le cadre de la lutte contre le financement du terrorisme.
L'identification de tels faits, en partie sur la base de critères intégrés dans les traitements automatisés de l'organisme, peut conduire ce dernier à rompre toute relation d’affaires avec les clients concernés. 
Ces traitements, peuvent ainsi, du fait de leur portée, conduire à l'exclusion de personnes du bénéfice d'un contrat ou d’une prestation.
Dès lors, ils relèvent du 4° du I de l'article 25 de la loi du 6 janvier 1978 modifiée et doivent, à ce titre, être autorisés par la CNIL. 
Par sa délibération n°2011-180 du 16 juin 2011, la Commission a autorisé les traitements de données à caractère personnel mis en œuvre par des organismes financiers relatifs à la lutte contre le blanchiment de capitaux et le financement du terrorisme ainsi qu’à l’application des sanctions financières sous réserve que les caractéristiques de ces traitements n’excèdent pas le cadre qui y est défini, que ces traitements remplissent également les conditions qui y sont fixées et que leurs responsables adressent à la CNIL un engagement de conformité à l’AU 003.
Tout projet de traitement automatisé dont les responsables de traitement ne sont pas désignés dans l’AU 003 ou dont les finalités, les catégories de données ou de destinataires excèdent le cadre de cette autorisation unique ou qui ne respect pas les exigences qui y sont définies, doit faire l’objet d’une demande d’autorisation spécifique présentant et expliquant les différences entre le traitement envisagé et l’autorisation unique.
La société BOUWFONDS MARIGNAN IMMOBILIER ne fait pas partie des personnes assujetties aux obligations de lutte contre le blanchiment de capitaux et le financement du terrorisme mentionnées aux 1° à 7° de l’article L.561-2 du CMF, dès lors elle ne peut procéder à un engagement de conformité à l’AU 003.
La société BOUWFONDS MARIGNAN IMMOBILIER réalise dans l’exercice de son activité des opérations entraînant des mouvements de capitaux. Dès lors, elle est assujettie aux obligations de lutte contre le blanchiment et le financement du terrorisme en application des dispositions de l’article L 561-1 du CMF.
Sur les finalités du traitement : 
Ce traitement a pour finalités :
- La recherche des personnes qui doivent faire l’objet de mesures de vigilance complémentaires en tant que personnes politiquement exposées (PPE) au sens de l’article R. 561-18 du CMF. 
Le fichier des relations d’affaires est mis en relation avec un fichier documentaire fiabilisé utilisé comme base de référence pour identifier les personnes qualifiées de PPE.
Ce traitement ne comporte que des informations relatives à des relations d’affaires qui sont susceptibles d’être qualifiées de PPE. Il est exploité pour distinguer les cas d’homonymie.
Toutes précautions sont prises par la société BOUWFONDS MARIGNAN IMMOBILIER ou, à sa demande, par ses prestataires pour exclure toute possibilité de consultation d’informations autres que celles qui sont susceptibles d’être collectées en application des dispositions de l’arrêté du 2 septembre 2009 pris pour l’application de l’article R. 561-12 du CMF.
La classification d’une personne dans la catégorie des PPE est levée à l’issue de la cessation des fonctions justifiant cette classification augmentée d’un an. A l’issue de ce délai, la situation de la personne concernée peut être réexaminée afin d’évaluer les risques présentés par cette relation d’affaires et de décider de maintenir ou non des mesures de vigilance renforcée conformément aux dispositions de l’article L. 561-10-2 du CMF.
Conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, aucune décision produisant des effets juridiques à l’égard d’une personne ne peut être prise sur le seul fondement d’un traitement automatisé de données 
L’application des mesures de gel des avoirs dans le cadre de la lutte contre le financement du terrorisme et des sanctions financières.
L’identification des clients et, le cas échéant, des bénéficiaires effectifs qui figurent sur les listes de mesures de gel des avoirs appliquées en France : les opérations repérées au vu des listes de mesures de gel des avoirs font l’objet d’un examen manuel permettant de lever les cas d’homonymies, le plus souvent après collecte d’informations complémentaires auprès de la personne concernée et/ou de l’organisme financier contrepartie et/ou de la direction générale du Trésor, en vue de l’exécution ou non de l’opération et/ou du gel des fonds.
Les opérations envisagées ne sont définitivement bloquées qu’en présence d’indices sérieux et concordants. Les vérifications, après suspension de l’ordre de réalisation, sont effectuées dans les plus brefs délais
Les personnes qui ont déjà subi une suspension de leurs opérations pour cause d’homonymie font l’objet dans un traitement automatisé d’un signalement spécifique qui n’est accessible qu’aux seuls destinataires mentionnés à l’article 5, afin de prévenir le plus rapidement possible tout blocage de leurs opérations.
Sur les personnes concernées
Les données à caractère personnel qui font l’objet de ce traitement concernent :
les acquéreurs non domiciliés en France, sauf dans les cas où ces derniers ont obtenu un financement bancaire auprès d’un établissement financier domicilié dans l’Union européenne,
les commerciaux ayant acquis leur bien depuis moins de cinq ans ou vendant un bien de plus de 10 000m2, 
les intermédiaires percevant une rémunération par opération supérieure à 15 000 euros,
les officiers ministériels et les avocats non établis en France,
des personnes physiques représentant des personnes morales,
des personnes qui sont susceptibles d’être classées dans la catégorie des « personnes politiquement exposées » conformément aux dispositions de l’article R561-18 du CMF
des personnes mentionnées sur les listes de gel des avoirs.
Sur les données traitées et leur durée de conservation
Les catégories de données pouvant être collectées concernant les personnes ci-dessus sont :
des données d’identification : nom, prénom, date et lieu de naissance 
une copie d’un ou plusieurs documents officiels en cours de validité comportant sa photographie,
Sous réserve de dispositions plus contraignantes, elles sont conservées pendant une durée de cinq ans à compter de la cessation de la relation.
Les données collectées sont adéquates, pertinentes et non excessives par rapport à la finalité du traitement.
Sur les destinataires des données
Dans la limite de leurs attributions respectives et pour l’exercice de la finalité précitée, seuls peuvent être habilités à avoir communication des données précitées traitées aux fins de lutte contre le blanchiment de capitaux et le financement du terrorisme, pour la mise en œuvre des mesures de sanctions financières :
les personnels du contrôle opérationnel qui détermine si la personne souhaitant conclure un contrat a la qualité de PPE ou qu’elle ne figure pas sur une liste de gel des avoirs dans le cadre d’un contrôle de premier niveau et de second niveau,
le Secrétaire général habilité à prendre la décision de nouer une relation d’affaires avec une PPE.
Ces données sont également susceptibles d’être transmises au procureur de la République dans les conditions définies à l’article L561-1 du CMF.
Elles peuvent également être transmises au groupe RABOBANK en application des dispositions de l’article L511-34 du CMF.
Les actions effectuées par ces personnes doivent être tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.
Sur les mesures de sécurité
La société BOUWFONDS MARIGNAN IMMOBILIER prend toutes précautions utiles pour préserver la sécurité et la confidentialité des données traitées et, notamment pour empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés puissent en prendre connaissance.
Sur l’information des personnes concernées et l’exercice du droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes sont informées de l’identité du responsable de traitement, de sa finalité, du caractère obligatoire ou facultatif des réponses et des conséquences éventuelles d’un défaut de réponse, des destinataires des données et des droits qu’elles détiennent en application de la présente loi. 
Le droit d’accès s’exerce conformément aux dispositions de l’article 39 de la loi ci-dessus.
Dans ces conditions, la Commission autorise la société BOUWFONDS MARIGNAN IMMOBILIER à mettre en œuvre un traitement automatisé ayant pour finalité la lutte contre le blanchiment de capitaux, le financement du terrorisme et l’application des mesures de gel des avoirs.
La Présidente
Isabelle FALQUE-PIERROTION
(autorisation n° 1517979)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique et notamment les articles L. 6321-1, L.1110-4 et L.1111-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée, et notamment ses articles 8-IV et 25-I,1°; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Jean MASSOT, commissaire, et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier, la Fédération Française de Canoë Kayak à mettre en œuvre un dossier médical partagé pour les joueurs des clubs de Ligue 1 et de Ligue 2, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Responsable du traitement
La fédération Française de Canoë Kayak (94)
Finalités
- Permettre, par la mise en place d’un dossier médical partagé adapté à la mobilité des sportifs, un échange sécurisé d’informations médicales entre les professionnels de santé qui les prennent en charge afin, d’une part, de favoriser une meilleure prévention médicale et d’autre part, d’assurer la coordination des soins dispensés à ces sportifs.- Etablir des statistiques à partir de données préalablement anonymisées afin de produire des indicateurs d’activité. La Commission rappelle qu’il conviendra, le cas échéant de se conformer aux dispositions des chapitres IX et X de la loi du 6 janvier 1978 modifiée.
La Présidente
Isabelle FALQUE-PIERROTIN
(autorisation n° 1514837)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique et notamment les articles L. 6321-1, L.1110-4 et L.1111-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée, et notamment ses articles 8-IV et 25-I,1°; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Jean MASSOT, commissaire, et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier, la Fédération Française de Motocyclisme à mettre en œuvre un dossier médical partagé pour les sportifs professionnels exerçant au sein de ses clubs, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Responsable du traitement
La Fédération Française de Motocyclisme (Paris)
Finalités
(autorisation n° 1527043)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique et notamment les articles L. 6321-1, L.1110-4 et L.1111-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée, et notamment ses articles 8-IV et 25-I,1°; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Jean MASSOT, commissaire, et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier, la Fédération Française des Sociétés d’Aviron à mettre en œuvre un dossier médical partagé pour les sportifs professionnels exerçant au sein de ses clubs, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Responsable du traitement
La Fédération Française des Sociétés d’Aviron (94)
Finalités