AgentPublic/cnil huggingface dataset:
Concernant les modalités d’accès aux données, les utilisateurs sont authentifiés au moyen d’un mot de passe alphanumérique d’une durée de validité de trois mois. La Commission rappelle qu’elle recommande l’utilisation de mots de passe d’une longueur de huit caractères, composés de trois types de caractères (minuscules, majuscules, chiffres, caractères spéciaux). Lors de la première connexion, le mot de passe doit être modifié par l’utilisateur, et ne doit pas être conservé en clair dans un fichier ou une base de données. Afin de s’assurer que les mots de passe sont conservés dans des conditions garantissant leur confidentialité, la Commission recommande de recourir à un algorithme de hachage à clé secrète. Des profils d’habilitation permettent de déterminer les données auxquelles peuvent accéder les utilisateurs.Concernant les mesures de traçabilité, l’ensemble des accès en création, modification, mise à jour et suppression sont tracés et conservés dans le dossier de la personne.Concernant les réseaux au travers desquels sera accessible le traitement, ceux-ci seront reliés entre eux par un réseau VPN (Virtual Network Computer) présentant un niveau de sécurité suffisant.Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données seront conservées pendant trente ans, en application des dispositions légales et règlementaires applicables. La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement. 
Autorise, conformément à la présente délibération, l’Etablissement Français du Sang à mettre en œuvre le traitement susmentionné.
Le Vice-président Délégué
Emmanuel de GIVRY
(Demande d’autorisation n° 1730066)
La Commission nationale de l'informatique et des libertés,
Saisie par le Conseil National de l’Ordre des Pharmaciens (CNOP) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion et le suivi des précontentieux et contentieux des affaires d’exercice illégal de la pharmacie, des procédures pénales dont font l’objet les pharmaciens inscrits au Tableau de l’Ordre et de toute autre procédure relative à des faits susceptibles de porter préjudice à la profession pharmaceutique ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 4223-1 et L. 4231-2 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9-1° et 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la circulaire du 24 septembre 2013 de la garde des sceaux, ministre de la justice, relative aux relations entre les parquets et les ordres des professions en lien avec la santé publique ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Conseil National de l’Ordre des Pharmaciens (CNOP)
Sur la finalité
Le CNOP est le défenseur de la légalité et de la moralité professionnelle de la profession pharmaceutique. A ce titre, il peut exercer devant les juridictions tous les droits réservés à la partie civile relativement aux faits portant un préjudice direct ou indirect à l’intérêt collectif de la profession. 
Afin d’être mis en mesure d’exercer ses droits, le CNOP est informé systématiquement par les parquets des procédures ouvertes du chef d’exercice illégal de la pharmacie ainsi que des  procédures concernant des pharmaciens en exercice.
Le CNOP reçoit également des signalements de la part de particuliers, pharmaciens ou conseillers ordinaux qui lui révèlent des faits susceptibles de constituer une atteinte à la profession pharmaceutique. Le CNOP doit analyser ces signalements pour déterminer la suite à y donner : agir devant les juridictions ou transmettre à une autorité administrative compétente.
Dans sa délibération n° 2013-133 du 23 mai 2013, la Commission a autorisé le CNOP à mettre en œuvre un traitement nécessaire à « la gestion et le suivi du contentieux disciplinaire, du contentieux du contrôle technique de la sécurité sociale et des procédures administratives ». Le présent traitement s’en distingue dans la mesure où il concerne la gestion et le suivi des affaires pénales et plus particulièrement :
Les affaires d’exercice illégal de la pharmacie ;
Les procédures pénales concernant les pharmaciens inscrits au Tableau de l’Ordre, ayant un lien avec l’exercice de la profession et/ou étant susceptibles de jeter un doute sur leur moralité professionnelle ;
Les procédures relatives aux faits susceptibles de porter préjudice à l’intérêt collectif de la profession pharmaceutique.
Commenter les affaires importantes ou représentatives et établir des statistiques anonymes en vue d’informer les conseils régionaux de l’Ordre, les collaborateurs de l’Ordre et les conseillers ordinaux ;
Faciliter l’organisation et l’accès aux archives des affaires ci-dessus mentionnées.
A titre accessoire, le présent traitement permettra également de :
Les affaires d’exercice illégal de la pharmacie ;
Les procédures pénales concernant les pharmaciens inscrits au Tableau de l’Ordre, ayant un lien avec l’exercice de la profession et/ou étant susceptibles de jeter un doute sur leur moralité professionnelle ;
Les procédures relatives aux faits susceptibles de porter préjudice à l’intérêt collectif de la profession pharmaceutique.
Commenter les affaires importantes ou représentatives et établir des statistiques anonymes en vue d’informer les conseils régionaux de l’Ordre, les collaborateurs de l’Ordre et les conseillers ordinaux ;
Faciliter l’organisation et l’accès aux archives des affaires ci-dessus mentionnées.
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 9-1° et 25-I-3° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives aux infractions, condamnations et mesures de sûreté.
Sur les données traitées
Concernant les personnes et les pharmaciens mis en cause dans les procédures, les informations suivantes seront traitées :
Données d’identification (nom, prénom, date et lieu de naissance) ;
Vie personnelle (situation familiale, coordonnées) ;
Infractions, condamnations et mesures de sûreté (état de la procédure, nature des infractions, condamnations et mesures de contrôle judiciaire) ;
Toute information susceptible de figurer dans les documents transmis par les magistrats ou avocats.
Seront également collectés dans le cadre du présent traitement, les noms, prénoms, qualités et coordonnées professionnelles des auxiliaires de justice, des membres du ministère public et des personnels des administrations destinataires des signalements. 
Concernant les auteurs des signalements, leurs noms, prénoms et coordonnées personnelles seront traités.  
Enfin, il est prévu pour chaque affaire un champ libre destiné à recueillir les informations objectives et strictement nécessaires au suivi de l’affaire ou à son exécution, à l’exclusion de tout jugement de valeur.
La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Au sein de l’Ordre des Pharmaciens, seuls les conseillers ordinaux et les personnels habilités des conseils régionaux, centraux et national de l’Ordre seront destinataires des données.Les données nécessaires à l’exercice de leurs missions seront communiquées aux auxiliaires de justice intervenant dans les procédures et aux agents de l’administration destinataires d’un signalement.Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les auteurs de signalements auprès du CNOP seront contactés par courrier afin de les informer des suites données à leur signalement, du traitement de leurs données à caractère personnel et des modalités d’exercice de leurs droits.S’agissant des agents de l’administration auxquels le CNOP a transmis un signalement, leur information est assurée par une mention sur le site internet du CNOP.Les droits d’accès, de rectification et d’opposition tels que reconnus par la loi du 6 janvier 1978 modifiée, explicités sur les supports d’information précités, s’exerceront auprès du CNOP.La Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Le fichier de données à caractère personnel constitué dans le cadre du présent traitement sera enregistré sur le réseau local du CNOP et son accès limité aux seules personnes dûment habilitées de la Direction des Affaires Juridiques du CNOP.L’authentification des utilisateurs s’effectuera au moyen d’un mot de passe d’une taille minimale de huit caractères, composé d’au moins trois caractères différents (minuscules, majuscules, chiffres ou caractères spéciaux) et changé tous les six mois.La Commission rappelle la nécessité de garantir la sécurité du stockage des données dont la confidentialité est d’autant plus importante qu’elle concerne des données d’infraction et de condamnation. Pour cette raison, la Commission recommande la mise en œuvre d’une mesure de chiffrement des données ou de toute autre mesure garantissant un haut niveau de sécurité des données comme des mécanismes renforcés de journalisation assurant la traçabilité complète des actions sans possibilité de modifier le journal des traces.Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Quand une procédure pénale est engagée, les données seront conservées jusqu’à épuisement des voies de recours et exécution de la décision.Une fois la décision devenue définitive et exécutée, les documents papiers seront archivés pour une durée de 10 ans puis détruits ou transmis aux archives nationales. Un exemplaire de la décision de justice devenue définitive sera tout de même conservé au format électronique, sur un support amovible placé dans une armoire fermée, et ne sera accessible qu’aux seuls personnels dûment habilités de la Direction des Affaires Juridiques du CNOP, dans un intérêt jurisprudentiel.Lorsque le signalement ne donnera pas lieu à engagement d’une procédure, le CNOP conservera les informations jusqu’à expiration du délai de prescription de l’action pénale, puis les détruira.La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, le Conseil National de l’Ordre des Pharmaciens (CNOP) à mettre en œuvre le traitement susmentionné.
Le Vice-président Délégué
Emmanuel de GIVRY
(Demande d’autorisation n°1729851)
La Commission nationale de l’informatique et des libertés ;
Saisie par la BANQUE CHALUS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l’identité ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L. 561-5 et R. 561-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
La BANQUE CHALUS, filiale de la Caisse régionale du Crédit Agricole Centre France.
Sur la finalité
La finalité du traitement est de lutter contre la fraude à l’identité. Il vise, par l’utilisation du logiciel RESOCOM, à détecter les documents présentant des anomalies susceptibles de révéler une fraude (faux document ou document falsifié) dans deux hypothèses : au moment de l’entrée en relation du client auprès de la banque, en cas de demande de prêt. La Commission estime que cette finalité est déterminée, explicite et légitime.Lorsque l’analyse de l’outil conclut à la non-conformité du document, la demande d’ouverture de compte ou la demande de prêt peut être refusée. Dans la situation inverse, si l’authenticité des documents est confirmée, il est fait droit à la demande du client. Dans l’hypothèse où la demande concerne l’octroi de crédit et si l’outil détecte une fraude documentaire présumée, la banque peut décider de clôturer le compte du client conformément aux conditions prévues par la convention de compte.Ce traitement peut ainsi du fait de sa portée et de sa finalité, exclure une personne du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition légale prévoyant une telle exclusion. Il est dès lors soumis à autorisation de la Commission, en application des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée.Plus précisément, il existe un premier contrôle visuel réalisé par le chargé de clientèle qui reçoit la personne souhaitant entrer en relation avec la banque. Le contrôle de la pièce d’identité se fait ensuite via la bande
MRZ tandis que le contrôle des justificatifs, notamment lors d’une demande d’octroi de crédit, est réalisé par comparaison avec la base de documents. Ce contrôle est réalisé par la saisie manuelle dans l’outil des données qui figurent sur le document d’identité ou par une analyse automatique, par reconnaissance optique de caractères, d’une copie numérisée. L’outil vérifie alors la cohérence des lignes MRZ avec les données saisies ou numérisées.Lorsque les documents d’identité sont détectés non conformes, le service prévention de la fraude effectue un contrôle de second niveau.
Le traitement mis en œuvre ne constitue dès lors qu’un outil d’aide à l’analyse des documents d’identité présentés par la personne concernée lors de l’entrée en relation avec la BANQUE CHALUS. La Commission prend acte qu’en cas de détection d’anomalie, une analyse complémentaire sera effectuée par les personnels habilités du pôle lutte contre la fraude afin, le cas échéant, de confirmer la tentative de fraude.Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées.
Sur les données traitées
Les catégories de données traitées sont relatives : - à l’identité des personnes concernées : nom, prénom(s), sexe, adresse, date et lieu de naissance, nationalité,- aux documents d’identité : numéro de document, date et lieu de délivrance, date d’expiration, validité pour les seuls titres de séjour, autorité émettrice du passeport, bande MRZ de la pièce d’identité,- aux justificatifs de domicile et de revenu,- au résultat du contrôle : compte rendu automatique généré par l’outil sur la cohérence du contrôle (positif ou négatif).Les données collectées ne sont utilisées que le temps de la vérification de l’authenticité des documents. En cas de non-conformité des pièces, les documents sont restitués à la personne à l’origine de la demande. Dans l’hypothèse inverse et si la demande est validée, une copie des documents est conservée, conformément à la législation bancaire.La Commission considère, compte tenu de la finalité poursuivie, que ces données sont pertinentes, adéquates et non excessives, conformément à l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les conseillers clients, les opérationnels chargés de la prévention de la fraude, le responsable et les chargés de la prévention de la fraude, les analystes crédits et les collaborateurs en charge du contrôle de la conformité des dossiers d’entrée en relation ont accès aux informations contenues dans le logiciel.La  liste de ces destinataires, qui font l’objet d’une habilitation individuelle, n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès 
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la banque sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention qui figure dans la convention de compte du client et sur le site internet de la banque.Cette mention rappelle notamment que les droits d’accès et de rectification s’exercent auprès du Service Conformité, par courrier postal à l’adresse suivante : BANQUE CHALUS, 5 place de Jaude – 63000 Clermont Ferrand.La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application avec des profils d’habilitation et un contrôle d’accès logique qui se fait par mot de passe.Chaque utilisateur dispose d'un identifiant qui lui est propre et d’un mot de passe composé de 8 caractères comprenant au moins 3 des 4 types de caractères suivants : majuscules, minuscules, chiffres et caractères spéciaux. La Commission prend note que ceux-ci sont générés par RESOCOM qui les fournit directement aux personnes habilitées et s’engage à détruire automatiquement toute trace des mots de passe, une fois ceux-ci envoyés. La Commission rappelle que les mots de passe doivent être changés par l’utilisateur à la première connexion et régulièrement.Une journalisation des opérations de connexion à l’application, de vérification des pièces et du résultat de ces opérations est réalisée via un outil mis à disposition par RESOCOM. La Commission rappelle que les utilisateurs doivent être informés que leurs actions font l'objet d'une journalisation. Enfin, l’accès à l’application est sécurisé au moyen du protocole http/HTTPS/FTP.Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Ce traitement ne permet pas d’établir une « liste noire » de personnes ayant présenté des titres d’identité comportant des anomalies ou des titres d’identité falsifiés ou volés.Des statistiques sur des données anonymisées sont réalisées à partir des résultats de l’outil et permettent de chiffrer le nombre d’alertes par entité, par point de vente, par type de document et par département.Ces autres caractéristiques n’appellent pas d’observation particulière de la Commission.
Autorise, conformément à la présente délibération, la BANQUE CHALUS, à mettre en œuvre le traitement susmentionné. 
Le Vice-président Délégué
Emmanuel de GIVRY
(Demande d’autorisation n°1732031)
La Commission nationale de l’informatique et des libertés ;
Saisie par le Crédit Agricole de la Corse d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l’identité ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L. 561-5 et R. 561-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le Crédit Agricole de la Corse, ci-dessous dénommé le Crédit Agricole.
Sur la finalité
Le traitement mis en œuvre ne constitue dès lors qu’un outil d’aide à l’analyse des documents d’identité présentés par la personne concernée lors de l’entrée en relation avec le Crédit Agricole. La Commission prend acte qu’en cas de détection d’anomalie, une analyse complémentaire sera effectuée par les personnels habilités du pôle lutte contre la fraude afin, le cas échéant, de confirmer la tentative de fraude.Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées.
Sur les données traitées
Les conseillers clients, les opérationnels chargés de la prévention de la fraude, le responsable et les chargés de la prévention de la fraude, les analystes crédits et les collaborateurs en charge du contrôle de la conformité des dossiers d’entrée en relation ont accès aux informations contenues dans le logiciel.La  liste de ces destinataires, qui font l’objet d’une habilitation individuelle, n'appelle pas d'observation particulière
Sur l’information et le droit d’accès 
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la banque sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention qui figure dans la convention de compte du client et sur le site internet de la banque.Cette mention rappelle notamment que les droits d’accès et de rectification s’exercent auprès du Service Réclamation, soit par courrier postal à l’adresse suivante : Crédit agricole de la Corse - 1, avenue Napoléon III-BP 308-20193, soit par courrier électronique à l’adresse suivante : contact@ca-corse.fr   La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité