AgentPublic/cnil huggingface dataset:
Vu la délibération n° 2005-280 du 22 novembre 2005 portant avis sur le projet d’ordonnance relatif aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Sur le rapport de Monsieur Alex TURK, Président et les observations de Madame Elisabeth ROLIN, commissaire du gouvernement ; 
Emet l’avis suivant :
La Commission nationale de l’informatique et des libertés s’est saisie, le 17 février 2010, d’une demande d’avis sur un projet de décision de son Président, relative à la mise à disposition des usagers de la Cnil de téléservices pour l’accomplissement des formalités déclaratives ainsi que la transmission de plaintes.
La mise en place de ces téléservices s’inscrit dans une démarche de simplification des échanges entre la Commission et les usagers.
Le traitement mis en œuvre dans ce cadre constituant un téléservice de l’administration, il relève de la procédure prévue au 4° du II de l’article 27 précité.
Sur les finalités et les fonctionnalités
Le traitement a pour finalités, d’une part, la mise en ligne des formulaires permettant l’accomplissement auprès de la Cnil de toutes les procédures prévues par la loi du 6 janvier 1978 modifiée en août 2004, et la mise en ligne d’un formulaire permettant de saisir la Cnil de plaintes d’autre part.
La Commission constate que ce traitement repose sur plusieurs fonctionnalités ayant pour objet, l’enregistrement des dossiers, le contrôle de cohérence des données saisies, la mise à jour et le suivi des dossiers, les éditions des listes de traitements conformément aux dispositions de l’article 31 de la loi du 6 janvier 1978 modifiée en août 2004, l’enregistrement, l’instruction et le suivi des plaintes, ainsi que l’élaboration de statistiques.
Elle prend acte de ce que l’utilisation des formulaires mis en ligne n’est pas obligatoire et que dès lors, les autres canaux d’échanges entre la CNIL et les usagers subsistent.
Sur les données à caractère personnel enregistrées 
L’article 2 du projet de décision énumère les catégories de données à caractère personnel enregistrées.
Concernant les dossiers de formalité, sont collectés les éléments suivants : identification du responsable du traitement (nom, prénom, adresse postale, adresse électronique, numéro de téléphone, numéro de fax), les principales caractéristiques du traitement déclaré conformément aux dispositions de la loi précitée.
Concernant les plaintes, sont collectés les éléments suivants : identification du requérant (nom, prénom, adresse postale, adresse électronique, numéro de téléphone), identification de l’organisme mis en cause par le requérant (nom, adresse postale), les éléments de contexte fournis par le requérant utiles à l’instruction de la plainte.
La Commission estime que les données susmentionnées sont adéquates, pertinentes et non excessives au regard des finalités définies à l’article 1 du projet de décision.
Sur les destinataires
La Commission constate que l’article 3 du projet de décision détermine les catégories de destinataires habilités à recevoir communication de ces données en fonction de leurs attributions respectives : les services habilités de la Commission, les membres de la Commission, le Commissaire du Gouvernement.
Par ailleurs, elle prend acte de ce que, dans les conditions prévues par l’article 31 de la loi de 1978 précitée, toute personne peut être destinataire de la liste des caractéristiques des traitements enregistrés par la CNIL.
De même, la Commission prend acte que, dans le cadre de l’instruction d’une plainte, le responsable de l’organisme mis en cause dans le cadre d’une plainte ainsi que les organismes tiers susceptibles d’être sollicités peuvent être destinataires des informations utiles au règlement de celle-ci.
Sur les droits des personnes
Les utilisateurs sont informés de leurs droits par une mention d’information figurant sur le site internet de la Cnil. Ils peuvent exercer leur droit d’accès et de rectification en contactant le Correspondant Informatique et Libertés.
Sur les mesures de confidentialité et de sécurité mises en place
La Commission prend acte de ce que des règles de sécurités permettront de contrôler l’accès aux formulaires transmis par voie électronique.
Elle prend également acte de l’engagement du responsable de traitement d’assurer la confidentialité des données qui seront traitées et de ne les utiliser qu’aux seules fins définies par le projet de décision. 
Le Président 
Alex TURK
Le bureau de la Commission nationale de l’informatique et des libertés,
Vu la loi modifiée n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 11 (2° f), 19, 20 et 44 ;
Vu le décret modifié n° 2005-1309 du 20 octobre 2005, pris pour l’application de la loi du 6 janvier 1978, notamment ses articles 57 à 60 ;
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés, notamment son article 61 ;
Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d’attributions au bureau de la Commission nationale de l’informatique et des libertés ;
Après avoir entendu M. Emmanuel de GIVRY, vice-président délégué, en son rapport, et  Madame Elisabeth ROLIN, commissaire du gouvernement, en ses observations,
Décide :
Article 1er : 
Les agents de la Commission nationale de l’informatique et des libertés ci-après désignés sont habilités, à raison de leurs fonctions, à effectuer les visites et vérifications mentionnées à l’article 44 de la loi du 6 janvier 1978 susvisée :
Madame Leslie BASSE, chargée de mission au service des affaires juridiques à la direction des affaires juridiques, internationales et de l’expertise ;
Madame Anna BENISTI, attachée au service des plaintes à la direction des relations avec les usagers et du contrôle ;
Madame Emmanuelle BARTOLI, attachée au service des affaires européennes et internationales à la direction des affaires juridiques, internationales et de l’expertise ;
Monsieur Franck BAUDOT, ingénieur expert au service de l’expertise informatique à la direction des affaires juridiques, internationales et de l’expertise ;
Monsieur Thierry CARDONA, ingénieur au service des contrôles à la direction des relations avec les usagers et du contrôle ;
Madame Johanna CARVAIS, attachée au service des affaires juridiques à la direction des affaires juridiques, internationales et de l’expertise ;
Monsieur Thomas DAUTIEU, chef du service des contrôles à la direction des relations avec les usagers et du contrôle ;
Monsieur Guillaume DELAFOSSE, chargé de mission au service des plaintes à la direction des relations avec les usagers et du contrôle ;
Monsieur Xavier DELPORTE, chargé de mission au service des plaintes à la direction des relations avec les usagers et du contrôle ;
Monsieur Julien DROCHON, informaticien contrôleur au service des contrôles à la direction des relations avec les usagers et du contrôle ;
Monsieur Norbert FORT, chef du service des plaintes à la direction des relations avec les usagers et du contrôle ;
Madame Florence FOURETS, directrice des relations avec les usagers et du contrôle ;
Monsieur Michel GUEDRE, informaticien contrôleur au service des contrôles à la direction des relations avec les usagers et du contrôle ;
Madame Alexandra GUERIN-FRANCOIS, attachée au service des affaires juridiques à la direction des affaires juridiques, internationales et de l’expertise ; 
Madame Fatima HAMDI, chargée d’étude au service d’orientation et de renseignement du public à la direction des relations avec les usagers et du contrôle ;
Madame Aurélie HARVENT, attachée au service des correspondants à la direction des relations avec les usagers et du contrôle ; 
Monsieur Paul HEBERT, chef du service des affaires juridiques à la direction des affaires juridiques, internationales et de l’expertise ;
Madame Odile JAMI, chargée de mission au service des plaintes à la direction des relations avec les usagers et du contrôle ;
Madame Karin KIEFER, attachée au service de la gestion des sanctions à la direction des relations avec les usagers et du contrôle ;
Monsieur Stéphane LABARTHE, informaticien contrôleur au service des contrôles à la direction des relations avec les usagers et du contrôle ;
Monsieur Bernard LAUNOIS, informaticien contrôleur au service des contrôles à la direction des relations avec les usagers et du contrôle ;
Monsieur Gwendal LE GRAND, chef du service de l’expertise informatique à la direction des affaires juridiques, internationales et de l’expertise ;
Madame Frédérique LESAULNIER, attachée au service des affaires juridiques à la direction des affaires juridiques, internationales et de l’expertise ;
Monsieur Olivier LESOBRE, chef du service de la gestion des sanctions à la direction des relations avec les usagers et du contrôle ;
Monsieur Laurent LIM, chargé de mission au service des affaires juridiques à la direction des affaires juridiques, internationales et de l’expertise ;
Monsieur Oliver MATTER, attaché au service des affaires européennes et internationales à la direction des affaires juridiques, internationales et de l’expertise ;
Madame Bérengère MONEGIER DU SORBIER, responsable de la cellule du droit d’accès indirect à la direction des relations avec les usagers et du contrôle ;
Monsieur Richard MONTBEYRE, attaché au service de la gestion des sanctions à la direction des relations avec les usagers et du contrôle ;
Monsieur Mathias MOULIN, chef du service des correspondants à la direction des relations avec les usagers et du contrôle ; 
Madame Sophie NERBONNE, directrice-adjointe des affaires juridiques, internationales et de l’expertise ;
Monsieur Yann PADOVA, secrétaire général ;
Monsieur Alain PANNETRAT, ingénieur expert au service de l’expertise informatique à la direction des affaires juridiques, internationales et de l’expertise ;
Madame Danièla PARROT, attachée au service des affaires juridiques à la direction des affaires juridiques, internationales et de l’expertise ;
Monsieur Judicaël PHAN, attaché au service des affaires juridiques à la direction des affaires juridiques, internationales et de l’expertise ;
Madame Emilie PASSEMARD, chef du service de l’orientation et du renseignement du public à la direction des relations avec les usagers et du contrôle ;
Madame Délia RAHAL-LOFSKOG, attachée au service des affaires juridiques à la direction des affaires juridiques, internationales et de l’expertise ;
Madame Florence RAYNAL, chef du service des affaires européennes et internationales à la direction des affaires juridiques, internationales et de l’expertise ; 
Monsieur Patrick REFALO, directeur adjoint des relations avec les usagers et du contrôle ;
Madame Stéphanie REGNIE, attachée au service des affaires européennes et internationales à la direction des affaires juridiques, internationales et de l’expertise ; 
Monsieur Nicolas REVELLO, auditeur au service des contrôles à la direction des relations avec les usagers et du contrôle ;
Monsieur Jean-Emmanuel SASTRE, auditeur au service des contrôles à la direction des relations avec les usagers et du contrôle ;
Madame Sophie VULLIET-TAVERNIER, directrice des affaires juridiques, internationales et de l’expertise ;
Madame Albine VINCENT, auditrice au service des contrôles à la direction des relations avec les usagers et du contrôle ;
Monsieur Christophe VIVENT, informaticien contrôleur au service des contrôles à la direction des relations avec les usagers et du contrôle ;
Madame Clémentine VOISARD, chargée de mission à la direction des affaires juridiques, internationales et de l’expertise ;
Madame Elise WOLTON, attachée au service des affaires juridiques à la direction des affaires juridiques, internationales et de l’expertise ;
Article 2 :
La délibération n°2009-326 du 4 juin 2009 habilitant des agents de la CNIL à procéder à des missions de vérification sur place est abrogée ; 
Article 3 : 
Les habilitations mentionnées à l’article 1er sont délivrées pour une durée de cinq ans ; 
Article 4 :
La présente décision prendra effet à compter de la date de sa publication au Journal Officiel de la République française.
Le Président
Alex TURK
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la demande d’autorisation présentée par la société Apave Parisienne d’un traitement automatisé de données à caractère personnel reposant sur la reconnaissance du réseau veineux des doigts et ayant pour finalité le contrôle d’accès à des appareils de reprographie multifonctions ;
Après avoir entendu M. Hubert BOUCHET, commissaire en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l’informatique des libertés a été saisie par la société Apave Parisienne d’un traitement automatisé de données à caractère personnel reposant sur la reconnaissance du réseau veineux des doigts et ayant pour finalité le contrôle d’accès à des appareils de reprographie multifonctions.
Il y a lieu de faire application des dispositions prévues à l’article 25-I-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes.
L’Apave Parisienne souhaite contrôler l’accès à des appareils de reprographie multifonctions ayant diverses fonctionnalités telles que celles de photocopieur, de scanneur ou d’imprimantes, fax et courriel et par lesquels transitent des documents potentiellement sensibles : des plans d’installation de zones sensibles, d’accès à ces zones pour certains de ses inspecteurs ainsi que des rapports confidentiels. 
Le traitement projeté a notamment vocation à améliorer la confidentialité des informations traitées par l’Apave Parisienne. Il doit permettre de garantir que seules les personnes habilitées pourront accéder aux documents reproduits, scannés ou envoyés. De même, ce type de dispositif permet d’éviter que des tiers non autorisés aient accès aux documents oubliés dans les appareils de reprographie multifonctions ou ne les récupèrent par erreurs lorsque plusieurs documents sont imprimés par différents utilisateurs.
Le dispositif concernera l’ensemble des salariés de la société et sera installé sur 67 appareils de reprographie multifonctions situés sur les 20 sites de la société Apave Parisienne. Il reposera sur un système de lecture-comparaison du réseau veineux des doigts de la main situé sur chaque copieur. L’utilisateur venant récupérer des éditions lancées de son poste de travail sur l’appareil de reprographie multifonctions s’authentifiera afin de lancer l’impression. Il pourra également utiliser le dispositif pour scanner des documents et se les envoyer par mail. L’identification permettra une sauvegarde automatique du fichier créé sur l’espace réseau personnel de l’utilisateur. 
Les salariés auront le choix d’utiliser ou non le dispositif biométrique. En cas de refus, une solution alternative sous forme de renseignement d’un mot de passe sera proposée.
Le contrôle de l’accès aux différentes fonctionnalités de l’appareil de reprographie multifonctions s’effectuera par la comparaison entre le doigt apposé sur le lecteur et une image du réseau veineux enregistrée sur un serveur dans une base centralisée. Les gabarits stockés seront chiffrés. Le gabarit biométrique et les éléments d’identification des utilisateurs seront effacés lors du départ de l’employé de la société.
La Commission considère que le réseau veineux des doigts de la main, en l’état actuel de la technique, est une biométrie sans trace qui n’est pas susceptible d’être capturée à l’insu des personnes et dont l’enregistrement sur un serveur aux fins de contrôler les accès à des documents et d’en garantir la confidentialité ne comporte pas de risques particuliers pour les libertés et les droits fondamentaux des personnes. Dès lors, la Commission considère que le traitement pris dans son ensemble apparaît adapté et proportionné du point de vue de la protection des données personnelles.
Les droits d’accès et de rectification s’exerceront auprès du correspondant informatique et libertés de l’Apave Parisienne, 13/17, rue Salneuve, 75854 Paris Cedex 17.
Les catégories de données à caractère personnel enregistrées seront :
l’identité de la personne (nom, prénom,) ;
adresse réseau du poste de travail
le gabarit chiffré du réseau veineux du doigt de la main ;
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les administrateurs informatiques.
Dans ces conditions, la Commission autorise l’Apave Parisienne à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le Code de la sécurité sociale et, notamment, ses articles L. 114-9 à L. 114-21 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004 et notamment les articles 8-IV et 25-I-3°;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Après avoir entendu, M. Philippe GOSSELIN, commissaire en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l’informatique des libertés a été saisie par la Caisse nationale des allocations familiales (CNAF) d’un traitement de données à caractère personnel ayant pour finalité l’amélioration du ciblage des comptes allocataires à contrôler par les Caisses d’allocations familiales (CAF).
Ce traitement relève du régime de l’autorisation prévu à l’article 25-I-3° de la loi du 6 janvier 1978 modifiée, applicable aux traitements portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.
Sur les finalités poursuivies par le traitement
Ce traitement (« datamining ») s’inscrit dans le cadre de la lutte contre la fraude. Il a pour objectif d’améliorer le ciblage des dossiers allocataires à contrôler sans modifier la procédure de contrôle vis-à-vis de l’usager. A cet effet, il crée un outil permettant de détecter dans les dossiers des allocataires les corrélations existantes entre les dossiers à risque (comportements types des fraudeurs). Le logiciel de « datamining » croise les données pour découvrir des liens entre les dossiers de fraude. 
La mise en place de cet outil comporte plusieurs étapes : 
la première étape consiste à réaliser un modèle statistique de détection des fraudes en utilisant la base de données anonymisées gérée par la CNAF « Allnat ». L’outil de « datamining » analyse ces données et détermine les profils de dossiers présentant des risques de fraude ;
la seconde étape a pour objet de déployer dans l’ensemble des Caisses d’allocations familiales (CAF) cet outil pour réaliser des requêtes ;
la troisième étape consiste à appliquer le modèle aux bases de données locales de chaque CAF pour cibler les dossiers à contrôler en fonction d’un score de risque. L’attribution de ce score à chaque dossier varie en fonction de son degré de similitude avec le modèle. Les dossiers présentant les plus forts risques de fraude sont proposés, en priorité, pour un contrôle selon la procédure habituelle. 
A l’issue des contrôles effectués par les agents habilités de la caisse concernée, un code particulier dénommé « suspicion de fraude »est inséré dans les dossiers des allocataires pour lesquels une fraude est suspectée.
Si la fraude est retenue, un code fraude est inséré dans l’application de gestion des prestations familiales et de l’action sociale (CRISTAL). Les fraudes sont classées en quatre catégories : les actes d’omission et de fausse déclaration (code 641), les fraudes à l’isolement (code 642) qui sont propres aux prestations pour parents isolés, les faux et usage de faux (code 643) et les escroqueries (code 644).
Conformément à l’article 10 de la loi du 6 janvier 1978, le résultat ne peut avoir, en toute hypothèse, qu’un caractère indicatif. Le dossier est en effet soumis à une commission administrative « fraude » qui propose soit de ne pas retenir la fraude, soit de la retenir avec diverses options : la fraude pourra être retenue sans pénalité mais avec envoi d’une lettre d’avertissement, ou avec signalement au parquet, ou avec application des pénalités, ou suspension de l’aide au logement, enfin le cas échéant, avec dépôt de plainte.
Si la fraude n’est pas retenue par le directeur, il y a effacement sans délai du code suspicion dans la base précitée CRISTAL.
Les cas de fraudes font ensuite l’objet d’une anonymisation avant de figurer dans la base de données statistiques « Allnat » servant à la création des modèles de « datamining ».
Sur les catégories de données traitées
Les données traitées pour élaborer l’outil de « datamining » concernent les données administratives relatives aux dossiers des allocataires : la situation de famille (âge, statut du NIR : certifié ou non, présence d’un conjoint, code nationalité : française, union européenne ou hors union européenne), nature éventuelle de la tutelle, données relatives à la gestion du dossier, aux enfants ou personnes à charge, à l’activité professionnelle, aux ressources, aux prestations versées, au logement, aux contacts avec l’allocataire, aux contrôles des dossiers, aux indus, aux rappels et à la fraude (sanctions, types de fraude, préjudice). Ces données ne sont pas identifiantes.
Les catégories de données relatives aux fraudes sont issues de CORALI et celles relatives aux indus proviennent de CRISTAL et sont utilisées pour la modélisation des profils des fraudeurs. 
Un code fraude (fausse déclaration, faux et usage de faux, escroquerie) sera affecté à chaque dossier qualifié comme tel. Ce code sera supprimé, sans délai, si la fraude n’est pas retenue 
Les données statistiques figurant dans la base de données « Allnat »sont réactualisées chaque mois en fonction de la vie du dossier allocataire. 
Chaque année, l’outil « datamining » mettra à jour les profils en utilisant les données de la base Allnat des seuls douze derniers mois. 
Sur les catégories de destinataires