AgentPublic/cnil huggingface dataset:
Le formulaire « securimate » permet, via une recherche externe auprès de sources publiques, par exemple les listes du bureau de l’industrie et de la sécurité des Etats-Unis, de prendre connaissance de l’implication du fournisseur / partenaire dans des actes de corruption. En fonction des réponses aux questionnaires, il peut être mis à jour des points de vigilance particuliers (dits « Red Flags ») à prendre en compte de manière à assurer une protection contre le risque de corruption. 
Les niveaux de risque évalués prennent notamment en compte le classement du pays concerné tel qu’évalué par Transparency International (Corruption Perception Index). Le score détermine les 3 niveaux de risque ainsi que les dispositions préventives à envisager (par exemple : clauses contractuelles additionnelles, formations, plan de suivi de certaines obligations du prestataire ou partenaire). 
La Commission observe que l’outil n’est qu’une aide à la décision et que par conséquent, aucune décision de refus d’entrée en relation avec l’entité ne sera prise sur la seule base des informations recueillies par le biais de l’outil utilisé, quel que soit le score calculé. Une analyse individuelle permet de lever les cas d’homonymie et évalue la nécessité de collecte potentielle d’informations complémentaires est réalisée.
La Commission estime que le traitement répond à l’intérêt légitime du responsable du traitement conformément à l’article 7-5° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Dans le cadre de la procédure de vérification préalable d’intégrité du partenaire commercial, la société ELANCO FRANCE SAS collecte les données suivantes portant sur des contacts professionnels, des dirigeants ou des actionnaires principaux :
Données d’identification : nom, prénom, genre, adresse postale et électronique,  date et lieu de naissance, nationalité.
Données liées à la vie professionnelle : 
liens avec un gouvernement, avec des entités publiques, avec des organisations à but non lucratif ou avec des fonctionnaires ; 
intérêts dans l’entreprise ELANCO FRANCE SAS ou influence sur le devenir des produits et/ou activités ;
pourcentage du capital de l’entreprise pour les actionnaires significatifs (>15%).
Informations d’ordre économique et financier :
solvabilité ;
références bancaires ;
existence d’un embargo ; 
informations relatives aux précédentes interactions avec le partenaire. 
Données de connexion : identifiants de connexion et informations d’horodatage afin de tracer les journaux de connexion à l’outil.
La Commission relève que le questionnaire mentionne également le fait pour une personne d’avoir une représentation officielle ou d’exercer une mission officielle pour un parti politique, sans toutefois, préciser son identité.
Dans le cadre d’un « Red flag », la fonction rendue publique par la personne pourra être collectée au travers des recherches complémentaires.
S’agissant des questionnaires « securimate » correspondant à l’identification d’un risque, les données collectées sont les suivantes :
les données d’identification des membres du directoire et des principaux contacts professionnels devant intervenir dans le cadre de la prestation ;
la réputation de la société (contentieux lié à la corruption);
l’historique et le type de relation (consultant, distributeur, partenaire de co-entreprise, dépositaire, sous-traitants, fournisseur, autre) de la société avec le groupe LILLY ;
les relations de la société avec des services officiels ou gouvernementaux.
La collecte de données personnelles est limitée aux seules données nécessaires pour permettre l’évaluation du risque de corruption. 
La mention suivante figure sur les questionnaires avant toute zone à texte : « Notez uniquement les informations objectives et fiables et seulement si c’est nécessaire ; ne notez aucune information relative à des infractions ou condamnations concernant des personnes physiques ».
Seuls des liens vers des informations déjà rendues publiques ou des coupures de presse seront inclus dans les rapports afin de permettre de justifier auprès des autorités des investigations menées dans le cadre de la procédure « securimate ». 
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
Les opérations seront supervisées par le Directeur Ethique et Compliance de la société ELANCO FRANCE SAS. Il assure le déploiement et la bonne application des règles au niveau local.
Chaque teneur de compte (commercial, acheteur) n’accède qu’aux questionnaires relatifs à son portefeuille.
Les personnes destinataires des données sont les membres de l’équipe Ethique et compliance en France et aux Etats Unis (groupe spécialisé dans le traitement des sujets anticorruption), à titre exceptionnel les départements juridiques ainsi que les services d’audit.
Il existe une cellule dédiée composée de personnels spécialisés au sein de la maison-mère américaine ayant accès aux données des questionnaires. Le transfert est encadré par des clauses contractuelles types élaborées par la Commission européenne. 
Auront également accès aux données, les services Ethique et Compliance des autres entités du groupe pour les seuls partenaires commerciaux communs et pour les seules données relatives aux résultats de l’évaluation d’intégrité.
La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données traitées.
Sur l’information et le droit d’accès 
Les contrats commerciaux concernés comportent un article spécifique qui mentionne l’existence du programme de lutte contre la corruption.
Les questionnaires soumis aux partenaires commerciaux comportent une mention d’information relative aux droits des personnes.
Un contact et une adresse email dédiés seront mis en place de manière à permettre aux personnes concernées de mettre à jour leurs données, de les corriger ou d’en obtenir une copie.
Les personnes concernées pourront exercer leurs droits d’accès, de rectification et d’opposition auprès du service Ethique et compliance à l’adresse suivante : 24, boulevard Vital Bouhot - 92521   NEUILLY SUR SEINE.
Sur les mesures de sécurité
Des mesures de sécurité sont prises afin de préserver la sécurité et la confidentialité des données et, notamment, empêcher que des tiers non autorisés y aient accès. Les accès au système d’information et les opérations effectuées sur les supports d’enregistrement des données sont tracées.
Les mesures de sécurité envisagées n’appellent pas d’observations particulières.
Sur les transferts
Le processus de vérification fait intervenir un prestataire extérieur situé hors Union européenne. Les transferts des données vers les Etats-Unis sont encadrés par le « Privicy shield ».
Sur les autres caractéristiques du traitement
Les données issues des questionnaires et des documents générés par la procédure de vérification sont conservés pour une durée de 3 ans après la finalisation du processus d’évaluation de l’intégrité, et le cas échéant de la clôture des dossiers comportant un risque particulier (« Red flags »). 
La Commission relève que cette durée correspond à celle pendant laquelle la vérification d’un partenaire est considérée comme valable.
Les données seront ensuite archivées pendant 7 ans pour pouvoir justifier des diligences auprès des autorités, notamment dans le cadre de procédures judiciaires. Elles seront alors d’accès très limité. 
Autorise, conformément à la présente délibération, ELANCO FRANCE SAS à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
(Demande d’autorisation n° 2155746)
La Commission nationale de l'informatique et des libertés,
Saisie par la ministre des Outre-mer d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour objet l’interconnexion de fichiers en vue d’identifier les personnes remplissant les conditions d’inscription d’office sur les listes électorales générales de la Nouvelle-Calédonie, ainsi que leur inscription sur ces listes ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi organique n° 99-209 du 19 mars 1999 modifiée relative à la Nouvelle-Calédonie, notamment ses articles 218 et suivants ;
Vu le code électoral, notamment son article L. 17 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-5° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Le scrutin d’autodétermination portant sur le transfert à la Nouvelle-Calédonie des compétences régaliennes de l’Etat, sur l’accès à un statut international de pleine responsabilité et sur l’organisation d’une citoyenneté en nationalité repose sur un corps électoral spécial de personnes admises à participer à la consultation sur l’accession à la pleine souveraineté. L’inscription des électeurs sur la liste électorale générale de la Nouvelle-Calédonie constitue un préalable à l’inscription sur la liste électorale spéciale à la consultation, conformément à l’article 218 de la loi organique du 19 mars 1999 modifiée qui définit les conditions d’inscription dans ce corps électoral spécial.
A l’issue du XVIème comité des signataires de l’accord de Nouméa, les partenaires de l’accord ont convenu de la nécessité de procéder, de manière exceptionnelle et en raison de la consultation, à l’inscription d’office des personnes résidant en Nouvelle-Calédonie sur les listes électorales générales, en vue de leur inscription sur la liste électorale spéciale à la consultation lorsqu’elles remplissent les conditions posées par la loi organique du 19 mars 1999 modifiée.
Les conditions que ces personnes doivent remplir pour une inscription d’office sur la liste électorale générale de la Nouvelle-Calédonie, ainsi que le principe même de cette inscription d’office font l’objet d’un projet de loi organique relatif à l’organisation de la consultation sur l’accession de la Nouvelle-Calédonie à la pleine souveraineté, voté tout récemment par le Parlement. Il s’agirait des personnes de nationalité française, majeures et qui, n’étant pas déjà inscrites sur une liste électorale, ont leur domicile réel dans une commune de la Nouvelle-Calédonie ou y habitent depuis six mois au moins.
Le projet de loi organique prévoit qu’un décret en Conseil d’Etat précise les conditions de son application et notamment les opérations à mener afin d’identifier les personnes remplissant les nouvelles conditions qui auront été fixées en vue de les inscrire d’office sur la liste électorale générale de la Nouvelle-Calédonie.
Dans ce contexte, le ministère des Outre-mer souhaite mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour objet l’interconnexion de fichiers d’état civil, de fichiers électoraux et de certains fichiers sociaux.
Dès lors, il y a lieu de faire application des dispositions de l’article 25-I-5° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements ayant pour objet l’interconnexion de fichiers relevant d’une ou de plusieurs personnes morales gérant un service public et dont les finalités correspondent à des intérêts publics différents.
Sur les finalités du traitement
A titre liminaire, la Commission rappelle que le ministère des Outre-mer revêt la qualité de responsable de traitement, au sens des dispositions de l’article 3-I de la loi du 6 janvier 1978 modifiée, dans la mesure où il détermine les finalités et les moyens du traitement.
L’Institut de la statistique et des études économiques (ISEE) de la Nouvelle-Calédonie est chargé de la mise en œuvre du traitement, appuyé par les agents de l’Etat nominativement désignés par le haut-commissaire de la République en Nouvelle-Calédonie et, le cas échéant pour les aspects techniques, par les agents du ministère des Outre-mer nominativement désignés par la ministre chargée des Outre-mer.
Le traitement projeté doit permettre d’identifier les personnes remplissant les conditions d’inscription d’office sur la liste électorale générale de la Nouvelle-Calédonie, telles que définies par le projet de loi organique actuellement en cours d’élaboration.
A cet effet, les agents de l’État nominativement désignés par le haut-commissaire de la République en Nouvelle-Calédonie et l’ISEE ont accès à des extractions des fichiers suivants :
le fichier centralisant les actes d’état civil coutumier  de la direction de la gestion et de la réglementation des affaires coutumières ;
les fichiers de l’aide médicale gratuite des provinces de la Nouvelle-Calédonie ;
les registres de l’état civil de droit commun des communes de la Nouvelle-Calédonie ;
les registres de l’état civil de droit commun détenus par la direction des affaires juridiques de la Nouvelle-Calédonie ;
les fichiers des bénéficiaires de prestations de la caisse de compensation des prestations familiales, des accidents du travail et de prévoyance des travailleurs de la Nouvelle-Calédonie (CAFAT) ;
les fichiers des adresses des affiliés des mutuelles dont le siège social est situé en Nouvelle-Calédonie ;
le fichier général des électeurs inscrits sur les listes électorales de la Nouvelle-Calédonie pour l'élection du Président de la République, des députés à l'Assemblée nationale, des conseils municipaux et du Parlement européen et pour les référendums ;
le fichier général des électeurs tenus par l’Institut national de la statistique et des études économiques ;
le fichier général des électeurs inscrits sur les listes électorales de la Polynésie française, tenu par l’Institut de la statistique de la Polynésie française ;
le fichier des électeurs inscrits sur les listes électorales des îles Wallis et Futuna.
La Commission prend acte que les extractions communiquées par les administrations et organismes sollicités ne comportent que les données à caractère personnel des personnes remplissant les conditions qui seront posées par le projet de loi organique, chacun pour le critère qui le concerne.
Ainsi, elle relève que les registres d’état civil coutumier et d’état civil de droit commun permettront d’identifier les personnes qui ne sont pas inscrites sur la liste électorale générale. Les extractions issues des fichiers des électeurs tenus par l’INSEE, par l’Institut de la statistique de la Polynésie française ainsi que des listes électorales des îles Wallis et Futuna ont vocation à garantir l’absence de double inscription. Les fichiers d’aide médicale gratuite des provinces de la Nouvelle-Calédonie, ainsi que les fichiers des adresses des affiliés des mutuelles permettront, quant à eux, de vérifier les conditions de résidence des personnes ainsi identifiées.
Les personnes identifiées à l’issue de ces opérations seront ensuite inscrites d’office sur la liste électorale générale de la Nouvelle-Calédonie, après examen, par les commissions administratives de droit commun.
La Commission considère dès lors que la finalité de ce traitement est déterminée, explicite et légitime, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur la nature des données traitées
Les données collectées dans le cadre du traitement projeté sont les suivantes : le nom de famille, le nom d’usage, les prénoms, la nationalité, la date de naissance, le lieu de naissance,  l’adresse postale et les dates d’affiliation aux régimes sociaux et durées de présence dans les fichiers sociaux.
La Commission rappelle que seules les données strictement nécessaires aux opérations de croisement doivent être transmises par les administrations et organismes susmentionnés. En particulier, les données de santé susceptibles d’être contenues dans les traitements mis en œuvre par les provinces de la Nouvelle-Calédonie et par la CAFAT, ne devront donc pas figurer dans les extractions de fichiers envisagées.
Dans ces conditions, la Commission considère que les catégories de données ainsi traitées sont pertinentes, adéquates et non excessives au regard de la finalité poursuivie par le traitement projeté, conformément à l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation des données
Les opérations d’interconnexion sont réalisées jusqu’à la date de la consultation sur l’accession de la Nouvelle-Calédonie à la pleine souveraineté. Les données nominatives issues de ces opérations seront conservées jusqu’à l’expiration d’un délai de six mois à compter de la date de cette consultation.
La Commission prend acte que ce délai a pour seul objet de garantir la disponibilité des éléments d’information nécessaires à justifier de la transparence et de la sincérité de l’État dans l’élaboration de la liste électorale spéciale à la consultation, dans l’hypothèse d’une contestation portant sur la sincérité des opérations électorales.
Le cas échéant, l’ISEE devra mettre en œuvre des mesures de nature à garantir l’archivage de certaines données à titre probatoire, dans le souci de faire face aux vérifications et éventuelles contestations. Sur ce point et sans préjudice des dispositions applicables relevant du code du patrimoine, la Commission rappelle que l'accès aux données archivées doit se faire selon des modalités spécifiques et que les archives obsolètes doivent être détruites de manière sécurisée.
La Commission considère que ces durées de conservation sont conformes aux dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée.
Sur les personnes habilitées et les destinataires des données
Seuls les agents de l’État nominativement désignés par le haut-commissaire de la République en Nouvelle-Calédonie et l’ISEE peuvent consulter, traiter et enregistrer les données personnelles qui font l’objet des opérations d’interconnexion de fichiers.
Les membres des commissions administratives prévues à l’article L. 17 du code électoral sont destinataires des données nominatives issues des opérations d’interconnexion pour l’inscription d’office sur la liste électorale générale de la Nouvelle-Calédonie des personnes identifiées par le traitement.
Ces personnes habilitées et destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et les droits des personnes
La Commission appelle l’attention du ministère des Outre-mer sur la nécessité de prendre toute mesure nécessaire à l’information des personnes dans des conditions conformes à l’article 32 de la loi « Informatique et Libertés », par tout moyen à sa disposition.
S’agissant des droits d’accès et de rectification, ceux-ci pourront s’exercer auprès des services du haut-commissaire de la République en Nouvelle-Calédonie. Ce point n’appelle pas d’observation de la Commission.
Le droit d’opposition des personnes au traitement de leurs données à caractère personnel est en outre écarté. En effet, dans la mesure où le projet de loi organique voté dernièrement par le Parlement prévoit que les commissions administratives de droit commun inscrivent d’office sur la liste électorale générale de la Nouvelle-Calédonie les personnes remplissant les conditions qu’il pose et où le traitement mis en œuvre vise à permettre cette inscription d’office, cette exclusion est conforme aux dispositions de l’article 38 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
La Commission observe qu’il est prévu que les données nominatives issues des opérations d’interconnexion de fichiers soient conservées dans des conditions sécurisées, sous la responsabilité des services chargés de la mise en œuvre du traitement, lesquels prennent toutes les précautions utiles pour préserver la sécurité et l’intégrité des données.
A cet égard, elle rappelle qu’il incombe au ministère des Outre-mer, en tant que responsable de traitement, de garantir la confidentialité et l’intégrité des données ainsi que leur traçabilité, tout particulièrement au regard des enjeux poursuivis par le dispositif mis en œuvre et des actions susceptibles d’être menées à titre de vérification des travaux accomplis.
Le ministère prévoit la faculté de conclure des conventions entre le représentant de l’État en Nouvelle-Calédonie, le gouvernement de la Nouvelle-Calédonie, l’ISEE et les différents organismes intervenant dans la consultation et l’extraction des fichiers qui ont pour objet de préciser les modalités de ces opérations. La Commission recommande que cette faculté soit effectivement mise en œuvre et rappelle qu’il appartient au ministère de s’assurer que ces conventions comportent les mesures nécessaires au respect de cette obligation de sécurité.
Le contexte de mise en œuvre de ce traitement exige une gestion stricte des mesures de sécurité, notamment en matière de politique d’habilitation et de traçabilité des actions. Ainsi, les conditions d’échanges de données avec les organismes habilités doivent assurer notamment leur confidentialité ainsi que leur intégrité au moyen de procédés de chiffrement, de calcul et de vérification d’intégrité réputés fiables, quel que soit le mode d’échange retenu (serveur sftp, clef USB, etc.). La transmission des secrets doit se faire via un canal de communication distinct de celui utilisé pour les données.
Par ailleurs, la confidentialité des données transmises, leur intégrité tout au long de leur traitement ainsi que la traçabilité des actions menées sur ces données devront ainsi faire l’objet d’une vigilance particulière.
Sous ces réserves, la Commission estime que les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
Dans ces conditions, elle autorise, conformément à la présente délibération, le ministère des Outre-mer à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
(Demande d’autorisation n° 2155751)
La Commission nationale de l'informatique et des libertés,
Saisie par la ministre des Outre-mer d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour objet l’interconnexion de fichiers en vue d’identifier les personnes remplissant les conditions d’inscription d’office sur la liste électorale spéciale à la consultation, ainsi que leur inscription sur cette liste ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi organique n° 99-209 du 19 mars 1999 modifiée relative à la Nouvelle-Calédonie, notamment ses articles 189 et 218 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-5° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,