AgentPublic/cnil huggingface dataset:
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société DOW AGROSCIENCES EXPORT SAS à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
Dow AgroSciences Export S.A.S
Finalité du transfert
Gestion et évaluation des performances professionnelles des salariés
Catégories de données transférées
Données d’identification
Nom de l’employé
Numéro interne d’identification
Description du poste
Echelon du poste
Service auquel appartient le poste
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société DOW AGROSCIENCES DISTRIBUTION SAS. à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
Dow AgroSciences Distribution SAS
Finalité du transfert
Gestion et évaluation des performances professionnelles des salariés
Catégories de données transférées
Données d’identification
Nom de l’employé
Numéro interne d’identification
Description du poste
Echelon du poste
Service auquel appartient le poste
Objectifs et compétences professionnels clefs 
Résultats individuels
Classification relative du salarié par rapport à ses pairs
Commentaire du supérieur sur les compétences et qualités de l’employé
Retours des autres employés sur les résultats de l’intéressé
Proposition concernant le développement de carrière
Date de l’examen des performances et des entretiens individuels
Vie professionnelle
Nom de l’employé
Numéro interne d’identification
Description du poste
Echelon du poste
Service auquel appartient le poste
Objectifs et compétences professionnels clefs 
Résultats individuels
Classification relative du salarié par rapport à ses pairs
Commentaire du supérieur sur les compétences et qualités de l’employé
Retours des autres employés sur les résultats de l’intéressé
Proposition concernant le développement de carrière
Date de l’examen des performances et des entretiens individuels
Identité(s) du(des) destinataire(s)
The Dow Chemical Company230 Dow Center, MidlandMichigan 48642 USA
Pays d’établissement du(des) destinataire(s)
Etats-Unis
Service auprès duquel s’exerce le droit d’accès des personnes concernées
Dow AgroSciences S.A.SService des Ressources HumainesMarco Polo, ZAC du Font de l’Orme I,790 Av. Dr Donat BP 122006250 MouginsFrance
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société WL FRANCE SAS, à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
WL FRANCE SAS
Finalité du transfert
La gestion administrative du personnel et la gestion de la paie.
Catégories de données transférées
Données d’identification (nom, prénom, sexe, date et lieu de naissance, adresse postale, adresse électronique, numéro de téléphone )
Situation familiale 
Numéro de sécurité sociale
Vie professionnelle (diplômes, mentions, expériences professionnelles antérieures, langues maîtrisées, niveau de maîtrise des outils bureaucratiques, références et autres informations sur les salariés obtenues pendant la période de recrutement, données d’organisation interne et relative à la carrière, évaluation des compétences professionnelles, frais professionnels) 
Situation économique et financière (stock-options, RIB, données financières diverses nécessaires au paiement des charges sociales et patronales) 
Moyens de déplacement (carte de transport, permis de conduire)
Données relatives à la santé (données de santé volontairement fournies pour l’obtention de congés maladie et/ou d’adaptation des conditions de travail, données de santé et autres données nécessaires à la souscription d’une assurance obligatoire)
Identité(s) du(des) destinataire(s)
WEBLOYALTY.COM, société-mère de WL France SAS
Pays d’établissement du(des) destinataire(s)
Etats-Unis
Service auprès duquel s’exerce le droit d’accès des personnes concernées
WL France SAS92 rue de Richelieu75002 Paris
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la Décision 2004/915/CE de la Commission européenne du 27 décembre 2004 concernant les transferts de responsable de traitement à responsable de traitement.
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. PEYRAT, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société 3 SUISSES FRANCE à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
3 Suisses France
Finalité du transfert
La gestion et le suivi des appels téléphoniques ainsi que le traitement de l’ensemble des demandes des clients et/ou prospects.
Catégories de données transférées
les données d’identification
les données relatives à la situation familiale du client et/ou prospect
l’adresse postale ainsi que les caractéristiques du logement du client et/ou prospect
les données relatives à la situation économique et financière du client et/ou prospect
les données relatives aux habitudes de vie et au comportement du client et/ou prospect
les données relatives à la relation client
Identité(s) du(des) destinataire(s)
Mezzo immatriculée au registre du commerce de Tunis, sous le numéro B2434102004 dont le siège social est 12 rue 8608 ZI la Chargia, Tunis Carthage (2035)
Pays d’établissement du(des) destinataire(s)
Tunisie
Service auprès duquel s’exerce le droit d’accès des personnes concernées
Responsable Réseau Centre d’Appels :
Responsable du Service Clientèle :
12 rue de la Centenaire BP 69
59963 Croix
Responsable Réseau Centre d’Appels :
Responsable du Service Clientèle :
12 rue de la Centenaire BP 69
59963 Croix
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision 2002/16/CE de la Commission européennes du 27 décembre 2001 concernant les transferts de responsable de traitement à sous-traitant.
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la Société Hitachi Computer Products (Europe) SAS à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Société responsable du transfert
Hitachi Computer Products (Europe) SAS.
Finalité du transfert
Consolider et gérer l’annuaire global de l’entreprise :
identification d’une personne au sein du groupe Hitachi ;
enregistrement de l’adresse de courrier électronique et du numéro de téléphone professionnel de la personne.
Catégories de données transférées
Données d’identification : nom, prénom ;Vie professionnelle : section, titre, numéro de téléphone professionnel, adresse de courrier électronique.
Identité(s) du(des) destinataire(s)
Security Management Departmente-Platform Promotion OfficeInformation Technology DivisionHitachi, Ltd.
Pays d’établissement du(des) destinataire(s)
Japon.
Service auprès duquel s’exerce le droit d’accès des personnes concernées
Management Information (MI)Hitachi Computer Products (Europe) SASParc de Limere 45166 Olivet
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision 2004/915/CE modifiant la décision 2001/497/CE en ce qui concerne l’introduction d’un ensemble alternatif de clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers.
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la société TAM Airlines de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle des horaires.
Formule les observations suivantes :
La société TAM Airlines souhaite utiliser un dispositif biométrique pour contrôler les horaires de travail de ses employés.
En l’espèce, l'objectif poursuivi par la société TAM Airlines tendant au contrôle des horaires, s’il est légitime, n’est pas associé à un fort impératif de sécurité justifiant la conservation dans une base de données des empreintes digitales des employés concernés. La Commission observe que le dispositif n’a pas pour objet de contrôler l’accès à une zone bien déterminée des locaux, représentant un enjeu majeur dépassant l’intérêt strict de l’organisme concerné. 
Elle relève que cet objectif pourrait être atteint, par exemple, par le recours à un dispositif reposant sur la reconnaissance du contour de la main qui, en l’état actuel de la technique, n’est pas susceptible d’être capturé à l’insu des personnes et dès lors, ne comporte pas de risques particuliers pour les libertés et les droits fondamentaux des personnes.
Ainsi, la Commission rappelle que la constitution d’une base de données d’empreintes digitales comporte davantage de risques pour le droit des personnes et doit être réservée à des hypothèses particulières fondées sur un impératif fort de sécurité. En effet, parce que l’empreinte digitale constitue une « trace » laissée en abondance par les personnes à leur insu, sa captation frauduleuse, désormais aisée en l’état des techniques, exige que son utilisation soit limitée et encadrée afin d’empêcher que l’exemplaire de l’empreinte récupéré ne puisse être utilisé pour :
procéder à l’identification d’une personne à son insu par rapprochement avec un fichier nominatif d’empreintes digitales ;
usurper l’identité d’une personne, par exemple pour frauder un dispositif reposant sur la reconnaissance de l’empreinte digitale. 
En conséquence, le traitement pris dans son ensemble n'apparaît ni adapté ni proportionné du point de vue de la protection des données personnelles. 
Dès lors, la Commission n’autorise pas, en l’état, la société TAM Airlines – 50 ter, rue de Malte – 75011 Paris, à mettre en œuvre un traitement de données à caractère personnel reposant sur l’utilisation d’un dispositif biométrique de reconnaissance des empreintes digitales et dont la finalité est le contrôle des horaires.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la société LDLC.com d’un traitement de données à caractère personnel reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle de l’accès aux locaux.
Formule les observations suivantes :
la société LDLC.com souhaite utiliser un dispositif reposant sur la reconnaissance du réseau veineux des doigts de la main afin de sécuriser l’accès à la pièce dans laquelle se situent les stocks de produits et de composants électroniques.
Les droits d’accès et de rectification s’exerceront auprès de la direction de la société LDLC.com – 112 chemin du Moulin Carron – 69130 Ecully.
Les catégories de données à caractère personnel enregistrées seront :
l’identité de la personne (nom, prénom,) ;
la fonction ;
le gabarit du réseau veineux de deux doigts de la main ;
l’historique des passages.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les personnels habilités de la direction générale.
Dans ces conditions, la Commission autorise la société LDLC.com, à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié le 25 mars 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la société British American Tobacco France d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux ordinateurs.
Formule les observations suivantes :
La société British American Tobacco France souhaite utiliser un dispositif biométrique afin de renforcer les conditions d’accès aux postes informatiques des employés. Le système devrait reposer sur l’utilisation d’une « souris » biométrique équipée d’un lecteur d’empreintes digitales et reliée au poste informatique via un port USB. Les empreintes digitales des utilisateurs se partageant le poste informatique seraient enregistrées dans le disque dur dudit poste.
D’une manière générale, la Commission observe qu’une donnée biométrique constitue un élément d’identité irrévocable dont la diffusion non maîtrisée, ou accidentelle, peut avoir des conséquences irrémédiables pour les personnes. Ainsi, à la différence de tout autre identifiant (code, mot de passe, etc.) la donnée biométrique ne peut être changée une fois collectée, ce qui impose d’en limiter l’usage afin d’en garantir la sécurité et le contrôle par les personnes.
La Commission considère également que la constitution de bases de données d'empreintes digitales ne peut être admise que dans certaines circonstances particulières où l'exigence d'identification des personnes résulte d’un fort impératif de sécurité, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée. En effet, cet article dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
A cet égard, la Commission observe que le dispositif de contrôle d’accès logique envisagé n’a pas pour objet de sécuriser l’accès à une application bien déterminée ou à un poste informatique représentant un enjeu majeur dépassant l’intérêt strict de l’organisme concerné, mais répond à un besoin général de contrôler l’accès au système d’information. En outre, la société British American Tobacco France n’apporte aucune justification particulière à la mise en œuvre d’un tel dispositif.
La Commission relève que cet objectif pourrait être atteint, par exemple, par le recours à des procédés reposant sur l’enregistrement de l’empreinte digitale sur des supports individuels tels que la carte à puce qui présente moins de risques au regard de la protection des données et libertés individuelles. Dans ce cas en effet, la personne concernée conserve la maîtrise de sa donnée biométrique. Celle-ci reste sous sa responsabilité et ne peut pas être utilisée pour l’identifier à son insu. En cas de vol ou de perte du support de stockage, on ne peut avoir accès qu’à une seule donnée biométrique et non à tous les éléments d’identification des utilisateurs situés sur le disque dur du poste informatique.
Ainsi, la Commission rappelle que la constitution d’une base de données d’empreintes digitales comporte davantage de risques pour le droit des personnes et doit être réservée à des hypothèses particulières fondées sur un impératif fort de sécurité. En effet, parce que l’empreinte digitale constitue une « trace » laissée en abondance par les personnes à leur insu, sa captation frauduleuse, désormais aisée en l’état des techniques, exige que son utilisation soit limitée et encadrée afin d’empêcher que l’exemplaire de l’empreinte récupéré ne puisse être utilisé pour :
procéder à l’identification d’une personne à son insu par rapprochement avec un fichier nominatif d’empreintes digitales ;
usurper l’identité d’une personne, par exemple pour frauder un dispositif reposant sur la reconnaissance de l’empreinte digitale. 
En conséquence, le traitement pris dans son ensemble n'apparaît ni adapté ni proportionné du point de vue de la protection des données personnelles. 
Dès lors, la Commission n’autorise pas, en l’état, la société British American Tobacco France – 29-31, rue de l’Abreuvoir – 92513 Boulogne-Billancourt Cedex France - à mettre en œuvre un traitement de données à caractère personnel reposant sur l’utilisation d’un dispositif biométrique de reconnaissance des empreintes digitales et dont la finalité est le contrôle de l’accès aux locaux.
Le Président
Alex TURK