AgentPublic/cnil huggingface dataset:
A ce titre, la Commission considère qu’il y a lieu de faire application des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée qui prévoit que doivent être autorisés par la CNIL les traitements susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un contrat en l’absence de toute disposition législative ou réglementaire.
Le traitement ne rentre pas dans le champ de l’autorisation unique AU-005 modifiée par la délibération n°2008-198 du 9 juillet 2008 dès lors que le système projeté vise à apporter une aide à l’analyse des demandes de cautionnement, et non de crédit.
Sur les finalités
Le traitement analyse les demandes de cautionnement envoyées par courrier ou saisies directement dans l’application par les chargés de clientèle des établissements prêteurs partenaires avec lesquels la Compagnie européenne de garanties et cautions a conclu des conventions cadre de caution simple ou solidaire, à l’occasion de l’instruction des demandes de prêt effectuées par des personnes physiques ou morales pour leurs besoins professionnels et permet d’évaluer le risque statistique de défaillance de l’emprunteur. 
Lorsque le traitement est directement alimenté par les chargés de clientèle des établissements de crédits susmentionnés, ces derniers obtiennent une réponse immédiate quant à l’octroi de l’accord de cautionnement. 
Les réponses sont de deux ordres :
en cas de réponse favorable, l’accord de cautionnement est délivré ;
 l’accord de cautionnement ne peut pas être délivré sur la base des seuls critères pris en compte dans le traitement de score. La demande nécessite une étude complémentaire et elle est alors transmise à cette fin à la Direction des marchés de la Compagnie européenne de garanties et cautions. L’accord de cautionnement est suspendu jusqu’à la décision de cette direction. L’opération fait alors l’objet d’une étude approfondie par un analyste de la Compagnie européenne de garanties et cautions, éventuellement sur la base d’un dossier préalablement enrichi. Si cette analyse ne permet pas de délivrer l’accord de cautionnement, la décision de refus est motivée et portée à la connaissance de l’emprunteur par l’intermédiaire de son interlocuteur au sein de l’établissement prêteur. Le demandeur est systématiquement informé de la faculté qui lui est reconnue de présenter des informations complémentaires sur sa situation, et qu’il peut en demander une nouvelle étude approfondie
Lorsque les demandes sont envoyées par courriers, elles sont saisies dans le traitement Aladin par les personnels de la Compagnie européenne de garanties et cautions. La réponse est alors transmise aux établissements de crédit par la même voie.
L’accord de cautionnement ne conditionne pas l’édition de l’offre de prêt par l’établissement prêteur. Celui-ci est donc libre de refuser le crédit demandé y compris en cas d’accord de cautionnement.
La Commission prend acte que conformément à l’article 10 de la loi du 6 janvier 1978 modifiée en 2004, le résultat de ce traitement n’a qu’un caractère indicatif, et qu’il est toujours possible d’y déroger au moyen d’une procédure d’analyse non automatisée en cas de dossiers plus complexes ou plus risqués notamment lorsque l’un des demandeurs est mineur. Par ailleurs, il a simplement pour effet d’exclure temporairement les demandeurs du bénéfice d’un contrat de crédit, l’établissement bancaire ayant toujours la possibilité de recourir à d’autres garanties.
Sur les données collectées et la durée de conservation : 
La note de score prend en compte les variables suivantes : 
En ce qui concerne la situation personnelle des emprunteurs : la situation familiale, 
En ce qui concerne la situation professionnelle des emprunteurs : la catégorie socioprofessionnelle, le secteur d’activité professionnelle, l’expérience professionnelle (sous la forme expérience professionnelle dans l’activité financée ou non),
En ce qui concerne la situation économique et financière des emprunteurs : le revenu, l’épargne, 
En ce qui concerne le financement demandé : le montant, la durée maximale, le type de taux des prêts de l’opération (sous la forme fixe ou variable), le taux d’apport personnel,
Ces variables peuvent faire l’objet de croisements.
Le traitement comporte également des données d’identification du demandeur de crédit (nom, prénom, date et lieu de naissance) et son adresse. La Commission prend acte que ces données ne sont pas prises en compte dans le calcul de la note de score.
Enfin, le traitement comporte une zone commentaire visant à expliciter la décision de l’analyste, d’où sont exclues toute information sans rapport avec la finalité du traitement, et tout jugement de valeur ou appréciation subjective.
Les données collectées sont adéquates, pertinentes et non excessives par rapport à la finalité du traitement.
Elles sont conservées pendant toute la durée du contrat, en cas d’acceptation de la demande de caution.
En cas de rejet de la demande de cautionnement, les informations collectées pour l’instruction de la demande sont conservées pendant une durée de six mois à compter du dépôt de la demande. Elles ne peuvent être utilisées qu’aux fins de l’instruction de nouvelles demandes de garanties. La Commission observe que ces dispositions sont conformes à l’autorisation unique AU-005.
Sur les destinataires du traitement 
Seuls sont autorisés à avoir communication des données précitées les personnels habilités : 
du Département contrôle de gestion, de la Direction des risques et conformité, de la Direction des marchés, du Département études et risques et du service comptabilité de la Compagnie européenne de garanties et cautions, et
des établissements prêteurs partenaires liés à la Compagnie européenne de garanties et cautions par une convention cadre de caution solidaire.
Les actions effectuées par ces personnes sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.
Sur les modalités d’information et d’exercice des droits des personnes 
Dans la mesure où les demandes de cautions sont réalisées par l’intermédiaire des établissements prêteurs partenaires, les conventions cadre de caution solidaire relatives aux marchés des particuliers prévoient l’obligation pour les établissements prêteurs d’introduire une clause spécifique au sein des contrats de prêts informant les personnes de leurs droits conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée.
L’information porte, en tant que de besoin, sur :
l’identité du responsable du traitement, les finalités du traitement des données,
le caractère obligatoire ou facultatif des informations demandées, 
leurs destinataires, notamment les conseillers financiers pour le seul résultat du score des dossiers dont ils assurent l’instruction, 
les modalités d’exercice des droits d’accès et de rectification. 
Ils sont également informés que des données les concernant sont transmises à la Compagnie européenne de garanties et cautions aux fins d’évaluation du risque statistique de défaillance.
Conformément aux dispositions de l’article 39 de la loi du 6 janvier 1978 modifiée, le droit d’accès s’exerce auprès de la Compagnie européenne de garanties et cautions.
Autorise, dans les conditions prévues par le dossier du demandeur et la présente délibération, la Compagnie européenne de garanties et cautions à mettre en œuvre un traitement automatisé d’aide à la décision en matière d’octroi de garanties de prêts professionnels.
                                                                                Le Président
Alex TURK
(demande d’autorisation n°1500187)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-4° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu le code monétaire et financier, notamment ses articles L 621-15 et L. 621-17-2 à L. 621-17-7 ; 
Vu le règlement général de l’Autorité des Marchés Financiers (AMF), notamment ses articles 315-42 à 315-44, 611-1 à 631-10 et 632-1 ;
Vu l’instruction AMF n°2008-05 du 29 juillet 2008 relative à la déclaration d’opérations suspectes prise en application de l’article 315-42 du règlement général de l’AMF ;
Vu la demande d’autorisation présentée par la banque ROTHSCHILD & CIE relative à un traitement automatisé de données à caractère personnel ayant pour finalité la détection des alertes potentielles d’abus de marché ;
Sur le rapport de Monsieur Jean Paul AMOUDRY, commissaire, et les observations de Madame Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes : 
La société ROTHSCHILD & CIE a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation d’un traitement automatisé de données à caractère personnel permettant de détecter des opérations susceptibles de constituer des abus de marché.
Sur la procédure suivie auprès de la Commission
Ce traitement vise à détecter des opérations de transactions sur titres, réalisées par les clients ou les salariés de la banque ROTHSCHILD & CIE susceptibles de constituer des opérations d’abus de marché et qui, de ce fait, doivent le cas échéant après la collecte de renseignements complémentaires, ou un travail d’analyse non automatisé, donner lieu à l’envoi d’une déclaration de soupçon à l’Autorité des Marchés Financiers (AMF).
L’identification de telles opérations peut conduire la banque ROTHSCHILD & CIE à souhaiter pour des raisons de prudence, rompre toute relation contractuelle avec certains des clients ou des salariés qui en font l’objet. Ce traitement peut ainsi, du fait de sa portée, conduire à l’exclusion de personnes du bénéfice d’un contrat en l’absence de toute disposition légale le prévoyant.
Dès lors, il relève des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit à ce titre être autorisé par la CNIL.
Sur les finalités et les caractéristiques du traitement 
Les critères d’alerte retenus dans le cadre de ce traitement ont pour objet de détecter de manière automatisée diverses situations en fonction des facteurs de détection énumérés aux articles 631-2 et 631-3 du Règlement général de l’AMF.
Le dispositif de détection d’opérations susceptibles d’être suspectées d’abus de marché repose sur une analyse quotidienne ou semestrielle des opérations, a posteriori, à partir du carnet d’ordre et des portefeuilles.
Les transactions ainsi détectées ont vocation à être analysées sans délai. La Commission constate que l’ensemble des opérations détectées font l’objet d’une analyse manuelle. Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées.
La Commission souligne en outre que ce traitement ne permet pas la constitution d’une « liste noire » de personnes qui ont déjà été concernées par une ou plusieurs alertes.
Sur les données traitées et la durée de conservation
Les listes d’opérations à analyser comportent les catégories de données suivantes :
les nom, prénom ou la raison sociale du détenteur du compte,
la date de détection,
la date et la nature de la détection,
le nombre de détection sur une période glissante (allant de 5 à 10 jours ouvrés),
le numéro du compte titre et du compte numéraire associé,
le type de compte (joint ou non),
les caractéristiques de la valeur,
les caractéristiques de l’ordre détecté,
les caractéristiques de l’ordre effectué.
Ces données sont conservées pendant une durée de 5 ans.
Ces dispositions sont adéquates, pertinentes et non excessives au regard des finalités déclarées et n’appellent pas d’observations particulières.
Sur les destinataires du traitement 
Les destinataires de tout ou partie des données sont :
le responsable de la conformité des services d’investissement de la société la banque ROTHSCHILD & CIE et les agents habilités placés sous leur responsabilité,
En cas d’envoi d’une déclaration de soupçon à l’AMF, les agents habilités de cette autorité ainsi que ceux de la direction générale de l’établissement concerné.
Les actions effectuées par ces personnes sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.
Sur les modalités d’information et d’exercice des droits des personnes physiques 
Les personnes sont informées de la mise en œuvre de ce traitement conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée par une clause de la convention d’instruments financiers.
Le droit d’accès s’exerce auprès des agences de la banque ROTHSCHILD & CIE conformément aux dispositions de l’article 39 de la loi susvisée.
Dans ces conditions, la Commission autorise, banque ROTHSCHILD & CIE à mettre en œuvre un traitement automatisé de données à caractère personnel de détection des opérations susceptibles de constituer des abus de marché.
Le Président
Alex TURK
(Demande d’autorisation n°1475167)
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978 modifiée par la loi n° 2004-810 du 6 août 2004 ;
Vu la demande d’autorisation présentée par la société GO VOYAGES ; 
Après avoir entendu M. Jean-Paul AMOUDRY, commissaire, en son rapport, et de Mme Elisabeth ROLIN, commissaire du Gouvernement; en ses observations, 
Autorise, dans les conditions définies dans le dossier et ses compléments, la société GO VOYAGES à mettre en œuvre un traitement automatisé ayant pour finalité la lutte contre la fraude bancaire dont les caractéristiques sont résumées dans le tableau ci-dessous.
Responsable du traitement
GO VOYAGES
Finalités
Le dispositif présenté vise à lutter contre la fraude à la carte bancaire. A la réception des opérations contrepassées au débit de son compte bancaire, GO VOYAGES identifie les clients ayant bénéficié des prestations puis ayant procédé à la mise en opposition de leur carte bancaire, entrainant ainsi un impayé. Les clients concernés sont inscrits sur une « liste noire » afin d’éviter toute nouvelle commande auprès de GO VOYAGES. Il y a donc lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation préalable de la CNIL les traitements susceptibles, du fait de leur nature, de leur portée ou de leurs finalités d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire le prévoyant.
Caractéristiques particulières du traitement
Les données relatives à l’ensemble des commandes passées sur le site internet de GO VOYAGES sont comparées aux informations figurant sur cette liste afin de prévenir toute nouvelle entrée en relation avec une personne ayant déjà été à l’origine d’un impayé. Lorsqu’un dossier présente une ou plusieurs caractéristiques communes avec les informations figurant sur la « liste noire », les personnels habilités du Département clientèle tentent de prendre contact avec le client afin de procéder à une vérification de la réservation.Lorsque la personne ne peut pas être jointe par téléphone, un courrier électronique est envoyé à l’adresse mail transmise lors de la commande. Ce courrier mentionne qu’à défaut de prise de contact avec GO VOYAGES dans un délai de 48 heures, la commande sera annulée. Lorsque la personne confirme être à l’origine de la commande, le Département clientèle valide le paiement par carte bancaire ou sollicite un règlement par virement.La Commission observe que les caractéristiques de ce traitement sont pertinentes au regard de l’activité de GO VOYAGES qui commercialise des voyages en ligne. 
Données traitées
Les données collectées sont les suivantes : 
Le nom et le prénom
L’adresse et le numéro de téléphone,
L’adresse électronique et l’adresse IP,
Les 4 premiers chiffres de la carte bancaire
Durée de conservation des données
Les données relatives aux personnes auteurs d’impayés sont supprimées de la « liste noire » dès la réalisation du paiement intégral des sommes dues. En cas de non régularisation du paiement, les données sont supprimées à l’issue d’un délai de deux ans.
Destinataires
Seuls les personnels habilités du Département clientèle ont accès à ce traitement.Les actions effectuées par ces personnes sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.
Information et droit d’accès
Les personnes sont informées, conformément aux dispositions de l’article 32 de la loi Informatique et Libertés, au préalable dans les conditions générales de vente du site GO VOYAGES. 
En cas de survenance d’un impayé, la personne concernée est informée :
dans un premier temps, au moment de la survenance de l’incident de paiement par courrier électronique avec accusé de réception. Ce courrier mentionne les modalités de régularisation de l’impayé. 
dans un second temps, si elle n’a pas procédé à la régularisation de sa situation, au moment de l’inscription sur la « liste noire » par l’envoi d’un courrier sous la forme d’une lettre recommandée avec accusé de réception.
Le Président
Alex TURK
Délibération n°2011- 254 du 21 septembre 2011 autorisant la mise en œuvre par  la commune LES MUREAUX d’un traitement de données à caractère personnel ayant pour finalité l’établissement du registre nominatif pour le Plan communal de sauvegarde (PCS), cartographié dans un système d’information géographique (SIG).(autorisation n° 1485932) 
La Commission Nationale de l’Informatique et des Libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-1-5° ; 
Vu le code de l’Action sociale et des familles et notamment les articles L121-6-1 et R-121-2 et suivants ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu le décret n° 2011-223 du 1er mars 2011 pris pour l’application de l’article L127-10 du code de l’Environnement ;
Sur le rapport de Monsieur Dominique RICHARD, commissaire, et les observations de Madame Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la commune LES MUREAUX à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité l’établissement du registre nominatif pour le PCS et sa cartographie dans le SIG de la commune.
Responsable du traitement
La commune LES MUREAUX
Finalités
La commune LES MUREAUX souhaite établir des registres nominatifs dans le cadre de son PCS et les cartographier dans son SIG qui intègre notamment les bases géographiques de référence suivantes :
La matrice cadastrale fournie par la Direction générale des finances publiques (DGFIP), 
Le Référentiel à grande échelle (RGE) de l'Institut géographique national (IGN) : à savoir les bases de données suivantes :
la liste des portages de repas du Centre communal d’action sociale (CCAS),
aux registres nominatifs rassemblant des données à caractère personnel des personnes inscrites au PCS : les personnes vulnérables à alerter et les personnes susceptibles d’être mobilisées en cas d’alerte conformément au Code l’action sociale et des familles.
BD Adresse, 
BD Topographique,
BD Orthophotographique.
Ces bases géographiques de références sont  interconnectées à :
La matrice cadastrale fournie par la Direction générale des finances publiques (DGFIP), 
Le Référentiel à grande échelle (RGE) de l'Institut géographique national (IGN) : à savoir les bases de données suivantes :
la liste des portages de repas du Centre communal d’action sociale (CCAS),
aux registres nominatifs rassemblant des données à caractère personnel des personnes inscrites au PCS : les personnes vulnérables à alerter et les personnes susceptibles d’être mobilisées en cas d’alerte conformément au Code l’action sociale et des familles.
Données traitées
Les catégories de données à caractère personnel enregistrées sont celles relatives à l’identité de la personne vulnérable : ses nom, prénom, date de naissance, numéros de téléphone, adresse, ainsi que des observations particulières formulées en champ libre destinées à mieux prendre en charge les personnes en cas d’alerte.
S’agissant des données figurant sur la fiche de renseignements générale, mise à disposition auprès des administrés, peuvent être recueillies en sus les :
les caractéristiques du logement, coordonnées de l’employeur, horaires de travail, et temps de trajet travail-domicile ;
les coordonnées de la personne pouvant accueillir la personne vulnérable ;
les coordonnées de la personne à prévenir en cas d’alerte.
les coordonnées du  responsable légal de la personne vulnérable ;
les coordonnées de la personne à prévenir en cas d’urgence ;
les données relatives à l’état de santé : état général de santé de la personne : catégorie « AGGIR » (degré d’autonomie, Gérontologie, Groupe ISO, Ressources), degré de mobilité, difficulté à comprendre, traitement médical, allergie, et particularité alimentaire ;
les coordonnées du médecin traitant la personne vulnérable;
les jours de présence de la personne vulnérable dans l’établissement, à l’année et pendant les vacances scolaires.
les données relatives à l’état de santé : état général de santé : catégorie « AGGIR » (Cf. le degré d’autonomie, Gérontologie, Groupe ISO, Ressources) et degré de mobilité ;
le numéro de téléassistance ;
les coordonnées du médecin traitant  la personne vulnérable;
les informations sur le logement de la personne vulnérable : l’adresse, étage, ascenseur, interphone, si présence éventuelle d’un animal de compagnie ;
les coordonnées de la personne disposant des clés du logement ;
les coordonnées de la personne pouvant accueillir la personne vulnérable en cas d’hébergement d’urgence et durée envisageable de l’hébergement ;
les coordonnées de la personne à prévenir en cas d’urgence. 
les nom, prénom, date de naissance, adresse, numéros de téléphone (fixe et portable), et le service auquel est attachée la personne susceptible d’être mobilisée ;
les compétences de la personne susceptible d’être mobilisée : diplôme de secourisme, permis de conduire, permis de rivière, permis de chasse, langues parlées et écrites (langue étrangère, langue des signes et lecture du braille), carte de guide interprète, qualités de sapeur pompier volontaire, gendarme ou militaire de réserve, maître chien, cibiste amateur, et de bricoleur confirmé.
S’agissant des données figurant sur la fiche concernant les résidents de l’Institut médico-éducatif, peuvent être recueillies en sus :