AgentPublic/cnil huggingface dataset:
Les données sont conservées pendant une durée maximale de 5 ans et sont ensuite supprimées. Cette durée correspond notamment à celle prévue en matière d’incidents de remboursement des crédits aux particuliers (article L 333-4 et suivants du code de la consommation).
Dès lors, la Commission considère qu’elle est conforme aux dispositions de l’article 6-4° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des informations sont, dans la limite de leurs attributions, les conseillers clientèle de la Banque Populaire du Nord, la structure dédiée dénommée, Qualité Relation Client (QRC), ainsi que Natixis Financement et CASDEN (Groupe BPOC), pour les clients communs.Les acteurs du milieu associatif seront également destinataires des données relatives à l’identification des clients, à la vie personnelle et professionnelle dès lors que le client aura donné son consentement.La Commission relève que les informations d’ordre économique et financier ne seront en aucun cas transmises à un tiers externe à la banque.La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la banque sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition dans les conditions contractuelles de la convention de compte.La mention d’information qui y figure rappelle notamment que les droits d’accès et de rectification s’exercent auprès du service relation clientèle de la Banque Populaire du Nord à l’adresse suivante : 847, avenue de la république 59700  - MARCQ EN BAROEUL.Les clients orientés vers les acteurs du milieu associatif devront préalablement donner leur consentement exprès pour la transmission de leurs coordonnées, afin d’être mis en contact. La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
La Commission relève que les informations pouvant être recueillies lors de l’entretien ne pourront porter que sur des éléments objectifs liés aux difficultés financières du client (revenus, charges actuelles ou futures…).La Commission rappelle que les informations concernant les clients et relatives à la vie personnelle et professionnelle, communiquées par la banque aux autres organismes nécessite au préalable la levée du secret bancaire, avec le recueil du consentement de la personne. 
Autorise, conformément à la présente délibération, la Banque populaire du Nord à mettre en œuvre le traitement susmentionné.
Pour La Présidente,
Le Vice-Président délégué,
Marie-France MAZARS
(demande d’autorisation n° 1950584)
La Commission nationale de l'informatique et des libertés,
Saisie par la société MAE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel reposant sur un dispositif biométrique de reconnaissance de l’empreinte digitale et ayant pour finalité la gestion des horaires ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Afin de gérer les horaires de ses dix salariés, la société MAE, spécialisée dans la fabrication de produits de consommation courante en matières plastiques, a saisi la Commission nationale de l’informatique et des libertés (CNIL) d’un traitement de données comportant un dispositif biométrique de reconnaissance de l’empreinte digitale. 
A titre liminaire, il convient de rappeler qu’à l’issue d’une concertation avec les principales organisations syndicales et patronales, la Commission a modifié le champ d’application de l’autorisation unique n° 7 (AU-007) portant sur la mise en œuvre de traitements reposant sur la reconnaissance du contour de la main.
Par délibération du 20 septembre 2012 (n° 2012-322), la finalité de gestion des horaires a été exclue du champ de cette autorisation unique. L’AU-007 en vigueur vise uniquement les finalités de « contrôle d’accès à l’entrée et dans les locaux limitativement identifiés de l’organisme faisant l’objet d’une restriction de circulation ; le contrôle de l’accès au restaurant d’entreprise [… et] le contrôle d’accès des visiteurs » (article 1er).
L’exclusion de la finalité de gestion des horaires, actée le 20 septembre 2012 par la Commission, s’étend à tous les dispositifs biométriques, quelle que soit la caractéristique biométrique traitée, visés par les autorisations uniques d’ores et déjà adoptées.
Le recours à un dispositif biométrique pour la gestion des horaires exige que le responsable de traitement effectue auprès de la CNIL une demande d’autorisation spécifique sur le fondement de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée. 
Une telle demande d’autorisation doit s’inscrire dans le cadre de circonstances exceptionnelles fondées sur un impératif spécifique de sécurité, comme rappelé par la Commission lors de la modification de l’AU-007, qui seraient susceptibles de justifier, notamment, la proportionnalité du recours à un dispositif biométrique ayant pour finalité la gestion des horaires des salariés.
Le traitement automatisé de données à caractère personnel que la société MAE souhaite mettre en œuvre repose sur un dispositif biométrique de reconnaissance de l’empreinte digitale ayant pour finalité la gestion des horaires. Elle justifie sa démarche de recourir à ce dispositif biométrique par la mise en place d’horaires décalés pour lesquels la société ne dispose pas de ressources suffisantes pour effectuer les contrôles et éviter ainsi qu’un agent pointe à la place d’un autre agent.
Conformément à l’article 1er de la loi du 6 janvier 1978 modifiée, la Commission rappelle que la mise en place d’un tel dispositif ne doit « porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques ». En outre, il convient d’examiner ledit traitement au regard des principes relatifs à la protection des données à caractère personnel, et notamment, de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
En l’espèce, la Commission constate qu’aucune circonstance exceptionnelle n’est démontrée et que le dispositif biométrique de gestion des horaires des salariés ne résulte pas de la mise en œuvre de mesures de sécurité telles qu’identifiées par une analyse de risques. 
En conséquence, elle considère que le recours exclusif à un dispositif biométrique de reconnaissance de l’empreinte digitale n’apparait ni adapté ni proportionné à la finalité poursuivie au sens de l’article 6-3° précité. 
Dans ces conditions, la Commission n’autorise pas la société MAE à mettre en œuvre un traitement de données à caractère personnel reposant sur un dispositif biométrique de reconnaissance de l’empreinte digitale et ayant pour finalité la gestion des horaires.
Pour La Présidente,
Le Vice-Président délégué,
Marie-France MAZARS
(demande d’autorisation n° 1948960)
La Commission nationale de l'informatique et des libertés,
Saisie par la société AF3 d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel reposant sur un dispositif biométrique de reconnaissance de l’empreinte digitale et ayant pour finalité la gestion des horaires ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Afin de gérer les horaires de ses salariés, la société AF3, spécialisée dans le secteur d’activité du commerce de gros de produits chimique, a saisi la Commission nationale de l’informatique et des libertés (CNIL) d’un traitement de données comportant un dispositif biométrique de reconnaissance de l’empreinte digitale. 
A titre liminaire, il convient de rappeler qu’à l’issue d’une concertation avec les principales organisations syndicales et patronales, la Commission a modifié le champ d’application de l’autorisation unique n° 7 (AU-007) portant sur la mise en œuvre de traitements reposant sur la reconnaissance du contour de la main.
Par délibération du 20 septembre 2012 (n° 2012-322), la finalité de gestion des horaires a été exclue du champ de cette autorisation unique. L’AU-007 en vigueur vise uniquement les finalités de « contrôle d’accès à l’entrée et dans les locaux limitativement identifiés de l’organisme faisant l’objet d’une restriction de circulation ; le contrôle de l’accès au restaurant d’entreprise [… et] le contrôle d’accès des visiteurs » (article 1er).
L’exclusion de la finalité de gestion des horaires, actée le 20 septembre 2012 par la Commission, s’étend à tous les dispositifs biométriques, quelle que soit la caractéristique biométrique traitée, visés par les autorisations uniques d’ores et déjà adoptées.
Le recours à un dispositif biométrique pour la gestion des horaires exige que le responsable de traitement effectue auprès de la CNIL une demande d’autorisation spécifique sur le fondement de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée. 
Une telle demande d’autorisation doit s’inscrire dans le cadre de circonstances exceptionnelles fondées sur un impératif spécifique de sécurité, comme rappelé par la Commission lors de la modification de l’AU-007, qui seraient susceptibles de justifier, notamment, la proportionnalité du recours à un dispositif biométrique ayant pour finalité la gestion des horaires des salariés.
Le traitement automatisé de données à caractère personnel que la société AF3 souhaite mettre en œuvre repose sur un dispositif biométrique de reconnaissance de l’empreinte digitale ayant pour finalité la gestion des horaires. Elle justifie sa démarche de recourir à ce dispositif biométrique par sa simplicité de mise en œuvre.
Selon la société, le dispositif biométrique présente un double avantage, la fiabilité de l’information et son confort d’utilisation.
Conformément à l’article 1er de la loi du 6 janvier 1978 modifiée, la Commission rappelle que la mise en place d’un tel dispositif ne doit « porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques ». En outre, il convient d’examiner ledit traitement au regard des principes relatifs à la protection des données à caractère personnel, et notamment, de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
En l’espèce, la Commission constate qu’aucune circonstance exceptionnelle n’est démontrée et que le dispositif biométrique de gestion des horaires des salariés ne résulte pas de la mise en œuvre de mesures de sécurité telles qu’identifiées par une analyse de risques. 
En conséquence, elle considère que le recours exclusif à un dispositif biométrique de reconnaissance de l’empreinte digitale n’apparait ni adapté ni proportionné à la finalité poursuivie au sens de l’article 6-3° précité. 
Dans ces conditions, la Commission n’autorise pas la société AF3 à mettre en œuvre un traitement de données à caractère personnel reposant sur un dispositif biométrique de reconnaissance de l’empreinte digitale et ayant pour finalité la gestion des horaires.
Pour La Présidente,
(Demande d’autorisation n° 1912557)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Université Paris Ouest Nanterre La Défense d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalités la gestion des demandes d’exonération des frais d’inscription à l’Université et leur suivi statistique ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’éducation, notamment ses articles R. 719-49, R. 719-50, D. 612-1 et D. 612-2 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Joëlle FARCHY, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
L’Université Paris Ouest Nanterre la Défense, agissant dans le cadre des dispositions de l’article R. 719-50 du code de l’éducation, est le responsable de traitement. 
Sur la finalité
Le traitement projeté a pour finalités la gestion des demandes d’exonération des frais d’inscription à l’Université et leur suivi statistique. En application de l’article R. 719-50 du code de l’éducation, les étudiants qui en font la demande peuvent bénéficier d’une exonération du paiement des droits d’inscription en raison de leur situation personnelle, notamment lorsqu’il s’agit d’étudiants réfugiés ou de travailleurs privés d’emploi. Pour adresser une demande d’exonération des frais d’inscription à l’Université Paris Ouest Nanterre La Défense, les étudiants doivent remplir en ligne un formulaire, qui est ensuite déposé dans une boîte aux lettres dédiée ou adressé par voie de poste, accompagné des pièces complémentaires nécessaires à son traitement, au bureau en charge de la gestion de ces demandes. Parmi les pièces complémentaires figure notamment une lettre de motivation de l’étudiant, précisant sa situation et les difficultés qu’il doit surmonter. Le dossier est ensuite étudié par la Commission d’Exonération des droits d’inscription, qui donne un avis d’acceptation ou un refus d’exonération. Les décisions d’acceptation ou de refus d’exonération sont reportées dans un fichier de tableur de suivi des aides. Le traitement projeté comporte des données relatives aux difficultés sociales des personnes et doit dès lors être autorisé par la Commission en application de l’article 25-I-7° de la loi du 6 janvier 1978 modifiée. La Commission considère que la finalité poursuivie par
le traitement est déterminée, explicite et légitime, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les données collectées au sein du traitement projeté concernent en premier lieu les étudiants de l’Université Paris Ouest Nanterre La Défense souhaitant être exonérés du paiement des frais d’inscription à l’Université. 
Les données figurant au sein du traitement sont collectées directement auprès des étudiants et sont relatives à : 
leur identification : noms, prénoms, adresses postales et électroniques, numéro de téléphone, numéro étudiant ; 
leur situation familiale ; 
leur activité professionnelle ;
leur scolarité et formation ;
leur type d’hébergement ;
leur situation financière et économique.
Il est également demandé aux étudiants de préciser s’ils ont déjà bénéficié d’une exonération des droits de scolarité. 
En ce qui concerne le dossier papier de demande d’exonération, celui-ci contient la photocopie de la carte d’identité, afin de vérifier l’identité de l’étudiant concerné, ainsi que des documents justificatifs concernant son cursus universitaire ainsi que son budget.
Les dossiers de demande d’exonération des droits d’inscription sont en outre accompagnés d’une lettre de motivation de l’étudiant expliquant son projet d’études et d’insertion professionnelle, sa perception de son itinéraire, sa situation actuelle et les difficultés auxquelles il est confronté. Cette lettre de motivation peut contenir des données relatives aux difficultés sociales des personnes, ainsi que tout élément que l’étudiant souhaiterait porter à la connaissance de la Commission d’exonération des droits d’inscription à l’Université afin que celle-ci puisse se prononcer sur sa situation. 
Enfin, peuvent être joints au dossier papier un certificat d’hospitalisation, des documents relatifs aux frais de santé ou à la présence d’un handicap. La lettre de motivation pourra également contenir des informations relatives à la santé de l’étudiant au sens de l’article 8 de la loi du 6 janvier 1978 modifiée, dont celui-ci souhaiterait faire part à la commission d’exonération du paiement des droits d’inscription. 
La Commission prend acte des précisions apportées par l’Université selon lesquelles l’étudiant consent expressément à la collecte d’informations concernant son état de santé, en cochant une case prévue à cet effet dans le formulaire de demande d’exonération, conformément à l’article 8-II-1° de la loi du 6 janvier 1978 modifiée.
Des données relatives aux personnes ayant un accès direct au traitement sont également collectées. Elles comprennent  l’identifiant des terminaux, l’identifiant de connexion, l’information d’horodatage, et leur l’adresse IP. 
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies par le traitement, conformément à l’article 6-3° de la loi du 6 janvier 1978 modifiée. 
Sur les destinataires
Le gestionnaire et son supérieur hiérarchique, ainsi que les membres de la Commission d’exonération des droits d’inscription, sont destinataires des données contenues dans le traitement projeté, à l’exception des données de connexion auxquelles seule la Direction des ressources informatiques de l’Université peut avoir accès.  La Commission considère que ces destinataires ont un intérêt légitime à connaître de ces données. 
Sur l’information et le droit d’accès
Les étudiants sont informés de la mise en œuvre du traitement de données à caractère personnel par des mentions conformes aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, sur le site web ainsi que sur le formulaire papier à télécharger.Les droits d’opposition pour motifs légitimes, d’accès et de rectification prévus aux articles 38 à 40 de la loi du 6 janvier 1978 modifiée s’exercent directement auprès du service universitaire d’information et d’orientation (SUIO) de l’Université Paris Ouest Nanterre La Défense. La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes. 
Sur les mesures de sécurité
Des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher tout utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées. L’authentification des personnes habilitées à accéder à l’application se fait par un mot de passe comportant un minimum de huit caractères, dont au moins une majuscule, une minuscule et un caractère spécial. Les échanges de données effectués sur Internet sont sécurisés par des protocoles de sécurisation. Le traitement comporte une fonctionnalité de journalisation des opérations de consultation, modification, ou de création permettant d’identifier l’utilisateur à l’origine d’une opération. La Commission rappelle que la conservation des traces ne peut, sans justification particulière, excéder une durée de six mois, au-delà de laquelle celles-ci doivent être supprimées.  Dans ces conditions, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Pour ce qui concerne les dossiers papiers, les données sont conservées jusqu’à ce que la Commission d’exonération des droits d’inscription se prononce sur les demandes d’exonération.  La Commission relève que les données contenues dans le formulaire en ligne sont effacées de la messagerie du gestionnaire à la suite de la décision de la Commission d’exonération des droits d’inscription.Les données contenues dans le fichier de tableur sont conservées pendant une durée de deux ans, ce qui permet de vérifier si l’étudiant a fait une demande d’exonération du paiement des frais d’inscription à l’Université deux années de suite. Cette durée se justifie également au regard de la finalité relative au suivi statistique. Elle permet ainsi d’établir des indicateurs d’activité. La Commission considère que ces durées n’excèdent pas celles nécessaires aux finalités pour lesquelles les données sont collectées et traitées, conformément à l’article 6-5° de la loi du 6 janvier 1978 modifiée. 
Autorise, conformément à la présente délibération, l’Université Paris Ouest Nanterre La Défense à mettre en œuvre le traitement susmentionné.
Pour La Présidente,
Le Vice-Président délégué,
Marie-France MAZARS
(Demande d’autorisation n° 1797246)
La Commission nationale de l'informatique et des libertés,
Saisie par la BNP Paribas Paris d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’évaluation du risque de crédit présenté par les clients au moyen d'un système de notation interne et la définition du niveau de fonds propres réglementaires ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement