AgentPublic/cnil huggingface dataset:
Les catégories de données à caractère personnel enregistrées seront relatives à :   - S'agissant de la lutte contre les tentatives d'obtentions irrégulières de crédit,   l'identité de l'emprunteur (nom, prénoms, date de naissance, code postal et ville de naissance), le numéro de SIREN et code APE pour les personnes morales, les coordonnées bancaires, postales et téléphoniques, la nature et qualité des justificatifs présentés à l'appui des demandes de crédit, l'état des impayés éventuels concernant les crédits à la consommation souscrits, la date de la demande de crédit, les moyens utilisés pour la demande de crédit (minitel, internrnt, téléphone...) ainsi que les indications relatives au point de vente.   - S'agissant des échanges d'informations relatives aux impayés et au niveau d'endettement à des fins de gestion de compte client,   l'identité de l'emprunteur (nom, prénoms, date de naissance, code INSEE du lieu de naissance pour éviter les risques d'homonymie), les coordonnées postales et téléphoniques de l'emprunteur, sa situation économique et financière, ses coordonnées bancaires, le type et nombre de contrats en cours de remboursement, la somme des encours restant dus, la somme des mensualités dues par le client, les retards de paiement (indication de mise en recouvrement, contentieux ou surendettement), l'existence d'incidents de paiement dans les 12 derniers mois, les clients soldés suite à une action judiciaire au cours des cinq dernières années, les clients
passés en perte depuis moins de 10 ans.   - S'agissant des échanges d'informations relatives à l' adresse du débiteur pour les recouvrement de créance pour lesquels les courriers adressés reviennent avec la mention "n'habite pas à l'adresse indiquée",   l'identité de l'emprunteur (nom, prénoms, date de naissance, code INSEE du lieu de naissance pour éviter les risques d'homonymie), les coordonnées postales et téléphoniques de l' emprunteur.
Les destinataires des informations seront ponctuellement à l'occasion d'une demande de crédit :   - S'agissant de la lutte contre les tentatives d'obtentions irrégulières de crédit,   les personnels habilités de la cellule fraude de la société Cetelem, les personnels habilités de la cellule fraude de la société COFINOGA et des membres du groupe COFINOGA, ainsi que les personnes habilitées des services chargés du contrôle interne au sein des sociétés CETELEM et COFINOGA.   - S'agissant des échanges d'informations relatives aux impayés et au niveau d'endettement à des fins de gestion de compte client, et à l'occasion d'une demande de crédit, d'une part, et de ceux relatifs à l' adresse du débiteur pour les recouvrement de créance pour lesquels les courriers adressés reviennent avec la mention "n'habite pas à l'adresse indiquée",   les personnels habilités du service de contrôle interne des sociétés CETELEM et COFINOGA,   et pour le seul résultat de l'analyse effectuée par les systèmes experts les chargés de clientèle respectifs :   - des sociétés CETELEM et COFINOGA,   - des établissements de crédit du groupe CETELEM,   - des établissements de crédit du groupe BNP Paribas ayant confié tout ou partie de la gestion de leurs crédits à la consommation à la société CETELEM,   - des établissements de crédits liés à CETELEM pour la gestion de leurs crédits ou des transactions relatives aux opérations de paiement, des établissements de crédit membres du groupe COFINOGA.
Le droit d'accès défini au chapitre V de la loi du 6 janvier 1978 s'exercera auprès de la société COFINOGA, 106-108 avenue du Président Kennedy, 33696 MERIGNAC CEDEX et, en particulier, auprès du :   - service de contrôle général, s'agissant de la lutte contre les tentatives d'obtentions irrégulières de crédit,   - service Consommateurs, s'agissant des échanges d'informations relatives aux impayés et au niveau d'endettement à des fins de gestion de compte client et de recouvrement de créance.   - S'agissant des échanges d'informations relatives aux impayés et au niveau d'endettement à des fins de gestion de compte client et de recouvrement de créance   La Commission autorise la société COFINOGA à mettre en oeuvre les traitements de données à caractère personnel ayant pour finalité la gestion de la prévention du risque, la gestion des comptes clients et du recouvrement de créance dans les conditions définies par la présente délibération.   Le Président, Alex TURK
La Commission nationale de l'informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex TURK, président ;
Etant aussi présents M. Guy ROSIER, vice-président délégué, M. François GIQUEL, vice-président, M. Hubert BOUCHET, membre, Mlle Anne DEBET, membre et M. Bernard PEYRAT, membre ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu les articles L. 131-85 et L. 613-21 du Code monétaire et financier ;
Vu le décret n° 92-456 du 22 mai 1992 pris pour l'application du décret du 30 octobre 1935 modifié par la loi n° 91-1382 du 30 décembre 1991 et relatif au refus de paiement des chèques et à l'interdiction d'émettre des chèques ;
Vu la saisine n° 06003050 ;
Vu le rapport de M. Philippe NOGRIX, commissaire, notifié à X le 20 octobre 2006 et les observations en réponse reçues le 20 novembre 2006.
Après avoir entendu, M. Philippe NOGRIX, commissaire, en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations.
Après avoir entendu, lors de la réunion du 23 novembre 2006, les observations orales de M. A, directeur général de X et de M. B, responsable de la conformité de X, ceux-ci ayant pris la parole en dernier.
Constate les faits suivants
 :
La Commission nationale de l'informatique et des libertés a été saisie, le 14 février 2006, d'une plainte dirigée à l'encontre de X concernant l'absence de mainlevée de l'inscription du requérant au Fichier Central des Chèques (FCC) géré par la Banque de France.
Dans le cadre de l'exercice de sa mission de contrôle, la Commission a interrogé la Banque de France qui lui a confirmé que X avait procédé à l'inscription du requérant au FCC les 27 septembre et 2 octobre 2002.
Interrogée par les services de la Commission, X a indiqué, le 20 mars 2006, qu'après "étude de ce dossier, ... les incidents de paiement pour lesquels M. x était inscrit au Fichier Central des Chèques (FCC) ont été régularisés". Cette banque informait également la CNIL qu'elle avait procédé à la main-levée de ces inscriptions au FCC.
Toutefois, les services de la Commission ont adressé un nouveau courrier à X afin d'obtenir des précisions sur la date de la mainlevée et sur la raison pour laquelle cette inscription était toujours effective le 23 février 2006 alors même que le requérant avait régularisé sa situation en 2002.
Le 13 avril 2006, X a indiqué à la CNIL que "la mainlevée de l'inscription de M. x au Fichier Central des Chèques (FCC) a été effectuée le 16 mars 2006".
Cette banque précisait que "les conclusions de l'audit interne ... révèlent que le dossier de M. x n'a pas été traité avec toute la rigueur nécessaire. C'est une erreur de traitement en interne qui a conduit M. x à faire toujours l'objet, à tort, d'une inscription au FCC à la date du 23 février 2006".
Ces faits sont donc contraires à l'article 6-4° de la loi du 6 janvier 1978 modifiée qui dispose que les données doivent être "exactes, complètes et, si nécessaire, mises à jour ; les mesures appropriées doivent être prises pour que les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées soient effacées ou rectifiées".
Ces faits mettent aussi en cause les conditions dans lesquelles la sécurité des données sur les clients semble assurée par X alors que l'article 34 de la loi du 6 janvier 1978 modifiée dispose que le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés (l'ensemble des établissements de crédit ayant communication des personnes physiques inscrites au FCC) y aient accès.
Ces faits sont enfin contraires aux dispositions de l'article 18 du décret n° 92-456 du 22 mai 1992 pris pour l'application de la loi du 30 décembre 1991 relatif au refus du paiement des chèques et à l'interdiction d'émettre des chèques.
En effet, cet article dispose que : "le tiré avise la Banque de France de la régularisation au plus tard le deuxième jour ouvré suivant la justification".
Or, X a avisé la Banque de France près de quatre ans après la régularisation du paiement effectuée par le requérant.
La Commission prend bonne note de l'ensemble des mesures de correction présentées par X tant dans ses observations en réponse du 20 novembre 2006 que lors de la présentation orale du 23 novembre 2006. Si la Commission considère que les garanties apportées sont de nature à éviter que les faits précités ne se reproduisent à l'avenir, elle considère néanmoins que celles-ci ne sont pas de nature à atténuer la gravité des manquements constatés et des conséquences qui en ont découlé pour la personne inscrite à tort au FCC.
En conséquence, la Commission décide de faire application des dispositions de l'article 45 de la loi du 6 janvier 1978 modifiée le 6 août 2004 et d'adresser un avertissement à X sise [...] qui sera rendu public sur le site internet de la CNIL.
La présente décision sera communiquée à la Commission bancaire.
Le président Alex TURK.
La Commission nationale de l'informatique et des libertés,   Saisie le 2 octobre 2006, d'une demande d'autorisation d'un traitement ayant pour finalité le suivi du contentieux technique entre le service médical et les professionnels de santé ;   Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-3 ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Après avoir entendu M. Jean-Pierre de LONGEVIALLE, commissaire, en son rapport et Mme Pascale COMPAGNIE, commissaire du gouvernement, en ses observations.
Formule les observations suivantes :   La direction régionale du service médical Languedoc-Roussillon a saisi la Commission nationale de l'informatique et des libertés d'une demande d'autorisation relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité le suivi du contentieux technique entre le service médical et les professionnels de santé.   La Commission considère qu'il y a lieu de faire application des dispositions de l'article 25-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements portant sur des données relatives aux infractions, condamnations ou mesures de sûreté, sauf ceux qui sont mis en oeuvre par des auxiliaires de justice pour les besoins de leurs missions de défense des personnes concernées.   En application de l'article L. 315-1 du code de la sécurité sociale, le service de contrôle médical constate les abus en matière de soins, de prescription d'arrêt de travail et d'application de la tarification des actes et prestations.  Il procède également à l'analyse, sur le plan médical, de l'activité des professionnels de santé notamment au regard des règles définies par les conventions.   Ce traitement permettra de suivre les différentes étapes de la procédure contentieuse et les sanctions prononcées.   Le droit d'accès défini au chapitre V de la loi du 6 janvier 1978 s'exercera auprès du directeur régional du service médical de la région Languedoc-Roussillon.   Les catégories de données à
caractère personnel traitées seront l'identité du professionnel de santé, sa spécialité médicale ainsi que les dates de saisine et de jugement, les griefs et les sanctions prononcées.   Elles seront conservées jusqu'à épuisement des voies de recours puis anonymisée à des fins de statistiques internes.   Les destinataires des informations seront dans le cadre de leurs fonctions, le médecin conseil régional et deux agents nommément désignés de la direction régionale du service médical responsables de l'audit et du suivi du contentieux.
Dans ces conditions, la Commission autorise la direction régionale du service médical Languedoc-Roussillon à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité le suivi du contentieux technique entre le service médical et les professionnels de santé.   Le Président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Saisie le 24 octobre 2006, d'une demande d'autorisation d'un traitement ayant pour finalité le suivi des contrôles médicaux et l'analyse de l'activité des professionnels de santé ;   Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-3° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004,   Après avoir entendu M. Jean-Pierre de LONGEVIALLE, commissaire, en son rapport et Mme Pascale COMPAGNIE, commissaire du gouvernement, en ses observations.
Formule les observations suivantes :   La Direction régionale du Service médical Midi-Pyrénées a saisi la Commission nationale de l'informatique et des libertés d'une demande d'autorisation relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité le suivi des contrôles médicaux et l'analyse de l'activité des professionnels de santé.   La Commission considère qu'il y a lieu de faire application des dispositions de l'article 25-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements portant sur des données relatives aux infractions, condamnations ou mesures de sûreté, sauf ceux qui sont mis en oeuvre par des auxiliaires de justice pour les besoins de leurs missions de défense des personnes concernées.   En application de l'article L. 315-1 du code de la sécurité sociale, le service de contrôle médical constate les abus en matière de soins, de prescription d'arrêt de travail et d'application de la tarification des actes et prestations.  Il procède également à l'analyse, sur le plan médical, de l'activité des professionnels de santé notamment au regard des règles définies par les conventions.   Ce traitement permettra de suivre les analyses menées par le service médical, de connaître les conclusions apportées et les actions notamment contentieuses réalisées par la suite.   Le droit d'accès défini au chapitre V de la loi du 6 janvier 1978 s'exercera auprès du médecin chef de service de l'échelon local du
service du contrôle médical du département ou du responsable du pôle contrôle contentieux de l'échelon régional du service médical Midi-Pyrénées.   Les catégories de données à caractère personnel traitées seront l'identité du professionnel de santé, sa spécialité médicale, les infractions et condamnations prononcées à l'égard des professionnels de santé, les modalités de contrôle mises en oeuvre, l'identité du praticien conseil chargé de l'analyse de l'activité, son lieu d'exercice et le nombre de vacations consacrées à l'analyse.   Elles seront conservées jusqu'à épuisement des voies de recours puis anonymisées à des fins de statistiques internes.   Les destinataires des informations seront les personnes habilitées du service du contrôle médical de la direction régionale Midi-Pyrénées, munies d'une carte à puce et d'un code personnel permettant leur identification et leur authentification.
Dans ces conditions, la Commission autorise la direction régionale du service médical Midi-Pyrénées à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité le suivi des contrôles médicaux et l'analyse de l'activité des professionnels de santé.   Le Président Alex TURK.
La Commission nationale de l'informatique et des libertés,   Saisie par la société CGBC d'une déclaration de traitement automatisé de données à caractère personnel relative à la prévention des impayés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25 ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Vu la délibération de la Commission n° 04-072 du 21 septembre 2004 portant autorisation de la mise en oeuvre par le GIE PREVENTEL d'un traitement automatisé de données à caractère personnel relatif à la prévention des impayés ;   Après avoir entendu M. Didier GASSE, en son rapport, et Mme Pascale COMPAGNIE, commissaire du Gouvernement en ses observations,
Formule les observations suivantes :   La société CGBC a déposé auprès de la CNIL un dossier relatif à la mise en oeuvre d'un traitement automatisé de données à caractère personnel ayant pour finalité la prévention des impayés.  Le traitement qui permet à la société CGBC de consulter et d'enrichir le traitement mis en oeuvre par le GIE PREVENTEL actuellement composé des sociétés Bouygues Télécom, Orange France, SFR, Débitel France, Coriolis Télécom, Télé 2, Omer Télécom et Neuf Télécom.   Le traitement mis en pauvre par le GIE PREVENTEL a pour objet d'informer les membres du GIE, qu'il s'agisse des opérateurs de téléphone mobile, des sociétés commercialisant les services de ces opérateurs et des opérateurs de téléphonie fixe, des abonnés débiteurs d'une créance issue de l'utilisation de services de téléphonie afin qu'ils se prémunissent lors d'une nouvelle demande d'abonnement, de la lui refuser ou de prendre des mesures visant à se prémunir de tout nouvel impayé.   A ce titre, il y a lieu pour la Commission de faire application des dispositions relatives aux formalités préalables issues de l'article 25 4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements qui sont susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un contrat en l'absence de toute disposition législative ou réglementaire.
Les catégories de données à caractère personnel enregistrées sont relatives à l' identité de la personne présentant un impayé supérieur au seuil prévu par l'autorisation accordée au GIE PREVENTEL et aux motifs ayant donné lieu à l'inscription de la personne dans le fichier.   Le droit d'accès défini au chapitre VII de la loi s'exerce auprès du GIE PREVENTEL, Service des consultations, TSA n° 90 003, 93588 SAINT OUEN cedex.   Les destinataires des informations sont chacun des membres du GIE.   Dans ces conditions, la Commission autorise la société CGBC, 5 rue des Morillons 75015 Paris, à mettre en pauvre un traitement automatisé de données à caractère personnel ayant pour finalité "la pévention des impayés".    Le président Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel .   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 69 alinéa 8 ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007, et notamment son article 103 ;   Après avoir entendu M. Hubert BOUCHET, commissaire, en son rapport et Mme Pascale COMPAGNIE, commissaire du gouvernement, en ses observations ;   Autorise, dans les conditions figurant dans le tableau ci-dessous, la société Pioneer Semences SAS à mettre en oeuvre un transfert de données à caractère personnel hors de l'Union Européenne.
Société responsable du transfert : Pioneer Semences SAS   Finalité du transfert :  Gestion centralisée des relations commerciales avec les clients, distributeurs et prospects à partir de données provenant d'un traitement ayant pour finalité la gestion de ces relations commerciales   Catégories de données transférées :  Données relatives aux clients :  nom, adresses, coordonnées, numéro client, contrats, ordres, information relative à la relation commerciale avec Pioneer Semences SAS, information relative au rapport d'opération avec Pioneer Semences SAS, coordonnées bancaires, information financière   Données relatives aux fournisseurs :  nom, adresses, coordonnées, numéro client, contrats, ordres, information relative à la relation commerciale avec Pioneer Semences SAS, coordonnées bancaires, information financière   Identité(s) du(des) destinataire(s) :  Les personnes habilitées de la société Pioneer Hi-Bred International Inc.   Pays d'établissement du(des) destinataire(s) : Etats-Unis   Durée de conservation des données chez le(s) destinataire(s) : Dix ans   Service auprès duquel s'exerce le droit d'accès des personnes concernées :   Service Marketing - Bases de données Pioneer Semences SAS Chemin de l'Enseigure 31840 Aussonne   Nature des garanties mise en oeuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées :  Clauses contractuelles européennes issues de la Décision 2001/497/CE de la
Commission européenne du 15 juin 2001 concernant les transferts de responsable de traitement à responsable de traitement   Le Président, ALex TÜRK   Guy ROSIER Vice-Président Délégué