AgentPublic/cnil huggingface dataset:
(Demande d’autorisation n° 1691880)
La Commission nationale de l'informatique et des libertés,
Saisie par la société des autoroutes Rhône Alpes (AREA) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude interne ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Eric PERES, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
Le responsable de traitement est la société des autoroutes Rhône Alpes (AREA).
Sur la finalité
La finalité du traitement est la lutte contre la fraude interne. Les cas de fraude peuvent être liés aux tickets et aux manipulations (modification de la gare d’entrée sur le réseau, de la catégorie du véhicule, etc.), à la franchise de péage (exemptions de péage pour certaines catégories de population) et aux recettes (écart entre la recette théorique et la recette déclarée). Ce traitement implique un contrôle de l’activité des salariés de la société AREA et peut conduire au prononcé de sanctions disciplinaires. La Commission considère les finalités poursuivies sont déterminées, explicites et légitimes. Par ailleurs, l’article 9 de la loi du 6 janvier 1978 modifiée prévoit que le traitement de données relatives aux infractions, condamnations et mesures de sûreté ne peut être mis en œuvre que par :« 1° Les juridictions, les autorités publiques et les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales ;2° Les auxiliaires de justice, pour les stricts besoins de l’exercice des missions qui leur sont confiées par la loi ;3° [Dispositions déclarées non conformes à la Constitution par décision du Conseil constitutionnel n° 2004-499 DC du 29 juillet 2004 ;] 4° Les personnes morales mentionnées aux articles L. 321-1 et L. 331-1 du code de la propriété intellectuelle, agissant au titre des droits dont elles assurent la gestion ou pour le compte des victimes d’atteintes aux droits prévus aux livres Ier, II et III du même code aux fins
d’assurer la défense de ces droits ».Dans sa décision du 29 juillet 2004, le Conseil Constitutionnel a invalidé l’article 9-3° qui permettait à une personne morale de droit privé, mandatée par d’autres personnes morales estimant avoir été victimes ou être susceptibles d’être victimes d’agissements passibles de sanctions pénales, de rassembler des données portant sur des infractions, condamnations ou mesures de sûreté, au motif de son caractère trop général et du manque de précision sur les garanties devant encadrer ce type de traitement. Pour autant, le Conseil Constitutionnel a précisé que cette annulation ne saurait être interprétée comme « privant d’effectivité le droit d’exercer un recours juridictionnel dont dispose toute personne physique ou morale s’agissant des infractions dont elle a été victime ». Cette réserve d’interprétation était indispensable pour ne pas priver de base légale les traitements légitimement mis en œuvre pour assurer le suivi des dossiers contentieux relatifs à des infractions. Elle permet à toute personne de constituer, pour les besoins de l’exercice de son droit au recours, des fichiers de pré-contentieux.Dans ce contexte, la Commission considère qu’il y a lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté.
Sur les données traitées
Les données suivantes relatives aux salariés de la société AREA sont collectées : 
Données d’identification : nom, prénom, sexe et âge ;
Données relatives à la vie professionnelle : situation professionnelle, matricule, numéro de carte professionnelle ;
Données relatives au poste de travail : date et heure d’ouverture et de fermeture de poste, transactions, recette théorique, recette déclarée.
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie. 
Sur les destinataires
Les destinataires des données sont les personnels dûment habilités de la direction clientèle et péage de la société AREA. Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès 
Conformément à l’article 32 de la loi du 6 janvier 1978 modifiée les salariés de la société AREA sont informés de l’identité du responsable de traitement, de la finalité du traitement, des destinataires des données et de leurs droits via une note de service adressée aux salariés. Les droits d’accès et de rectification s’exercent auprès de ma direction clientèle et péage de la société AREA - 260, avenue Jean Monnet – 69500 BRON.  La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes. 
Sur les mesures de sécurité
Le traitement est hébergé au sein de l’organisme sur un réseau privé. Le réseau est protégé de l’extérieur par l’intermédiaire d’un pare feu. Une compartimentation du réseau avec des règles de filtrage est effectuée. Les développements sont réalisés sur des données anonymisées.Des profils d’habilitation définissent les fonctions ou les types d’informations accessibles à un utilisateur.L’accès à l’application se fait par l’intermédiaire d’un couple login/mot de passe d’une durée de validité de 180 jours. Le mot de passe est conforme aux recommandations de la Commission.Le traitement met en œuvre une traçabilité des accès à l’application.Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques 
Sur les autres caractéristiques du traitement
Les données sont conservées le temps de la prescription de l’infraction, à savoir 3 ans en matière délictuelle. La Commission estime que cette durée de conservation est proportionnée au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, la société des autoroutes Rhône Alpes (AREA) à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1717686)
La Commission nationale de l'informatique et des libertés,
Saisie par la société autorisant la Régie Autonome des Transports Parisiens (RATP) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’exclusion d’agents du bénéfice de la « bourse d’échange des opérateurs SEM/B1 » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Eric PERES, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le responsable de traitement est la Régie Autonome des Transports Parisiens (RATP).
Sur la finalité
Le département SEM (Services et Espaces Multimodaux)  de la RATP a mis en place une bourse d’échange pour permettre aux agents de la sous-filière B1 d’une même ligne d’échanger leurs services ou repos avec leurs collègues de même métier. L’objectif de dispositif est de donner davantage de souplesse aux agents pour gérer au mieux l’équilibre entre vie professionnelle et vie personnelle. 
Le présent traitement a pour finalité de permettre à la RATP d’exclure certains agents du bénéfice de cette bourse d’échange.
Une telle exclusion peut intervenir pour les motifs suivants : 
L’agent n’a pas les compétences et aptitudes professionnelles requises pour prétendre au poste objet de l'échange ;
L’agent fait l’objet de restriction médicale ;
L’agent n’a pas assuré un échange qu'il s’était engagé à faire (exclusion sur demande du supérieur hiérarchique).
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes. 
Par ailleurs, elle considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire. 
Sur les données traitées
Les données enregistrées sont relatives :
A l’identification de l’agent concerné : nom, prénom, matricule de l’agent, adresse électronique professionnelle ou personnelle (facultatif) ;
A la vie professionnelle de l’agent concerné : situation professionnelle, affectations prévisionnelles (pour les personnes exclues pour ne pas avoir assuré un échange) ;
Date de début et de fin d’exclusion et références du courrier adressé à l’agent.
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie. 
Sur les destinataires
Les destinataires des données sont les suivants : 
Le service RH des différentes Unités Opérationnelles du département SEM ;
Le pôle RH du département SEM ;
Les supérieurs hiérarchiques des agents concernés.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées de la possibilité qu’elles soient exclues par une mention dans l'Accord Cadre Bourse échange.En cas d’exclusion, les agents concernés en sont informés lors d’un entretien avec leur supérieur hiérarchique, à l’occasion duquel ils peuvent faire part de leurs observations. A l’issue de cet entretien, les agents reçoivent un courrier postal confirmant leur exclusion. Les personnes peuvent exercer leurs droits d’accès et de rectification auprès de leur supérieur hiérarchique ou du Correspondant Informatique et Libertés de la RATP, LAC JV27, 13, rue Jules Valles – 75547 PARIS CEDEX 11.  La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes. 
Sur les mesures de sécurité
La base de données est hébergée au sein du réseau du responsable de traitement.Les environnements de production et de développement sont distincts et les développements sont réalisés sur des données fictives.Des profils d’habilitation définissent les fonctions ou les types d’informations accessibles à un utilisateur et le contrôle d’accès se fait par l’intermédiaire d’une authentification par identifiant mot de passe. Le mot de passe est composé de 8 caractères alphanumériques minuscules et majuscules et le renouvellement est opéré tous les 6 mois.Le traitement met en œuvre une journalisation des accès à l’application. Le responsable de traitement s’engage à ce que les actions de consultation, de modification, de création ou de suppressions soient tracées cela afin de garantir l’intégrité des données présentes dans la base de données. Cela d’autant plus dans le cas d’un fichier alimenté manuellement.La liste d’exclusion se présente sous la forme d’un fichier Excel hébergé dans un espace de stockage uniquement accessible aux personnes habilitées.Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. 
Sur les autres caractéristiques du traitement
Les données sont conservées pendant une durée maximale de deux ans, puis elles sont supprimées et l’agent peut à nouveau bénéficier de la bourse d’échange.Lorsque l’agent est exclu de la bourse d’échange en raison de son inaptitude ou d’une restriction médicale, ses données sont conservées pendant toute la durée de la période d’inaptitude ou de la restriction. La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement. 
Autorise, conformément à la présente délibération, la Régie Autonome de Transports Parisiens (RATP) à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1728638)
La Commission nationale de l'informatique et des libertés,
Saisie par la Régie Autonome de Transports Parisiens (RATP) d’une demande d’autorisation présenter par la Régie Autonome de Transports Parisiens (RATP) et relative à l’interconnexion du traitement de gestion des procès-verbaux d’infraction (OASIS) avec des bases de données de tiers dans le cadre de procédures de recouvrement amiable des contraventions ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-5° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Eric PERES, commissaire et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
Le responsable de traitement est la Régie Autonome de Transports Parisiens (RATP).
Sur la finalité
La RATP souhaite interconnecter son traitement de gestion des procès-verbaux d’infraction (OASIS) avec des bases de données de tiers. Le choix des bases de données concernées dépendra du prestataire qui sera retenu à la suite d’un appel d’offres. La Commission prend acte de ce que le cahier des charges de cet appel d’offres impose au prestataire de ne recourir qu’à des bases des données constituées en conformité avec la loi du 6 janvier 1978 modifiée.Cette interconnexion a pour objet d’enrichir la base OASIS avec les numéros de téléphone et adresses électroniques des personnes ayant commis une infraction. Grâce à ces nouvelles données, la RATP pourra contacter les contrevenants et leur proposer un règlement amiable du montant de la contravention avant transmission du procès-verbal au ministère public.La Commission prend acte de ce que les données contenues dans les bases de données utilisées pour enrichir la base OASIS ont été collectées avec le consentement des personnes concernées.La Commission considère les finalités poursuivies sont déterminées, explicites et légitimes. Par ailleurs, elle considère qu’il y a lieu de faire application des dispositions de l’article 25-I-5° de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements automatisés ayant pour objet l’interconnexion de fichiers dont les finalités principales sont différentes. 
Sur les données traitées
La base de données OASIS est interconnectée avec les bases de données des tiers sur la base des données suivantes : nom, prénom, adresse, date et lieu de naissance.Si ces données permettent d’identifier une personne figurant dans les bases de données des tiers, la base OASIS est enrichie des numéros de téléphone fixe et mobile et de l’adresse électronique de cette personne.La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie. 
Sur les destinataires
Les données issues de l’interconnexion sont intégrées à la base OASIS et sont accessibles par toutes les personnes pouvant avoir accès à cette base, à savoir : 
le centre de recouvrement des infractions RATP ;
les services clientèles RATP ; 
le département affaires pénales RATP ;
les sociétés chargées de la saisie, de l’enrichissement, de l’envoi des SMS et du recouvrement ;
les parquets, tribunaux et préfectures ; 
le centre informatique des impôts.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées de l’existence de l’interconnexion entre la base OASIS et les bases de données des tiers sur la lettre de relance qui leur ait adressée si elles ne payent pas l’amende demandée. Les droits d’accès et de rectification s’exercent auprès du Correspondant Informatique et Libertés de la RATP, 13 rue Jules Valles – 75547 PARIS Cedex 11.La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes. 
Sur les mesures de sécurité
Les transferts de données en provenance de l’extérieur pour alimenter la base OASIS se font par l’intermédiaire du protocole SFTP, qui garantit le chiffrement du canal de communication lors des échanges via internet.Les échanges sur le réseau interne se font par l’intermédiaire du protocole HTTPS qui garantit la confidentialité des échanges sur le réseau interne.Les environnements de production et de développement sont distincts.La Commission rappelle que les développements doivent être réalisés sur des données fictives ou anonymisées.Le système d’information bénéficie de mesure de sécurité prémunissant du risque d’intrusion.Des profils d’habilitation définissent les fonctions ou les types d’informations accessibles à un utilisateur. L’authentification des utilisateurs se fait par l’intermédiaire d’un mot de passe composé de 8 caractères alphanumériques, renouvelé tous les 6 mois. La Commission rappelle qu’en matière de mot de passe, il est nécessaire que ces derniers intègrent au minimum 3 des 4 complexités suivantes : majuscules, minuscules, chiffres, caractères spéciaux.Le traitement met en œuvre une journalisation des accès aux données à caractères personnelles et cela lors des actions de consultation, mise à jour et suppression.Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour
des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données issues de l’interconnexion sont intégrées à la base OASIS et sont donc conservées pendant les durées de conservation prévues pour cette base, à savoir :
Pour les dossiers d’infractions de 3ème et de 4ème classe réglés pendant la phase amiable : les données sont conservées pendant un an à compter de la date des faits ;
Pour les dossiers d’infractions de 3ème et de 4ème classe qui n’ont pas donné lieu à une procédure pénale : les données sont conservées pendant un an à compter de la date des faits, puis sont archivées pendant deux ans ;
Pour les dossiers d’infractions de 3ème et de 4ème classe qui ont donné lieu à une procédure pénale : les données sont conservées pendant trois ans à compter de la date des faits, puis sont archivées pendant deux ans.
La Commission estime que ces durées de conservation sont proportionnées au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, la Régie Autonome de Transports Parisiens (RATP) à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1632802)
La Commission nationale de l'informatique et des libertés,
Saisie par le Crédit Lyonnais SA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un outil d’aide à la décision en matière d’octroi de crédits immobiliers;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Crédit Lyonnais appartient au Groupe LCL, Banque et Assurance.
Sur la finalité
Le Crédit Lyonnais a saisi la Commission nationale de l’informatique et des libertés d’un dossier de formalités relatif à la mise en œuvre d’un traitement de données à caractère personnel dont les finalités sont l’aide à la décision d’octroi de crédits immobiliers. Ce traitement doit permettre au responsable de traitement d’évaluer, sur la base de modèles de score, le risque statistique de défaut de remboursement attaché à chaque demande de crédit qui lui est présentée et de constituer des modèles de score à partir de l’analyse statistique des données personnelles en sa possession, d’en vérifier la pertinence et de les actualiser.Plus précisément, il s’agit d’évaluer, pour chaque personne présentant une demande de crédit, le risque statistique de défaillance qui lui est attaché et de sélectionner les demandes qui correspondent à un niveau de risque acceptable de défaillance. Il est, par voie de conséquence, susceptible d’exclure, au moins de façon temporaire, une personne du bénéfice d’un contrat en l'absence de toute  disposition législative ou réglementaire prévoyant une telle exclusion.Dès lors, ce traitement relève de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée et doit, à ce titre, être autorisé par la Commission.Par sa délibération n° 2008-198 du 9 juillet 2008 modifiant l’autorisation unique n° AU-05, la Commission a autorisé les traitements mis en œuvre par les établissements de crédit pour aider à l’évaluation et à la sélection des risques en matière
d’octroi de crédit sous réserve que les finalités de ces traitements, les catégories de données utilisées et leurs destinataires n’excèdent pas le cadre qui y est défini, que ces traitements remplissent également les conditions qui y sont fixées, et que les responsables de ces traitements adressent à la Commission un engagement de conformité à ladite autorisation unique.Tout projet de traitement automatisé dont les finalités ou les catégories de données ou de destinataires excèdent le cadre de cette autorisation unique ou qui ne respecterait pas les exigences qui y sont définies, doit, en revanche, faire l’objet d’une demande d’autorisation spécifique.L’analyse des caractéristiques du traitement, objet de la demande d’autorisation, fait apparaître des différences par rapport à l’AU-005 qui doivent dès lors être soumises à l’examen de la Commission,