AgentPublic/cnil huggingface dataset:
Le dispositif reposera sur un boîtier (terminal de lecture-comparaison) situé au point d’accès à la salle concernée. Il s’agit d’un boîtier autonome, qui ne sera pas relié à un réseau informatique. L’enrôlement des personnes s’effectuera à partir de ce boîtier qui est équipé d’un lecteur qui permet également l’enregistrement des gabarits. Outre les données biométriques, les éléments d’identification des personnes concernées (nom, prénom, fonction) seront également traitées.
La vérification s’effectuera entre le doigt apposé sur le lecteur et le gabarit du réseau veineux des personnes qui sera stocké dans le lecteur. Le gabarit biométrique et les éléments d’identification des utilisateurs seront effacés lors du départ de l’employé de la société. Un historique des passages sera conservé pendant trois mois.
La Commission considère que le réseau veineux des doigts de la main, en l’état actuel de la technique, est une biométrie sans trace dont l’enregistrement sur un terminal de lecture-comparaison aux fins de contrôler les accès aux locaux ne comporte pas de risques particuliers pour les libertés et les droits fondamentaux des personnes. A cet égard, en l’état actuel des techniques, la biométrie par reconnaissance du réseau veineux n’est pas susceptible d’être capturée à l’insu des personnes. Dès lors, la Commission considère que le traitement pris dans son ensemble apparaît adapté et proportionné du point de vue de la protection des données personnelles.
Les droits d’accès et de rectification s’exerceront auprès de la direction de la société ADM Concept –zone d’activité du Moulin à vent – 4 rue Jean Moulin – 78280 GUYANCOURT.
Les catégories de données à caractère personnel enregistrées seront :
l’identité de la personne (nom, prénom,) ;
la fonction ;
le gabarit du réseau veineux de deux doigts de la main ;
l’historique des passages.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les personnels habilités de la direction générale.
Dans ces conditions, la Commission autorise AMD Concept, à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK
(demande d’autorisation)
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié le 25 mars 2007 ;
Vu la délibération n°2007-041 du 8 mars 2007 portant autorisation de la mise en œuvre par Aéroports de Paris d’un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès au sein de la zone réservée du satellite S3 de l’aéroport de Paris-Charles-de-Gaulle
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par Aéroports de Paris d’un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès en zone réservée de l’aéroport de Paris-Charles-de-Gaulle.
Formule les observations suivantes :
La Commission nationale de l’informatique des libertés a été saisie par la société Aéroports de Paris (ADP) d’une demande de modification concernant un traitement reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès au sein de la zone réservée du satellite S3 de l’aéroport de Paris-Charles-de-Gaulle. Ce dispositif a été autorisé par la CNIL dans sa délibération n°2007-041 du 8 mars 2007.
La modification demandée par ADP consiste à étendre la mise en œuvre de ce système aux terminaux 2E, 2F, et 2G de l’aéroport de Paris-Charles-de-Gaulle ainsi qu’à l’ensemble des satellites, existants où à venir, reliés à ces terminaux. Pour le reste les dispositifs mis en œuvre seront strictement identiques à ceux autorisés dans la délibération n°2007-041 précitée.
Ainsi, les traitements auront pour objet d’autoriser l’accès de certains locaux ou zones des satellites aux seules personnes ayant une justification professionnelle. En fonction du niveau de sensibilité de la zone ou des locaux, le processus de contrôle d’accès est le suivant :
lecture d’un badge délivrés par la Direction Générale de l’Aviation Civile (DGAC) dans le cadre de la gestion des activités de sûreté sur les plates-formes aéroportuaires ;
vérification en temps réel des droits d’accès associés à ce badge en interrogeant une base de données ;
authentification de la personne grâce à un dispositif de reconnaissance des empreintes digitales.
La phase relative à la vérification des droits d’accès associés au badge repose sur l’interrogation d’un serveur central dans lequel seront enregistrés les données relatives aux personnes concernées (le nom, le prénom, le type d’activité, l’entreprise ayant délivré l’accréditation, l’entreprise d’appartenance, le numéro de badge et la date de fin de validité de badge). 
Certains personnels habilités de sociétés opérant sur les satellites concernés, de ADP et de la Direction de la Police aux Frontières disposent d’un accès, en consultation et en alimentation, à cette base de données afin de gérer, en fonction des zones et des locaux, les habilitations de leurs propres personnels. Les personnes habilités auront uniquement accès aux données des employés de leur organisme.
S’agissant du procédé de reconnaissance des empreintes digitales, l’authentification des personnes s’effectuera localement par une lecture du gabarit des empreintes digitales exclusivement enregistrés, sous forme chiffrée, dans la puce sans contact des badges délivrés par la DGAC. Le contrôle d’accès s’effectuera par une comparaison entre le doigt apposé sur le lecteur et le gabarit de l’empreinte digitale enregistré sur le badge.
Un historique des passages, le détail des accès empruntés ainsi que la liste des irrégularités pourront être édités. La conservation de ces données ne pourra excéder trois mois et elle seront uniquement accessibles aux administrateurs et personnels en charge de la maintenance des serveurs d’ADP.
Les données relatives au profil des personnes concernées seront conservées dans le serveur central jusqu’à expiration de la date de validité du badge. Il en est de même pour le gabarit enregistré sur le badge.
L’information des personnels se fera au moyen de la remise d’un document lors de l’opération d’accréditation ainsi que par un affichage dans les salles où cette procédure aura lieu. Une information et une consultation du comité d’entreprise de la société Aéroports de Paris seront effectués.
Compte tenu de l’impératif de sécurité lié à la nécessité de contrôler l’accès aux zones réservées de l’aéroport de Paris-Charles-de-Gaulle et dans la mesure où il repose sur l’enregistrement du gabarit de l’empreinte digitale dans un support individuel exclusivement détenu par la personne concernée, le traitement apparaît, en l’état actuel des connaissances sur la technologie utilisée, adapté et proportionné à la finalité assignée au dispositif.
Les droits d’accès et de rectification s’exerceront auprès du pôle gestion du patrimoine – activités domaniales – direction de l’aéroport de Paris-Charles-de-Gaulle – BP 24101 – 97711 Roissy Charles de Gaulle cedex.
Les catégories de données à caractère personnel enregistrées seront :
dans la base de données gérée par les organismes opérant sur les satellites concernés : le nom, le prénom, le type d’activité, l’entreprise ayant délivré l’accréditation, l’entreprise d’appartenance, le numéro de badge et la date de fin de validité de badge ainsi que l’historique des passages, le détail des accès empruntés et la liste des irrégularités ;
dans les badges : le gabarit des empreintes digitales, le code PIN associé au badge (permettant une identification du porteur lorsque la capture biométrique est inexploitable).
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les agents chargés de l’enregistrement des données sur le badge, les agents de sûreté visés à l’article L.282-8 du code de l’aviation civile sur les points d’accès à la zone réservée, les administrateurs techniques et fonctionnels du traitement, et enfin les agents de l’Etat chargés du contrôle du personnel au sein de la zone réservée.
Néanmoins, l’historique des passages, le détail des accès empruntés ainsi que la liste des irrégularités seront uniquement accessibles aux administrateurs et personnels en charge de la maintenance des serveurs d’ADP.
Autorise, dans ces conditions, Aéroport de Paris à mettre en œuvre le traitement de données à caractère personnel présenté.
Le président
Alex Türk
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de Mme Anne DEBET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, l’INSTITUT REGIONAL DU TRAVAIL SOCIAL PACA ET CORSE à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
INSTITUT REGIONAL DU TRAVAIL SOCIAL PACA ET CORSE
Finalité du transfert
Mise en place d’une plate-forme d’enseignement à distance dont les données seront consultées par les formateurs, les salariés et les étudiants de la Fondation Al-Kafaat. 
Catégories de données transférées
Données d’identification :
Nom
Prénom
Adresse électronique
Date 
Heure
Durée
Données de connexion
Nom
Prénom
Adresse électronique
Date 
Heure
Durée
Identité(s) du(des) destinataire(s)
Les utilisateurs (formateurs, salariés, étudiants) de la plate-forme d’enseignement à distance de la Fondation Al-Kafaat.
Pays d’établissement du(des) destinataire(s)
Liban
Service auprès duquel s’exerce le droit d’accès des personnes concernées
INSTITUT REGIONAL DU TRAVAIL SOCIAL PACA ET CORSE20 BD DES SALYENS - BP 13313267 MARSEILLE CEDEX 08FRANCE
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision 2002/16/CE de la Commission européennes du 27 décembre 2001 concernant les transferts de responsable de traitement à sous-traitant
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Bernard PEYRAT, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société CIDAL-VITRINE MAGIQUE à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
Cidal – Vitrine Magique
Finalité du transfert
Gestion et suivi des appels téléphoniques, traitement de l’ensemble des demandes des clients et/ou prospects
Catégories de données transférées
Données d’identification
Données relatives à la situation familiale 
Adresse et caractéristiques du logement
Situation économique et financière 
Utilisation des médias et des moyens de communication
Habitude de vie et comportement
Historique de la relation client
Identité(s) du(des) destinataire(s)
Mezzo, société immatriculée au registre de commerce de Tunis, sous le numéro B2434102004 dont le siège social est 12 rue 8608 ZI la Chargia, Tunis Carthage (2035)
Pays d’établissement du(des) destinataire(s)
Tunisie
Service auprès duquel s’exerce le droit d’accès des personnes concernées
CIDALRelations Clientèle220, Rue Jean Jaurès59 491, Villeneuve d’Ascq
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la Décision 2002/16/CE de la Commission européenne du 27 décembre 2001 concernant les transferts de responsable de traitement à sous-traitant
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 69 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Bernard PEYRAT , commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société BALENCIAGA à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
BALENCIAGA
Finalité du transfert
Permettre aux boutiques Balenciaga situées aux Etats-Unis et au Japon d’accéder à distance, de manière ponctuelle, à la base centrale située en France, afin d’enregistrer les coordonnées relatives à un nouveau client pour le compte de Balenciaga.
Catégories de données transférées
Données relatives à l’identité des clients :
Nom
Prénom
Coordonnées
Identité(s) du(des) destinataire(s)
Le personnel habilité des boutiques Balenciaga America Inc :542 West 22nd StreetN.Y., N.Y. 10011USALe personnel habilité des boutiques Balenciaga Japan :4F-2-11-11 Minami AoyamaMinatoku-ku03-57-75-4107 TokyoJapan
Pays d’établissement du(des) destinataire(s)
Etats-Unis
Japon
Service auprès duquel s’exerce le droit d’accès des personnes concernées
Balenciaga15, rue Cassette75006 Paris
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la Décision 2002/16/CE de la Commission européenne du 27 décembre 2001 concernant les transferts de responsable de traitement à sous-traitant
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Bernard PEYRAT, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société ACCESS CONTACT SERVICES à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
ACCESS CONTACT SERVICES
Finalité du transfert
Appels téléphoniques dans le cadre d’une étude auprès de particuliers pour déterminer leurs préférences musicales. 
Catégories de données transférées
Nom
Prénom
Adresse
Numéro de téléphone
Sexe
Age
Zone géographique
Identité(s) du(des) destinataire(s)
ACCESS TELESERVICES34, Avenue Fal Ould Oumeïr Okba10 000 Agdal – RabatMaroc
Pays d’établissement du(des) destinataire(s)
Maroc
Service auprès duquel s’exerce le droit d’accès des personnes concernées
ACCESS CONTACT SERVICES15, rue Chevalier de Saint Georges75008, Paris
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la Décision 2002/16/CE de la Commission européenne du 27 décembre 2001 concernant les transferts de responsable de traitement à sous-traitant
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007, et notamment son article 103 ;
Sur le rapport de M. Bernard Peyrat et les observations de Mme Pascale Compagnie, commissaire du Gouvernement ;
Etant donné que le traitement automatisé intègre un dispositif de lutte contre le blanchiment d’argent et le financement du terrorisme qui vise à détecter les opérations qui sont susceptibles, après consultation de listes officielles de personnes devant faire l’objet d’une surveillance particulière ou de sanctions financières, d’être qualifiées d’infraction de blanchiment par les autorités compétentes ; que la détection de ces opérations avant leur réalisation peut conduire MPSI à suspendre la transaction engagée par le client sur la base de contrôles intégralement automatisés, notamment après consultation de liste des personnes faisant l’objet de sanctions financières dont certaines n’ont pas force de loi sur le territoire national ; que ce traitement peut ainsi conduire à exclure des personnes du bénéfice d’une prestation en l’absence de toute disposition légale applicable en France prévoyant la mise en œuvre d’une telle exclusion ; qu’il relève, dès lors, du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit être autorisé par la CNIL ;
Autorise MPSI, dans les conditions figurant dans le tableau ci-dessous, à mettre en œuvre le traitement de données à caractère personnel dénommé DELTAWORKS qui a notamment pour finalité la lutte contre le blanchiment de capitaux et le financement du terrorisme.
Responsable du traitement
MoneyGram Payments System Inc (MPSI), société de droit américain.
Finalités du traitement
Gestion des opérations de transfert d’argent et des opérations de marketing, établissement de statistiques internes, lutte contre le blanchiment d’argent et le financement du terrorisme :Des filtres informatisés sont mis en place, qui suspendent automatiquement le traitement des demandes d’opérations lorsque l’identité d’un expéditeur ou d’un destinataire est susceptible de figurer sur des listes officielles de personnes faisant l’objet d’une surveillance ou d’une sanction financière internationale.Les listes officielles prises en considération avant un transfert d’argent particulier sont :- les listes applicables en France, qu’elles soient établies au niveau national, au niveau européen ou par l’ONU,- la liste de l’OFAC (office of Foreign Assets Control, administration relevant du département du Trésor américain) que le groupe MoneyGram est tenu d’appliquer,- la liste officielle établie dans le pays de destination du transfert d’argent.Les opérations ainsi suspendues sont soumises à un réexamen, le plus souvent après collecte d’informations complémentaires auprès du client sur le motif du transfert, l’origine des fonds transférés, son activité professionnelle et son employeur, en vue d’une levée de la mesure ou d’un rejet définitif de l’ordre par le responsable anti-blanchiment.Les contrôles de la lutte anti-blanchiment prévus par la législation française sont effectués avant toute saisie des données dans le traitement de MPSI, par l’agent de MPSI établi en France qui
assure la transaction, au moyen d’une application informatique interne que ce dernier met en œuvre sous sa responsabilité.
Données traitées
- nom, prénoms, civilité, date de naissance, nationalité, profession, adresse et numéro de téléphone du client (expéditeur ou destinataire),- nom, prénoms et civilité de l’autre partie à la transaction,- type, pays d’émission, numéro, date et lieu d’émission et date d’expiration du document d’identité présenté,- date, numéro de référence et montant de la transaction, devise fournie et devise de reversement, pays de destination du transfert d’argent et adresse de réception,- question test et réponse devant être fournie par le bénéficiaire pour sécuriser la transaction (facultatifs),- statut de la transaction (en attente, envoyée),- indication que le client s’oppose à l’utilisation de ses données à des fins de prospection commerciale.Pour les clients réguliers, le système informatique permet de récupérer les renseignements déjà enregistrés, notamment les conditions à réunir en cas de nouvelle transaction.
Destinataires