AgentPublic/cnil huggingface dataset:
S’agissant des données adressées à la société de publipostage : 
l’ARJEL adresse également à la société en charge de l’envoi des courriels, également sous-traitant, un fichier de données comportant exclusivement les données d’identification des joueurs permettant le publipostage ;
préalablement à leur transmission au prestataire chargé du publipostage, les données seront chiffrées au moyen d’un algorithme de chiffrement conforme au Référentiel Général de Sécurité. Les données chiffrées et le secret permettant de les déchiffrer seront transmis par des canaux de communication distincts.
La Commission prend acte de ce que la présente demande d’autorisation concerne la première phase du projet et de ce que les  phases suivantes feront l’objet de formalités ultérieures.
Dans ces conditions, la Commission autorise l’ARJEL à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité une étude relative au repérage du jeu problématique et pathologique.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1852732)
La Commission nationale de l'informatique et des libertés,
Saisie par BPCE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi et la gestion du pré contentieux et des contentieux ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9-3°et 25-I-3 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
BPCE, est l’organe central commun aux Banques Populaires et aux Caisses d’Epargne.
Sur la finalité
Le traitement mis en œuvre vise principalement la gestion des contentieux civils et commerciaux. Il s’agit d’actions visant la mise en cause de la responsabilité d’une ou de plusieurs entités du Groupe BPCE lorsque le litige est de nature à impacter l’ensemble du Groupe, soit dans le cadre d’actions de groupe, soit lorsque BPCE est directement mise en cause comme organe central  des Caisses d’Epargne, des Banques Populaires, de Natixis ou des autres banques et filiales.De façon accessoire, le traitement peut concerner des actions pénales mettant en cause BPCE SA ou engagées à l’initiative de BPCE.En dernier lieu, certains litiges peuvent être de nature administrative ou commerciale. La Commission estime que les finalités poursuivies sont déterminées, explicites et légitimes. Par ailleurs, la Commission considère qu’il y a lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté. 
Sur les données traitées
Les données collectées sont relatives : - à l’identité des personnes concernées : nom, prénom de la partie adverse, nom de l’avocat de BPCE, nom de l’avocat de la partie adverse, nom du juriste en charge du dossier ;- aux infractions et condamnations ; - à l’état et au suivi de la procédure : enjeux du litige, dommages et intérêts, frais, provision, montant de la perte, montant de la créance, déclaration de sinistre, honoraires et frais de procédure.Dans sa décision du 29 juillet 2004, le Conseil Constitutionnel a déclaré non conforme à la Constitution l’article 9-3° de la loi du 6 janvier 1978 modifiée qui permettait à une personne morale de droit privé, mandatée par d’autres personnes morales estimant avoir été victimes ou être susceptibles d’être victimes d’agissements passibles de sanctions pénales, de rassembler des données portant sur des infractions, condamnations ou mesures de sûreté, au motif de son caractère trop général et du manque de précision sur les garanties devant encadrer ce type de traitement. Pour autant, le Conseil Constitutionnel a précisé que cette annulation ne saurait être interprétée comme « privant d’effectivité le droit d’exercer un recours juridictionnel dont dispose toute personne physique ou morale s’agissant des infractions dont elle a été victime ». Dès lors, la Commission considère, compte tenu de la finalité poursuivie, que ces données sont pertinentes, adéquates et non excessives, conformément à l'article 6-3° de la loi du 6 janvier 1978
Sur les destinataires
Les destinataires des données sont les auxiliaires de justice pour les besoins de la défense des intérêts de BPCE ainsi que les autorités de contrôle et commissaires aux comptes dans le cadre de leurs missions respectives.La liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, préalablement à la mise en œuvre du traitement, par une mention d’information qui figure dans les documents contractuels. Les collaborateurs sont quant-à eux informés de manière individuelle ou via une mention figurant sur la page d’accueil du logiciel.Les droits d’accès et de rectification s’exercent auprès du Secrétariat général de la Direction juridique à l’adresse suivante : 50, avenue Pierre Mendès-France – PARIS 75201 Cedex 13, ou à l’adresse électronique : filière-juridique@bpce.fr
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes. 
Sur les mesures de sécurité
Les actions effectuées par les juristes en charge du contentieux et les managers de la Direction Juridique sont tracées afin de permettre de détecter et d’analyser tous les accès, modifications et suppressions de données non autorisés.Seules ces personnes ont accès au logiciel de suivi et de gestion du contentieux. Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application avec des profils d’habilitation et un contrôle d’accès logique qui se fait par mot de passe.Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
La Commission observe que certaines données peuvent figurer dans les pièces de la procédure judiciaire (état civil, adresse). Ces pièces peuvent être numérisées et jointes au dossier électronique.Les données sont conservées pendant une durée de 10 ans à compter de la décision de justice devenue définitive et / ou du dernier acte d’exécution, et ce, conformément à la durée de prescription légale.La Commission considère que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.Ces autres caractéristiques du traitement n’appellent pas d’observation particulière de la Commission.
Autorise, conformément à la présente délibération, BPCE à mettre en œuvre le traitement susmentionné
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1788740)
La Commission nationale de l'informatique et des libertés,
Saisie par la Caisse d’Epargne Ile de France d’une demande de modification de la délibération n°2005-258 du 10 novembre 2005 autorisant la Caisse d’Epargne Ile de France à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre le blanchiment de capitaux et le financement du terrorisme ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2005/60/CE du Parlement européen et du Conseil du 26 octobre 2005 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux et du financement du terrorisme ;
Vu la directive 2006/70/CE de la Commission du 1er août 2006 portant mesures de mise en œuvre de la directive 2005/60/CE du Parlement européen et du Conseil pour ce qui concerne la définition des « personnes politiquement exposées » et les conditions techniques de l’application d’obligations simplifiées de vigilance à l’égard de la clientèle ainsi que de l’exemption au motif d’une activité financière exercée à titre occasionnel ou à une échelle très limitée ;
Vu le code monétaire et financier (CMF), notamment ses articles L. 561-1 à L. 562-11, L. 574-1, L. 574-2, R. 562-1, R. 562-2, R. 563-1 à R. 563-3 et R. 564-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004, notamment le 4° du I et le II de l’article 25 ;
Vu l’ordonnance n° 2009-104 du 30 janvier 2009 relative à la prévention de l’utilisation du système financier aux fins de blanchiment de capitaux et de financement du terrorisme, ratifiée par la loi n° 2009-526 du 12 mai 2009 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu le décret n° 2009-1087 du 2 septembre 2009 relatif aux obligations de vigilance et de déclaration pour la prévention de l’utilisation du système financier aux fins de blanchiment de capitaux et de financement du terrorisme ;
Vu le décret n° 2012-1125 du 3 octobre 2012 relatif aux obligations de vigilance et de déclaration pour la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux et du financement du terrorisme portant modification des articles R. 561-12, R. 561-16, R.561-18 et R. 561-20 du Code monétaire et financier ;
Vu l’arrêté du 2 septembre 2009 pris en application de l’article R. 561-12 du code monétaire et financier et définissant des éléments d’information liés à la connaissance du client et de la relation d’affaire aux fins d’évaluation des risques de blanchiment de capitaux et de financement du terrorisme ;
Vu les recommandations du  Groupe d’action financière (GAFI) du 16 février 2012 et notamment la recommandation n°12 relative aux personnes politiquement exposées (PPE) en matière de lutte contre le blanchiment de capitaux, le financement du terrorisme ;
Vu la délibération n° 2005-297 du 1er décembre 2005 portant autorisation unique de certains traitements de données à caractère personnel mis en œuvre dans des organismes financiers au titre de la lutte contre le blanchiment de capitaux et le financement du terrorisme, modifiée par la délibération n° 2007-060 du 25 avril 2007 et la délibération n° 2011-180 du 16 juin 2011 ;
Vu la délibération n°2005-258 du 10 novembre 2005 autorisant la Caisse d’Epargne Ile de France à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre le blanchiment de capitaux et le financement du terrorisme ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M.  Jean-Alexandre SILVY, commissaire du Gouvernement . 
Formule les observations suivantes :
Responsable du traitement
La Caisse d’Epargne Ile de France, ci-dessous dénommée la Caisse d’Epargne.
Sur la finalité
La Caisse d’Epargne a saisi la Commission d’une demande d’autorisation relative aux traitements automatisés de données à caractère personnel pour répondre aux obligations légales en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme, ainsi que de gel des avoirs.Les traitements automatisés utilisés par les établissements du secteur bancaire dans le cadre de la lutte contre le blanchiment de capitaux et le financement du terrorisme visent notamment à détecter les transactions financières, réalisées par leurs clients, qui sont susceptibles d’être qualifiées d’infraction de blanchiment ou de financement du terrorisme par les autorités compétentes et qui, de ce fait, doivent, le cas échéant après collecte de renseignements complémentaires et analyse manuelle des éléments du dossier, donner lieu à l’envoi d’une déclaration à la cellule de renseignement financier nationale TRACFIN.L’identification de telles opérations, pour une large part sur la base de critères intégrés dans les traitements automatisés des établissements concernés, peut conduire ces derniers à souhaiter, pour des raisons de prudence, rompre toute relation contractuelle avec certains des clients qui en font l’objet. Ces traitements, peuvent ainsi, du fait de leur portée, conduire à l’exclusion de personnes du bénéfice d’un contrat en l’absence de toute disposition légale prévoyant la mise en œuvre d’une telle exclusion.Ce traitement peut ainsi, du fait de sa nature et de sa finalité,
conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat en l’absence de toutes dispositions légales ou réglementaires prévoyant une telle exclusion. Dès lors, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée en 2004 et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.Par sa délibération modificative n° 2005-297 du 1er décembre 2005 susvisée, la Commission a autorisé « certains traitements de données à caractère personnel qui sont mis en œuvre dans des organismes financiers au titre de la lutte contre le blanchiment de capitaux et le financement du terrorisme », sous réserve que les finalités de ces traitements, les catégories de données utilisées et leurs destinataires n’excèdent pas le cadre fixé par l’autorisation unique AU-003, que ces traitements remplissent également les conditions définies dans ce texte et que la CNIL ait reçu un engagement de conformité à l’AU-003.Tout projet de traitement automatisé dont les finalités ou les catégories de données ou de destinataires excèdent le cadre de cette autorisation unique ou qui ne respecterait pas les exigences qui y sont définies, doit faire l’objet d’une demande d’autorisation spécifique présentant et expliquant les différences entre le traitement envisagé et l’autorisation unique.L’analyse des caractéristiques des traitements automatisés visés par la présente demande d’autorisation permet de conclure à la conformité de la demande au regard de l’AU 003 à l’exception
des différences relatives aux finalités, aux personnes concernées et aux destinataires qui, de ce fait, sont soumises à l’examen de la CNIL. La Commission relève que le traitement mis en œuvre par la Caisse d’Epargne a pour finalités celles prévues par l’AU 003 auxquelles s’ajoutent les sous finalités suivantes. Le traitement mis en œuvre permet d’une part, de formaliser le contrôle permanent de niveaux 1 et 2 dans le cadre de la lutte contre le blanchiment des capitaux et de visualiser un reporting des contrôles effectués par les différents intervenants du contrôle permanent. D’autre part, le traitement permet l’élaboration de statistiques relatives à la gestion des alertes par le directeur d’agence (1er niveau) et le département sécurité financière et l’audit (2nd niveau). Enfin, il existe un suivi des suites données par TRACFIN aux déclarations de soupçons réalisées par la banque.La Commission observe que pour mettre en œuvre cette finalité le traitement utilise différents outils. Tout d’abord, l’outil de contrôle permanent et de reporting formalise les contrôles portant sur la qualité et la conformité de l’analyse des alertes  (modalités de traitement manuel, analyse, documentation des vérifications effectuées, clôture des remontées de soupçon…) dans le cadre des opérations de lutte contre le blanchiment et le financement du terrorisme.Ensuite, un outil de calcul du score de vigilance permet de matérialiser le degré de vigilance à avoir vis-à-vis du client de la banque
suivant l’approche par les risques. La Commission observe qu’aucune variable ne reçoit une pondération telle qu’elle puisse à elle seule être déterminante dans le calcul. Le score ne peut en aucun cas avoir à lui seul un effet d’exclusion automatique. Et que, conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, une analyse manuelle est effectuée par les opérationnels du département sécurité financière pour ajuster le score obtenu. Toutefois, la Commission relève que certains critères sont déterminants et  bloquent la possibilité d’ajustement manuel du score. Dès lors, le client fera l’objet d’une vigilance renforcée et il pourra lui être demandé de présenter des documents et pièces justificatives supplémentaires lors de l’entrée en relation. Ensuite, il existe un outil permettant la détection automatique des situations pouvant être liées à un risque de blanchiment de capitaux et de financement de terrorisme. Les alertes sont émises, soit au regard de critères prédéterminés, soit détectées lorsqu’il existe des variations inhabituelles des mouvements réalisés par un client. Chaque alerte fait l’objet d’une analyse manuelle par le conseiller financier. En cas de doute, l’alerte sera remontée au département sécurité financière pour une analyse plus approfondie.Enfin, un dernier outil permet aux collaborateurs de faire remonter  une « déclaration interne de doute » qui sera ensuite analysée par le département sécurité financière. La Commission
estime que ces sous finalités sont déterminées, explicites et légitimes.
Sur les personnes concernées
Les personnes qui font l’objet de ce traitement peuvent concerner, outre la liste déjà prévue par l’AU 003, les membres du personnel de la banque dans la mesure où des informations permettant de les identifier figurent dans le traitement notamment pour la traçabilité des dossiers.La Commission considère, compte tenu de la finalité poursuivie, que la liste des personnes concernées  est pertinente au regard de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires qui font l’objet du traitement peuvent concerner, outre la liste déjà prévue par l’AU 003, les personnes suivantes :- les personnes en charge du contrôle permanent de 1er et 2nd niveau, c’est-à-dire les collaborateurs de la filière engagement et contrôle permanent ainsi que, le cas échéant, les directeurs d’agence pour la banque de détail, les autres personnes en charge du contrôle permanent pour la BDR, le contentieux et les fonctions supports ;- pour le contrôle de 2nd niveau, les membres du département sécurité financière.La Commission considère, compte tenu de la finalité poursuivie, que la liste des personnes concernées  est pertinente au regard de la loi du 6 janvier 1978 modifiée.
Autorise, conformément à la présente délibération, la Caisse d’Epargne Ile de France à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1587547)
La Commission nationale de l'informatique et des libertés,
Saisie par la société Chevron Oronite SAS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité de s’assurer que tous les clients, fournisseurs et de manière générale tout cocontractant avec lesquels Chevron Oronite sas est susceptible d'entrer en relation contractuelle ne font pas l'objet de sanctions économiques internationales ou de violations graves édictées par certains Etats;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 7-5° et 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme/M. Marie-Hélène MITJAVILE, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société Chevron Oronite SAS  est la filiale française d’un groupe pétrolier international Chevron dont la société mère a son siège aux Etats-Unis.Le groupe, présent dans plus de 180 pays, opère essentiellement dans le secteur de la recherche, l’exploration d’hydrocarbures, le transport par bateaux ou pipelines, et la distribution de produits pétroliers et chimiques.La société Chevron Oronite SAS est spécialisée dans la fabrication et la commercialisation d’additifs pour lubrifiants. Présente dans le commerce international, elle propose ses produits sur toute la zone Europe Afrique et Moyen orient ainsi qu’aux autres entités affiliées au groupe Chevron situées dans les zones Amériques et Asie Pacifique fabriquant également des lubrifiants, afin de leur acheter ou de leur vendre des composants entrant dans la formule de ces additifs.
Sur la finalité
Sur le fondement de l’article 25-I-4 de la loi du 6 janvier 1978 modifiée qui prévoit que sont soumis à autorisation préalable les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire, la Commission a été saisie par la société Chevron Oronite SAS d’une demande d’autorisation relative à un traitement ayant pour finalité de s’assurer que tous les clients, fournisseurs et de manière général tout cocontractant avec lesquels Chevron Oronite SAS est susceptible d'entrer en relation contractuelle ne font pas l'objet de sanctions économiques internationales ou de violations graves édictées par certains Etats.
La Commission considère qu’il y a lieu d’analyser le traitement au regard de l’article 7-5° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements de données personnelles peuvent être mis en œuvre notamment dans l'intérêt légitime du responsable de traitement, dès lors que celui-ci est établi, sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux des personnes concernées. 
Le renforcement des législations européenne et internationale en matière de lutte contre la corruption conduisent des sociétés telles que la société CHEVRON ORONITE SAS à mettre en place un système de détection et de prévention de la corruption.
Les filiales des groupes américains, ainsi que les sociétés françaises ayant des activités significatives aux Etats-Unis encourent un risque juridique résultant des sanctions américaines d’application extraterritoriale. 
Ce traitement s’inscrit dans le cadre de mesures de « due diligence ». Par conséquent, afin d’éviter les risques de sanctions, la société COSAS souhaite mettre en œuvre un traitement destiné à s’assurer que le fait pour elle de contracter
avec certaines sociétés, organisations ou individus n’implique pas de risque en matière de violations des sanctions internationales d’une part, et de violations de politiques nationales de certains Etats d’autre part.
Les sanctions internationales sont celles qui sont édictées par les organisations internationales ou régionales (telles que l’ONU, l’Union européenne) et/ou par les Etats en application des résolutions des organisations internationales telles que l’ONU, à l’encontre de certains Etats (Iran, Syrie, Corée du Nord, etc.), d’organisation terroristes (AI Qaïda, Daesh), d’organisations de guerre ( ex Yougoslavie, Rwanda, etc.) dont la caractéristique commune est de restreindre ou interdire le commerce avec les personnes qui y sont liées sous peine de sanctions.