AgentPublic/cnil huggingface dataset:
L’information générale est assurée par la direction des ressources humaines du groupe Caisse des Dépôts à l’ensemble des agents et des nouveaux arrivants par différents moyens : publication d’un article dans le journal interne du groupe, envoi d’un mail d’information, publication d’un article sur l’intranet, distribution d’une « carte de visite ». La personne éventuellement mise en cause est informée dès l'enregistrement des données la concernant.Si le donneur d’alerte utilise le dispositif en qualité de témoin, il devra en informer préalablement la personne victime de discrimination et s’être assuré qu’elle ne soit pas opposée à une telle démarche.La Commission prend acte que les représentants du personnel ont été dûment informés de la mise en œuvre du dispositif d’alerte professionnelle. Les droits d’accès, de rectification et d’opposition s’exercent auprès des membres de la « médiation discriminations ».
Sur les mesures de sécurité
Des mesures de sécurité sont prises afin de préserver la sécurité et la confidentialité des données et, notamment, empêcher que des tiers non autorisés y aient accès. Les accès au système d’information et les opérations effectuées sur les supports d’enregistrement des données sont tracés.
Sur les autres caractéristiques du traitement
Les membres de la cellule médiation discriminations pourront être saisis par une adresse électronique dédiée  médiation (discrimination@caissedesdepots.fr) et par voie postale au 12, Avenue Pierre Mendès France, 75013 Paris.La Commission observe qu’il est clairement rappelé que l’utilisation abusive de ce dispositif peut exposer son auteur à des sanctions disciplinaires, ainsi qu’à des poursuites judiciaires.  Enfin, au regard de la sensibilité des données collectées, la Commission rappelle d’une part, l’importance de respecter l’obligation de confidentialité et les finalités pour lesquelles les données sont collectées et d’autre part, de se conformer aux durées de conservation des données prévues à l’article 6 de l’autorisation unique.
Autorise, conformément à la présente délibération, la Caisse des Dépôts à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1532467)
La Commission nationale de l’informatique et des libertés ; 
Saisie par la société Aéroports de Lyon SA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le contrôle d’accès, par dispositif biométrique, à la zone réservée de l’aéroport de Lyon ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) n° 185/2010 de la Commission du 4 mars 2010 fixant des mesures détaillées pour la mise en œuvre des normes de base communes dans le domaine de la sûreté de l’aviation civile, notamment le point 1.2.2 de son annexe ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 12 novembre 2003 relatif aux mesures de sûreté du transport aérien ;
Vu la délibération n° 2006-102 du 27 avril 2006 portant autorisation unique de mise en œuvre de dispositifs biométriques reposant sur la reconnaissance de l’empreinte digitale exclusivement enregistrée sur un support individuel détenu par la personne concernée et ayant pour finalité le contrôle de l’accès aux locaux sur les lieux de travail ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, commissaire et après avoir entendu les observations de  Mme Catherine POZZO Di BORGO, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
La société Aéroports de Lyon SA, gestionnaire et concessionnaire de l’aéroport de Lyon.
Sur la finalité
La finalité du traitement est le contrôle d’accès, par dispositif biométrique, à la zone réservée de l’aéroport de Lyon pour les services de secours, les gestionnaires de sûreté aéroportuaire et les autorités administratives et judiciaires, telles que la police aux frontières, la direction de l’aviation civile, la gendarmerie des transports aériens et les douanes.L’accès de ces personnels n’est pas prévu par l’autorisation unique n°08 ayant fait l’objet d’une délibération en date du 27 avril 2006, et portant sur la mise en œuvre de dispositifs biométriques reposant sur la reconnaissance de l’empreinte digitale exclusivement enregistrée sur un support individuel détenu par la personne concernée et ayant pour finalité le contrôle de l’accès aux locaux sur les lieux de travail. En effet, cette délibération ne porte que sur les personnels de l’entreprise, et non pas sur les autorités publiques. Dès lors, les autorités assurant la sécurité et la sûreté aéroportuaire ne sont pas prévues par celle-ci.Pour autant, la Commission estime que l’accès de tels personnels aux zones réservées de l’aéroport de ces personnes est légitime, tout comme le contrôle de cet accès nécessitant une sécurité renforcée.  Ainsi, le traitement aura pour objet d’autoriser l’accès à certains locaux et certaines zones aux seules personnes ayant une justification professionnelle. Le contrôle d’accès est réalisé par lecteur biométrique SAGEM MorphoAcess et par carte personnelle munie d’un dispositif sans
contact.Le contrôle de ces accès offerts à ces personnels est nécessaire à la réalisation de leurs missions. La Commission considère donc que la finalité du traitement projeté est déterminée, explicite et légitime. Etant donné que des données biométriques sont concernées, le traitement est soumis à une demande d’autorisation préalable avant sa mise en œuvre, sur le fondement de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les données traitées sont collectées directement auprès de la personne concernée ; elles concernent leur identité : nom, prénom, adresse, photographie, date et lieu de naissance.De plus, des données biométriques sont enregistrées. Le gabarit de l’empreinte digitale est effectué temporairement, uniquement le temps de l’enrôlement de la personne et de l’inscription dans le support individuel des empreintes prélevées.Deux empreintes digitales, des index droit et gauche, sont collectées. Elles sont enregistrées et conservées sur le badge personnel de la personne concernée. Lors d’une identification, la personne présente le badge sur le lecteur biométrique, ce dernier compare l’empreinte digitale avec celles téléchargées et autorise l’accès en cas de concordance. Aucun enregistrement, même temporaire, n’est effectué sur le lecteur biométrique. La durée de conservation des empreintes digitales est égale au temps pendant lequel la personne concernée est habilitée à pénétrer dans les zones sécurisées.En outre, des données de localisation sont également enregistrées lors des l’entrées et sorties des zones réservées dont l’accès est contrôlé. Les catégories de données relatives à l’identité sont gardées au maximum cinq ans après la fin de l’habilitation d’accès de la personne concernée.Les données de localisation sont conservées au maximum trois mois à compter de leur enregistrement. La Commission considère que les données collectées sont adéquates, pertinentes et proportionnées à la
finalité poursuivie.
Sur les destinataires
Dans la limite de leurs attributions respectives et pour l’exercice des finalités précitées, les seuls destinataires des données sont les gestionnaires de sûreté de l’aéroport. Les personnes spécialement habilitées des autorités administratives et judiciaires, telles que la police aux frontières, la direction de l’aviation civile, la gendarmerie des transports aériens et les douanes peuvent avoir accès aux données dans le strict besoin qu’elles ont d’en connaître. Ces services effectuent continuellement des vérifications de l’identité, de l’habilitation, et de la validité des badges d’accès des personnes aux zones réservées.
Sur l’information et le droit d’accès 
L’information des personnes, prévue à l’article 32 de la loi du 6 janvier 1978 modifiée, est effectuée lors de la collecte des données auprès des personnes concernées. De plus, des informations complémentaires sur les mesures de sûreté sont transmises aux personnes concernées lors de formations obligatoires relatives aux procédures de sûreté dans l’aéroport.Les droits d’accès et de rectification prévus par les articles 39 et 40 de la loi du 6 janvier 1978 modifiée, s’exercent directement auprès du gestionnaire de la sûreté de l’aéroport de Lyon. Le droit d’opposition, prévu à l’article 38 de la loi du 6 janvier 1978 modifiée ne s’applique pas au présent traitement.
Sur les mesures de sécurité
Le responsable de traitement dispose de deux systèmes distincts de traitement des données, l’un concernant l’enrôlement et l’autre le contrôle d’accès.Les accès au traitement des destinataires s’effectuent par identifiant et mot de passe individuel, régulièrement renouvelé, ou par tout autre moyen d’authentification. Les mesures de sécurité mises en place n’appellent pas d’observation particulière de la part de la Commission.
Sur les autres caractéristiques du traitement
La présente autorisation vaut pour les seules catégories de personnels mentionnées ci-dessus. Le responsable de traitement effectue un engagement de conformité à l’autorisation unique n°08 pour l’enrôlement dans le traitement des personnels mentionnés dans ladite autorisation unique.
Autorise, conformément à la présente délibération, Aéroport de Lyon à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1558764v1)
La Commission nationale de l’informatique et des libertés ; 
Saisie par Banque Accord d’une demande de modification de la délibération n°2012-039 du 2 février 2012 autorisant la mise en place à titre expérimental par la Caisse Régionale de Crédit Agricole Mutuel de Charente Périgord d’un système de paiement sans contact avec authentification biométrique du payeur ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son articles 25-I-8 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Paul AMOUDRY, commissaire, et après avoir entendu les observations de Mme Catherine POZZO Di BORGO, commissaire du Gouvernement ;
Formule les observations suivantes :
La Commission a délivré à la Caisse Régionale de Crédit Agricole Mutuel de Charente Périgord, le 2 février 2012, une autorisation portant sur la mise en place à titre expérimental d’un système de paiement sans contact avec authentification biométrique du porteur. Cette autorisation prévoit que « L'expérimentation envisagée est limitée dans le temps et dans l'espace. Elle concerne l'utilisation en 2012, pendant une durée de six mois, des cartes bancaires avec authentification biométrique du porteur chez quelques commerçants participant à cette expérimentation ». 
La phase d’expérimentation ayant été retardée, elle se poursuivra au premier semestre 2013. Cette modification n’appelle pas d’observation de la part de la Commission.
Dès lors, la Commission autorise la modification par la Caisse Régionale de Crédit Agricole Mutuel de Charente Périgord de l’expérimentation relative à un système de paiement sans contact avec authentification biométrique du payeur.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l’informatique et des libertés,
Vu la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, telle que modifiée par la loi n° 2004-801 du 6 août 2004, notamment son article 13 ;
 Après qu’il a été procédé au vote en présence du Commissaire du gouvernement, 
Constate :
Article 1er : Mme Marie-Hélène MITJAVILE est élue membre de la formation restreinte de la Commission nationale de l’informatique et des libertés.
Article 2 : La formation restreinte de la Commission est ainsi composée : 
Mme Claire DAVAL, présidente
M. Jean-Marie COTTERET, Vice-président,
M. Jean-François CARREZ, 
M. Claude DOMEIZEL, 
Mme Marie-Hélène MITJAVILE
M. Dominique RICHARD. 
Article 3 : La présidente de la Commission est chargée de l’exécution de la présente délibération qui sera publiée au Journal officiel.
La présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie par le ministère de l'intérieur d'une demande d'avis concernant un projet de décret relatif aux dispositions prises pour l'application de l'article L. 222-1 du code de la sécurité intérieure et portant abrogation de dispositions du code de l'entrée et du séjour des étrangers et du droit d'asile ;Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu le code de la sécurité intérieure, notamment son article L. 222-1 ;Vu le code de la route, notamment ses articles L. 225-1, L. 225-4, L. 330-1, L. 330-2, R. 225-4 et R. 330-2 ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 23, 25 et 27 ;Vu la loi n° 2006-64 du 23 janvier 2006 modifiée relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles frontaliers, notamment son article 9 :Vu la loi n° 2008-1245 du 1er décembre 2008 visant à prolonger l'application des articles 3,6 et 9 de la loi n° 2006-64 du 23 janvier 2006 relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et
aux contrôles frontaliers ;Vu la loi du 12 décembre 2012 relative à la sécurité et à la lutte contre le terrorisme ;Vu le décret n° 55-1397 du 22 octobre 1955 modifié instituant la carte nationale d'identité, notamment son article 15-1 ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 2005-1726 du 30 décembre 2005 modifié relatif aux passeports électroniques, notamment son article 21-1 ;Vu la délibération n° 2005-208 du 10 octobre 2005 portant avis sur le projet de loi relatif à la lutte contre le terrorisme ;Vu la délibération n° 2008-575 du 18 décembre 2008 portant avis sur le projet de décret en Conseil d'Etat relatif à l'accès à certains traitements automatisés mentionnés à l'article 9 de la loi n° 2006-64 du 23 janvier 2006 relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles frontaliers (système de gestion des passeports - TES ; système de délivrance des visas des ressortissants étrangers - VISABIO ; fichier national des non-admis - FNAD) ;Vu la délibération n° 2012-292 du 13 septembre 2012 portant avis sur un projet de loi relatif à la sécurité et à la lutte contre le terrorisme ;Après avoir entendu M. Jean-Marie COTTERET, commissaire, en son rapport, et Mme Catherine POZZO DI BORGO, commissaire du Gouvernement, en ses observations,Emet l'avis suivant :
L'article L. 222-1 du code de la sécurité intérieure (CSI), codifiant l'article 9 de la loi n° 2006-64 du 23 janvier 2006 modifiée, permet aux agents, individuellement et dûment habilités, des services des directions générales de la police nationale, de la gendarmerie nationale ainsi qu'aux agents des services de renseignement du ministère de la défense, pour les besoins de la prévention des actes de terrorisme, d'accéder aux données enregistrées dans les traitements suivants :
- fichier national des immatriculations (FNI, progressivement remplacé par le  Système d'Immatriculation des Véhicules - SIV) ;- système national de gestion des permis de conduire (SI-FAETON, qui remplacera progressivement le SNPC) ;- système de gestion des cartes nationales d'identité (CNI) ;- système de gestion des passeports (TES) ;- système informatisé de gestion des dossiers des ressortissants étrangers en France (AGDREF 2) ;- système de délivrance des visas des ressortissants étrangers (VISABIO) ;- application destinée à gérer les données mentionnées aux articles L. 611-3 à L. 611-5 du code de l'entrée et du séjour des étrangers et du droit d'asile (CESEDA) ayant été contrôlés aux frontières et ne remplissant pas les conditions d'entrée requises (dit fichier des non-admis,  FNAD ). 
Ces dispositions, initialement applicables jusqu'au 31 décembre 2008, ont été prorogées jusqu'au 31 décembre 2012, en application de la loi n° 2008-1245 du 1er décembre 2008.
Il est prévu que ces dispositions soient de nouveau prorogées jusqu'au 31 décembre 2015. Un projet de loi relatif à la sécurité et à la lutte contre le terrorisme, sur lequel la Commission s'est prononcée le 13 septembre 2012 et qui contient notamment des dispositions concernant cette prorogation, vient d'être adopté définitivement par le Parlement le 12 décembre 2012. 
Les actes réglementaires portant création des traitements précédemment cités, qui mentionnent expressément ces accès des services spécialisés, doivent donc à nouveau être modifiés, comme cela avait été fait à la suite de l'adoption de la loi n° 2008-145 du 1er décembre 2008.
A cet égard, la Commission constate que ces traitements répondent à des régimes de formalités préalables différents. Ainsi, certains traitements visés sont des traitements de gestion, déclarés sur le fondement de l'article 23 de la loi du 6 janvier 1978 modifiée (CNI, FNI et SNPC). D'autres traitements relèvent du régime de l'autorisation par la Commission, en application des dispositions de l'article 25 de ladite loi (SIV et SI-FAETON). Les derniers comportent des données biométriques et ont donc été autorisés, conformément aux dispositions de l'article 27-I-2° de la loi  Informatique et Libertés , par décret en Conseil d'Etat pris après avis de la CNIL (TES, AGDREF 2, VISABIO et FNAD).
Dans ce cadre, la Commission a été saisie pour avis par le ministère de l'intérieur d'un projet de décret en Conseil d'Etat relatif à l'accès à certains des traitements mentionnés à l'article L. 222-1 du code de la sécurité intérieure et portant abrogation de certaines dispositions du CESEDA. Ainsi, les dispositions relatives aux traitements SIV, SI-FAETON, CNI, TES, AGDREF 2 et VISABIO devraient être prorogées, tandis que celles relatives au FNAD seraient supprimées. A cet égard, la Commission rappelle que ces modifications ne pourront prendre effet que sous réserve de la prorogation des dispositions législatives concernées. 
Sur les modifications apportées aux textes réglementaires concernés
Le projet de décret prévoit de modifier la rédaction des articles R. 225-2 et R. 330-2 du code de la route, qui concernent respectivement les informations relatives au permis de conduire (SI-FAETON) et aux informations relatives à la circulation des véhicules (SIV). Ainsi, au troisième alinéa de ces deux articles, la formulation  dans les conditions fixées à l'article L. 222-1 du code de la sécurité intérieure  doit remplacer la précédente ainsi rédigée :  dans les conditions fixées aux articles 9 et 33 de la loi n° 2006-64 du 23 janvier 2006 relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles transfrontaliers .
La même modification est apportée aux articles 15-1 du décret n° 55-1397 du 22 octobre 1955 modifié relatif à la carte nationale d'identité et à l'article 21-1 du décret n° 2005-1726 du 30 décembre 2005 modifié relatif aux passeports électroniques. 
Par ailleurs, chaque dernier alinéa des articles R. 225-2 et R. 330-2 du code de la route et de l'article 21-1 du décret n° 2005-1726 du 30 décembre 2005 est supprimé. Il mentionnait la date de fin de validité des dispositions concernant l'accès des services de lutte contre le terrorisme à ces traitements. Dans la mesure où, après codification de la loi du 23 janvier 2006, le dernier alinéa de l'article L. 222-1 du code de la sécurité intérieure mentionne expressément la date jusqu'à laquelle lesdites dispositions sont applicables, le rappel de cette durée de validité, dans les actes réglementaires concernant les fichiers en cause, est superflu et est logiquement supprimé.
Ces modifications n'appellent pas d'observation particulière de la Commission. Des modifications similaires devraient en outre être prévues s'agissant des dispositions réglementaires du CESEDA concernant les traitements AGDREF 2 et VISABIO. Elles devraient intervenir par un décret distinct, dans la mesure où il est prévu par ailleurs de modifier les dispositions concernant ces traitements. 
Sur l'accès aux données des étrangers non-admis sur le territoire national
L'article 5 du projet de décret vise à supprimer les articles R. 611-18 à R. 611-24 du CESEDA. Ceux-ci prévoyaient la mise en œuvre, en application des articles L. 611-3 et L.611-5 du même code, d'un traitement automatisé de données à caractère personnel des ressortissants étrangers qui, ayant été contrôlés à l'occasion du franchissement de la frontière, ne remplissaient pas les conditions d'entrée requises, appelé  fichier des non-admis  (FNAD). 
Ce traitement a été créé par le décret n° 2007-1136 du 25 juillet 2007, à titre expérimental pour une durée de quatre ans et uniquement déployé à l'aéroport Roissy-Charles-de-Gaulle, et était accessible aux services anti-terroristes. Il sera prochainement remplacé par le traitement automatisé de données à caractère personnel dénommé  gestion informatisée des procédures d'immigration  (GIPI), dont le projet d'arrêté n'a pas encore été publié. 
Pour autant, dès lors que ce traitement ne comporterait aucune donnée biométrique, il ne relèverait pas de l'article L. 611-3 du CESEDA et les services de lutte contre le terrorisme n'auront donc pas, en l'état actuel des textes, accès aux informations qui y sont enregistrées.
Sur les conditions d'accès aux traitements
Dans sa délibération du 10 octobre 2005, la Commission avait considéré que l'accès permanent au contenu des fichiers administratifs, recensant une grande partie de la population française et des personnes étrangères séjournant ou souhaitant séjourner sur le territoire national, doit s'entourer de garanties particulières. A cet égard, le gouvernement s'était engagé, en 2006, à ce que les services de lutte contre le terrorisme ne puissent accéder aux traitements qu'en consultation, sans qu'aucune réutilisation des données ne soit réalisée ou qu'aucun nouveau traitement ne soit mis en œuvre à cette occasion. 
La Commission a ainsi pris acte, dans ses délibérations du 18 décembre 2008 et du 13 septembre 2012, qu'il n'était pas possible, pour les agents des services de lutte contre le terrorisme, d'extraire des données ou d'interconnecter ces fichiers avec les traitements mis en œuvre par les services spécialisés.
Dans ces avis, elle a néanmoins demandé que ces précisions soient apportées aux textes réglementaires concernés. La Commission réitère dès lors ces demandes de modification des articles réglementaires visés par le projet de décret afin de substituer, à la mention  peuvent accéder aux données , la mention  peuvent consulter les données .
Sur la traçabilité des accès