AgentPublic/cnil huggingface dataset:
Les données relatives au professionnel habilité sont conservées cinq ans à compter du retrait ou de la résiliation de l'habilitation. 
Ces durées de conservation n'appellent pas d'observation de la part de la Commission. 
Sur les personnes pouvant accéder aux données enregistrées dans le SIV :
La Commission relève que les informations issues du SIV peuvent être communiquées aux personnes mentionnées aux articles L. 330-2 à 4 du code de la route, sur leur demande et dans la limite de leurs attributions, notamment :
• les services de police nationale et de gendarmerie nationale, dans le cadre de contrôles routiers et de leurs attributions de police judiciaire ;
• les officiers du ministère public, en cas d'infraction au code de la route ;
• les assureurs, pour l'identification du titulaire du certificat d'immatriculation en cas d'accident de la circulation et la consultation de la situation administrative du véhicule assuré dans le cadre d'une procédure d'indemnisation, et pour la consultation des caractéristiques techniques du véhicule de l'assuré dans le cadre de la souscription d'un contrat d'assurance ;
• les services compétents des États membres, pour l'application de la directive du 25 octobre 2011 facilitant l'échange transfrontalier d'informations concernant les infractions en matière de sécurité routière ;
• les personnels agréés du prestataire autorisé par l'État à exploiter les appareils de contrôle automatique et à procéder à la constatation des manquements au regard de la taxe poids lourds ;
• les services de police nationale, du contrôle des transports terrestres et de la gendarmerie nationale, pour vérifier la régularité de la situation des redevables au regard de la taxe sur les poids lourds et identifier les auteurs des manquements au regard de cette taxe ;
• les agents assermentés des exploitants d'une autoroute ou d'un ouvrage routier ouvert à la circulation publique et soumis à péage, pour identifier les auteurs d'infractions au péage ;
• les huissiers de justice, sur la base d'un titre exécutoire, pour l'identification d'un véhicule appartenant à un débiteur en cas de déclaration valant saisie.
En outre, peuvent avoir accès aux données enregistrées dans le SIV, les personnes mentionnées à l'article 3 de l'arrêté du 10 février 2009, notamment :
• les professionnels du commerce de l'automobile, pour l'immatriculation des véhicules neufs, d'occasion et en transit temporaire, pour la consultation de la situation administrative des véhicules et pour la notification des numéros d'immatriculation des véhicules pour lesquels une pré-demande d'immatriculation a été initiée chez eux avec paiement effectué en préfecture ;
• les sociétés de location de véhicules, pour l'immatriculation des véhicules de location neufs et d'occasion, pour les changements de locataire longue durée et pour la consultation de la situation administrative de tout véhicule en location courte et longue durée ;
• les constructeurs automobiles, pour le contrôle du numéro VIN et pour la notification des immatriculations des véhicules neufs de la marque ;
• les agents des services des douanes, dans le cadre des contrôles routiers ;
• les agents de l'administration des finances, pour l'instruction des demandes d'agrément des professionnels à percevoir les taxes d'immatriculation ;
• les agents de l'ANTS, pour la gestion du traitement SIV et l'assistance informatique et juridique aux préfectures et professionnels ;
• l'Imprimerie Nationale, pour la demande de production des certificats d'immatriculation, des étiquettes de changement d'adresse et des lettres de notification de suspension de l'autorisation de circuler.
Enfin, les données issues du SIV peuvent être transmises aux personnes suivantes :
• la direction générale des finances publiques, dans le cadre d'une opposition au transfert du certificat d'immatriculation (OTCI) (changement d'état civil, de raison sociale et d'adresse du titulaire), de conversion du numéro FNI en numéro SIV et de levée d'une OTCI (véhicule endommagé, dangereux et techniquement irréparable) ;
• le secrétariat général pour la modernisation de l'action publique, pour l'envoi à l'usager d'une étiquette avec sa nouvelle adresse à apposer sur le certificat d'immatriculation à la suite de sa déclaration de changement d'adresse ;
• la Poste, pour la transmission des états de suivi de distribution des certificats d'immatriculation, des étiquettes de changement d'adresse et des lettres de notification de suspension ;
• les organismes de crédit, en cas de gages ;
• les agents habilités des préfectures, dans le cadre de la gestion des habilitations des professionnels pouvant accéder au SIV ;
• les agents des services anti-terroristes, comme prévus à l'article L. 222-1 du code de la sécurité intérieure. 
La Commission relève que les informations enregistrées dans le SIV sont accessibles par un grand nombre de personnes (administrations et organismes privés).
Toutefois, elle observe que ces personnes n'ont accès aux données que dans la limite de leurs attributions et en application de dispositions législatives et réglementaires.
Elle constate, en outre, qu'une convention avec le ministère de l'intérieur encadre la transmission des données aux professionnels du commerce de l'automobile, aux sociétés de location de véhicules, aux constructeurs automobiles, aux assureurs, aux experts automobiles, aux professionnels de la destruction des véhicules, à la direction générale des finances publiques, à la Poste, aux organismes de crédit, ainsi que l'interconnexion avec l'organisme technique central (OTC). 
De plus, elle observe que la transmission des données est effectuée de façon sécurisée et que les accès aux données font l'objet d'un mécanisme de traçabilité.
Dans ce contexte, la Commission considère que la transmission de ces données est justifiée par rapport aux finalités poursuivies. 
Par ailleurs, la Commission rappelle que la communication des informations est parfois assurée par le préfet du département. Elle appelle donc l'attention du ministère de l'intérieur sur la nécessité de s'assurer que les autorités qui requièrent une telle communication sont bien habilitées par la loi à prendre connaissance des informations requises d'une part, et de s'opposer à toute demande d'information abusive d'autre part.
Enfin, la Commission rappelle que, conformément à l'article L. 330-5 du code de la route, les informations enregistrées dans le SIV sont également communicables à des tiers agréés pour être réutilisées à des fins statistiques, de recherche scientifique ou historique (sans qu'il soit nécessaire de recueillir l'accord préalable des personnes concernées mais sous réserve que les études réalisées ne fassent apparaître aucune information nominative) ou à des fins d'enquêtes et de prospections commerciales (sauf opposition des personnes concernées).
Sur les interconnexions :La Commission rappelle que le SIV est interconnecté avec les applications et fichiers suivants : 
• l'application de pré-demande d'habilitation et d'agrément (APD), pour l'enregistrement dans le SIV des données relatives à l'habilitation d'un professionnel à des fins de contrôle de ces habilitations ;
• le système d'information télépaiement (SIT), pour le règlement des taxes liées aux opérations d'immatriculation qui conditionne la poursuite de l'immatriculation et la production du certificat d'immatriculation ;
• la base satellite des véhicules volés (BSVV), pour ne pas poursuivre les opérations relatives à l'immatriculation si le véhicule est volé et pour informer la BSVV de la nature d'une opération d'immatriculation réalisée ou tentée sur un véhicule placé sous surveillance par les forces de l'ordre ;
• le portail d'accès EUCARIS, pour lutter contre le terrorisme et la criminalité transfrontalière et permettre l'échange transfrontalier d'informations concernant les infractions en matière de sécurité routière dans le cadre de la directive du 25 octobre 2011. Pour la lutte contre le terrorisme et la criminalité transfrontalière, l'accès aux données du SIV n'est possible que par les points de contact nationaux habilités, sans enregistrement de ces données par le pays qui les consulte ;
• le traitement mis en œuvre par l'organisme technique central (OTC), dans le cadre des visites de contrôle technique et de la mise à jour du référentiel des caractéristiques techniques des véhicules à réception communautaire, prévues à l'article R. 323-7 du code de la route ;
• le système de contrôle automatisé, en cas d'infractions au code de la route ;
• le traitement automatisé dénommé  changement d'adresse en ligne , prévu à l'article R. 322-7 du code de la route.
La Commission constate que ces interconnexions sont nécessaires aux finalités poursuivies et que les échanges de données sont sécurisés.
Sur l'information et les droits des personnes : 
Les professionnels du commerce de l'automobile et les préfectures informent les personnes concernées, à l'occasion des demandes d'immatriculation qu'elles effectuent pour leur compte, des dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée :
• par la présentation d'un document attestant de ladite information qu'elles doivent signer ;
• par un affichage dans les locaux professionnels ;
• par une mention figurant sur le questionnaire de collecte et sur les écrans internet à l'occasion des démarches réalisées par voie électronique. 
En outre, les droits d'accès et de rectification s'exercent auprès de l'ANTS, saisie directement par courrier ou par l'intermédiaire des préfectures.
Enfin, la Commission rappelle que l'article R. 330-11 du code de la route prévoit la possibilité pour les personnes concernées de s'opposer, lors de l'enregistrement des données (I) et lorsque les données sont déjà enregistrées (II), à la communication à des tiers des données à caractère personnel les concernant, en vue de leur réutilisation à des fins d'enquêtes et de prospections commerciales. 
Votre rapporteur constate cependant que l'article R. 330-11-I ne fait pas apparaître clairement que le droit d'opposition dont disposent les personnes au moment de l'enregistrement de leurs données concerne la transmission de celles-ci à des fins d'enquêtes et de prospections commerciales. Il propose, dès lors, que l'article R. 330-11-I soit clarifié.
La Commission estime que ces modalités d'information et d'exercice des droits sont satisfaisantes. 
Sur la sécurité des données :
La Commission prend acte des mesures prises en vue de garantir la sécurité des données.
Les sécurités d'accès au système sont différenciées selon le type de réseau utilisé et la nature des destinataires.
Les moyens d'accès sont gérés par un logiciel de gestion des habilitations qui sont délivrées individuellement par les préfectures précitées et gérées par le service de gestion du SIV.
Les actions effectuées par les utilisateurs sont  tracées  par le système, l'accès aux traces étant contrôlé. A cet égard, la Commission demande à être destinataire d'un bilan d'exploitation de ces traces au terme d'une année effective de mise en œuvre du dispositif.
Les destinataires des informations sont authentifiés de manière  forte  par l'intermédiaire de certificats répondant aux exigences de l'ANSSI. Les différents canaux de communication sont chiffrés.
La Commission rappelle que la politique de gestion des mots de passe doit respecter ses recommandations. En effet, pour se conformer aux exigences de l'article 34 de la loi du 6 janvier 1978 modifiée, les mots de passe doivent avoir une longueur minimale de huit caractères, et contenir au moins un chiffre, une minuscule et un caractère spécial. La Commission demande donc au ministère de modifier sa politique de gestion des mots de passe en ce sens. 
Les autres mesures de sécurité, dont la Commission a déjà apprécié les modalités de mise en œuvre, ne sont pas modifiées.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission abroge les délibérations n° 2008-001 du 10 janvier 2008 et 2008-466 du 27 novembre 2008 et autorise le ministère de l'intérieur à mettre en œuvre un traitement de données à caractère personnel dénommé Système d'Immatriculation des Véhicules (SIV) ayant pour finalité la gestion des pièces administratives du droit de circuler des véhicules.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie par le ministère de l'économie et des finances d'une demande d'avis concernant la modification de l'arrêté du 5 avril 2002 portant création par la direction générale des finances publiques d'un traitement automatisé d'informations nominatives dénommé  accès au dossier fiscal des particuliers (ADONIS)  ;Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu le code de l'énergie, notamment ses articles L. 337-3 et L. 445-5 ;Vu le code général des impôts, notamment son article 1753 bis B ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 27-II-4° et 30;Vu le décret n° 2004-325 du 8 avril 2004 relatif à la tarification spéciale de l'électricité comme produit de première nécessité ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2008-778 du 13 août 2008 relatif à la fourniture de gaz naturel au tarif spécial de solidarité ; Vu le décret n° 2012-309 du 6 mars 2012 relatif à
l'automatisation des procédures d'attribution des tarifs sociaux de l'électricité et du gaz naturel;Vu l'arrêté du 5 avril 2002 portant création par la direction générale des finances publiques d'un traitement automatisé d'informations nominatives dénommé  accès au dossier fiscal des particuliers  (ADONIS) ;Vu la délibération n°02-010 du 7 mars 2002 concernant la mise à la disposition des particuliers et des agents des administrations fiscales d'un service de consultation des dossiers fiscaux en ligne et la pérennisation de la procédure de transmission par internet des déclarations annuelles de revenus ;Vu la délibération n° 2013-238 du 12 septembre 2013 portant avis sur un projet de décret relatif à l'extension des tarifs sociaux de l'électricité et du gaz naturel ;Vu le dossier et ses compléments ;Sur la proposition de M. Didier GASSE, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Émet l'avis suivant :La tarification spéciale produit de première nécessité pour l'électricité et le tarif spécial de solidarité pour le gaz consistent en une aide financière au paiement des factures, versée aux bénéficiaires de la couverture maladie universelle complémentaire (CMU-C) et de l'Aide pour une complémentaire santé (ACS). L'application de ces tarifs sociaux est une obligation de service public, assignée aujourd'hui à tous les fournisseurs d'électricité et de gaz naturel. 
L'article L. 337-3 du code de l'énergie dispose :
 Les tarifs de vente d'électricité aux consommateurs domestiques tiennent compte du caractère indispensable de l'électricité pour les consommateurs dont les revenus du foyer sont, au regard de la composition familiale, inférieurs à un plafond, en instaurant pour une tranche de leur consommation une tarification spéciale produit de première nécessité. Cette tarification spéciale est applicable aux services liés à la fourniture.
Pour la mise en œuvre de cette mesure, l'administration fiscale et les organismes de sécurité sociale constituent un fichier regroupant les ayants droit potentiels. Ces fichiers sont transmis aux fournisseurs d'électricité ou, le cas échéant, à un organisme désigné à cet effet par ces fournisseurs, afin de leur permettre de notifier aux intéressés leurs droits à la tarification spéciale. Les fournisseurs d'électricité ou l'organisme qu'ils ont désigné préservent la confidentialité des informations contenues dans le fichier . 
L'article L. 445-5 du code de l'énergie prévoit de même l'application d'un tarif spécial de solidarité à la fourniture de gaz naturel et aux services qui lui sont liés aux clients domestiques ayant droit à la tarification spéciale produit de première nécessité prévue par l'article L. 337-3 du même code précité. 
Les conditions d'application de ce dispositif sont fixées par les décrets n° 2004-325 du 8 avril 2004 et n° 2008-778 du 13 aout 2008, respectivement relatifs aux tarifs du gaz et de l'électricité. Une modification de ces décrets est en cours, sur laquelle la Commission a formulé un avis dans sa délibération n° 2013-238 du 12 septembre 2013.
En application des dispositions législatives précitées, la DGFiP, acteur de la chaine de mise en place du dispositif relatif à la tarification sociale de l'énergie, est tenue de transmettre à l'organisme agissant pour le compte des fournisseurs d'électricité et de gaz naturel, la société Xerox General Services (XGS), un fichier regroupant les ayants droits potentiels de ces tarifs sociaux. Le transfert de ce fichier à un nouveau destinataire constitue la modification faisant l'objet de la présente saisine soumise à avis de la Commission. 
Dans sa délibération précitée du 12 septembre 2013, la Commission a eu l'occasion de se prononcer sur la transmission par l'administration fiscale du fichier des personnes éligibles. Ainsi, dans la mesure où les fournisseurs ont recours au même organisme, en l'occurrence XGS, la transmission par l'administration fiscale de l'intégralité du fichier des personnes éligibles vers l'organisme en question n'appelle pas d'observation particulière.
Comme cette transmission de fichier imposée à la DGFiP nécessite la modification du traitement ADONIS qui relève des dispositions de l'article 27-II-4° de la loi du 6 janvier 1978 modifiée, cette modification doit faire l'objet d'un arrêté pris après un avis motivé et publié de la Commission. 
Sur l'ajout de nouveaux destinataires au traitement ADONIS
L'article 1er du projet d'arrêté a pour objet d'ajouter de nouveaux destinataires au traitement ADONIS. A l'article 7 de l'arrêté du 5 avril 2002 portant création de ce traitement est ajouté un III introduisant les dispositions suivantes :  un fichier de personnes physiques remplissant une condition de revenu fiscal de référence par part fiscale avec leur civilité, noms, prénoms, date de naissance et adresse, ainsi que le nombre de personnes du foyer du contribuable à l'impôt sur le revenu est communiqué chaque année aux fournisseurs d'électricité ou de gaz naturel, ou, le cas échéant, à l'organisme désigné à cet effet par ces fournisseurs, aux fins d'identifier les personnes susceptibles de bénéficier d'un tarif social de l'énergie, en application des articles L. 337-3 et L. 445-5 du code de l'énergie .
L'administration fiscale doit en effet extraire une liste de personnes physiques remplissant une condition de revenu fiscal de référence par part fiscale.
Ce fichier des personnes physiques contribuables à l'impôt sur le revenu remplissant les conditions précitées permettra dès lors le transfert des informations nécessaires aux fournisseurs d'électricité et de gaz naturel, par le biais de la plateforme XGS.
La Commission estime que l'ajout d'un nouveau destinataire pour la finalité précédemment décrite n'appelle pas d'observation particulière.
En outre, les données transmises à ces nouveaux destinataires sont strictement limitées à la finalité poursuivie, conformément aux dispositions de l'article 6 de la loi de 1978 modifiée.Sur les sécurités encadrant la transmission des données par l'administration fiscaleLe ministère indique que la procédure de transferts de fichier entre l'administration fiscale et le prestataire XGS aura lieu via une plateforme d'échanges sécurisés. Le fichier sera signé et chiffré.
La Commission ne disposant pas d'informations complémentaires quant à la méthode de chiffrement utilisée, elle recommande l'utilisation d'un chiffrement fort et une gestion des clés cryptographiques conformes aux règles et recommandations de l'Agence nationale de la sécurité des systèmes d'informations.La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1640420)
Ede-givry@cnil.fr
La Commission nationale de l’informatique et des libertés ; 
Saisie par la société AXA FRANCE VIE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dispositif d’alerte professionnelle ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 6-3°, 7-5°, 25-I-4° et 35 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération de la Cnil n° 2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle (AU-04), telle que modifiée le 14 octobre 2010 ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
La société AXA France VIE, rattachée au groupe AXA FRANCE, propose des contrats d’assurance vie.
Sur la finalité
La finalité du traitement est la mise en œuvre d’un dispositif d’alerte professionnelle permettant de recueillir les alertes des salariés portant sur des manquements graves dans les domaines financier, bancaire, comptable, de lutte contre la corruption, du délit d’initié et des pratiques anticoncurrentielles.
La société AXA France VIE souhaite ainsi se conformer aux  exigences de la Directive Européenne Solvabilité 2 relative à la réglementation prudentielle s’appliquant au secteur de l'assurance en particulier à l’obligation de renforcer la protection du système financier et la prévention du risque systémique.
Le champ du dispositif est strictement limité aux manquements graves qui s’appliquent aux domaines suivants :
domaines financier, bancaire et comptable
lutte contre la corruption
délit d’initié
pratiques anticoncurrentielles
Compte tenu de nature du traitement, il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire.