AgentPublic/cnil huggingface dataset:
Or, contrairement à ce que prévoit l'article 21 IV de la loi du 18 mars 2003, le projet de décret ne précise pas les modalités d'habilitation des personnels accédant aux fichiers dans le cadre de leurs missions de police judiciaire.   La Commission estime en conséquence que le projet de décret devrait être complété de façon à préciser que ces personnels doivent être individuellement désignés et spécialement habilités et à indiquer l'autorité qui la délivre, la nature des données auxquelles l'habilitation donne accès, les catégories de personnels ou de fonctions bénéficiant de cette habilitation.   Elle considère qu'il doit en être de même d'une part pour les personnels des services de police et de gendarmerie susceptibles d'avoir accès au fichier à des fins administrative et qui doivent être "spécialement habilités à cet effet" selon la loi et, d'autre part, pour les personnels administratifs qui doivent être "désignés selon les mêmes procédures".   Par ailleurs, la Commission prend acte qu'un système de journalisation des interrogations permet de conserver trace des connexions pendant trois ans et un historique des requêtes effectuées est mis en oeuvre au niveau central.   De même, toute mise à jour (création, modification, suppression) provoquera l'enregistrement pendant trois ans des informations relatives au personnel qui y aura procédé.
- sur l'exercice du droit d'accès   L'article 8 du projet de décret relatif au système JUDEX prévoit que "le droit d'accès s'exerce d'une manière indirecte, dans les conditions prévues par l'article 41 de la loi du Janvier 1978 susvisée, par demande portée devant la Commission nationale de l'informatique et des libertés, pour l'ensemble des données". Son second alinéa dispose que "la Commission peut constater, en accord avec le ministère de la défense, que des données à caractère personnel enregistrées ne mettent pas en cause la sûreté de l'Etat, la défense ou la sécurité publique et qu'il y a donc lieu de les communiquer à la personne intéressée, sous réserve que la procédure soit judiciairement close et après accord du procureur de la République".   La Commission observe que l'article 22 de la loi du 18 mars 2003, a modifié l'article 39 de la loi du 6 janvier 1978 (devenu, par la loi du 6 août 2004, l'article 41) de façon à ce que "lorsque la Commission constate, en accord avec le responsable du traitement, que la communication des données qui y sont contenues, ne met pas en cause ses finalités, la sûreté de l'Etat, la défense ou la sécurité publique, ces données peuvent être communiquées au requérant". En outre, son dernier alinéa dispose que :  "lorsque le traitement est susceptible de comprendre des informations dont la communication ne mettrait pas en cause les fins qui lui sont assignées, l'acte réglementaire portant création du fichier peut prévoir que ces
informations peuvent être communiquées au requérant par le gestionnaire du fichier directement saisi".   Dès lors que la loi du 18 mars 2003 ouvre au gestionnaire du fichier concerné une possibilité de communiquer directement aux requérants les informations dont la communication ne mettrait pas en cause la finalité du fichier considéré, la Commission estime qu'il y a lieu de prévoir, pour les personnes inscrites dans le système JUDEX en tant que victimes, la communication directe par les soins du ministère de la Défense du contenu de leur fiche.   La saisine directe du responsable du traitement, même limitée aux victimes, permettra en outre de réduire la durée des procédures, ce qui va dans le sens d'une meilleure garantie des droits individuels.   Pour tenir compte des dispositions du premier alinéa de l'article 41 de la loi du 6 janvier 1878 modifiée, et dans le même souci de répondre plus rapidement et plus efficacement aux requérants, la Commission considère en outre que la rédaction nouvelle de l'article 41 de loi n'impose plus de subordonner l'exercice du droit d'accès indirect au recueil de l'accord du procureur de la République ni à l'exigence que la procédure soit judiciairement close.   En conséquence, l'article 8 du projet de décret relatif à JUDEX devrait être modifié de façon, d'une part, à prévoir l'exercice du droit d'accès direct pour les victimes et, d'autre part, à supprimer les deux conditions supplémentaires prévues par cet article pour permettre la
communication, avec l'accord du ministère de la Défense, des données les concernant aux personnes mises en cause.
- sur l'information des personnes   Aucune mesure d'information n'est prévue ni à l'égard des personnes mises en cause ni à l'égard des victimes.   Le ministère de la Défense invoque les dispositions de l'article 32 VI de la loi du 6 janvier 1978 modifiée qui prévoit une dérogation à l'obligation générale d'information des personnes s'agissant des traitements de données ayant pour objet la prévention, la recherche, la constatation ou la poursuite d'infractions pénales.   Toutefois, dans la mesure où le législateur a expressément reconnu aux personnes faisant l'objet d'une inscription dans les fichiers de police judiciaire la possibilité, sous certaines conditions, de demander la rectification des données en cas de requalification judiciaire et, s'agissant des victimes, l'effacement des données les concernant, la Commission estime que l'information des personnes sur l'existence et les conditions d'exercice de ces droits, ainsi que sur leur droit d'accès doit être reconnue et garantie par des mesures spécifiques.   La Commission considère en conséquence que le décret doit être complété afin que toutes dispositions soient prises pour que les personnes concernées soient clairement et précisément informées de leurs droits et tout particulièrement des conditions d'exercice de leur droit d'accès, de leur droit de demander, le cas échéant, que la qualification judiciaire des faits soit substituée à la qualification initiale telle qu'elle est enregistrée dans le système JUDEX,
ainsi que du droit de s'adresser au procureur de la République territorialement compétent pour solliciter la mise à jour des informations les concernant.   Ainsi il pourrait être envisagé qu'outre des mesures d'information générale, par exemple sur le site internet de la gendarmerie nationale, un affichage dans le local d'accueil du public de chaque unité élémentaire de gendarmerie et une mention sur l'attestation de dépôt de plainte remise aux victimes soient notamment prévus, ainsi que le prévoyait le dossier de formalités préalables relatif à la création du système JUDEX qui a été soumis à la Commission au mois de janvier 2003.
- sur les échanges internationaux de données avec les organismes de coopération internationale en matière de police et les services de police étrangers   Le projet de décret prévoit que les informations du fichier JUDEX peuvent faire l'objet d'une cession aux organismes de coopération internationale en matière de police judiciaire (INTERPOL, EUROPOL, SCHENGEN) et aux services de police étrangers qui présentent un niveau de protection suffisant, dans le respect des engagements internationaux dont ces données font l'objet ou peuvent faire l'objet, d'autre part, à permettre à ces organismes d'alimenter indirectement le fichier JUDEX.   Ces différents échanges ne peuvent être effectués qu'à la condition, expressément inscrite à l'article 24 de la loi du 18 mars 2003, que les services concernés "présentent, pour la protection des données personnelles, des garanties équivalentes à celles du droit interne, dans le cadre des engagements internationaux régulièrement introduits dans l'ordre juridique interne" Dès lors ils n'appellent pas d'observations de fond.   La Commission estime en conséquence que pour être conforme à ces dispositions il y aurait lieu de reprendre, à l'article 10 du projet de décret, les termes de l'article 24 de la loi.   Le Président Alex TURK.
La Commission nationale de l'informatique et des libertés,   Saisie par la société Télé 2 d'une déclaration de traitement automatisé de données à caractère personnel relative à la prévention des impayés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25 ;   Vu la délibération de la Commission n° 04-072 du 21 septembre 2004 portant autorisation de la mise en oeuvre par le GIE PREVENTEL d'un traitement automatisé de données à caractère personnel relatif à la prévention des impayés ;   Après avoir entendu M. Didier Gasse, en son rapport, et Mme Catherine Pozzo di Borgo, commissaire du Gouvernement adjoint en ses observations,
Formule les observations suivantes :   La société Télé 2 a déposé auprès de la CNIL un dossier relatif à la mise en oeuvre d'un traitement automatisé de données à caractère personnel ayant pour finalité la prévention des impayés qui permet à la société Télé 2 de consulter et d'enrichir le traitement mis en oeuvre par le GIE PREVENTEL actuellement composé des sociétés Bouygues Télécom, Orange France, SFR, Débitel France et Coriolis Télécom.   Le traitement mis en oeuvre par le GIE PREVENTEL a pour objet d'informer les membres du GIE, qu'il s'agisse des opérateurs de téléphone mobile, des sociétés qui commercialisent les services de ces opérateurs et des opérateurs de téléphonie fixe, des abonnés débiteurs d'une créance issue de l'utilisation de services de téléphonie afin, lors d'une nouvelle demande d'abonnement, de la lui refuser ou de prendre des mesures visant à se prémunir de tout nouvel impayé.   A ce titre, il y a lieu pour la Commission de faire application des dispositions relatives aux formalités préalables issues de l'article 25 4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements qui sont susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un contrat en l'absence de toute disposition législative ou réglementaire.   Les catégories de données à caractère personnel enregistrées sont relatives à l'identité de la personne présentant un impayé supérieur au seuil prévu par
l'autorisation accordée au GIE PREVENTEL et aux motifs ayant donné lieu à l'inscription de la personne dans le fichier.   Le droit d'accès défini au chapitre VII de la loi s'exerce auprès du GIE PREVENTEL, Service des consultations, TSA n° 90 003, 93588 SAINT OUEN cedex.   Les destinataires des informations sont chacun des membres du GIE.
Autorise dans ces conditions la société Télé 2 à mettre en oeuvre un traitement automatisé de données à caractère personnel ayant pour finalité "la prévention des impayés".   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Saisie par la société Omer Télécom d'une déclaration de traitement automatisé de données à caractère personnel relative à la prévention des impayés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25 ;   Vu la délibération de la Commission n° 04-072 du 21 septembre 2004 portant autorisation de la mise en oeuvre par le GIE PREVENTEL d'un traitement automatisé de données à caractère personnel relatif à la prévention des impayés ;   Après avoir entendu M. Didier Gasse, en son rapport, et Mme Catherine Pozzo di Borgo, commissaire du Gouvernement adjoint en ses observations,
Formule les observations suivantes :   La société Omer Télécom a déposé auprès de la CNIL un dossier relatif à la mise en oeuvre d'un traitement automatisé de données à caractère personnel ayant pour finalité la prévention des impayés qui permet à la société Omer Télécom de consulter et d'enrichir le traitement mis en oeuvre par le GIE PREVENTEL actuellement composé des sociétés Bouygues Télécom, Orange France, SFR, Débitel France et Coriolis Télécom.   Le traitement mis en oeuvre par le GIE PREVENTEL a pour objet d'informer les membres du GIE, qu'il s'agisse des opérateurs de téléphone mobile, des sociétés qui commercialisent les services de ces opérateurs et des opérateurs de téléphonie fixe, des abonnés débiteurs d'une créance issue de l'utilisation de services de téléphonie afin, lors d'une nouvelle demande d'abonnement, de la lui refuser ou de prendre des mesures visant à se prémunir de tout nouvel impayé.   A ce titre, il y a lieu pour la Commission de faire application des dispositions relatives aux formalités préalables issues de l'article 25-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements qui sont susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un contrat en l'absence de toute disposition législative ou réglementaire.   Les catégories de données à caractère personnel enregistrées sont relatives à l'identité de la personne présentant un impayé supérieur au seuil
prévu par l'autorisation accordée au GIE PREVENTEL et aux motifs ayant donné lieu à l'inscription de la personne dans le fichier.   Le droit d'accès défini au chapitre VII de la loi s'exerce auprès du GIE PREVENTEL, Service des consultations, TSA n° 90 003, 93588 SAINT OUEN cedex.   Les destinataires des informations sont chacun des membres du GIE.
Autorise dans ces conditions la société Omer Télécom à mettre en oeuvre un traitement automatisé de données à caractère personnel ayant pour finalité "la prévention des impayés".   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-4° ;   Vu la délibération n° 2005-101 du 19 mai 2005 portant refus d'autorisation de mise en oeuvre par la société COFINOGA d'un traitement automatisé de données à caractère personnel ayant pour finalité la pré-étude des demandes de crédits (score) ;   Vu la nouvelle demande d'autorisation présentée par la société COFINOGA le 4 juillet 2005 ;   Après avoir entendu M. Bernard Peyrat, Commissaire, en son rapport, et Mme Catherine Pozzo di Borgo, Commissaire du Gouvernement adjoint, en ses observations.
Formule les observations suivantes :   La société COFINOGA a saisi la CNIL d'une nouvelle demande d'autorisation relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité la préétude des demandes de crédits (score).   La Commission rappelle que relèvent de la procédure de demande d'autorisation prévues par les dispositions de l'article 25-4° de la loi du 6 janvier 1978 modifiée en août 2004 les traitements de données à caractère personnel ayant pour objet de sélectionner la clientèle à des fins d'octroi de crédit ou de prêt à partir d'outils de notation ou de score dans la mesure où ils sont susceptibles d'exclure une personne du bénéfice d'un contrat de crédit sans qu'aucun texte ne prévoie une telle exclusion.   La présentation de cette demande d'autorisation fait suite au refus de la Commission d'autoriser la mise en oeuvre de ce traitement aux motifs que la société COFINOGA n'apportait pas de justification concrète et précise quant à la pertinence de la prise en compte de la différence d'âge du demandeur et de son conjoint, que ce dernier ait la qualité d'emprunteur ou non ; qu'il n'était pas non plus apporté de justification claire du traitement de l'âge et de la profession du conjoint qui n'a pas la qualité d'emprunteur ; que le traitement du type de numéro de téléphone de l'emprunteur n'était pas pertinent, adéquat et proportionné dans la mesure où il ne semble pas possible de déduire avec certitude, au vu d'un numéro de type
téléphone mobile, que le titulaire de ce numéro ne possède pas par ailleurs un téléphone fixe et présente dès lors un risque de défaut de paiement ; qu'enfin, l'existence d'une relation directe et étroite de ces données avec la finalité du traitement n'était pas non plus justifiée.   La Commission rappelle que l'article 10 de ladite loi dispose dans son deuxième alinéa qu'"aucune décision produisant des effets juridiques à l'égard d'une personne ne peut être prise sur le seul fondement d'un traitement automatisé de données destiné à définir le profil de l'intéressé ou à évaluer certains aspects de sa personnalité" et dans son troisième alinéa que "ne sont pas regardées comme prises sur le seul fondement d'un traitement automatisé les décisions prises dans le cadre de la conclusion ou de l'exécution d'un contrat et pour lesquelles la personne concernée a été mise à même de présenter ses observations, ni celles satisfaisant les demandes de la personne concernée" et qu'en application des dispositions de l'article 6-3° les données traitées doivent être "pertinentes, adéquates et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs".
La Commission considère, en application de ces dispositions, que la pertinence et la pondération des variables du score doivent résulter d'une analyse statistique établie selon une méthodologie reconnue, comprenant notamment la qualification du lien de causalité ou de corrélation entre le critère pondéré et le risque mesuré.   Elle estime également que les données traitées doivent avoir été directement obtenues de la personne concernée ou produites à partir d'informations communiquées par cette dernière ou de l'exécution d'un contrat ou d'une prestation de service conclus directement avec la personne concernée et qu'elles doivent être définies et combinées avec d'autres données du calcul automatisé du risque de manière objective et proportionnée à partir d'éléments se rapportant directement à l'emprunteur ou en rapport avec le financement et présentant un lien de corrélation notoire, direct et étroit avec le risque de défaut de l'emprunteur.   Les catégories de données à caractère personnel enregistrées seront relatives à l'identité de l'emprunteur, la nationalité, l'âge (de l'emprunteur et de son conjoint), la situation familiale, la situation professionnelle (de l'emprunteur et du conjoint), la situation matrimoniale, la situation financière (de l'emprunteur et du conjoint), le département d'habitation, la situation à l'habitat, le type de numéro de téléphone, l'ancienneté dans la relation commerciale avec l'apporteur, les modes de paiement, les informations relatives à
l'achat ou la prestation financée et les caractéristiques du crédit.   La Commission relève que la société COFINOGA apporte une justification claire, concrète et précise quant à la pertinence des données prises en compte par le traitement, s'agissant notamment des données relatives au conjoint n'ayant pas la qualité d'emprunteur (âge, profession, revenus), et établit l'existence d'une relation directe et étroite de ces données avec la finalité du traitement.   S'agissant du type de numéro de téléphone de l'emprunteur, la Commission prend acte du fait que la prise en compte de ce critère sera combinée avec celui de la possession d'une ligne fixe.   S'agissant de la différence d'âge entre l'emprunteur et son conjoint, la Commission prend acte de l'abandon du traitement de ce critère.   La Commission considère que la prise en compte des variables du score est adéquate et proportionnée.   La Commission relève aussi que le résultat du score n'entraîne pas d'exclusion automatique, mais, en cas de dépassement des limites du mandat des prescripteurs, la transmission au service acceptation de COFINOGA pour une étude approfondie.
Les destinataires des informations seront le personnel habilité de la société COFINOGA et les services chargés du contrôle (commissaires aux comptes, audit, services chargés des procédures internes de contrôle).   Le droit d'accès défini au chapitre VII de la loi s'exercera auprès de la société COFINOGA, services Acceptation - Marketing - Recouvrement, 106/108 avenue du Président Kennedy, 33696 MERIGNAC cedex.   Autorise, dans ces conditions, la société COFINOGA à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité la pré-étude des demandes de crédit.   Le président Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-4° ;   Vu la délibération n° 2005-103 du 19 mai 2005 portant refus d'autorisation de mise en oeuvre par la société MEDIATIS d'un traitement automatisé de données à caractère personnel ayant pour finalité la pré-étude des demandes de crédits (score) ;   Vu la nouvelle demande d'autorisation présentée par la société MEDIATIS le 4 juillet 2005 .   Après avoir entendu M. Philippe Nogrix, commissaire, en son rapport, et Mme Catherine Pozzo di Borgo, commissaire du Gouvernement adjoint, en ses observations,
Formule les observations suivantes :   La société MEDIATIS a saisi la CNIL d'une nouvelle demande d'autorisation relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité la préétude des demandes de crédits (score).   La Commission rappelle que relèvent de la procédure de demande d'autorisation prévues par les dispositions de l'article 25-4° de la loi du 6 janvier 1978 modifiée en août 2004 les traitements de données à caractère personnel ayant pour objet de sélectionner la clientèle à des fins d'octroi de crédit ou de prêt à partir d'outils de notation ou de score dans la mesure où ils sont susceptibles d'exclure une personne du bénéfice d'un contrat de crédit sans qu'aucun texte ne prévoie une telle exclusion.   La présentation de cette demande d'autorisation fait suite au refus de la Commission d'autoriser la mise en oeuvre de ce traitement aux motifs que la société MEDIATIS n'apportait pas de justification concrète et précise quant à la pertinence de la prise en compte de l'âge et la profession du conjoint du demandeur lorsque ce dernier n'a pas la qualité d'emprunteur ; que le traitement du type de numéro de téléphone de l'emprunteur n'était pas pertinent, adéquat et proportionné dans la mesure où il ne semble pas possible de déduire avec certitude, au vu d'un numéro de type téléphone mobile, que le titulaire de ce numéro ne possède pas par ailleurs un téléphone fixe et présente dès lors un risque de défaut de paiement ;