AgentPublic/cnil huggingface dataset:
(Demande d’autorisation n° 1591127)
La Commission nationale de l’informatique et des libertés,  
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-3° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi           n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la section 5 du chapitre II du code de l’action sociale et des familles articles ;
Vu le dossier et ses compléments ;
Après avoir entendu Mme Laurence DUMONT, commissaire, en son rapport, et M. jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :
Sur le responsable du traitement
Le Conseil général du Calvados.
Sur la finalité
La Commission nationale de l’informatique et des libertés a été saisie par le Conseil général du Calvados d’une demande d’autorisation de mise en œuvre d’un traitement de données à caractère personnel destiné à la gestion des dépôts de plaintes au parquet à l’encontre des fraudeurs au RMI/RSA et la récupération des indus et des frais de procédure engagés.Cette demande d’autorisation est prise sur le fondement de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée, dans la mesure où le traitement porte sur des données relatives aux infractions. En effet, les faits répréhensifs constitutifs de fraudes aux RMI/RSA relèvent des articles 313-1, 313-3 et 441-1 du code pénal.La mise en œuvre des poursuites est assurée par le conseil général. En cas de suspicion de fraude, la caisse d’allocation familiale (CAF) transmet, sous format papier, au Conseil général du Calvados les rapports contenant les informations issues des contrôles réalisés.Par ailleurs, la Commission relève que l’article L.262-46 du CASF dispose que :« Tout paiement indu de revenu de solidarité active est récupéré par l’organisme chargé du service de celui-ci ainsi que, dans les conditions définies au présent article, par les collectivités débitrices du revenu de solidarité active. »La Commission considère que la finalité poursuivie en l’espèce est déterminée, explicite et légitime.
Sur les données traitées
Les données enregistrées dans le traitement de données à caractère personnel que le Conseil général du Calvados envisage de mettre en œuvre sont :
Le nom et prénom de l’allocataire ;
Le numéro d’allocataire (n° CAF) ;
La date de dépôt de plainte au parquet ;
Les suites du dossier (classement sans suite, condamnations).
La Commission relève que le NIR n’est pas utilisé pour ce traitement. 
La Commission considère, par conséquent, que le Conseil général du Calvados est légalement fondé à détenir ces données dans un traitement de données à caractère personnel ayant pour finalité d’assurer la mise en œuvre des poursuites résultant des contrôles relatifs à la lutte contre la fraude au RMI/RSA.
Sur les destinataires
Les destinataires des données sont les agents spécifiquement habilités, du fait de leurs fonctions, au sein de la direction des affaires juridiques et de la direction de l’insertion et du logement (DIL) du Conseil général du Calvados ; Les données seront communiquées aux autorités compétentes dans le cadre de la procédure pénale.Cette liste de destinataires n’appelle aucune observation de la part de la Commission. 
Sur l’information et le droit d’accès
Les bénéficiaires du RSA sont informés de la réalisation de contrôles qui peuvent faire l’objet de poursuites lors de l’ouverture de leur dossier d’allocataire, notamment au travers de mentions apposées sur les formulaires et les récépissés de demandes de RSA. Par ailleurs, le Conseil général du Calvados a prévu d’informer les personnes concernées par l’envoi d’un courrier postal personnalisé.Enfin, la Commission prend acte que les personnes concernées seront informées de leur droit d’accès et de rectification qui s’exerce auprès du correspondant « Informatique et Libertés » du Conseil général du Calvados.La Commission considère ainsi que les mesures prévues au titre de l’information des personnes concernées sont satisfaisantes.
Sur les mesures de sécurité
Le Conseil général du Calvados prend toutes précautions utiles pour préserver la sécurité des données et empêcher que des tiers y aient accès.Les mesures de sécurité mises en place n’appellent pas de remarque particulière de la Commission.
Sur les autres caractéristiques du traitement
Les données traitées seront conservées jusqu’à l’aboutissement de la procédure contentieuse, ce qui n’appelle aucune observation de la Commission.
Autorise, conformément à la présente délibération, le Conseil général du Calvados à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1635617)
La Commission nationale de l’informatique et des libertés ; 
Saisie par le Centre Hospitalier de Roanne d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la prise en charge coordonnée et pluridisciplinaire de patients hospitalisés à domicile dans le bassin roannais ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L.6321-1, L.1110-4 et L.1111-8;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire et après avoir entendu les observations de  M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le Centre Hospitalier de Roanne
Sur la finalité
- Permettre, par la mise en place d’un dossier médical partagé une mise en commun sécurisée d’informations médicales entre les acteurs médicaux, para-médicaux et sociaux qui prennent en charge les patients hospitalisés à domicile.- Améliorer la qualité de la prise en charge globale de ces patients en assurant la coordination et la continuité des soins entre tous les intervenants auprès d’elles, pour une période limitée mais révisable en fonction de l'évolution de leur état de santé.- Etablir des statistiques à partir de données préalablement anonymisées afin de produire des indicateurs d’activité et épidémiologiques. La Commission rappelle qu’il conviendra, le cas échéant, de se conformer aux dispositions des chapitres IX ou X de la loi du 6 janvier 1978 modifiée.La Commission considère les finalités poursuivies comme déterminées, légitimes et explicites.Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.
Sur les données traitées
- Concernant les patients : données d’identification (nom, prénom, sexe, date et lieu de naissance) ; couverture sociale (numéro de sécurité sociale uniquement à des fins de facturation auprès des organismes d’assurance maladie, mutuelle) ; situation familiale; coordonnées du patient et caractéristiques du logement; noms et coordonnées des proches pouvant être contactés et de la personne de confiance; données médicales et médico-sociales nécessaires à la prise en charge : état général du patient, antécédents médicaux, examens cliniques, douleurs, traitement en cours, habitudes de vie et comportement, visites effectuées, matériel à prévoir.- Coordonnées des professionnels de santé ou du secteur médico-social composant l’équipe chargée du suivi du patient : nom, prénom, coordonnées professionnelles et spécialité.La Commission considère que ces données sont pertinentes au regard des finalités poursuivies.
Sur les destinataires
- Les acteurs médicaux, paramédicaux et sociaux dûment habilités composant l’équipe pluri-disciplinaire intervenant dans la prise en charge des patients (professionnels de santé, auxiliaires de vie, aides à domicile libéraux, institutionnels publics et privés, services de soins infirmiers à domicile (SIAD), services sociaux) dans la limite de leurs attributions respectives et la stricte mesure nécessaire à la prise en charge.- Le médecin traitant coordonnant l’intervention des différents acteurs de l’équipe soignante - L’équipe de coordination sous la responsabilité du médecin coordinateur- Le personnel administratif hospitalier, pour les informations nécessaires à la facturation.
Sur l’information et le droit d’accès
- La décision d’admission dans un service d’hospitalisation à domicile nécessite l’accord du médecin traitant et celui du patient et/ou celui de ses représentants légaux.A cet effet, ces derniers sont informés des modalités de mise en œuvre du dossier médical partagé ainsi que des droits qui leur sont reconnus, par la remise d’un document d’information et d’un formulaire de recueil du consentement à la prise en charge dans le cadre du réseau.- Le patient a la possibilité de quitter le réseau à tout moment sans conséquence sur la qualité des soins qui lui sont dispensés.- Le patient peut exercer son droit d’accès au dossier et à la liste des personnes qui y ont eu accès auprès de la direction du CH de Roanne selon des modalités qui devront lui être clairement précisées dans la notice d’information.La Commission estime que ces modalités d’information et d’exercice des droits n’appellent pas d’observation.
Sur les mesures de sécurité
- Le système d’information du réseau est accessible via internet et hébergé par une société prestataire qui devra satisfaire aux conditions d’agrément telles que définies en application de l’article L. 1111-8 du Code de la santé publique.- Le contrôle des accès aux dossiers des patients se fait par une carte de professionnel de santé ou un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS et par un identifiant associé à un mot de passe. La Commission rappelle que l’authentification des professionnels de santé par login/mot de passe n’était admise qu’à titre provisoire pendant un délai maximum de trois ans à compter de la publication du décret du 15 mai 2007 relatif à la confidentialité des informations médicales. Ce texte impose désormais une authentification forte des professionnels de santé par l’utilisation d’une carte de professionnel de santé (CPS) ou un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS pour toute transmission ou tout accès aux données de santé. La Commission souhaite que le responsable de traitement se conforme à ces exigences. - Les habilitations d’accès au système d’information sont définies en fonction des attributions des intervenants. - Les accès à l’application font l’objet d’une journalisation.- L’application met en œuvre des procédés de chiffrement du transport des données.- Une action de sensibilisation des utilisateurs à la politique de sécurité est mise en place.
Sur les autres caractéristiques du traitement
- Durée de conservation des données : jusqu’au terme de la prise en charge du patient. A l’issue de cette période, les données devront être archivées conformément à la réglementation en vigueur et pourront être conservées de façon anonymisée à des fins statistiques.
Autorise, conformément à la présente délibération, le Centre Hospitalier de Roanne à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
Délibération n° 2013-144 du 30 mai 2013 autorisant la société ERDF à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des pertes d’électricité 
(Demande d’autorisation n° 1630704) 
La Commission nationale de l’informatique et des libertés, 
Saisie par la société ERDF d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des pertes d’électricité ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de procédure pénale, notamment ses articles 29 et 29-1 ;
Vu le code pénal, notamment ses articles 311-2, 322-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9-1° et 25-I°3 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Jean-François CARREZ, commissaire en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :
Sur le responsable du traitement
Le responsable de traitement est la société Electricité Réseau Distribution France (ERDF), qui, par délégation de service public, gère le réseau public d’électricité d’une grande partie du territoire français. 
Sur la finalité
La société ERDF souhaite mettre en œuvre l’application PETRA, qui a pour finalité l’analyse et la gestion des pertes d’électricité. 
Par conséquence, ce traitement doit permettre à ERDF d’assurer : 
la gestion des dysfonctionnements des appareils de mesure de consommation d’électricité ;
la gestion des infractions constatées par des gardes particuliers assermentés sur le réseau de distribution d’électricité d’ERDF (soustraction frauduleuse d’énergie au préjudice d’autrui, destruction, dégradation et détérioration de biens appartenant à autrui) ;
le recouvrement amiable auprès des utilisateurs du réseau de distribution d’électricité sans fournisseur.
La Commission estime que la finalité poursuivie est déterminée, légitime et explicite. 
Aux termes de l’article 9-1° de la loi du 6 janvier 1978 modifiée, peuvent mettre en œuvre des traitements de données relatives aux infractions, condamnations et mesures de sûreté « les juridictions, les autorités publiques et les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales ».
Dans ce contexte, la Commission considère qu’il y a lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté.
Sur les données traitées
S’agissant des utilisateurs du réseau de distribution d’électricité, sont collectées les données d’identification, les données relatives à la situation du compteur, les données relatives aux anomalies constatées (dont les infractions), ainsi que les données contractuelles (dont la puissance souscrite et le tarif).S’agissant des gardes assermentés d’ERDF, sont collectées les données d’identification, les données relatives à la vie professionnelle et à l’assermentation (tribunaux devant lesquels les agents ont prêté serment, date de l’audience, date de l’arrêté de la préfecture ayant nommé l’agent, date de fin de l’assermentation).S’agissant des salariés habilités à accéder à l’application, sont collectées les données d’identification, les données relatives à la vie professionnelle (fonctions et territoires d’action) et les données de connexion.La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie. 
Sur les destinataires
Les destinataires des données sont les personnes habilitées suivantes : 
les agents assermentés d’ERDF, ainsi que leurs supérieurs hiérarchiques ;
les gestionnaires d’ERDF ayant en charge la gestion des dysfonctionnements et des fraudes, ainsi que leurs supérieurs hiérarchiques ;
les agents des fonctions centrales en charge de l'activité "Pertes Non Techniques" (PNT) ;
les agents de la Direction des Systèmes d’Information d’ERDF pour les seules données de connexion.
En cas d’infraction commise par un client, une procédure de recouvrement amiable est initiée et le fournisseur d’électricité est alors également destinataire des données, à l’exception de la copie du procès-verbal. Ce procès-verbal est en revanche envoyé au Procureur de la République. 
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès 
Les utilisateurs du réseau de distribution d’électricité sont informés, dans les conditions prévues à l’article 32 de la loi du 6 janvier 1978 modifiée, par l’envoi d’un courrier.Les agents d’ERDF sont informés par un message dans l’application PETRA.Les droits d’accès et de rectification s’exercent auprès du service SNUR de la société ERDF, tour Winterthur, 102, terrasse Boieldieu – 92085 PARIS LA DEFENSE Cedex. 
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes. 
Sur les mesures de sécurité
Le responsable de traitement a mis en place une politique de mot de passe qui exige que ceux-ci aient une longueur minimale de 8 caractères, et qu’ils contiennent au moins un chiffre, une minuscule et un caractère spécial.Des profils d'habilitation sont prévus afin de gérer les accès aux données autant que de besoin.Des sauvegardes journalières sont réalisées et les interventions de maintenance font l'objet d'une traçabilité.Une journalisation des opérations de consultation, création et modification du traitement est réalisée. Ces journaux sont conservés pendant 6 mois.L'accès aux locaux est restreint au moyen de portes verrouillées contrôlées par un moyen d'authentification personnel.Tous les échanges de données ont lieu sur un réseau privé géré par le déclarant, ce qui garantit la sécurité des données ainsi échangées.Les autres mesures de sécurité mises en place n’appellent pas d’observations de la part de la Commission.
Sur les autres caractéristiques du traitement
Les données des utilisateurs du réseau de distribution d’électricité sont conservées pendant 3 ans en base active et deux ans supplémentaires en base archives. Les données contenues dans des dossiers relatifs à des infractions sont, quant à elles, conservées pour une durée maximale de 3 ans à compter de la date du PV de l’agent assermenté (ce qui correspond à la prescription en matière délictuelle) ou jusqu’à la fin de la procédure judiciaire, en cas d’engagement des poursuites.Les données relatives aux agents assermentés sont conservées jusqu’à la clôture des dossiers concernés.Les données des salariés habilités à accéder à l’application sont conservées le temps de l’habilitation. Les données de connexion de ces salariés sont, quant à elles, conservées pour une durée de six mois. La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement. 
Autorise, conformément à la présente délibération, Electricité Réseau Distribution France (ERDF) à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1630796)
La Commission nationale de l’informatique et des libertés ; 
Saisie par MAQUET-SAS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le recouvrement des contraventions routières ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la route ;
Vu le code de procédure pénale
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2006-188 du 6 juillet 2006 portant autorisation unique de mise en œuvre de traitements automatisés de données à caractère personnel relatifs à la gestion du contentieux lié au recouvrement des contraventions au code de la route et à l’identification des conducteurs dans le cadre du système de contrôle automatisé des infractions au code de la route (AU-010) ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-François CARREZ, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le responsable de traitement est la société MAQUET-SAS, qui loue et sous-traite la gestion de sa flotte automobile à la société DIRECT FLEET.
Sur la finalité
Le traitement a pour objet la gestion et l’imputation des infractions routières commises par les employés de la société MAQUET-SAS avec les véhicules qui sont mis à leur disposition. En tant que titulaire des certificats d’immatriculation des véhicules, la société DIRECT FLEET reçoit les avis de contravention et les transmet à la société MAQUET-SAS. Cette dernière envoie ensuite les avis de contravention aux employés concernés pour règlement.La Commission estime que la finalité poursuivie est déterminée, légitime et explicite. Par ailleurs, la Commission considère qu’il y a lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sureté.
Sur les données traitées
Les catégories de données traitées sont : 
les données d’identification de l’employé conducteur ;
les données relatives à sa vie professionnelle ;
les données relatives aux infractions routières commises avec le véhicule mis à disposition de l’employé.
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie. 
Sur les destinataires
Sont destinataires des données : 
le responsable du contrat MAQUET-SAS/DIRECT FLEET travaillant au service Achat et effectuant l’interface avec la société DIRECT FLEET;
le chargé de dossier MAQUET-SAS au sein de la société DIRECT FLEET.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention sur le formulaire de recueil des données. Les droits d’accès et de rectification s’exercent auprès du service IT de la société MAQUET-SAS, parc de Limère, avenue de la Pomme de pin, 45160 ARDON. La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
Au titre des mesures de sécurité, est notamment mise en place une traçabilité des consultations et modifications des données.Les autres mesures de sécurité mises en place n’appellent pas d’observation de la part de la Commission.
Sur les autres caractéristiques du traitement