AgentPublic/cnil huggingface dataset:
(Saisine n° 12029337) 
La Commission nationale de l’informatique et des libertés, 
Saisie par la société FGConseil.fr, le 1er octobre 2012, d’une demande de délivrance de label concernant sa formation intitulée « Le cadre légal du traitement de données à caractère personnel et de la Communication Directe » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2006-147 du 23 mai 2006 modifiée fixant le règlement intérieur de la CNIL, notamment ses articles 53 et suivants ;
Vu la délibération n° 2011-315 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de formation tendant à la protection des personnes à l’égard du traitement des données à caractère personnel 
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-François Carrez, commissaire, président du Comité de labellisation et après avoir entendu les observations de  M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La formation, objet de la demande, se compose comme suit : 
- Les principes fondateurs des lois Informatique et Libertés et LCEN
- La CNIL, son fonctionnement, ses missions, moyens, actions et pouvoirs
- Le CIL, statut, rôles, missions et obligations
- Les formalités préalables : données traités, finalités, normes simplifiées, obligation de mises à jour, risques encourus
- L’encadrement de la qualité, sécurité, droit d’accès, transferts, destinataires
- Techniques de communication directe, illustrations et cas concrets, échanges avec les apprenants
La demande de label présentée par la société FGConseil.fr inclut les modules complémentaires suivants : 
la présentation de la CNIL et de ses missions ;
présentation des formalités préalables à la mise en œuvre des traitements ;
la présentation de l’encadrement des transferts de données hors de l’Union européenne ;
la présentation du rôle du correspondant à la protection des données à caractère personnel ;
la présentation du pouvoir de contrôle a posteriori de la CNIL ;
la présentation du pouvoir de sanction de la CNIL ;
la présentation des dispositions pénales associées au non-respect de la loi Informatique et libertés.
Conformément à l’article 53-1 du règlement intérieur de la CNIL, la demande de label a fait l’objet d’une évaluation par le Comité de labellisation.
La Commission reconnaît que la formation présentée est conforme au référentiel auquel elle se rapporte.
Décide 
De la délivrance du label CNIL « formation » pour la formation intitulée « Le cadre légal du traitement de données à caractère personnel et de la Communication Directe » de la société FGConseil.fr. 
Ce label est délivré pour une durée de trois ans conformément à l’article 53-11 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité aux termes de la première année.
La présente délibération sera publiée au Journal officiel de la République française.
La Présidente
Isabelle FALQUE-PIERROTIN
(Saisine n° 13006919) 
La Commission nationale de l’informatique et des libertés, 
Saisie par le cabinet Feral-Schuhl / Sainte-Marie, le 26 février 2013, d’une demande de délivrance de label concernant sa procédure d’audit intitulée « Procédure d’audit CNIL » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2006-147 du 23 mai 2006 modifiée fixant le règlement intérieur de la CNIL, notamment ses articles 53 et suivants ;
Vu la délibération n° 2011-316 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de procédure d’audit tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition M. Bernard Peyrat, commissaire, membre du Comité de labellisation et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
Conformément à l’article 53-1 du règlement intérieur de la CNIL, la demande de label a fait l’objet d’une évaluation par le Comité de labellisation.
La Commission reconnaît que l’audit de traitements présenté est conforme au référentiel auquel il se rapporte.
Décide 
De la délivrance du label CNIL « audit de traitements » pour la procédure d’audit intitulée « Procédure d’audit CNIL» du cabinet Feral-Schuhl / Sainte-Marie. 
Ce label est délivré pour une durée de trois ans conformément à l’article 53-11 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité aux termes de la première année.
La présente délibération sera publiée au Journal officiel de la République française.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l’informatique et des libertés, 
Saisie par la banque BNP PARIBAS PERSONNEL FINANCE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel visant à évaluer le risque de crédit au moyen d’un système de notation interne pour définir le niveau de fonds propres réglementaires et les opérations de gestion auprès des emprunteurs ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2006/49/CE du Parlement européen et du Conseil du 14 juin 2006 sur l’adéquation des fonds propres des entreprises d’investissement et des établissements de crédit ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du ministre de l’économie, des finances et de l’industrie du 20 février 2007 relatif aux exigences de fonds propres applicables aux établissements de crédit et aux entreprises d’investissement ;
Vu les règlements du Comité de la réglementation bancaire et financière (CRBF) n° 90-02 du 23 février 1990 modifié relatif aux fonds propres et n° 97-02 du 21 février 1997 modifié relatif au contrôle interne des établissements de crédit et des entreprises d’investissement ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Paul AMOUDRY, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
La banque BNP PARIBAS PERSONAL FIANCE, ci-dessous dénommée BNP PARIBAS PF, a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation d’un traitement de données à caractère personnel visant à évaluer le risque de crédit au moyen d’un système de notation interne pour définir le niveau de fonds propres réglementaires et les opérations de gestion auprès des emprunteurs.
Sur la finalité
Le traitement automatisé mis en œuvre par la banque BNP PARIBAS PF a, en premier lieu, pour finalité la définition du niveau de fonds propres réglementaires correspondant au niveau d’exposition. Il permet ainsi : 
d’évaluer pour chaque client (personne physique) le risque de crédit qu’il présente sous la forme d’une note et d’affecter chaque exposition ou chaque client ou exposition à une classe de risque homogène ;
d’élaborer, de vérifier périodiquement et d’actualiser les modèles statistiques utilisés pour mesurer le risque de crédit des personnes physiques dans le cadre de l’application, à la clientèle de détail et de professionnels, du dispositif de notation interne des risques de crédit.
le calcul des fonds propres réglementaires et le cas échéant le calcul des provisions,
l’aide à la décision en matière d’octroi de crédit et d’augmentation de découvert,
l’optimisation de la gestion de la relation client (grilles tarifaires différenciées en fonction des notes des clients au regard des risques statistiques de défaillance, des offres commerciales rationalisées).
Il permet, en second lieu, de définir et de mettre en œuvre les opérations de gestion et d’octroi des dossiers de prêts en fonction du niveau de risque de défaillance associé au client.
Les personnes concernées par le traitement sont exclusivement des emprunteurs, clients de la banque BNP PARIBAS PF, qui représentent un risque de crédit désigné ci-après sous le terme « débiteurs ».
Le système de notation interne des risques de crédit repose sur une évaluation statistique de la probabilité de défaut des débiteurs et du montant des pertes en résultant. Il doit tenir compte des caractéristiques pertinentes du risque attachées à l’emprunteur et à la transaction, dont l’établissement a connaissance.
Les notes d’évaluation du risque, les probabilités de défaut (PD), le taux de défaut et les pertes en cas de défaut (LGD) sont mises à jour trimestriellement et exclusivement utilisés pour :
d’évaluer pour chaque client (personne physique) le risque de crédit qu’il présente sous la forme d’une note et d’affecter chaque exposition ou chaque client ou exposition à une classe de risque homogène ;
d’élaborer, de vérifier périodiquement et d’actualiser les modèles statistiques utilisés pour mesurer le risque de crédit des personnes physiques dans le cadre de l’application, à la clientèle de détail et de professionnels, du dispositif de notation interne des risques de crédit.
le calcul des fonds propres réglementaires et le cas échéant le calcul des provisions,
l’aide à la décision en matière d’octroi de crédit et d’augmentation de découvert,
l’optimisation de la gestion de la relation client (grilles tarifaires différenciées en fonction des notes des clients au regard des risques statistiques de défaillance, des offres commerciales rationalisées).
La Commission prend acte que, conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, une décision défavorable en matière d’octroi de crédit ne peut être prise après consultation du résultat du score sans que le débiteur ait été informé de son droit à présenter des observations sur sa situation bancaire et financière.
La Commission considère que la finalité poursuivie est déterminée, explicite et légitime.
Chaque client ayant souscrit un crédit auprès de la banque BNP PARIBAS PF fait l’objet d’une note dite « cotation Bâle II ». Cette cotation est susceptible d’être prise en compte en tant qu’élément permettant d’apprécier la solvabilité de l’emprunteur, notamment en cas de nouvelle demande de crédit ou d’autorisation de découvert. L’existence d’une cotation défavorable peut, dans certains cas, conduire à une décision de refus d’octroi de crédit.
Ce traitement peut néanmoins, du fait de sa nature et de sa finalité, conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition législative ou réglementaire prévoyant une telle exclusion. Dès lors, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.
Sur les données traitées
Les catégories de données prises en compte pour l’élaboration des notes d’évaluation du risque concernent :
la situation personnelle du débiteur : code titulaire (un ou plusieurs signataires), âge, situation de famille, situation dans le logement (locataire, propriétaire ou hébergement à titre gratuit), catégorie socioprofessionnelle et ancienneté dans l’emploi ;
les autres membres de la famille : âge, catégorie socioprofessionnelle et ancienneté dans l’emploi du conjoint ;
la situation bancaire des débiteurs : ancienneté bancaire, ancienneté du client (date du dossier le plus ancien), nombre de crédits renouvelables actifs (lignes de crédit assorties de cartes de crédit), nombre de crédits classiques (crédits amortissables), utilisation de crédit renouvelable (oui/non), montant de l’encours du client, nombre de retards de paiement, situation de surendettement (oui/non) ;
les caractéristiques des opérations de crédit : type de produit (crédits renouvelables ou crédits classiques), pôle d’activité (canal de distribution : par les apporteurs d’affaires ou directement par le particulier), ancienneté du dossier, durée du crédit, montant de l’échéance contractuelle, montant du découvert à l’origine, montant du découvert maximum autorisé, capital restant dû, total dû pour les crédits renouvelables actifs, classiques et pour l’ensemble des crédits, ratio total dû / découvert maximum autorisé pour les crédits renouvelables et classiques, nombre de premiers impayés dans les 24 derniers mois, nombre total de passages au recouvrement (depuis l’origine et depuis les 12 derniers mois), phase la plus critique du dossier de recouvrement dans les 24 derniers mois (il existe 4 phases de recouvrement, la phase 1 étant celle qui permet de s’assurer qu’il s’agit d’un oubli ou retard de paiement, jusqu’à la phase 4 qui nécessite un passage en contentieux), historique des phases de recouvrement du dossier au cours des 24 derniers mois, rachat de créance (oui / non).
Ces données peuvent faire l’objet de croisements. Elles sont choisies et pondérées en fonction du lien de corrélation qu’elles présentent avec le risque de crédit attaché au client en général ou à chaque opération de crédit en particulier.
La Commission observe qu’aucune variable ne reçoit une pondération telle qu’elle puisse à elle seule avoir un effet d’exclusion absolue ou disqualifiant. 
Elle note également que l’affectation d’une cotation à un débiteur peut conduire la banque BNP PARIBAS à prendre en compte des informations relatives à d’autres clients personnes physiques (des informations relatives aux membres de la famille ou au conjoint). Toutefois, il s’agit d’informations déclarées par le client au moment de sa demande de prêt et non d’informations que la banque détiendrait déjà dans son système d’informations au titre de demandes de crédit effectuées antérieurement.
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente, adéquate et non excessive, conformément aux dispositions de l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les notes sont réévaluées une fois par mois. Seuls ont accès aux notes en cours :- les collaborateurs de la fonction risque chargés d’élaborer les modèles de notation interne, de les implémenter et de les actualiser ; - les collaborateurs de la fonction finance dans le cadre du rapprochement comptabilité / risque (désigné RCR, il s’agit de s’assurer de la convergence des données issues des traitements comptables et des données relatives à l’encours) ;  - les collaborateurs du contrôle interne chargés de vérifier la conformité du dispositif de notation interne au dispositif « Bâle II » ;- les managers des Centres de Relation Clients ;- les collaborateurs en charge du paramétrage des campagnes marketing de masse ou des diverses opérations de gestion élaborées pour les différents types de clientèle. La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, chaque client est informé lors de la collecte des données, notamment au moment de l’entrée en relation contractuelle puis régulièrement via la clause d’information des personnes qui figure sur le site internet ou sur l’espace client, :
de la mise en place d’un système de notation interne des risques de crédit,
des droits qui lui sont reconnus par la loi susvisée, notamment le droit d’obtenir une explication sur les raisons du refus de crédit.
Cette information est indiquée par une mention qui figure sur le formulaire, sur les contrats de crédit ainsi que sur le site internet de BNP PARIBAS PF.
Les droits d’accès et de rectification s’exercent auprès du Service consommateurs, 20 avenue Georges Pompidou – 92595 Levallois Perret CEDEX ou à l’adresse suivante Cetelem 95908 Cergy Pontoise Cedex.
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Seuls les personnels en charge du contrôle interne ont la possibilité d’identifier les personnes concernées dans le cadre de l’exercice de leurs missions d’audit.Les actions effectuées par ces personnes sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.Les autres mesures de sécurité, tant physiques que logiques, n’appellent pas d’observation de la Commission
Sur les autres caractéristiques du traitement
La cotation est conservée de manière non nominative dans le cadre du calcul réglementaire des fonds propres. Les cotations successives et les données permettant de les élaborer sont conservées pendant une durée de 24 mois après la fin du contrat sous une forme nominative dans le cadre de l’application opérationnelle afin de permettre l’aide à la décision en matière d’octroi de crédit et d’augmentation de découvert, ainsi que l’optimisation de la gestion de la relation client. Afin de permettre un calcul consolidé au niveau du groupe BNP PARIBAS, la BNP PARIBAS PERSONAL FINANCE transmet au groupe les cotations et des encours de crédits. Cette transmission est réalisée sous la forme de flux automatisés non nominatifs issus des outils utilisés et mis à disposition de Personal Finance par BNP Paribas. Les destinataires des informations au niveau du groupe BNP PARIBAS ne sont donc pas en mesure d’identifier le client concerné. La Commission observe qu’il n’y a pas de mutualisation de données à caractère personnel entre la banque la BNP PARIBAS PERSONAL FINANCE et le Groupe BNP PARIBAS.Ces autres caractéristiques du traitement n’appellent pas d’observation particulière de la Commission.
Autorise, conformément à la présente délibération, la banque BNP PARIBAS PERSONAL FINANCE, à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n°1546897)
La Commission nationale de l’informatique et des libertés ;
Saisie par la Caisse d’épargne d’Ile de France d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l’identité ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L. 561-5 et R. 561-5;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 25-I-3° et 25-I-4°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Paul AMOUDRY, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
La Caisse d’épargne d’Ile de France, ci-dessous dénommée la Caisse d’épargne IDF.
Sur la finalité
La finalité du traitement est de lutter contre la fraude à l’identité. Il vise à détecter les documents d’identité présentant des anomalies susceptibles de révéler une fraude à l’identité (faux documents ou documents falsifiés) provenant, d’une part, des personnes souhaitant entrer en relation avec la Caisse d’épargne IDF et, d’autre part, des personnes déjà clientes, au cours de la relation d’affaires (ex : mise à jour du dossier client, demande de crédit, retrait en espèces inter-bureau supérieur à 300€, opération bancaire). L’objectif du traitement étant de s’assurer de l’exacte identité du client pour répondre aux obligations de connaissance du client imposées par la règlementation bancaire.La Commission estime que cette finalité est déterminée, explicite et légitime.Lorsque l’anomalie sur le document d’identité est constatée par le Département sécurité financière, le dossier sera traité conformément à la procédure de gestion et suivi des cas de fraudes externes, à savoir, soit la mise en place de mesures complémentaires, soit la levée des mesures conservatoires si après étude l’anomalie n’est pas confirmée.,. A ce titre, différentes mesures complémentaires peuvent être envisagées : le blocage de la carte bancaire du client avec capture de la carte lors de son utilisation et la mention « opposition fraude suspectée » en cas de confirmation de l’anomalie à l’occasion de l’analyse complémentaire effectuée par le département sécurité financière, ou encore, la fin de la
relation commerciale avec le client.Ce traitement peut ainsi, du fait de sa nature et de sa finalité, conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat en l’absence de toutes dispositions légales ou réglementaires prévoyant une telle exclusion. Dès lors, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée en 2004 et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.En outre, la banque peut également décider de déposer plainte à l’encontre du client ou « contre X ». Dès lors, le traitement porte sur des données relatives aux infractions. A cet égard, l’article 9 de la loi du 6 janvier 1978 modifiée liste les personnes pouvant mettre en œuvre un traitement de données relatives aux infractions, condamnations et mesures de sûreté. Conformément à la décision du Conseil Constitutionnel du 29 juillet 2004, seules les victimes d’infractions susceptibles de faire valoir leurs droits devant une juridiction peuvent procéder à la collecte des données relatives à ces infractions.Dans ce contexte, la Commission considère qu’il y a également lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté.