AgentPublic/cnil huggingface dataset:
Le droit d'accès défini au chapitre VII de la loi s'exercera auprès de Aeromecanic - M. Laurent Palumbo ou M. Laurent Palumbo - RD48 route de la Plage - BP 15 - 6 13724 Marignanne Cedex Les catégories de données à caractère personnel enregistrées seront l'identité (nom, prénom de l'employé), 1e gabarit biométrique du contour de leur main, les données relatives au déplacement des personnes (les entrées et les sorties).   Le destinataire des informations sera, dans la limite de ses attributions et pour l'exercice de la finalité précitée, 1e Président de la société Aeromecanic.
   Autorise, dans ces conditions, la société Aeromecanic à mettre en oeuvre 1e traitement de données à caractère personnel présenté.   Le président, Alex TURK.
Le bureau de la Commission nationale de l'informatique et des libertés, Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-8° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Vu la délibération n°2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés ;   Vu la demande d'autorisation, présentée par la société Plastic Omnium, d'un traitement automatisé de données à caractère personnel reposant sur l'utilisation d'un dispositif biométrique de reconnaissance du contour de la main et ayant pour finalité le contrôle de l'accès aux locaux ;   Après avoir entendu Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :   Le 3 mai 2005, la société Plastic Omnium a adressé à la Commission nationale de l'informatique et des libertés une déclaration relative à un traitement de données à caractère personnel reposant sur l'utilisation d'un dispositif biométrique de reconnaissance du contour de la main et ayant pour finalité le contrôle d'accès à son établissement.   La Commission considère qu'il y a lieu de faire application des dispositions de l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.   La société Plastic Omnium intervient dans des domaines de haute technicité et dispose à ce titre, d'un centre de Recherche et de Développement. Afin de préserver la confidentialité de ses produits, la société Plastic Omnium indique qu'elle souhaite renforcer le contrôle de l'accès à son établissement par la mise en oeuvre d'un dispositif biométrique qui permettra de garantir un niveau de sécurité plus élevé que celui offert par un système de badge magnétique et d'éviter les contraintes liées à la gestion d'un badge.   Ce dispositif reposera sur la base du volontariat, seules les données biométriques des employés y ayant consenti feront l'objet d'un traitement dans le cadre du contrôle d'accès. Un système alternatif reposant sur un badge et servant au paiement des repas au restaurant d'entreprise ainsi qu'à la création de la liste des
présences en cas d'évacuation du site sera maintenu.   Outre le gabarit de la main, les données traitées seront l'identité des employés et l'horodatage de leurs passages.  Un historique des entrées et des sorties pourra être édité et sera conservé pendant quatre mois.   Aucune image ou photo de la main des employés ne sera conservée. Le contour de la main fait partie des données biométriques qui ne laissent pas de traces susceptibles d'être utilisées à des fins étrangères à la finalité recherchée par le responsable du traitement. En outre, seul le gabarit du contour de la main, résultat du traitement des mesures par un algorithme, sera enregistré dans la base de donnée centralisée où il sera associé au code d'authentification de la personne. Ces éléments sont de nature à prévenir toute utilisation détournée des données biométriques propres aux employés de la société Plastic Omnium.   Compte tenu des caractéristiques du dispositif présenté à la Commission et en l'état actuel des connaissances sur la technologie utilisée, la mise en oeuvre d'un traitement reposant que la reconnaissance de la géométrie de la main apparaît adaptée et proportionnée à la finalité assignée au dispositif.
Les droits d'accès et de rectification s'exerceront auprès la société Plastic Onnniunn - Service Facilities Maintenance (SFM) - Avenue du bois des Vergnes - 01150 Sainte Julie.   Les catégories de données à caractère personnel enregistrées seront l'identité (nom, prénom de l'employé), le gabarit biométrique du contour de leur main et l'horodatage des passages.   Les destinataires des informations seront, dans la limite de leurs attributions respectives et pour l'exercice de la finalité précitée, les personnes habilitées du Service Facilities Maintenance (SFM).
   Autorise, dans ces conditions, la société Plastic Omnium à mettre en oeuvre le traitement de données à caractère personnel présenté.   Le président, Alex TURK.
La commission nationale de l'informatique et des libertés,   Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-8° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Vu la déclaration présentée par le proviseur du lycée Jules FIL, d'un traitement automatisé de données à caractère personnel ayant pour finalité le contrôle de l'accès au restaurant scolaire par la reconnaissance du contour de la main ;   Après avoir entendu M. Francis Delattre, commissaire, en son rapport et Mme Pascale Compagnie, commissaire du Gouvernement en ses observations :
Formule les observations suivantes :   Le lycée Jules FIL, situé à Carcassonne, a saisi la CNIL d'une déclaration relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité le contrôle de l'accès des élèves et des personnels au restaurant scolaire par le recours à un dispositif biométrique reposant sur la reconnaissance du contour de la main.   La Commission considère qu'il y a lieu de faire application des dispositions prévues à l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.   Le système envisagé reposera d'une part, sur la mise en oeuvre d'un fichier de gestion recensant les élèves et les personnels fréquentant la cantine scolaire et d'autre part, sur un dispositif de contrôle d'accès.  Ce dernier sera composé d'une borne d'accès, située à l'entrée du restaurant, reliée à un lecteur biométrique, lequel contiendra une base de données comportant les gabarits biométriques et les codes d'accès.  L'enregistrement de l'image de la main de chaque personne sera effectué au début de l'année scolaire.   Le contour de la main fait partie des données qui ne laissent pas de traces susceptibles d'être utilisées à des fins étrangères à la finalité recherchée par le responsable du traitement.  Le lecteur biométrique utilisé sera accompagné d'un dispositif de nature à garantir la sécurité des données.   Le recours
à la technique de reconnaissance du contour de la main permettra de s'assurer que les données nécessaires au contrôle de l'accès ne sont ni perdues, ni échangées et que seules les personnes habilitées peuvent accéder au service.   Les personnes concernées qui ne seront pas désireuses d'utiliser la technologie biométrique ou qui n'en auraient pas la possibilité, pourront utiliser une carte à code-barre pour accéder au restaurant scolaire.   Compte tenu des caractéristiques du dispositif présenté à la Commission et en l'état actuel des connaissances sur la technologie utilisée, la mise en oeuvre d'un traitement reposant sur la reconnaissance de la géométrie de la main est adaptée et proportionnée à la finalité assignée au dispositif.
Les droits d'accès et de rectification s'exerceront auprès du service intendance du lycée.   Les catégories de données à caractère personnel enregistrées seront,   - s'agissant des élèves : les gabarits biométriques de la main associés à un code d'accès personnel, et les données de gestion utiles pour l'accès au restaurant, à savoir, l'identité de l'élève, la classe, le numéro d'ordre dans l'établissement, les coordonnées du responsable légal, un code horaire et un code tarif.   - s'agissant des personnels :  les gabarits biométriques de la main associés à un code d'accès personnel, l'identité, les codes horaire et tarif.   Le destinataire des informations sera uniquement l'intendant du lycée.   Autorise, dans ces conditions, le lycée Jules FIL à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité de contrôler l'accès au restaurant scolaire par la mise en oeuvre d'un dispositif de reconnaissance du contour de la main.   Le président Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la demande d'avis en date du 3 octobre 2005 du Garde des sceaux, ministre de la Justice ;   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;   Vu le code des postes et des communications électroniques ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel ;   Vu la loi n° 2001-1062 du 15 novembre 2001 relative à la sécurité quotidienne, et notamment son article 29 ;   Vu la loi n° 2003-239 du 18 mars 2003 pour la sécurité intérieure, et notamment son article 20 ;   Vu la loi n° 2004-669 du 9 juillet 2004 relative aux communications électroniques et aux services de communication audiovisuelle,   Vu le décret n° 2005-1309 du 20 octobre 2005 pris en application de la loi
n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Vu la délibération n° 2003-056 de la Commission nationale de l'informatique et des libertés en date du 9 décembre 2003 portant avis sur le projet de décret relatif à la conservation des données relatives à une communication par les opérateurs de télécommunications et portant modification du code des postes et télécommunications ;   Après avoir entendu M. Didier Gasse, commissaire, en son rapport et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations;
Emet l'avis suivant :   Le projet de décret soumis à l'avis de la Commission est pris en application de l'article L. 34-1 du code des postes et des communications électroniques (CPCE).   Cet article, en même temps qu'il prévoit le principe général d'effacement ou d'anonymisation de "toute donnée relative au trafic", distingue celles de ces données qui peuvent être conservées à des fins de facturation (à savoir, un an), celles qui peuvent être conservées à de fins de sécurité du réseau des opérateurs, et enfin celles qui doivent être conservées aux fins exclusives d'enquêtes judiciaires pendant une période maximale d'un an.  Les catégories de données dont les opérateurs peuvent ou doivent assurer la conservation ainsi que la durée de celle-ci doivent être précisées par un décret en Conseil d'Etat pris après avis de la CNIL.  La loi prévoit que les données conservées portent exclusivement sur l'identification des personnes utilisatrices des services fournis par les opérateurs, sur les caractéristiques techniques des communications assurées par ces derniers et sur la localisation des équipements terminaux.   La CNIL avait déjà été saisie d'un premier projet de décret sur lequel elle a rendu un avis en date du 9 décembre 2003.   La Commission observe que les modifications apportées au projet de décret sont importantes puisqu'elles concernent, au regard de la protection des données à caractère personnel, la détermination des catégories de données visées au II et III de
l'article L. 34-1 précité.   Observations générales,   En faisant obligation aux opérateurs de communications électroniques de conserver des données aux fins exclusives de faciliter l'activité des autorités judiciaires, le législateur a entendu déroger au principe de finalité.  Toutefois, la Commission relève que la loi prévoit que la conservation et le traitement de celles-ci s'effectuent dans le respect de la loi "informatique et libertés" et estime que le caractère dérogatoire et inédit du dispositif retenu commande une mise en oeuvre claire et précise de celui-ci.
Sur les catégories de données,   Les articles R. 9-1-1 et R. 9-1-2 du CPCE tels qu'issus du projet de décret visent notamment à déterminer les catégories de données qui, d'une part, doivent être conservées par les opérateurs de communications électroniques pour les besoins de la recherche, de la constatation et de la poursuite des infractions pénales et, d'autre part, les catégories de données qui peuvent être conservées pour les besoins de leurs opérations de facturation et de paiement ou pour la sécurité de leurs réseaux et installations.   En premier lieu, la Commission observe que les informations permettant d'identifier l'utilisateur ne constituent pas des données de trafic telles que définies par le projet d'article R. 9-1 du CPCE qui définit les données relatives au trafic comme "des informations rendues disponibles par les procédés de communication électronique, susceptibles d'être enregistrées par l'opérateur à l'occasion des communications électroniques dont il assure la transmission et qui sont pertinentes au regard des finalités poursuivies par la loi".   Dès lors, la Commission rappelle la position qu'elle avait exprimée à l'occasion de son précédent avis selon laquelle les données se rapportant à l'utilisateur, et non à ses communications, n'ont pas à figurer dans le projet de décret qui n'a vocation à traiter que de la conservation des données dites de trafic.   La Commission prend acte que le dispositif issu de l'article L.34-1 précité n'impose pas la
constitution de fichiers nominatifs des utilisateurs de services de communications électroniques lorsque cette identification n'est pas nécessaire à la fourniture du service.   En second lieu, la Commission relève que la nouvelle version du projet de décret se contente d'énumérer cinq catégories génériques de données, à la différence de sa précédente version qui indiquait les données concernées.   Cette rédaction ne permet pas aux opérateurs de mesurer précisément l'obligation qui leur est faite de conserver certaines données en dérogation au principe général d'effacement et d'anonymisation posé par la loi.  Cette incertitude juridique est d'autant plus préjudiciable que le non-respect de cette obligation est sanctionnée pénalement (article L. 39-3 du CPCE).  De plus, ce choix ne permet pas à la Commission de s'assurer que ces données sont conformes aux exigences du V de l'article L. 34-1 - à savoir l'interdiction que ces données portent sur le contenu des correspondances échangées ou des informations consultées sous quelque forme que ce soit - ni d'effectuer le contrôle de proportionnalité posé par l'article 6 de la loi du 6 janvier 1978 modifiée.   Prenant acte que le projet d'arrêté visé à l'article 3 du projet de décret n'a pas pour finalité de préciser les données visées au II et III de l'article L. 34-1 mais ne vise qu'à fixer les conditions tarifaires générales applicables aux réquisitions portant sur des données traitées par des opérateurs de communications
électroniques, la Commission estime que le décret devrait renvoyer à un arrêté pris après avis de la CNIL la détermination exacte des données précitées.
Sur les durées de conservation,   Le projet d'article R. 9-1-1 III prévoit que la durée de conservation des données conservées pour les besoins de la recherche, de la constatation et de la poursuite des infractions pénales est d'un an à compter du jour de l'enregistrement.   Dans son avis du 9 décembre 2003, la Commission avait estimé qu'une durée de conservation limitée à trois mois serait de nature à réduire les risques induits par un dispositif qui déroge aux règles applicables à la protection des données à caractère personnel, tout en permettant aux autorités judiciaires d'exercer leurs activités dans des conditions acceptables.   La Commission relève néanmoins que les nécessités des enquêtes concernant les infractions pénales les plus graves peuvent justifier un accès à des données de trafic remontant à une période supérieure à trois mois, notamment en ce qui concerne la téléphonie mobile.   Dès lors, la durée de conservation d'un an prévue par le projet d'article R. 9-1-1 III n'appelle pas d'opposition de la part de la Commission.   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-3° ;   Vu la demande d'autorisation présentée par la caisse primaire d'assurance maladie de Strasbourg tendant à la création d'un traitement de suivi des audiences.   Après avoir entendu M. Jean-Pierre de Longevialle, commissaire, en son rapport et Mme Pascale Compagnie, commissaire du gouvernement, en ses observations.
Formule les observations suivantes :   La caisse primaire d'assurance maladie de Strasbourg a saisi la CNIL d'une demande d'autorisation relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité le suivi des audiences.   La Commission considère qu'il y a lieu de faire application des dispositions de l'article 25-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements portant sur des données relatives aux infractions, condamnations ou mesures de sûreté, sauf ceux qui sont mis en oeuvre par des auxiliaires de justice pour les besoins de leurs missions de défense des personnes concernées.   Ce traitement permettra à la caisse de suivre les audiences relatives aux affaires contentieuses en phase juridictionnelle où l'intervention de la caisse est requise contentieux général, recours contre tiers, recouvrement de créance ....
Le droit d'accès défini au chapitre V de la loi du 6 janvier 1978 s'exercera auprès du service du service contentieux de la caisse.   Les catégories de données à caractère personnel enregistrées seront relatives à l'identité de l'assuré, du professionnel de santé ou de l'employeur, de la victime ou du tiers débiteur concerné, au numéro de sécurité sociale de l'assuré, au numéro de dossier et aux dates et lieux de l'audience.   Les destinataires des informations seront les agents du service contentieux de la caisse intervenant dans le traitement des affaires concernées.  Les personnes habilitées accèderont à l'application par une carte à puce.   Autorise, dans ces conditions, la caisse primaire d'assurance maladie de Strasbourg à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité le suivi des audiences.    Le Président Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment ses articles 8-IV et 25 ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Vu la demande d'autorisation, présentée par la direction de la recherche, des études, de l'évaluation et des statistiques du ministère de l'emploi, de la cohésion sociale et du ministère de la santé et des solidarités d'un traitement automatisé de données à caractère personnel ayant pour finalité de gérer, à des fins statistiques et épidémiologiques, les informations issues des trois certificats de santé rédigés dans les huit jours, le neuvième et le vingt-quatrième mois suivant la naissance des enfants.   Après avoir entendu M. Jean-Pierre de
Longevialle, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations.