AgentPublic/cnil huggingface dataset:
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société AMERICAN EXPRESS CARTE FRANCE à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
AMERICAN EXPRESS CARTE FRANCE
Finalité du transfert
Hébergement de l’application dédiée à la mesure de la performance.
Catégories de données transférées
Données d’identification (nom, prénom, sexe)Vie professionnelle (fonction, informations relatives à la performance)
Identité(s) du(des) destinataire(s)
Les personnes habilitées (management) de la société Américan Express Travel Related Servicies Co. Inc.200 Vesey Street, New York, 10285 USA
Pays d’établissement du(des) destinataire(s)
Etats-Unis
Service auprès duquel s’exerce le droit d’accès des personnes concernées
Américan Express France – Service Crédit – nouveaux comptes et autorisations4 rue Louis Blériot92500 Rueil Malmaison
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la Décision n° 2004/915/CE de la Commission européenne du 27 décembre 2004 concernant les transferts de responsable de traitement à responsable de traitement.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société HONEYWELL SECURITY FRANCE S.A. à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
HONEYWELL SECURITY FRANCE S.A.
Finalité du transfert
Gestion de la paieGestion des ressources humaines Gestion des notes de frais et des dépenses professionnelles et les remboursements
Catégories de données transférées
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la société Grand Large Distribution Intermarché d’un traitement de données à caractère personnel reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle de l’accès aux locaux.
Formule les observations suivantes :
La société Grand Large Distribution Intermarché souhaite utiliser un dispositif reposant sur la reconnaissance du réseau veineux des doigts de la main afin de sécuriser l’accès à la salle des coffres.
Le dispositif reposera sur un boîtier (terminal de lecture-comparaison) situé au point d’accès à la salle des coffres. Il s’agit d’un boîtier autonome, qui ne sera pas relié à un réseau informatique. L’enrôlement des personnes s’effectuera à partir de ce boîtier qui est équipé d’un lecteur qui permet également l’enregistrement des gabarits. Outre les données biométriques, les éléments d’identification des personnes concernées (nom, prénom, fonction) seront également traitées.
La vérification s’effectuera entre le doigt apposé sur le lecteur et le gabarit du réseau veineux des personnes qui sera stocké dans le lecteur. Le gabarit biométrique et les éléments d’identification des utilisateurs seront effacés lors du départ de l’employé de la société. Un historique des passages sera conservé pendant trois mois.
La Commission considère que le réseau veineux des doigts de la main, en l’état actuel de la technique, est une biométrie sans trace dont l’enregistrement sur un terminal de lecture-comparaison aux fins de contrôler les accès aux locaux ne comporte pas de risques particuliers pour les libertés et les droits fondamentaux des personnes. A cet égard, en l’état actuel des techniques, la biométrie par reconnaissance du réseau veineux n’est pas susceptible d’être capturée à l’insu des personnes. Dès lors, la Commission considère que le traitement pris dans son ensemble apparaît adapté et proportionné du point de vue de la protection des données personnelles.
Les droits d’accès et de rectification s’exerceront auprès de la direction générale de la société Grand Large Distribution Intermarché – 80, rue Joseph Desbois – 69330 Meyzieu.
Les catégories de données à caractère personnel enregistrées seront :
l’identité de la personne (nom, prénom) ;
la fonction ;
le gabarit du réseau veineux de deux doigts de la main ;
l’historique de passage.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les personnels habilités de la direction générale de la société.
Dans ces conditions, la Commission autorise la société Grand Large Distribution Intermarché, à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, notamment ses articles 68 et suivants ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié le 25 mars 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société XEROX SAS à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Société responsable du transfert
XEROX SAS
Finalité du transfert
Externalisation de certaines activités périphériques de la société XEROX SAS, dites de « back-office » et de support technique, à la société IBM.
L’opération d’externalisation recouvre les aspects suivants :
le support technique : IBM sera désormais en charge de la collecte des appels des clients via un « Welcome Center »,
le support pour les virements de trésorerie (paye, paiement des fournisseurs, facturation, recouvrement…).
Catégories de données transférées
S’agissant des clients et des fournisseurs, les informations suivantes seront transférées :
nom ; adresse e-mail professionnelle
adresse postale professionnelle
numéro de téléphone professionnel
nom ; adresse e-mail professionnelle
adresse postale professionnelle
numéro de téléphone professionnel
numéro de compte bancaire (pour le paiement des salaires)
numéro de carte de crédit « corporate » pour les salariés concernés (il s’agit d’une carte de crédit mise à la disposition de certains commerciaux de société XEROX SAS à des fins exclusivement professionnelles)
S’agissant des salariés de la société XEROX SAS, les informations suivantes seront transférées :
nom ; adresse e-mail professionnelle
adresse postale professionnelle
numéro de téléphone professionnel
nom ; adresse e-mail professionnelle
adresse postale professionnelle
numéro de téléphone professionnel
numéro de compte bancaire (pour le paiement des salaires)
numéro de carte de crédit « corporate » pour les salariés concernés (il s’agit d’une carte de crédit mise à la disposition de certains commerciaux de société XEROX SAS à des fins exclusivement professionnelles)
Identité(s) du(des) destinataire(s)
Les destinataires des données seront les personnels habilités de la société IBM et de ses filiales mentionnées ci-dessous, dans la limite de leurs attributions et pour la poursuite de la finalité précitée  : IBM Daksh Business Process – Birla Tower, 25 Barakhamba Road, Connaught Place, New Delhi, Inde.IBM Daksh Business Process Services Philippines Inc – Pbcom Tower, 6795 Ayala avenues, Makati City 1781, Philippines.
Pays d’établissement du(des) destinataire(s)
Inde, Philippines
Service auprès duquel s’exerce le droit d’accès des personnes concernées
Monsieur Pierre Chauveau – CIL de la société XEROX SASDirection des services informatiques253-255 avenue du Président Wilson93200 Saint-Denis
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision 2002/16/CE de la Commission européennes du 27 décembre 2001 concernant les transferts de responsable de traitement à sous-traitant.
                                                                                         Le Président
Alex TURK
(Saisine n° 06005780)
La Commission nationale de l’informatique et des libertés,
Saisie pour avis par le ministère de la justice d’un projet de décret en Conseil d’Etat modifiant le code de procédure pénale et relatif aux réquisitions télématiques ou informatiques (dans sa version transmise le 9 mai 2006) ;
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel ;
Vu le code de procédure pénale, notamment son article 60-2 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Après avoir entendu M. Patrick Delnatte, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations ;
Emet l’avis suivant
L’article 60-2 du code de procédure pénale prévoit notamment que « sur demande de l'officier de police judiciaire, intervenant par voie télématique ou informatique, les organismes publics ou les personnes morales de droit privé, à l'exception de ceux visés au deuxième alinéa du 3a du II de l'article 8 et au 2a de l'article 67 de la loi na 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, mettent à sa disposition les informations utiles à la manifestation de la vérité, à l'exception de celles protégées par un secret prévu par la loi, contenues dans le ou les systèmes informatiques ou traitements de données nominatives qu'ils administrent ».
Conformément à cet article, le ministère de la justice a saisi pour avis la Commission du projet de décret d’application de ces dispositions législatives. Ce projet de décret doit déterminer les catégories d’organismes visés par les réquisitions télématiques ou informatiques ainsi que les modalités d’interrogation, de transmission et de traitement des informations requises.
De façon liminaire, la Commission observe que le législateur a eu pour intention de permettre aux services de police judiciaire d’œuvrer plus efficacement grâce, d’une part, aux moyens de communication électronique existants et, d’autre part, à une obligation expresse de réponse « dans les meilleurs délais » aux réquisitions télématiques ou informatiques.
En contrepartie, il a prévu des garanties particulières applicables aux réquisitions télématiques ou informatiques :
ces réquisitions s’inscrivent dans une logique de « mise à disposition des données », sur demande de l’officier de police judiciaire (c’est-à-dire d’un tiers autorisé à connaître ponctuellement de certaines données) ;
la mise à disposition est limitée aux seules données utiles à la manifestation de la vérité, conformément aux principes de proportionnalité et de pertinence des données traitées ;
la remise de données protégées par un secret prévu par la loi est interdite ;
les associations ou organismes à but non lucratif et à caractère religieux, philosophique, politique ou syndical, ainsi que les organismes de presse ne sont pas soumis aux réquisitions électroniques ;
seul le refus de répondre aux réquisitions sans motif légitime, qui sera apprécié au cas par cas par le juge le cas échéant, est passible de sanctions pénales ;
enfin, la CNIL doit intervenir dans la détermination des garanties nécessaires à l’équilibre de ce dispositif.
Sur les organismes concernés par les réquisitions télématiques ou informatiques
Le projet d’article R.15-33-62 énumère les catégories d’organismes publics ou privés susceptibles de faire l’objet de réquisitions électroniques :
« 1° Les opérateurs de communications électroniques tels que définis à l'article L34-1 du code des postes et communications électroniques, ainsi que les personnes morales prestataires techniques visés par la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique ;
2° Les établissements financiers, bancaires et de crédit ; 
3° Le Groupement des Cartes Bancaires « CB » ;
4° Les organismes sociaux tels que définis par le code de la sécurité sociale ;
5° Les compagnies d'assurance ; 
6° Les organismes publics ou privés gestionnaires de logements sociaux ou à caractère social ;
7° Les services des administrations publiques gestionnaires des fichiers fiscaux, bancaires et administratifs ;
8° Les entreprises de transport collectif de voyageurs ;
9° Les opérateurs de distribution de l’énergie. »
La Commission observe que les réquisitions électroniques pourraient ainsi concerner un éventail très large de traitements de données à caractère personnel, touchant à l’ensemble des activités sociales et économiques. C’est pourquoi elle a demandé des précisions sur les modalités d’élaboration de cette liste, sur le nombre de réquisitions actuellement réalisées par type d’organisme et sur la nature des difficultés rencontrées nécessitant la mise en place de réquisitions électroniques en sus des réquisitions classiques déjà rendues possibles par la loi.
Le ministère de la justice a précisé que la liste des organismes susceptibles de faire l’objet de réquisitions électroniques avait été établie par le ministère de l’intérieur, « en fonction des besoins habituels et des réquisitions déjà fréquemment réalisées », de façon volontairement large « dans le souci de préserver l’avenir ». La Commission a également été informée qu’il n’existe pas à l’heure actuelle de statistiques sur le nombre et le type de réquisitions effectuées par les officiers de police judiciaire.
Au vu des éléments qui lui ont été communiqués, la Commission émet une réserve sur la liste des organismes publics ou privés susceptibles de faire l’objet de réquisitions télématiques ou informatiques. Elle estime en effet que la démonstration ne lui a pas été faite, pour chaque type d’organisme, du caractère adéquat et proportionné du recours à de tels moyens de réquisition au regard des objectifs invoqués de plus grande rapidité d’accès à l’information et de réduction des frais judiciaires.
En tout état de cause, la Commission relève que l’article 60-2 du code de procédure pénale vise essentiellement, comme le montrent les travaux parlementaires, les opérateurs de télécommunications et exclut du champ des réquisitions électroniques les données couvertes par le secret professionnel, ce qui n’est pas sans soulever d’interrogations sur le fait que le projet de décret vise, entre autres, les administrations et les organismes de sécurité sociale, qui gèrent précisément des données protégées par le secret professionnel.
Sur la définition des modalités de traitement des données par voie de protocole
Le projet d’article R.15-33-63 prévoit que les réquisitions télématiques ou informatiques ne peuvent être adressées à un organisme public ou privé que lorsque ce dernier a signé un protocole avec le ministère de la justice et, selon les cas, le ministère de l’intérieur, le ministère de la défense ou le ministère chargé du budget. Le projet d’article R.15-33-67 en fixe le contenu.
La Commission s’interroge sur le fait que le projet de décret renvoie à des protocoles le soin de fixer les modalités précises d’interrogation, de transmission et de traitement des informations requises. Ces garanties semblent en effet relever directement du projet de décret, conformément à l’article 60-2, dernier alinéa, du code de procédure pénale.
Si la définition par voie réglementaire de ces modalités devait finalement être retenue, la Commission demande à être à nouveau saisie pour avis. Si, en revanche, était confirmé le renvoi au protocole des éléments aussi importants que la définition des traitements automatisés de données à caractère personnel concernés, la nature des données auxquelles il peut être accédé, les modalités techniques d’accès aux données et les mesures de sécurité envisagées, la Commission considère que le projet de protocole, et non sa copie déjà signée, devrait lui être soumis pour avis en même temps que le dossier de formalités préalables afférent. Elle demande que le projet d’article R.15-33-68 soit modifié en conséquence.
Sur la nature des données soumises à réquisition télématique ou informatique
La Commission relève que l’article 60-2 du code de procédure pénale comporte une double garantie touchant à la nature des données personnelles susceptibles d’être mises à la disposition des officiers de police judiciaire par voie électronique : ces données ne peuvent être communiquées que si elles sont utiles à la manifestation de la vérité et si elles ne sont pas protégées par un secret prévu par la loi.
Elle rappelle qu’elle devra être consultée, pour chaque organisme public ou privé concerné, sur la nature des données nominatives auxquelles il peut être accédé par voie électronique ainsi que sur les garanties permettant de limiter l’accès du requérant aux seules informations requises.
Par ailleurs, la Commission observe que l’article 60-2 du code de procédure pénale définit un cadre juridique propre aux réquisitions électroniques, avec des garanties spécifiques à ce type de réquisitions. Au titre de ces garanties, le législateur a entendu ne pas permettre la mise à disposition de données protégées par un secret prévu par la loi et en particulier celles protégées par le secret professionnel.
Sur les modalités d’accès aux données
Le projet de décret prévoit deux modalités de mise à disposition des données personnelles par voie électronique (article R.15-33-64) :
« Les réquisitions mentionnées à l’article R. 15-33-61 permettent à l’officier de police judiciaire d’accéder directement, par la voie d’un réseau de communication télématique ou informatique, aux informations utiles à la manifestation de la vérité qui sont contenues dans le ou les systèmes informatiques ou traitements de données à caractère personnel administrés par l’organisme ou la personne morale faisant l’objet de la réquisition.
Selon la nature des informations requises et l’objet du traitement concerné, l’accès direct porte sur l’ensemble des informations de même nature contenues dans le traitement, sous réserve de celles protégées par un secret prévu par la loi, ou, sous la même réserve, sur une partie de ces informations préalablement mises à disposition du requérant par l’organisme ou la personne morale au sein d’un fichier dédié ou spécifiquement mis en place à cette fin. »
Selon le rapport au Premier ministre, la première hypothèse pourrait ainsi concerner des réquisitions destinées à identifier une personne, découvrir son adresse ou obtenir le relevé des mouvements effectués sur son compte bancaire ; la seconde hypothèse pourrait concerner des réquisitions portant sur une série de données plus complexes correspondant à une même personne et figurant dans des traitements mis en œuvre par des opérateurs de communications électroniques.
Cependant, la Commission relève que la notion d’accès direct aux données n’est pas mentionnée dans la loi. L’article 60-2 du code de procédure pénale ne vise en effet que la mise à disposition de ces informations par le responsable du traitement. Ce principe de mise à disposition traduit la volonté du législateur de rechercher, lorsqu’il a rendu possibles les réquisitions par voie électronique, un équilibre préservant à la fois l’intérêt public et les libertés publiques.