AgentPublic/cnil huggingface dataset:
Les destinataires des données seront dans la limite de leurs attributions et pour la poursuite de la finalité précitée les administrateurs d’application et de bases de données. Les personnes en charge de l’exploitation n’auront accès qu’aux données anonymisées relatives aux moyens de déplacement des personnes.
Durée de conservation
Les durées de conservations varient en fonction des objectifs fixés pour le dispositif :
pour l’objectif visant à inviter les automobilistes à respecter les limitations de vitesse : l’information « numéro d’immatriculation associé à une vitesse individuelle instantanée » est effacée moins d’une minute après son affichage sur le prochain panneau ;
pour l’élaboration d’une information trafic précise ainsi que pour la détection des anomalies : les données tronquées seront conservées uniquement pendant le temps de présence d’un véhicule (au maximum 72h) ;
Mesures de sécurité 
La mise en œuvre du traitement s’appuie sur l’infrastructure informatique de la société ASF.
Concernant spécifiquement la finalité d’élaboration d’une information trafic précise ainsi que pour la détection des anomalies, des mesures de sécurité spécifiques ont été prévues pour limiter la traçabilité des véhicules : 
une troncature consistant à supprimer deux caractères d’une plaque minéralogique dès sa capture par la caméra ;
l’application d’une fonction de hachage à clé secrète au numéro de plaque minéralogique tronqué dès la sortie du véhicule du réseau.
Information et droit d’accès
Les personnes seront informées au préalable par des stickers apposés sur les équipements ainsi que dans les conditions générales d’abonnement pour les abonnés, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée en août 2004, de l’identité du responsable de traitement, de la finalité poursuivie par le traitement, des destinataires des données et des droits qu’ils détiennent.Plus spécifiquement, pour la finalité de contrôle des vitesses, la société ASF s’engage à informer clairement les usagers en amont des dispositifs de contrôle.Les droits d’accès et de rectification s’exerceront auprès de la Direction de l’ingénierie et des systèmes d’information, Autoroutes du Sud de la France, Vedène quartier saint Anne – 84967 le Pontet Cedex.
Le président
Alex TURK
(demande d’autorisation 1436814)
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu la demande d’autorisation présentée par la société MORPHO concernant la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité principale la recherche sur les algorithmes biométriques;
Après avoir entendu Madame Marie-Hélène MITJAVILE, commissaire en son rapport et Madame Elisabeth ROLIN, commissaire du Gouvernement.
Formule les observations suivantes :
La Commission nationale de l’informatique des libertés a été saisie par la société MORPHO d’une demande d’autorisation relative à la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité principale la recherche sur les algorithmes biométriques.
Il y a lieu de faire application des dispositions prévues à l’article 25-8° de la loi du 6 janvier 1978 modifiée en août 2004 qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l’identité des personnes.
Le projet a pour finalité principale la recherche sur les algorithmes biométriques à travers  l’élaboration et l’amélioration d’algorithmes d’acquisition et de reconnaissance biométriques. Des études sur la sécurisation des données biométriques, des statistiques et des tests de performances tenant compte du vieillissement des données seront également réalisées.
Dans ce contexte, il convient de souligner que la présente décision ne porte que sur l’autorisation de mise en œuvre du dispositif projeté et ne saurait avoir valeur de labellisation de la technologie présentée.
L’évaluation portera sur des algorithmes de reconnaissance :
des empreintes digitales ;
des paumes ;
de l’iris ;
du visage
du réseau veineux ;
de la voix.
De même, des algorithmes dits de « fusion multimodale », c’est à dire permettant la reconnaissance d’une personne à partir de l’analyse simultanée de plusieurs caractéristiques biométriques, seront utilisés pour effectuer des mesures de performance de différents algorithmes de reconnaissance. 
La mise en œuvre du dispositif reposera sur la collecte de données par la société MORPHO ainsi que ses partenaires. Seules les données des personnes volontaires seront traitées. Chaque base de données constituée devrait concerner entre cinquante et trois cents personnes.
A chaque fois que ces données biométriques seront transmises, le nom et les coordonnées des volontaires seront gardés et maintenus strictement confidentiels par l’organisme ayant constitué la base de données.
Les transferts de données sont sécurisés et sont faits exclusivement sur support physique (ex. disque dur). Les données sont chiffrées. Un moyen de protection de la confidentialité des informations est mis en place à l’aide d’un outil certifié l’ANSSI.
S’agissant des partenaires ou de tout destinataire situés dans des Etats n’assurant pas un niveau de protection suffisant de la vie privée, le transfert de donnée fera l’objet d’un encadrement contractuel soumis pour autorisation à la Commission nationale de l’informatique et des libertés conformément aux dispositions de l’article 69 de la loi du 6 janvier 1978 modifiée en août 2004.
La Commission prend acte que lors de la transmission des données biométriques, le nom et les coordonnées des volontaires seront maintenus strictement confidentiels et ne seront pas transmis.
La Commission relève également que pour chaque projet de recherche les données collectées ne concerneront que trois cents personnes maximum et qu’elles seront conservées pendant cinq années à l’issue desquelles la société MORPHO s’engage à demander, le cas échéant, une prorogation.
De même, elle prend acte que le formulaire utilisé pour la collecte des données est accompagné d’un formulaire de consentement que les personnes concernées doivent signer et dans le cadre duquel elles sont informées de la possible transmission d’une partie de leurs données à caractère personnel vers des partenaires situés en dehors de l’Union européenne.
Ce formulaire indique également aux volontaires que l’information relative à la couleur de leur peau constitue une donnée sensible au sens de la loi « informatique et libertés » et qu’ils consentent expressément au traitement de cette donnée.
Compte tenu de ce qui précède, dans la mesure où seules les données des personnes volontaires seront traitées et ce dans le seul but d’évaluer des algorithmes de reconnaissance à des fins de recherche, les traitements soumis à la Commission et en particulier, le recours à la constitution de bases de données biométriques ne comportent pas de risques particuliers pour la protection des libertés et des droits fondamentaux de la personne.
Les droits d’accès, de rectification et de suppression s’exerceront auprès du Garant Informatique et libertés, relais du CIL, MORPHO, 18 rue de la Vanne, 92120 Montrouge.
Les catégories de données à caractère personnel enregistrées seront :
l’identité de la personne (nom, prénom) ;
l’image des empreintes digitales ;
l’image des paumes ;
l’image de l’iris ;
l’image du visage ;
l’image du réseau veineux ;
la voix ;
la tranche d’âge ;
la couleur de peau.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée:
pour les données relatives à l’identité et aux coordonnées des personnes concernées : le responsable campagne d’acquisition de Morpho et le Garant Informatique et Libertés en cas d’exercice des droits d’accès, de rectification et de suppression ;
pour les autres données : la direction R&T, business Development de la société MORPHO et les partenaires européens de la société MORPHO (universités, laboratoires de recherche, PME et industriels européens liés à un partenariat de recherche avec Morpho régi par un accord de consortium).
Lorsque les destinataires sont situées dans des pays n’assurant pas un niveau de protection suffisant des données, le transfert de données devra être préalablement été autorisé par la Commission nationale de l’informatique et des libertés.
Dans ces conditions, la Commission autorise la société MORPHO, à mettre en œuvre le traitement de données à caractère personnel présenté. 
Le président
Alex TURK
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu la délibération de la CNIL n°2005-305 du 8 décembre 2005 portant autorisation unique AU-004 de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle ;
Vu la demande d’autorisation, présentée par la société CAP SECUR CONSEIL, d’un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes :
La société CAP SECUR CONSEIL a déposé le 5 mai 2010 un dossier de demande d’autorisation de mise en œuvre d’un dispositif de traitement de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle, conformément au Code Néerlandais de bonne gouvernance d’entreprise auquel la société mère du Groupe (RANDSTAD HOLDING) est soumise et qui impose la mise en place d’un système d’alerte professionnelle pour les sociétés cotées.
La Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire. 
La Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle. 
Elle observe que le traitement objet de la présente délibération répond à toutes les exigences prévues par l’autorisation unique, à l’exception des dispositions des articles 1 et 2. En effet, le traitement se fonde sur le respect des dispositions du Code Néerlandais de bonne gouvernance d’entreprise et couvre un périmètre plus large.
Il convient d’examiner ledit traitement au regard des principes relatifs à la protection des données à caractère personnel, et notamment, de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
La Commission estime, en conséquence, que les dispositifs d’alerte professionnelle doivent être conçus comme uniquement complémentaires par rapport aux autres modes d’alerte dans l’entreprise. Elle estime ainsi qu’afin de tenir compte de ce caractère intrinsèquement complémentaire, un dispositif d’alerte doit être limité dans son champ.
La Commission relève que le dossier soumis par la société CAP SECUR CONSEIL au soutien de sa demande d’autorisation indique clairement que le dispositif d’alerte est limité aux aspects financiers, comptables, bancaires et de lutte contre la corruption ainsi que la lutte contre les comportements anticoncurrentiels. 
Aucune autre irrégularité ne doit être signalée par le biais de ce dispositif.
La Commission relève encore que l’engagement de la société CAP SECUR CONSEIL de mettre en place ce dispositif d’alerte permettant le signalement de manquements au droit de la concurrence est mentionné dans la décision du Conseil de la concurrence du 2 février 2009 (décision 09-D-05).
Les droits d’accès et de rectification s’exerceront auprès du prestataire en charge du traitement des alertes via son centre d’appel ou son site internet (PEOPLE INTOUCH, Pays-Bas).
Les catégories de données à caractère personnel enregistrées seront identiques à celles mentionnées dans l’autorisation unique n°4 (Délibération n°2005-305 du 8 décembre 2005).
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, le personnel habilité de la société PEOPLE INTOUCH, le personnel chargé de la gestion des alertes au comité d’alerte et enfin l’agent central et local d’intégrité. Dans tous les cas, les personnes chargées du recueil et du traitement des alertes professionnelles sont en nombre limité, spécialement formées et astreintes à une obligation renforcée de confidentialité contractuellement définie.
Dans ces conditions, la Commission autorise la société CAP SECUR CONSEIL à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle. 
Le Président,
Alex TURK
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu la délibération de la CNIL n°2005-305 du 8 décembre 2005 portant autorisation unique AU-004 de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle ;
Vu la demande d’autorisation, présentée par la société RANDSTAD FRANCE, d’un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes :
La société RANDSTAD FRANCE a déposé le 5 mai 2010 un dossier de demande d’autorisation de mise en œuvre d’un dispositif de traitement de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle, conformément au Code Néerlandais de bonne gouvernance d’entreprise auquel la société mère du Groupe (RANDSTAD HOLDING) est soumise et qui impose la mise en place d’un système d’alerte professionnelle pour les sociétés cotées.
La Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire. 
La Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle. 
Elle observe que le traitement objet de la présente délibération répond à toutes les exigences prévues par l’autorisation unique, à l’exception des dispositions des articles 1 et 2. En effet, le traitement se fonde sur le respect des dispositions du Code Néerlandais de bonne gouvernance d’entreprise et couvre un périmètre plus large.
Il convient d’examiner ledit traitement au regard des principes relatifs à la protection des données à caractère personnel, et notamment, de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
La Commission estime, en conséquence, que les dispositifs d’alerte professionnelle doivent être conçus comme uniquement complémentaires par rapport aux autres modes d’alerte dans l’entreprise. Elle estime ainsi qu’afin de tenir compte de ce caractère intrinsèquement complémentaire, un dispositif d’alerte doit être limité dans son champ.
La Commission relève que le dossier soumis par la société RANDSTAD FRANCE au soutien de sa demande d’autorisation indique clairement que le dispositif d’alerte est limité aux aspects financiers, comptables, bancaires et de lutte contre la corruption ainsi que la lutte contre les comportements anticoncurrentiels. 
Aucune autre irrégularité ne doit être signalée par le biais de ce dispositif.
La Commission relève encore que l’engagement de la société RANDSTAD FRANCE de mettre en place ce dispositif d’alerte permettant le signalement de manquements au droit de la concurrence est mentionné dans la décision du Conseil de la concurrence du 2 février 2009 (décision 09-D-05).
Les droits d’accès et de rectification s’exerceront auprès du prestataire en charge du traitement des alertes via son centre d’appel ou son site internet (PEOPLE INTOUCH, Pays-Bas).
Les catégories de données à caractère personnel enregistrées seront identiques à celles mentionnées dans l’autorisation unique n°4 (Délibération n°2005-305 du 8 décembre 2005).
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, le personnel habilité de la société PEOPLE INTOUCH, le personnel chargé de la gestion des alertes au comité d’alerte et enfin l’agent central et local d’intégrité. Dans tous les cas, les personnes chargées du recueil et du traitement des alertes professionnelles sont en nombre limité, spécialement formées et astreintes à une obligation renforcée de confidentialité contractuellement définie.
Dans ces conditions, la Commission autorise la société RANDSTAD FRANCE à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle. 
Le Président,
Alex TURK
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu la délibération de la CNIL n°2005-305 du 8 décembre 2005 portant autorisation unique AU-004 de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle ;
Vu la demande d’autorisation, présentée par la société RANDSTAD SAINT-DENIS LA PLAINE, d’un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes :
La société RANDSTAD SAINT-DENIS LA PLAINE a déposé le 5 mai 2010 un dossier de demande d’autorisation de mise en œuvre d’un dispositif de traitement de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle, conformément au Code Néerlandais de bonne gouvernance d’entreprise auquel la société mère du Groupe (RANDSTAD HOLDING) est soumise et qui impose la mise en place d’un système d’alerte professionnelle pour les sociétés cotées.
La Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire. 
La Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle. 
Elle observe que le traitement objet de la présente délibération répond à toutes les exigences prévues par l’autorisation unique, à l’exception des dispositions des articles 1 et 2. En effet, le traitement se fonde sur le respect des dispositions du Code Néerlandais de bonne gouvernance d’entreprise et couvre un périmètre plus large.