AgentPublic/cnil huggingface dataset:
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la déclaration n° 1373173 ;
Sur le rapport de M. Bernard PEYRAT, commissaire et les observations de  Mme Elisabeth ROLIN, commissaire du gouvernement ; 
Autorise, dans les conditions définies dans le dossier et ses compléments,  la société des Pétroles SHELL à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
Société des Pétroles SHELL
Finalité du transfert
Centralisation et standardisation intra groupe de la gestion du service client et des activités de crédit
Catégories de données transférées
Nom, prénom,
Titre,
Adresse électronique,
Adresse de l’entreprise,
Téléphone de l’entreprise
I Catégories de personnes concernées par le transfert
Les entreprises clientes de la Société des Pétroles SHELL
Identité(s) du(des) destinataire(s)
Les personnes habilitées au sein de :SHELL GLOBAL CUSTOMER Services Centre Cape Town (Pty)Ltd, filiale de la société de droit néerlandais SHELLPetroleum N.V.
Pays d’établissement du(des) destinataire(s)
AFRIQUE DU SUD
Service auprès duquel s’exerce le droit d’accès des personnes concernées
Société des Pétroles SHELL
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision de la Commission européenne n° 95/46/EC du 15 juin 2001 concernant les transferts de responsable de traitement à responsable de traitement
Le Président,
       Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la déclaration n° 1347163 ;
Sur le rapport de M. Bernard PEYRAT, commissaire et les observations de  Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments,  REED MIDEM SAS à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
REED MIDEM SAS
Finalité du transfert
Hébergement de la base de données clients/prospects
Catégories de données transférées
Données d’identification :
Nom, prénoms, 
Civilité,
Photographie,
Titre, 
Fonction,
Nom et adresse de l’employeur,
N° de télécopie,
N° de téléphone fixe et portable,
Adresse électronique professionnelle
I Catégories de personnes concernées par le transfert
- Les clients/prospects 
Identité(s) du(des) destinataire(s)
Les personnes habilitées au sein de 
L’hébergeur :SALEFORCE.COM Inc
Les représentants de REED MIDEM
Pays d’établissement du(des) destinataire(s)
L’hébergeur : ETATS-UNIS
Les représentants de REED MIDEM :
. ETATS-UNIS
. AUSTRALIE
. QUEBEC
. RUSSIE
. TAIWAN
. COREE DU SUD
. ISRAEL
. HONG-KONG
. BRESIL
. CHINE
. MAROC
. BRESIL
. EMIRATS ARABES UNIS
. SERBIE
. UKRAINE
. PHILIPPINES
. AFRIQUE DU SUD
. VIETNAM
. ARGENTINE
. TURQUIE
Service auprès duquel s’exerce le droit d’accès des personnes concernées
REED MIDEM SAS
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision de la Commission européenne n° 95/46/CE du 15 juin 2001 concernant les transferts de responsable de traitement à responsable de traitement
Le Président,
       Alex TURK
(Autorisation n°1373906)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-3 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu le décret n°2006-143 du 9 février 2006 relatif aux modalités d’accès des médecins aux données relatives aux prestations servies aux bénéficiaires de l’assurance maladie et modifiant le code de la sécurité sociale ; 
Sur le rapport de M. Jean MASSOT, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la caisse primaire d’assurance maladie des Yvelines à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion des dossiers de précontentieux et de contentieux dans le cadre de la lutte contre la fraude dénommé ESABORA, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Responsable du traitement
La Caisse primaire d’assurance maladie des Yvelines
Finalités
Mise en œuvre d’un logiciel de gestion des dossiers précontentieux et contentieux qui permettra notamment de gérer les dossiers signalés pour un abus, une faute ou une présomption de fraude.Coordonner le traitement et le suivi des actions et des décisions concernant les suspicions de fraudes, précontentieux et contentieux.
Données traitées
- Nom, prénom, adresse et NIR des assurés- Nom, prénom, raison sociale, adresse, numéro d’identification et catégorie/spécialité des professionnels de santé, établissements de santé, fournisseurs et autres prestataires de services- Raison sociale, n° SIRET, adresse des employeurs- Motif du signalement : origine du signalement, identité de l'auteur présumé de la fraude ou de l'anomalie, circonstances de la détection, montant du préjudice éventuel et condamnations- Suivi des actions entreprises par la caisse : notification de créance (et mise en demeure), récupération d'indu, contrainte, saisie des rémunérations, enquête / instruction, dépôt de plainte, signalement au parquet, lettre d'avertissement ou de mise en garde, pénalités financières, transaction, condamnations ordinales ou pénales, condamnation civile, procédure conventionnelle, classement sans suite, décision de Commission de Recours Amiable
Destinataires
- Les agents et responsables du département des affaires juridiques et du service de lutte contre les abus, fautes et fraudes, sous la responsabilité et en fonction des habilitations délivrées par la direction.- Le directeur et les agents de direction de la CPAM habilités.- Accès uniquement en consultation : le pôle contrôle contentieux du service médical, les coordonnateurs de la direction des relations avec le public pour les dossiers « infractions poursuites », le directeur général, le directeur de l’agence comptable, du contrôle et du contentieux, le fondé de pouvoir, le directeur de la maîtrise médicalisée des dépenses de santé, les services de la direction de la maîtrise médicalisée des dépenses de santé en charge de l’information, de l’aide aux professionnels de santé et aux établissements et le service pilotage maîtrise médicalisée pour les dossiers « infractions poursuites ».- En consultation pour les dossiers de la Commission de recours amiable les concernant : la plateforme téléphonique, la plateforme dédiée aux professionnels de santé, le service réclamations, le service promotion SESAM vitale, les responsables d’agences.- Le conciliateur, en cas de saisie par un assuré, ou un professionnel de santé, peut demander l’accès au dossier sans avoir d’habilitation sur le logiciel ESABORA.- Accès à des indicateurs par le service qualité et à des statistiques non identifiants par niveau national.
Information et droits d’accès
Le droit d’accès, de modification et d’opposition défini au chapitre V de la loi du 6 janvier 1978 s’exercera auprès du directeur général de la CPAM des Yvelines.
Observations particulières 
Durée de conservation des données : 5 ans après le classement des dossiers. A l’issue de cette période, les données devront être détruites ou archivées conformément à la règlementation en vigueur et pourront être conservées de façon anonymisée à des fins statistiques.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de  Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments,  la société PRICE WATERHOUSE COOPERS ENTREPRISES de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
Société PRICEWATERHOUSE COOPERS ENTREPRISES
Finalité du transfert
PRICEWATERHOUSECOOPERS ENTREPRISES63 rue de Villiers92200 Neuilly-sur-Seine
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Contrat multilatéral intra-groupe dénommé "International Intra-Group Agreement" signé par l'ensemble des entités membres du réseau mondial PricewaterhouseCoopers reprenant les clauses contractuelles européennes issues de la décision 2002/16/CE de la Commission européenne du 27 décembre 2001 concernant les transferts de responsable de traitement à sous-traitant et de la 2004/915/CE de la Commission européenne du 27 décembre 2004 concernant les transferts de responsable de traitement à responsable de traitement.
Le Président,
 Alex TURK
(autorisation CNIL n°1342748)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-3 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu le décret n°2006-143 du 9 février 2006 relatif aux modalités d’accès des médecins aux données relatives aux prestations servies aux bénéficiaires de l’assurance maladie et modifiant le code de la sécurité sociale ; 
Sur le rapport de M. Jean MASSOT, commissaire et les observations de  Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la caisse primaire d’assurance maladie d’Ile de France (CRAMIF) à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion des dossiers contentieux, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Responsable du traitement
La Caisse Primaire d’Assurance maladie d’Ile de France (CRAMIF)
Finalités
Création d’une base de données unique dans laquelle figurent les procédures judiciaires engagées par la CRAMIF et composée de six secteurs distincts répartis en trois groupes :
Fraude/créances/ contentieux de la sécurité sociale.
Groupe recours contre tiers.
Groupe Etudes/Prud’hommes.
Données traitées
Données d’identification (nom, prénom, date et lieu de naissance), numéro de dossier, coordonnées, NIR, informations relatives à la perception d’une pension, informations relatives à l’existence d’une procédure, son suivi et sa date de clôture.
Destinataires
Les agents et responsables habilités du service des Affaires juridiques de la CRAMIF.Les agents du contrôle de l’invalidité et l’agence comptable selon les habilitations spécifiquement dévolues à leurs secteurs.
Information et droits d’accès
Les personnes sont informées par le biais d’une mention inscrite en bas de page des courriers qui leur sont adressés.Le droit d’accès défini au chapitre V de la loi du 6 janvier 1978 s’exercera auprès du service des affaires juridiques de la CRAMIF.
Observations particulières
Durée de conservation des données : 5 ans. A l’issue de cette période, les données devront être détruites ou archivées conformément à la règlementation en vigueur et pourront être conservées de façon anonymisée à des fins statistiques.Les données contenues dans des zones bloc notes doivent, comme toute information à caractère personnel enregistrée dans un traitement et appelée à y être conservée, être pertinentes, adéquates et non excessives au regard de la finalité du traitement. Ces mentions doivent être exclusives de toute appréciation subjective et ne sauraient en aucun cas faire apparaître directement ou indirectement des données relatives aux origines raciales, aux opinions politiques, philosophiques ou religieuses, aux appartenances syndicales ou aux mœurs de la personne concernée. Je vous rappelle enfin  que les données contenues dans ces zones de texte libre doivent être communiquées aux personnes exerçant leur droit d’accès.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la directive 2005/60/CE du Parlement européen et du Conseil du 26 octobre 2005 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux et du financement du terrorisme ;
Vu la directive 2006/70/CE de la Commission du 1er août 2006 portant mesures de mise en œuvre de la directive 2005/60/CE du Parlement européen et du Conseil pour ce qui concerne la définition des « personnes politiquement exposées » et les conditions techniques de l’application d’obligations simplifiées de vigilance à l’égard de la clientèle ainsi que de l’exemption au motif d’une activité financière exercée à titre occasionnel ou à une échelle très limitée ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-I-4° ;
Vu l’ordonnance n° 2009-104 du 30 janvier 2009 relative à la prévention de l’utilisation du système financier aux fins de blanchiment de capitaux et de financement du terrorisme, ratifiée par la loi n° 2009-526 du 12 mai 2009 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978 modifiée par la loi n° 2004-810 du 6 août 2004 ;
Vu le décret n° 2009-1087 du 2 septembre 2009 relatif aux obligations de vigilance et de déclaration pour la prévention de l’utilisation du système financier aux fins de blanchiment de capitaux et de financement du terrorisme ;
Vu l’arrêté du 2 septembre 2009 pris en application de l’article R. 561-12 du code monétaire et financier et définissant des éléments d’information liés à la connaissance du client et de la relation d’affaire aux fins d’évaluation des risques de blanchiment de capitaux et de financement du terrorisme ;
Vu la délibération n° 2005-297 du 1er décembre 2005 portant autorisation unique de certains traitements de données à caractère personnel mis en œuvre dans des organismes financiers au titre de la lutte contre le blanchiment de capitaux et le financement du terrorisme, modifiée par la délibération n° 2007-060 du 25 avril 2007 ;
Vu la demande d’autorisation déposée par La Banque Postale, relative à un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre le blanchiment de capitaux et le financement du terrorisme ;
Sur le rapport de M. Jean-Paul AMOUDRY, commissaire, et les observations de  Mme Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes :
La Banque Postale a saisi la CNIL d’une demande d’autorisation relative aux traitements automatisés de données à caractère personnel qu’elle met en œuvre pour répondre à ses obligations légales en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme, ainsi que de gel des avoirs.
Sur la procédure suivie
Les traitements automatisés utilisés par les établissements du secteur bancaire dans le cadre de la lutte contre le blanchiment de capitaux et le financement du terrorisme visent notamment à détecter les transactions financières, réalisées par leurs clients, qui sont susceptibles d’être qualifiées d’infraction de blanchiment ou de financement du terrorisme par les autorités compétentes et qui, de ce fait, doivent, le cas échéant après collecte de renseignements complémentaires et analyse manuelle des éléments du dossier, donner lieu à l’envoi d’une déclaration à la cellule de renseignement financier nationale TRACFIN.
L’identification de telles opérations, pour une large part sur la base de critères intégrés dans les traitements automatisés des établissements concernés, peut conduire ces derniers à souhaiter, pour des raisons de prudence, rompre toute relation contractuelle avec certains des clients qui en font l’objet. Ces traitements, peuvent ainsi, du fait de leur portée, conduire à l’exclusion de personnes du bénéfice d’un contrat en l’absence de toute disposition légale prévoyant la mise en œuvre d’une telle exclusion.
Dès lors, ces traitements relèvent du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doivent, à ce titre, être autorisés par la CNIL. 
Par sa délibération n° 2005-297 du 1er décembre 2005 susvisée, la Commission a autorisé « certains traitements de données à caractère personnel qui sont mis en œuvre dans des organismes financiers au titre de la lutte contre le blanchiment de capitaux et le financement du terrorisme », sous réserve que les finalités de ces traitements, les catégories de données utilisées et leurs destinataires n’excèdent pas le cadre fixé par l’autorisation unique AU-003, que ces traitements remplissent également les conditions définies dans ce texte et que la CNIL ait reçu un engagement de conformité à l’AU003.
Tout projet de traitement automatisé dont les finalités ou les catégories de données ou de destinataires excèdent le cadre de cette autorisation unique ou qui ne respecterait pas les exigences qui y sont définies, doit, en revanche, faire l’objet d’une demande d’autorisation spécifique présentant et expliquant les différences entre le traitement envisagé et l’autorisation unique.
L’analyse des caractéristiques des traitements automatisés visés par la présente demande d’autorisation fait apparaître des différences tant sur les fonctionnalités que sur les destinataires par rapport à l’autorisation unique AU003 qui, de ce fait, sont soumises à l’examen de la CNIL.
Ces différences résultent de la prise en compte des modifications apportées aux articles L. 561-2 et suivants et R. 561-1 et suivants du code monétaire et financier (CMF) en application des directives 2005/60/CE et  2006/70/CE susvisées.
Sur les fonctionnalités des traitements automatisés
Ces traitements automatisés ont pour objet d’adapter le niveau de vigilance mis en place en fonction des catégories de clients et de produits détenus.
Ils intègrent, en premier lieu, l’ensemble des signalements concernant des opérations jugées complexes, atypiques ou sans justification économique ou objet licite, qui proviennent des directeurs d’établissements et des services des centres financiers et ont vocation à faire l’objet d’une analyse complémentaire.
Ils génèrent, en deuxième lieu, des alertes en présence :
- d’un compte de client dont le fonctionnement (au vu du nombre et du montant d’une catégorie d’opérations) durant le dernier mois laisse apparaître un écart significatif, évalué sous la forme d’un score, au regard :
. de son fonctionnement mensuel moyen pour les douze derniers mois,
. ou de l’historique-type de fonctionnement qui a été établi pour la famille de comptes à laquelle ce compte est rattaché de façon empirique, au vu de critères objectifs ;
- d’une opération ou d’un ensemble d’opérations se rapprochant d’un scénario pré-établi qui correspond à des techniques de blanchiment identifiées après analyse des précédents signalements.
La Commission constate que les traitements automatisés sont, à ce titre, conformes aux articles L. 561-6 et suivants du CMF, dans leur rédaction issue de l’ordonnance n° 2009-104 du 30 janvier 2009 susvisée, qui prévoit, d’une part, un examen attentif par les professionnels des opérations effectuées par chaque client afin de s’assurer de leur cohérence au regard de la connaissance actualisée qu’ils ont de ce client, et d’autre part, une modulation de l’obligation de vigilance des professionnels à l’égard de leurs clients en fonction de leur évaluation du risque qu’ils représentent.