AgentPublic/cnil huggingface dataset:
Le projet d'arrêté indique que, lorsque le traitement sera automatisé, les consultations feront l'objet de mesures de traçabilité indiquant l'identifiant du consultant, la date, l'heure et l'objet de la consultation. Les traces ainsi collectées seront conservées durant trois ans. La commission recommande qu'une information spécifique soit délivrée aux utilisateurs sur ce point.La commission prend acte que ces traitements seront mis en œuvre dans des conditions de sécurité renforcées, le projet d'arrêté renvoyant notamment au référentiel général de sécurité prévu par le décret n° 2010-112 du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives. En tout état de cause, elle rappelle que des mesures spécifiques de prévention, de protection et de récupération portant sur les systèmes informatiques, l'organisation, les personnes ou les locaux doivent être prévues pour traiter les risques liés à l'accès illégitime aux données à caractère personnel, à leur modification non désirée ou à leur disparition.
La mise en œuvre de ces traitements par les hauts fonctionnaires de défense et de sécurité sera précédée d'un envoi à la commission d'un engagement de conformité aux disposition de l'arrêté, conformément au IV de l'article 26 de la loi du 6 janvier 1978 modifiée, lequel devra mentionner la dénomination du traitement concerné, le lieu exact d'implantation du traitement, la désignation du service gestionnaire, les mesures prises pour assurer la sécurité des données et le service compétent pour traiter les demandes d'accès.
 Pour le président :
 Le vice-président délégué,
 E. de Givry
Délibération n°2011- 306 du 6 octobre 2011 autorisant la mise en œuvre par la commune de Nice d’un traitement de données à caractère personnel ayant pour finalité la gestion du débroussaillement à partir des données  cadastrales cartographiées sur son système d’information géographique (SIG).(autorisation n° 1516914) 
La Commission nationale de l’Informatique et des Libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-5° ; 
Vu le Code forestier et notamment les articles L322-3 et suivants et L323-1 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié ;
Vu le décret n° 2011-223 du 1er mars 2011 pris pour l’application de l’article L127-10 du Code de l’environnement ;
Sur le rapport de Monsieur Dominique RICHARD, commissaire, et les observations de Madame Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la commune de Nice à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion de l’obligation légale de débroussaillement à partir des données cadastrales relatives aux propriétaires privés des parcelles exposées au risque de feu des bois et forêts, projetées sur son système d’information géographique (SIG).
Responsable du traitement
La commune de Nice
Finalités
En 2007, la commune de Nice a déclaré un SIG en conformité à l’AU-001 (1244941). Il s’agit d’une extraction des données cadastrales fournies par la DGFiP et constituant le SIG de la communauté urbaine Nice-Côte d’Azur déclaré en 2006 en conformité à l’AU-001 (n°1207274).La commune de Nice souhaite développer son SIG afin d’assurer la gestion du débroussaillement des parcelles privées exposées au risque de feu des bois et forêts.La cartographie des données relatives aux propriétaires des parcelles concernées permet d’engager et de suivre les obligations légales de débroussaillement définies par le Code forestier. Ces obligations consistent à sensibiliser les propriétaires lors de visites de terrain ; rédiger des mises en demeure ; contrôler les réalisations concrètes des travaux de débroussaillement et, s’ils ne sont pas réalisés par les propriétaires, faire exécuter ces travaux.Le SIG est alimenté par :-     les données cadastrales de la DGFiP ;-     les données d’annuaire des Pages Jaunes ;-    et les coordonnées des propriétaires rencontrés sur le terrain.
Données traitées
Les catégories de données à caractère personnel enregistrées sont :
les données relatives aux propriétaires, personnes physiques ou morales : nom, prénom ou raison sociale, adresse du propriétaire de parcelle soumise à obligation de débroussailler, adresse électronique et numéro de téléphone ;
les données relatives aux propriétés bâties et non bâties : et leurs références cadastrales.
La mise à jour des données cadastrales est annuelle. Quant aux données d’identification, elles sont régulièrement actualisées.
Les données enregistrées ne peuvent ni être utilisées à d’autres fins, ni faire l’objet d’interconnexion, de rapprochement ou de toute autre forme de mise en relation avec d’autres traitements que ceux autorisés par la présente décision.
Destinataires
Les seules personnes autorisées à accéder au SIG sont, dans la limite de leurs attributions respectives : les agents des directions informatique et information géographique de Nice-Côte d’Azur ainsi que les agents de la direction de la prévention des risques urbains et de la direction informatique de la commune de NICE.La commune de NICE accède par un extranet sécurisé à son compte SIG couvrant son seul ressort territorial.L’accès au SIG se fait au moyen d’un mot de passe individuel relevant d’un niveau de sécurité suffisant et régulièrement renouvelé.
Informationet droit d’accès
Les personnes concernées, les propriétaires de fonciers forestiers, sont informées de la finalité du traitement, des destinataires des informations, de l’existence et des modalités d’exercice de leurs droits par l’envoi de courriers de sensibilisation.
Le droit d’accès et de rectification défini au chapitre V de la loi s’exerce auprès de : Direction Adjointe de la Prévention des risques urbains Mairie de Nice 81, rue de France06 364 NICE
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-5° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu le code de l’urbanisme et notamment ses articles L 122-1-1 à L 122-19 relatif aux schémas de cohérence territoriale ;
Sur le rapport de M Dominique RICHARD, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, le syndicat mixte du Piémont des Vosges (SMPV) à mettre en œuvre un traitement de données à caractère personnel interconnectant plusieurs fichiers au sein d’un système d’information géographique et ayant pour finalité l’élaboration d’un schéma de cohérence territoriale (SCOT).
Responsable du traitement
Le syndicat mixte du Piémont des Vosges (SMPV)
Finalités
Le syndicat mixte du Piémont des Vosges (SMPV) est en charge de l’élaboration de l'approbation, du suivi et de la révision du schéma de cohérence territoriale. A ce titre, il met en œuvre un système d'information géographique (SIG) en vue de développer différents observatoires propres aux problématiques d'aménagement et d'urbanisme (habitat, transport, activités économiques, équipements publics, environnement...). Ces observatoires permettent de faire un bilan du fonctionnement territorial par thématique Ces observatoires seront principalement alimentés par des indicateurs des permis de construire, les données du répertoire SIRENE (Système Informatique pour le Répertoire des Entreprises et de leurs Etablissements) de l’INSEE, celles issues des collectivités membres, des partenaires comme la Chambre de Commerce et d’Industrie, la Chambre d'Agriculture et le fichier MAJIC III de la DGFIP.
Données traitées
Les catégories de données à caractère personnel enregistrées sont :- les données relatives aux propriétaires, exploitants et demandeurs de permis de construire, personnes physiques ou morales : nom, prénom, adresse , raison sociale et forme juridique, adresse du domicile ; -des données relatives au nombre d’emplois, d’élèves ou d’étudiants, relatives à la scolarité, la formation, la situation professionnelle ou familiale seront collectées anonymement ;- les données relatives aux propriétés bâties et non bâties : découpage cadastral, adresse, caractéristiques de la parcelle au regard des finalités du traitement (type de sol, type de bien, type de propriétaire : public ou privé).Les données enregistrées ne peuvent ni être utilisées à d’autres fins notamment politique, électoral ou commercial, ni faire l’objet d’interconnexions, de rapprochements ou de tout autre forme de mise en relation avec d’autres traitements que ceux autorisés par la présente décision.Les données sont mises à jour annuellement en ce qui concerne les données reçues de la DGFIP.L’observation de l’emploi par localisation géographique des entreprises sera actualisée tous les 2 ans par les fichiers de l’INSEE.Pour l’activité agricole, l’actualisation des données se fera tous les 3 ans.
Destinataires
Les seules personnes autorisées à accéder au système d’information géographique sont, dans la limite de leurs attributions respectives, les agents de SMPV.L’accès au système d’information géographique se fait au moyen d’un mot de passe individuel, régulièrement renouvelé.Les partenaires du SMPV, à savoir les collectivités locales membres, les chambres consulaires, l’Etat, sont destinataires de publications anonymes papiers ou numériques.
Information et droit d’accès
Les personnes sont informées de la finalité du traitement, des destinataires des informations, de l’existence et des modalités d’exercice de leurs droits par le biais d’affichage au siège du syndicat mixte.Le droit d’accès et de rectification défini au chapitre V de la loi s’exerce auprès du : Syndicat  Mixte du Piémont des Vosges (SMPV)38 Rue du Maréchal Koenig67213 OBERAI CEDEX
La Présidente
Isabelle FALQUE-PIERROTIN
(demande d’autorisation n° 1401460)
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-I-4° ;
Vu le code monétaire et financier, notamment ses articles L 621-15 et L 621-17-2 à L 621-7-7 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978 modifiée par la loi n° 2004-810 du 6 août 2004 ;
Vu le règlement général de l’Autorité des Marchés Financiers (AMF), notamment ses articles 315-42 à 315-44, 611-1 à 631-10 et 632-1 ;
Vu l’instruction AMF n°2008-05 du 29 juillet 2008 relative à la déclaration d’opérations suspectes prise en application de l’article 315-42 du règlement général de l’AMF ;
Vu la demande d’autorisation déposée par la Fédération de Crédit Mutuel Nord Europe relative à un traitement automatisé de données à caractère personnel ayant pour finalité la détection des opérations susceptibles de constituer des abus de marché ;
Après avoir entendu M. Jean-Paul AMOUDRY, commissaire, en son rapport, et de Mme Elisabeth ROLIN, commissaire du Gouvernement; en ses observations, 
Formule les observations suivantes
La Fédération de Crédit Mutuel Nord Europe a saisi la Commission d’une demande d’autorisation d’un traitement automatisé de données à caractère personnel permettant de détecter des opérations susceptibles de constituer des abus de marché.
Sur la procédure suivie auprès de la Commission
Ce traitement vise à détecter des opérations de transactions sur titres susceptibles de constituer des opérations d’abus de marché et qui, de ce fait, doivent le cas échéant après la collecte de renseignements complémentaires, ou un travail non automatisé, donner lieu à l’envoi d’une déclaration de soupçon à l’Autorité des Marchés Financiers (AMF).
L’identification de telles opérations peut conduire la Fédération de Crédit Mutuel Nord Europe à souhaiter, pour des raisons de prudence, rompre toute relation contractuelle avec les personnes qui en font l’objet.
Il peut ainsi, du fait de sa portée, conduire à l’exclusion de personnes du bénéfice d’un contrat en l’absence de toutes dispositions légales ou réglementaires le prévoyant. Dès lors, ce traitement relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit à ce titre être autorisé par la CNIL.
Sur les finalités et les caractéristiques du traitement 
Le traitement mis en œuvre doit permettre à la Fédération de Crédit Mutuel Nord Europe d’identifier et de signaler à l’AMF, le cas échéant après la collecte de renseignements complémentaires des transactions sur des titres financiers susceptibles d’être qualifiées d’abus de marché. Il permet en outre de contrôler l’application des règles déontologiques et des procédures internes relatives aux transactions personnelles des collaborateurs ayant accès à des informations privilégiées au sens des articles 621-1 à 621-3 du règlement général de l’AMF du fait de leur fonction.
Le dispositif de détection des opérations susceptibles d’être qualifiées d’abus de marché repose sur une analyse mensuelle des opérations réalisées par les clients et les collaborateurs ayant accès à des informations privilégiées à partir du carnet d’ordre, du portefeuille et des déclarations effectuées par les collaborateurs concernés.
Les critères retenus visent à détecter diverses situations en fonction des facteurs de détection énumérés aux articles 631-2 et 631-3 du règlement général de l’AMF. Certaines opérations susceptibles de constituer des abus de marché sont détectées automatiquement à l’aide de requêtes informatiques appliquées au système d’information de la Fédération de Crédit Mutuel Nord Europe. L’ensemble des transactions détectées sont analysées sans délai par le service du contrôle des services d’investissement qui peut décider de procéder à une déclaration de soupçon auprès de l’AMF.
La Commission souligne que ce traitement ne permet pas la constitution d’une « liste noire » de personnes qui ont déjà été concernées par une ou plusieurs alertes.
La Commission constate que l’ensemble des opérations détectées font l’objet d’une analyse manuelle. Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées.
Sur les données collectées
Les listes d’opérations à analyser comportent les catégories de données suivantes :
Sur les personnes concernées par les alertes au titre des ordres qu’elles ont émis ou des transactions qu’elles ont effectuées : les nom et prénoms,
Sur les opérations : le sens, les modalités de l’ordre, la limite, la quantité de titres vendus ou achetés, le montant, la date de validité de l’ordre, la date et l’heure de saisie, la date d’exécution, le total en nombre d’opérations sur une valeur ainsi qu’en montant pour les clients, le cas échéant la date et l’heure de saisie de l’annulation, la date d’annulation, le montant de la plus value ou de la perte réalisée, le nombre d’achats saisis non exécutés.
Une liste des collaborateurs ayant accès à des informations privilégiées est constituée. Celle-ci comporte l’identité de la personne et sa ou ses fonctions. 
Les clients ayant un lien avec un émetteur côté sont également identifiés. Cette seconde liste comporte l’identité du client, les références du ou des comptes ouverts auprès de la Fédération du Crédit Mutuel Nord Europe, l’émetteur concerné, la description du lien avec l’émetteur, le nom de la caisse teneur de compte, l’identité du chargé de clientèle et du Directeur de la Caisse. S’agissant de ces clients, le traitement mis en œuvre repose exclusivement sur une analyse manuelle.
Les listes d’opérations à analyser sont conservées pendant une durée n’excédant pas la durée nécessaire à la levée du soupçon d’abus de marché ou à la réalisation d’une déclaration d’opérations suspectes auprès de l’AMF. Elles sont ensuite archivées pendant une durée de trois ans et uniquement accessible au personnel habilité des Directions du contrôle de la conformité et du Contrôle permanent.
Les déclarations d’opérations suspectes effectuées auprès de l’AMF sont également conservées pendant une durée de trois ans.
Ces dispositions sont adéquates, pertinentes et non excessives au regard des finalités déclarées et n’appellent pas d’observations particulières.
Sur les destinataires des informations
Les alertes sont uniquement accessibles aux personnels habilités de la Direction du contrôle de la conformité et du contrôle permanent.
Les actions effectuées par ces personnes sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.
En cas d’envoi d’une déclaration de soupçon à l’AMF, les agents habilités de cette autorité sont également destinataires de tout ou partie des données mentionnées dans la déclaration de soupçon.
Sur l’information des personnes
Les clients sont informés de la mise en œuvre de ce traitement conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée par une clause de la convention d’instruments financiers.
Les collaborateurs ayant accès à des informations privilégiées sont informés de la mise en œuvre de ce traitement par courrier.
Le droit d’accès s’exerce auprès de la Fédération de Crédit Mutuel Nord Europe du conformément aux dispositions de l’article 39 de la loi du 6 janvier 1978 modifiée.
Autorise, dans les conditions, prévues par la présente délibération, la Fédération de Crédit Mutuel Nord Europe à mettre en œuvre un traitement automatisé de données à caractère personnel de détection des opérations susceptibles de constituer des abus de marché.
La Présidente
Isabelle FALQUE-PIERROTIN
(demande d’autorisation n°1454827)
La Commission nationale de l’informatique et des libertés,  
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, notamment ses articles 6 et 25-I-4° et 5° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié le 25 mars 2007 ; 
Vu la demande d’autorisation présentée par la Mutuelle Assurance des Instituteurs de France d’un traitement de données à caractère personnel ayant pour finalité la détection de la fraude interne et externe ;
Sur le rapport de M. Eric PERES, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés a été saisie par la société Mutuelle Assurance des Instituteurs de France (MAIF) d’une demande d’autorisation relative à la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité la détection de la fraude interne et externe.
La société MAIF, spécialisée dans la commercialisation de produits d’assurance, souhaite mettre en place un traitement visant à détecter des incohérences susceptibles de révéler de simples erreurs de gestion, de fausses déclarations de sinistres réalisées par un assuré ou des détournements de fonds à l’initiative de salariés. Ce traitement peut conduire la MAIF, le cas échéant, à refuser d’indemniser un sinistre et/ou à rompre un contrat d’assurance et/ou à mettre fin à un contrat de travail. Il peut donc conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat, nonobstant l’absence de toute disposition légale le prévoyant. 
Afin de détecter les actes frauduleux émanant de ses salariés, la société MAIF souhaite, en outre, utiliser des données collectées pour la gestion de la paie, en l’occurrence les références des relevés d’identité bancaire. Celles-ci seront extraites du fichier de gestion des ressources humaines. Ce fichier sera interconnecté avec le fichier de gestion des contrats et des sinistres afin de détecter les versements effectués à destination des comptes bancaires des salariés.
La Commission considère, dès lors, qu’il y a lieu de faire application des dispositions de l’article 25-I-4° et 5° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire et les traitements ayant pour objet l’interconnexion de fichiers dont les finalités principales sont différentes.
Le traitement que la société MAIF souhaite mettre en œuvre a notamment pour finalité de détecter les actes frauduleux émanant de ses salariés. La société MAIF prévoit de mettre en place un dispositif d’alerte permettant de détecter automatiquement de manière mensuelle les comptes bancaires des salariés affectés de plus de deux remboursements de sinistres sur une période de trois mois. La société MAIF considère que le versement de deux indemnités sinistres au moins, sur une période de trois mois, constitue une fréquence pouvant être qualifiée d’élevée. 
Pour ce faire, la société MAIF prévoit d’interconnecter le traitement de gestion de la paie avec le traitement de gestion des sinistres. Le traitement de gestion de la paie sera expurgé de certaines données confidentielles avant exploitation, seules les références du relevé d’identité bancaire seront utilisées.