Nicolas-BZRD/CNIL_opendata huggingface dataset:
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et suivants ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la déclaration n° 1274265 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Catherine POZZO DI BORGO, commissaire du gouvernement adjoint ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société KDDI FRANCE à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Le Président
Société responsable du transfert
KDDI FRANCE
Finalité du transfert
Régularisation par la maison-mère japonaise de la prise en charge de l’impôt sur le revenu dû par les salariés expatriés japonais au regard de la loi fiscale japonaise.
Catégories de données transférées
Données d’identification (nom et prénom des salariés expatriés japonais employés en France)
Situation économique et financière (montant de l’impôt sur le revenu dû en France)
Catégories de personnes concernées par le transfert
Salariés expatriés japonais employés par la société KDDI FRANCE
Identité(s) du(des) destinataire(s)
Agents habilités
Pays d’établissement du(des) destinataire(s)

Service auprès duquel s’exerce le droit d’accès des personnes concernées
Les personnes habilitées de la direction des ressources humaines de la société KDDI FRANCE
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Signature d’un contrat conforme aux clauses types adoptées par la Commission européenne dans ses décisions du 27 décembre 2001 et du 27 décembre 2004.
Le bureau de la Commission nationale de l’informatique et des libertés,
Vu la loi modifiée n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 11, 19, 20 et 44 ;
Vu le décret n° 2005-1309 du 20 octobre 2005, modifié par le décret n° 2007-451 du 25 mars 2007, pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 57 à 60 ;
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés, notamment son article 61 ;
Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d’attributions au bureau de la Commission nationale de l’informatique et des libertés ;
Vu la délibération n°2007-275 du 20 septembre 2007 portant habilitation d’agents de la CNIL à procéder à des vérifications ;
Après avoir entendu M. Guy ROSIER, vice-président délégué, en son rapport, et  Mme Pascale COMPAGNIE, commissaire du gouvernement, en ses observations,

Article 1er :
La liste des agents de la Commission nationale de l’informatique et des libertés habilités à procéder sur l’ensemble du territoire national à des vérifications portant sur tous traitements en application des articles 11 (2°, f), 19, 20 et 44 de la loi du 6 janvier 1978 modifiée le 6 août 2004, adoptée par délibération n° 2007-275 du 20 septembre 2007, est complétée de la manière suivante :
Mme Anna BENISTI, direction des relations avec les usagers et du contrôle ;
M. Paul HEBERT, direction des affaires juridiques, internationales et de l’expertise ;
M. Stéphane LABARTHE, direction des relations avec les usagers et du contrôle ;
M. Nicolas REVELLO, direction des relations avec les usagers et du contrôle ;
M. Jean-Emmanuel SASTRE, direction des relations avec les usagers et du contrôle ;
Melle Elise WOLTON, direction des affaires juridiques, internationales et de l’expertise ;
Article 2 :
La présente décision prendra effet à compter de la date de sa publication au Journal Officiel de la République française.
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Bernard PEYRAT, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société ACCESS CONTACT SERVICES à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Le Président
Société responsable du transfert
ACCESS CONTACT SERVICES
Finalité du transfert
Appels téléphoniques dans le cadre d’une étude auprès de particuliers pour déterminer leurs préférences musicales.
Catégories de données transférées



Numéro de téléphone


Zone géographique
Identité(s) du(des) destinataire(s)
ACCESS TELESERVICES
34, Avenue Fal Ould Oumeïr Okba
10 000 Agdal – Rabat

Pays d’établissement du(des) destinataire(s)

Service auprès duquel s’exerce le droit d’accès des personnes concernées
ACCESS CONTACT SERVICES
15, rue Chevalier de Saint Georges
75008, Paris
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la Décision 2002/16/CE de la Commission européenne du 27 décembre 2001 concernant les transferts de responsable de traitement à sous-traitant
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 69 et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Bernard PEYRAT , commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société BALENCIAGA à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Le Président
Société responsable du transfert
BALENCIAGA
Finalité du transfert
Permettre aux boutiques Balenciaga situées aux Etats-Unis et au Japon d’accéder à distance, de manière ponctuelle, à la base centrale située en France, afin d’enregistrer les coordonnées relatives à un nouveau client pour le compte de Balenciaga.
Catégories de données transférées
Données relatives à l’identité des clients :


Coordonnées
Identité(s) du(des) destinataire(s)
Le personnel habilité des boutiques Balenciaga America Inc :
542 West 22nd Street
N.Y., N.Y. 10011

Le personnel habilité des boutiques Balenciaga Japan :
4F-2-11-11 Minami Aoyama
Minatoku-ku
03-57-75-4107 Tokyo

Pays d’établissement du(des) destinataire(s)
Etats-Unis

Service auprès duquel s’exerce le droit d’accès des personnes concernées
Balenciaga
15, rue Cassette
75006 Paris
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la Décision 2002/16/CE de la Commission européenne du 27 décembre 2001 concernant les transferts de responsable de traitement à sous-traitant
(Demande d’autorisation n° 1383049v2)
La Commission nationale de l’informatique et des libertés ;
Saisie par Banque Accord d’une demande de modification de la délibération n°2011-200 du 30 juin 2011 autorisant la mise en place à titre expérimental par Banque Accord d’un système de paiement sans contact avec authentification biométrique du payeur et abrogeant la délibération n°2009-700 du 17 décembre 2009 ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son articles 25-I-8 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Paul AMOUDRY, commissaire, et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
La Commission a délivré à Banque Accord, le 30 juin 2011, une autorisation portant sur la mise en place à titre expérimental d’un système de paiement sans contact avec authentification biométrique du porteur. Cette autorisation prévoit que « L'expérimentation envisagée est limitée dans le temps et dans l'espace. Elle concerne l'utilisation en 2012, pendant une durée de six mois, des cartes bancaires avec authentification biométrique du porteur chez quelques commerçants participant à cette expérimentation ».
La phase d’expérimentation ayant été retardée, elle se poursuivra au premier semestre 2013. Cette modification n’appelle pas d’observation de la part de la Commission.
Dès lors, la Commission autorise la modification par Banque Accord de l’expérimentation relative à un système de paiement sans contact avec authentification biométrique du payeur.
La Présidente
Isabelle FALQUE-PIERROTIN
(Saisine n° 12016009)
La Commission nationale de l’informatique et des libertés,
Saisie par le cabinet BENSOUSSAN SELAS, le 20 avril 2012, d’une demande de délivrance de label concernant sa procédure d’audit intitulée « Lexing® audit Informatique et Libertés » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2006-147 du 23 mai 2006 modifiée fixant le règlement intérieur de la CNIL, notamment ses articles 53 et suivants ;
Vu la délibération n° 2011-316 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de procédure d’audit tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-François CARREZ, commissaire, président du Comité de labellisation, et après avoir entendu les observations de  Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
Conformément à l’article 53-1 du règlement intérieur de la CNIL, la demande de label a fait l’objet d’une évaluation par le Comité de labellisation.
La Commission reconnaît que l’audit de traitements présenté est conforme au référentiel auquel il se rapporte.

De la délivrance du label CNIL « audit de traitements » pour la procédure d’audit intitulée « Lexing® audit Informatique et Libertés » du cabinet BENSOUSSAN SELAS.
Ce label est délivré pour une durée de trois ans conformément à l’article 53-11 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité annuel.
La présente délibération sera publiée au Journal officiel de la République française.
La Présidente
Isabelle FALQUE-PIERROTIN
(Saisine n°12016950)
La Commission nationale de l’informatique et des libertés,
Saisie par BNP Paribas Securities Services, le 6 avril 2012, d’une demande de délivrance de label concernant sa formation intitulée « Conformité-Protection des données personnelles »;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2006-147 du 23 mai 2006 modifiée fixant le règlement intérieur de la CNIL, notamment ses articles 53 et suivants ;
Vu la délibération n° 2011-315 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de formation tendant à la protection des personnes à l’égard du traitement des données à caractère personnel
Vu le dossier et ses compléments ;
Sur la proposition de M. Bernard PEYRAT, commissaire, membre du Comité de labellisation, et après avoir entendu les observations de  Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La formation, objet de la demande, se compose comme suit :
La présentation de la CNIL et de ses missions,
Les formalités préalables,
Le transfert de données hors Union européenne
Le pouvoir de contrôle a posteriori,
Les dispositions pénales associées au non respect de la loi Informatique et Libertés.
Conformément à l’article 53-1 du règlement intérieur de la CNIL, la demande de label a fait l’objet d’une évaluation par le Comité de labellisation.
La Commission reconnaît que la formation présentée est conforme au référentiel auquel elle se rapporte.

De la délivrance du label CNIL « formation » pour la formation intitulée «BNP Paribas Securities Services » de BNP Paribas Securities Services ;
Ce label est délivré pour une durée de trois ans conformément à l’article 53-11 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité annuel.
La présente délibération sera publiée au Journal officiel de la République française.
La Présidente
Isabelle FALQUE-PIERROTIN
(Saisine n° 12006337)
La Commission nationale de l’informatique et des libertés,
Saisie par l’organisme de formation COMUNDI, le 6 février 2012, d’une demande de délivrance de label concernant sa formation intitulée « sécuriser les flux transfrontières de données à caractère personnel » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2006-147 du 23 mai 2006 modifiée fixant le règlement intérieur de la CNIL, notamment ses articles 53 et suivants ;
Vu la délibération n° 2011-315 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de formation tendant à la protection des personnes à l’égard du traitement des données à caractère personnel
Vu le dossier et ses compléments ;
Sur la proposition de M. Dominique RICHARD, commissaire, membre du Comité de labellisation, et après avoir entendu les observations de  Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La formation, objet de la demande, se compose comme suit :
- Maîtriser la notion de flux transfrontières
- Identifier le niveau de protection des données d’un pays
- Mettre en place des clauses contractuelles et éviter toute sanction
Conformément à l’article 53-1 du règlement intérieur de la CNIL, la demande de label a fait l’objet d’une évaluation par le Comité de labellisation.
La Commission reconnaît que la formation présentée est conforme au référentiel auquel elle se rapporte.

De la délivrance du label CNIL « formation » pour la formation intitulée « sécuriser les flux transfrontières de données à caractère personnel » de l’organisme de formation COMUNDI.
Ce label est délivré pour une durée de trois ans conformément à l’article 53-11 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité annuel.
La présente délibération sera publiée au Journal officiel de la République française.
La Présidente
Isabelle FALQUE-PIERROTIN
Le bureau de la Commission nationale de l'informatique et des libertés,
Vu le code de la sécurité intérieure, notamment son article L. 253-3 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 11 (2°, f), 19, 20 et 44 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi du 6 janvier 1978, notamment ses articles 57 à 60 ;
Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés ;
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés, notamment son article 61 ;
Après avoir entendu M. Emmanuel de GIVRY, vice-président délégué, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,


L'agent de la Commission nationale de l'informatique et des libertés ci-après désigné est habilité, à raison de ses fonctions, à effectuer les visites et vérifications mentionnées à l'article 44 de la loi du 6 janvier 1978 et à l'article L. 253-3 du code de la sécurité intérieure :
Mme Lucy SAVARY, juriste au service des contrôles à la direction des relations avec les usagers et du contrôle.

L'habilitation mentionnée à l'article 1er est délivrée pour une durée de cinq ans.

La présente décision prendra effet à compter de la date de sa publication au Journal officiel de la République française.
La présidente,
I. Falque-Pierrotin
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 13 ;
Vu l'article 4-III de la loi n° 2011-334 du 29 mars 2011 relative au Défenseur des droits ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 modifiée, notamment son article 3 ;
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission ;
Après qu'il a été procédé au vote ;
Constate :
Article 1er : Mme Isabelle FALQUE-PIERROTIN est élue présidente.
Article 2 : La présidente de la Commission est chargée de l'exécution de la présente délibération qui sera publiée au Journal Officiel.
Le Vice-président délégué
Emmanuel de GIVRY
(Demande d’autorisation n° 1533335v1)
La Commission nationale de l’informatique et des libertés,
Saisie par la société GRDF d’une demande de modification de la délibération n° 2011-337 du 25 octobre 2011 autorisant la mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité la gestion des pertes et l’optimisation des recettes,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2011-337 du 25 octobre 2011 autorisant la mise en œuvre par la société GRDF d’un traitement de données à caractère personnel ayant pour finalité la gestion des pertes et l’optimisation des recettes ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Claude DOMEIZEL, commissaire et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement,
Formule les observations suivantes :
La Commission a délivré à la société GRDF, le 25 octobre 2011, une autorisation portant sur un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des pertes et l’optimisation des recettes.
Cette autorisation prévoit que « les données des utilisateurs liées à la facturation sont conservées pendant 3 ans en base active et 2 ans supplémentaires en base archive ».
Afin de se conformer à son obligation de conserver les documents comptables et les pièces justificatives pendant 10 ans, telle que prévue à l’article L. 123-22 du code du commerce, la société GRDF a saisi la Commission d’une demande de modification de la durée d’archivage de ces données. Les données seront désormais conservées en base archive pendant 8 ans.
Cette modification n’appelle pas d’observation particulière de la part de la Commission.
Dès lors, la Commission autorise la mise en œuvre par la société GRDF du traitement modifié de gestion des pertes et d’optimisation des recettes, dans les conditions évoquées ci-dessus.
La Présidente
Isabelle FALQUE-PIERROTIN
(Saisine n° 12003249)
La Commission nationale de l’informatique et des libertés,
Saisie par le cabinet HAAS, le 4 janvier 2012, d’une demande de délivrance de label concernant sa procédure d’audit intitulée « audit 'Informatique et libertés' » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2006-147 du 23 mai 2006 modifiée fixant le règlement intérieur de la CNIL, notamment ses articles 53 et suivants ;
Vu la délibération n° 2011-316 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de procédure d’audit tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Après avoir entendu M. Jean-François CARREZ, Commissaire, président du Comité de labellisation, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
Conformément à l’article 53-1 du règlement intérieur de la CNIL, la demande de label a fait l’objet d’une évaluation par le Comité de labellisation.
La Commission reconnaît que l’audit de traitements présenté est conforme au référentiel auquel il se rapporte.

De la délivrance du label CNIL « audit de traitements » pour la procédure d’audit intitulée « audit 'Informatique et libertés' » du cabinet HAAS.
Ce label est délivré pour une durée de trois ans conformément à l’article 53-11 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité annuel.
La présente délibération sera publiée au Journal officiel de la République française.
La Présidente
Isabelle FALQUE-PIERROTIN
(Saisine n° 12001795)
La Commission nationale de l’informatique et des libertés,
Saisie par le cabinet HSC, le 4 janvier 2012, d’une demande de délivrance de label concernant sa formation intitulée « Correspondant Informatique et Libertés » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2006-147 du 23 mai 2006 modifiée fixant le règlement intérieur de la CNIL, notamment ses articles 53 et suivants ;
Vu la délibération n° 2011-315 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de formation tendant à la protection des personnes à l’égard du traitement des données à caractère personnel
Vu le dossier et ses compléments ;
Après avoir entendu M. Jean-François CARREZ, Commissaire, président du Comité de labellisation, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La formation, objet de la demande, se compose comme suit :
Introduction ;
Statut du Correspondant Informatique et Libertés ;
Missions du Correspondant Informatique et Libertés ;
Veille du Correspondant Informatique et Libertés ;
Applications concrètes.
Conformément à l’article 53-1 du règlement intérieur de la CNIL, la demande de label a fait l’objet d’une évaluation par le Comité de labellisation.
La Commission reconnaît que la formation présentée est conforme au référentiel auquel elle se rapporte.

De la délivrance du label CNIL « formation » pour la formation intitulée «Correspondant Informatique et Libertés » du cabinet HSC.
Ce label est délivré pour une durée de trois ans conformément à l’article 53-11 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité annuel.
La présente délibération sera publiée au Journal officiel de la République française.
La Présidente
Isabelle FALQUE-PIERROTIN
(Saisine n° 12002082)
La Commission nationale de l’informatique et des libertés,
Saisie par le cabinet HAAS, le 4 janvier 2012, d’une demande de délivrance de label concernant sa formation intitulée « les enjeux du droit à la protection des données à caractère personnel » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2006-147 du 23 mai 2006 modifiée fixant le règlement intérieur de la CNIL, notamment ses articles 53 et suivants ;
Vu la délibération n° 2011-315 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de formation tendant à la protection des personnes à l’égard du traitement des données à caractère personnel
Vu le dossier et ses compléments ;
Après avoir entendu M. Jean-François CARREZ, Commissaire, président du Comité de labellisation, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La formation, objet de la demande, se compose comme suit :
Décryptage de la loi informatique et Libertés ;
Les formalités préalables ;
Rôle, fonction et missions de la CNIL ;
Echanges de données ;
Encadrement des traitements dans le domaine de la santé ;
Pouvoir de contrôle a posteriori de la CNIL ;
Pouvoir de sanction ;
Dispositions pénales associées au non respect de la loi Informatique et Libertés.
Conformément à l’article 53-1 du règlement intérieur de la CNIL, la demande de label a fait l’objet d’une évaluation par le Comité de labellisation.
La Commission reconnaît que la formation présentée est conforme au référentiel auquel elle se rapporte.

De la délivrance du label CNIL « formation » pour la formation intitulée « les enjeux du droit à la protection des données à caractère personnel » du cabinet HAAS.
Ce label est délivré pour une durée de trois ans conformément à l’article 53-11 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité annuel.
La présente délibération sera publiée au Journal officiel de la République française.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1558764v1)
La Commission nationale de l’informatique et des libertés ;
Saisie par Banque Accord d’une demande de modification de la délibération n°2012-039 du 2 février 2012 autorisant la mise en place à titre expérimental par la Caisse Régionale de Crédit Agricole Mutuel de Charente Périgord d’un système de paiement sans contact avec authentification biométrique du payeur ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son articles 25-I-8 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Paul AMOUDRY, commissaire, et après avoir entendu les observations de Mme Catherine POZZO Di BORGO, commissaire du Gouvernement ;
Formule les observations suivantes :
La Commission a délivré à la Caisse Régionale de Crédit Agricole Mutuel de Charente Périgord, le 2 février 2012, une autorisation portant sur la mise en place à titre expérimental d’un système de paiement sans contact avec authentification biométrique du porteur. Cette autorisation prévoit que « L'expérimentation envisagée est limitée dans le temps et dans l'espace. Elle concerne l'utilisation en 2012, pendant une durée de six mois, des cartes bancaires avec authentification biométrique du porteur chez quelques commerçants participant à cette expérimentation ».
La phase d’expérimentation ayant été retardée, elle se poursuivra au premier semestre 2013. Cette modification n’appelle pas d’observation de la part de la Commission.
Dès lors, la Commission autorise la modification par la Caisse Régionale de Crédit Agricole Mutuel de Charente Périgord de l’expérimentation relative à un système de paiement sans contact avec authentification biométrique du payeur.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1554002v1)
La Commission nationale de l’informatique et des libertés ;
Saisie par Banque Accord d’une demande de modification de la délibération n°2012-033 du 2 février 2012 autorisant la mise en place à titre expérimental par le Crédit Mutuel ARKEA d’un système de paiement sans contact avec authentification biométrique du payeur ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son articles 25-I-8 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Paul AMOUDRY, commissaire, et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
La Commission a délivré au Crédit Mutuel ARKEA, le 2 février 2012, une autorisation portant sur la mise en place à titre expérimental d’un système de paiement sans contact avec authentification biométrique du porteur. Cette autorisation prévoit que « L'expérimentation envisagée est limitée dans le temps et dans l'espace. Elle concerne l'utilisation en 2012, pendant une durée de six mois, des cartes bancaires avec authentification biométrique du porteur chez quelques commerçants participant à cette expérimentation ».
La phase d’expérimentation ayant été retardée, elle se poursuivra au premier semestre 2013. Cette modification n’appelle pas d’observation de la part de la Commission.
Dès lors, la Commission autorise la modification par le Crédit Mutuel ARKEA de l’expérimentation relative à un système de paiement sans contact avec authentification biométrique du payeur.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l’informatique et des libertés,
Vu la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, telle que modifiée par la loi n° 2004-801 du 6 août 2004, notamment son article 13 ;
Après qu’il a été procédé au vote en présence du Commissaire du gouvernement,
Constate :
Article 1er : Mme Marie-Hélène MITJAVILE est élue membre de la formation restreinte de la Commission nationale de l’informatique et des libertés.
Article 2 : La formation restreinte de la Commission est ainsi composée :
Mme Claire DAVAL, présidente
M. Jean-Marie COTTERET, Vice-président,
M. Jean-François CARREZ,
M. Claude DOMEIZEL,
Mme Marie-Hélène MITJAVILE
M. Dominique RICHARD.
Article 3 : La présidente de la Commission est chargée de l’exécution de la présente délibération qui sera publiée au Journal officiel.
Isabelle FALQUE-PIERROTIN
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de  Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments,  la société CHEVRON ORONITE SA de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Le Président,
Société responsable du transfert
Société CHEVRON ORONITE SA
Finalité du transfert
Mise en place d’un annuaire professionnel au niveau mondial (Whitepages). Centralisation des données ressources humaines par la maison mère (SAP).
Catégories de données transférées
Pour l’annuaire :  données d’identification, adresse professionnelle, code du lieu de travail, formations, diplômes.
Pour la centralisation des données RH : données d’identification, situation familiale et militaire (facultatifs), adresse, coordonnées professionnelles, formation, titre, grade, évaluations, rémunération, ancienneté.
Identité(s) du(des) destinataire(s)
Les personnels habilités des sociétés CHEVRON USA INC et CHEVRON CORPORATION
6001 Bollinger Canyon Road
San Ramon, California, 94583
Etats-Unis
Pays d’établissement du(des) destinataire(s)
Etats-Unis
Service auprès duquel s’exerce le droit d’accès des personnes concernées
CHEVRON ORONITE SA
79 rue Anatole France
92309 LEVALOIS PERRET
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision de la Commission européenne n° 95/46/EC du 15 juin 2001 concernant les transferts de responsable de traitement à responsable de traitement
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la déclaration n° 1358168 ;
Sur le rapport de M. Didier GASSE, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments,  la société AJINOMOTO EUROLYSINE SAS de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Le Président,
Société responsable du transfert
Société AJINOMOTO EUROLYSINE SAS
Finalité du transfert
Echange d’informations par le biais de la téléphonie
Catégories de données transférées
Informations commerciales, techniques et financières
I Catégories de personnes concernées par le transfert
Les salariés du groupe, les clients et fournisseurs
Identité(s) du(des) destinataire(s)
Les personnes habilitées au sein du groupe AJINOMOTO
Pays d’établissement du(des) destinataire(s)


Allemagne,

Thaïlande,





Grande Bretagne,





Philippines,


Singapour,

Service auprès duquel s’exerce le droit d’accès des personnes concernées
Société AJINOMOTO EUROLYSINE SAS
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision de la Commission européenne n° 95/46/EC du 15 juin 2001 concernant les transferts de responsable de traitement à responsable de traitement
Observations particulières
Notes de services et réunions,
Informations collectives
Durée de conservation des données : 1 an
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de  Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments,  la société DAVIS POLK & WARDWELL de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Le Président,
Société responsable du transfert
Société DAVIS POLK & WARDWELL
Finalité du transfert
Gestion globale de la mobilité des collaborateurs.
Echanges de données en matière comptable, marketing et juridique.
Enregistrement et surveillance des locaux.
Catégories de données transférées
Données d’identification clients et fournisseurs.
Données financières et comptable.
Identité des collaborateurs de la société. Formation, diplômes et distinctions. Adresse. Vie professionnelle et coordonnées bancaires.
Images vidéos.
Identité(s) du(des) destinataire(s)
Les personnes habilitées dans la limite de leurs attributions des bureaux suivants :
-Davis Polk & Wardwell, bureau de New-York
-Davis Polk & Wardwell, bureau de Menlo
-Davis Polk & Wardwell, bureau de Washington
-Davis Polk & Wardwell, bureau de Pékin
-Davis Polk & Wardwell, bureau de Hong-Kong
-Davis Polk & Wardwell, bureau de Tokyo
Pour les images vidéo, seuls les deux responsables du département de la Sécurité de Davis Polk & Wardwell à New-York sont habilités dans la limite de leurs attributions.
Pays d’établissement du(des) destinataire(s)
Etats-Unis, Chine, Japon
Service auprès duquel s’exerce le droit d’accès des personnes concernées
Davis Polk & Wardwell. 121 avenue des Champs Elysées – 75008 Paris.
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision de la Commission européenne n° 95/46/EC du 15 juin 2001 concernant les transferts de responsable de traitement à responsable de traitement
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la déclaration n° 1357086 ;
Sur le rapport de M. Bernard PEYRAT, commissaire et les observations de  Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments,  la société BIOMERIEUX S.A. de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Le Président,
Société responsable du transfert
Société BIOMERIEUX S.A.
Finalité du transfert
Partage de coordonnées de KOL. (Key Opinion Leaders) dans les domaines scientifiques et réglementaires
Catégories de données transférées
Nom, prénom,

Formation professionnelle, diplômes,
Vie professionnelle,
Poste occupé,
Adresse professionnelle
I Catégories de personnes concernées par le transfert
Key Opinion Leaders, experts dans leur domaine scientifique ou réglementaire
Identité(s) du(des) destinataire(s)
Les personnes habilitées au sein du groupe Mérieux Alliance
Shanta Biotechnics, Silliker, Advanced BioScience Laobarories (ABL), BioMérieux China Limited
Pays d’établissement du(des) destinataire(s)



Service auprès duquel s’exerce le droit d’accès des personnes concernées
Société BIOMERIEUX S.A.
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision de la Commission européenne n° 95/46/EC du 15 juin 2001 concernant les transferts de responsable de traitement à responsable de traitement
Observations particulières
Remise de courrier et/ou clause ajoutée sur le contrat de collaboration