Nicolas-BZRD/CNIL_opendata huggingface dataset:
La Commission nationale de l'informatique et des libertés,
Saisie par la société MCI FRANCE SAS d'une déclaration d'un traitement automatisé de données à caractère personnel dont la finalité principale est "la transmission de données de connexion à Internet en vue de la facturation et de l'élaboration de statistiques", et d'une demande d'autorisation portant sur un transfert de données à caractère personnel issues de ce traitement vers les sociétés MCI NETWORK SERVICES et MCI ASIA PACIFIC, respectivement établies aux Etats-Unis et à Singapour ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données, et notamment ses articles 25 et 26 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 69 alinéa 8 ;
Vu la décision de la Commission européenne n° 2001/497/CE du 15 juin 2001 relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des destinataires situés dans des pays tiers en vertu de la directive 95/46/CE ;
Observe que les transferts envisagés, au regard de leurs caractéristiques, ne sont pas contraires aux dispositions des textes susvisés ;
Le contrat conclu aux fins d'encadrer les transferts de données à caractère personnel entre la société MCI FRANCE SAS et les sociétés MCI NETWORK SERVICES et MCI ASIA PACIFIC, destinataires des informations, met en oeuvre les clauses contractuelles types émises par la Commission européenne dans sa décision précitée ;
Autorise dans ces conditions les transferts des données à caractère personnel émis par la société MCI FRANCE SAS vers les sociétés MCI NETWORK SERVICES et MCI ASIA PACIFIC.
Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,
Saisie par la société MCI FRANCE SAS d'une déclaration d'un traitement automatisé de données à caractère personnel dont la finalité principale est "la mise en production et exploitation de lignes spécialisées", et d'une demande d'autorisation portant sur un transfert de données à caractère personnel issues de ce traitement vers les sociétés MCI NETWORK SERVICES et MCI ASIA PACIFIC, respectivement établies aux Etats-Unis et à Singapour ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données, et notamment ses articles 25 et 26 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 69 alinéa 8 ;
Vu la décision de la Commission européenne n° 2001/497/CE du 15 juin 2001 relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des destinataires situés dans des pays tiers en vertu de la directive 95/46/CE ;
Observe que les transferts envisagés, au regard de leurs caractéristiques, ne sont pas contraires aux dispositions des textes susvisés ;
Le contrat conclu aux fins d'encadrer les transferts de données à caractère personnel entre la société MCI FRANCE SAS et les sociétés MCI NETWORK SERVICES et MCI ASIA PACIFIC, destinataires des informations, met en oeuvre les clauses contractuelles types émises par la Commission européenne dans sa décision précitée ;
Autorise dans ces conditions les transferts des données à caractère personnel émis par la société MCI FRANCE SAS vers les sociétés MCI NETWORK SERVICES et MCI ASIA PACIFIC.
Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,
Saisie par la société ESSO SAF d'une déclaration d'un traitement automatisé de données à caractère personnel dont la finalité principale est "l'inventaire des applications installées sur les PCs des utilisateurs en préparation du passage sous Windows XP", et d'une demande d'autorisation portant sur un transfert de données à caractère personnel issues de ce traitement vers la société EXXON MOBIL Corp., établie aux Etats-Unis ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données, et notamment ses articles 25 et 26 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 69 alinéa 8 ;
Vu la décision de la Commission européenne n° 2001/497/CE du 15 juin 2001 relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des destinataires situés dans des pays tiers en vertu de la directive 95/46/CE ;
Observe que le transfert envisagé, au regard de ses caractéristiques, n'est pas contraire aux dispositions des textes susvisés ;
Le contrat conclu aux fins d'encadrer le transfert de données à caractère personnel entre la société ESSO SAF et la société EXXON MOBIL Corp., destinataire des informations, met en oeuvre les clauses contractuelles types émises par la Commission européenne dans sa décision précitée ;
Autorise dans ces conditions les transferts des données à caractère personnel émis par la société ESSO SAF vers la société EXXON MOBIL Corp..
Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,
Saisie d'une déclaration d'un traitement automatisé relatif à la gestion des adhérents de la Fédération Départementale des Chasseurs de Dordogne, parvenue à la Commission le 2 décembre 2004 et complétée le 29 décembre 2004.
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25 ;
Vu le code de l'environnement, et notamment ses articles 421-5 et 426-1 ;
Après avoir entendu M. Guy Rosier, commissaire, en son rapport, et Mme Charlotte-Marie Pitrat, commissaire du Gouvernement en ses observations,
Formule les observations suivantes :
La fédération départementale des chasseurs de Dordogne a déposé auprès de la CNIL un dossier relatif à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité la gestion des adhérents, dans le cadre duquel sont traitées des informations relatives aux infractions en matière de chasse commises sur le territoire départemental. Or, en vertu des articles 421-5 et suivants du code de l'environnement la fédération est habilitée à recevoir copie des procès verbaux d'infraction au règlement de chasse.
La Commission considère qu'il y a lieu, en l'espèce, de faire application des nouvelles dispositions applicables en matière de formalités préalables, en particulier de l'article 25. 3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.
Le droit d'accès défini au chapitre VII de ladite loi s'exercera auprès du service administratif de la fédération des chasseurs de Dordogne, boulevard de Saltgourde, BP 232 Marsac S/l'Isles, 24052 Périgueux cedex 9.
Les catégories de données à caractère personnel enregistrées seront relatives à l'identité des adhérents et aux informations figurant sur le procès verbal d'infraction dressés conformément aux dispositions de l'article L. 428-20 du code de l'environnement.
Les destinataires des informations seront les personnels habilités de la fédération départementale des chasseurs de Dordogne.
Autorise dans ces conditions la fédération départementale de Dordogne à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité la gestion des adhérents.
Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,
Saisie le 28 janvier 2005 d'une déclaration d'un traitement automatisé de données à caractère personnel ayant pour finalité la lutte anti-blanchiment ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25 ;
Vu le rapport d'étape adopté en séance plénière le 7 octobre 2003 relatif à la lutte contre le blanchiment d'argent et le financement du terrorisme au sein des organismes financiers ;
Après avoir entendu M. Philippe Nogrix, Commissaire, en son rapport, et Mme Charlotte-Marie Pitrat, Commissaire du Gouvernement en ses observations.
Formule les observations suivantes :
La Banque Martin Maurel a déposé auprès de la CNIL un dossier relatif à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité la lutte anti-blanchiment dont les modalités de mise en oeuvre sont conformes aux recommandations figurant dans le rapport d'étape adopté en séance plénière le 7 octobre 2003 relatif à la lutte contre le blanchiment d'argent et le financement du terrorisme au sein des organismes financiers.
La Commission considère qu'il y a lieu de faire application des nouvelles dispositions applicables en matière de formalités préalables, en particulier de l'article 25, 4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire.
Autorise la Banque Martin Maurel à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité la lutte anti-blanchiment.
Le droit d'accès défini au chapitre VII de la loi s'exerce auprès du service de l'inspection de la banque, 37 rue Paradis à Marseille (13006).
Les catégories de données à caractère personnel enregistrées sont relatives à l'identité ainsi qu'à la situation économique et financière des clients.
Les destinataires des informations sont les personnels habilités de la Banque Martin Maurel et la cellule Tracfin.
Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,
Saisie par la société ESSO SAF d'une déclaration d'un traitement automatisé de données à caractère personnel dont la finalité principale est "la gestion des immobilisations informatiques", et d'une demande d'autorisation portant sur un transfert de données à caractère personnel issues de ce traitement vers la société EXXON MOBIL Corp., établie aux Etats-Unis ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données, et notamment ses articles 25 et 26 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 69 alinéa 8 ;
Vu la décision de la Commission européenne n° 2001/497/CE du 15 juin 2001 relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des destinataires situés dans des pays tiers en vertu de la directive 95/46/CE ;
Observe que le transfert envisagé, au regard de ses caractéristiques, n'est pas contraire aux dispositions des textes susvisés ;
Le contrat conclu aux fins d'encadrer le transfert de données à caractère personnel entre la société ESSO SAF et la société EXXON MOBIL Corp., destinataire des informations, met en oeuvre les clauses contractuelles types émises par la Commission européenne dans sa décision précitée ;
Autorise dans ces conditions les transferts des données à caractère personnel entre la société ESSO SAF et la société EXXON MOBIL Corp..
Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,
Vu la Convention du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 41 et 42 ;
Vu le décret n° 79-1160 du 28 décembre 1979 fixant les conditions d'application aux traitements d'informations nominatives intéressant la sûreté de l'Etat, la défense et la sécurité publique de la loi n° 78-17 du 6 janvier 1978 ;
Vu l'avis publié au Journal officiel du 2 avril 2005 relatif à la désignation par l'assemblée générale du Conseil d'Etat en qualité de membre de la Commission Nationale de l'Informatique et des Libertés de M. Jean Massot, en remplacement de M. François Bernard, démissionnaire ;
Vu le règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Après avoir entendu, M. Alex Türk, président en son rapport et Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations ;
Article 1er : M. Jean Massot, président de section honoraire au conseiller d'Etat, est désigné pour exercer conformément à l'article 41 de la loi du 6 janvier 1978 modifiée, le droit d'accès aux traitements automatisés et manuels, intéressant la sûreté de l'Etat, la défense et la sécurité publique :
Article 2 : Le commissaire désigné peut procéder à toutes investigations dans les conditions prévues à l'article 41 de la loi. Au terme de ces investigations, il lui appartient de faire procéder aux suppressions et modifications qu'il estime justifiées, de constater, en accord avec le responsable du traitement que les données qui sont contenues dans les traitements mentionnés à l'article 1er ne mettent pas en cause la sûreté de l'Etat, la défense et la sécurité publique et qu'il y a lieu de les communiquer au requérant.
Article 3 : Le président de la Commission est chargé de l'application de la présente délibération.
La Commission nationale de l'informatique et des libertés,
Saisie par la société ESSO SAF d'une déclaration d'un traitement automatisé de données à caractère personnel dont la finalité principale est "l'édition de rapports relatifs aux actions prises sur les serveurs par les administrateurs réseau", et d'une demande d'autorisation portant sur un transfert de données à caractère personnel issues de ce traitement vers les sociétés EXXON MOBIL Corp. et EXXON MOBIL MALAYSIA, établies respectivement aux Etats-Unis et en Malaisie ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données, et notamment ses articles 25 et 26 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 69 alinéa 8 ;
Vu la décision de la Commission européenne n° 2001/497/CE du 15 juin 2001 relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des destinataires situés dans des pays tiers en vertu de la directive 95/46/CE ;
Observe que les transferts envisagés, au regard de leurs caractéristiques, ne sont pas contraires aux dispositions des textes susvisés ;
Le contrat conclu aux fins d'encadrer les transferts de données à caractère personnel entre la société ESSO SAF et les sociétés EXXON MOBIL Corp. et EXXON MOBIL MALAYSIA, destinataires des informations, met en oeuvre les clauses contractuelles types émises par la Commission européenne dans sa décision précitée ;
Autorise dans ces conditions les transferts des données à caractère personnel émis par la société ESSO SAF vers les sociétés EXXON MOBIL Corp. et EXXON MOBIL MALAYSIA.
Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,
Saisie par la société MCI FRANCE SAS d'une déclaration d'un traitement automatisé de données à caractère personnel dont la finalité principale est "l'optimisation de la gestion des problèmes sur le réseau utilisé pour offrir les services aux clients", et d'une demande d'autorisation portant sur un transfert de données à caractère personnel issues de ce traitement vers les sociétés MCI NETWORK SERVICES et MCI ASIA PACIFIC, respectivement établies aux Etats-Unis et à Singapour ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données, et notamment ses articles 25 et 26 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 69 alinéa 8 ;
Vu la décision de la Commission européenne n° 2001/497/CE du 15 juin 2001 relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des destinataires situés dans des pays tiers en vertu de la directive 95/46/CE ;
Observe que les transferts envisagés, au regard de leurs caractéristiques, ne sont pas contraires aux dispositions des textes susvisés ;
Le contrat conclu aux fins d'encadrer les transferts de données à caractère personnel entre la société MCI FRANCE SAS et les sociétés MCI NETWORK SERVICES et MCI ASIA PACIFIC, destinataires des informations, met en oeuvre les clauses contractuelles types émises par la Commission européenne dans sa décision précitée ;
Autorise dans ces conditions les transferts des données à caractère personnel émis par la société MCI FRANCE SAS vers les sociétés MCI NETWORK SERVICES et MCI ASIA PACIFIC.
Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,
Vu la délibération n° 2004-094 du 2 décembre 2004 portant autorisation de la mise en oeuvre par la Banque de France d'une expérimentation concernant le comptage du nombre de chèques consultés sur un compte dans le cadre de la consultation du Fichier national des chèques irréguliers (FNCI).
Vu la demande de modification adressée par la Banque de France le 12 mai 2005 ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25 ;
Vu l'article L141-4 du code monétaire et financier ;
Vu la loi n° 91-1382 relative à la sécurité des chèques et des cartes de paiement et les décrets n° 92-456 et 92-467 ;
Vu l'arrêté du 24 juillet 1992 relatif au traitement automatisé des informations sur la régularité des chèques ;
Vu la délibération de la Commission Nationale Informatique et de Libertés n° 92-068 du 7 juillet 1992.
Après avoir entendu M. Philippe Nogrix, commissaire, en son rapport, et Mme Charlotte-Marie Pitrat, commissaire du Gouvernement en ses observations,
Formule les observations suivantes :
La modification du Fichier national des chèques irréguliers (FNCI) demandée par la Banque de France a pour objet de procéder durant deux mois et auprès d'un magasin adhérent à "RESIST" à une expérimentation visant à mieux appréhender le phénomène des "chèques flambants".
Le droit d'accès défini au chapitre VII de la loi s'exerce auprès du Fichier national des chèques irréguliers (FNCI) en écrivant à : BDF FNCI 86067 Poitiers Cedex 09.
Autorise la Banque de France à procéder à la mise en oeuvre de l'expérimentation selon les modalités définies dans la délibération n° 2004-094 du 2 décembre, modifiées conformément à la demande de la Banque de France.
Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25,
Vu la déclaration présentée par la Caisse régionale de crédit agricole de Martinique,
Après avoir entendu M. Philippe Nogrix, Commissaire, en son rapport, et Mme Catherine Pozzo di Borgo, Commissaire du Gouvernement adjoint, en ses observations,
Formule les observations suivantes :
La Caisse régionale de crédit agricole de Martinique a saisi la CNIL d'une déclaration relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité de mesurer le risque crédit des clients professionnels en analysant leur situation financière et en attribuant une note correspondant au niveau de risque. La table de notation affectée d'un niveau de risque est jointe au dossier ;
La Commission considère qu'il y a lieu de faire application des nouvelles dispositions applicables en matière de formalités préalables, en particulier de l'article 25-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements ayant pour objet, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire.
Le droit d'accès défini au chapitre VII de la loi s'exercera auprès de la Caisse régionale de crédit agricole de Martinique, service audit, rue Case Nègres, Place d'Armes, BP 370, 97288 Le Lamentin cedex 2.
Les catégories de données à caractère personnel enregistrées seront relatives à l'identité et la situation économique et financière.
Les destinataires des informations seront les personnels habilités de la Caisse régionale de crédit agricole de Martinique.
Autorise, dans ces conditions, la Caisse régionale de crédit agricole de Martinique à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité de mesurer le risque crédit des clients professionnels en analysant leur situation financière et en attribuant une note correspondant au niveau de risque.
Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,
Saisie d'une demande d'autorisation d'un traitement automatisé de données à caractère personnel reposant sur l'utilisation d'un dispositif biométrique de reconnaissance du contour de la main et ayant pour finalité le contrôle des horaires des employés ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-I-8° ;
Après avoir entendu M. Hubert Bouchet, commissaire, en son rapport, et Mme Charlotte-Marie Pitrat, commissaire du Gouvernement en ses observations ;
Faisant application des dispositions de l'article 25-I-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes ;
Formule les observations suivantes :
La société MFG Education a adressé à la Commission nationale de l'informatique et des libertés, le 29 juin 2004, une demande d'autorisation relative à la mise en oeuvre d'un traitement automatisé de données à caractère personnel reposant sur l'utilisation de dispositifs biométriques de reconnaissance du contour de la main et ayant pour finalité le contrôle des horaires des employés.
Il convient d'examiner ledit traitement au regard des principes relatifs à la protection des données à caractère personnel et, notamment, de l'article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
La Commission considère, au vu des motifs invoqués par la société MFG Education dans sa demande d'autorisation, que l'objectif d'une meilleure gestion des temps de travail, s'il est légitime, ne paraît pas, en lui-même, de nature à justifier l'enregistrement dans un lecteur biométrique des gabarits du contour de la main des employés.
Ainsi, le recours à un élément propre à l'identité physique des employés aux seules fins de contrôler les temps de travail n'apparaît pas proportionné à la finalité poursuivie.
Dès lors, la Commission n'autorise pas, en l'état, la société MFG Education, sise 6 rue Bourdonnais - 91017 Evry, à mettre en oeuvre un traitement de données à caractère personnel reposant sur l'utilisation d'un dispositif biométrique de reconnaissance du contour de la main dont la finalité est le contrôle des horaires des employés.
Le président, Alex TURK.
La Commission nationale de l'informatique et des liberés,
Saisie, le 16 décembre 2004, d'une demande d'autorisation par l'Association de gestion du réseau e-santé Bas-Normand de mise en place d'une plate forme régionale d'information de santé ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 8-IV et 25 ;
Après avoir entendu M. François Bernard, commissaire, en son rapport, et Mme Charlotte-Marie Pitrat, Commissaire du Gouvernement en ses observations.
Autorise l'association de gestion du réseau e-santé Bas-Normand à mettre en place une plate forme régionale d'information de santé, dénommée PRISM, afin notamment d'améliorer la qualité des soins et limiter les redondances des prestations médicales, mutualiser des données médico-administratives fiables et permettre l'utilisation d'un dossier médical partagé entre la ville et l'hôpital.
Le système d'information du réseau repose sur internet et un réseau sécurisé santé. Les données appelées à circuler bénéficient d'un haut niveau de sécurité : protocole HTTPS avec un chiffrement des données de type SSL sur 128 bits et un lien de type VPN (Virtual Private Network) entre les établissements et la plate-forme. L'accès au réseau est protégé par la carte de professionnel de santé ou un identifiant plus mot de passe personnel attribué par l'administrateur du réseau dans des conditions strictes de confidentialité. Une traçabilité de l'ensemble des connexions est prévue.
La Commission prend acte du recueil de l'accord préalable du patient à tout échange de données le concernant. Toutefois, en cas d'urgence, justifiée par la sauvegarde de la vie humaine, le recueil préalable du consentement de la personne ne sera pas requis.
Le droit d'accès défini au chapitre V de la loi s'exerce auprès du professionnel de santé en contact direct avec le patient.
Les catégories de données à caractère personnel enregistrées sont relatives à l'identité du patient et aux éléments constitutifs du dossier médical.
Les informations sont conservées dans l'application tant que le patient adhère au réseau. A l'issue de cette période, les données doivent être archivées conformément à la réglementation en vigueur.
La société BULL, hébergeur du site, devra se soumettre à la procédure d'agrément des hébergeurs de données instituée à l'article L. 1111-8 du Code de la santé publique lorsque le décret d'application sera paru.
Les destinataires des données sont les professionnels de santé participant au réseau pour les informations relatives à leurs patients et avec le consentement de ces derniers.
Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,
Saisie le 10 septembre 2004 d'une demande d'autorisation d'intégration dans les systèmes d'information de la caisse de retraite et de prévoyance des clercs et employés de notaires (CRPCEN) de la nouvelle classification des actes médicaux et des prestations ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 8-IV et 25 ;
Vu l'article L. 161-29 du code de la sécurité sociale ;
Après avoir entendu M. François Bernard, commissaire, en son rapport, et Mme Charlotte-Marie Pitrat, Commissaire du Gouvernement en ses observations,
Autorise la caisse de retraite et de prévoyance des clercs et employés de notaires à enregistrer dans le cadre de la mise en oeuvre de la nouvelle classification commune des actes médicaux, le numéro de code des actes effectués, des prestations servies dans les traitements de liquidation des prestations, dans les systèmes d'analyse des fichiers de liquidation mis en oeuvre à des fins de connaissance et d'évaluation des dépenses de santé ou de contrôle notamment médical et dans le système national inter-régimes destiné à l'édition des relevés d'honoraires pour les praticiens, à la production de statistiques d'activité des praticiens et à la surveillance des conventions nationales.
Le droit d'accès défini au chapitre V de la loi s'exerce pour les assurés et les professionnels de santé auprès de leur caisse de rattachement.
Les catégories de données à caractère personnel enregistrées sont celles précédemment prévues dans les traitements de liquidation : l'identité de l'assuré ou de l'ayant droit, le numéro de sécurité sociale, la situation familiale de l'assuré, sa situation professionnelle ainsi que les données issues du codage des actes et prestations.
Les destinataires des données sont, dans le cadre de leurs fonctions et pour la durée nécessaire à leur accomplissement, le centre de traitement des caisses de l'est de l'lle de France, le médecin-conseil de la CRPCEN et le service opérationnel maladie de la CRPCEN.
Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25 ;
Vu la déclaration présentée par la Banque Populaire Loire et Lyonnais ;
Après avoir entendu M. Philippe Nogrix, Commissaire, en son rapport, et Mme Catherine Pozzo di Borgo, Commissaire du Gouvernement adjoint, en ses observations ;
Formule les observations suivantes :
La Banque Populaire Loire et Lyonnais a saisi la CNIL d'une déclaration relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité le calcul du score de crédit revolving, dont les variables et pondérations sont définies d'après des tables et grilles jointes au dossier ;
La Commission considère qu'il y a lieu de faire application des nouvelles dispositions applicables en matière de formalités préalables, en particulier de l'article 25-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements ayant pour objet, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire.
Le droit d'accès défini au chapitre VII de la loi s'exercera auprès de la Banque Populaire Loire et Lyonnais, 141 rue Garibaldi, BP 3152 à Lyon cedex 3 (69211).
Les catégories de données à caractère personnel enregistrées seront relatives à l'identité, la situation familiale, le logement, la vie professionnelle, la situation économique et financière et la santé.
Les destinataires des informations seront les personnels habilités de la Banque Populaire Loire et Lyonnais, le service interne BP2L et la compagnie d'assurance.
Autorise, dans ces conditions, la Banque Populaire Loire et Lyonnais à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité le calcul du score de crédit revolving.
Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25 ;
Vu la déclaration présentée par la Banque Populaire Loire et Lyonnais ;
Après avoir entendu M. Philippe Nogrix, Commissaire, en son rapport, et Mme Catherine Pozzo di Borgo, Commissaire du Gouvernement adjoint, en ses observations,
Formule les observations suivantes :
La Banque Populaire Loire et Lyonnais a saisi la CNIL d'une déclaration relative à la mise en oeuvre d'un traitement automatisé de données à caractère personnel ayant pour finalité la saisie et les contrôles des informations nécessaires à l'étude des demandes de prêts personnels effectuées par la clientèle, consistant en la mesure du risque de crédit présenté par les clients professionnels en analysant leur situation financière et en attribuant une note correspondant au niveau de risque résultant de leur situation financière.
La Commission considère qu'il y a lieu de faire application des nouvelles dispositions applicables en matière de formalités préalables, en particulier de l'article 25-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements ayant pour objet, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire.
Le droit d'accès défini au chapitre VII de la loi s'exercera auprès de la Banque Populaire Loire et Lyonnais, 141 rue Garibaldi, BP 3152 à Lyon cedex 3 (69211).
Les catégories de données à caractère personnel enregistrées seront relatives à l'identité, la vie professionnelle et la situation économique et financière.
Les destinataires des informations seront les sociétés d'assurances, les personnels habilités de la Banque Populaire Loire et Lyonnais et le service interne BP2L.
Autorise, dans ces conditions, la Banque Populaire Loire et Lyonnais à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité la saisie et les contrôles des informations nécessaires à l'étude des demandes de prêts personnels effectuées par la clientèle, consistant en la mesure du risque de crédit présenté par les clients professionnels en analysant leur situation financière et en attribuant une note correspondant au niveau de risque résultant de leur situation financière.
Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,
Saisie d'une déclaration d'un traitement automatisé modificatif de données à caractère personnel ayant pour finalité de respecter des obligations légales et réglementaires en matière de lutte contre le blanchiment des capitaux, parvenue à la Commission le 20 novembre 2004 ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25 ;
Vu le rapport d'étape adopté en séance plénière le 7 octobre 2003 relatif à la lutte contre le blanchiment d'argent et le financement du terrorisme au sein des organismes financiers.
Après avoir entendu M. Philippe Nogrix, Commissaire, en son rapport, et Mme Charlotte-Marie Pitrat, Commissaire du Gouvernement en ses observations,
Formule les observations suivantes :
L'Union de Banques à Paris a déposé auprès de la CNIL un dossier relatif à la mise en oeuvre d'un traitement modificatif de données à caractère personnel ayant pour finalité de respecter des obligations légales et réglementaires en matière de lutte contre le blanchiment des capitaux dont les modalités de mise en oeuvre sont conformes aux recommandations figurant dans le rapport d'étape adopté en séance plénière le 7 octobre 2003 relatif à la lutte contre le blanchiment d'argent et le financement du terrorisme au sein des organismes financiers.
La Commission considère qu'il y a lieu de faire application des nouvelles dispositions applicables en matière de formalités préalables, en particulier de l'article 25, 4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire.
Autorise l'Union de Banques à Paris à mettre en oeuvre un traitement modificatif de données à caractère personnel ayant pour finalité de respecter des obligations légales et réglementaires en matière de lutte contre le blanchiment des capitaux.
Le droit d'accès défini au chapitre VII de la loi s'exerce auprès de l'Union de Banques à Paris, 22 place de la Madeleine, 75360 Paris cedex 08.
Les catégories de données à caractère personnel enregistrées sont relatives à l'identité, la situation familiale, l'adresse et la situation économique et financière.
Les destinataires des informations sont les personnels habilités de l'Union de Banque à Paris.
Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,
Saisie d'une demande d'autorisation par le réseau de santé de gérontologie dénommé Visage géré par le centre hospitalier Lucien Hussel de Vienne ayant pour objet le partage d'informations de type médical et social entre les professionnels intervenant auprès des personnes âgées à domicile dépendantes suivies par le réseau ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 8-IV et 25 ;
Après avoir entendu M. François Bernard, commissaire, en son rapport, et Mme Charlotte-Marie Pitrat, Commissaire du Gouvernement en ses observations.
Autorise le réseau Visage du centre hospitalier Lucien Hussel de Vienne à mettre en oeuvre sur le réseau santé social un dossier médical et social partagé entre les professionnels de santé et les assistants sociaux dûment habilités dans l'exercice de leurs fonctions intervenant auprès des personnes âgées à domicile dépendantes suivies par le réseau.
Les données sont cryptées et les professionnels de santé s'authentifient par leur carte de professionnel de santé (CPS).
Le droit d'accès défini au chapitre V de la loi s'exerce auprès de n'importe lequel des intervenants du réseau, par le biais de la cellule de coordination du réseau :  Réseau gérontologique Visage, centre hospitalier Lucien Hussel - BP 127 - 38209 Vienne cedex.
Les catégories de données à caractère personnel enregistrées sont relatives à l'identité du patient, son mode de logement, à la personne référente, à l'organisation du soutien à domicile, aux antécédents médico-chirurgicaux, aux maladies actuelles, aux évolutions gérontologiques. au plan de soins infirmiers, à la grille AGGIR, au plan de soins kinésithérapique et ergothérapique, aux prescriptions, aux observations pharmaceutiques, au plan d'aide domicile et à la coopération des soins.
Les destinataires des données sont, dans la limite de leurs attributions respectives, les professionnels de santé et les assistants sociaux dûment habilités intervenant auprès d'un bénéficaire.
S'agissant de la conservation des données, elles doivent être conservées dans l'application tant que le patient adhère au réseau. A l'issue de cette période, les données doivent être archivées conformément à la réglementation en vigueur.
Le centre hospitalier Lucien Hussel devra, en sa qualité d'hébergeur de données de santé à caractère personnel, satisfaire aux conditions d'agrément telles qu'elles seront définies en application de l'article L. 1111-8 du code de la santé publique.
Alex TURK.
La Commission nationale de l'informatique et des libertés,
Saisie d'une demande d'autorisation par le Service du contrôle médical de la Caisse d'assurance maladie des artisans et commerçants d'Aquitaine pour la mise en oeuvre d'une étude sur les prescriptions de psychotropes chez les personnes âgées en Aquitaine ;
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25 ;
Après avoir entendu M. François Bernard, commissaire, en son rapport, et Mme Charlotte-Marie Pitrat, Commissaire du Gouvernement en ses observations,
Autorise le service du contrôle médical de la Caisse d'assurance maladie des artisans et commerçants d'Aquitaine, sous la responsabilité du médecin conseil régional, à créer un traitement automatisé de données à caractère personnel consistant à décrire la consommation de médicaments psychotropes ainsi que la qualité de la prescription de ces médicaments chez les personnes âgées de plus de 75 ans en comparant les personnes admises dans un service d'urgence pour une chute avec celles n'ayant pas chuté.
Le droit d'accès défini au chapitre V de la loi s'exerce auprès du médecin-conseil régional : contrôle médical, CMR Aquitaine, Immeuble "Le prisme", rue Marguerite Crauste, 33087 Bordeaux cedex.
Les catégories de données à caractère personnel enregistrées sont relatives à l'identité du bénéficiaire, son NIR, la date de la chute, le régime de protection sociale, le département d'affiliation, le code des médicaments, spécialité et mode d'exercice du prescripteur.
Les données ne seront pas conservées au delà du temps nécessaire à la réalisation de l'étude.
Le destinataire des données est le service du contrôle médical de la caisse d'assurance maladie des artisans et des commerçants d'Aquitaine.
Alex TURK.