(Demande d’autorisation n° 1541097)
La Commission nationale de l’Informatique et des Libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, modifiée, notamment l’article 36 alinéa 3 et l’article 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2010-460 du 9 décembre 2010 portant recommandation relative aux conditions de réutilisation des données à caractère personnel contenues dans des documents d'archives publiques ;
Sur le rapport de M. Jean MASSOT, commissaire, et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Vu le dossier et ses compléments ;
Formule les observations suivantes :
Sur le responsable du traitement
La société « MEDIPHONE » met en œuvre ce traitement au bénéfice de ces clients, des sociétés de généalogie, en recourant notamment à une de ses filiales, la société « NO PAPER SARL » située à MADAGASCAR.
Sur la finalité
La société « MEDIPHONE » souhaite réutiliser des documents d’archives publiques librement communicables ; à savoir, des registres d’actes de naissance partiellement occultés fournis par ses clients, sociétés de généalogie.
Cette réutilisation consiste pour la société MEDIPHONE, responsable de traitement, à :
La Commission considère les finalités poursuivies comme déterminées, légitimes et explicites.
centraliser les fichiers et images de registres d’actes de naissance fournis par ses clients ;
transférer à sa filiale « NO PAPER SARL » située hors de l’Union européenne, ces données sous format [.JPEG] ;
saisir et indexer ces fichiers à partir des noms, prénoms et sexe de la personne concernée (traitement mis en œuvre par la filiale « NO PAPER SARL ») ;
conserver une copie de sauvegarde de tous les fichiers reçus et transférés pour limiter les risque de pertes de données (traitement également mis en œuvre par la filiale « NO PAPER SARL ») ;
restituer les images des actes de naissance et leur indexation aux généalogistes clients de MEDIPHONE.
Sur les données à caractère personnel traitées
Ne sont traités que des données à caractère personnel contenues dans des documents d’archives « datant de plus de 120 ans révolus », et ne concernant donc vraisemblablement que des personnes décédées. Cette caractéristique est assurée contractuellement par les clients de MEDIPHONE, les sociétés de généalogies qui lui fournissent les actes d’état civil à numériser.
Les catégories de données traitées sont les suivantes :
La Commission prend acte que les données suivantes sont masquées des actes de naissance mis sous format image [.JPEG] :
les nom, prénoms, sexe de la personne ;
les nom, prénoms, adresse et profession des parents ;
les heures, dates et lieux de naissance des individus mentionnés dans l’acte.
les données relevant des articles 8 et 9 de la loi « Informatique et Libertés »,
et les mentions marginales.

les prénoms,
et le sexe de la personne concernée par l’acte de naissance.
La Commission estime que ces données apparaissent pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Par ailleurs, ces documents sont indexés à partir des données suivantes :
les nom, prénoms, sexe de la personne ;
les nom, prénoms, adresse et profession des parents ;
les heures, dates et lieux de naissance des individus mentionnés dans l’acte.
les données relevant des articles 8 et 9 de la loi « Informatique et Libertés »,
et les mentions marginales.

les prénoms,
et le sexe de la personne concernée par l’acte de naissance.
La Commission estime que ces données apparaissent pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
les nom, prénoms, sexe de la personne ;
les nom, prénoms, adresse et profession des parents ;
les heures, dates et lieux de naissance des individus mentionnés dans l’acte.
les données relevant des articles 8 et 9 de la loi « Informatique et Libertés »,
et les mentions marginales.

les prénoms,
et le sexe de la personne concernée par l’acte de naissance.
La Commission estime que ces données apparaissent pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
les nom, prénoms, sexe de la personne ;
les nom, prénoms, adresse et profession des parents ;
les heures, dates et lieux de naissance des individus mentionnés dans l’acte.
les données relevant des articles 8 et 9 de la loi « Informatique et Libertés »,
et les mentions marginales.

les prénoms,
et le sexe de la personne concernée par l’acte de naissance.
La Commission estime que ces données apparaissent pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation
MEDIPHONE conserve les données 60 jours afin de réaliser les traitements avant de les restituer à son client.
Ces données apparaissent pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données traitées sont les sociétés de généalogies, clientes de la société MEDIPHONE.
Cette liste de destinataires n’appelle pas d’observation de la part de la Commission.
Sur le transfert de données
Le transfert hors de l’Union européenne est réalisé aux fins de saisie et d’indexation des documents par une des filiales de la société MEDIPHONE située à Madagascar :
NO PAPER SARL [Sigle : NOSYCOM]
IBG29, Rue RAKOTOSON Toto Radona Antsanavola
101 ANTANANARIVO
Téléphone : 00261202266321
Adresse électronique : nosycom@orange.mg
Ce transfert est encadré par contrat établi sur le modèle des clauses contractuelles types de responsable de traitement à sous-traitant, approuvées par la Commission européenne.
Sur l’information et le droit d’accès
Les droits d’accès et de rectification s’exercent auprès de la société désignée « Correspondant Informatique et Libertés » au sein de MEDIPHONE depuis le 19 août 2011 :
ACTE CIL SARL [N° SIRET : 500509302 00021]
Monsieur Richard BERTRAND, gérant
37, Rue D'ENGWILLER
67350 LA WALCK
Téléphone : 03.69.20.29.66
Adresse électronique : contact@actecil.fr
Télécopie : 03.69 20.29.19
Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes.
Sur les mesures de sécurité
La procédure de suppression des copies de secours est en cours d'actualisation, afin de garantir la destruction logique de l’information par écrasement des données, 10 jours ouvrés après saisie et indexation des actes de naissance. Les données de sauvegarde sont chiffrées avec un mot de passe et stockées dans un coffre.
La Commission observe qu’au regard des informations qui lui ont été communiquées, les mesures de sécurité envisagées pour le transfert des images des actes vers Madagascar sont de nature à éliminer les risques maîtrisables susceptibles de porter atteinte aux données. Notamment, la communication s’effectue via une ligne sécurisée et la traçabilité des opérations permet leur imputabilité.
Les conditions techniques et contractuelles contraignantes qui sont mises en œuvre entre « MEDIPHONE » et « NO PAPER SARL » son prestataire local, tendent à garantir au mieux la confidentialité, l’intégrité, la traçabilité et la sécurité des données.
Dès lors, les mesures de sécurité mises en place n’appellent pas d’observation de la Commission.
Sur les autres caractéristiques du traitement
La Commission rappelle que les sociétés clientes de MEDIPHONE doivent effectuer auprès des services de la CNIL les formalités préalables adéquates à la mise en œuvre de leur  traitement, développé notamment à partir des données restituées par MEDIPHONE. Les modalités  pratiques pour exercer les droits « Informatique et Libertés » doivent également être organisées en application de la délibération n°2010-460 relative à la réutilisation commerciale des données personnelles contenues dans des documents d’archives publiques.
Autorise, conformément à la présente délibération, la société MEDIPHONE à mettre en œuvre et à transférer vers MADAGASCAR le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN