Source: https://www.donneespersonnelles.fr/deliberations-cnil/deliberation-2006-235
Timestamp: 2017-03-28 15:54:51+00:00

Document:
DELIBERATION 2006-235 - Données personnelles
Leave a Comment DELIBERATION 2006-235 La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-II° ;
Depuis la modification intervenue en 2004 de la loi du 6 janvier 1978, il y a lieu de faire application du nouvel article 25-4° de la loi qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire. En conséquence, la Commission constate que tout traitement de gestion de personnes à risques mis en oeuvre par les loueurs de véhicules - ou toute modification substantielle d'un tel traitement - est soumis à autorisation préalable.
Elle considère qu'en vertu de l'article 25 de la loi du 6 janvier 1978 modifiée, une décision unique d'autorisation est susceptible d'être appliquée aux traitements de l'espèce répondant aux mêmes finalités et portant sur des catégories de données et de destinataires identiques.
La Commission décide que les responsables de traitement qui lui adressent une déclaration comportant un engagement de conformité pour les traitements de données à caractère personnel répondant aux conditions fixées par la présente décision unique sont autorisés à les mettre en oeuvre.
Article 1er : Finalité et caractéristiques du traitement
Seuls peuvent faire l'objet d'un engagement de conformité en référence à la présente décision unique les traitements mis en oeuvre par les entreprises de location de véhicules ayant pour finalité la gestion d'un fichier des personnes susceptibles de représenter un risque contractuel ayant pour conséquence le refus de location aux personnes concernées.
Les seules données à caractère personnel pouvant être traitées dans les fichiers de gestion interne au titre de la présente décision unique d'autorisation sont :
c) la date et le lieu de naissance de la personne concernée ;
f) le numéro de téléphone indiqué au contrat ; g) le numéro, la date, le lieu de délivrance du permis de conduire du client et/ou du conducteur déclaré ;
h) le numéro d'immatriculation, la marque, le type et le modèle du véhicule concerné ;
i) le numéro, la date et l'heure du contrat de location du véhicule ;
Seules ces données associées aux actes ou faits entrant dans l'une des catégories suivantes peuvent faire l'objet d'un enregistrement dans les fichiers de gestion interne :
4) utilisation d'un véhicule sans respecter les conditions générales du contrat de location ;
Seuls les employés ayant compétence pour vérifier le caractère certain du préjudice subi, et qui sont individuellement désignés et spécifiquement formés à cet effet, peuvent procéder à une inscription dans le fichier des personnes à risques. Le responsable du traitement s'engage à disposer des moyens suffisants pour permettre les vérifications nécessaires.
Des zones bloc-notes peuvent être associées aux seuls actes et faits énumérés ci-dessus : les mentions inscrites dans ces zones ne doivent porter que sur des actes et des faits objectifs et ne peuvent, en aucun cas, faire apparaître, directement ou indirectement, des données relatives aux origines raciales, aux opinions politiques, philosophiques ou religieuses, aux appartenances syndicales ou aux mours de la personne concernée par ces actes ou ces faits.
Dans les cas où le conducteur déclaré est un employé du client, ainsi que dans ceux où il y a pluralité de conducteurs déclarés, ne peuvent être associées aux actes et faits listés ci-dessus que les données afférentes à la seule personne concernée par les actes ou faits correspondants.
L'inscription dans ce fichier ne peut être effectuée qu'après constat d'actes et de faits objectifs ou sur la base de documents tendant à prouver la réalité du préjudice subi par les organismes de location de véhicules concernés.
Seuls peuvent avoir communication des données précitées, dans la limite de leurs attributions respectives et pour l'exercice de la finalité visée à l'article 1er de la présente décision :
a) les personnels individuellement désignés du service chargé des relations clientèle ;
b) les responsables d'agences de location ;
c) les personnes individuellement désignées du service en charge de la gestion du contentieux ;
Les agents de comptoir en contact avec la clientèle n'ont pas directement accès aux motifs ayant justifié l'inscription dans le fichier, mais à un message d'alerte précisant l'existence d'un risque et leur indiquant la nécessité de renvoyer la personne concernée vers l'une des catégories de personnes susvisées.
Dans le cas d'une transmission au Conseil national des professions de l'automobile (CNPA) dans le cadre de l'autorisation donnée par la délibération susvisée n° 236 du 9 novembre 2006, les seules données à caractère personnel pouvant être traitées au titre de la présente décision sont les données énumérées à l'article 2.
Les données visées à l'article 2 de la présente décision sont conservées pendant au maximum :
S'agissant des incidents de paiement, les faits et les données associées sont supprimés dès le paiement des sommes dues.
Le responsable du traitement prend toutes précautions utiles pour préserver la sécurité et la confidentialité des données traitées et pour empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés puissent en prendre connaissance.
En particulier, le responsable de traitement assure une gestion rigoureuse des contrôles d'accès. Ainsi, les accès aux traitements de données s'effectuent par un identifiant et un mot de passe individuels, régulièrement renouvelés, ou par tout autre moyen d'authentification garantissant, a minima, un même niveau de sécurité.
Le responsable de traitement établit un état journalier des accès afin de pouvoir en assurer le contrôle. Il doit également disposer de moyens humains suffisants et formés.
Pour la consultation à distance du fichier ou la transmission des données qu'il contient, via un réseau de communication, le responsable de traitement recourt à des protocoles de communications sécurisés permettant de se prémunir contre les risques d'intrusion et le détournement de finalité.
Afin de parer au risque d'homonymie, la consultation du traitement s'effectue sur la base du nom, du prénom ainsi que de la date et du lieu de naissance.
Le responsable de traitement porte la mention "identité usurpée" concernant les personnes pour lesquelles il est établi que leur identité a été usurpée par un tiers et que les actes et faits incriminés ne leur sont pas imputables.
Le responsable du traitement procède, conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée, à l'information des personnes concernées par la diffusion à chacune d'entre elles d'une note d'information, incluse dans le contrat de location du véhicule, précisant l'existence d'un traitement interne relatif à la prévention des risques, les conséquences d'une inscription dans un tel traitement et la possibilité qui leur est reconnue d'exercer un droit d'accès, de rectification et, le cas échéant, d'opposition à figurer dans un tel traitement pour motif légitime. Cette note d'information indique la transmission éventuelle des données à la branche loueurs du CNPA et leur mutualisation au profit des adhérents à cette branche.
Lorsque survient un acte ou un fait visé à l'article 2 de la présente décision, la personne concernée doit, préalablement à toute inscription dans un fichier de gestion des personnes à risques, en être informée et disposer de la possibilité de régulariser sa situation dans un délai déterminé porté à sa connaissance, ne pouvant être inférieur à quinze jours s'il s'agit d'un impayé.
En cas de contestation par la personne concernée des motifs pouvant entraîner son inscription dans le fichier de gestion des personnes à risques, le responsable de traitement doit procéder à une instruction contradictoire de cette contestation, dans un délai raisonnable, de façon non automatisée et assortie de la suspension du processus d'inscription dans le fichier.
Les droits d'accès, de rectification et le cas échéant, d'opposition, s'exercent auprès des personnes ou des services de l'entreprise de location, ou s'il y a lieu, du CNPA, dont les coordonnées doivent être clairement indiquées dans la note d'information précitée.
Tout traitement automatisé de données à caractère personnel ayant pour objet la prévention des risques qui n'est pas conforme aux dispositions qui précèdent doit faire l'objet d'une demande d'autorisation auprès de la Commission dans les formes prescrites par les articles 25-4° et 30 de la loi du 6 janvier 1978 modifiée.
Articles similaires:Du bon usage de l’intelligence économique (bref propos sur l’affaire EDF c/Greenpeace)6 things you need to know about the new EU privacy frameworkGoogle condamné à 375 Millions d’euros…Créer son entreprise : 9 conseils pratiques pour réussir !De l’impartialité de la justice…CNIL : vos obligations, vos droitsLa sécurité informatique dans le projet de règlement européenWritten by Laisser un commentaire Annuler la réponse.	Votre adresse de messagerie ne sera pas publiée.Comment Nom Adresse de messagerie Site web Thiébaut Devergranne est docteur en droit. Il travaille en droit des nouvelles technologies depuis plus de 12 ans, dont 6 passés au sein des services du Premier Ministre. En savoir plus. A lire également Conditions générales de vente : un modèle libre et gratuitIl est désormais légal d’attaquer des sites web (pour « tester » leur sécurité) !IDS, IPS, DLP : il faut l’autorisation de la CNIL !Les 3 merveilles de la LPM…Le droit à l’oubli sur Internet : petit guide juridique pour faire valoir ses droitsDonnées personnelles : le nouveau projet de règlement européenUne proposition de loi veut interdire la biométrieVente en ligne : 7 manières d’éviter le délai de rétractation de 14 jours

References: l'article 25
 l'article 1
 l'article 2
 l'article 2
 l'article 32
 l'article 2