AgentPublic/cnil huggingface dataset:
Les données collectées et traitées par l’intermédiaire du dispositif examiné par la Commission sont les suivantes :
identité, fonction et coordonnées de l'émetteur de l'alerte ;
identité, fonction et coordonnées des personnes faisant l'objet d'une alerte ;
identité, fonction et coordonnées des personnes intervenant dans le recueil ou le traitement de l'alerte ;
faits signalés ;
éléments recueillis dans le cadre de la vérification des faits signalés ;
compte rendu des opérations de vérification ;
suites données à l'alerte.
La Commission considère que le traitement de ces données est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
Elle rappelle que l’obligation de s’identifier à l’occasion de l’émission d’une alerte professionnelle permet de limiter les risques de mises en cause abusives.
A ce titre, la Commission relève que le dispositif impose par défaut aux utilisateurs de s’identifier, l’identité de ces derniers étant néanmoins traitée de manière confidentielle. Les alertes anonymes sont uniquement possibles dans les conditions mentionnées à l’article 2 de l’AU-004.
Sur les destinataires
Les destinataires de tout ou partie des données à caractère personnel du présent traitement sont, dans la limite de leurs attributions respectives :
le directeur de l’éthique et de la conformité du groupe ;
le directeur de l’audit interne du groupe ;
le directeur des ressources humaines du groupe ;
le directeur juridique du groupe.
La Commission considère que ces destinataires présentent un intérêt légitime à accéder aux données du présent traitement.
Elle relève, par ailleurs, que ces personnes sont toutes astreintes à une obligation de confidentialité renforcée.
Sur l’information et le droit d’accès 
Les personnes concernées par le présent traitement sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, via le site internet de la société ainsi que par une mention sur le formulaire permettant de procéder à un signalement.Une information sera également délivrée par voie d’affichage et par l’envoi d’un message électronique à l’ensemble des employés. Les personnes mises en cause sont informées, quant à elles, de l’existence d’une alerte à leur encontre au plus tard à l’issue des mesures conservatoires nécessaires à la conservation des preuves. Cette information porte sur l'entité responsable du dispositif, les objectifs poursuivis et les domaines concernés par les alertes, les faits qui lui sont reprochés, les services éventuellement destinataires de l'alerte, ainsi que les modalités d'exercice de ses droits d'accès et de rectification.Les droits d’accès et de rectification s’exercent directement auprès du directeur de l’éthique et de la conformité du groupe. La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
Des mesures de sécurité sont prises par le responsable de traitement afin de préserver la sécurité des données et, notamment, empêcher que des tiers non autorisés y aient accès.L’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe, renouvelés tous les trois mois, constitués d’au moins dix caractères alphanumériques et spéciaux.Des profils d’habilitation définissent les données et les fonctionnalités accessibles en fonction des utilisateurs.Les transmissions des données et leur sauvegarde sont sécurisées par un procédé de chiffrement (AES 256). Une journalisation des accès aux fichiers de données à caractère personnel est assurée pour les opérations de consultation, de création, de mise à jour et de suppression. Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
La Commission relève que les durées de conservation du dispositif qui lui est présenté sont identiques à celles mentionnées à l’article 6 de l’AU-004, à savoir :
les données relatives à une alerte considérée, dès son recueil par le responsable du traitement, comme n'entrant pas dans le champ du dispositif sont détruites ou archivées sans délai ;
lorsque l'alerte n'est pas suivie d'une procédure disciplinaire ou judiciaire, les données sont détruites ou archivées dans un délai de deux mois à compter de la clôture des opérations de vérification ;
lorsqu'une procédure disciplinaire ou des poursuites judiciaires sont engagées à l'encontre de la personne mise en cause ou de l'auteur d'une alerte abusive, les données sont conservées jusqu'au terme de la procédure.
La Commission considère que ces durées de conservation n’excèdent pas celles qui sont nécessaires à l’accomplissement de la finalité poursuivie par le responsable de traitement. 
La Commission observe enfin que le responsable de traitement fait appel à un prestataire établi au Royaume-Unis, chargé de recueillir les signalements et de les transmettre aux destinataires ci-avant mentionnés. 
Autorise, conformément à la présente délibération, le groupement d’intérêt économique VALEO MANAGEMENT SERVICES à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1688596)
La Commission nationale de l'informatique et des libertés,
Saisie par la Banque Populaire Rives de Paris d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude interne;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Après avoir entendu M. Jean-Paul AMOUDRY, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Banque Populaire Rives de Paris a saisi la Commission d’une demande d’autorisation relative à un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude interne.
Le dispositif envisagé consiste en un outil de détection des cas de fraude interne susceptible d’impliquer des collaborateurs de l’établissement, qu’il s’agisse des mandataires sociaux, salariés ou toute autre personne agissant au service de l’établissement. En revanche, il ne s’applique pas aux autres manquements à la déontologie financière qui relèvent du Responsable de la Conformité des Services d’Investissement (RCSI), aux irrégularités professionnelles relevant du droit du travail qui sont traitées par la hiérarchie, et à la fraude externe. 
En cas de fraude avérée d’un collaborateur, la Direction des ressources humaines de la banque peut décider de prendre des mesures disciplinaires à l’encontre du salarié et notamment la rupture de son contrat de travail. Dans la mesure où ce traitement est susceptible d’exclure des personnes du bénéfice d’un contrat, la Commission considère qu’il y a lieu de faire application des dispositions de l’article 25.I.4° de la loi du 6 janvier 1978 modifiée. 
Outre les mesures de sanctions pouvant être initiées par les Directions compétentes, la banque peut déposer plainte à l’encontre du salarié mis en cause.
Sur la finalité du traitement :
Le dispositif envisagé se compose d’un outil commun au niveau du groupe BPCE, garantissant une harmonisation des règles et procédures des traitements de lutte contre la fraude interne et qui ne peut pas être modifié par l’établissement bancaire adhérant au dispositif. Toutefois, il est possible pour un établissement du groupe BPCE d’ajouter des outils optionnels. A cet égard, la Banque Populaire Rives de Paris souhaite bénéficier des outils optionnels relatifs au dispositif de formation, à l’accompagnement psychologique, au référentiel fraude ainsi qu’aux sources complémentaires de remontée des alertes.
Le dispositif commun est un système de requêtage permettant la détection des fraudes à partir d’une liste de critères, préalablement déterminés par l’établissement en fonction de certains paramètres et seuils. Cette liste met en exergue les alertes portant sur les opérations réalisées sur les comptes de l’ensemble des clients. 
Les alertes sont déclenchées sur la base des opérations financières ou administratives réalisées par le collaborateur sur le compte bancaire des clients. Les mouvements atypiques opérés par  le personnel de la banque ayant accès aux comptes bancaires des clients génèrent des alertes. Ces alertes sont analysées par les personnes en charge de la lutte contre la fraude interne.
Ainsi, conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, chaque alerte fait l’objet d’une analyse spécifique et au cas par cas afin d’évaluer sa pertinence et de procéder à des investigations supplémentaires.
La Commission relève qu’il n’existe pas d’analyse systématique de l’ensemble des données du compte bancaire des clients. L’analyse porte uniquement sur une opération bancaire réalisée par le personnel de la banque sur le compte d’un client, qui aura été détectée par le dispositif comme étant une opération atypique.
Les requêtes présentent un certain nombre de garanties :
elles ne visent pas à détecter des personnes pouvant correspondre à des profils types de fraudeurs,
elles ne contiennent pas de critère permettant de cibler une personne mais se focalisent sur des opérations bancaires effectuées sur les comptes des clients,
les critères ciblent des mécanismes de fraude reconnus, en portant notamment sur le profil de la victime et sur le type d’opération,
aucune requête n’utilise de données qui ne seraient pas utiles à la détection ou à l’analyse,
les données utilisées pour les requêtes servent soit à la sélection des alertes, soit à leur analyse par la cellule lutte contre la fraude (LAF), pour qualification,
aucune requête n’utilise de donnée sensible, biométrique, génétique, d’infraction, de condamnation, de mesure de sûreté ni le numéro de sécurité sociale, ou d’appréciation sur les difficultés sociales des personnes.
le traitement ne permet pas d’alimenter une « liste noire » de personnes suspectées d’avoir commis ou tenté de commettre une fraude. 
Enfin, il existe un compte rendu anonymisé sur les indicateurs de pilotage de l’activité de lutte contre la fraude. Il s’agit uniquement de données statistiques conservées pour une durée maximale de 5 années. 
La Commission estime que les finalités poursuivies sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée.   
Sur la nature des données traitées :
Les données collectées sont issues du catalogue des requêtes administré par la sécurité financière du groupe au sein de l’organe central. 
La Commission relève que pour toute demande d’évolution du catalogue, la Banque Populaire Rives de Paris, devra saisir la Commission pour obtenir une autorisation conformément aux dispositions de l’article 30 de la loi du 6 janvier 1978 modifiée.
Le processus de détection de la fraude repose sur les données issues des systèmes d’information au moyen de requêtes portant sur les données suivantes :
données d’identification du client : numéro de personne, nom, prénom, âge, adresse, statut juridique, EDS (élément de structure / domiciliation du client ou du collaborateur dans l'établissement), code appartenance réseau, code VIP, segment de clientèle, top décédé (oui/non), date de décès, Top NPAI (oui/non), date début NPAI, Type de domiciliation relevé, fréquence envoi relevé, top absence relevé, date entrée en relation, Top procuration (oui/non), lien interpersonne, modification du DRC, nombre de personnes dans la relation bancaire (RB), nombre de comptes dans la RB, existence de mandats, surveillance contentieux sur le client ;
données d’identification du mandataire : numéro de personne, nom, prénom, Top (Oui/Non) si le mandataire est le gestionnaire ;
données de compte : numéro de compte, intitulé du compte, type de compte, solde, solde avant clôture, solde avant opération, produit, ancienne surface financière, nouvelle surface financière, écart surface financière nouvelle – ancienne, pourcentage de perte de surface financière, perception de revenus ou organismes sociaux ;
données relatives au collaborateur gestionnaire : nom, prénom, identifiant, adresse si client, ancienneté dans le poste, fonction, poste, date de dernière mutation ;
données relatives à la contrepartie : numéro de personne, nom, prénom, EDS, numéro de compte, type de compte, date d’ouverture du compte ;
données relatives au collaborateur qui réalise les opérations : dernière opération, nom, prénom, EDS, fonction ;
données relatives aux opérations sur données administratives : date de dernière modification, heure de l’opération, date de 1ère modification, valeur avant et après, nombre de modifications dans la période, élément modifié, date de saisie du décès, nombre de jours entre date de décès et date de saisie ;
données relatives aux mouvements financiers : date de l’opération, date de dernière opération, date du dernier mouvement, heure de l’opération, nature de l’opération, sens de l’opération, nombre d’opérations sur la période, nombre d’opérations sur la durée de vie du compte, nombre d’émetteurs, mode de paiement, montant de l’opération, montant cumulé, montant de revenu moyen sur 13 mois, libellé de l’opération, pourcentage de remise par rapport aux prélèvements de la banque sur la période, date d’ouverture du compte support du prêt, échéance des facilitées de caisse, numéro de contrat, type de contrat, top actif / segmentation commerciale, top inactif / segmentation commerciale.
La Commission considère que ces données sont pertinentes au regard des finalités poursuivies.
Sur la durée de conservation des données :
Les durées de conservation sont différentes suivant les cas indiqués ci-dessous :
lorsqu’une alerte est classée « sans suite », c’est-à-dire qu’il n’a pas été jugé utile d’ouvrir un dossier d’investigation, elle sera automatiquement purgée après le délai de 30 jours ;
les alertes non traitées sont conservées pendant 3 mois dans l’outil à partir de la date de mise à disposition et le temps de procéder à leur qualification (sans suite ou fraude avérée). Passé ce délai, elles sont automatiquement supprimées ;
les alertes non traitées mais classées « à investiguer » sont conservées pendant une durée de 3 mois qui correspond à la durée de conservation des alertes non traitées, à laquelle s’ajoute un nouveau délai de 3 mois dès lors que l’alerte a été classée comme étant à investiguer. Dans ce dernier cas, la durée de conservation totale est de 6 mois. Passé ce délai, elles sont automatiquement supprimées.
les alertes pour lesquelles un dossier d’investigation a été ouvert sont conservées pendant toute la durée de l’enquête jusqu’à ce que la fraude soit ou non avérée ; 
Enfin, une fois que l’alerte a été qualifiée, que le dossier a été clôturé ou que la procédure judiciaire est terminée, les alertes sont automatiquement supprimées ainsi que le rapport final d’investigation.
La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
Sur les destinataires des données :
Seuls les utilisateurs suivants peuvent accéder à l’outil :
la cellule LAF dispose d’un accès complet à toutes les fonctionnalités et à toutes les données concernant son établissement bancaire ;
la Direction des Ressources Humaines et la Direction Juridique ont seulement accès au rapport final d’investigation rédigé par la cellule LAF en cas de fraude avérée du salarié ;
la Direction générale, les directions des Risques opérationnels, l’audit et les autorités habilitées, ont accès aux dossiers papier sur demande du fait de leur fonction ;
les autres directions de l’établissement peuvent être ponctuellement impliquées, sur sollicitation de la cellule LAF, pour collecter des informations ou mettre en œuvre des actions de traitement. La cellule LAF leur communique uniquement les informations utiles à leur action ; 
la Sécurité financière Groupe dispose d’un accès aux indicateurs de reporting ;
la plateforme informatique a un accès complet à l’outil mais seulement en qualité d’administrateur et avec un cryptage des données ;
La Commission observe qu’il existe un engagement de confidentialité rappelé dans le règlement intérieur et dans le contrat de travail des services concernés.
Les personnes concernées par un cas avéré de fraude ou par un manquement interne, ont un droit d’accès au rapport final qui les concerne qu’ils peuvent exercer auprès du service des Ressources humaines.
La cellule LAF tient une liste nominative des personnes ci-dessus habilitées à accéder à l’outil.
La liste de ces destinataires n’appelle pas d’observation particulière.
Sur l’information et les droits d’accès de rectification et d’opposition des personnes :
Conformément aux dispositionsde l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la banque Populaire Rives de Paris sont informés de la mise en œuvre du traitement par une mention qui figure sur la convention de compte. Les salariés, sont informés par une mention d’information qui figure dans l’annexe au règlement intérieur diffusée à l’ensemble du personnel.
Dès lors qu’une enquête sera ouverte à l’encontre d’un collaborateur et lorsque l’établissement aura des présomptions fortes et des éléments factuels de fraude ou du manquement de ce dernier, ce salarié sera informé dans le cadre de l’entretien d’investigation. La Commission relève que le dossier du collaborateur ne comportera aucune information sur l’enquête diligentée à son encontre en l’absence de fraude avérée. 
Une présentation du dispositif a été réalisée auprès des comités exécutifs au sein des établissements ainsi qu’aux Directoires. Les instances représentatives du personnel seront informées du traitement de lutte contre la fraude lors d’une présentation aux comités d’entreprise des établissements. 
Le droit d’accès s’exerce auprès de la Direction des risques et de la conformité : 76-78 avenue de France, 75204 Paris. 
Sur la sécurité des données et la traçabilité des actions :
Il existe des profils d’habilitations qui définissent les fonctions ou les types d’informations accessibles par les personnes prenant part au projet de la lutte contre la fraude interne :
seuls les membres de la cellule locale de Lutte Anti Fraude auront accès aux alertes remontées automatiquement par l’outil de détection des fraudes, 
en cas de fraude avérée, les informations seront transmises aux départements juridiques et au département des ressources humaines,
les personnels chargés de créer le référentiel fraude ont accès  au reporting qui contient des données statistiques anonymes sur les alertes et les cas de fraudes avérées.
Le personnel habilité de banque Populaire Rives de Paris, accède aux données collectées grâce à un identifiant et un mot de passe. La complexité des mots de passe est d’une longueur minimale de 8 caractères, comportant 3 types de caractères distincts. Le mot de passe est généré automatiquement par l’outil de génération et est directement transmis à l’utilisateur via une messagerie sécurisée. 
En dehors de l’utilisateur, personne n’a connaissance de ce mot de passe et en cas de perte, un nouveau mot de passe sera généré et transmis suivant le même procédé.
Toutes les opérations de consultation et de modification font l’objet d’une journalisation. Les journaux sont conservés pendant une durée d’un an et contiennent les adresses IP des machines utilisées ainsi que les identifiants des comptes utilisés. Les comptes sont verrouillés automatiquement après trois tentatives de connexions infructueuses.
Les interventions de maintenance font l'objet d'une traçabilité. Les accès et les opérations effectués sur l’application, ainsi que les accès aux fichiers sont journalisés pendant une durée de 1 an. 
La confidentialité des échanges est assurée et les postes de travail disposent d'un antivirus et l’ensemble du réseau est protégé par un système de détection d’intrusion. 
La sécurité physique des données traitées est assurée par un prestataire qui garantit le contrôle d’accès aux machines conservant les données traitées. Le responsable de traitement a fixé contractuellement des objectifs de sécurité au sous-traitant. L'accès aux locaux est restreint au moyen de portes verrouillées contrôlées par un moyen d'authentification personnel, les accès aux emplacements contenant les serveurs font eux aussi l’objet d’une journalisation. 
La sauvegarde des données est assurée par le même prestataire. Toutefois, ces sauvegardes sont physiquement conservées dans un autre lieu pour assurer la continuité de service en cas d’incident dans le centre où sont situés les serveurs.
Les supports de stockages usagés ou en panne font l'objet d'une procédure de destruction ou d'effacement sécurisé.
Dans ces conditions, la Commission autorise, conformément à la présente délibération, la Banque Populaire Rives de Paris à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
AU-031
La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code des assurances ;
Vu le code civil ;
Vu le code général des impôts ;
Vu le code de la mutualité ;
Vu le code pénal ;
Vu le code rural ;
Vu le code de la santé publique ;
Vu le code de la sécurité sociale ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 25-1-6° et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu Monsieur Jean-Paul AMOUDRY, commissaire, en son rapport, et Monsieur Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
Les organismes d’assurance, de capitalisation, de réassurance, d’assistance et les intermédiaires d’assurance sont fondés à utiliser le NIR pour les activités d’assurance maladie complémentaire, de maternité, d’invalidité, et de vieillesse lorsqu’ils interviennent en complément des régimes sociaux de base ou dans le cadre des relations avec les professionnels de santé, ou encore, pour l’indemnisation des accidents et pour la gestion des rentes. 
La loi du 17 décembre 2007 permet la recherche des bénéficiaires des contrats d’assurance sur la vie non réclamés. A cet égard, la délibération n°2008-579 du 18 décembre 2008, autorise l’Association pour la gestion des informations sur le risque en assurance (AGIRA) à traiter les données à caractère personnel relatives aux décès transmises par l’INSEE pour le compte des organismes d’assurance, dans le cadre des traitements mis en œuvre aux fins de recherche des assurés et des bénéficiaires de contrats d’assurance sur la vie décédés. Le système permet ainsi aux organismes d’assurance membres de l’AGIRA, d’interroger le responsable de traitement (AGIRA), pour consulter le fichier.
Ces traitements relèvent du 6° du I de l’article 25 et 69 de la loi du 6 janvier 1978 modifiée et doivent, à ce titre, être autorisés par la CNIL.