AgentPublic/cnil huggingface dataset:
Le traitement vise à identifier les transactions présentant un risque de corruption, de blanchiment ou de non-conformité aux règlementations à l’exportation ou aux sanctions économiques, par le biais d’un système reposant sur une évaluation progressive adaptée au risque encouru. La société Saint-Gobain souhaite vérifier l’intégrité des clients et fournisseurs potentiels ainsi que des entités exerçant comme intermédiaires (agents commerciaux, mandataires, etc.). Le traitement porte essentiellement sur des entités personnes morales et de manière ponctuelle sur une catégorie limitée de personnes physiques tels que les dirigeants et les associés.Dans un premier temps, le responsable chargé d’évaluer l’opportunité d’une relation commerciale pour la société Saint-Gobain, identifie le risque au regard de différentes informations recueillies (taille, volume, fréquence ou nature de la transaction, structure de l’actionnariat, présence d’intermédiaires, pays etc.). En fonction de ces informations, le responsable qui décide de la transaction, peut estimer qu’il existe un risque qu’il convient d’évaluer. Dans le cas contraire, le partenaire ne donnera pas lieu à une vérification complémentaire.Lorsque les informations recueillies à l’issue de ce premier niveau de vérification ont révélé un risque (il existe un risque dès lors qu’un critère est atteint), la société Saint-Gobain envoie les données au prestataire européen chargé du deuxième niveau d’analyse, lequel se base sur un outil
développé par un prestataire externe.Les éléments d’information utilisés par ce prestataire procèdent de sources officielles nationales et internationales, des informations issues de la presse, des décisions de justice ou d’autorités publiques.L’outil fourni par le prestataire de service est configuré de telle sorte que la société Saint-Gobain ne puisse disposer que des informations spécifiques aux domaines de lutte contre la corruption et le blanchiment d’argent. Les informations détectées lors de ces  opérations de vérification peuvent conduire la société Saint-Gobain à suspendre la transaction engagée avec les personnes concernées, après consultation de listes des personnes faisant l’objet de sanctions financières ou de mesures de restriction.La Commission considère que les vérifications portant sur ces listes doivent procéder d’une obligation légale et ne doivent porter que sur une catégorie de personnes déterminée au regard du risque encouru conformément au principe de proportionnalité. Elle rappelle qu’aucune décision de refus d’entrée en relation ne peut être  prise sur la base des seuls éléments d’information recueillis par le biais de l’outil utilisé,  qui devront faire l’objet d’un examen manuel et individuel, permettant de lever les cas d’homonymies.Cet examen est réalisé par le responsable qui évalue l’opportunité d’une relation commerciale après collecte, le cas échéant,  d’informations complémentaires.L’examen des cas d’homonymies est réalisé une première fois
par comparaison de la base de données fournisseurs / clients au moment de l’installation de l’outil. Ensuite, des vérifications auront lieu avant l’entrée en contact avec un nouveau fournisseur / client.La Commission considère que sont légitimes les vérifications portant sur les listes appliquées en France et dans le pays d’établissement de la maison mère et émises par une autorité publique dès lors que la société Saint-Gobain est tenue de les appliquer.Dans ces conditions, la Commission estime que le traitement répond à l’intérêt légitime du responsable du traitement conformément à l’article 7-5° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Dans le cadre de la phase initiale de la procédure de vérification préalable d’intégrité du partenaire commercial, la société Saint-Gobain collecte les données d’identification de la personne : nom, prénom, adresse, date et lieu de naissance, nationalité, fonction de la personne concernée.Dans le cadre de la seconde phase de vérification, les informations consultées par le biais de l’outil d’investigation concernent :- les données d’identification ; - la liste officielle nationale et internationale pertinente ;- en cas d’homonymie, le pourcentage de similarité. Les vérifications porteront uniquement sur les dirigeants actionnaires, partenaires commerciaux, mandataires sociaux, agents commerciaux. La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
Les opérations de vérification réalisées en France seront supervisées par les personnes habilitées du Secrétariat Général (Directeur juridique du Groupe), des Départements juridique, financier, commercial et les membres du réseau conformité de la société Saint-Gobain.Le centre de service partagé de la société Saint-Gobain (filiale européenne du Groupe effectuant des recherches) procède à l’interrogation de l’outil sur demande de la société Saint-Gobain France.La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données traitées.
Sur l’information et le droit d’accès
La politique menée par le Groupe Saint-Gobain en matière de lutte contre la corruption et de blanchiment sera mise en ligne sur le site internet du Groupe. Une mention spécifique d’information des personnes concernées sur les conditions dans lesquelles leurs données seront traitées sera insérée dans les conditions générales de vente et les chartes Fournisseurs et Achats.Les personnes concernées pourront exercer leurs droits d’accès, de rectification et d’opposition auprès du Secrétariat Général à l’adresse suivante : 18, avenue d’Alsace les Miroirs – 92096 LA DEFENSE-CEDEX ou à l’adresse électronique suivante : protectiondesdonnees-screening@saint-gobain.com
Sur les mesures de sécurité
Des mesures sont prises afin de préserver la sécurité et la confidentialité des données et, notamment, empêcher que des tiers non autorisés y aient accès.
La Commission rappelle cependant la nécessité d’une mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. Ainsi, le contrôle d’accès doit se réaliser au moyen de mots de passe suivant les règles suivantes : faire au moins huit caractères, être composé d’au moins 3 types de caractères différents parmi les quatre types de caractères existants (majuscules, minuscules, chiffres et caractères spéciaux), et il ne doit pas avoir de lien avec son détenteur (nom, date de naissance…).Elle rappelle également que les accès au système d’information et les opérations effectuées sur les supports d’enregistrement des données doivent être tracés, et notamment lorsqu’ils concernent l’accès aux données personnelles de personnes physiques. 
Sur les transferts 
Le processus de vérification fait intervenir un prestataire extérieur situé hors Union européenne. Les transferts des données sont encadrés par la signature de clauses contractuelles types élaborées par la Commission européenne (responsable de traitement à sous-traitant).
Sur les autres caractéristiques du traitement
Lorsqu’un contrat est conclu, les rapports traités et composés par la société Saint-Gobain sur la base des informations recueillies et sélectionnées, lors des différentes étapes de vérification, sont conservés en base active pendant 90 jours à compter de l’évaluation, quel que soit le niveau du risque identifié. Les données sont ensuite archivées pendant dix ans pour pouvoir justifier, le cas échéant, des diligences auprès des autorités compétentes. 
Autorise, conformément à la présente délibération, la Compagnie de Saint-Gobain à mettre en œuvre le traitement susmentionné.
Pour la Présidente
La Vice-Présidente déléguée,
Marie-France MAZARS
(Demande d’autorisation n° 1795972 v1)
La Commission nationale de l'informatique et des libertés,
Saisie l’association Réseau d’éducation nutritionnelle infantile de La Réunion (REUNIR) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité un programme d’éducation thérapeutique pour les familles d’enfants et d’adolescents atteints de diabète à La Réunion,
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1161-1 à L. 1161-4 et D. 1161-1 à D. 1161-2 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 2 août 2010 relatif au cahier des charges des programmes d’éducation thérapeutique du patient et à la composition du dossier de demande de leur autorisation ;
Vu la convention n°116/2015 du 30 juin 2015 entre l’Agence régionale de santé Océan Indien et l’association REUNIR ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
L’association Réseau d’éducation nutritionnelle infantile de La Réunion (REUNIR) est une association loi 1901 ayant pour objectif de gérer les centres d’éducation thérapeutique pédiatrique de proximité proposant un programme d’éducation pluridisciplinaire aux familles d’enfants et adolescents en surpoids ou obèses et/ou porteurs d’un diabète.
Sur la finalité
Ce programme d’éducation thérapeutique, intitulé « alliance éducative thérapeutique avec les familles d’enfants et d’adolescents atteints de diabète à La Réunion » a pour objectif d’aider les enfants, adolescents et leur entourage à améliorer leur qualité de vie par l’efficacité du suivi et l’efficience de leur prise en charge éducative, conformément aux dispositions des articles L. 1161-2 à L. 1161-4 et D. 1161-2 du code de la santé publique. Sont également applicables les dispositions de l’arrêté du 2 août 2010 relatif au cahier des charges des programmes d’éducation thérapeutique du patient et à la composition du dossier de demande de leur autorisation. A ce titre, la Commission observe que l’Agence régionale de santé Océan Indien a délivré son autorisation pour la mise en œuvre du « programme d’éducation thérapeutique intitulé «alliance éducative thérapeutique avec les familles d’enfants et d’adolescents atteints de diabète à La Réunion ».La Commission considère que la finalité du traitement est déterminée, explicite et légitime, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée.La Commission estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé justifiés, comme en l’espèce, par l’intérêt public. 
Sur les données traitées
Les données faisant l’objet d’un traitement sont celles relatives aux patients qui s’inscrivent au programme. Elles portent sur leur identité (nom, prénom), leur date de naissance, leurs coordonnées (adresse), leur vie professionnelle ainsi que sur des informations relatives à leur santé (pathologie, antécédents et traitements médicaux).Les données relatives aux médecins et aux professionnels de santé appelés à dispenser l’éducation thérapeutique feront également l’objet d’un traitement (identité, qualité professionnelle, adresse professionnelle). La Commission estime que les données sont pertinentes au regard de la finalité poursuivie.
Sur les destinataires
Les destinataires des données, en fonction des habilitations qui leur sont délivrées, sont les personnes en charge du patient dans le cadre de leur adhésion au programme.Ces destinataires n’appellent pas d’observation de la Commission.
Sur l’information et le droit d’accès
Afin de garantir le respect des dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les patients sont informés du but et des modalités de déroulement du programme, par la remise d’un document d’information et d’un formulaire de recueil du consentement à la participation au programme, rédigés au format papier. Les documents adressés aux participants mentionnent le caractère facultatif de leur participation au programme et leur droit discrétionnaire de retrait sans conséquence pour leur prise en charge ou le remboursement de leurs soins et prestations.Les droits d’accès et de rectification s’exercent par courrier auprès du président de l’association REUNIR. Les médecins sont informés, par courrier, par signature de la charte et de l’engagement de confidentialité du formulaire d’adhésion, de la mise en œuvre d’un traitement de données les concernant ainsi que des droits d’accès, de rectification et d’opposition dont ils disposent. La Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Concernant les habilitations d’accès :
L’application permet de créer différents profils, permettant de donner des accès aux données différents en fonction du rôle de chacun.
Concernant le contrôle d’accès :
Le dossier produit à l’appui de la demande prévoit que l’authentification des professionnels de santé s’effectue par la combinaison d’un identifiant et d’un mot de passe.
La Commission rappelle que l’obligation d’authentification de ces personnes repose sur l’utilisation d’une carte de professionnel de santé ou d’un dispositif équivalent agréé par l’ASIP Santé en application des dispositions prévues à l’article L.1110-4 du code de la santé publique. Elle demande au responsable de traitement de s’y conformer avant la mise en œuvre du traitement.
Au sein de l’équipe en charge du programme, les accès aux données sont limités aux personnes intervenant dans le dossier aux différents stades de la prise en charge :
le groupe des éducateurs a accès aux données administratives nécessaires à la vérification de l’éligibilité ;
le professionnel de santé référent a accès aux données de santé nécessaires au suivi de son patient ;
les groupes de médecins et professionnels de santé désignés pour diffuser l’éducation thérapeutique ont accès à l’ensemble des données ;
le médecin coordonnateur du programme a accès à l’ensemble des données.
L’authentification des administrateurs s’effectue par la combinaison d’un identifiant et d’un mot de passe d’une longueur de dix caractères, composés de trois types de caractères parmi les minuscules, majuscules, chiffres et caractères spéciaux. 
Les mots de passe sont modifiés par l’utilisateur dès la première connexion, puis régulièrement. En outre, les mots de passe ne doivent pas être conservés en clair dans un fichier ou une base de données.
Concernant la traçabilité :
Les accès et actions réalisées sur les données sont tracés. Les journaux conservent ces événements sur une période glissante de six mois. 
Les utilisateurs sont informés de la mise en œuvre d’une telle mesure au moyen de la charte informatique qui est portée à leur connaissance.
La Commission rappelle que le cahier des charges annexé à l’arrêté du 2 août 2010 prévoit que le programme envisage l’accès du patient à la traçabilité des échanges et observe qu’en l’espèce, les accès à l’application sont effectivement tracés ainsi que le mode d’accès à chaque donnée de santé (consultation, création, mise à jour) et sont accompagnés de la date et de l’heure ainsi que l’identifiant de l’utilisateur ayant accédé aux données.
Le patient pourra accéder aux traces d’accès à son dossier en faisant une demande à l’administrateur de l’outil, qui est en mesure d’accéder aux traces des accès, mais pas aux données de santé.
Concernant les transferts de données :
Les transferts de données sont sécurisés par le chiffrement des communications en utilisant le protocole HTTPS. 
Concernant l’hébergement :
Les données sont hébergées auprès d’un hébergeur agréé conformément aux dispositions prévues aux articles L.1111-8 et suivants du code de la santé publique. 
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. 
Sur les autres caractéristiques du traitement
Les données de chaque patient sont conservées 6 mois à compter de leur sortie du programme. Passé ce délai, les données pourront être conservées trois ans en archive intermédiaire dans des conditions qui doivent garantir la sécurité et la confidentialité. Elles devront ensuite être supprimées ou archivées sous forme anonyme à des fins d’évaluation du programme.La Commission considère que cette durée est pertinente au regard de la finalité poursuivie par le traitement. 
Autorise, conformément à la présente délibération, l’association Réseau d’éducation nutritionnelle infantile de La Réunion (REUNIR) à mettre en œuvre le traitement susmentionné.
Pour la Présidente
La Vice-Présidente déléguée,
Marie-France MAZARS
(Demande d’autorisation n° 1914503)
La Commission nationale de l'informatique et des libertés,
Saisie par la Banque Populaire Occitane d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la détection des clients en situation de fragilité financière afin de leur proposer des mesures d'accompagnement adaptées ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-7° ;
Vu le code monétaire et financier et notamment son article L.312-1-1 A, créé par la loi n°2013-672 du 26 juillet 2013 de séparation et de régulation des activités bancaires ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 5 novembre 2014 portant homologation de la charte d'inclusion bancaire et de prévention du surendettement ;
Après avoir entendu M. Jean-Luc VIVET, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
Responsable du traitement
La Banque Populaire Occitane (BPOC).
Sur la finalité
La Banque Populaire Occitane souhaite mettre en place un mécanisme de détection précoce de ses clients en situation de fragilité financière en combinant les dispositifs d’alertes internes et de connaissance client. 
Le dispositif envisagé permet d’identifier les difficultés financières des clients au regard de l’utilisation des produits et des services qu’ils ont souscrits et sur la base des critères suivants :
Il s’agit d’une part de critères relatifs au profil : 
des clients majeurs : sauf ceux qui font l’objet de relations bancaires gestion patrimoniale ou fortunés ;
des clients qui sont en situation de surendettement connue et déclarée ;
des clients titulaires ou co-titulaires d’un compte chèque et d’un prêt personnel.
la détention d’un découvert autorisé ;
le statut résidentiel (propriétaire, logé à titre gratuit, locataire, non connu) ;
l’existence de frais de rejet et de commissions d’intervention sur le trimestre ;
l’utilisation d’un  crédit renouvelable ;
la surface financière (total des avoirs du client en moyenne sur 3 mois) ;
le rapport entre le montant de l’échéance mensuelle et le capital total emprunté du prêt personnel ;
l’existence  d’impayés sur crédit sur 2 mois consécutifs ou plus au cours des 6 derniers mois.
Et d’autre part, de variables liées à l’utilisation des produits et des services et au comportement financier des clients :
des clients majeurs : sauf ceux qui font l’objet de relations bancaires gestion patrimoniale ou fortunés ;
des clients qui sont en situation de surendettement connue et déclarée ;
des clients titulaires ou co-titulaires d’un compte chèque et d’un prêt personnel.
la détention d’un découvert autorisé ;
le statut résidentiel (propriétaire, logé à titre gratuit, locataire, non connu) ;
l’existence de frais de rejet et de commissions d’intervention sur le trimestre ;
l’utilisation d’un  crédit renouvelable ;
la surface financière (total des avoirs du client en moyenne sur 3 mois) ;
le rapport entre le montant de l’échéance mensuelle et le capital total emprunté du prêt personnel ;
l’existence  d’impayés sur crédit sur 2 mois consécutifs ou plus au cours des 6 derniers mois.
A partir de ces critères, les clients qui seront identifiés comme susceptibles d’être en situation de fragilité financière, recevront un courrier leur proposant de rencontrer leur conseiller afin de faire le point sur leur situation financière.
Il s’agit d’un entretien facultatif à la demande du client qui consiste d’une part, à identifier les éventuelles difficultés financières et leurs causes et d’autre part, à vérifier si l’équipement est adapté à la situation du client afin de lui proposer des solutions de paiement, de gestion du compte ou du crédit appropriées.
En outre, et si sa situation l’exige, le client peut être orienté avec son consentement vers les acteurs du secteur social que sont les organismes gestionnaires de prestations sociales : les collectivités locales, les institutions ayant une mission de service public ou des associations caritatives jouant le rôle de médiation sociale. 
Il s’agit ainsi de favoriser l’accès d’une part, aux droits et prestations auxquels les personnes peuvent prétendre, et d’autre part, aux  acteurs du milieu associatif spécialisés dans l’accompagnement des personnes en difficultés afin de proposer aux clients des solutions ou des offres adaptées.
Ces différents acteurs prennent en charge le client selon leur processus interne de traitement de situation de « mal endettement » ou de surendettement. Tous les échanges ultérieurs entre le client et les partenaires relèvent de leur seule responsabilité et ne sont pas communiqués à la Banque Populaire Occitane. Ainsi, le service proposé par la banque ne se substitue en aucun cas à l’accompagnement des acteurs sociaux mais intervient en amont et en complément d’un accompagnement social.
La Commission observe que les clients détectés, mais qui ne se manifesteraient pas suite à la réception de la proposition de prise de contact, ne font l’objet d’aucune autre action,  ni limitation dans l’usage des produits et services précédemment souscrits, ou dans ceux qu’ils envisageraient de souscrire ultérieurement. 
La Commission estime que les finalités du traitement sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Le dispositif vise en conséquence uniquement à détecter, prévenir et accompagner les clients potentiellement en difficulté.
Par conséquent, le traitement envisagé est susceptible de comporter des appréciations sur les difficultés sociales des personnes concernées. Dès lors, il relève des dispositions du 7° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et sa mise en œuvre doit, à ce titre, être autorisée par la CNIL.
Sur les données traitées
Les catégories de données à caractère personnel collectées sont relatives :
à l’identification du client ;
à ses coordonnées ;
à son logement (locataire, propriétaire) ;
à sa situation familiale ;
à sa situation professionnelle ;
à ses revenus et situation financière (découvert autorisé, frais de rejet, utilisation crédit renouvelable, surface financière, impayés) ;
les charges et revenus actuels et le cas échéant les prévisions d’évolution future.