AgentPublic/cnil huggingface dataset:
Le traitement dont est saisie la Commission a pour finalité la mise en œuvre d’un dispositif d’alerte professionnelle, dans le cadre d’une adhésion au « label diversité », dédié à traiter les cas de discrimination et de harcèlement ressentis par les agents municipaux de la ville de Grenoble et les candidats à un emploi municipal.La Commission considère que cette finalité est déterminée, explicite et légitime.Elle rappelle que l’utilisation d’un dispositif d’alerte professionnelle doit demeurer facultative et complémentaire par rapport aux autres voies légales de remontée de réclamations des salariés. En l’espèce, le dispositif présenté par la mairie de Grenoble a vocation a concourir au traitement des situations individuelles liées à des faits de discrimination ou de harcèlement, sans se substituer aux dispositions légales existantes ou aux rôles des instances paritaires, et ce, dans le respect des attributions des différents acteurs.La Commission relève que les réclamations pouvant être émises par l’intermédiaire de ce dispositif ne peuvent concerner que des faits présumés de discrimination ou de harcèlement.Elle estime, dès lors, que le dispositif est limité dans son champ et qu’il répond à l’intérêt légitime du responsable de traitement, conformément aux dispositions de l’article 7-5° de la loi du 6 janvier 1978 modifiée.S’agissant des modalités de signalement, la Commission prend acte que tout agent de la mairie de Grenoble témoin ou victime d’un fait de harcèlement ou
de discrimination supposé peut déclencher la procédure en complétant un formulaire, disponible sur l’intranet de la Mairie ou auprès du service Gestion des temps et des congés médicaux (GTCM), qu’il doit ensuite remettre dûment complété, sous pli confidentiel, au secrétariat du service GTCM. Si la réclamation émane d'un candidat à un emploi municipal, ce dernier déclenche la procédure en remplissant un formulaire, disponible sur le site internet de la Ville ou à retirer à l’Hôtel de Ville auprès du service GTCM, qu’il doit ensuite remettre dûment complété, sous pli confidentiel, au secrétariat du service juridique.
Sur les données traitées
Les données collectées et traitées par l’intermédiaire du dispositif examiné par la Commission sont les suivantes :
identité, fonction et coordonnées de l'émetteur de l'alerte ;
identité, fonction et coordonnées des personnes faisant l'objet d'une alerte ;
identité, fonction et coordonnées des personnes intervenant dans le recueil ou le traitement de l'alerte ;
faits signalés, notamment le motif supposé et les circonstances d’une discrimination ou d’un harcèlement ;
éléments recueillis dans le cadre de la vérification des faits signalés ;
compte rendu des opérations de vérification ;
suites données à l'alerte.
La Commission considère que le traitement de ces données est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
La Commission rappelle que l’obligation de s’identifier à l’occasion de l’émission d’une alerte professionnelle permet de limiter les risques de mises en cause abusives.
Elle relève que le dispositif de la mairie de Grenoble impose aux utilisateurs de s’identifier, étant précisé que l’identité de ces derniers est néanmoins traitée de manière confidentielle.
Sur les destinataires
Les destinataires de tout ou partie des données à caractère personnel du présent traitement sont, dans la limite de leurs attributions respectives :
Le service municipal chargé d’enregistrer et d’instruire les réclamations, à savoir le GTCM ;
Les services de la mairie éventuellement sollicités pour leur expertise, à savoir :
le service juridique ;
le service de santé au travail  ;
le service des ressources humaines.
La cellule de veille municipale, destinataire d’un rapport transmis par le service instructeur présentant les éléments factuels recueillis et le contexte, chargée de proposer des mesures de résolution de la situation et composée :
du directeur général des services ou de son représentant ;
du chef du service GTCM ;
du juriste en charge de l’instruction de la réclamation ;
du chef de projet « Lutte contre les discriminations » ;
d’un représentant désigné par chaque organisation syndicale représentative.
L’adjointe au maire chargée de la gestion du personnel et la conseillère municipale déléguée à la lutte contre les discriminations, chargées de décider des mesures à adopter sur la base des propositions de la cellule de veille.
La Commission considère que ces destinataires présentent un intérêt légitime à accéder aux données du présent traitement.
Elle relève, par ailleurs, que ces personnes sont toutes astreintes à une obligation de confidentialité et spécifiquement formées à la lutte contre les discriminations et le harcèlement.
Sur l’information et le droit d’accès
Les agents municipaux sont informés de l’existence du dispositif municipal de veille et de traitement des discriminations et des harcèlements par l’envoi d’un courrier personnalisé.Cette information est délivrée aux candidats à un emploi municipal par l’intermédiaire d’une mention sur les offres d’emploi. Les personnes souhaitant émettre une réclamation sont également informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention sur les formulaires de saisine. La Commission relève, par ailleurs, que le chef du service GTCM entre en contact avec le requérant lors de l’enregistrement de la réclamation, notamment pour l’informer des étapes de la procédure et lui préciser le champ de compétences du dispositif ainsi que les dispositions réglementaires en vigueur.Les personnes mises en cause sont informées, quant à elles, dès l’enregistrement d’une réclamation les concernant. La Commission relève que cette information peut éventuellement être retardée le temps strictement nécessaire à l’adoption de mesures conservatoires permettant notamment de prévenir la destruction des preuves. Les droits d’accès et de rectification s’exercent directement auprès du service GTCM de la mairie de Grenoble. La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
Des mesures de sécurité sont prises par le responsable de traitement afin de préserver la sécurité des données et, notamment, empêcher que des tiers non autorisés y aient accès.Les formulaires de saisine « papiers » sont ainsi transmis au service instructeur des réclamations, sous plis confidentiels, et stockés dans des armoires fermées à clefs.La Commission relève que les alertes émises sont exclusivement traitées en interne sans recourir à un prestataire.Une politique d’habilitation est également mise en place pour s’assurer que les éventuels documents d’instruction en format informatisé, tels que des documents numérisés, sont accessibles aux seules personnes habilitées à cet effet.La Commission rappelle que l’authentification des utilisateurs du traitement doit être assurée par l’utilisation de mots de passe, renouvelés à intervalles réguliers, constitués d’au moins huit caractères et contenant des lettres minuscules et majuscules, ainsi que des chiffres ou des caractères spéciaux.Elle rappelle également que les accès au système d’information et les opérations effectuées sur les supports d’enregistrement des données doivent faire l’objet d’une fonctionnalité de journalisation, permettant d’identifier  l’utilisateur à l’origine d’une opération de consultation, de modification de création ou de suppression.Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article
34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
La Commission relève que les durées de conservation prévues par le responsable de traitement sont identiques à celles mentionnées à l’article 6 de l’autorisation unique n° 4, à savoir :
les données relatives à une alerte considérée, dès son recueil par le responsable du traitement, comme n'entrant pas dans le champ du dispositif sont détruites ou archivées sans délai ;
lorsque l'alerte n'est pas suivie d'une procédure disciplinaire ou judiciaire, les données sont détruites ou archivées dans un délai de deux mois à compter de la clôture des opérations de vérification ;
lorsqu'une procédure disciplinaire ou des poursuites judiciaires sont engagées à l'encontre de la personne mise en cause ou de l'auteur d'une alerte abusive, les données sont conservées jusqu'au terme de la procédure.
La Commission considère que ces durées de conservation n’excèdent pas celles qui sont nécessaires à l’accomplissement de la finalité poursuivie par le responsable de traitement. 
Autorise, conformément à la présente délibération, la mairie de Grenoble à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1683626)
La Commission nationale de l'informatique et des libertés,
Saisie par la Banque Postale d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre, à titre expérimental, d’un accompagnement bancaire des personnes rencontrant des  difficultés financières (ABRI) ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-7° ;
Vu la loi n°2008-776 du 4 août 2008 de modernisation de l’économie, notamment son article 145 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Jean-Paul AMOUDRY, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Banque Postale a saisi la Commission d’une demande d’autorisation relative à la mise en œuvre d’un service d’assistance bancaire dédié à ses clients qui rencontrent des difficultés financières passagères ou durables les mettant en situation de fragilité.
Ce traitement est susceptible de comporter des appréciations sur les difficultés sociales des personnes concernées. Dès lors, il relève des dispositions du 7° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et sa mise en œuvre doit, à ce titre, être autorisée par la CNIL.
Sur les finalités du traitement :
Pour prendre en compte la dimension bancaire des difficultés que connaissent les personnes en situation de pauvreté ou d’exclusion, le Gouvernement, dans le cadre de son « plan pluriannuel de lutte contre la pauvreté et l’inclusion sociale », encourage les établissements de crédit à une meilleure prise en compte des populations en situation de fragilité financière. L’objectif est de faire en sorte que les acteurs bancaires et les acteurs sociaux travaillent en collaboration pour apporter des réponses pratiques aux personnes rencontrant des difficultés financières.
Dans ce cadre, la Banque Postale, forte de ses missions de service public d’accessibilité bancaire telles que définies à l’article 145 de la loi n°2008-776 du 4 août 2008 de modernisation de l’économie, souhaite mettre en œuvre, à titre expérimental, un service d’Assistance Bancaire et de Recherche d’Intermédiation dénommé « ABRI ».
La Commission prend acte qu’aucun système de « score » ou de détection systématique et préalable des clients en situation de « fragilité » n’est réalisé par la Banque Postale. Le client pourra être orienté vers le service ABRI dans le cadre de sa relation commerciale avec son chargé de clientèle si celui-ci considère par exemple que les services proposés par ABRI sont adaptés  au client au regard de sa situation financière ou encore à la suite d’un rejet d’une demande de rachat de crédits. Il appartient au client de donner suite à cette information en prenant l’initiative d’un contact avec le service ABRI.   
Le traitement doit permettre de réaliser un accompagnement bancaire spécifique des clients de la Banque Postale rencontrant des difficultés financières, passagères ou durables, les mettant en situation de fragilité. Il peut s’agir d’une fragilité structurelle, concernant les clients ayant peu de revenus ou de ressources depuis une longue période, ou conjoncturelle, concernant par exemple les clients dont le budget s’est déséquilibré du fait d’un accident de la vie (chômage, divorce, maladie, décès, etc.) ou en situation de surendettement.
Plus précisément, le service ABRI, qui repose sur la création d’une plateforme téléphonique permettant aux clients d’échanger avec les chargés de clientèle du service, poursuit trois finalités.
Il s’agit, en premier lieu, d’établir un diagnostic de la situation budgétaire du client concerné dans une approche de « reste pour vivre », c’est-à-dire des ressources restantes pour assumer les dépenses essentielles de la vie quotidienne, déduction faite des charges contraintes. A partir de cette analyse, le chargé de clientèle du service ABRI pourra, à son niveau, proposer des actions concrètes en vue d’améliorer la gestion bancaire et budgétaire du client (baisse d’une autorisation de découvert, modification de la date  des prélèvements automatiques, provisionnement des chèques, etc.). 
En second lieu, le service permet de délivrer un premier niveau d’information sur les dispositifs de prise en charge des personnes en difficulté financière : informations sur le revenu de solidarité active ou l’aide à l’acquisition d’une complémentaire santé, par exemple.
Enfin, lorsque la situation du client nécessite une prise en charge plus spécifique, le chargé de clientèle du service ABRI l’oriente vers les acteurs du secteur social que sont les organismes gestionnaires de prestations sociales : les collectivités locales, les institutions ayant une mission de service public ou des associations caritatives jouant le rôle de médiation sociale. Il s’agit ainsi de favoriser l’accès d’une part, aux droits et prestations auxquels les personnes peuvent prétendre, et d’autre part, aux partenaires avec lesquels la Banque Postale a conclu un accord afin de proposer aux clients des solutions ou des offres adaptées (association Crésus et le Crédit Municipal de Paris « CMP Banque »). 
Ces différents acteurs prennent en charge le client selon leur processus interne de traitement de situation de « mal endettement » ou de surendettement. Tous les échanges ultérieurs entre le client et les partenaires relèvent de leur seule responsabilité et ne sont pas communiqués à la Banque Postale. Ainsi, le service ABRI ne se substitue en aucun cas à l’accompagnement des acteurs sociaux mais intervient en amont et en complément d’un accompagnement social. 
Sur la base des données collectées, la Banque Postale souhaite également établir des statistiques relatives à l’utilisation du service ABRI par les clients.
La Banque Postale  prévoit de mettre en œuvre le traitement à titre expérimental, pour une durée de neuf mois. Dans un premier temps, le projet concernera les clients relevant du centre financier de Grenoble, c’est-à-dire ceux des départements de l’Isère, de la Savoie et de la Haute-Savoie, puis sera étendu dans un second temps à un autre centre financier d'une taille supérieure.
La Commission estime que les finalités du traitement sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Elle prend acte que l’utilisation du dispositif d’accompagnement bancaire est facultative pour les clients et complémentaire des autres dispositifs d’accompagnement social proposés par les organismes sociaux. La Commission relève à cet égard que la Banque Postale encourage une démarche volontaire et participative de la part du client, qui reste libre d’avoir recours à ce service d’assistance bancaire et consent préalablement à toute analyse de ses données financières. 
La Commission demande dès lors à être informée des étapes ultérieures de la mise en œuvre de ce projet. Elle rappelle qu'au terme de l’expérimentation, un bilan sur les modalités de fonctionnement, d’utilisation et d’efficacité du dispositif devra lui être adressé.
Sur la nature des données traitées :
Les données traitées dans le cadre du service ABRI seront collectées directement auprès des personnes concernées, dans le cadre des échanges téléphoniques entre la plateforme et les clients volontaires. 
Afin d’établir le diagnostic de la situation budgétaire du client et de lui proposer des actions adaptées, les chargés de clientèle du service ABRI ont accès à ses relevés de compte, en mode consultation, et sont amenés à collecter des données complémentaires sur la base d’une trame d’entretien prédéfinie. 
Les catégories de données à caractère personnel collectées sont relatives :
à l’identification du client ;
à ses coordonnées ;
à son logement (locataire, propriétaire)
à sa situation familiale ;
à ses ressources ainsi qu’aux personnes composant le foyer (salaires, prestations sociales, aides de l’entourage familial ou amical) ;
à sa situation bancaire  (comptes détenus, solde du compte, découverts, crédit immobilier, crédit à la consommation auprès de la Banque Postale ou d’un autre établissement, etc.; 
aux dépenses liées aux charges courantes (loyer, transports, télécommunications, électricité, gaz, etc.) ;
aux dépenses liées aux charges familiales (crèche, garderie, etc.)
aux dépenses de santé onéreuses et récurrentes ;
aux impôts ;
à la détention d’une assurance et d’une complémentaire santé ;
aux impayés et retards liés à tous ces postes de dépense.
La Commission observe que la collecte des  données va au-delà des données habituellement collectées par les établissements de crédit dans le cadre de leur relation commerciale avec les clients. L’accompagnement individualisé proposé par la Banque Postale nécessite de disposer d’informations relatives aux difficultés sociales rencontrées (perte d’emploi, divorce, etc.) qui peuvent être la cause des difficultés financières ou en être la conséquence. Le chargé de clientèle, doit pouvoir avoir une vision globale des difficultés du client liées par exemple aux mensualités de ses crédits, à ses dettes, aux problématiques liées au logement et de l’aider ainsi à mettre en œuvre des actions concrètes ou à identifier des prestations sociales auxquelles il pourrait prétendre. 
Dès lors, la Commission considère que la collecte de ces données est proportionnée à la finalité poursuivie.
La Commission rappelle toutefois la nécessité de circonscrire au strict nécessaire la collecte de données  afin de ne recueillir dans l’application du service ABRI que les informations indispensables à l’appréciation de la situation financière de la personne et son orientation vers les acteurs sociaux. En particulier, les données contenues dans des zones « commentaires » doivent être exclusives de toute appréciation subjective et ne sauraient en aucun cas faire apparaître directement ou indirectement des données relatives aux origines raciales, aux opinions politiques, philosophiques ou religieuses ou aux appartenances syndicales, ou qui sont relatives à la santé ou à la vie sexuelle. 
Sur la durée de conservation des données :
Les données à caractère personnel collectées dans l’application du service ABRI sont conservées pendant une durée maximale de neuf mois et sont ensuite supprimées. Dans la mesure où cette durée correspond à la durée de l’expérimentation projetée, la Commission considère qu’elle est conforme aux dispositions de l’article 6-4° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires des données :
Les destinataires des informations sont, dans la limite de leurs attributions, les seuls agents de la Direction du Développement Relations Clients (DDRC), formés spécifiquement et soumis à une obligation renforcée de confidentialité. Aucun autre service ou aucune filiale de la Banque Postale ne sera destinataire des données recueillies dans le cadre de l’accompagnement proposé par le service ABRI.
Seront également destinataires des seules données relatives à l’identification et aux coordonnées des clients ayant accepté d’être suivis par les partenaires de la Banque Postale, l’association CRESUS, reconnue mission d’utilité publique et engagée depuis de nombreuses années dans l’accompagnement, la prévention du risque de surendettement et d’exclusion financière des ménages en France, d’une part, et le CMP banque, dont le cœur d'activité est le rachat de crédits, les prêts relais et les prêts hypothécaires, d’autre part. 
La communication d’informations à ces organismes par la Banque Postale nécessite au préalable la levée du secret bancaire. La Banque Postale prévoit  par conséquent de recueillir l’accord de la personne via l’enregistrement d’une partie de la conversation téléphonique ayant trait à ce consentement. Le service ABRI n’étant accessible qu’à distance via la plate-forme téléphonique, il s’agit pour la Banque Postale de garder une trace de l’accord du client.
La Commission prend acte que des conventions de partenariat seront signées avec ces partenaires, afin de déterminer les modalités précises de collaboration et d’orientation des clients de la Banque Postale.
La Commission considère que ces destinataires, qui sont en nombre limité, ont un intérêt légitime à connaître de ces données.
Sur les droits des personnes concernées :
Le processus d’information et d’orientation du client vers la plateforme d’assistance bancaire est multi-canal : les bureaux de Poste, les centres financiers (services risques et réclamation notamment), les filiales (LBP Financement et LBP Assurance Santé), le médiateur et enfin les partenaires.
Une notice d’information sera diffusée dans les agences et sur le site institutionnel de la Banque Postale à l’attention de l’ensemble de ses clients. 
La Commission relève que l’information est générale, la Banque Postale ne procèdant à aucune sélection préalable des clients.
Pour contacter la plate-forme, un numéro d’appel gratuit sera mis à disposition des clients de La Banque Postale afin de prendre contact avec le personnel du service ABRI et de fixer un rendez-vous pour l’entretien téléphonique de diagnostic.
L’entretien téléphonique entre le chargé de clientèle du service ABRI et le client est précédé d’un message d’accueil rappelant l’objectif du dispositif, les modalités de déroulement de l’entretien, le caractère confidentiel des éléments qui seront communiqués et la possibilité pour le client de ne pas répondre à certaines questions.
Les personnes sont également informées des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition, qu’ils pourront exercer à tout moment, directement auprès de la DDRC, gestionnaire du service ABRI.
L’entretien portant également sur les ressources des tiers (conjoint, enfant en âge de travailler), la Banque Postale devra s’assurer auprès du client que ces tiers ont été informés de la démarche et ne s’opposent pas à la communication de leurs informations.
Les clients orientés vers les partenaires de la Banque Postale (Crésus et CMP Banque) devront préalablement donner leur consentement exprès pour la transmission de leurs coordonnées afin d’être mis en contact. Le consentement exprès sera recueilli via l’enregistrement d’une partie de la conversation téléphonique.  
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée. Les modalités d’exercice des droits des personnes n’appellent pas d’observation de sa part. 
Sur la sécurité des données et la traçabilité des actions :