AgentPublic/cnil huggingface dataset:
le traitement ne permet pas d’alimenter une « liste noire » de personnes suspectées d’avoir commis ou tenté de commettre une fraude. 
Enfin, il existe un compte rendu anonymisé sur les indicateurs de pilotage de l’activité de lutte contre la fraude. Il s’agit uniquement de données statistiques conservées pour une durée maximale de 5 années. 
La Commission estime que les finalités poursuivies sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée.   
Sur les données traitées
Les données collectées sont issues du catalogue des requêtes administré par la sécurité financière du groupe au sein de l’organe central. 
La Commission relève que pour toute demande d’évolution du catalogue, la Caisse d'Epargne Loire Drôme Ardèche, devra saisir la Commission pour obtenir une autorisation conformément aux dispositions de l’article 30 de la loi du 6 janvier 1978 modifiée.
Le processus de détection de la fraude repose sur les données issues des systèmes d’information au moyen de requêtes portant sur les données suivantes :
données d’identification du client : numéro de personne, nom, prénom, âge, adresse, statut juridique, EDS (élément de structure / domiciliation du client ou du collaborateur dans l'établissement), code appartenance réseau, code VIP, segment de clientèle, décédé (oui/non), date de décès, Top NPAI (oui/non), date début NPAI, Type de domiciliation relevé, fréquence envoi relevé, top absence relevé, date entrée en relation, Top procuration (oui/non), lien interpersonne (lien entre le client et d’autres clients de la banque), modification du DRC, nombre de personnes dans la relation bancaire (RB), nombre de comptes dans la RB, existence de mandats, surveillance contentieux sur le client ;
données d’identification du mandataire : numéro de personne, nom, prénom, Top (Oui/Non) si le mandataire est le gestionnaire ;
données de compte : numéro de compte, intitulé du compte, type de compte, solde, solde avant clôture, solde avant opération, produit, ancienne surface financière, nouvelle surface financière, écart surface financière nouvelle – ancienne, pourcentage de perte de surface financière, perception de revenus ou organismes sociaux ;
données relatives au collaborateur gestionnaire : nom, prénom, identifiant, adresse si client, ancienneté dans le poste, fonction, poste, date de dernière mutation ;
données relatives à la contrepartie : numéro de personne, nom, prénom, EDS, numéro de compte, type de compte, date d’ouverture du compte ;
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la Caisse d'Epargne Loire Drôme Ardèche sont informés de la mise en œuvre du traitement par une mention qui figure sur la convention de compte. Les salariés, sont informés par une mention d’information qui figure dans l’annexe au règlement intérieur diffusée à l’ensemble du personnel.Dès lors qu’une enquête sera ouverte à l’encontre d’un collaborateur et lorsque l’établissement aura des présomptions fortes et des éléments factuels de fraude ou du manquement de ce dernier, ce salarié sera informé dans le cadre de l’entretien d’investigation. La Commission relève que le dossier du collaborateur ne comportera aucune information sur l’enquête diligentée à son encontre en l’absence de fraude avérée. Une présentation du dispositif a été réalisée auprès des comités exécutifs au sein des établissements ainsi qu’aux Directoires. Les instances représentatives du personnel seront informées du traitement de lutte contre la fraude lors d’une présentation aux comités d’entreprise des établissements. Le droit d’accès s’exerce auprès de Direction Risques et Conformité des contrôles Permanents : 17, rue Ponchardier Espace Fauriel - 42012 Saint Etienne Cedex 2.
Sur les mesures de sécurité
Il existe des profils d’habilitations qui définissent les fonctions ou les types d’informations accessibles par les personnes prenant part au projet de la lutte contre la fraude interne :
seuls les membres de la cellule locale de LAF auront accès aux alertes remontées automatiquement par l’outil de détection des fraudes, 
en cas de fraude avérée, les informations pourront être transmises aux départements juridiques et au département des ressources humaines,
les personnels chargés de créer le référentiel fraude ont accès  au reporting qui contient des données statistiques anonymes sur les alertes et les cas de fraudes avérées.
Le personnel habilité de la Caisse d'Epargne Loire Drôme Ardèche accède aux données collectées grâce à un identifiant et un mot de passe. La complexité des mots de passe est d’une longueur minimale de 8 caractères, comportant 3 types de caractères distincts. Le mot de passe n’est pas généré automatiquement par l’outil de génération de mots de passe. 
En dehors de l’utilisateur, personne n’a connaissance de ce mot de passe et en cas de perte, un nouveau mot de passe sera généré et transmis suivant le même procédé. 
Toutes les opérations de consultation et de modification font l’objet d’une journalisation. Les journaux sont conservés pendant une durée d’un an et contiennent les adresses IP des machines utilisées ainsi que les identifiants des comptes utilisés. Les comptes sont verrouillés automatiquement après trois tentatives de connexions infructueuses.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les durées de conservation sont différentes suivant les cas indiqués ci-dessous :
lorsqu’une alerte est classée « sans suite », c’est-à-dire qu’il n’a pas été jugé utile d’ouvrir un dossier d’investigation, elle sera automatiquement purgée après le délai de 30 jours ;
les alertes non traitées sont conservées pendant 3 mois dans l’outil à partir de la date de mise à disposition et le temps de procéder à leur qualification (sans suite ou fraude avérée). Passé ce délai, elles sont automatiquement supprimées ;
les alertes non traitées mais classées « à investiguer » sont conservées pendant une durée de 3 mois qui correspond à la durée de conservation des alertes non traitées, à laquelle s’ajoute un nouveau délai de 3 mois dès lors que l’alerte a été classée comme étant à investiguer. Dans ce dernier cas, la durée de conservation totale est de 6 mois. Passé ce délai, elles sont automatiquement supprimées.
les alertes pour lesquelles un dossier d’investigation a été ouvert sont conservées pendant toute la durée de l’enquête jusqu’à ce que la fraude soit ou non avérée. 
Enfin, une fois que l’alerte a été qualifiée, que le dossier a été clôturé ou que la procédure judiciaire est terminée, les alertes sont automatiquement supprimées ainsi que le rapport final d’investigation.
La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, la Caisse d'Epargne Loire Drôme Ardèche à mettre en œuvre le traitement susmentionné.
La Présidente 
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1774333)
La Commission nationale de l'informatique et des libertés,
Saisie par la Caisse d’épargne de Midi-Pyrénées d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des incivilités ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-4° et 23-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Caisse d’épargne de Midi-Pyrénées, ci-après CEMP.
Sur la finalité
Le traitement mis en œuvre vise la gestion des incivilités commises par les clients à l’encontre des salariés de CEMP. La CEMP a signé un accord avec le Comité d’Entreprise qui définit les évènements susceptibles de rentrer dans le périmètre des incivilités.Les incivilités peuvent être des agressions verbales (injures, insultes ou menaces), des agressions comportementales (harcèlement, chantage, bruits et tapage injurieux…)  Ce traitement a pour objectif de permettre le recensement des évènements survenus à l’encontre des collaborateurs. Le collaborateur est libre de déposer plainte ou non à l’encontre de la personne à l’origine de l’incivilité. Si le collaborateur décide de déposer plainte, il a la possibilité de demander au service des affaires juridiques de CEMP de l’assister dans son action en justice (conseils juridiques, accompagnement lors du dépôt de plainte). En outre, des mesures d’accompagnement médicales, sociales ou psychologiques, peuvent être apportées au collaborateur. Un suivi statistique de ces incivilités est réalisé afin d’identifier les récurrences. La Commission estime que ces finalités sont déterminées, explicites et légitimes. Les mesures prises par CEMP sont graduées en fonction du niveau de gravité de l’incivilité. La survenance de l’incident peut conduire à une simple prise de rendez-vous avec le client ou à l’envoi d’une lettre d’avertissement. Dans les hypothèses les plus graves, la banque peut décider de mettre un terme à la relation
contractuelle avec le client auteur de l’incivilité. Les circonstances de la rupture ne sont connues que par l’agence concernée par cet évènement. Ce traitement peut ainsi, du fait de sa nature et de sa finalité, conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat en l’absence de toutes dispositions légales ou réglementaires prévoyant une telle exclusion. Dès lors, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée en 2004 et doit, à ce titre, faire l’objet d’une autorisation de la CNIL. En outre, ce traitement porte sur des données relatives à des infractions. A cet égard, l’article 9 de la loi du 6 janvier 1978 modifiée liste les personnes pouvant mettre en œuvre un traitement de données relatives aux infractions, condamnations et mesures de sûreté. Conformément à la décision du Conseil Constitutionnel du 29 juillet 2004, les victimes d’infractions susceptibles de faire valoir leurs droits devant une juridiction peuvent également procéder à la collecte des données relatives à ces infractions. La Commission considère qu’il y a également lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions et mesures de sûreté.
Sur les données traitées
Les catégories de données traitées sont relatives:  - à l’identité des collaborateurs concernés : nom, prénom, identifiant CEMP, poste type, entité (agence, groupe, direction régionale) ; - à l’identité des clients auteurs de l’incivilité : nom et prénom(s),  numéro de compte ;  - aux incivilités et aux suites données : date, nature, descriptif, accompagnement proposé au collaborateur victime, mesures prises à l’encontre du client auteur de l’incivilité. La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente, adéquate et non excessive au sens de l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les personnes destinataires du traitement sont :
le responsable hiérarchique du collaborateur ;
le responsable des Ressources Humaines du collaborateur ;
le responsable des Ressources Humaines et le conseiller de gestion de la direction régionale ;
le responsable des Ressources Humaines de la banque de détail en France ;
les responsables des « Relations sociales », qui accèdent aux informations pour réaliser un rapport statistique, remis aux partenaires sociaux (CHSCT pour les rapports statistiques) 
Les personnes habilités de la médecine du travail et du service « assistance sociale ».
La liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les collaborateurs de la CEMP sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention d’information qui figure dans la procédure des ressources humaines. Cette procédure rappelle notamment que le collaborateur peut accéder directement et à tout moment au fichier de gestion des incivilités et consulter les déclarations le concernant.Les clients sont informés de la mise en œuvre de ce traitement via un affichage en agence. Dès lors qu’une déclaration d’incivilité a été effectuée et que l’identité du client auteur des incivilités est formelle, ce dernier est informé par l’envoi d’un courrier.Les droits d’accès, de rectification et d’opposition s’exercent auprès du service conformité de la CEMP. La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Les actions effectuées par les personnes habilitées à accéder à au fichier des incivilités sont tracées afin de permettre de détecter et d’analyser tous les accès, modifications et suppressions de données non autorisés.Les dates et heures de connexion, les opérations effectuées ainsi que les identifiants « utilisateurs » font l’objet d’une journalisation.Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application avec des profils d’habilitation et un contrôle d’accès logique qui se fait par mot de passe. Les mesures de sécurité mises en place n’appellent pas d’observation.
Sur les autres caractéristiques du traitement
Les données personnelles contenues dans l’outil de gestion des incivilités commerciales sont conservées pendant une durée maximale d’un an afin de constituer des éléments permettant de donner une suite judiciaire au dossier ou de le clôturer. Une fois ce délai passé, les dossiers sont versés en base archive avec un périmètre de consultation restreint au directeur des moyens généraux et à sa secrétaire.
Les données relatives à l’évènement sont conservées de manière anonyme sur une période de 2 ans à compter de la date de l’incident afin de réaliser des statistiques.La Commission considère que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement. En cas de rupture de la relation commerciale avec le client auteur de l’incivilité, les circonstances de la rupture ne sont pas connues du réseau des agences de CEMP. En conséquence, il est possible pour le client de reprendre une relation commerciale auprès d’une autre agence du réseau.  Ces autres caractéristiques du traitement n’appellent pas d’observation particulière de la Commission.
Autorise, conformément à la présente délibération, la Caisse d’épargne de Midi-Pyrénées à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1808657)
La Commission nationale de l'informatique et des libertés,
Saisie par la CAISSE REGIONALE DE CREDIT AGRICOLE MUTUEL de Paris et D'Ile-de-France d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude identitaire et documentaire;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
La CAISSE REGIONALE DE CREDIT AGRICOLE MUTUEL de Paris et D'Ile-de-France Crédit Agricole Centre Loire, ci-après dénommé la CAISSE REGIONALE DE CREDIT AGRICOLE MUTUEL.
Sur la finalité
La finalité du traitement est de lutter contre la fraude identitaire et documentaire. Il vise, par l’utilisation du logiciel RESOCOM, à détecter les documents présentant des anomalies susceptibles de révéler une fraude (faux document ou document falsifié) dans deux hypothèses : au moment de l’entrée en relation du client auprès de la banque, en cas de demande de prêt. La Commission estime que cette finalité est déterminée, explicite et légitime.Lorsque l’analyse de l’outil conclut à la non-conformité du document, la demande d’ouverture de compte ou la demande de prêt est refusée. Dans la situation inverse, si l’authenticité des documents est confirmée, il est fait droit à la demande du client. Dans l’hypothèse où la demande concerne l’octroi de crédit et si l’outil détecte une fraude documentaire présumée, la banque peut décider de clôturer le compte du client conformément aux conditions prévues par la convention de compte.Dès lors, ce traitement peut, du fait de sa portée et de sa finalité, exclure une personne du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition légale prévoyant une telle exclusion.Le présent traitement est dès lors soumis à autorisation de la Commission, en application des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les catégories de données traitées sont relatives : - à l’identité des personnes concernées : nom, prénom(s), sexe, adresse, date et lieu de naissance, nationalité (titre de séjour), photographie ;- aux documents d’identité : numéro de document, date et lieu de délivrance, date d’expiration, validité (titre de séjour), pays d’origine (passeport), bande MRZ de la pièce d’identité.La Commission considère, compte tenu de la finalité poursuivie, que ces données sont pertinentes, adéquates et non excessives, conformément à l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Seul les agents du service fraude (le responsable et les chargés de la prévention de la fraude) ont accès aux informations. La liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la banque sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention qui figure dans la convention de compte du client et sur le site internet de la banque.Cette mention rappelle notamment que les droits d’accès et de rectification s’exercent auprès du service client, de la CAISSE REGIONALE DE CREDIT AGRICOLE MUTUEL DE PARIS ET D'Ile-de-France, 26 Quai de la Rapée, 75012 Paris ou via l’une adresse électronique suivante : service.client@ca-paris.fr.La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Les personnes ayant accès au logiciel RESOCOM sont : les conseillers clients, les opérationnels chargés de la prévention de la fraude, les analystes crédits et les collaborateurs en charge du contrôle de la conformité des dossiers d’entrée en relation. Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application avec des profils d’habilitation et un contrôle d’accès logique qui se fait par mot de passe.Chaque utilisateur dispose d'un identifiant qui lui est propre et d’un mot de passe composé de 8 caractères comprenant au moins 3 des 4 types de caractères (majuscules, minuscules, chiffres et caractères spéciaux). La Commission prend note que ceux-ci sont générés par RESOCOM qui les fournit directement aux personnes habilitées et s’engage à détruire automatiquement toute trace des mots de passe, une fois ceux-ci envoyés. La Commission rappelle que les mots de passe doivent être changés par l’utilisateur à la première connexion.Une journalisation des opérations de connexion à l’application, de vérification des pièces et leur résultat est réalisée via un outil de gestion statistique de la consommation, VERISTAT, mis à disposition par RESOCOM. La Commission rappelle que les utilisateurs doivent être informés que leurs actions font l'objet d'une journalisation. Enfin, l’accès à l’application est sécurisé au moyen du protocole HTTPS/FTPS.Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont
Le traitement mis en œuvre n’est qu’un outil d’aide à l’analyse des documents d’identité présentés par la personne concernée lors de l’entrée en relation avec la CAISSE REGIONALE DE CREDIT AGRICOLE MUTUEL. La Commission prend acte qu’en cas de détection d’anomalie, une analyse complémentaire sera effectuée par les personnels habilités du pôle lutte contre la fraude afin, le cas échéant, de confirmer la tentative de fraude.Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées.Ce traitement ne permet pas d’établir une « liste noire » de personnes ayant présenté des titres d’identité comportant des anomalies ou des titres d’identité falsifiés ou volés.Des statistiques sur des données anonymisées sont réalisées à partir des résultats de l’outil et permettent de chiffrer le nombre d’alertes par entité, par point de vente, par type de document et par département.Les autres caractéristiques du traitement n’appellent pas d’observation particulière de la Commission.
Autorise, conformément à la présente délibération, la CAISSE REGIONALE DE CREDIT AGRICOLE MUTUEL de Paris et d'Ile-de-France à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1749706)
La Commission nationale de l'informatique et des libertés,
Saisie par la société WAKANIM d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel aux fins d’exercice de son droit à un recours juridictionnel contre des personnes ayant mis à disposition sur internet des contenus protégés par la propriété intellectuelle sans son autorisation ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9 et 25.I.3°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Joëlle FARCHY, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :