AgentPublic/cnil huggingface dataset:
Formule les observations suivantes :
Sur le responsable du traitement
Le responsable de traitement est la Société Nationale des Chemins de fer Français (SNCF), qui gère la vente des titres de transport ferroviaire via son réseau de gares et boutiques, mais également via des sites internet et des centres d’appels. 
Sur la finalité
La société SNCF met en place un traitement de données à caractère personnel ayant pour finalité la détection et la prévention des fraudes par carte bancaire lors de commandes de titres de transport ferroviaire sur les sites internet THALYS et OUIGO, ainsi que via les centres d’appels Ligne Directe. Pour ce faire, la société utilise un outil d’évaluation des risques de fraude qui produit des alertes de différents niveaux. Le niveau de risque est évalué selon des critères fixés en fonction de l’importance et de la récurrence des fraudes constatées antérieurement (et notamment le nombre de transactions réalisées sur une période donnée et le montant cumulé des commandes passées avec un même moyen de paiement sur une période donnée). Ces critères sont régulièrement évalués afin d’adapter constamment leur pertinence par rapport aux fraudes les plus systématiques. En fonction du niveau de risque, la SNCF peut décider de bloquer, d’annuler ou de valider les transactions.En outre, la société utilise un mécanisme d’authentification renforcée, à savoir le protocole 3D Secure, pour authentifier le porteur de la carte bancaire utilisée lors d’une transaction. Ce dispositif est utilisé en complément de l’outil d’évaluation des risques, le résultat 3D Secure étant pris en compte dans l’analyse.Par ailleurs, la société enregistre dans une liste d’exclusion les cas de fraudes signalées par la banque à la suite d’une répudiation de paiement par le porteur d’une carte bancaire. Aucune
transaction ne peut être effectuée avec les moyens de paiement enregistrés sur cette liste.Bien que les alertes générées en cas de risque de fraude ne conduisent pas à l’inscription sur la liste d’exclusion, la Commission prend acte de ce qu’elles sont conservées par la société et font l’objet d’une analyse manuelle en cas de nouvelle transaction. La Commission estime que la finalité poursuivie est déterminée, explicite et légitime.      Elle considère également qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat, en l’absence de toute disposition législative ou réglementaire.
Sur les données traitées
L’outil d’évaluation des risques, qui produit des alertes en cas de risques de fraude, est basé sur l’analyse des données suivantes : 
Données relatives à l’identification du client : identifiant, nom, prénom, date de naissance, adresse électronique, adresse postale, numéro de téléphone, nom et prénom du passager si différent du payeur, adresse IP horodatée ; 
Informations d’ordre économique et financier : date, heure, montant et numéro de la transaction, type, numéro (chiffré) et date d’expiration de la carte bancaire ;
Informations relatives à la commande : contenu du « panier », temps avant le départ, type de produit, itinéraire, villes de départ et d’arrivée, pays de départ et d’arrivée, programme de fidélité, type de billet (aller-retour).
La Commission prend acte de ce que la SNCF recourt au protocole 3D Secure mentionné ci-dessus, dont le résultat est également pris en compte pour évaluer le niveau de risques des transactions. 
Par ailleurs, la liste d’exclusion contient les données suivantes : nom, prénom, adresse électronique, numéro et date d’expiration de la carte bancaire utilisée pour la transaction frauduleuse. 
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée. 
Sur les destinataires
Seuls les personnels assermentés de la Direction de la Sûreté de la SNCF, et plus particulièrement les agents de la Sûreté Economique et Financière, sont destinataires de ces données, dans la limite de leurs attributions.Ces agents sont chargés de l’exploitation de l’outil d’évaluation des risques et de l’interprétation des alertes. Ils définissent et ajustent régulièrement les critères de risque selon le niveau de pertinence constaté. Ces destinataires n’appellent pas d’observation de la part de la Commission.En outre, la Commission observe qu’une partie du traitement est réalisée par un sous-traitant. Elle prend acte que les données ne sont pas communiquées à d’autres personnes susceptibles de recourir aux services proposés par ce sous-traitant. 
Sur l’information et le droit d’accès 
Conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées de la façon suivante de l’identifié du responsable de traitement, de la finalité du traitement, des destinataires des données et de leurs droits :
pour les transactions effectuées sur les sites internet THALYS et OUIGO : dans les conditions générales de vente ;
pour les transactions effectuées via les centres d’appels Ligne Directe : via le serveur vocal interactif ou par le télévendeur.
En outre, les personnes concernées sont informées de la même manière de la possibilité qu’elles soient inscrites sur la liste d’exclusion en cas de fraude avérée.
Par ailleurs, en cas d’alerte donnant lieu au blocage ou à l’annulation de la transaction, les personnes concernées en sont informées en temps réel ou par courrier électronique. Elles sont alors invitées à utiliser un autre moyen de paiement ou un autre canal de distribution. 
En cas d’inscription sur la liste d’exclusion, les personnes concernées en sont informées par courrier électronique au moment de l’inscription. 
Enfin, la Commission prend acte que les droits d’accès et de rectification s’exercent auprès du service Voyages de la SNCF, 2, place de la Défense – CNIT 1 – BP 440 PARIS LA DEFENSE. 
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes. 
Sur les mesures de sécurité
Des profils d'habilitation sont prévus afin de gérer les accès aux données autant que de besoin. Les utilisateurs ayant accès au traitement sont authentifiés au moyen d’un mot de passe ayant un niveau de complexité suffisant, et régulièrement renouvelé.Les communications intervenant sur le réseau informatique interne sont filtrées. Seules les adresses IP autorisées peuvent accéder au service du prestataire.Les données sont transmises en HTTPS et donc chiffrées sur les postes des clients avant d’être transmises à la SNCF. Les communications entre la SNCF et le prestataire sont elles aussi chiffrées et signées. Les données transmises au prestataire situé aux États-Unis sont également chiffrées. Pour assurer la continuité d’activité, les données sont sauvegardées quotidiennement. Ces sauvegardes sont chiffrées afin d’en garantir la confidentialité.Une journalisation des connexions est effectuée. Ces journaux sont conservés pendant trente jours. Les interventions de maintenance font également l'objet d'une traçabilité.La Commission relève que les données transmises au prestataire, y compris les numéros de cartes, sont chiffrées avec une clé de 1024 bits. En raison de la sensibilité de ces données, elle recommande à la SNCF d’utiliser une clé de 2048 bits afin de mieux les protéger.Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978
modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. Dans ces conditions, la Commission autorise la Société Nationale des Chemins de fer Français (SNCF) à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la détection et la prévention des fraudes relatives aux commandes.
Sur les autres caractéristiques du traitement
Les données utilisées par l’outil d’évaluation des risques sont conservées pendant quatre-vingt dix jours en base active aux fins d‘analyse et de génération des alertes. Les alertes ainsi générées sont conservées pendant la même durée. L’ensemble de ces données sont ensuite anonymisées pour être exploitées aux fins d’analyse globale des comportements et d'adaptation des analyses de risques, et ce pendant une durée de deux ans.Par ailleurs, les données figurant sur la liste d’exclusion sont conservées pendant une durée de deux ans, puis elles sont supprimées.La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, la société la Société Nationale des Chemins de fer Français (SNCF), à mettre en œuvre le traitement susmentionné et abroge la délibération n° 2014-080 du 13 mars 2014.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1770420)
La Commission nationale de l'informatique et des libertés,
Saisie par la société UBS SECURITIES France SA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité de détecter des opérations susceptibles de constituer des abus de marché;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
La société UBS SECURITIES FRANCE SA est un établissement spécialisé dans le secteur des activités auxiliaires de services financiers.
Sur la finalité
La société UBS SECURITIES FRANCE SA a saisi la Commission d’une demande d’autorisation d’un traitement automatisé de données à caractère personnel ayant pour finalité de détecter des opérations susceptibles de constituer des abus de marché.Ce traitement vise à détecter des opérations de transactions sur titres, réalisées par des clients de la société UBS SECURITIES FRANCE SA qui sont susceptibles de constituer des opérations d’abus de marché et qui, de ce fait, doivent le cas échéant après la collecte de renseignements complémentaires, donner lieu à l’envoi d’une déclaration de soupçon à l’Autorité des Marchés Financiers (AMF).L’identification de telles opérations peut conduire UBS SECURITIES FRANCE SA à souhaiter, pour des raisons de prudence, rompre toute relation contractuelle avec certains des clients. Ce traitement peut ainsi, du fait de sa portée, conduire à l’exclusion de personnes du bénéfice d’un contrat en l’absence de toutes dispositions légales ou réglementaires le prévoyant.Dès lors, ce traitement relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit à ce titre être autorisé par la CNIL.Le traitement mis en œuvre doit permettre à la société UBS SECURITIES FRANCE SA d’identifier et de signaler à l’AMF, le cas échéant après la collecte de renseignements complémentaires des transactions sur des titres financiers susceptibles d’être qualifiées d’abus de marché.Le traitement a pour finalité de répondre aux exigences des articles l.621-17-2 à
l.621-17-7 du code monétaire et financier ainsi qu'aux articles 315-42 a 315-44 du livre III du règlement général de l'autorité des marches financiers relatifs aux déclarations d'opérations suspectes.Le traitement est destiné à filtrer les informations enregistrées sur les opérations de transaction sur compte titres, afin d’identifier celles qui répondent à des critères permettant de détecter les situations susceptibles de contrevenir à la réglementation en matière d’abus de marché.Les critères de génération d'alertes sont adaptés et proportionnés en fonction du niveau de risque lié à l’activité et à la clientèle de la société UBS SECURITIES FRANCE SA. La Commission relève que lors de l’analyse manuelle, les compliance officers prennent en compte, pour apprécier les opérations susceptibles de constituer des abus de marché, les éléments listés aux articles 631-2 et 631-3 du règlement général de l’AMF. Le dispositif de détection d’opérations susceptibles d’être considérées comme des abus de marché repose sur une analyse journalière des opérations. Les transactions ainsi détectées ont vocation à être analysées sans délai.La Commission prend acte que l’ensemble des opérations détectées font l’objet d’une analyse manuelle. Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées.La Commission souligne en outre que ce traitement ne permet pas la constitution d’une «
liste noire » de personnes qui ont déjà été concernées par une ou plusieurs alertes.
Sur les données traitées
Les listes d’éléments à analyser comportent les données suivantes : 
Les données d’identification : nom, prénom et numéro de référence (numéro de la relation client) ;
les données relatives à la situation professionnelle (fonction financière ou fonction au sein d’une société cotée du client),
la nature et le montant de la transaction financière,
le nombre de détections sur une période glissante et la date de la dernière détection,
le numéro de relation auquel sont rattachés les comptes du client,
le code ISIN comme identifiant de la valeur,
les caractéristiques de l’ordre détecté (nature, prix, quantité, montant, date)
les caractéristiques de l’ordre exécuté (nature, prix, quantité, montant, date)
Les données relatives à la situation familiale (liens familiaux avec une personne déjà considérée comme potentiellement initiée) peuvent également être traitées. 
Selon l’article 313-9 du règlement général de l’AMF, une personne ayant des liens familiaux avec une personne concernée est l’une des personnes suivantes :
« 1° Le conjoint de la personne concernée non séparé de corps ou le partenaire avec lequel elle est liée par un pacte civil de solidarité ;
2° Les enfants sur lesquels la personne concernée exerce l’autorité parentale, ou résidant chez elle habituellement ou en alternance, ou dont elle a la charge effective et permanente ;
3° Tout autre parent ou allié de la personne concernée résidant à son domicile depuis au moins un an à la date de la transaction personnelle concernée. »
La Commission considère que ces informations ne peuvent être traitées que dans la mesure ou la société UBS est tenue, au regard de ses obligations réglementaires, de recueillir les informations liées à l’entourage familial du client ou dès lors que ce dernier consent à la collecte de ces informations dans le cadre de la gestion de son compte et de la souscription de produits et services.
Les données ainsi collectées sont conservées pendant une durée n’excédant pas la durée nécessaire à la levée du soupçon d’abus de marché ou à la réalisation d’une déclaration d’opérations suspectes auprès de l’AMF.
Les alertes sont conservées pendant une durée de trois ans. Les déclarations d’opérations suspectes effectuées auprès de l’AMF sont également conservées pendant une durée de trois ans. La Commission relève que la durée de conservation des données pendant 3 ans est issue du guide AMAFI – FBF « de mise en œuvre des procédures de déclaration de soupçon d’abus de marché ».
Ces données sont adéquates, pertinentes et non excessives au regard des finalités déclarées et n’appellent pas d’observations particulières.
Sur les destinataires
Seuls ont accès aux données les personnels habilités du département de la conformité, du département du contrôle permanent et du département du contrôle périodique (en cas de mission d’audit) de la société UBS SECURITIES FRANCE SA.
Sur l’information et le droit d’accès 
Les personnes sont informées de la mise en œuvre de ce traitement conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée par une mention dans les conditions générales de compte de titres.Le droit d’accès s’exerce conformément aux dispositions de l’article 39 de la loi du 6 janvier 1978 modifiée auprès du service juridique de la société UBS SECURITIES France SA, 69, BOULEVARD HAUSSMANN, PARIS.
Sur les mesures de sécurité
Les destinataires des données au sein d’UBS SECURITIES France SA sont soumis à clause de confidentialité liée à la nature des données traitées.Les données sont stockées sur un serveur du périmètre de la société UBS SECURITIES hébergé sur un datacenter au Royaume Uni. Il est fait usage d’un flux chiffré de données entre le client et le serveur Web.Les actions effectuées par ces destinataires sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.Les données sont conservées dans la base de données, dédiée aux alertes d’abus de marché, le temps de la durée mentionnée et ne sont accessibles que par les seules personnes habilitées de la société UBS SECURITIES France SA. Le système est une application intranet avec une gestion des droits d’accès (accès via des cartes à puce nominatives avec mot de passe).
Autorise, conformément à la présente délibération, la société UBS SECURITIES FRANCE SA à mettre en œuvre le traitement susmentionné.
La Présidente 
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1725190)
La Commission nationale de l'informatique et des libertés,
Saisie par la société UBS FRANCE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité de détecter des opérations susceptibles de constituer des abus de marché;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
La société UBS (France) S.A. est un établissement de gestion de fortune, filiale d'UBS Holding (France) S.A. 
Sur la finalité
La société UBS FRANCE a saisi la Commission d’une demande d’autorisation d’un traitement automatisé de données à caractère personnel ayant pour finalité de détecter des opérations susceptibles de constituer des abus de marché.Ce traitement vise à détecter des opérations de transactions sur titres, réalisées par des clients de la société UBS FRANCE qui sont susceptibles de constituer des opérations d’abus de marché et qui, de ce fait, doivent le cas échéant après la collecte de renseignements complémentaires, donner lieu à l’envoi d’une déclaration de soupçon à l’Autorité des Marchés Financiers (AMF).L’identification de telles opérations peut conduire UBS FRANCE à souhaiter, pour des raisons de prudence, rompre toute relation contractuelle avec certains des clients. Ce traitement peut ainsi, du fait de sa portée, conduire à l’exclusion de personnes du bénéfice d’un contrat en l’absence de toutes dispositions légales ou réglementaires le prévoyant.Dès lors, ce traitement relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit à ce titre être autorisé par la CNIL.Le traitement mis en œuvre doit permettre à la société UBS FRANCE d’identifier et de signaler à l’AMF, le cas échéant après la collecte de renseignements complémentaires des transactions sur des titres financiers susceptibles d’être qualifiées d’abus de marché.Le traitement a pour finalité de répondre aux exigences des articles L.621-17-2 à L.621-17-7 du code monétaire et financier ainsi qu'aux
articles 315-42 a 315-44 du livre III du règlement général de l'autorité des marches financiers relatifs aux déclarations d'opérations suspectes.Le traitement est destiné à filtrer les informations enregistrées sur les opérations de transaction sur compte titres, afin d’identifier celles qui répondent à des critères permettant de détecter les situations susceptibles de contrevenir à la réglementation en matière d’abus de marché.Les critères de génération d'alertes sont adaptés et proportionnés en fonction du niveau de risque lié à l’activité et à la clientèle de la société UBS FRANCE. La Commission relève que lors de l’analyse manuelle, les compliance officers prennent en compte, pour apprécier les opérations susceptibles de constituer des abus de marché, les éléments listés aux articles 631-2 et 631-3 du règlement général de l’AMF. Le dispositif de détection d’opérations susceptibles d’être considérées comme des abus de marché repose sur une analyse journalière des opérations. Les transactions ainsi détectées ont vocation à être analysées sans délai.La Commission prend acte que l’ensemble des opérations détectées font l’objet d’une analyse manuelle. Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées.La Commission souligne en outre que ce traitement ne permet pas la constitution d’une « liste noire » de personnes qui ont déjà été concernées par une ou
plusieurs alertes.
Seuls ont accès aux données le personnel habilité du département de la conformité, du département du contrôle permanent et du département du contrôle périodique (en cas de mission d’audit) de la société UBS FRANCE.
Sur l’information et le droit d’accès 
Les personnes sont informées de la mise en œuvre de ce traitement conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée par une mention dans les conditions générales de compte de titres.Le droit d’accès s’exerce conformément aux dispositions de l’article 39 de la loi du 6 janvier 1978 modifiée auprès du service juridique de la société  UBS France, 69, BOULEVARD HAUSSMANN,  PARIS.
Sur les mesures de sécurité
Les destinataires des données au sein d’UBS France sont soumis à clause de confidentialité liée à la nature des données traitées.Les données sont stockées sur un serveur du périmètre de la société UBS France hébergé sur un datacenter au Royaume Uni. Il est fait usage d’un flux chiffré de données entre le client et le serveur Web.Les actions effectuées par ces destinataires sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.Les données sont conservées dans la base de données, dédiée aux alertes d’abus de marché, le temps de la durée mentionnée et ne sont accessibles que par les seules personnes habilitées de la société UBS France. Le système est une application intranet avec une gestion des droits d’accès (accès via des cartes à puce nominatives avec mot de passe).
Autorise, conformément à la présente délibération, la société UBS FRANCE à mettre en œuvre le traitement susmentionné.
La Présidente 
I. FALQUE-PIERROTIN