AgentPublic/cnil huggingface dataset:
La Commission prend acte que, dans chaque direction centrale mettant en œuvre le traitement, certains agents de la police nationale accéderont à l'ensemble des données traitées au sein de leur direction au niveau national, en application du principe de visibilité hiérarchique, à des fins de production statistique. 
En revanche, la Commission relève qu'il était initialement prévu de permettre à l'Office central pour la répression de l'immigration irrégulière et de l'emploi des étrangers sans titre (OCRIEST) d'accéder avec une visibilité nationale à certaines données dans le cadre de ses missions de coordination du recueil et de la centralisation du renseignement et de la lutte contre le crime organisé. La Commission prend acte qu'à sa demande, et conformément aux finalités précitées du traitement, un tel accès ne sera finalement pas mis en œuvre. 
Par ailleurs, le projet d'arrêté prévoit que les agents de la police nationale n'accédant pas directement au traitement ainsi que les militaires de la gendarmerie nationale justifiant d'un besoin d'en connaître pourront être destinataires des données. La communication des données devra alors être précédée d'une demande expresse hiérarchiquement validée précisant l'identité du consultant, l'objet et les motifs de la consultation.
De la même manière, dans le cadre de la prise en charge des personnes en difficulté, les intervenants sociaux affectés au sein des commissariats de police, dans les conditions prévues par l'article L121-1-1 du Code de l'action sociale et des familles, pourront être destinataires des données sans accéder directement au traitement. 
Sur l'information des personnes
Les personnes dont les données sont traitées seront informées dans les conditions prévues à l'article 32 de la loi du 6 janvier 1978 modifiée. 
A ce titre, les personnels de la police nationale se verront informés par voie d'affichage dans les locaux des services de police, un document mentionnant cette information pouvant en outre leur être remis sur simple demande. 
Les personnes accueillies dans un service de police seront destinataires d'une information délivrée par voie d'affichage dans les parties accessibles au public des locaux des services de police. En outre, s'agissant spécifiquement des personnes déposant en main courante, une mention d'information sera insérée sur le récépissé qui leur est remis.
Enfin, les personnes concernées par un événement traité par les services de police seront destinataires d'une information orale, un document mentionnant cette information pouvant en outre leur être remis sur simple demande. La Commission considère que l'effectivité de cette information orale pourrait s'avérer aléatoire dans le cadre du traitement des événements par les agents de la police nationale, notamment dans le cadre de leurs interventions quotidiennes. Par conséquent, elle recommande une vigilance accrue quant à l'effectivité de l'information par affichage dans les parties accessibles au public des locaux de la police nationale. 
Sur les droits d'accès, de rectification et d'opposition des personnes
Les personnes dont les données sont traitées pourront exercer leurs droits d'accès et de rectification directement auprès des services de la police nationale, conformément à l'alinéa 4 de l'article 41 de la loi du 6 janvier 1978 modifiée. 
Le projet d'arrêté précise que les agents de la police nationale devront saisir leur service d'affectation alors que les autres personnes (personnes déposant en main courante, personnes concernées par un événement traité par les services de la police nationale, personnes accueillies dans un service de la police nationale) devront formuler leur demande auprès du service de police compétent. La Commission prend acte que ce service est, plus précisément, celui qui a reçu la personne ou traité l'événement.
En tout état de cause, la Commission prend acte que, indépendamment des règles régissant le droit d'accès aux données, toute personne déposant en main courante pourra obtenir copie de sa déposition sur simple demande. 
Le droit d'opposition prévu à l'article 38 de la loi du 6 janvier 1978 modifiée ne s'applique pas au traitement N-MCI. 
Sur les interconnexions, rapprochements et autres mises en relation
La Commission prend acte que, dans le cadre de la gestion des événements traités par les services de police, le traitement N-MCI sera interconnecté avec le traitement PEGASE (pilotage des événements, gestion de l'activité et sécurisation des équipages). Ce traitement, régi par l'arrêté susvisé du 21 janvier 2008, est mis en œuvre au sein des centres d'information et de commandement de la police nationale, notamment pour gérer les sollicitations téléphoniques (appels du  17 ) et la transmission des missions sur les terminaux embarqués dans les véhicules de patrouille géolocalisés. 
La Commission considère que cette interconnexion est justifiée par les finalités de ces traitements et que ses conditions techniques de mise en œuvre sont satisfaisantes. 
Sur la sécurité des données et la traçabilité des actions
Le traitement N-MCI sera déployé sur le réseau privatif du Ministère de l'intérieur. Les communications entre les postes de travail et le serveur hébergeant cette application garantissent la confidentialité des opérations. L'accès au traitement suppose l'identification préalable de l'utilisateur par son matricule, puis son authentification par la saisie d'un mot de passe. La Commission prend acte que le ministère a récemment diffusé dans ses services des directives relatives à la robustesse des mots de passe et au verrouillage automatique des postes informatiques. Elle recommande cependant un blocage du compte de l'utilisateur après un certain nombre de tentatives de connexion à partir de codes d'accès erronés. 
Concernant la traçabilité des actions, le projet d'arrêté indique que les consultations font l'objet d'un enregistrement comportant l'identification du consultant, la date et l'heure de la consultation, ces informations étant conservées durant trois ans. La Commission souligne l'importance de ces mesures de traçabilité des consultations. Elle note cependant que ces mesures ne permettent pas de conserver des informations relatives à l'objet des consultations ainsi qu'aux éventuelles actions de modification ou d'impression.
S'agissant des consultations indirectes par les agents de la police nationale n'accédant pas directement au traitement, par les militaires de la gendarmerie nationale et par les travailleurs sociaux affectés dans les commissariats de police, la Commission prend acte que chaque communication d'information dans ce cadre fera l'objet d'une journalisation mentionnant la date de transmission, le destinataire des données et les motifs de la demande. La Commission recommande en outre la conservation de l'objet de la demande et que l'ensemble de ces informations soit conservé durant trois ans. 
Le Président,
Alex TÜRK
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu le traité sur le fonctionnement de l'Union européenne, notamment son article 215 ; 
Vu le règlement n°2580/2001/CE du Conseil du 27 décembre 2001 concernant l'adoption de mesures restrictives spécifiques à l'encontre de certaines personnes et entités dans le cadre de la lutte contre le terrorisme ;
Vu le règlement n°881/2002 du Conseil du 27 mai 2002 instituant certaines mesures restrictives spécifiques à l'encontre de certaines personnes et entités liées à Oussama ben Laden, au réseau Al-Qaida et aux Taliban, et abrogeant le règlement (CE) n°467/2001 du Conseil interdisant l'exportation de certaines marchandises et de certains services vers l'Afghanistan, renforçant l'interdiction des vols et étendant le gel des fonds et autres ressources financières décidées à l'encontre des Taliban d'Afghanistan ;
Vu le règlement n°1781/2006 du Parlement européen et du Conseil du 15 novembre 2006 relatif aux informations concernant le donneur d'ordre accompagnant les virements de fonds ;
Vu les règlements du Conseil pris en application de l'article 215 du Traité sur le fonctionnement de l'Union européenne ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; 
Vu la directive n°2005/60/CE du Parlement européen et du Conseil du 26 octobre 2005 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux et du financement du terrorisme ;
Vu la directive n°2006/70/CE de la Commission du 1er août 2005 portant mesures de mise en œuvre de la directive 2005/60/CE du Parlement européen et du Conseil pour ce qui concerne la définition des  personnes politiquement exposées  et les conditions techniques de l'application d'obligations simplifiées de vigilance à l'égard de la clientèle ainsi que de l'exemption au motif d'une activité financière exercée à titre occasionnel ou à une échelle très limitée ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25 ; 
Vu le code pénal, notamment les articles 222-38 et suivants, 324-1 et suivants et 421-1 et suivants ; 
Vu le code monétaire et financier (CMF), notamment ses articles, L. 511-34, L. 561-1 à L. 562-11 et R. 561-1 à R. 562-5;
Vu le code des assurances, notamment ses articles L. 322-1-3, L. 334-2 et A. 310-5 et suivants ; 
Vu le code de la mutualité, notamment son article R. 211-28 ;
Vu le code de la sécurité sociale, notamment son article R 931-43 ;
Vu l'article 19 de l'ordonnance n°2009-104 du 30 janvier 2009 relative à la prévention de l'utilisation du système financier aux fins de blanchiment de capitaux et de financement du terrorisme ;
Vu le décret n°2005-1309 du 20 octobre 2005 pris en application de la loi n°78-17 du 6 janvier 1978 précitée ;
Vu les décrets pris en application de l'article L. 151-2 du CMF ;
Vu l'arrêté du 2 septembre 2009 pris en application de l'article R. 561-12 du CMF et définissant des éléments d'information liés à la connaissance du client et de la relation d'affaires aux fins d'évaluation des risques de blanchiment de capitaux et de financement du terrorisme ;
Vu les arrêtés du Ministre en charge de l'économie pris en application des articles L. 562-1 et L. 562-2 du CMF ;
Vu le règlement du Comité de la réglementation bancaire et financière (CRBF) n°97-02 du 21 février 1997 modifié relatif au contrôle interne des établissements de crédit et des entreprises d'investissement, le règlement n° 2002-01 du 18 avril 2002 modifié relatif aux obligations de vigilance en matière de chèques aux fins de lutte contre le blanchiment de capitaux et le financement du terrorisme et le règlement n° 2002-13 du 21 novembre 2002 modifié relatif à la monnaie électronique et aux établissements de monnaie électronique ; 
Vu le règlement général de l'Autorité des marchés financiers notamment ses articles 315-49 à 315-58, 321-48, 321-57, 325-12, 550-4, 550-9 à 550-11, 560-4, et 560-12 à 560-14 ;
Après avoir entendu M. Jean Paul AMOUDRY, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes : La législation relative à la lutte contre le blanchiment de capitaux et le financement du terrorisme impose aux organismes financiers une obligation d'identification et de vigilance constante à l'égard de l'ensemble de leurs clients qu'il s'agisse de relation d'affaire ou de clients occasionnels, qu'il leur appartient de moduler, conformément aux dispositions législatives et réglementaires, en fonction de l'évaluation du risque de blanchiment de capitaux et de financement du terrorisme propre à chaque relation d'affaire, ou à chaque client occasionnel.Les traitements de données à caractère personnel mis en œuvre par ces organismes au titre de ces obligations visent à analyser et à déterminer le niveau de risque propre à chaque client, à mettre en place une surveillance adaptée et à détecter les sommes inscrites dans leurs livres ou les opérations portant sur des sommes dont elles savent, soupçonnent ou ont de bonnes raisons de soupçonner qu'elles proviennent d'une infraction passible d'une peine privative de liberté supérieure à un an ou participent au financement du terrorisme et qui, de ce fait, doivent, le cas échéant après la collecte de renseignements complémentaires, donner lieu à l'envoi d'une déclaration de soupçon à la cellule de renseignement financier nationale (Tracfin).
Les traitements visent également à permettre l'application du dispositif de gel des avoirs dans le cadre de la lutte contre le financement du terrorisme et des mesures relatives aux sanctions financières. 
L'identification de tels faits, en partie sur la base de critères intégrés dans les traitements automatisés de l'organisme, peut conduire ce dernier à rompre toute relation d'affaires avec les clients concernés. 
Ces traitements, peuvent ainsi, du fait de leur portée, conduire à l'exclusion de personnes du bénéfice d'un contrat ou d'une prestation. 
Dès lors, ils relèvent du 4° du I de l'article 25 de la loi du 6 janvier 1978 modifiée et doivent, à ce titre, être autorisés par la CNIL. 
En vertu de l'article 25-II de la loi du 6 janvier 1978 modifiée, la Commission peut autoriser par une décision unique une catégorie de traitements répondant aux mêmes finalités, portant sur des catégories de données identiques et ayant les mêmes catégories de destinataires. Il en résulte que le responsable d'un traitement conforme à cette décision unique d'autorisation pourra déclarer son traitement en adressant à la Commission un engagement de conformité par lequel il s'engage à respecter les termes de la décision de la CNIL.
En raison des nouvelles dispositions résultant de la transposition de la Directive n°2005/60/CE du 26 octobre 2005, il est apparu nécessaire d'adopter une nouvelle autorisation unique en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme. Celle-ci a vocation à abroger et remplacer la délibération n°2005-297 du 1er décembre 2005 modifiée par la délibération n°2007-060 portant autorisation unique de certains traitements de données à caractère personnel mis en œuvre dans des organismes financiers au titre de la lutte contre le blanchiment de capitaux et le financement du terrorisme. 
Reprenant et confirmant la plupart des dispositions adoptées en 2005, cette nouvelle autorisation permet désormais et en particulier : - d'inclure les traitements permettant de détecter les fonds et ressources économiques faisant l'objet d'une mesure de gel au titre des sanctions financières,- de prendre en compte de nouvelles catégories de responsables de traitement, - d'appliquer des mesures de vigilance conformément à  l'approche par les risques ,- d'identifier des personnes politiquement exposées,- de désigner de nouvelles catégories de destinataires des données, et- de permettre l'exercice du droit d'accès via la procédure de droit d'accès indirect.
Décide :- que la délibération n°2005-297 du 1er décembre 2005 modifiée par la délibération n°2007-060 du 25 avril 2007 portant autorisation unique de certains traitements de données à caractère personnel mis en œuvre dans des organismes financiers au titre de la lutte contre le blanchiment de capitaux et le financement du terrorisme est abrogée et remplacée par la délibération n°2011-180 du 16 juin 2011- que les organismes financiers mentionnés ci-dessous, qui souhaiteront se référer à l'autorisation unique n°AU 003 adresseront, à cette fin, à la Commission un engagement de conformité pour leurs traitements qui répondent strictement aux conditions définies dans la présente décision unique, seront autorisés à mettre en œuvre ces traitements. - que tout projet de traitement automatisé dont les finalités ou les catégories de données ou de destinataires excèderaient le cadre défini par la présente autorisation unique ou qui ne respecteraient pas les exigences qui y sont définies, devra faire l'objet d'une demande d'autorisation spécifique présentant et expliquant les différences entre le traitement envisagé et l'autorisation unique.
Article 1er : Responsables de traitementSeuls peuvent réaliser un engagement de conformité à la présente autorisation unique les personnes assujetties aux obligations de lutte contre le blanchiment de capitaux et le financement du terrorisme mentionnées aux 1° à 7° de l'article L 561-2 du CMF et désignées dans la présente autorisation unique sous l'appellation  organismes financiers .
Article 2 : Finalités et champ d'application du traitement Seuls peuvent faire l'objet d'un engagement de conformité, par référence à la présente décision unique, les traitements que les organismes susvisés mettent en œuvre pour répondre à leurs obligations légales et réglementaires en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme, et dont l'objet est :- de mettre en place une surveillance adaptée aux risques de blanchiment de capitaux et de financement du terrorisme pendant toute la durée de la relation d'affaires - d'apporter une aide à la surveillance, à la détection et à l'examen des transactions ou opérations réalisées par les clients, portant sur des sommes qui sont susceptibles : de provenir d'une infraction passible d'une peine privative de liberté supérieure à un an ou de participer au financement du terrorisme ou  de détecter des fonds et ressources économiques faisant l'objet d'une mesure de gel ou d'une mesure de sanction.
Ces traitements ont pour finalités :1 - La mise en œuvre des obligations de vigilance à l'égard de la clientèle conformément à l'approche par les risques
Il s'agit de déterminer le profil de la relation d'affaires avec le client et le cas échéant avec le bénéficiaire effectif de cette relation, en fonction des produits souscrits, des opérations effectuées et des caractéristiques du client.La classification ainsi obtenue a pour objectif la mise en place des mesures de vigilance adaptée au niveau de risque identifié. 
En dehors des cas prévus par les textes législatifs et réglementaires et les listes de gel des avoirs, la prise en compte de la nationalité du client ou du bénéficiaire effectif ne saurait être le seul critère justifiant une mesure de surveillance renforcée.
2 - La recherche des personnes qui doivent faire l'objet de mesures de vigilance complémentaires en tant que personnes politiquement exposées (PPE) au sens de l'article R561-18 du CMFet des personnes susceptibles de faire l'objet de mesures de vigilance renforcée.
Le fichier des relations d'affaires peut être mis en relation avec un fichier documentaire fiabilisé utilisé comme base de référence par l'organisme financier pour identifier les personnes qualifiées de PPE et celles susceptibles de faire l'objet de mesures de vigilance renforcée.
Ce traitement ne comporte que des informations relatives à des relations d'affaires qui sont susceptibles d'être qualifiées de PPE ou de présenter un risque justifiant des mesures de vigilance renforcée. Il est exploité pour distinguer les cas d'homonymie.
Toutes précautions doivent être prises par l'organisme financier ou, à sa demande, par ses prestataires, pour exclure toute possibilité de consultation d'informations autres que celles qui sont susceptibles d'être collectées en application des dispositions de l'arrêté du 2 septembre 2009 pris pour l'application de l'article R. 561-12 du CMF. 
La classification d'une personne dans la catégorie des PPE est levée à l'issue de la cessation des fonctions justifiant cette classification augmentée de un an. A l'issue de ce délai, la situation de la personne concernée peut être réexaminée afin d'évaluer les risques présentés par cette relation d'affaires et de décider de maintenir ou non des mesures de vigilance renforcée conformément aux dispositions de l'article L. 561-10-2 du CMF. 
Conformément aux dispositions de l'article 10 de la loi du 6 janvier 1978 modifiée en 2004, aucune décision produisant des effets juridiques à l'égard d'une personne ne peut être prise sur le seul fondement d'un traitement automatisé de données.
3 - Le déclenchement des alertes et déclarations de soupçon
Ces traitements permettent d'identifier les sommes ou opérations ou tentatives d'opérations portant sur des sommes qui sont susceptibles de provenir d'une infraction passible d'une peine privative de liberté supérieure à un an ou de participer au financement du terrorisme et qui à ce titre doivent faire l'objet d'une déclaration de soupçon.
Ils génèrent des alertes soit en présence d'un compte ou d'un contrat dont le fonctionnement durant une période déterminée laisse apparaître un écart au regard de son fonctionnement habituel établi sur une période donnée et de la connaissance actualisée du client par l'organisme financier soit au vu d'une opération ou d'un ensemble d'opérations qui se rapprochent d'un scénario pré-établi, correspondant à des techniques de blanchiment identifiées, après analyse de précédents signalements. Ces alertes font l'objet d'une analyse complémentaire non automatisée dans le but éventuel de déclarer au service Tracfin les opérations qui relèvent de l'article L 561-15.
4 - La mise sous surveillance de certains comptes, contrats ou clients sur la base de la classification des risques élaborée par l'organisme financier, ou d'opérations jugées complexes, d'un montant inhabituellement élevé ou ne paraissant pas avoir de justification économique ou d'objet licite, ou d'une déclaration de soupçon n'ayant pas donné lieu à la clôture du compte.
5 - L'application des mesures de gel des avoirs dans le cadre de la lutte contre le financement du terrorisme et des sanctions financières
L'identification des clients et le cas échéant des bénéficiaires effectifs qui figurent sur les listes de mesures de gel des avoirs appliquées en France et dans le pays d'établissement de la maison mère pour les filiales ou les succursales d'organismes financiers étrangers : les opérations repérées au vu des listes de mesures de gel des avoirs font l'objet d'un examen manuel permettant de lever les cas d'homonymies, le plus souvent après collecte d'informations complémentaires auprès de la personne concernée et/ou de l'organisme financier contrepartie et/ou de la Direction Générale du Trésor, en vue de l'exécution ou non de l'opération et/ou du gel des fonds.
Les opérations envisagées ne sont définitivement bloquées qu'en présence d'indices sérieux et concordants. Les vérifications, après suspension de l'ordre de réalisation, sont effectuées dans les plus brefs délais.
Les personnes qui ont déjà subi une suspension de leurs opérations pour cause d'homonymie font l'objet dans un traitement automatisé d'un signalement spécifique qui n'est accessible qu'aux seuls destinataires mentionnés à l'article 5, afin de prévenir le plus rapidement possible tout blocage de leurs opérations.
Article 3 : Personnes concernéesLes données à caractère personnel qui font l'objet de ces traitements peuvent concerner :- des personnes ayant sollicité la conclusion d'un contrat ou la réalisation d'une opération,- des clients personnes physiques, qu'ils soient habituels, ou occasionnels, - des tiers concernés par leurs opérations financières, des tiers hébergeant des clients ;- des personnes physiques représentant des personnes morales,- des bénéficiaires effectifs,- des personnes qui sont susceptibles d'être classées dans la catégorie des  personnes politiquement exposées  conformément aux dispositions de l'article R561-18 du code monétaire et financier, - des personnes mentionnées sur les listes de gel des avoirs ou de sanctions financières.L'identité, l'activité et les coordonnées professionnelles du (ou des) déclarant (s) et correspondant(s) Tracfin peuvent également être mentionnées dans le traitement.