AgentPublic/cnil huggingface dataset:
informations relatives aux incidents touchant le secteur financier ainsi que des alertes des cas de fraudes reçues par les sources internes. Ces éléments permettront ainsi de déterminer si la banque est victime d’une fraude.Dans l’hypothèse où la banque serait victime d’une fraude commise par une entreprise cliente, le responsable hiérarchique peut, au cas par cas et non pas de manière automatique, prendre des mesures visant à limiter les risques de la banque. Par exemple, il peut décider de réduire les relations contractuelles avec la société fautive ou de mettre un terme à la relation contractuelle.Ce traitement peut ainsi, du fait de sa nature et de sa finalité, conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition législative ou réglementaire prévoyant une telle exclusion. Dès lors, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.En cas de fraude avérée d’un salarié, la Direction des Ressources Humaines et la Direction générale de la société prennent les mesures de sanctions adaptées conformément aux dispositions des articles 24 et 25 du règlement intérieur de la banque. En outre, les parties concernées (métier, service juridique, service pilotage de la prévention de la fraude et la direction des ressources humaines pour les cas éventuels de fraude interne) peuvent examiner l’opportunité de déposer plainte. La décision de
déposer plainte appartient au service juridique. Conformément à la décision du Conseil Constitutionnel du 29 juillet 2004, les victimes d’infractions susceptibles de faire valoir leurs droits devant une juridiction peuvent procéder à la collecte des données relatives à ces infractions.Dans ce contexte, la Commission considère qu’il y a également lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté.
Les catégories de données traitées sont relatives : - à l’identification des personnes physiques, des ayants droit et des représentants (salarié ou non) des personnes morales : nom, prénom, adresse, photographie, date et lieu de naissance, nationalité ;- à l’identification des personnes morales : dénominations (sociales et usuelles), adresses (légale et commerciale), identifiants externes (id national, id fiscal, SIREN, ISIN…) ;- aux informations d’ordre économique et financier : les éléments financiers concernant les personnes morales, les données financières qui concernent les ayants droits économiques des clients et autres tiers en relation avec la banque, la nature de la relation d’affaire envisagée (informations sur le type de produit ou service offert par la banque à la contrepartie) ;- pour les demandes de crédit : les éléments comptables des sociétés (bilan, compte de résultat, rapports périodiques …).En cas de détection d’une fraude présumée, les données traitées sont relatives :- aux éléments matériels pertinents recueillis par l’outil (ex : opération frauduleuse), - à la nature de la fraude présumée,- aux éléments permettant d’identifier les auteurs présumés (nom, prénom de(s) la personne(s) physique(s) ou la raison sociale de(s) la personne(s) morale(s)),- à la date de découverte des faits présumés,- à la date de transmission du dossier aux services concernés.La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est
pertinente, adéquate et non excessive au sens de l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires 
Les personnes destinataires du traitement sont :- les membres de l’équipe prévention de la fraude,- le service juridique et la direction des ressources humaines en cas de mesure disciplinaire ou de dépôt de plainte à l’encontre d’un salarié.La  liste de ces destinataires n'appelle pas d'observation particulière. 
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients et salariés du Crédit agricole sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention légale sur le site internet de la banque ainsi que dans les conventions de comptes des clients.
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Le responsable de traitement met en place une politique de mots de passe qui exige que ceux-ci aient une longueur minimale de 8 caractères, et qu’ils contiennent 3 types de caractères parmi les chiffres, les minuscules, les majuscules et les caractères spéciaux.Des mesures de traçabilité permettent de journaliser toutes les requêtes effectuées par les salariés. Ces données sont conservées pendant 3 mois.Les données traitées ne seront accessibles que sur le réseau interne de l’organisme qui fait l’objet de mesures de filtrage ayant pour but de restreindre  l’émission et la réception des flux réseaux aux machines identifiées et autorisées.L'accès aux locaux est restreint au moyen de portes verrouillées contrôlées par un moyen d'authentification personnel. Les interventions de maintenance font l'objet d'une traçabilité.Ces mesures de sécurité n’appellent pas d’observation de la Commission au regard de l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les requêtes effectuées dans l’outil sont conservées pendant 3 mois. Au-delà de cette période, elles sont effacées automatiquement.La Commission considère que cette durée de conservation est dès lors pertinente au regard de la finalité poursuivie par le traitement.Les personnes concernées par le traitement sont les clients personnes morales de la banque. Toutefois, certaines  personnes physiques (ex : un chargé d’affaire salarié de la banque, les personnes physiques externes bénéficiaires économiques de client personne morale) peuvent être indirectement visées par le traitement dans la mesure où les bases de données peuvent contenir des informations les concernant au cours d’une recherche par mot clef. En outre, les noms des salariés, en qualité de responsables commerciaux de la relation avec des entreprises, peuvent figurer dans les bases de données.La Commission observe qu’aucune décision automatisée n’est prise à l’égard des personnes concernées, conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée.L’information et la consultation des instances représentatives du personnel avant la mise en œuvre de ce traitement sont réalisées conformément aux dispositions du code du travail. Le traitement de détection des alertes ne permet pas d’établir de « liste noire » des personnes identifiées comme ayant tenté de commettre une fraude au préjudice du Crédit agricole. Les traitements pouvant faire l’objet de requêtes ne sont pas interconnectés
entre eux.Ces autres caractéristiques du traitement n’appellent pas d’observation.
Autorise, conformément à la présente délibération, le Crédit Agricole Corporate and Investment, à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés, Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 13-II alinéa 4 ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu la délibération n°2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission, modifiée par la délibération n°2011-249 du 8 septembre 2009 ; Après avoir entendu M. Edouard GEFFRAY, Secrétaire général, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,Décide : Article 1er : La délibération n°2006-147 du 23 mai 2006, susvisée, est abrogée.Article 2 : Le nouveau règlement intérieur de la Commission nationale de l'informatique et des libertés, dans la rédaction figurant en annexe, est adopté. Article 3. Le Secrétaire général de la Commission nationale de l'informatique et des libertés est chargé de l'exécution de la présente décision qui sera publiée au Journal officiel de la République
française.
CHAPITRE I : LES MEMBRES DE LA COMMISSION 
Article 1 Groupes de travailLa Commission peut créer en son sein des groupes de travail dont elle définit le mandat, la durée et la composition et dont elle désigne le président. Un rapport de synthèse des travaux du groupe est établi sous la responsabilité de son président et développé par lui devant la Commission réunie en séance plénière.
Article 2 Représentation de la Commission dans un organisme ou une manifestationUn membre de la Commission, sollicité directement ou indirectement pour représenter celle-ci dans un organisme ou une manifestation, doit solliciter du président qu'il le désigne à cet effet.
Article 3 Impartialité et incompatibilités Lors de son entrée en fonction, chaque nouveau membre informe le président, par déclaration écrite, des intérêts directs ou indirects, mandats et fonctions au sein d'un organisme public ou privé qu'il détient ou a détenus au cours des trois années précédant sa déclaration. Il signale immédiatement par écrit tout changement affectant ces aspects de sa situation personnelle en cours de mandat.Ces informations sont conservées au secrétariat général dans des conditions garantissant leur confidentialité. Elles peuvent être consultées sur place par les membres de la Commission. Lors de la désignation d'un commissaire rapporteur, le président s'assure que cette mission est compatible avec la situation qu'il a déclarée. Lorsqu'un commissaire est conduit à se déporter, il en informe le président qui prend acte de sa non-participation au débat et au vote. Le rôle dévolu au président en matière de vérification de la compatibilité de la mission des membres avec leur situation déclarée est exercé par le doyen d'âge en ce qui concerne le président.
Article 4 Impartialité et incompatibilités concernant les membres de la formation restreinte Le président de la formation restreinte veille à l'impartialité de celle-ci. Il veille à prévenir toute forme d'incompatibilité entre la mission des membres de la formation restreinte et leur situation déclarée. Le rôle dévolu au président de la formation restreinte en matière d'impartialité est exercé par le doyen d'âge en ce qui concerne le président.Lorsqu'un membre de la formation restreinte est conduit à se déporter, il en informe le président qui prend acte de sa non-participation à la séance et au délibéré. 
Article 5 Intérim de la présidence de la CommissionLorsque le mandat du président prend fin, le vice-président délégué assure l'intérim et exerce toutes les attributions du président. Il convoque la Commission dans un délai maximum d'un mois pour procéder à l'élection d'un nouveau président. 
Article 6 Intérim de la présidence de la formation restreinte Lorsque le mandat du président de la formation restreinte prend fin, le vice-président de la formation assure l'intérim et exerce toutes les attributions du président de la formation restreinte. La Commission réunie en séance plénière procède à l'élection du nouveau président dans les plus brefs délais.
Article 7 EmpêchementLorsque la Commission constate qu'un commissaire a été absent sans raison valable à trois séances plénières consécutives, son président informe l'autorité de désignation de son empêchement afin qu'il soit procédé à une nouvelle désignation. Le commissaire dont l'empêchement a été constaté est informé de cette demande.
CHAPITRE II : SEANCES DE LA COMMISSION ET DU BUREAU
Article 8 Convocation et ordre du jour La Commission se réunit à l'initiative du président ou du tiers au moins de ses membres. A la réception de la convocation prévue à l'article 1er du décret du 20 octobre 2005 modifié, qui fixe le lieu, la date et l'heure des séances, les membres informent sans délai, par tout moyen, le secrétariat général du fait qu'ils ne pourront pas participer à la séance.L'ordre du jour des séances de la Commission est arrêté par le président ou, en cas d'absence ou d'empêchement, par le vice-président délégué.La convocation et l'ordre du jour sont transmis par voie électronique ou tout autre moyen, aux membres de la Commission, au Défenseur des droits et au commissaire du gouvernement. Cette transmission a lieu huit jours au moins avant la séance. Lorsque trois membres de la Commission au moins ou le commissaire du gouvernement demandent qu'une question soit inscrite à l'ordre du jour d'une séance de la séance plénière dix jours ouvrés au moins avant sa tenue, le président est tenu, en cas de refus, d'informer la Commission de la demande et des motifs de son refus.
Article 9 Assistance aux réunions de la CommissionLe secrétaire général et les personnes désignées par lui assistent aux séances plénières et du bureau de la Commission. Le président peut prendre la décision de limiter la présence de ces personnes quand des circonstances particulières l'exigent, notamment en raison des impératifs liés à la protection du secret professionnel et au secret des délibérations du gouvernement.
Article 10 Présidence de séanceLes séances de la Commission sont présidées par son président.En cas d'absence ou d'empêchement, ou si le mandat du président est arrivé à expiration, les séances sont présidées par le vice-président délégué ou, à défaut, par le vice-président. En l'absence du président et des vice-présidents ou si leur mandat est arrivé à expiration, la séance est présidée par celui des membres de la Commission ayant le plus d'ancienneté en son sein. S'il y a concours dans l'ancienneté entre plusieurs membres, la présidence de la séance appartient parmi ceux-ci au doyen d'âge. Le président de séance dirige les débats et assure la police de la séance. Il peut ordonner toute suspension qu'il juge utile.
Article 11 Délibérations de la CommissionLes délibérations adoptées par la formation plénière et par le bureau de la Commission sont signées par le président, le vice-président délégué ou le président de séance. Elles sont numérotées avec l'indication de l'année en cours.Elles sont communiquées au commissaire du gouvernement par tout moyen.
Article 12 Rapport préalable A l'exception de celles portant élection, les délibérations sont prises sur le fondement d'un projet de délibération et, le cas échéant, d'un rapport. Ces documents sont transmis aux membres de la Commission et au commissaire du gouvernement par tout moyen, y compris par voie électronique, huit jours au moins avant leur examen en séance plénière.Le ou les rapporteurs sont désignés par le président parmi les commissaires, en tenant compte de la répartition des secteurs d'activité. Les commissaires peuvent former toute demande d'amendement au projet du rapporteur jusqu'à l'examen du point correspondant en séance.La Commission peut également être saisie de toute question entrant dans son champ de compétence. Cette question lui est soumise sous la forme d'un rapport en séance plénière. Elle ne donne pas lieu à délibération.
Article 13 Déroulement des débats devant la formation plénièreLe rapporteur présente oralement son rapport ainsi que le projet de délibération. A l'issue de sa présentation, le président de séance donne la parole aux membres de la Commission, ainsi que, le cas échéant, au Défenseur des droits ou son représentant, pour une discussion générale. Le commissaire du Gouvernement peut intervenir après les membres de la Commission. Le rapporteur peut reprendre la parole avant que le président de séance déclare la discussion générale close. A tout moment, et pour éclairer les débats, le président de séance peut donner la parole au secrétaire général ou à un autre agent de la Commission.Le président de séance peut décider de l'audition préalable, en séance plénière, d'une ou plusieurs personnes extérieures à la Commission, à son initiative ou à la demande d'un commissaire ou du commissaire du gouvernement.
Article 14 Déroulement des débats devant le bureau Les projets de délibération relatifs à l'autorisation prévue à l'article 25 de la loi du 6 janvier 1978 modifiée ou à une injonction de suspendre un transfert prévue à l'article 70 alinéa 2 de cette même loi font l'objet d'une présentation orale devant le bureau par un commissaire.S'il s'agit de l'examen d'une demande d'autorisation, il est expressément justifié de l'urgence.Les projets de délibération relatifs à l'habilitation d'agents prévue à l'article 19 de cette même loi font l'objet d'une présentation orale par le vice-président délégué ou par un agent des services désigné par lui.A l'issue de cette présentation orale, les membres du bureau puis le commissaire du gouvernement présentent leurs observations et leurs amendements. Le président met aux voix les amendements dans l'ordre du texte puis le projet de délibération amendé.
Article 15 Quorum des réunions du bureauLe bureau ne peut valablement délibérer dans le cadre des attributions prévues aux articles 16 et 46 de la loi du 6 janvier 1978 modifiée que si deux au moins de ses membres sont présents.
Article 16 Vote des délibérationsLe vote par procuration n'est pas autorisé. Les votes ont lieu à main levée, sauf pour les délibérations portant élection ou si le président de séance, ou la majorité des membres présents, le demande.Le secrétaire général procède au décompte des votes.
Article 17 Procédure applicable aux délibérations ne présentant pas de difficulté technique ou juridique Les demandes présentées à la Commission dont le rapporteur estime qu'elles ne présentent pas de difficulté technique ou juridique particulière, notamment en raison d'une position régulièrement adoptée par la Commission, peuvent être inscrites, ensemble, dans une partie distincte de l'ordre du jour de la séance. Les projets de délibérations ainsi validés par le rapporteur sont transmis par voie électronique à l'ensemble des membres de la Commission et au commissaire du gouvernement huit jours au moins avant la séance plénière. Les projets n'ayant fait l'objet d'aucune demande de modification sont soumis, ensemble, à un vote unique. Tout commissaire peut toutefois demander au président de disjoindre un projet justifiant à ses yeux un débat ou une modification. Le commissaire du gouvernement dispose de la même faculté. Le projet ainsi disjoint est inscrit à l'ordre du jour d'une des séances plénières suivantes afin de faire l'objet d'un débat et d'un vote distinct.Les règles de vote applicables aux délibérations visées par cet article sont celles prévues à l'article 3 du décret du 20 octobre 2005.
Article 18 Relevé de conclusions des séances Les séances de la Commission ou du bureau font l'objet de relevés de conclusions qui sont approuvés lors d'une des séances suivantes de la même formation. Le secrétariat général en assure la conservation.
Article 19 Rectification des erreurs et omissions matérielles dans les délibérations de la Commission ou du bureauLe président peut rectifier d'office toute délibération adoptée en formation plénière ou en bureau qui serait entachée d'une erreur ou omission matérielle, lorsque celle-ci est sans incidence sur le sens et la portée de la délibération.Il peut également procéder à une telle rectification à la demande du destinataire, à la condition que celui-ci en ait saisi la Commission dans le délai d'un mois suivant la notification de la délibération entachée d'une erreur ou d'une omission matérielle.La délibération rectifiée est notifiée aux mêmes personnes et est publiée dans les mêmes conditions que celle ayant fait l'objet de la rectification. 
CHAPITRE III FORMALITES PREALABLES
Article 20 Vérification de la régularité des formalitésLes services de la Commission vérifient que le dossier de formalités transmis est complet. Tout dossier complet relevant du régime de la déclaration fait l'objet d'un envoi sans délai du récépissé. Tout dossier de formalités incomplet fait l'objet d'une demande de compléments adressée au déclarant par voie postale ou électronique, indiquant les documents ou les renseignements à fournir. En cas d'erreur sur le régime de formalités appliqué par le responsable de traitement, celui-ci est invité à accomplir la formalité requise par la loi. Dans le cas où le traitement fait l'objet d'une demande d'avis ou d'autorisation, les délais fixés aux articles 25-III et 28 de la loi du 6 janvier 1978 ne courent qu'à partir du moment où le dossier est complet.En l'absence de réponse à une demande de compléments, le dossier est clos en l'état.
Article 21 Modalités d'instructionLes services de la Commission instruisent les dossiers de formalités préalables. Dans le cadre de l'instruction d'un dossier, le président, le rapporteur ou les services peuvent demander communication de toutes pièces utiles et entendre toute personne susceptible de fournir les informations nécessaires.
Article 22 Modification ou suppression d'un traitementToute suppression de traitement est portée à la connaissance de la Commission par écrit avec la mention de ce numéro d'enregistrement ; la Commission adresse alors au responsable de traitement un récépissé de suppression.Les modifications de traitement sont portées à la connaissance de la Commission dans les mêmes conditions. Si le traitement concerné relève de la procédure de déclaration, la Commission adresse au déclarant un récépissé de modification. Lorsque la Commission considère qu'un traitement relevant de la procédure de demande d'avis ou d'autorisation est affecté par une modification substantielle, le traitement ainsi modifié est de nouveau soumis aux formalités applicables.
Article 23 Demande de liste sur le fondement de l'article 31 de la loi du 6 janvier 1978 modifiéeLes demandes d'accès prévues à l'article 31 de la loi du 6 janvier 1978 modifiée à la liste des traitements automatisés ayant fait l'objet de l'une des formalités prévues aux articles 23 à 27 de cette même loi s'effectuent par écrit. 
CHAPITRE IV RELATIONS ENTRE LA COMMISSION ET LES CORRESPONDANTS À LA PROTECTION DES DONNÉES À CARACTÈRE PERSONNEL 
Article 24 Instruction de la notificationLe délai d'un mois mentionné à l'article 43 du décret du 20 octobre 2005 court à compter de la date de réception de la notification, dès lors qu'elle contient tous les éléments requis.
Article 25 Décharge du correspondantLorsque la Commission, après avoir constaté que le correspondant manque aux devoirs de sa mission, demande au responsable de traitement de le décharger de ses fonctions, elle en informe le correspondant par écrit en précisant la nature et l'origine des faits ou manquements qui lui sont reprochés. Elle l'invite à présenter ses observations par écrit. La même procédure s'applique quand la Commission est saisie pour avis d'une demande de décharge d'un correspondant par le responsable de traitement.La délibération de la Commission portant avis ou demande de décharge du correspondant est notifiée par lettre remise contre signature à l'intéressé et au responsable de traitement.
Article 26 Liste des organisations ayant désigné un correspondant informatique et libertés La Commission met à la disposition du public la liste des responsables de traitement ayant désigné un correspondant. Cette liste est accessible sur son site Internet.