AgentPublic/cnil huggingface dataset:
Article 4 : Données traitéesLes catégories de données pouvant être collectées dans les traitements de lutte contre le blanchiment de capitaux et le financement du terrorisme concernant les personnes mentionnées à l'article 3 à l'exception des déclarants et correspondants Tracfin sont : - En ce qui concerne l'identification : o Pour les personnes physiques : nom, prénom(s), code état (M., Mme, Mlle), pseudonyme(s), nationalité et date et lieu de naissance, une copie d'un ou plusieurs documents officiels en cours de validité comportant sa photographie, le relevé des mentions suivantes : nature, date et lieu de délivrance du ou des documents et les nom et qualité de l'autorité ou de la personne qui a délivré le ou les documents et, le cas échéant, l'a ou les a authentifié.o Pour les personnes physiques représentant des personnes morales : mandats et pouvoirs, identité des dirigeants, associés et mandataires, copie de tout acte ou extrait de registre officiel datant de moins de trois mois constatant l'identité des associés et dirigeants sociaux mentionnés aux 1° et 2° de l'article R 123-54 du code de commerce ou de leurs équivalents en droit étranger.
- En ce qui concerne les coordonnées : adresse et justificatif d'adresse du domicile à jour au moment où les éléments sont recueillis.
- En ce qui concerne la situation professionnelle, économique et financière : catégorie socioprofessionnelle, code NAF, profession, nom de l'employeur, nature et niveau des revenus ou du chiffre d'affaires, justificatifs d'activité économique, de ressources ou de patrimoine prenant la forme d'un engagement sur l'honneur de la personne concernée ou d'un justificatif de nature à démontrer la véracité des informations déclarées.
- En ce qui concerne le fonctionnement du compte, les opérations financières ou les produits souscrits : numéro de compte ou de contrat, date d'ouverture du compte, de souscription du contrat ou de l'entrée en relation, origine, évaluation et composition du patrimoine et des fonds impliqués dans la transaction, montant et nature des opérations prévues et effectuées, fonctionnement envisagé du compte, devise traitée, provenance et destination des fonds (origine géographique, organisme financier intervenant en tant qu'intermédiaire, numéro des comptes crédités ou débités), identité de la personne bénéficiaire de la transaction ou du contrat, justification économique déclarée de l'opération, identité du donneur d'ordre réel, justification économique déclarée par le client, 
- En ce qui concerne le patrimoine : éléments permettant d'apprécier le patrimoine
- En ce qui concerne les déclarations de soupçon : existence et contenu.
A l'exception des données relatives à l'identification et au justificatif de domicile, la collecte des informations précitées avant l'entrée en relation ou au cours de celle-ci ne peut être systématique et indifférenciée pour l'ensemble des personnes concernées. Elle doit s'avérer nécessaire à l'évaluation du risque présenté par le client, l'opération demandée ou le contrat souscrit et être proportionnée à la classification des risques de l'établissement financier élaborée ab initio par grandes catégories de client, de produit et de contrat 
Des données et pièces justificatives complémentaires peuvent également être collectées directement auprès de la personne concernée en cas de risque élevé ou d'opérations complexes, d'un montant inhabituellement élevé ou ne paraissant pas avoir de justification économique ou d'objet licite.
Ces données peuvent faire l'objet d'autres utilisations dans le cadre de la gestion de la relation bancaire sous réserve que les personnes soient informées conformément au I de l'article 32 de la loi du 6 janvier 1978 et qu'elles soient en mesure d'exercer leur droit d'opposition. En outre, les données non pertinentes que les documents collectés sont susceptibles de comporter comme le numéro de sécurité sociale et le numéro fiscal ne doivent faire l'objet d'aucun traitement, sauf dans l'hypothèse où ces éléments figurent sur les listes de gel des avoirs ou de sanctions financières.
Ces données peuvent être collectées par le responsable de traitement lui-même ou par un tiers conformément aux dispositions de l'article L 561-7 du CMF. Dans ce second cas, le responsable de traitement reste tenu à l'ensemble des obligations résultant de la loi du 6 janvier 1978 modifiée au titre des traitements qui sont mis en œuvre pour son compte.
Article 5 : Destinataires des données Dans la limite de leurs attributions respectives et pour l'exercice de la finalité précitée, seuls peuvent être habilités à avoir communication des données précitées traitées aux fins de lutte contre le blanchiment de capitaux et le financement du terrorisme, pour la mise en œuvre des mesures de sanctions financières :a) parmi les responsables de traitement- les personnes en relation avec la clientèle et les gestionnaires de contrat et de sinistre pour les clients dont ils ont la charge à l'exception des informations relatives aux déclarations de soupçon.- les personnes habilitées à prendre la décision de nouer ou de maintenir une relation d'affaires avec une PPE.- les personnels habilités du (ou des) service(s) chargé(s) de la lutte contre le blanchiment, notamment ceux ayant la qualité de correspondant ou de déclarant Tracfin, au sein des services de contrôle, d'audit ou juridique de l'organisme responsable du traitement.- lorsque l'organisme financier fait partie d'un groupe au sens de l'article L.511-20, III du CMF ou de l'article L334-2 du code des assurances, les services de lutte contre le blanchiment des entreprises du même groupe dont le siège social est situé dans un État membre de la Communauté européenne, dans un État partie à l'accord sur l'Espace économique européen ou dans un État dont les autorités ont conclu avec l'Autorité de contrôle prudentiel une convention bilatérale en application des articles L 632-7, L 632-13et L
632-16 du CMF, sous réserve que cet État ait été reconnu par une décision de la Commission européenne comme assurant un niveau de protection adéquat,
En outre, un code particulier peut être enregistré dans les fichiers centralisés de la clientèle au nom des personnes qui font l'objet d'un enregistrement dans les traitements régis par la présente décision, afin de signifier le niveau de risque et la nécessité d'une consultation du service chargé de la lutte contre le blanchiment pour toute nouvelle opération.
Les actions effectuées par ces personnes doivent être tracées afin de permettre de détecter et d'analyser tous accès, modifications et suppressions de données non autorisés.
b) parmi les autorités compétentes- la cellule de renseignement financier Tracfin du ministère de l'économie, des finances et de l'industrie, - les autorités de contrôle compétentes au sens de l'article L561-36 du CMF,- pour les données relatives aux personnes qui font l'objet d'une mesure de gel des avoirs, la Direction générale du Trésor, - les autorités de contrôle compétentes des autres états membres de la Communauté européenne, des états partie à l'accord sur l'Espace économique européen et des états où sont applicables les accords conclus avec l'Autorité de Contrôle Prudentiel ou l'Autorité des Marchés Financiers en application des dispositions prévues aux articles L632-7, L632-13 et L 632-16 du CMF.
c) parmi les autres organismes financiers- dans le respect des conditions posées au II de l'article L 561-7 du CMF, les personnes visées à l'article 1er de la présente autorisation unique, - dans le respect des conditions posées à l'article L 561-20 du CMF, les personnels habilités des autres organismes au sens de l'article 1er, les compagnies financières et les compagnies financières holding mixtes, lorsqu'ils appartiennent à un même groupe tel que défini au III de l'article L 511-20 du CMF ou à l'article L 334-2 du code des assurances, en ce qui concerne l'existence et le contenu de la déclaration de soupçon,- dans le respect des conditions posées à l'article L 561-21 du CMF, les autres organismes au sens de l'article 1er qui interviennent pour le même client dans la même transaction, en ce qui concerne l'existence et le contenu de la déclaration de soupçon.
Article 6 : Durée de conservation Sous réserve de dispositions plus contraignantes, les données et les documents relatifs à l'identité des clients habituels ou occasionnels et le cas échéant, des bénéficiaires effectifs, sont conservés pendant une durée de cinq ans à compter de la clôture du compte ou de la cessation de la relation.Les données et documents relatifs aux opérations faites par ceux-ci ou non exécutées en application des mesures de gel des avoirs ou des sanctions financières et les documents consignant les caractéristiques des opérations mentionnés au II de l'article L 561-10-2, sont conservés pendant cinq ans à compter de leur exécution y compris en cas de clôture du compte du client ou de cessation des relations.
Article 7 : Information des personnes concernées Les personnes sont informées que, pour répondre à ses obligations légales, le responsable du traitement met en œuvre un traitement de surveillance ayant pour finalité la lutte contre le blanchiment de capitaux et le financement du terrorisme et l'application des sanctions financières.
Article 8 : Exercice du droit d'accèsConformément aux dispositions de l'article L 561-45 du CMF, le droit d'accès aux traitements mis en œuvre aux seules fins de l'application des dispositions relatives à la lutte contre le blanchiment de capitaux et le financement du terrorisme et mentionnés à l'article 2 s'exerce auprès de la Commission Nationale de l'Informatique et des Libertés via une procédure de droit d'accès indirect à l'exception des traitements mis en œuvre afin d'identifier les personnes faisant l'objet d'une mesure de gel des avoirs ou d'une sanction financière, ceux-ci étant soumis à la procédure visée à l'article 39 de la loi du 6 janvier 1978.
Article 9 : Mesures de sécurité Le responsable du traitement prend toutes précautions utiles pour préserver la sécurité et la confidentialité des données traitées et, notamment pour empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés puissent en prendre connaissance. Les accès individuels au traitement s'effectuent par un identifiant et un mot de passe individuels, régulièrement renouvelés, ou par tout autre moyen d'authentification.
Article 10 : Transferts de données vers l'étrangerCertains transferts de données à caractère personnel peuvent être réalisés vers des pays tiers à l'Union Européenne qui ne sont pas membres de l'Espace économique européen et qui n'ont pas été reconnus par une décision de la Commission européenne comme assurant un niveau de protection adéquat, dès lors que : - le traitement garantit un niveau suffisant de protection de la vie privée ainsi que les droits et libertés fondamentaux des personnes par la mise en œuvre des clauses contractuelles émises par la Commission européenne ou par l'adoption de règles internes d'entreprise ayant fait l'objet d'une décision favorable de la Commission nationale de l'informatique et des libertés ;- le responsable de traitement a clairement informé les personnes de l'existence d'un transfert de données vers des pays tiers conformément aux dispositions de l'article 32 de la loi informatique et libertés et des articles 7 et 8 de la présente délibération ;- le responsable de traitement s'engage, sur simple demande de la personne concernée, à apporter une information complète sur la finalité du transfert, les données transférées, les destinataires exacts des informations et les moyens mis en œuvre pour encadrer ce transfert.Les données à caractère personnel susceptibles de faire l'objet d'un transfert vers certains pays situés en dehors de l'Union européenne dans le cadre de l'application des articles L 561-20, L 561-21 et L 511-34 du code monétaire
et financier sont celles collectées conformément aux dispositions de l'article 4 de la présente autorisation unique sous réserve qu'elles soient nécessaires à l'organisation de la lutte contre le blanchiment des capitaux et le financement du terrorisme.
Article 11 Dispositions transitoiresLes responsables de traitements de données à caractère personnel visés à l'article 2 dont la mise en œuvre est régulièrement intervenue avant la publication de la délibération n°2011-180 du 16 juin 2011 disposent d'un délai de 12 mois à compter de la publication de la présente délibération pour mettre leurs traitements en conformité, en procédant soit à un engagement de conformité à la présente autorisation unique, soit à une demande d'autorisation précisant les différences entre le traitement envisagé et la présente autorisation unique.
Article 12La présente délibération sera publiée au Journal officiel de la République française
Le Président
Alex TÜRK
La Commission nationale de l'informatique et des libertés, 
 
Saisie par le ministre de l'intérieur, de l'outre-mer et des collectivités territoriales, d'une demande d'avis relative à un projet de décret portant modification des décrets n° 2009-1249 et n° 2009-1250 du 16 octobre 2009 portant respectivement création d'un traitement de données à caractère personnel relatif à la prévention des atteintes à la sécurité publique et d'un traitement de données à caractère personnel relatif aux enquêtes administratives liées à la sécurité publique ;
 
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
 
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel ;
 
Vu la loi n° 95-73 du 21 janvier 1995 modifiée d'orientation et de programmation relative à la sécurité, et notamment son article 17-1 ;
 
Vu la loi n° 2003-239 du 18 mars 2003 pour la sécurité intérieure, et notamment son article 21 ;
Vu le décret n° 93-1362 du 30 décembre 1993 modifié relatif aux déclarations de nationalité, aux décisions de naturalisation, de réintégration, de perte, de déchéance et de retrait de la nationalité française, et notamment son article 36 ; 
Vu le décret n° 2005-1124 du 6 septembre 2005 pris pour l'application de l'article 17-1 de la loi n° 95-73 du 21 janvier 1995 et fixant la liste des enquêtes administratives donnant lieu à la consultation des traitements automatisés de données personnelles mentionnés à l'article 21 de la loi n° 2003-239 du 18 mars 2003 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978 modifiée par la loi n° 2004-810 du 6 août 2004 ;
Vu le décret n° 2009-1249 du 16 octobre 2009 portant création d'un traitement de données à caractère personnel relatif à la prévention des atteintes à la sécurité publique ; 
Vu le décret n° 2009-1250 du 16 octobre 2009 portant création d'un traitement de données à caractère personnel relatif aux enquêtes administratives liées à la sécurité publique ;
Vu la délibération n° 2009-355 du 11 juin 2009 portant avis sur un projet de décret en Conseil d'Etat portant création de l'application relative à la prévention des atteintes à la sécurité publique ; 
Vu la délibération n° 2009-356 du 11 juin 2009 portant avis sur un projet de décret en Conseil d'Etat portant création de l'application concernant les enquêtes administratives liées à la sécurité publique ;
Après avoir entendu M. Jean-Marie COTTERET, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ; 
 
Emet l'avis suivant : 
La Commission a été saisie par le ministère de l'intérieur, de l'outre-mer et des collectivités territoriales d'une demande d'avis relative à un projet de décret modifiant les décrets n° 2009-1249 et n° 2009-1250 du 16 octobre 2009 portant création de traitements de données à caractère personnel respectivement relatifs à la prévention des atteintes à la sécurité publique (PASP) et aux enquêtes administratives liées à la sécurité publique (EASP).
Dans le cadre de la réforme des services de renseignement intervenue en 2008, la création de ces deux traitements, en remplacement de l'application  EDVIRSP , laquelle avait déjà vocation à se substituer au traitement  EDVIGE , résulte notamment de la prise en compte des recommandations de la Commission visant à dissocier deux finalités distinctes de ces traitements. En effet, les applications EDVIGE puis EDVIRSP avaient notamment pour finalités de centraliser les informations relatives aux individus, groupes et organisations qui, en raison de leur activité individuelle ou collective, sont susceptibles de porter atteinte à l'ordre public, ainsi que de permettre aux services de police d'exécuter les enquêtes administratives qui leur sont confiées, pour déterminer si le comportement des personnes physiques ou morales intéressées est compatible avec l'exercice des fonctions ou des missions envisagées.
 
Afin de supprimer tout risque de confusion entre ces finalités, et conformément aux observations de la Commission, le Gouvernement a ainsi souhaité les scinder en deux traitements distincts, où diffèrent les garanties comme les catégories de données susceptibles d'être collectées et traitées.
Ainsi, le décret n° 2009-1249 susvisé, pris après avis de la CNIL en date du 11 juin 2009, a autorisé la création du traitement PASP, dont la finalité est de recueillir et d'analyser des données à caractère personnel concernant des personnes dont l'activité individuelle ou collective indique qu'elles peuvent porter atteinte à la sécurité publique. Il s'agit ainsi d'un traitement ne comportant qu'une finalité de renseignement, dont les données peuvent en outre être consultées dans le cadre des enquêtes administratives prévues par le premier alinéa de l'article 17-1 de la loi du 21 janvier 1995 modifiée. 
 
Le traitement EASP, créé par le décret n° 2009-1250 précité, sur lequel la Commission s'est prononcée en sa délibération n° 2009-356 du 11 juin 2009, vise exclusivement à faciliter la réalisation de ces mêmes enquêtes administratives, par la conservation des données issues de précédentes enquêtes relatives à la même personne. A cet égard, il y a lieu de rappeler que la Commission a constaté dans cet avis du 11 juin 2009 que, si la nature des enquêtes administratives susceptibles de donner lieu à un enregistrement dans le traitement EASP était ainsi précisée par la référence aux dispositions du premier alinéa de l'article 17-1 de la loi du 21 janvier 1995 modifiée, celles-ci visent un grand nombre d'enquêtes administratives, comme en attestent les termes du décret n° 2005-1124 du 6 septembre 2005 pris pour son application.
Dans ce contexte, les modifications envisagées par le projet de décret soumis à la Commission 
visent à permettre la réalisation, par les services de police et de gendarmerie nationales, de deux nouvelles enquêtes administratives, effectuées en vue de l'instruction des dossiers de demande d'acquisition de la nationalité française et des demandes de titre de séjour. Plus précisément, il s'agit de permettre la consultation des données enregistrées dans le traitement PASP dans le cadre de ces enquêtes, ainsi que la consultation et l'enregistrement des données à caractère personnel du traitement EASP dans ce même cadre.
 
A cet égard, la Commission rappelle en premier lieu que l'article 36 du décret n° 93-1362 du 30 décembre 1993 modifié prévoit expressément que  toute demande de naturalisation ou de réintégration fait l'objet d'une enquête à laquelle procède l'autorité auprès de laquelle elle a été déposée par application des dispositions de l'article précédent , et que  cette enquête, qui porte sur la conduite et le loyalisme du postulant, est effectuée par les services de police ou de gendarmerie territorialement compétents .
Elle relève en second lieu que ces enquêtes administratives sont indirectement visées au troisième alinéa de l'article 17-1 de la loi du 21 janvier 1995 modifiée. En effet, ces dispositions prévoient la consultation des traitements automatisés de données personnelles mentionnés à l'article 21 de la loi n° 2003-239 du 18 mars 2003 pour la sécurité intérieure (les fichiers dits d'antécédents judiciaires STIC et JUDEX) dans le cadre de l'instruction des demandes d'acquisition de la nationalité française et de délivrance et de renouvellement des titres relatifs à l'entrée et au séjour des étrangers, à l'instar de ce qui est prévu dans le cadre des enquêtes administratives mentionnées au premier alinéa de l'article 17-1 de la loi du 21 janvier 1995 modifiée.
Dans ces conditions, la Commission prend acte des modifications prévues des décrets n°2009-1249 et 2009-1250 du 16 octobre 2009 qui permettront la consultation des traitements PASP et EASP dans le cadre de ces enquêtes. Ainsi, au premier alinéa de l'article 6 du décret n°2009-1249, relatif aux destinataires du traitement PASP, il est prévu de remplacer les mots  enquêtes administratives prévues par le premier alinéa de l'article 17-1 de la loi du 21 janvier 1995 susvisée , par les mots  enquêtes administratives prévues par les premier et troisième alinéas de l'article 17-1 de la loi du 21 janvier 1995 susvisée . Il est également projeté de modifier sous la même forme l'article 1er du décret n° 2009-1250, relatif aux finalités du traitement EASP. 
 
Il convient cependant de rappeler le principe défini aux termes de l'article 10 de la loi du 6 janvier 1978 modifiée, selon lequel  aucune décision produisant des effets juridiques à l'égard d'une personne ne peut être prise sur le seul fondement d'un traitement automatisé de données destiné à définir le profil de l'intéressé ou à évaluer certains aspects de sa personnalité . La Commission considère dès lors que cette nouvelle utilisation des traitements PASP et EASP doit être assortie des mêmes précautions que celles qui entourent la consultation du STIC pour les besoins d'enquêtes administratives, et qui ont été récemment rappelées par la circulaire du 30 mai 2010 du ministre de l'intérieur.
Elle estime ainsi qu'il conviendra de rappeler aux autorités administratives compétentes, par exemple par voie de circulaire, qu'aucune demande d'acquisition de la nationalité française ou de délivrance d'un titre de séjour ne devra donner lieu à une décision de refus prise sur la simple mention de l'identité de la personne concernée dans ces traitements.  
 
Enfin, la Commission souhaite de nouveau appeler l'attention du Gouvernement sur l'absence de lisibilité qui découle de la multiplicité des dispositions législatives ou réglementaires relatives à la consultation des fichiers de police dans le cadre de l'exécution d'enquêtes administratives. 
 
 
 
 
 
                                                                                              Le Président
 
 
 
 
                                                                                              Alex TÜRK