AgentPublic/cnil huggingface dataset:
Natixis Financement a saisi la Commission d’une demande d’autorisation d’un traitement de données à caractère personnel permettant d’évaluer sur la base de modèles de score, le risque statistique de défaut de remboursement attaché à chaque demande de crédit renouvelable ou d’un moyen de paiement adossé à un contrat de crédit qui lui est présenté, de constituer des modèles de score à utiliser à partir de l’analyse statistiques des données personnelles en sa possession, d’en vérifier la pertinence et de les actualiser. Ce traitement mis en œuvre pour le compte des Banques populaires vise à sélectionner les demandes qui correspondent à un niveau de risque de défaillance jugé satisfaisant.
Par une délibération n°2009-426 en date du 2 juillet 2009, la Commission a adopté une délibération autorisant la mise en œuvre par Natixis Financement d’un traitement automatisé de données à caractère personnel ayant pour finalité l’analyse des risques dans le cadre de l’octroi de crédits renouvelables pour le compte des Banques populaires au moyen d’un système de score.
Natixis Financement saisit aujourd’hui la Commission d’une demande de modification de cette autorisation.
La délibération n°2009-426 est modifiée sur le point suivant :
Le traitement de Natixis Financement ayant pour finalité l’analyse des risques dans le cadre de l’octroi de crédits renouvelables au moyen d’un système de score est mis en œuvre pour le compte du réseau des Banques Populaires et Caisses d’épargne (incluant Fiancere Oceor).
Hormis cette modification, Natixis Financement respectera l’ensemble des dispositions prévues par la délibération n°2009-426 du 2 juillet 2009.
Autorise, dans les conditions, prévues par la présente délibération, Natixis Financement à mettre en œuvre le traitement automatisé de données à caractère personnel ayant pour finalité l’analyse des risques dans le cadre de l’octroi de crédits renouvelables pour le compte des réseaux Banque Populaire et Caisses d’épargne au moyen d’un système de score.
                                                                                Le Président
Alex TURK
(Demande d’autorisation n°1398352)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu la demande d’autorisation, présentée par la société APROLLIANCE SARL, d’un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes :
La société APROLLIANCE SARL a déposé le 18 novembre 2009 un dossier de demande d’autorisation de mise en œuvre d’un dispositif d’un traitement de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle.
La Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire. 
Il convient d’examiner ledit traitement au regard des principes relatifs à la protection des données à caractère personnel, et notamment, de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
La Commission estime, en conséquence, que les dispositifs d’alerte professionnelle doivent être conçus comme uniquement complémentaires par rapport aux autres modes d’alerte dans l’entreprise. Elle estime ainsi qu’afin de tenir compte de ce caractère intrinsèquement complémentaire, un dispositif d’alerte doit être limité dans son champ.
La Commission relève que le dossier soumis par la société APROLLIANCE SARL au soutien de sa demande d’autorisation indique clairement que le dispositif d’alerte est limité aux aspects anticoncurrentiels.
La Commission relève encore que l’engagement de la société APROLLIANCE SARL de mettre en place ce dispositif d’alerte permettant le signalement de manquements au droit de la concurrence est mentionné dans la décision du Conseil de la concurrence du 5 février 2008.
Par ailleurs, la Commission considère que l’émetteur de l’alerte professionnelle doit s’identifier, son identité étant traitée de façon confidentielle par l’organisation chargée de la gestion des alertes. 
Les droits d’accès et de rectification s’exerceront auprès du médiateur nommé pour gérer les alertes à la société  APROLLICAIRE SARL, ZA route de Niafles, 53810 Change.
Les catégories de données à caractère personnel enregistrées seront les données d’identification du salarié à l’origine de l’alerte (nom, prénom et fonction), les données d’identification de personnes éventuellement mises en cause, les données relatives aux faits signalés, les rapports d’enquête et les suites données à l’alerte.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, le médiateur en charge du traitement des alertes et la Direction Générale.
Dans ces conditions, la Commission autorise la société APROLLIANCE SARL à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle. 
Le Président,
Alex TURK
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi du 6 août 2004, notamment son article 25-I-4° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Sur le rapport de Monsieur Jean Paul AMOUDRY, commissaire, et les observations de  Madame Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes : 
La Banque Courtois a saisi la Commission nationale de l’informatique et des libertés d’un projet de traitement de données à caractère personnel dont la finalité est de détecter des suspicions de fraude à la carte bancaire.
Sur la procédure suivie auprès de la Commission
La Commission observe que le traitement a pour objet d’identifier des opérations réalisées par carte bancaire qui sont susceptibles d’être constitutives d’une fraude et nécessitent de ce fait une confirmation du porteur. Dès lors, ce traitement peut avoir pour effet d’empêcher, même temporairement, le porteur de faire usage de son moyen de paiement. 
Il en résulte que le traitement mis en œuvre a pour effet d’exclure des personnes du bénéfice d’une prestation, l’utilisation d’une carte bancaire, en l’absence de toute disposition législative ou réglementaire le prévoyant. Dès lors, il relève du 4° de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, être autorisé par la CNIL.
Sur les finalités et les fonctions du traitement
Le traitement vise à émettre des alertes en temps réel sur la base d’une analyse des transactions effectuées par carte bancaire, afin de détecter les éventuelles opérations frauduleuses et d’en limiter les conséquences dommageables en permettant l’adoption de mesures adaptées dans les meilleurs délais.
La Commission observe que les fraudes recherchées correspondent à des utilisations illégitimes d’une carte de paiement ou des données qui y sont attachées, lorsque ces utilisations risquent d’avoir des conséquences préjudiciables pour le porteur de la carte ou son établissement bancaire. Les utilisations d’une carte par son porteur légitime qui sont rendues irrégulières du seul fait d’un défaut de provision ne font pas partie des risques de fraude qui donnent lieu à la production d’alertes.
Les critères pris en compte pour la production des alertes sont : 
le pays de réalisation de la transaction, 
le mode de lecture de la carte,
la branche d’activité du commerçant acquéreur (sous la forme du code MCC, « Merchant Category code »),
le montant de l’opération réalisée
le nombre de transactions sur les dernières 24 heures et
le lieu de réalisation de la transaction qui peut être identifié par Visa ou le Groupement des cartes bancaires (GIE CB) comme un point de compromission.
A chaque alerte, un niveau de risque global est calculé sur la base de ces critères et des éventuelles alertes émises précédemment pour la même carte durant les dernières 24 heures.
La Commission observe que ce traitement de détection des alertes ne permet pas d’établir une liste noire des porteurs présentant un risque mais seulement d’analyser les alertes émises sur une carte pendant une durée de 24 heures glissant.
Les alertes ainsi obtenues sont traités selon les modalités suivantes :
En premier lieu, dans certaines hypothèses préalablement définies en fonction des critères mentionnés susvisés une procédure d’autorisation spécifique est mise en œuvre : le commerçant acquéreur est informé qu’il doit obtenir une autorisation verbale de sa banque pour que la transaction soit validée. 
Dans d’autres cas, lorsque le personnel chargé de la gestion de la fraude au sein du Back Office Monétique central estime que le niveau de risque de fraude détecté est faible, il doit exclusivement :
entrer en contact téléphonique avec le porteur pour vérifier si ce dernier est à l’origine de la transaction à l’origine de l’alerte et 
informer le chargé de clientèle du porteur qui, lorsque la cellule fraude ne réussit pas à entrer en contact avec ce dernier, est chargé de l’informer par tous moyens utiles.
La CNIL relève que le personnel de la gestion de la fraude au Back Office Monétique central n’est pas habilité à procéder, de sa propre initiative, au blocage du moyen de paiement ou même de la transaction.
En dernier lieu, en cas d’indice de risque de fraude jugé élevé ou en présence de plusieurs alertes, le chargé de clientèle du porteur de la carte bancaire peut décider d’appliquer à la carte bancaire une restriction temporaire de fonctionnement pendant le temps nécessaire à la prise de contact avec le porteur.
La Commission souligne que ce traitement ne peut pas donner lieu au blocage de la transaction ou à la mise en opposition de la carte bancaire sans avoir au préalable obtenu le consentement du porteur.
La Commission insiste cependant  sur la nécessité de paramétrer le traitement automatisé en fonction d’un niveau de risque jugé acceptable par le responsable de traitement afin de ne pas multiplier le nombre de fausses alertes susceptibles de provoquer une gêne injustifiée pour les porteurs légitimes de cartes.
Ces caractéristiques du traitement ainsi définies sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Cette application permet par ailleurs d’effectuer un suivi du traitement des alertes qui en résultent, le temps nécessaire à leur résolution.
Enfin, elle permet d’établir une typologie des utilisations frauduleuses élaborée sur la base d’un traitement statistique de l’historique des transactions réalisées par carte bancaire puis de l’appliquer lors du traitement des demandes d’autorisations transmises à la banque en cas de paiement réalisé auprès d’un commerçant acquéreur via un terminal de paiement électronique, lors d’un retrait effectué auprès d’un distributeur automatique ou en cas d’opérations de paiement en ligne.
La Commission note en revanche que le traitement ne servira pas à identifier les commerçants ou les terminaux de paiements auxquels correspondent un taux significatif d’utilisations frauduleuses ou de tentatives d’utilisation frauduleuse.
Sur les données traitées et la durée de conservation : 
Les catégories de données collectées dans le cadre du suivi des actions engagées sont : 
le numéro et le type de carte bancaire,
l’identification et le numéro de téléphone du porteur,
l’identifiant du compte bancaire auquel est attachée la carte,
l’identité du chargé de clientèle, devant de prendre contact avec le porteur et celle de l’opérateur de la cellule fraude chargé du traitement de l’alerte,
les caractéristiques de l’alerte (la date de l’alerte, le pays d’origine de la demande, le niveau de risque attaché à la transaction et la nature de celle-ci : paiement ou retrait, le type d’alerte, les points de compromission détectés par le GIE CB ou VISA),
le compte rendu de traitement de l’alerte (date et heure de contact avec le porteur, action réalisées : client contacté, agence contactée, carte mise en opposition).
des commentaires provenant des contacts pris par le personnel habilité de la gestion de la fraude du service Back Office Monétique central, d’où sont exclus toute information sans rapport avec la finalité du traitement ainsi que tout jugement de valeur.
Les alertes sont conservées pendant une durée de 30 jours glissants.
L’actualisation du modèle est réalisée à partir de l’analyse des demandes d’autorisations, des transactions frauduleuses et des mises en opposition, l’ensemble de ces données étant anonymisées.
Sur les destinataires du traitement 
Seuls ont accès au traitement de gestion des alertes : 
les agents habilités en charge de la gestion de la fraude du service Back Office Monétique central et
les responsables de la Direction de la monétique.
Les chargés de clientèle et leurs directeurs d’agence peuvent également avoir connaissance des alertes pour les seules transactions de leurs clients.
Sur les modalités d’information et d’exercice des droits des personnes 
Les personnes concernées sont informées de la mise en œuvre et des conséquences de ce traitement lors de la signature du contrat porteur.
Les personnes concernées peuvent exercer leur droit d’accès conformément aux dispositions de l’article 39 de la loi n°78-17 du 6 janvier 1978 modifiée en 2004.
Dans ces conditions, la Commission autorise la Banque Courtois à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à la carte bancaire.
Le Président,
Alex TURK
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi du 6 août 2004, notamment son article 25-I-4° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Sur le rapport de Monsieur Jean Paul AMOUDRY, commissaire, et les observations de  Madame Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes : 
La Banque Kolb a saisi la Commission nationale de l’informatique et des libertés d’un projet de traitement de données à caractère personnel dont la finalité est de détecter des suspicions de fraude à la carte bancaire.
Sur la procédure suivie auprès de la Commission
L’actualisation du modèle est réalisée à partir de l’analyse des demandes d’autorisations, des transactions frauduleuses et des mises en opposition, l’ensemble de ces données étant anonymisées.
Sur les destinataires du traitement 
Seuls ont accès au traitement de gestion des alertes : 
les agents habilités en charge de la gestion de la fraude du service Back Office Monétique central et
les responsables de la Direction de la monétique.
Les chargés de clientèle et leurs directeurs d’agence peuvent également avoir connaissance des alertes pour les seules transactions de leurs clients.
Sur les modalités d’information et d’exercice des droits des personnes 
Les personnes concernées sont informées de la mise en œuvre et des conséquences de ce traitement lors de la signature du contrat porteur.
Les personnes concernées peuvent exercer leur droit d’accès conformément aux dispositions de l’article 39 de la loi n°78-17 du 6 janvier 1978 modifiée en 2004.
Dans ces conditions, la Commission autorise la Banque Kolb à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à la carte bancaire.
Le Président,
Alex TURK
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi du 6 août 2004, notamment son article 25-I-4° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Sur le rapport de Monsieur Jean Paul AMOUDRY, commissaire, et les observations de  Madame Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes : 
La Banque Laydernier a saisi la Commission nationale de l’informatique et des libertés d’un projet de traitement de données à caractère personnel dont la finalité est de détecter des suspicions de fraude à la carte bancaire.
Sur la procédure suivie auprès de la Commission
L’actualisation du modèle est réalisée à partir de l’analyse des demandes d’autorisations, des transactions frauduleuses et des mises en opposition, l’ensemble de ces données étant anonymisées.
Sur les destinataires du traitement 
Seuls ont accès au traitement de gestion des alertes : 
les agents habilités en charge de la gestion de la fraude du service Back Office Monétique central et
les responsables de la Direction de la monétique.
Les chargés de clientèle et leurs directeurs d’agence peuvent également avoir connaissance des alertes pour les seules transactions de leurs clients.
Sur les modalités d’information et d’exercice des droits des personnes 
Les personnes concernées sont informées de la mise en œuvre et des conséquences de ce traitement lors de la signature du contrat porteur.
Les personnes concernées peuvent exercer leur droit d’accès conformément aux dispositions de l’article 39 de la loi n°78-17 du 6 janvier 1978 modifiée en 2004.
Dans ces conditions, la Commission autorise la Banque Laydernier à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à la carte bancaire.
Le Président,
Alex TURK
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi du 6 août 2004, notamment son article 25-I-4° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Sur le rapport de Monsieur Jean Paul AMOUDRY, commissaire, et les observations de  Madame Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes : 
La Banque Nuger a saisi la Commission nationale de l’informatique et des libertés d’un projet de traitement de données à caractère personnel dont la finalité est de détecter des suspicions de fraude à la carte bancaire.
Sur la procédure suivie auprès de la Commission
L’actualisation du modèle est réalisée à partir de l’analyse des demandes d’autorisations, des transactions frauduleuses et des mises en opposition, l’ensemble de ces données étant anonymisées.
Sur les destinataires du traitement 
Seuls ont accès au traitement de gestion des alertes : 
les agents habilités en charge de la gestion de la fraude du service Back Office Monétique central et
les responsables de la Direction de la monétique.
Les chargés de clientèle et leurs directeurs d’agence peuvent également avoir connaissance des alertes pour les seules transactions de leurs clients.
Sur les modalités d’information et d’exercice des droits des personnes 
Les personnes concernées sont informées de la mise en œuvre et des conséquences de ce traitement lors de la signature du contrat porteur.
Les personnes concernées peuvent exercer leur droit d’accès conformément aux dispositions de l’article 39 de la loi n°78-17 du 6 janvier 1978 modifiée en 2004.
Dans ces conditions, la Commission autorise la Banque Nuger à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à la carte bancaire.
Le Président,
Alex TURK
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi du 6 août 2004, notamment son article 25-I-4° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Sur le rapport de Monsieur Jean Paul AMOUDRY, commissaire, et les observations de  Madame Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes : 
La Banque Rhône Alpes a saisi la Commission nationale de l’informatique et des libertés d’un projet de traitement de données à caractère personnel dont la finalité est de détecter des suspicions de fraude à la carte bancaire.
Sur la procédure suivie auprès de la Commission