AgentPublic/cnil huggingface dataset:
Le traitement mis en œuvre vise la gestion du recouvrement amiable et judiciaire pour les clients débiteurs. Lorsque les clients se retrouvent en situation de contentieux et n’ont pas remboursé les sommes dues aux échéances prévues, une procédure de recouvrement est engagée. Par ailleurs, certains contentieux portent sur des infractions pénales.La Commission estime que les finalités poursuivies sont déterminées, explicites et légitimes. Elle considère qu’il y a lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté
Sur les données traitées
Les catégories de données analysées sont relatives à : - l’identité des personnes concernées : nom, prénom, adresse, date et lieu de naissance, téléphone ;- la situation financière : revenus ;- aux infractions et condamnations (type, montant et échelonnement),- à l’état et au suivi de la procédure (jugements).Dans sa décision du 29 juillet 2004, le Conseil Constitutionnel a déclaré non conforme à la Constitution l’article 9-3° qui permettait à une personne morale de droit privé, mandatée par d’autres personnes morales estimant avoir été victimes ou être susceptibles d’être victimes d’agissements passibles de sanctions pénales, de rassembler des données portant sur des infractions, condamnations ou mesures de sûreté, au motif de son caractère trop général et du manque de précision sur les garanties devant encadrer ce type de traitement. Pour autant, le Conseil Constitutionnel a précisé que cette annulation ne saurait être interprétée comme « privant d’effectivité le droit d’exercer un recours juridictionnel dont dispose toute personne physique ou morale s’agissant des infractions dont elle a été victime ». Cette réserve d’interprétation était indispensable pour ne pas priver de base légale les traitements légitimement mis en œuvre pour assurer le suivi des dossiers contentieux relatifs à des infractions. Elle permet à toute personne de constituer, pour les besoins de l’exercice de son droit au recours, des fichiers de pré contentieux.La Commission considère, compte tenu de la
finalité poursuivie, que ces données sont pertinentes, adéquates et non excessives, conformément à l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les personnes destinataires du traitement sont les services internes, les agences de recouvrement, les huissiers partenaires et les cédants (banques ou sociétés de crédits).La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès 
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention légale d’information qui figure sur les courriers de gestion des dossiers et de relances adressés aux clients débiteurs.Les droits d’accès et de rectification s’exercent auprès du service réclamations – TSA 40729 – 78286 Saint Quentin en Yvelines Cedex ou par courriel à l’adresse suivante : Reclamation-CIL@hoistfinance.fr La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Les actions effectuées par ces personnes sont tracées afin de détecter et d’analyser tous les accès, modifications et suppressions de données non autorisés.Chaque utilisateur est authentifié lors de sa connexion à l’applicatif et dispose uniquement des autorisations  nécessaires à l’exercice de sa fonction. Le processus d’authentification et le modèle de l’applicatif utilisé permet d’identifier par la suite toutes les opérations réalisés sur la modification des données par utilisateur. Seules ces personnes ont accès au logiciel de suivi et de gestion du pré contentieux et du contentieux. Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application avec des profils d’habilitation et un contrôle d’accès logique qui se fait par mot de passe.Les postes de travail disposent d'un logiciel antivirus mis à jour régulièrement. L'accès aux locaux est restreint au moyen de portes verrouillées contrôlées par un moyen d'authentification personnel. Les données sauvegardées sont conservées dans un coffre.La filiale allemande de la société HOIST FINANCES SAS, est en charge de la partie informatique du traitement. Les données sont externalisées et stockées dans les serveurs de la filiale.Les mesures de sécurité mises en place n’appellent pas d’observation.
Sur les autres caractéristiques du traitement
Les données sont conservées jusqu’à la clôture du dossier (remboursement ou insolvabilité).La Commission considère que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, HOIST FINANCES SAS à mettre en œuvre le traitement susmentionné.
La Présidente 
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1778247)
La Commission nationale de l'informatique et des libertés,
Saisie par le Crédit Maritime Atlantique d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude interne;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.4°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Crédit Maritime Atlantique, filiale du groupe BPCE. 
Sur la finalité
Le dispositif envisagé se compose d’un outil commun au niveau du groupe BPCE, garantissant une harmonisation des règles et procédures des traitements de lutte contre la fraude interne et qui ne peut pas être modifié par l’établissement bancaire adhérant au dispositif. Toutefois, il est possible pour un établissement du groupe BPCE d’ajouter des outils optionnels. 
A cet égard, le Crédit Maritime Atlantique  souhaite bénéficier des outils optionnels relatifs au dispositif de formation, à l’accompagnement psychologique, au référentiel fraude ainsi qu’aux sources complémentaires de remontée des alertes.
Le dispositif commun est un système de requêtage permettant la détection des fraudes à partir d’une liste de critères, préalablement déterminés par l’établissement en fonction de certains paramètres et seuils. Cette liste met en exergue les alertes portant sur les opérations réalisées sur les comptes de l’ensemble des clients. 
Les alertes sont déclenchées sur la base des opérations financières ou administratives réalisées par le collaborateur sur le compte bancaire des clients. Les mouvements atypiques opérés par  le personnel de la banque ayant accès aux comptes bancaires des clients génèrent des alertes. Ces alertes sont analysées par les personnes en charge de la lutte contre la fraude interne.
le traitement ne permet pas d’alimenter une « liste noire » de personnes suspectées d’avoir commis ou tenté de commettre une fraude. 
Enfin, il existe un compte rendu anonymisé sur les indicateurs de pilotage de l’activité de lutte contre la fraude. Il s’agit uniquement de données statistiques conservées pour une durée maximale de 5 années. 
La Commission estime que les finalités poursuivies sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée.   
Sur les données traitées
Les données collectées sont issues du catalogue des requêtes administré par la sécurité financière du groupe au sein de l’organe central. 
La Commission relève que pour toute demande d’évolution du catalogue, le Crédit Maritime Atlantique, devra saisir la Commission pour obtenir une autorisation conformément aux dispositions de l’article 30 de la loi du 6 janvier 1978 modifiée.
Le processus de détection de la fraude repose sur les données issues des systèmes d’information au moyen de requêtes portant sur les données suivantes :
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de Crédit Maritime Atlantique  sont informés de la mise en œuvre du traitement par une mention qui figure sur la convention de compte. Les salariés, sont informés par une mention d’information qui figure dans l’annexe au règlement intérieur diffusée à l’ensemble du personnel.Dès lors qu’une enquête sera ouverte à l’encontre d’un collaborateur et lorsque l’établissement aura des présomptions fortes et des éléments factuels de fraude ou du manquement de ce dernier, ce salarié sera informé dans le cadre de l’entretien d’investigation. La Commission relève que le dossier du collaborateur ne comportera aucune information sur l’enquête diligentée à son encontre en l’absence de fraude avérée. Une présentation du dispositif a été réalisée auprès des comités exécutifs au sein des établissements ainsi qu’aux Directoires. Les instances représentatives du personnel seront informées du traitement de lutte contre la fraude lors d’une présentation aux comités d’entreprise des établissements. Le droit d’accès s’exerce auprès de Direction Risques et Conformité, 35 rue Bobby Sands, 44815 SAINT HERBLAIN.
Sur les mesures de sécurité
Il existe des profils d’habilitations qui définissent les fonctions ou les types d’informations accessibles par les personnes prenant part au projet de la lutte contre la fraude interne :
seuls les membres de la cellule locale de Lutte Anti Fraude auront accès aux alertes remontées automatiquement par l’outil de détection des fraudes, 
en cas de fraude avérée, les informations pourront être transmises aux départements juridiques et au département des ressources humaines,
les personnels chargés de créer le référentiel fraude ont accès  au reporting qui contient des données statistiques anonymes sur les alertes et les cas de fraudes avérées.
Le personnel habilité du Crédit Maritime Atlantique accède aux données collectées grâce à un identifiant et un mot de passe. La complexité des mots de passe est d’une longueur minimale de 8 caractères, comportant 3 types de caractères distincts. Le mot de passe est généré automatiquement par l’outil de génération et est directement transmis à l’utilisateur via une messagerie sécurisée. 
En dehors de l’utilisateur, personne n’a connaissance de ce mot de passe et en cas de perte, un nouveau mot de passe sera généré et transmis suivant le même procédé. 
Toutes les opérations de consultation et de modification font l’objet d’une journalisation. Les journaux sont conservés pendant une durée d’un an et contiennent les adresses IP des machines utilisées ainsi que les identifiants des comptes utilisés. Les comptes sont verrouillés automatiquement après trois tentatives de connexions infructueuses.
Les interventions de maintenance font l'objet d'une traçabilité. Les accès et les opérations effectués sur l’application, ainsi que les accès aux fichiers sont journalisés pendant une durée de 1 an. 
La confidentialité des échanges est assurée et les postes de travail disposent d'un antivirus et l’ensemble du réseau est protégé par un système de détection d’intrusion. 
La sécurité physique des données traitées est assurée par un prestataire qui garantit le contrôle d’accès aux machines conservant les données traitées. Le responsable de traitement a fixé contractuellement des objectifs de sécurité au sous-traitant. L'accès aux locaux est restreint au moyen de portes verrouillées contrôlées par un moyen d'authentification personnel, les accès aux emplacements contenant les serveurs font eux aussi l’objet d’une journalisation. 
La sauvegarde des données est assurée par le même prestataire. Toutefois, ces sauvegardes sont physiquement conservées dans un autre lieu pour assurer la continuité de service en cas d’incident dans le centre où sont situés les serveurs. 
Les supports de stockages usagés ou en panne font l'objet d'une procédure de destruction ou d'effacement sécurisé.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les durées de conservation sont différentes suivant les cas indiqués ci-dessous :
lorsqu’une alerte est classée « sans suite », c’est-à-dire qu’il n’a pas été jugé utile d’ouvrir un dossier d’investigation, elle sera automatiquement purgée après le délai de 30 jours ;
les alertes non traitées sont conservées pendant 3 mois dans l’outil à partir de la date de mise à disposition et le temps de procéder à leur qualification (sans suite ou fraude avérée). Passé ce délai, elles sont automatiquement supprimées ;
les alertes non traitées mais classées « à investiguer » sont conservées pendant une durée de 3 mois qui correspond à la durée de conservation des alertes non traitées, à laquelle s’ajoute un nouveau délai de 3 mois dès lors que l’alerte a été classée comme étant à investiguer. Dans ce dernier cas, la durée de conservation totale est de 6 mois. Passé ce délai, elles sont automatiquement supprimées.
les alertes pour lesquelles un dossier d’investigation a été ouvert sont conservées pendant toute la durée de l’enquête jusqu’à ce que la fraude soit ou non avérée ; 
Enfin, une fois que l’alerte a été qualifiée, que le dossier a été clôturé ou que la procédure judiciaire est terminée, les alertes sont automatiquement supprimées ainsi que le rapport final d’investigation.
La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, le Crédit Maritime Atlantique  à mettre en œuvre le traitement susmentionné.
La Présidente 
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1798203)
La Commission nationale de l'informatique et des libertés,
Saisie par la Banque Palatine d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude interne;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.4°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Banque Palatine, filiale du groupe BPCE. 
Sur la finalité
Le dispositif envisagé se compose d’un outil commun au niveau du groupe BPCE, garantissant une harmonisation des règles et procédures des traitements de lutte contre la fraude interne et qui ne peut pas être modifié par l’établissement bancaire adhérant au dispositif. Toutefois, il est possible pour un établissement du groupe BPCE d’ajouter des outils optionnels. 
A cet égard, la Banque Palatine souhaite bénéficier des outils optionnels relatifs au dispositif de formation, à l’accompagnement psychologique, au référentiel fraude ainsi qu’aux sources complémentaires de remontée des alertes.
Le dispositif commun est un système de requêtage permettant la détection des fraudes à partir d’une liste de critères, préalablement déterminés par l’établissement en fonction de certains paramètres et seuils. Cette liste met en exergue les alertes portant sur les opérations réalisées sur les comptes de l’ensemble des clients. 
Les alertes sont déclenchées sur la base des opérations financières ou administratives réalisées par le collaborateur sur le compte bancaire des clients. Les mouvements atypiques opérés par  le personnel de la banque ayant accès aux comptes bancaires des clients génèrent des alertes. Ces alertes sont analysées par les personnes en charge de la lutte contre la fraude interne.
le traitement ne permet pas d’alimenter une « liste noire » de personnes suspectées d’avoir commis ou tenté de commettre une fraude. 
Enfin, il existe un compte rendu anonymisé sur les indicateurs de pilotage de l’activité de lutte contre la fraude. Il s’agit uniquement de données statistiques conservées pour une durée maximale de 5 années. 
La Commission estime que les finalités poursuivies sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée.   
Sur les données traitées
Les données collectées sont issues du catalogue des requêtes administré par la sécurité financière du groupe au sein de l’organe central. 
La Commission relève que pour toute demande d’évolution du catalogue, la Banque Palatine, devra saisir la Commission pour obtenir une autorisation conformément aux dispositions de l’article 30 de la loi du 6 janvier 1978 modifiée.
Le processus de détection de la fraude repose sur les données issues des systèmes d’information au moyen de requêtes portant sur les données suivantes :
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la Banque Palatine sont informés de la mise en œuvre du traitement par une mention qui figure sur la convention de compte. Les salariés, sont informés par une mention d’information qui figure dans l’annexe au règlement intérieur diffusée à l’ensemble du personnel.Dès lors qu’une enquête sera ouverte à l’encontre d’un collaborateur et lorsque l’établissement aura des présomptions fortes et des éléments factuels de fraude ou du manquement de ce dernier, ce salarié sera informé dans le cadre de l’entretien d’investigation. La Commission relève que le dossier du collaborateur ne comportera aucune information sur l’enquête diligentée à son encontre en l’absence de fraude avérée. Une présentation du dispositif a été réalisée auprès des comités exécutifs au sein des établissements ainsi qu’aux Directoires. Les instances représentatives du personnel seront informées du traitement de lutte contre la fraude lors d’une présentation aux comités d’entreprise des établissements. Le droit d’accès s’exerce auprès de la Direction de la conformité et des contrôles permanents 42 Rue d'Anjou, 75008 Paris.
Sur les mesures de sécurité
Il existe des profils d’habilitations qui définissent les fonctions ou les types d’informations accessibles par les personnes prenant part au projet de la lutte contre la fraude interne :
seuls les membres de la cellule locale de Lutte Anti Fraude auront accès aux alertes remontées automatiquement par l’outil de détection des fraudes, 
en cas de fraude avérée, les informations pourront être transmises aux départements juridiques et au département des ressources humaines,
les personnels chargés de créer le référentiel fraude ont accès  au reporting qui contient des données statistiques anonymes sur les alertes et les cas de fraudes avérées.
Le personnel habilité de la Banque Palatine, accède aux données collectées grâce à un identifiant et un mot de passe. La complexité des mots de passe est d’une longueur minimale de 8 caractères, comportant 3 types de caractères distincts. Le mot de passe est généré automatiquement par l’outil de génération et est directement transmis à l’utilisateur via une messagerie sécurisée. 
En dehors de l’utilisateur, personne n’a connaissance de ce mot de passe et en cas de perte, un nouveau mot de passe sera généré et transmis suivant le même procédé. 
Toutes les opérations de consultation et de modification font l’objet d’une journalisation. Les journaux sont conservés pendant une durée d’un an et contiennent les adresses IP des machines utilisées ainsi que les identifiants des comptes utilisés. Les comptes sont verrouillés automatiquement après trois tentatives de connexions infructueuses.
Les interventions de maintenance font l'objet d'une traçabilité. Les accès et les opérations effectués sur l’application, ainsi que les accès aux fichiers sont journalisés pendant une durée de 1 an. 
La confidentialité des échanges est assurée et les postes de travail disposent d'un antivirus et d’un pare-feu réseau. 
La sécurité physique des données traitées est assurée par un prestataire qui garantit le contrôle d’accès aux machines conservant les données traitées. Le responsable de traitement a fixé contractuellement des objectifs de sécurité au sous-traitant. L'accès aux locaux est restreint au moyen de portes verrouillées contrôlées par un moyen d'authentification personnel, les accès aux emplacements contenant les serveurs font eux aussi l’objet d’une journalisation. 
La sauvegarde des données est assurée par le même prestataire. Toutefois, ces sauvegardes sont physiquement conservées dans un autre lieu pour assurer la continuité de service en cas d’incident dans le centre où sont situés les serveurs. 
Les supports de stockages usagés ou en panne font l'objet d'une procédure de destruction ou d'effacement sécurisé.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les durées de conservation sont différentes suivant les cas indiqués ci-dessous :
lorsqu’une alerte est classée « sans suite », c’est-à-dire qu’il n’a pas été jugé utile d’ouvrir un dossier d’investigation, elle sera automatiquement purgée après le délai de 30 jours ;
les alertes non traitées sont conservées pendant 3 mois dans l’outil à partir de la date de mise à disposition et le temps de procéder à leur qualification (sans suite ou fraude avérée). Passé ce délai, elles sont automatiquement supprimées ;
les alertes non traitées mais classées « à investiguer » sont conservées pendant une durée de 3 mois qui correspond à la durée de conservation des alertes non traitées, à laquelle s’ajoute un nouveau délai de 3 mois dès lors que l’alerte a été classée comme étant à investiguer. Dans ce dernier cas, la durée de conservation totale est de 6 mois. Passé ce délai, elles sont automatiquement supprimées.
les alertes pour lesquelles un dossier d’investigation a été ouvert sont conservées pendant toute la durée de l’enquête jusqu’à ce que la fraude soit ou non avérée ; 
Enfin, une fois que l’alerte a été qualifiée, que le dossier a été clôturé ou que la procédure judiciaire est terminée, les alertes sont automatiquement supprimées ainsi que le rapport final d’investigation.
La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, la Banque Palatine à mettre en œuvre le traitement susmentionné.
La Présidente 
I. FALQUE-PIERROTIN