AgentPublic/cnil huggingface dataset:
Vu l’arrêté du 2 septembre 2009 pris en application de l’article R. 561-12 du code monétaire et financier et définissant des éléments d’information liés à la connaissance du client et de la relation d’affaire aux fins d’évaluation des risques de blanchiment de capitaux et de financement du terrorisme ;
Vu la délibération n° 2005-297 du 1er décembre 2005 portant autorisation unique de certains traitements de données à caractère personnel mis en œuvre dans des organismes financiers au titre de la lutte contre le blanchiment de capitaux et le financement du terrorisme, modifiée par la délibération n° 2007-060 du 25 avril 2007 et la délibération n° 2011-180 du 16 juin 2011 ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
FIDAL, cabinet d’avocats dans le domaine du droit des affaires.
Sur la finalité
Le cabinet d’avocats FIDAL a saisi la Commission d’une demande d’autorisation relative à un traitement automatisé de données à caractère personnel pour répondre aux obligations légales dans leurs missions non juridictionnelles en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme, ainsi que de gel des avoirs.Le traitement vise à analyser et à déterminer le niveau de risque propre à chaque client, à mettre en place une surveillance adaptée et à détecter les opérations portant sur des sommes dont le responsable de traitement sait, soupçonne ou a de bonnes raisons de soupçonner qu’elles proviennent d’une infraction passible d’une peine privative de liberté supérieure à un an ou participent au financement du terrorisme. En outre, le dispositif doit permettre l’application du dispositif de gel des avoirs dans le cadre de la lutte contre le financement du terrorisme et des mesures relatives aux sanctions financières.A ce titre, le cabinet FIDAL souhaite disposer d’un accès aux informations issues des bases documentaires mises à disposition par un éditeur spécialisé pour les comparer périodiquement avec sa base client afin d’identifier les personnes politiquement exposées (PPE).Le basculement d’un client sous le statut de PPE peut survenir au cours de la relation d’affaires. Dès lors, cette identification sur la base de critères intégrés dans le traitement automatisé de du cabinet FIDAL peut conduire ce dernier à souhaiter, pour des raisons de
prudence, rompre toute relation contractuelle avec certains des clients qui en font l’objet. Le dispositif peut ainsi, du fait de sa portée, conduire à l’exclusion de personnes du bénéfice d’un contrat en l’absence de toute disposition légale prévoyant la mise en œuvre d’une telle exclusion.Dès lors, le traitement relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée en 2004 et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.Par sa délibération modificative n° 2005-297 du 1er décembre 2005 susvisée, la Commission a autorisé « certains traitements de données à caractère personnel qui sont mis en œuvre dans des organismes financiers au titre de la lutte contre le blanchiment de capitaux et le financement du terrorisme », sous réserve que les finalités de ces traitements, les catégories de données utilisées et leurs destinataires n’excèdent pas le cadre fixé par l’autorisation unique AU-003, que ces traitements remplissent également les conditions définies dans ce texte et que la CNIL ait reçu un engagement de conformité à l’AU-003.Tout projet de traitement automatisé dont les finalités ou les catégories de données ou de destinataires excèdent le cadre de cette autorisation unique ou qui ne respecterait pas les exigences qui y sont définies, doit, en revanche, faire l’objet d’une demande d’autorisation spécifique présentant et expliquant les différences entre le traitement envisagé et l’autorisation unique.L’analyse des caractéristiques du
traitement automatisé visé par la présente demande d’autorisation permet de conclure à la conformité de la demande de traitement au regard de l’AU 003 à l’exception des différences sur les données et destinataires qui, de ce fait, sont soumises à l’examen de la CNIL.
Sur les données traitées
Les données qui viennent s’ajouter à la liste déjà prévue par l’AU 003 sont les suivantes :
vie personnelle : lien de parenté avec une PPE au sens de l’article R 561-18 du CMF,
vie professionnelle : situation professionnelle,
données de connexion : identifiants de connexions.
La Commission considère, compte tenu de la finalité poursuivie, que la collecte porte sur des données pertinentes, adéquates et non excessives au sens du 3° de l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les personnes destinataires du traitement et habilitées à avoir accès aux informations sont d’une part la personne habilitée de la DSI et d’autre part la direction juridique du cabinet FIDAL.La Commission relève que les déclarations de soupçon rédigées par les avocats sont transmises par l’intermédiaire du bâtonnier. Il en est de même pour les droits de communication adressés par TRACFIN aux avocats dans le cadre de ses investigations.La liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès
Les clients sont informés du traitement par une mention d’information qui figure sur le site internet du cabinet ainsi que dans la lettre de mission adressé au client. Enfin, les salariés sont informés par une note interne conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978.Les droits d’accès, de rectification et d’opposition s’exercent auprès du Service Risque et Conformité de Factiva Limited à l’adresse suivante : 22, Gray’s Inn Road WC1X 8HB – Londres ou par courrier électronique à l’adresse suivante : cil@fidal.comCes modalités d’exercice des droits n’appellent pas d’observations de la part de la Commission.
Sur les autres caractéristiques du traitement
L’outil de requête et de corrélation d’informations du prestataire permet au cabinet FIDAL de confronter de manière automatisée les informations communiquées par le client avec celles qui figurent dans la base documentaire du prestataire pour détecter une éventuelle alerte sur l’identification de la qualité de PPE.Les éléments d’information utilisés par le prestataire procèdent de sources officielles nationales et internationales, des décisions de justice ou d’autorités publiques.Les vérifications ne doivent porter que sur les seules listes appliquées en France et en Europe ou qui trouvent dans les résolutions adoptées par l’ONU en la matière, une base juridique pouvant justifier leur portée extraterritoriale dès lors que l’organisme participe à la lutte contre le blanchiment de capitaux et le financement du terrorisme. A ce titre, l’outil fourni par le prestataire de services dispose d’un système de filtre permettant de limiter les informations transmises au cabinet FIDAL.Conformément à l’article 10 de la loi du 6 janvier modifiée, aucune décision de refus ne peut être prise sur la base des seuls éléments d’information recueillis par le biais de l’outil utilisé, qui devront faire l’objet d’un examen individuel, permettant notamment de lever les cas d’homonymies, après collecte, le cas échéant, d’informations complémentaires adaptées au niveau du risque identifié en fonction des opérations effectuées.
Autorise, conformément à la présente délibération, FIDAL à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1820992)
La Commission nationale de l'informatique et des libertés,
Saisie par BARCLAYS BANK PLC d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte conter la fraude interne des salariés ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
BARCLAYS BANK PLC, succursale française de la société mère BARCLAYS BANK PLC (UK) située au Royaume-Unis.
Sur la finalité
Le dispositif envisagé est un outil commun au niveau du groupe BARCLAYS garantissant une harmonisation des règles et procédures des traitements de lutte contre la fraude interne. Le système ne peut pas être modifié par l’établissement bancaire adhérant au dispositif.
			Le système fonctionne sur la base de requêtes permettant la détection des fraudes à partir d’une liste de critères, préalablement déterminés par l’établissement en fonction de certains paramètres et seuils. Cette liste met en exergue les alertes portant sur les opérations réalisées sur les comptes de l’ensemble des clients de BARCLAYS BANK PLC.
			Les alertes sont déclenchées sur la base des opérations financières ou administratives réalisées par le collaborateur sur le compte bancaire des clients. Les mouvements atypiques opérés par le personnel de la banque ayant accès aux comptes bancaires des clients génèrent des alertes. Ces alertes sont analysées par les personnes en charge de la lutte contre la fraude interne et la cellule investigation si nécessaire.
			Ainsi, conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, chaque alerte fait l’objet d’une analyse spécifique et au cas par cas afin d’évaluer sa pertinence et de procéder à des investigations supplémentaires.
La Commission relève qu’il n’existe pas d’analyse systématique de l’ensemble des données du compte bancaire des clients. L’analyse porte uniquement sur une opération bancaire réalisée par le personnel de la banque sur le compte d’un client, qui aura été détectée par le dispositif comme étant une opération atypique.
			Les requêtes présentent un certain nombre de garanties :
			
l’analyse du système porte uniquement sur des opérations bancaires et non sur des comportements ou profils d’individus ;
les opérations bancaires anormales sont détectées via un système de requêtes basées sur des critères de recherche issus de scénarii de fraude connus ;
seules les opérations anormales/atypiques font l’objet d’une alerte ;
aucune requête n’utilise de données qui ne seraient pas utiles à la détection ou à l’analyse ;
aucune requête n’utilise de donnée sensible, biométrique, génétique, d’infraction, de condamnation, de mesure de sûreté ni le numéro de sécurité sociale, ou d’appréciation sur les difficultés sociales des personnes ;
les données utilisées pour les requêtes servent soit à la sélection des alertes, soit à leur analyse par la cellule investigation du service fraude pour qualification ;
aucune décision n’est prise à l’égard d’un employé sur la seule base d’une alerte ;
les services ayant accès aux données du système sont limités et définis eu égard à leur rôle dans la lutte contre la fraude interne ;
le traitement ne permet pas d’alimenter une liste noire de personnes suspectées d’avoir commis ou tenté de commettre une fraude.
			La Commission estime que les finalités poursuivies sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
			En cas de fraude avérée d’un collaborateur, la Direction des ressources humaines de la banque peut décider de prendre des mesures disciplinaires à l’encontre du salarié et notamment la rupture de son contrat de travail. Dans la mesure où ce traitement est susceptible d’exclure des personnes du bénéfice d’un contrat, la Commission considère qu’il y a lieu de faire application des dispositions de l’article 25.I.4° de la loi du 6 janvier 1978 modifiée.
			Outre les mesures de sanctions pouvant être initiées par les Directions compétentes, la banque peut déposer plainte à l’encontre du salarié mis en cause.
Sur les données traitées
Le processus de détection de la fraude repose sur les données issues des systèmes d’information au moyen de requêtes portant sur les données suivantes :
données d’identification du client : numéro du client, nom, prénom, date de naissance, adresse e-mail, numéro de téléphone (fixe et mobile), indicateur si le client a quitté la banque, statut juridique, segment de clientèle, top décédé (oui/non), date de décès, Type de domiciliation relevé, fréquence envoi relevé, top absence relevé, date entrée en relation, Top procuration (oui/non), lien interpersonne, nombre de personnes dans la relation bancaire (RB), nombre de comptes dans la RB, existence de mandats ;
données d’identification du mandataire : numéro de personne, Top (Oui/Non) si le mandataire est le gestionnaire ;
données de compte : numéro de compte, type de compte, solde, solde avant clôture, solde avant opération, produit ;
données relatives au collaborateur gestionnaire : nom, prénom, identifiant, adresse du collaborateur en tant que client de la banque, numéro d’agence, numéro de téléphone (fixe, mobile pro ou personnel), adresse e-mail (pro et personnelle si disponible), numéro du compte bancaire sur lequel la paie est versée, date de début en fin du contrat, fonction, poste ;
données relatives à la contrepartie : EDS (élément de structure-domiciliation client / collaborateur), numéro de compte, type de compte ;
données relatives au collaborateur qui réalise les opérations : dernière opération, nom, prénom, EDS ;
données relatives aux opérations sur données administratives : date de dernière modification, heure de l’opération, date de 1ère modification, valeur avant et après, élément modifié, date de saisie du décès, nombre de jours entre date de décès et date de saisie ;
données relatives aux mouvements financiers : date de l’opération, date de dernière opération, date du dernier mouvement, heure de l’opération, nature de l’opération, sens de l’opération, numéro unique d’opération, demande produit (acceptée/refusée), date de la demande, date de création/fermeture du compte, mode de paiement, montant de l’opération, libellé de l’opération, date d’ouverture du compte support du prêt, numéro de contrat, type de contrat, top actif / segmentation commerciale, top inactif / segmentation commerciale.
			La Commission considère que ces données sont pertinentes au regard des finalités poursuivies.
Sur les destinataires
Seuls les utilisateurs suivants peuvent accéder à l’outil :
			
la cellule investigation du service fraude interne dispose d’un accès limité aux alertes générées par le système pour l’établissement bancaire ;
la Direction des Ressources Humaines et la Direction Juridique ont seulement accès au rapport final d’investigation rédigé par la cellule investigation en cas de fraude avérée du salarié ;
la Direction générale dispose d’un accès direct au dossier d’investigation alors que la direction du service fraude, le service d’audit interne et les supérieurs hiérarchiques de la cellule investigation, peuvent accéder au dossier papier sur demande du fait de leur fonction ;
la direction juridique et le service informatique peuvent être ponctuellement impliqués, sur sollicitation de la cellule investigation, pour collecter des informations ou mettre en œuvre des actions de traitement. La cellule investigation leur communique uniquement les informations utiles à leur action ;
l’administration du système est gérée par le service de lutte contre la fraude interne Fraud Analytics de la banque Barclays Bank PLC située au Royaume–Uni ;
la cellule investigation adresse un reporting au service investigation de la société mère Barclays Bank PLC (UK) ;
la cellule investigation adresse un reporting à l’équipe Fraud Analytics sur la performance des critères d’alerte sur la base des résultats des investigations.
			La Commission observe qu’il existe un engagement de confidentialité rappelé dans le règlement intérieur et dans le contrat de travail des services concernés.
Les personnes concernées par un cas avéré de fraude ou par un manquement interne, ont connaissance des faits qui leurs sont reprochés au cours d’un entretien contradictoire avec la direction des ressources humaines. Elles disposent d’un droit d’accès au rapport final qui les concerne qu’ils peuvent exercer auprès du service des Ressources humaines.
			L’équipe Fraud Analytics tient une liste nominative des personnes ci-dessus habilitées à accéder à l’outil.
			La liste de ces destinataires n’appelle pas d’observation particulière.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la banque BARCLAYS BANK PLC sont informés de la mise en œuvre du traitement par une mention qui figure sur la convention de compte. Les salariés sont informés par une mention d’information sur l’intranet RH.
			Dès lors qu’une enquête sera ouverte à l’encontre d’un collaborateur et lorsque l’établissement aura des présomptions fortes et des éléments factuels de fraude ou du manquement de ce dernier, ce salarié sera informé dans le cadre de l’entretien d’investigation. La Commission relève que le dossier du collaborateur ne comportera aucune information sur l’enquête diligentée à son encontre en l’absence de fraude avérée.
Une présentation du dispositif a été réalisée auprès des comités exécutifs au sein des établissements ainsi qu’aux Directoires. Les instances représentatives du personnel seront informées du traitement de lutte contre la fraude lors d’une présentation aux comités d’entreprise des établissements.
			Le droit d’accès s’exerce auprès du service BARCLAYS SERVICES par courrier à l’adresse suivante : 183, avenue Daumesnil 75012 Paris ou par courriel à contact@barclays.fr
Sur les mesures de sécurité
Chaque utilisateur dispose d'un identifiant personnel. Les mots de passe sont obligatoirement changés après leur réinitialisation.
			Le responsable de traitement a mis en place une politique de gestion des mots de passe qui exige que ceux-ci aient une longueur minimale de huit caractères et qu’ils contiennent au moins trois types de caractères parmi les suivants : un chiffre, une minuscule, une majuscule, un caractère spécial.
			Il existe des profils d'habilitations pour gérer les accès aux données.
			Les postes de travail disposent d'un pare-feu logiciel et d'un logiciel antivirus mis à jour régulièrement. Les mises à jour logiciels sont installées de manière régulière.
			Des sauvegardes quotidiennes sont réalisées. Le transfert des sauvegardes est sécurisé. Les sauvegardes sont stockées dans un endroit garantissant leur sécurité et leur disponibilité.
			Les interventions de maintenance font l'objet d'une traçabilité.
Les données transmises entre les différents services sont préalablement chiffrées.
			Le matériel remisé est nettoyé de toute donnée à caractère personnel.
			Il existe une journalisation des opérations de consultation, de création et de modification du traitement.
			L'accès aux locaux est restreint par des portes verrouillées contrôlées par un moyen d'authentification personnel.
Sur les autres caractéristiques du traitement
Le Groupe Barclays a développé son propre système qui lui permet de procéder à l’extraction des données personnelles nécessaires à la lutte contre la fraude interne sans recourir à un éditeur externe. Les opérations d’extraction sont réalisées par le service informatique situé en France.
			L’outil tient compte des données personnelles suivantes :
			
les données relatives aux opérations sur les comptes bancaires des clients et ;
les données d’identification des employés à l’origine de telles opérations lorsqu’elles s’avèrent anormales.
l’application de gestion des comptes clients contient les informations relatives aux opérations sur comptes bancaires et ;
les applications de gestion des ressources humaines contiennent les données d’identification des employés gestionnaires de ces comptes.
			Or, ces deux catégories de données se trouvent dans des applications aux finalités différentes :
			
les données relatives aux opérations sur les comptes bancaires des clients et ;
les données d’identification des employés à l’origine de telles opérations lorsqu’elles s’avèrent anormales.
l’application de gestion des comptes clients contient les informations relatives aux opérations sur comptes bancaires et ;
les applications de gestion des ressources humaines contiennent les données d’identification des employés gestionnaires de ces comptes.
			La Commission relève qu’il existe une interconnexion de fichiers aux finalités différentes. En effet, le traitement permet de détecter les opérations frauduleuses réalisées par les salariés et portant sur les comptes des clients. Par exemple, lorsque le salarié remplace les coordonnées des clients avec ses coordonnées personnelles pour recevoir les communications destinées au client et tenter de masquer la fraude.
			Elle observe que les données personnelles concernées sont proportionnées et pertinentes au regard de la finalité de lutte contre la fraude interne.
			La Commission constate que la société mère Barclays Bank PLC, se situe au Royaume–Uni. L’équipe Fraud analytics de cette société est en charge de l’administration et du développement du système informatique, tandis que la cellule investigation BARCLAYS BANK PLC est en charge du paramétrage et de la mise à jour des critères d’alertes.
Autorise, conformément à la présente délibération, BARCLAYS BANK PLC à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1797597)
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de la défense d’une demande d’autorisation préalablement à la mise en œuvre d’un dispositif d’alerte professionnelle par le contrôle général des armées du ministère de la défense ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération de la CNIL n° 2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle, telle que modifiée le 30 janvier 2014;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :