AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés,
Saisie par la Caisse d’épargne île de France  d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi et la gestion du pré contentieux et des contentieux civils, commerciaux et pénaux ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9-3°et 25-I-3°; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Caisse d’épargne île de France, ci-dessous dénommée CEIDF, membre du Groupe BPCE.  
Sur la finalité
Le traitement mis en œuvre vise la gestion du pré-contentieux et des contentieux civils, commerciaux et pénaux dans le cadre des relations de la banque avec ses clients d’une part et ses salariés d’autre part. 
Lorsque les clients se retrouvent en situation de contentieux et n’ont pas remboursé les sommes dues aux échéances prévues, une procédure de recouvrement est engagée. Par ailleurs, certains contentieux de l’agence portent sur des infractions pénales.
La Commission relève que ce traitement concerne plus précisément les sous finalités suivantes :
- la gestion des créances dans le cadre des procédures de recouvrement et de surendettement ;
- la gestion des déchéances de prêts et de comptes qui interviennent dans le cadre de la gestion des prêts voire du recouvrement ;
- la gestion des statuts et des états comptables pour le suivi et la gestion des procédures de recouvrement ;
La qualification et créations d’incidents bâlois ;
- l’état, le pilotage, le reporting et le suivi des procédures ;
- la gestion des risques, des plans d’apurement et de règlement.
La Commission estime que les finalités poursuivies sont déterminées, explicites et légitimes. 
Elle considère qu’il y a lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté.
Sur les données traitées
Les catégories de données traitées sont relatives :
à l’identité des personnes concernées : nom, prénom, adresse, date et lieu de naissance ;
à la vie personnelle : habitude de vie, situation familiale, situation maritale ;
à la situation professionnelle ;
aux informations d’ordre économique et financier : revenus et situation financière taux d’endettement), le  montant exigible, le montant à l’origine, le montant actualisé, le montant de la provision, le numéro de compte, le solde du compte et montant de la garantie ;
aux infractions, condamnations et mesures de sûretés ;
à l’état et au suivi de la procédure ;
aux données de connexion : identifiants des terminaux, identifiant de connexions, information d’horodatage.
Dans sa décision du 29 juillet 2004, le Conseil constitutionnel a déclaré non conforme à la Constitution l’article 9-3° qui permettait à une personne morale de droit privé, mandatée par d’autres personnes morales estimant avoir été victimes ou être susceptibles d’être victimes d’agissements passibles de sanctions pénales, de rassembler des données portant sur des infractions, condamnations ou mesures de sûreté, au motif de son caractère trop général et du manque de précision sur les garanties devant encadrer ce type de traitement. Pour autant, le Conseil constitutionnel a précisé que cette annulation ne saurait être interprétée comme « privant d’effectivité le droit d’exercer un recours juridictionnel dont dispose toute personne physique ou morale s’agissant des infractions dont elle a été victime ».
Cette réserve d’interprétation était indispensable pour ne pas priver de base légale les traitements légitimement mis en œuvre pour assurer le suivi des dossiers contentieux relatifs à des infractions. Elle permet à toute personne de constituer, pour les besoins de l’exercice de son droit au recours, des fichiers de pré- contentieux.
La Commission considère, compte tenu de la finalité poursuivie, que ces données sont pertinentes, adéquates et non excessives, conformément à l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les personnes destinataires du traitement sont :
- la direction adjointe recouvrement et contentieux ;
- le département risques ;
- l’organe central de BPCE,
- le RSSI pour les données de connexion ;
- les auxiliaires de justice ; 
- les assureurs (pour les dossiers sur lesquels elles interviennent) ;
- les organismes de caution ;
- les sous-traitants.
La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès 
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la banque sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention d’information qui figure dans les documents contractuels.
Les droits d’accès et de rectification s’exercent auprès du service relation client à l’adresse suivante : 26/28 rue neuve Tolbiac – CS 91344-75633 PARIS CEDEX 13.
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Les actions effectuées par la Direction juridique sont tracées afin de permettre de détecter et d’analyser tous les accès, modifications et suppressions de données non autorisés.
Seules ces personnes ont accès au logiciel de suivi et de gestion du pré-contentieux et du contentieux. Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application avec des profils d’habilitation et un contrôle d’accès logique qui se fait par mot de passe.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant la durée de la prescription légale.
La Commission considère que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Ces autres caractéristiques du traitement n’appellent pas d’observation particulière de la Commission.
Autorise, conformément à la présente délibération, Caisse d’épargne île de France  à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par LILLY FRANCE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la détection et la prévention de la corruption conformément aux législations anti-corruption américaine, britannique et française et en application des accords internationaux ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25.I.4 et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme. Marie-Hélène MITJAVILLE, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
LILLY FRANCE, entreprise de santé à dimension internationale au service des patients et des professionnels de santé.
Sur la finalité
La société LILLY FRANCE a saisi la Commission d’une demande d’autorisation sur la base de l’article 25-I-4 de la loi du 6 janvier 1978 modifiée qui prévoit que sont soumis à autorisation préalable les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire.
La convention de l’OCDE et celle des Nations Unies, les législations américaine du 20 décembre 1977 « Foreign Corupt Practices Act » (FCPA), britannique « UK Bribery Act » (UKBA) du 8 avril 2010 et française « Loi Sapin II » du 9 décembre 2016 ont entraîné l’introduction de pratiques de contrôles préalables dans les grandes entreprises pour leur activité internationale, tandis que des lois locales leur imposent des pratiques comparables pour leurs activités purement nationales. 
La société mère ELI LILLY & CO, cotée à la bourse de New-York (NYSE) est soumise au FCPA non seulement en ce qui concerne ses propres activités, mais aussi au titre des sociétés non américaines dans le monde entier avec lesquelles elle est affiliée.  
Le UKBA a également une application extraterritoriale par ses activités sur le territoire du Royaume-Uni. Enfin, l’ensemble du groupe est également soumis aux lois Sarbanes-Oxley (SOX) pour lesquelles la Security Exchange Commission (SEC) a un rôle de contrôle.
Enfin, l’article 17 de la Loi Sapin II impose aux « grandes » entreprises et à leurs dirigeants de mettre en place en interne huit mesures préventives anticorruption qui peuvent être classées selon trois catégories et objectifs différents et qui constituent le « plan anticorruption ».
La Commission relève que la société LILLY FRANCE, filiale d’une société américaine et pour laquelle une partie de ses activités sont établies au Royaume-Uni, peut faire l’objet d’amendes, de pénalités et de condamnations prononcées par le département de la justice américain (DOJ), la SEC (US) et les autorités judiciaires britanniques pour ne pas avoir mis en œuvre de moyens suffisants ou adéquates pour prévenir un acte de corruption.
Le renforcement des législations européenne, internationale et désormais françaises en matière de lutte contre la corruption, en particulier dans le cadre des relations avec des agents publics, ont conduit la société mère à mettre en place un système de détection et de prévention de la corruption applicable pour toutes les filiales du Groupe. 
Le traitement envisagé concerne les personnes suivantes : les fournisseurs, les prestataires et leurs dirigeants, les contacts et les personnes clés, les partenaires commerciaux, les clients, les relations d’affaires et les actionnaires propriétaires de plus de 15% du capital.
Le dispositif permet d’une part pour une transaction considérée à risque, c’est-à-dire l’intervention potentielle au nom de LILLY FRANCE d’un fournisseur auprès des agents publics ou équivalents, d’interroger le fournisseur :
sur ses liens existants avec des agents publics ou équivalents, 
sur la présence d’un agent public ou équivalent au sein de son organisation, 
ainsi que sur sa capacité à influencer des décisions concernant les produits LILLY FRANCE ou des autorisations relatives à l’activité de LILLY FRANCE.
Et d’autre part, d’identifier le risque présenté par la situation d’un fournisseur, d’un partenaire, ou d’une personne morale bénéficiaire d’un don ou d’une subvention.
Le système repose sur des questionnaires progressifs adaptés au risque encouru (Low, Medium, High).
Si les réponses au premier questionnaire font ressortir un risque de corruption, d’autres questionnaires plus approfondis sont utilisés de manière à apporter des précisions supplémentaires nécessaires à l’évaluation du risque de corruption (Medium, High).
Le formulaire « securimate » permet via une recherche externe auprès de sources publiques, par exemple les listes du bureau de l’industrie et de la sécurité des Etats-Unis, de prendre connaissance de l’implication du fournisseur / partenaire dans des actes de corruption. En fonction des réponses aux questionnaires, il peut être mis à jour des points de vigilance particuliers (dits « Red Flags ») à prendre en compte de manière à assurer une protection contre le risque de corruption. 
Les niveaux de risque évalués prennent notamment en compte le classement du pays concerné tel qu’évalué par Transparency International (Corruption Perception Index). Le score détermine les 3 niveaux de risque ainsi que les dispositions préventives à envisager (par exemple : clauses contractuelles additionnelles, formations, plan de suivi de certaines obligations du prestataire ou partenaire). 
La Commission observe que l’outil n’est qu’une aide à la décision et que par conséquent, aucune décision de refus d’entrée en relation avec l’entité ne sera prise sur la seule base des informations recueillies par le biais de l’outil utilisé, quel que soit le score calculé. Une analyse individuelle permet de lever les cas d’homonymie et évalue la nécessité de collecte potentielle d’informations complémentaires est réalisée.
La Commission estime que le traitement répond à l’intérêt légitime du responsable du traitement conformément à l’article 7-5° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Dans le cadre de la procédure de vérification préalable d’intégrité du partenaire commercial, la société LILLY FRANCE collecte les données suivantes portant sur des contacts professionnels, des dirigeants ou des actionnaires principaux :
Données d’identification : nom, prénom, genre , adresse postale et électronique,  date et lieu de naissance, nationalité.
Données liées à la vie professionnelle : 
liens avec un gouvernement, avec des entités publique, avec des organisations à but non lucratif ou avec des fonctionnaires ; 
intérêts dans l’entreprise LILLY FRANCE ou influence sur le devenir des produits et/ou activités.
Pourcentage du capital de l’entreprise pour les actionnaires significatifs (>15%).
Informations d’ordre économique et financier :
solvabilité ;
références bancaires ;
existence d’un embargo ; 
informations relatives aux précédentes interactions avec le partenaire. 
Données de connexion : identifiants de connexion et informations d’horodatage afin de tracer les logs de connexion à l’outil.
La Commission relève que le questionnaire mentionne également le fait pour une personne d’avoir une représentation officielle ou d’exercer une mission officielle pour un parti politique, sans toutefois, préciser son identité.
Dans le cadre d’un Red flag, la fonction rendue publique par la personne pourra être collectée au travers des recherches complémentaires.
S’agissant des questionnaires « securimate » correspondant à l’identification d’un risque, les données collectées sont les suivantes :
les données d’identification des membres du directoire et des principaux contacts professionnels devant intervenir dans le cadre de la prestation ;
la réputation de la société (contentieux lié à la corruption) ;
l’historique et le type de relation (consultant, distributeur, partenaire de co-entreprise, dépositaire, sous-traitants, fournisseur, autre) de la société avec le groupe LILLY ;
les relations de la société avec des services officiels ou gouvernementaux.
La collecte de données personnelles est limitée aux seules données nécessaires pour permettre l’évaluation du risque de corruption. 
La mention suivante figure sur les questionnaires avant toute zone à texte : « Notez uniquement les informations objectives et fiables et seulement si c’est nécessaire ; ne notez aucune information relative à des infractions ou condamnations concernant des personnes physiques ».
Seuls des liens vers des informations déjà rendues publiques ou des coupures de presse seront inclus dans les rapports afin de permettre de justifier auprès des autorités des investigations menées dans le cadre de la procédure « securimate ». 
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
Les opérations seront supervisées par le Directeur Ethique et Compliance de la société LILLY FRANCE. Avec l’aide de son équipe, il assure le déploiement et la bonne application des règles au niveau local.
Chaque teneur de compte (commercial, acheteur) n’accède qu’aux questionnaires relatifs à son portefeuille.
Les personnes destinataires des données sont les membres de l’équipe dirigée par le Directeur Ethique et compliance en France et aux Etats Unis (groupe spécialisé dans le traitement des sujets anticorruption), à titre exceptionnel les départements juridiques ainsi que les services d’audit.
Il existe une cellule dédiée composée de personnels spécialisés au sein de la maison-mère américaine ayant accès aux données des questionnaires. Le transfert est encadré par des clauses contractuelles types élaborées par la Commission Européenne. 
Auront également accès aux données, les services Ethique et Compliance des autres entités du groupe pour les seuls partenaires commerciaux communs et pour les seules données relatives aux résultats de l’évaluation d’intégrité.
La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données traitées.
Sur l’information et le droit d’accès 
Les contrats commerciaux concernés comportent un article spécifique qui mentionne l’existence du programme de lutte contre la corruption.
Les questionnaires soumis aux partenaires commerciaux comportent une mention d’information relative aux droits des personnes.
Un contact et une adresse email dédiés seront mis en place de manière à permettre aux personnes concernées de mettre à jour leurs données, de les corriger ou d’en obtenir une copie.
Les personnes concernées pourront exercer leurs droits d’accès, de rectification et d’opposition auprès du service Ethique et compliance à l’adresse suivante : CS 50004 24 Boulevard vital bouhot / 92521 NEUILLY SUR SEINE CEDEX ou par courrier électronique suivante : contact-cnil@lilly.com
Sur les mesures de sécurité
Des mesures de sécurité sont prises afin de préserver la sécurité et la confidentialité des données et, notamment, empêcher que des tiers non autorisés y aient accès. Les accès au système d’information et les opérations effectuées sur les supports d’enregistrement des données sont tracées.
Les mesures de sécurité envisagées n’appellent pas d’observations particulières.
Sur les autres caractéristiques du traitement
Les données issues des questionnaires et des documents générés par la procédure de vérification sont conservés pour une durée de 3 ans après la finalisation du processus d’évaluation de l’intégrité, et le cas échéant de la clôture des dossiers comportant un risque particulier (« red flags »). 
La Commission relève que cette durée correspond à celle pendant laquelle la vérification d’un partenaire est considérée comme valable.
Les données seront ensuite archivées pendant 7 ans pour pouvoir justifier des diligences auprès des autorités, notamment dans le cadre de procédures judiciaires. Elles seront alors d’accès très limité. 
Autorise, conformément à la présente délibération, LILLY FRANCE à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par le Crédit agricole SA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité de détecter des opérations susceptibles de constituer des abus de marché ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le règlement (UE) n° 596/2014 du Parlement Européen et du Conseil du 16 avril 2014, notamment son article 16 ;
Vu le règlement délégué (UE) n°2016/957 de la Commission du 9 mars 2016, notamment son article 2 ;
Vu l’article 2.3 du règlement d’exécution (UE) n°2016/347 de la Commission du 10 mars 2016 ;
Vu le code monétaire et financier, notamment l’article L.511-34 relatif à la communication d’informations au sein d’un groupe ;
Vu le code monétaire et financier, notamment ses articles L.621-15 et L.621-17-2 à L. 621-7-7 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.4 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 3 novembre 2014 relatif au contrôle interne des entreprises du secteur de la banque, des services de paiement et des services d’investissement soumises au contrôle de l’Autorité de contrôle prudentiel et de résolution ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Crédit agricole SA est la société mère du Groupe Crédit agricole qui est un réseau français de banques coopératives et mutualistes composé des caisses régionales du Crédit agricole. Le responsable de traitement est un groupe bancaire généraliste et international coté au Premier marché d'Euronext Paris et fait partie de l'indice CAC 40.
Sur la finalité
Le Crédit agricole SA a saisi la Commission d’une demande d’autorisation d’un traitement automatisé de données à caractère personnel ayant pour finalité de détecter des opérations susceptibles de constituer des abus de marché.
Le traitement concerne les opérations de transactions sur les instruments financiers réalisées d’une part, par ou pour des clients du réseau banque de détail France du groupe Crédit agricole et, d’autre part, les opérations du Crédit agricole SA pour son propre compte.  
Les opérations détectées par le traitement et susceptibles de constituer des abus de marché, doivent, le cas échéant après la collecte de renseignements complémentaires, donner lieu à l’envoi d’une déclaration de soupçon à l’Autorité des Marchés Financiers (AMF).
L’identification de telles opérations peut conduire l’établissement bancaire à souhaiter, pour des raisons de prudence, rompre toute relation contractuelle avec certains des clients. Ce traitement peut ainsi, du fait de sa portée, conduire à l’exclusion de personnes du bénéfice d’un contrat en l’absence de toutes dispositions légales ou réglementaires le prévoyant.
Dès lors, ce traitement relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit à ce titre être autorisé par la CNIL.
Le traitement est mis en œuvre pour répondre aux exigences des articles L. 621-17-2 à L. 621-17-7 du code monétaire et financier ainsi qu’aux articles 315-42 a 315-44 du livre III du règlement général de l’autorité des marchés financiers relatif aux déclarations d’opérations suspectes et aux dispositions du règlement (UE) n° 596/2014 du Parlement européen et du Conseil du 16 avril 2014.
Il convient de distinguer deux hypothèses :