AgentPublic/cnil huggingface dataset:
Sur la durée de conservation des données :Aux termes du projet d'article 4 de l'arrêté modifié, l'ensemble des données à caractère personnel seront conservées dans le traitement pendant  une durée maximale de dix ans .Cette durée correspond à la durée maximale du droit de reprise de l'administration fiscale, qui peut s'exercer, pour le cas d'activité occulte, jusqu'à la fin de la dixième année qui suit celle au titre de laquelle l'imposition est due ou au titre de laquelle la taxe est devenue exigible.Si la commission relève que ce droit de reprise s'exerce dans la majorité des situations dans des délais plus resserrés, elle estime qu'une telle durée de conservation des données pourrait être adaptée au regard de la finalité de modélisation des comportements frauduleux poursuivie par le traitement, qui nécessite de disposer d'un historique détaillé et d'une certaine profondeur de données.Néanmoins, elle estime qu'une telle durée maximale doit être adaptée, à l'instar des catégories de données traitées, en fonction des types de fraude en cause, afin de se conformer aux dispositions de l'article 6-5° de la loi du 6 janvier 1978 modifiée. Ainsi, des travaux doivent être menés par le responsable de traitement afin de préciser, au fur et à mesure de la mise en œuvre de CFVR, le fonctionnement du dispositif en termes de masse de données traitées (organiser la suppression des éléments permettant l'identification des personnes concernées qui ne sont plus strictement utiles), de
durées et de modalités de conservation des différentes catégories de données (organiser des bases d'archivage intermédiaire) et de consultation desdites données (en distinguant l'exploitation de celles-ci par la mission  Requêtes et Valorisation  aux fins de modélisation, de celle des destinataires des résultats du traitement).De même, des durées de conservation ou de consultation modulées en fonction des situations en cause (fraudes avérées ou simple historique des données) devraient être mises en œuvre, dans la mesure où la finalité du traitement CFVR est d'améliorer le ciblage des situations à contrôler.Des précisions sur ces points devront donc être fournies dans le cadre des bilans de mise en œuvre du traitement et ces éléments feront l'objet d'un examen particulier de la commission dans le cadre de la future généralisation du dispositif.
Sur les destinataires des données :L'article 5 de l'arrêté du 21 février 2014 en vigueur n'est pas modifié par le présent projet d'arrêté. Il prévoit que  les informations traitées sont consultables sur un serveur de la direction générale des finances publiques par les personnels habilités de la mission "Requêtes et valorisation" , chargés de la mise en œuvre du traitement. Il précise également que seuls les agents des services de la DGFiP chargés de la recherche et du contrôle fiscal sont destinataires des résultats obtenus par la mission  Requêtes et Valorisation .Au regard de l'ampleur du traitement, la commission estime que la limitation du nombre de personnels habilités à accéder, directement ou indirectement, aux données qui y sont enregistrées constitue une garantie forte du respect de la protection des données des personnes concernées.Elle prend dès lors acte que, à sa demande, le projet d'arrêté sera complété afin de préciser que seuls les agents des services chargés du contrôle fiscal territorialement compétents sont rendus destinataires, par la mission  Requêtes et Valorisation , des données personnelles strictement utiles à leur mission et conformément au principe du besoin d'en connaître. A cet égard, la commission rappelle que ces agents accèdent, au travers d'une fonctionnalité de requête limitée au numéro SIREN, aux seules données qui sont mises à leur disposition par la mission  Requêtes et Valorisation , et non à l'ensemble des données traitées par CFVR.
Sur les droits des personnes concernées :L'article 6 de l'arrêté du 21 février 2014 en vigueur est consacré aux droits des personnes concernées par le traitement. En application du VI de l'article 32 de la loi du 6 janvier 1978 modifiée, le droit d'information ne s'applique pas à ce traitement. Conformément à l'article 38 de la même loi, le droit d'opposition est également écarté. L'arrêté prévoit enfin que les droits d'accès et de rectification s'exercent de manière indirecte, par l'intermédiaire de la commission, dans les conditions prévues par les articles 41 et 42 de la loi  informatique et libertés .De telles modalités sont autorisées par les dispositions de la loi du 6 janvier 1978 modifiée s'agissant d'un traitement ayant notamment pour objet la prévention, la recherche, la constatation ou la poursuite d'infractions pénales.Si l'absence de droit d'opposition des personnes n'appelle pas d'observation de la part de la commission, elle considère néanmoins qu'une information pourrait utilement être assurée sans remettre en cause les finalités du traitement CFVR. En effet, une information générale, assurée en amont, dans le cadre de la collecte initiale des données enregistrées par la suite dans le traitement CFVR, et visant uniquement à informer les personnes concernées d'une utilisation de ces données à des fins de lutte contre la fraude fiscale, permettrait une certaine transparence, que la commission estime essentielle en matière de traitement de lutte contre la fraude
et, plus généralement, de datamining. Elle prend dès lors acte de l'engagement du ministère à assurer une telle information.En ce qui concerne le droit d'accès aux données, la commission estime qu'au regard de l'ampleur du dispositif et de son caractère innovant, il ne paraît pas opportun de maintenir un droit d'accès indirect aux données traitées par CFVR. Elle relève en outre que les données qui y figurent sont issues de traitements de données mis en œuvre par l'administration fiscale et pour lesquels les droits d'accès et de rectification s'exercent directement par les personnes concernées. Elle rappelle enfin qu'un droit d'accès direct aux données n'interdit pas, par principe, l'établissement de mesures conservatoires.Néanmoins, dans la mesure où les dispositions des articles 41 et 42 de la loi précitée peuvent être applicables au dispositif, elle considère que ce point particulier pourra faire l'objet d'un réexamen dans le cadre de l'éventuelle généralisation.En tout état de cause, elle rappelle que les dispositions de l'article 39 (I, 5°) de la loi  informatique et libertés  permettent aux personnes concernées d'interroger le responsable de traitement en vue d'obtenir, y compris en cas de droit d'accès indirect, les informations  permettant de connaître et de contester la logique qui sous-tend le traitement automatisé de données .Enfin, la commission rappelle que les dispositions du LPF imposent à l'administration fiscale, en cas de vérification, de contrôle ou de
sanction en matière fiscale faisant notamment suite aux indicateurs produits par le traitement CFVR, dans les délais et les conditions prévus par ledit code, d'informer les personnes concernées des éléments en possession de l'administration et de leur donner accès à ces derniers.
Sur la sécurité des données :La commission estime que la dimension importante du traitement projeté, la nature des données traitées ainsi que la volonté d'automatiser la détection de la fraude sont de nature à accroître les risques en termes d'atteinte à la vie privée des personnes concernées. Les mesures de sécurité et de confidentialité des données sont dès lors d'une extrême importance dans le traitement CFVR, qui doit être entouré de mesures strictes et rigoureuses.
A cet égard, la commission relève que des profils d'habilitation stricts pour accéder au traitement ont été définis et que l'authentification des utilisateurs est basée sur des mots de passe dont la complexité est conforme aux préconisations de la CNIL. Elle relève également que les échanges de données sont réalisés au moyen de canaux sécurisés et, notamment, que les données transmises sont chiffrées.Elle relève en outre qu'une fonctionnalité de journalisation des opérations de consultation, création, mise à jour et suppression a été définie, étant précisé que les données journalisées ne seront pas conservées plus d'une année. La commission insiste sur la nécessité d'assurer une telle traçabilité et d'exploiter régulièrement les données qui en sont issues, afin d'éviter tout détournement de finalité du traitement. A cet égard, elle prend acte que, à sa demande, les données de connexion des destinataires des résultats du traitement (les agents des services chargés de la recherche et du contrôle fiscal) feront également l'objet d'une traçabilité et que le projet d'arrêté sera complété sur ce point.Au regard de ces éléments, les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. La commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
 
La présidente,
I. Falque Pierrotin
(Demande d’autorisation n° 1866027)
La Commission nationale de l'informatique et des libertés,
Saisie par la Banque Populaire Provençale et Corse d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l’identité ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L. 561-5 et R. 561-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.4 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Banque Populaire Provençale et Corse, ci-après dénommée la Banque Populaire.
Sur la finalité
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la banque sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention sur internet ainsi que dans la convention de compte du client. Cette mention rappelle en outre que les droits d’accès et de rectification s’exercent auprès du service réclamations clients – déclaration CNIL, à l’adresse suivante : 247, avenue du Prado CS 90025 -13295 Marseille cedex 08. La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
S’il n’existe pas de journalisation détaillée des activités sur l’application, un journal d’accès global des collaborateurs de la Banque Populaire aux serveurs CTMS est cependant mis en œuvre.Seules les personnes habilitées ont accès à l’application CTMS. Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application avec des profils d’habilitation et un contrôle d’accès logique. Ce mécanisme est actuellement basé sur un identifiant et un mot de passe de 8 caractères comprenant au moins trois des quatre types (minuscules, majuscules, chiffres, caractères spéciaux). Ce dernier doit être renouvelé tous les 41 jours. En cas de réponse positive, c’est-à-dire si le document d’identité n’est pas validé, ou dans le cas inverse, la réponse est conservée dans le dossier réglementaire du client afin de s’assurer que le contrôle d’identité a bien été réalisé par le collaborateur. La Banque Populaire s’est engagée à ce que cet élément bénéficie du même niveau de protection que les copies des pièces d’identité actuellement conservées conformément aux dispositions de l’article L561.12 du Code monétaire et financier.Les mesures de sécurité mises en place n’appellent pas d’observation.
Sur les autres caractéristiques du traitement
Autorise, conformément à la présente délibération, la Banque Populaire Provençale et Corse à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1867503)
La Commission nationale de l'informatique et des libertés,
Saisie par la Banque Populaire du Sud d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l’identité ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L. 561-5 et R. 561-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.4 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Banque Populaire du Sud, ci-après dénommée la Banque Populaire.
Sur la finalité
Les catégories de données traitées sont relatives : - à l’identité des personnes concernées : le nom, le(s) prénom(s), le sexe, la date et lieu de naissance,- aux documents d’identité : le numéro de document, le numéro de la pièce d’identité, la date d’expiration, les 6 derniers caractères de la bande MRZ de la pièce d’identité et la bande MRZ figurant en bas des documents d’identité.La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente, adéquate et non excessive au sens de l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les personnes destinataires du traitement et habilitées à avoir accès aux informations sont :- le réseau commercial,- le service sécurité financière.Les informations sont transmises sur un serveur hébergé par la société CTMS (Contrôle des échanges et Traitement physique des Monnaies-Sécurité), prestataire de service de la banque populaire.La liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la banque sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention sur internet ainsi que dans la convention de compte du client. Cette mention rappelle en outre que les droits d’accès et de rectification s’exercent auprès du service contrôle permanent et conformité à l’adresse suivante : 10, place de la salamandre – 30000 NIMES, ou à l’adresse électronique suivante : departementcontroleconformite@sud.banquepopulaire.frLa Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Autorise, conformément à la présente délibération, la Banque Populaire du Sud à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1824977)
La Commission nationale de l'informatique et des libertés,
Saisie par BARCLAYS PATRIMOINE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte conter la fraude interne des salariés ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment son article L.519-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
BARCLAYS PATRIMOINE, filiale de BARCLAYS BANK PLC la succursale française de la société mère BARCLAYS BANK PLC (UK) située au Royaume-Uni.
Sur la finalité
Le dispositif envisagé est un outil commun au niveau du groupe BARCLAYS garantissant une harmonisation des règles et procédures des traitements de lutte contre la fraude interne. Le système ne peut pas être modifié par l’établissement bancaire adhérant au dispositif. 
Le système fonctionne sur la base de requêtes permettant la détection des fraudes à partir d’une liste de critères, préalablement déterminés par l’établissement en fonction de certains paramètres et seuils. Cette liste met en exergue les alertes portant sur les opérations réalisées sur les comptes de l’ensemble des clients de BARCLAYS PATRIMOINE. 
Les alertes sont déclenchées sur la base des opérations financières ou administratives réalisées par le collaborateur sur le compte bancaire des clients. Les mouvements atypiques opérés par le personnel de la banque ayant accès aux comptes bancaires des clients génèrent des alertes. Ces alertes sont analysées par les personnes en charge de la lutte contre la fraude interne et la cellule investigation si nécessaire.
Ainsi, conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, chaque alerte fait l’objet d’une analyse spécifique et au cas par cas afin d’évaluer sa pertinence et de procéder à des investigations supplémentaires.
La Commission relève qu’il n’existe pas d’analyse systématique de l’ensemble des données du compte bancaire des clients. L’analyse porte uniquement sur une opération bancaire réalisée par le personnel de la banque sur le compte d’un client, qui aura été détectée par le dispositif comme étant une opération atypique.
Les requêtes présentent les garanties suivantes :
l’analyse du système porte uniquement sur des opérations bancaires et non sur des comportements ou profils d’individus ;
les opérations bancaires anormales sont détectées via un système de « requêtes»  basées sur des critères de recherche issus de scénarii de fraude connus ;
seules les opérations anormales/atypiques font l’objet d’une alerte ;
aucune requête n’utilise de données qui ne seraient pas utiles à la détection ou à l’analyse ;
aucune requête n’utilise de donnée sensible, biométrique, génétique, d’infraction, de condamnation, de mesure de sûreté ni le numéro de sécurité sociale, ou d’appréciation sur les difficultés sociales des personnes ;
les données utilisées pour les requêtes servent soit à la sélection des alertes, soit à leur analyse par la cellule investigation du service fraude pour qualification ;
aucune décision n’est prise à l’égard d’un employé sur la seule base d’une alerte ;
les services ayant accès aux données du système sont limités et définis eu égard à leur rôle dans la lutte contre la fraude interne ;
le traitement ne permet pas d’alimenter une « liste noire » de personnes suspectées d’avoir commis ou tenté de commettre une fraude. 
La Commission estime que les finalités poursuivies sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée.   
En cas de fraude avérée d’un collaborateur, la Direction des ressources humaines de la banque peut décider de prendre des mesures disciplinaires à l’encontre du salarié et notamment la rupture de son contrat de travail. Dans la mesure où ce traitement est susceptible d’exclure des personnes du bénéfice d’un contrat, la Commission considère qu’il y a lieu de faire application des dispositions de l’article 25.I.4° de la loi du 6 janvier 1978 modifiée. 
Outre les mesures de sanctions pouvant être initiées par les Directions compétentes, la banque peut déposer plainte à l’encontre du salarié mis en cause.
Sur les données traitées
Le processus de détection de la fraude repose sur les données issues des systèmes d’information au moyen de requêtes portant sur les données suivantes :
données d’identification du client : numéro du client, nom, prénom, date de naissance, adresse e-mail, numéro de téléphone (fixe et mobile), indicateur si le client a quitté la banque, statut juridique, segment de clientèle, décédé (oui/non), date de décès, Type de domiciliation relevé, fréquence envoi relevé, absence relevé, date entrée en relation, procuration (oui/non), lien interpersonne, nombre de personnes dans la relation bancaire (RB), nombre de comptes dans la RB, existence de mandats ;
données d’identification du mandataire : numéro de personne, (Oui/Non) si le mandataire est le gestionnaire ;
données de compte : numéro de compte, type de compte, solde, solde avant clôture, solde avant opération, produit ;
données relatives au collaborateur gestionnaire : nom, prénom, identifiant, adresse du collaborateur en tant que client de la banque, numéro d’agence, numéro de téléphone (fixe, mobile pro ou personnel), adresse e-mail (pro et personnelle si disponible), numéro du compte bancaire sur lequel la paie est versée, date de début en fin du contrat, fonction, poste ;
données relatives à la contrepartie : EDS (élément de structure-domiciliation client / collaborateur), numéro de compte, type de compte ;
données relatives au collaborateur qui réalise les opérations : dernière opération, nom, prénom, EDS ;
données relatives aux opérations sur données administratives : date de dernière modification, heure de l’opération, date de 1ère modification, valeur avant et après, élément modifié, date de saisie du décès, nombre de jours entre date de décès et date de saisie ;
données d’identification du client : numéro du client, nom, prénom, date de naissance, adresse e-mail, numéro de téléphone (fixe et mobile), indicateur si le client a quitté la banque, statut juridique, segment de clientèle, décédé (oui/non), date de décès, Type de domiciliation relevé, fréquence envoi relevé, absence relevé, date entrée en relation, procuration (oui/non), lien interpersonne, nombre de personnes dans la relation bancaire (RB), nombre de comptes dans la RB, existence de mandats ;
données d’identification du mandataire : numéro de personne, (Oui/Non) si le mandataire est le gestionnaire ;
données de compte : numéro de compte, type de compte, solde, solde avant clôture, solde avant opération, produit ;
données relatives au collaborateur gestionnaire : nom, prénom, identifiant, adresse du collaborateur en tant que client de la banque, numéro d’agence, numéro de téléphone (fixe, mobile pro ou personnel), adresse e-mail (pro et personnelle si disponible), numéro du compte bancaire sur lequel la paie est versée, date de début en fin du contrat, fonction, poste ;
données relatives à la contrepartie : EDS (élément de structure-domiciliation client / collaborateur), numéro de compte, type de compte ;