AgentPublic/cnil huggingface dataset:
Les caisses des règlements pécuniaires des avocats, ci-après  CARPA , organisées en association loi 1901, relèvent de la loi n° 71-1130 du 31 décembre 1971 complétée par des textes ultérieurs de nature législative et réglementaire. Ce sont des organismes intraprofessionnels de sécurisation des opérations de maniements financiers réalisées par les avocats qui en sont membres. La profession compte, à ce jour, 130 CARPA regroupant la totalité des 164 barreaux de France.L'Union nationale des CARPA (ci-après  l'UNCA ) fédère les CARPA de France en leur apportant les moyens techniques et informatiques permettant d'assurer les missions légales qui leur incombent au titre des maniements des fonds réalisés par les avocats, mais aussi au titre des missions d'aide juridictionnelle. En l'espèce, l'UNCA met à disposition une fonction d'interface au sein du logiciel métier utilisé par les CARPA dans la gestion administrative des maniements de fonds permettant d'automatiser certaines opérations de vérification.Chaque avocat exerçant en France dispose d'un compte ouvert dans les livres de la CARPA instituée par le barreau près duquel il est inscrit. Il doit obligatoirement, et sans délai, y déposer l'argent qu'il reçoit pour le compte de ses clients ou un tiers, dès lors que ces fonds sont accessoires à un acte professionnel, judiciaire ou juridique, et ce quel que soit l'instrument du paiement.Les fonds ainsi déposés auprès des CARPA sont placés auprès de la Caisse des dépôts et
consignations ou de tout autre établissement bancaire et ne peuvent être retirés par l'avocat qu'après un contrôle effectué par le service compétent de la CARPA qui établit, au terme d'un processus de vérification prévu réglementairement, un paiement au profit du bénéficiaire des fonds sur la demande de l'avocat gestionnaire du dossier.Les CARPA, du fait de leurs missions, participent de facto, et à un premier niveau, à la prévention et à la lutte contre le blanchiment de capitaux et le financement du terrorisme, sans pour autant faire partie des personnes visées par les articles L. 561-2 ( personnes assujetties ) et L. 561-30 du code monétaire et financier (CMF), auxquelles il incombe notamment de faire des déclarations de soupçon à la cellule de renseignements financiers (TRACFIN).L'identification d'opérations résultant notamment de la fraude ou du blanchiment, sur la base de critères intégrés dans les traitements automatisés des CARPA, peut conduire ces dernières à refuser les opérations suscitant un doute.Les mécanismes de contrôle au sein de chaque CARPA constituent une protection pour l'ensemble des parties et contribuent à la conformité et à la sécurisation des fonds, en réponse aux exigences des autorités de régulation.Les exigences accrues de vigilance et de surveillance souhaitées par les pouvoirs publics dans le domaine de maniement des fonds conduisent les CARPA à renforcer les procédures pour assurer un meilleur contrôle qualitatif des données pour ce qui
concerne les parties d'un dossier gérées par un avocat. Dans ce cadre, l'UNCA souhaite déployer au niveau national, pour le compte des CARPA, quelle que soit leur taille, un dispositif informatisé d'aide à la décision qui permettra aux CARPA de faire face à la complexité des opérations de maniement des fonds à laquelle elles sont confrontées.Il est dès lors apparu nécessaire de renforcer l'approche par les risques en accédant à des moyens de détection et de contrôle intégrant des sources de données et des moyens de traitement traditionnellement utilisés par les organismes assujettis à la lutte contre le blanchiment et le financement du terrorisme et dans le domaine des sanctions financières internationales, qui interdisent la réalisation de certaines opérations sur la base de critères déterminés.L'identification d'opérations résultant notamment de la fraude ou du blanchiment, sur la base de critères intégrés dans les traitements automatisés de la CARPA, peut conduire cette dernière à refuser les opérations suscitant un doute.Ces traitements peuvent ainsi, du fait de leur portée, conduire à l'exclusion de personnes du bénéfice d'un contrat ou d'une prestation. Dès lors, Ils relèvent du 4° du I de l'article 25 de la loi du 6 janvier 1978 modifiée et doivent faire l'objet d'une demande d'autorisation.En vertu de l'article 25-II de la loi du 6 janvier 1978 modifiée, la commission peut autoriser par une décision unique une catégorie de traitements qui répondent aux mêmes
finalités, portent sur des catégories de données identiques et ont les mêmes destinataires ou catégories de destinataires.Dans ces conditions, la commission décide que les CARPA qui lui adressent une déclaration comportant un engagement de conformité pour leurs traitements de données à caractère personnel répondant aux conditions fixées par la présente autorisation unique, sont autorisés à les mettre en œuvre.Tout traitement de données à caractère personnel qui excède le cadre ou les exigences définis par la présente autorisation unique doit, en revanche, faire l'objet d'une formalité spécifique.
Sur la finalité du traitement :L'article 8 de l'arrêté du 5 juillet 1996 impose aux CARPA de contrôler les opérations réalisées par les avocats, en ce qui concerne notamment la provenance des fonds crédités, l'identité du bénéficiaire des règlements, la justification du lien entre les règlements pécuniaires des avocats et les actes juridiques ou judiciaires accomplis par ceux-ci dans le cadre de leur activité professionnelle.Seuls peuvent faire l'objet d'un engagement de conformité par référence à la présente autorisation unique les traitements mis en œuvre par la CARPA ayant les finalités suivantes :
- analyser et déterminer le niveau de risque propre à chaque opération de maniement des fonds ;- mettre en place une surveillance adaptée visant à détecter les opérations portant sur des sommes dont elle sait, soupçonne ou a de bonnes raisons de soupçonner qu'elles proviennent d'une infraction passible d'une peine privative de liberté supérieure à un an ou participent au financement du terrorisme ;- s'assurer du respect des éventuelles mesures relatives aux sanctions financières nationales et internationales d'embargo et de gel des avoirs en vigueur ;- procéder aux vérifications complémentaires nécessaires.
Un dispositif centralisé de traitement de données au sein de l'infrastructure informatique de l'UNCA est réalisé et permet d'automatiser certaines opérations de vérification sur la base de requêtes émises par la CARPA. A ce titre, est mis en œuvre un système automatisé de traitement des requêtes par voie de corrélations et de confrontation de données issues des dossiers instruits par la CARPA avec celles provenant de bases de données externes, afin d'identifier des opérations anormales qui échapperaient à un contrôle strictement manuel en lien avec les remettants ou les bénéficiaires concernés par un maniement de fonds.A ce titre, l'UNCA a recours à un ou plusieurs éditeurs spécialisés de bases documentaires mises à jour en permanence et portant sur :
- l'identification des personnes qui doivent faire l'objet de mesures de vigilance complémentaires en tant que personnes politiquement exposées (PPE). La base documentaire ne comporte que les informations relatives à des relations d'affaires qui sont susceptibles d'être qualifiées de PPE au sens de l'article R. 561-18 du CMF et des personnes susceptibles de faire l'objet de mesures de vigilance renforcée ;- l'identification des personnes d'intérêt particulier (Special Interest People) ;- la consultation de listes de sanctions et autres listes officielles émises par des autorités publiques ;- l'outil de requête et de corrélation d'informations permet à la CARPA, pour chaque maniement de fonds, de confronter de manière automatisée les informations communiquées par l'avocat avec celles qui figurent dans la base documentaire afin de faire remonter une éventuelle alerte sur une opération suspecte.
Toutes précautions doivent être prises pour exclure toute possibilité de consultation d'informations autres que celles strictement nécessaires à la finalité poursuivie.Les éléments d'information utilisés par le ou les éditeurs procèdent de sources officielles nationales et internationales, des décisions de justice ou d'autorités publiques.La commission considère que sont légitimes les vérifications portant sur les seules listes appliquées en France et en Europe ou qui trouvent dans les résolutions adoptées par l'ONU en la matière, une base juridique pouvant justifier leur portée extraterritoriale, dès lors que l'organisme participe à la lutte contre le blanchiment de capitaux et le financement du terrorisme. A ce titre, l'outil fourni par l'UNCA dispose d'un système de filtre permettant de limiter les informations transmises en retour à la CARPA aux seules informations pertinentes en lien avec les finalités poursuivies.Les informations en provenance de la CARPA sont cloisonnées avec impossibilité pour l'UNCA de réaliser des traitements croisés de données.Conformément à l'article 10 de la loi du 6 janvier 1978 modifiée, aucune décision de refus ne peut être prise sur la base des seuls éléments d'information recueillis par le biais de l'outil utilisé, qui devront faire l'objet d'un examen individuel, permettant notamment de lever les cas d'homonymies, après collecte, le cas échéant, d'informations complémentaires adaptées au niveau du risque identifié en fonction des
opérations effectuées. Dès lors, les traitements seront réalisés selon une logique d'aide à la décision sous le contrôle des agents habilités de la CARPA.La Commission estime que les finalités poursuivies sont déterminées, explicites et légitimes, conformément aux dispositions de l'article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur la nature des données traitées :Conformément à l'article 6-3° de la loi Informatique et Libertés, les données traitées doivent être pertinentes, adéquates et non excessives au regard des finalités du traitement.Dans le cadre du présent traitement, la CARPA dispose de deux sources d'informations : celles issues des données déclarées par l'avocat sur le formulaire CARPA accessible via son compte individuel  maniements de fonds  et celles issues des sources documentaires du prestataire de service.Les catégories de données à caractère personnel qui peuvent être traitées par la CARPA portent sur les informations suivantes :
- données d'identification et coordonnées de l'avocat ;- données d'identification du client et de toutes parties concernées (adversaires, avocats adverses, tiers concernés par l'opération financière) ;- données d'ordre économique et financier ;- vie personnelle (nature de l'affaire : vente immobilière, responsabilité, droit de la famille, droit du travail, etc. ; lien de parenté avec une PPE) ;- situation professionnelle (pour les PPE).
Les données non pertinentes que les sources documentaires fournies sont susceptibles de comporter, ne doivent faire l'objet d'aucun traitement.La Commission considère que ces catégories de données sont pertinentes au regard de la finalité poursuivie.Sur la durée de conservation des données :L'article 6-5° de la loi du 6 janvier 1978 modifiée dispose que les données permettant l'identification des personnes concernées sont conservées pendant une durée qui n'excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées.La CARPA conserve les alertes résultant du traitement de requête et de corrélation pendant un délai maximum de 5 jours ouvrés, délai permettant à la CARPA de décider de valider ou de rejeter le maniement de fonds concerné.Les données déclarées par les avocats dans le cadre des missions de la CARPA sont conservées le temps nécessaire à la réalisation et à la gestion de l'opération pendant une durée maximale de deux ans.Sur les destinataires des données :Seuls les agents habilités de la CARPA et de l'UNCA sont destinataires des données traitées. Ils sont statutairement soumis au secret professionnel et tenus par des clauses de confidentialité.Sur l'information des personnes :Le client est informé par son avocat que, pour répondre à ses obligations de validation des maniements de fonds, la CARPA concernée met en œuvre un traitement spécifique ayant pour finalité de vérifier l'existence éventuelle de manquements aux exigences liées à
la lutte contre la fraude, le blanchiment de capitaux et le financement du terrorisme.En cas de rejet d'une opération, l'avocat est informé des raisons ayant conduit la CARPA concernée à rejeter cette opération.Il appartient à l'avocat, en sa qualité d'assujetti, de décider s'il y a lieu d'engager la procédure de déclaration de soupçon à la cellule TRACFIN et/ou d'informer le client des raisons du rejet, dans le respect de la réglementation et des mécanismes spécifiques qui s'appliquent à sa profession.
Sur les droits d'accès, de rectification et d'opposition des personnes :Les personnes physiques concernées par un maniement de fonds peuvent exercer leurs droits d'accès, de rectification et d'opposition auprès du service maniements de fonds de chaque CARPA.
Sur la sécurité des données et la traçabilité des actions :La CARPA, responsable du traitement, prend les mesures de protection physique et logique adéquates afin de préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse des informations, notamment par des tiers non autorisés, et préserver la confidentialité et l'intégrité des données.Elle prend les mesures nécessaires pour préserver la sécurité des données tant à l'occasion de leur recueil que de leur consultation, de leur communication et de leur conservation.A ce titre, elle s'assure notamment que les échanges d'informations avec le coordonnateur et, le cas échéant, le référent de la personne faisant l'objet d'une mesure de suivi, s'effectuent de manière sécurisée et de façon à garantir la confidentialité des données ainsi transmises.La CARPA s'assure également que l'accès aux données fait l'objet d'une traçabilité effective et adaptée à leur sensibilité, et que les utilisateurs des traitements en sont bien informés.La CARPA s'engage à respecter ces mesures de sécurité afin de répondre à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée.La commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
I. Falque-Pierrotin
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Jean-François CARREZ, Président, M. Alexandre LINDEN, Vice-président, M. Philippe GOSSELIN, Mme Dominique CASTERA, M. Maurice RONAI, membres ; 
 
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; 
 
Vu la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; 
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 45 et suivants ; 
 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; 
 
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ; 
 
Vu la décision n° 2015-021C du 22 décembre 2014 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification auprès de la société X ;
Vu la décision de la Présidente de la Commission nationale de l’Informatique et des libertés n° 2015-052 du 3 juillet 2015 mettant en demeure la société X ; 
 
Vu la décision de la Présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur, en date du 8 mars 2016 ; 
 
Vu le rapport de M. François PELLEGRINI, commissaire rapporteur, du 11 mars 2016 ; 
 
Vu la demande de huis clos présentée par la société X le 14 avril 2016 à laquelle il a été fait droit par courrier du 18 avril 2016 ; 
 
Vu les observations écrites versées par la société X le 14 avril 2016 ainsi que les observations orales formulées lors de la séance de la formation restreinte ; 
 
Vu les autres pièces du dossier. 
 
Etaient présents, lors de la séance de la formation restreinte du 21 avril 2016 :
- Monsieur François PELLEGRINI, commissaire, entendu en son rapport ;
- En qualité de représentants de la société X : Monsieur Y, de la Société X ;
- En qualité de conseil de la société X : Maître YY, Avocat. 
Madame Catherine POZZO DI BORGO, commissaire du Gouvernement adjoint, n’ayant pas formulé d’observation ; 
 
Les représentants de la société X ayant eu la parole en dernier ; 
Après en avoir délibéré, a adopté la décision suivante : 
 
FAITS ET PROCEDURE
La société X (ci-après la société), créée en 2005, a pour activité la vente en ligne, aux particuliers, de produits neufs ou d’occasion, tels que les vêtements, chaussures, accessoires et produits de beauté. Elle édite à cette fin le site […]. Sa base de données compte X comptes clients. Elle emploie 69 salariés et présentait, sur l’exercice 2014-2015, un chiffre d’affaires d’environ 60 millions d’euros. En 2014, une partie du capital de la société a été rachetée par le Groupe Y (...). 
 
La société a effectué, par déclaration n° 1446768 du 4 août 2010, un engagement de conformité à la norme simplifiée de la CNIL n° 48 relative à la gestion des clients et des prospects. 
 
Le 13 janvier 2015, en application de la décision n° 2015-021C du 22 décembre 2014 de la Présidente de la Commission Nationale de l’Informatique et des Libertés (ci-après la CNIL ou la Commission), une délégation de la CNIL a procédé à un contrôle au sein des locaux de la société X. A cette occasion, des manquements à la loi du 6 janvier 1978 modifiée (ci-après loi Informatique et Libertés) ont été constatés. Le procès-verbal n° 2015-021 du 13 janvier 2015 a été notifié à la société le 16 janvier 2015.
Le 21 mars 2015, la CNIL a été saisie par une plaignante qui dénonçait les difficultés qu’elle rencontrait dans l’exercice de son droit d’accès à ses données à caractère personnel auprès de la société. Par courrier du 30 mars 2015, la CNIL a enjoint à la société de faire droit à cette demande. Malgré la réitération de cette injonction au mois de mai 2015, la société n’a pas répondu. 
 
Par décision n° 2015-052 du 3 juillet 2015 de la Présidente de la CNIL, la société a fait l’objet d’une procédure de mise en demeure lui enjoignant, dans le délai de 3 mois, d’adopter des mesures correctives consistant à déposer une demande d’autorisation auprès de la CNIL pour encadrer le traitement relatif à la prévention des fraudes, définir et mettre en œuvre une durée de conservation des données des clients, recueillir le consentement exprès des clients à la conservation de leurs données bancaires dans la perspective d’un achat ultérieur, faire droit à la demande d’accès de la plaignante, informer et obtenir l’accord préalable des personnes concernées au dépôt et à la lecture de cookies sur leur équipement terminal, assurer la sécurité et la confidentialité des données collectées et cesser de transmettre des données à caractère personnel vers des Etats n’assurant pas un niveau suffisant de protection de la vie privée et des libertés et droits fondamentaux.
Le 16 octobre 2015, la Commission a accordé un délai supplémentaire de 3 mois à la société, à la suite de sa demande, pour se mettre en conformité avec les injonctions de la mise en demeure. 
 
En réponse à la mise en demeure, la société a adressé à la CNIL deux courriers, les 11 et 19 janvier 2016, par lesquels elle indiquait s’être mise en conformité avec l’ensemble des injonctions, avoir désigné un Correspondant Informatique et Libertés (ci-après CIL), et avoir répondu à la demande de la plaignante. 
 
Les réponses de la société s’étant toutefois révélées lacunaires et cette dernière n’ayant pas fourni l’ensemble des pièces justificatives venant à l’appui de ses propos concernant tous les manquements visés par la mise en demeure, la Présidente de la CNIL a décidé de procéder à une nouvelle mission de contrôle. 
 
Le 18 février 2016, en application de la décision n° 2015-021C du 22 décembre 2014 précitée, une délégation de la CNIL a procédé à un contrôle dans les locaux de la société. A cette occasion, la délégation a constaté la persistance de plusieurs manquements aux dispositions de la loi du 6 janvier 1978 modifiée. Le 1er mars 2016, la CNIL a également procédé à un contrôle en ligne du site […]. 
 
Les procès-verbaux n° 2015-021/2 du 18 février 2016 et n° 2015-021/3 du 1er mars 2016 ont été notifiés à la société, respectivement, les 24 février et 3 mars 2016.
En raison de la persistance de certains manquements, la Présidente de la Commission a désigné M. François PELLEGRINI en qualité de rapporteur, le 8 mars 2016, sur le fondement de l’article 46 de la loi du 6 janvier 1978 modifiée. 
 
A l’issue de son instruction, le rapporteur a notifié à la société, par porteur, le 14 mars 2016, un rapport détaillant les manquements à la loi Informatique et Libertés qu’il estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de la CNIL de prononcer une sanction pécuniaire, dont il sollicitait par ailleurs qu’elle soit rendue publique. 
 
Etait également jointe au rapport une convocation à la séance de la formation restreinte du 21 avril 2016 indiquant à l’organisme qu’il disposait d’un délai d’un mois pour communiquer ses observations écrites. 
 
Le 14 avril 2016, la société a présenté une demande de huis-clos, qui a été acceptée par le Président de la formation restreinte le 18 avril 2016. La société a en outre produit des observations écrites sur le rapport, réitérées oralement lors de la séance de la formation restreinte du 21 avril 2016. 
 
MOTIFS DE LA DECISION
 
Un manquement à l’obligation de procéder à des formalités préalables à la mise en œuvre d’un traitement
Le chapitre IV de la loi n° 78-17 du 6 janvier 1978 modifiée régit les formalités à effectuer préalablement à la mise en œuvre d’un traitement. En particulier, l’article 25-I-4° dispose que les traitements automatisés susceptibles du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire sont mis en œuvre après autorisation de la CNIL.
 
La société a été mise en demeure le 3 juillet 2015 de procéder auprès de la CNIL à une demande d’autorisation pour encadrer la mise en œuvre de son traitement ayant pour finalité la prévention de la fraude à la carte bancaire. La société a répondu à cette injonction, par courrier du 11 janvier 2016, en indiquant qu’elle avait désigné un Correspondant Informatique et Libertés. Il a été constaté par la Commission, après l’expiration du délai renouvelé de la mise en demeure, à savoir le 21 janvier 2016, que la société n’avait pas déposé, auprès de la CNIL, de demande d’autorisation pour ce traitement.