AgentPublic/cnil huggingface dataset:
Il s’agit, en premier lieu, d’établir un diagnostic de la situation budgétaire du client concerné dans une approche de « reste pour vivre », c’est-à-dire des ressources restantes pour assumer les dépenses essentielles de la vie quotidienne, déduction faite des charges contraintes. A partir de cette analyse, le chargé de clientèle du service  APPUI pourra, à son niveau, proposer des actions concrètes en vue d’améliorer la gestion bancaire et budgétaire du client (baisse d’une autorisation de découvert, modification de la date  des prélèvements automatiques, provisionnement des chèques, etc.). 
En second lieu, le service permet de délivrer un premier niveau d’information sur les dispositifs de prise en charge des personnes en difficulté financière : informations sur le revenu de solidarité active ou l’aide à l’acquisition d’une complémentaire santé, par exemple.
Enfin, lorsque la situation du client nécessite une prise en charge plus spécifique, le chargé de clientèle du service APPUI l’oriente vers les acteurs du secteur social que sont les organismes gestionnaires de prestations sociales : les collectivités locales, les institutions ayant une mission de service public ou des associations caritatives jouant le rôle de médiation sociale. Il s’agit ainsi de favoriser l’accès d’une part, aux droits et prestations auxquels les personnes peuvent prétendre, et d’autre part, aux partenaires avec lesquels la Banque Postale a conclu un accord afin de proposer aux clients des solutions ou des offres adaptées (association Crésus et le Crédit Municipal de Paris « CMP Banque »). 
Ces différents acteurs prennent en charge le client selon leur processus interne de traitement de situation de « mal endettement » ou de surendettement. Tous les échanges ultérieurs entre le client et les partenaires relèvent de leur seule responsabilité et ne sont pas communiqués à la Banque Postale. Ainsi, le service APPUI ne se substitue en aucun cas à l’accompagnement des acteurs sociaux mais intervient en amont et en complément d’un accompagnement social. 
Sur la base des données collectées, La Banque Postale souhaite également établir des statistiques relatives à l’utilisation du service APPUI par les clients.
La Commission a reçu le bilan de l’expérimentation menée sur 9 mois par la Banque Postale relatif aux modalités de fonctionnement, d’utilisation et d’efficacité du dispositif ABRI. Dans ce contexte, la Commission a été saisie par le responsable de traitement pour la mise en œuvre effective du service dénommé APPUI.
Suite au bilan de l’expérimentation, la Banque Postale souhaite généraliser le dispositif à l’ensemble du territoire (France et DOM-TOM). Cette extension lui permettrait également d’enrichir les services proposés pour promouvoir des offres plus adaptées à la situation financière des clients en situation de fragilité financière.
La Commission observe que le responsable de traitement souhaite, dans le cadre de la généralisation du dispositif, prendre en considération, dans ses informations et ses préconisations, le fait que le client demandeur ait été destinataire d’une offre de services adaptée à sa situation financière, proposée obligatoirement par La Banque Postale.
La Commission relève que le dispositif APPUI a été mis en œuvre avant que ne soit rendus obligatoires pour les établissements financiers bancaires, de proposer des offres de services adaptées aux clients en situation de fragilité financière.
La Commission relève qu’il ne s’agit en aucun cas de stigmatiser les clients ayant bénéficié ou bénéficiant du service APPUI, ni de rompre la confidentialité de la prise de contact avec le service.
Dès lors, le conseiller du service APPUI peut consulter les comptes du client demandeur avec son consentement sur lesquels doit figurer, le cas échéant, l’offre de service adaptée à sa situation financière et proposée par la Banque Postale.
Par conséquent, dans le cadre de cette amélioration, le conseiller pourrait avoir la possibilité, à la demande du client exclusivement, d’accompagner celui-ci dans la  mise en place de l’offre de service adaptée et proposée par son établissement bancaire, La Banque Postale. 
La Commission estime que les finalités du traitement sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Elle prend acte que l’utilisation du dispositif d’accompagnement bancaire est facultative pour les clients et complémentaire des autres dispositifs d’accompagnement social proposés par les organismes sociaux. La Commission relève à cet égard que La Banque Postale encourage une démarche volontaire et participative de la part du client, qui reste libre d’avoir recours à ce service d’assistance bancaire et consent préalablement à toute analyse de ses données financières. 
Sur la nature des données traitées :
Les données traitées dans le cadre du service APPUI seront collectées directement auprès des personnes concernées, dans le cadre des échanges téléphoniques entre la plateforme et les clients volontaires. La liste des données est identique à celle qui avait été autorisée dans le cadre de l’expérimentation ABRI.
Afin d’établir le diagnostic de la situation budgétaire du client et de lui proposer des actions adaptées, les chargés de clientèle du service  APPUI ont accès à ses relevés de compte, en mode consultation, et sont amenés à collecter des données complémentaires sur la base d’une trame d’entretien prédéfinie. 
Les catégories de données à caractère personnel collectées sont relatives :
à l’identification du client ;
à ses coordonnées ;
à son logement (locataire, propriétaire) ;
à sa situation familiale ;
à ses ressources ainsi qu’aux personnes composant le foyer (salaires, prestations sociales, aides de l’entourage familial ou amical) ;
à sa situation bancaire  (comptes détenus, solde du compte, découverts, crédit immobilier, crédit à la consommation auprès de La Banque Postale ou d’un autre établissement, etc. ; 
aux dépenses liées aux charges courantes (loyer, transports, télécommunications, électricité, gaz, etc.) ;
aux dépenses liées aux charges familiales (crèche, garderie, etc.)
aux dépenses de santé onéreuses et récurrentes ;
aux impôts ;
à la détention d’une assurance et d’une complémentaire santé ;
aux impayés et retards liés à tous ces postes de dépense.
La Commission observe que la collecte des  données va au-delà des données habituellement collectées par les établissements de crédit dans le cadre de leur relation commerciale avec les clients. L’accompagnement individualisé proposé par La Banque Postale nécessite de disposer d’informations relatives aux difficultés sociales rencontrées (perte d’emploi, divorce, etc.) qui peuvent être la cause des difficultés financières ou en être la conséquence. Le chargé de clientèle doit pouvoir avoir une vision globale des difficultés du client liées par exemple aux mensualités de ses crédits, à ses dettes, aux problématiques liées au logement et l’aider ainsi à mettre en œuvre des actions concrètes ou à identifier des prestations sociales auxquelles il pourrait prétendre. 
Dès lors, la Commission considère que la collecte de ces données est proportionnée à la finalité poursuivie.
La Commission rappelle toutefois la nécessité de circonscrire au strict nécessaire la collecte de données  afin de ne recueillir dans l’application du service  APPUI que les informations indispensables à l’appréciation de la situation financière de la personne et son orientation vers les acteurs sociaux. 
Sur la durée de conservation des données :
Les données à caractère personnel collectées dans l’application du service  APPUI sont conservées pendant une durée maximale de dix-huit mois et sont ensuite supprimées. Cette durée est nécessaire pour mesurer le réel impact des préconisations faites par l’APPUI sur la situation financière du client pris en charge. 
Dès lors, la Commission considère qu’elle est conforme aux dispositions de l’article 6-4° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires des données :
Les destinataires des informations sont, dans la limite de leurs attributions, les seuls agents de la Direction du Développement Relations Clients (DDRC), formés spécifiquement et soumis à une obligation renforcée de confidentialité. 
Aucun autre service ou aucune filiale de la Banque Postale ne sera destinataire des données recueillies dans le cadre de l’accompagnement proposé par le service APPUI.
Seront également destinataires des seules données relatives à l’identification et aux coordonnées des clients ayant accepté d’être suivis par les partenaires de La Banque Postale, l’association CRESUS, reconnue mission d’utilité publique et engagée depuis de nombreuses années dans l’accompagnement, la prévention du risque de surendettement et d’exclusion financière des ménages en France, d’une part, et le CMP banque, dont le cœur d'activité est le rachat de crédits, les prêts relais et les prêts hypothécaires, d’autre part.
La communication d’informations à ces organismes par la Banque Postale nécessite au préalable la levée du secret bancaire, avec le recueil du consentement de la personne. 
La Commission  relève que des conventions de partenariat ont été signées avec ces partenaires, afin de déterminer les modalités précises de collaboration et d’orientation des clients de La Banque Postale.
La Commission considère que ces destinataires, qui sont en nombre limité, ont un intérêt légitime à connaître de ces données.
Sur les droits des personnes concernées :
Le processus d’information et d’orientation du client vers la plateforme d’assistance bancaire est multi-canal : les bureaux de Poste, les centres financiers (services risques et réclamation notamment), les filiales (LBP Financement et LBP Assurance Santé), le médiateur et enfin les partenaires.
Une notice d’information sera diffusée dans les agences et sur le site institutionnel de La Banque Postale, à l’attention de l’ensemble de ses clients. 
La Commission relève que l’information est générale, la Banque Postale ne procédant à aucune sélection préalable des clients.
Pour contacter la plate-forme, deux numéros d’appel gratuits seront mis à disposition des clients de La Banque Postale afin de prendre contact avec le personnel du service APPUI et de fixer un rendez-vous pour l’entretien téléphonique de diagnostic.
L’entretien téléphonique entre le chargé de clientèle du service APPUI et le client est précédé d’un message d’accueil rappelant l’objectif du dispositif, les modalités de déroulement de l’entretien, le caractère confidentiel des éléments qui seront communiqués et la possibilité pour le client de ne pas répondre à certaines questions.
Les personnes sont également informées des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition, qu’ils pourront exercer à tout moment, directement auprès de la DDRC, gestionnaire du service APPUI.
L’entretien portant également sur les ressources des tiers (conjoint, enfant en âge de travailler), la Banque Postale devra s’assurer auprès du client que ces tiers ont été informés de la démarche et ne s’opposent pas à la communication de leurs informations.
Les clients orientés vers les partenaires de la Banque Postale (Crésus et CMP Banque) devront préalablement donner leur consentement exprès pour la transmission de leurs coordonnées, afin d’être mis en contact. 
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée. Les modalités d’exercice des droits des personnes n’appellent pas d’observation de sa part. 
Sur la sécurité des données et la traçabilité des actions :
La continuité d’activité est assurée grâce à des sauvegardes effectuées quotidiennement. Une autre sauvegarde hebdomadaire est effectuée. Les étapes de développement et de maintenance font l’objet de mesures de sécurité visant à garantir la confidentialité des données. La sécurité physique des postes prenant part au traitement ainsi que du système d’archivage est correctement assurée.
Concernant l’authentification des utilisateurs du système, la Commission prend acte que le responsable de traitement a mis en place une politique de mots de passe qui exige que ceux-ci aient une longueur minimale de 8 caractères, comprenant au moins trois des quatre types (minuscules, majuscules, chiffres, caractères spéciaux).
Les opérations de consultation font l’objet d’une journalisation afin d’en assurer la traçabilité. Par ailleurs, l’identifiant de l’opérateur ayant traité un dossier est associé à ce dernier pendant une durée de six mois.
La Commission constate que la sécurité logique des postes prenant part au traitement est assurée au moyen d’antivirus et d’un système de détection d’intrusion. Néanmoins, ces postes utilisent pour accéder à l’application, ainsi qu’à Internet, un  navigateur qui n’est plus mis à jour et qui expose donc  les terminaux à des failles de sécurité. La Commission recommande dès lors que les terminaux qui prennent part au traitement utilisent un navigateur maintenu à jour.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise la Banque Postale à mettre en œuvre, un traitement de données à caractère personnel ayant pour finalité l’accompagnement bancaire des personnes rencontrant des difficultés financières. 
La présente délibération abroge la délibération n° 2013-303 du 15 octobre 2013 autorisant la Banque Postale à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre, à titre expérimental, d’un accompagnement bancaire des personnes rencontrant des  difficultés financières (ABRI).
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1769845)
La Commission nationale de l'informatique et des libertés,
Saisie par le Centre Communal d’Action Sociale (CCAS) d’Amiens d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des demandes d’aides sociales ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment son article R123-1;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-7 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme. Laurence DUMONT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Centre Communal d’Action Sociale (CCAS) d’Amiens.Dans le cadre de ses attributions légales, au sens de l’article R123-1 du code de l’action sociale et des familles, le CCAS procède à une analyse des besoins sociaux de l’ensemble de la population.
Sur la finalité
Le traitement vise notamment à permettre :- l’accueil, l’accompagnement et le suivi personnalisé des personnes concernées, incluant l’évaluation de leurs besoins et des difficultés rencontrées ;- la pré-instruction et le suivi des demandes d’aides sociales (financières ou en nature) ;- l’accompagnement des personnes dans l’accès aux droits et prestations, ainsi que dans les relations et les démarches à effectuer auprès des personnes et services compétents.La Commission considère les finalités poursuivies comme déterminées, légitimes et explicites.
Sur les données traitées
Les catégories de données concernant les bénéficiaires sont relatives :
à l’identité (nom, prénom, adresse, date et lieu de naissance) ;
à la vie personnelle (situation familiale, composition du foyer) ;
à la vie professionnelle (situation professionnelle, scolarité et formation) ;
à la situation vis-à-vis des organismes sociaux (nature des droits et avantages et des prestations dont bénéficient les personnes concernées) ;
aux conditions de vie matérielles (situation financière et économique, situation du demandeur face au logement, type et conditions du logement) ;
aux cordonnées bancaires ;
à l’évaluation des besoins, aux difficultés rencontrées et aux appréciations sur les difficultés sociales.
Il convient de faire application de  l’article 25-I-7° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés de données comportant des appréciations sur les difficultés sociales des personnes concernées.
La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée, dès lors qu’elles s’avèrent nécessaires et proportionnées dans le cadre du présent traitement.
Sur les destinataires
Peuvent avoir accès aux données, les personnes et organismes qui, en raison de leurs fonctions et des missions qui leur sont confiées, participent au suivi et à l’accompagnement des personnes concernées, dans la limite des seuls cas les concernant et des seules informations nécessaires à l’accomplissement de leurs missions. Il s’agit :
du personnel strictement habilité du CCAS ;
du service habitat logement de la mairie d’Amiens ;
du Conseil départemental.
Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales figurant sur le formulaire de collecte et des courriers personnalisés.Une information est également délivrée par voie d’affichage.La Commission rappelle que cette information doit être adaptée à l’état des personnes suivies.Les droits d’accès, de rectification et d’opposition pour motifs légitimes s’exercent auprès du CCAS d’Amiens.Ces modalités d’information et d’exercice des droits des personnes apparaissent satisfaisantes.
Sur les mesures de sécurité
la Commission prend acte que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.L’authentification des utilisateurs du traitement est assurée par l’utilisation des mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et des lettres majuscules, des chiffres et des caractères spéciaux.Les habilitations d’accès au système d’information sont définies en fonction des attributions des utilisateurs.La Commission recommande que les accès à l’application fassent l’objet d’une journalisation. Elle rappelle que la conservation des traces ne peut excéder une durée de six mois, au-delà de laquelle celles-ci doivent être supprimées.Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier  1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité  au regard de la réévaluation régulière des risques.
 Sur les autres caractéristiques du  traitement
Les données à caractère personnel traitées sont conservées le temps nécessaire au suivi et à l’accompagnement des personnes, et au maximum deux ans à compter de la dernière aide accordée.A l’expiration de cette période de deux ans, les données sont supprimées de manière sécurisée ou archivées à titre définitif dans des conditions définies en conformité avec les dispositions du code du patrimoine relatives aux obligations d’archivage des informations du secteur public.La Commission considère que cette durée de conservation apparait pertinente au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, le CCAS d’Amiens à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés, Saisie par le ministre des finances et des comptes publics d'une  demande d'avis concernant un projet d'arrêté relatif à la mise en  service à la direction générale des finances publiques et à la Caisse  d'assurance maladie des industries électriques et gazières d'une  procédure automatisée de transfert de données fiscales ; Vu la convention n° 108 du Conseil de l'Europe pour la protection  des personnes à l'égard du traitement automatisé des données à caractère  personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24  octobre 1995 relative à la protection des personnes physiques à l'égard  du traitement des données à caractère personnel et à la libre  circulation de ces données ; Vu le  code général des impôts ; Vu le  code de la sécurité sociale ; Vu le  livre des procédures fiscales, notamment ses articles L. 152, L. 288, R. 152-1, R. 287, R. 288-1 et suivants ; Vu la  loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ; Vu la  loi n° 2003-775 du 21 août 2003 portant réforme des retraites ; Vu le  décret n° 46-2769 du 27 novembre 1946 portant organisation de la sécurité sociale dans les mines ; Vu le  décret n° 99-1047 du 14 décembre 1999  pris pour l'application de l'article 107 de la loi de finances pour  1999 (n° 98-1266 du 30 décembre 1998) relatif à l'utilisation du numéro  d'inscription au répertoire national d'identification des personnes  physiques par la direction générale des impôts, la direction générale de  la comptabilité publique et la direction générale des douanes et droits  indirects ; Vu le  décret n° 2000-8 du 4 janvier 2000 pris pour l'application de l' article L. 288 du livre des procédures fiscales ; Vu le  décret n° 2002-771 du 3 mai 2002 portant création d'une procédure de transfert des données fiscales ; Vu le  décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la  loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux
fichiers et aux libertés ; Vu le  décret n° 2007-489 du 30 mars 2007 modifiant les articles 23, 25 et 31 du statut national du personnel des industries électriques et gazières ; Vu l'arrêté du 30 mars 2007 relatif au régime spécial d'assurance maladie et maternité des industries électriques et gazières ; Vu la délibération n° 01-055 du 25 octobre 2001 relative à la  création d'une procédure de transfert de données fiscales pour le compte  de l'Etat et des organismes de protection sociale visés à l' article L. 152 du livre des procédures fiscales ; Vu le dossier et ses compléments ; Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir  entendu les observations de M. Jean-Alexandre SILVY, commissaire du  Gouvernement, Emet l'avis suivant : La Commission nationale de l'informatique et des libertés a été  saisie pour avis par le ministre des finances et des comptes publics  d'un projet d'arrêté relatif à la mise en service à la direction  générale des finances publiques (DGFiP) d'une procédure automatisée de  transfert de données fiscales avec la Caisse d'assurance maladie des  industries électriques et gazières (CAMIEG). La procédure de transfert de données fiscales (dite  TDF ) a été créée par le  décret n° 2002-771 du 3 mai 2002 susvisé,  pris après avis de la commission, afin de permettre aux agents des  administrations fiscales de communiquer aux organismes et services  chargés de la gestion d'un régime obligatoire de sécurité sociale ou  d'un régime de