AgentPublic/cnil huggingface dataset:
La société mère BP est soumise au UK Bribery Act non seulement en ce qui concerne ses propres activités, mais aussi au titre des sociétés non britanniques avec lesquelles elle est affiliée. Les sociétés françaises sont soumises à cette législation dès lors qu'elles ont une activité, même partielle, sur le territoire du Royaume-Uni, ou qu'elles sont partenaires de sociétés soumises au UK Bribery Act.
En matière de lutte contre le blanchiment d’argent,  la société BP France indique être soumise aux dispositions de la loi britannique « Proceeds of Crime Act » (« POCA ») de 2002 qui incrimine le fait de s’engager dans une relation d’affaires en sachant ou suspectant qu’elle facilitera l’acquisition, la conservation, l’utilisation ou le contrôle de biens d’origine criminelle (article 328). La même loi sanctionne le fait d'acquérir, d'utiliser ou détenir les produits d'un crime (article 329).  
La société BP France précise en outre que la loi POCA complète la règlementation anglaise de lutte contre le blanchiment du 15 décembre 2007 « The Money Laundering Regulations » (prise pour la transposition de la directive 2005/60/CE du Parlement européen et du Conseil du 26 octobre 2005 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux et du financement du terrorisme).
La Commission relève que si la Directive 2005/60/CE et la loi britannique de transposition britannique « The Money Laundering Regulations » ne visent que certains secteurs réglementés tels que les institutions financières, le secteur des assurances, les sociétés immobilières ou encore les sociétés d'investissements, les dispositions de la loi POCA sont en revanche d’application très large. Compte tenu des observations qui précédent, la Commission relève que la société BP France est tenue en application de la loi britannique « UK Bribery Act » de mettre en place des procédures de contrôles préalables dans le domaine de la lutte contre la corruption. Elle estime qu’il lui incombe également, en application de la loi britannique «britannique « Proceeds of Crime Act », et sous réserve de l’interprétation que donneront de cette loi les  tribunaux compétents auxquels il appartiendra de préciser la portée extraterritoriale de ses dispositions, de prendre des mesures de prévention en matière de lutte contre le blanchiment d’argent.  
La Commission prend acte enfin que le domaine d’activité de la société BP France implique l’achat et la vente de produits et services faisant intervenir de multiples tiers (clients, fournisseurs, mandataires) tant en France qu’à l’étranger et notamment dans des pays particulièrement exposés au risque de corruption et de blanchiment. Ce marché international caractérisé par une grande diversité d’intermédiaires suscite des flux financiers très importants.
Le traitement envisagé par la société BP France vise à identifier les transactions présentant un risque de corruption ou de blanchiment, par le biais d’un système reposant sur une évaluation progressive adaptée au risque encouru. La société BP France souhaite vérifier l’intégrité des clients et fournisseurs potentiels ainsi que des entités exerçant comme intermédiaires (agents commerciaux, mandataires, etc.). Le traitement porte essentiellement sur des entités personnes morales et de manière ponctuelle sur une catégorie limitée de personnes physiques tels que les dirigeants et les associés.
Dans un premier temps, les commerciaux de la société BP France identifient le risque au regard de différentes informations recueillies (taille, volume, fréquence ou nature de la transaction, caractère occasionnel de la transaction, montant, structure de l’actionnariat, présence d’intermédiaires, etc.). En fonction de ces informations, les commerciaux de la société BP France peuvent estimer qu’il existe un risque qu’il convient d’évaluer. Dans le cas contraire, le partenaire ne donnera pas lieu à une vérification complémentaire.
Lorsque les informations recueillies à l’issue de ce premier niveau de vérification ont révélé un risque, la société BP France envoie les données à la filiale du groupe BP, située en Europe, chargée du second niveau d’analyse, lequel se base sur un outil développé par un prestataire externe.
Les éléments d’information utilisés par ce prestataire procèdent de sources officielles nationales et internationales, des informations issues de la presse, des décisions de justice ou d’autorités publiques.
L’outil fourni par le prestataire de service est configuré de telle sorte que la société BP France ne puisse disposer que des informations spécifiques aux domaines de lutte contre la corruption et le blanchiment d’argent. 
Les informations détectées lors de ces  opérations de vérification peuvent conduire la société BP France à suspendre la transaction engagée avec les personnes concernées, après consultation de listes des personnes faisant l’objet de sanctions financières ou de mesures de restriction.
La Commission considère que les vérifications portant sur ces listes doivent procéder d’une obligation légale et ne doivent porter que sur une catégorie de personnes déterminée au regard du risque encouru conformément au principe de proportionnalité. Elle rappelle qu’aucune décision de refus d’entrée en relation ne peut être  prise sur la base des seuls éléments d’information recueillis  par le biais de l’outil utilisé,  qui devront faire l’objet d’un examen individuel,  permettant de lever les cas d’homonymies, après collecte, le cas échéant,  d’informations complémentaires.
La Commission considère que sont légitimes, les vérifications portant sur les listes appliquées en France et dans le pays d’établissement de la maison mère et émises par une autorité publique dès lors que BP France est tenue de les appliquer.
Dans ces conditions, la Commission estime que le traitement répond à l’intérêt légitime du responsable du traitement conformément à l’article 7-5° de la loi du 6 janvier 1978 modifiée. 
Sur la nature des données traitées :
Dans le cadre de la phase initiale de la procédure de vérification préalable d’intégrité du partenaire commercial, la société BP France collecte les données suivantes :
Identification du partenaire commercial et du chargé de compte BP France ;
Numéro de téléphone et adresse mail du contact chez le partenaire commercial ;
Date de création de la société;
Nationalité ( Kbis ou statut du partenaire commercial) ;
Situation professionnelle ;
Vie économique de la société partenaire : informations publiques disponibles dans les journaux économiques permettant d’avoir une visibilité sur l’actualité de la société et ses domaines d’activité ;
Solvabilité du partenaire ;
Informations bancaires ;
Structure juridique ;
Actionnariat et dirigeants ;
Présence d’agents intermédiaires et leur rôle ;
Historique et type de relations antérieures avec BP France ;
Présence éventuelle d’une « personne politiquement exposée » (PPE) telle que définie à l’article R.561-18 du code monétaire et financier;
Localisation dans un pays faisant l’objet de sanctions commerciales ;
Conditions de règlement ;
Opérations sur la base de compensation : identification de relation commerciale conditionnée par le versement d’une rémunération à un intermédiaire ayant un rôle dans une organisation gouvernementale ou dont la position permet d’influer sur l’attribution de contreparties.
Dans le cadre de la seconde phase de vérification, les informations consultées par le biais de  l’outil d’investigation sont les suivantes :
Données relatives à la relation commerciale (évaluation et composition des fonds impliqués dans la transaction, etc.) ;
nom, prénom, code état ( M., Mme), nationalité et date de naissance (afin d’éviter les homonymes) , mandats et pouvoirs, identité des dirigeants, associés et mandataires, des employés clefs et principaux contacts professionnels devant intervenir sur le marché ;
copie de tout acte ou extrait de registre officiel datant de moins de trois mois constatant l’identité des associés et dirigeants sociaux ;
contentieux de la société portant sur des faits de corruption ou de blanchiment d’argent, relations de la société avec des services officiels ou gouvernementaux ;
Informations rendues publiques : coupures de presse, décisions de justice, etc.
Les vérifications porteront uniquement sur les dirigeants et les actionnaires directs ou indirects (bénéficiaires effectifs) des partenaires commerciaux, tels que ceux-ci apparaissent sur le site web du partenaire commercial ainsi que sur les bases de données publiques.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur la durée de conservation des données :
Lorsqu’un contrat est conclu, les rapports traités et composés par la société BP France sur la base des informations recueillies et sélectionnées, lors des différentes étapes de vérification, sont conservés en base active pendant 90 jours à compter de l’évaluation, quel que soit le niveau du risque identifié. Les données sont ensuite archivées pendant dix ans pour pouvoir justifier, le cas échéant, des diligences auprès des autorités compétentes. 
Sur les destinataires des données :
Les opérations de vérification réalisées en France seront supervisées par les personnes habilitées des départements juridique, financier et « ethic & compliance » de la société BP France. 
Le centre de service partagé de BP (filiale européenne du Groupe BP effectuant des recherches) procède à l’interrogation de l’outil sur demande de la société BP France.
La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données traitées.
Sur l'information des personnes :
La politique menée par BP en matière de lutte contre la corruption et de blanchiment sera mise en ligne sur le site internet de la société BP France afin de permettre aux partenaires commerciaux de prendre connaissance de la politique en vigueur en sein du groupe. Cette politique inclura une mention spécifique d’information des personnes concernées sur les conditions dans lesquelles leurs données seront traitées.
Les contrats commerciaux, les conditions générales de vente ainsi que les conditions générales d’achat comportent des clauses mentionnant l’existence du programme de lutte contre les risques de corruption et de blanchiment d’argent. 
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les personnes concernées pourront exercer leurs droits d’accès, de rectification et d’opposition à l’adresse suivante : Correspondant Informatique et Liberté de la société BP France, 12 avenue des Béguines, 95866 Cergy Pontoise.
Sur les transferts de données hors Union européenne
Le processus de vérification fait intervenir un prestataire extérieur situé hors Union européenne. Les transferts des données sont encadrés par la signature de clauses contractuelles types élaborées par la Commission européenne (responsable de traitement à sous-traitant).
Sur la sécurité des données et la traçabilité des actions :
Des mesures sont prises afin de préserver la sécurité et la confidentialité des données et, notamment, empêcher que des tiers non autorisés y aient accès. Les accès au système d’information et les opérations effectuées sur les supports d’enregistrement des données sont traçés.
Les mesures de sécurité envisagées n’appellent pas d’observations particulières ; la Commission rappelle cependant la nécessité d’une mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise la société British Petroleum France à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la mise en œuvre de procédures de vérification d’intégrité vis-à-vis des partenaires commerciaux afin de prévenir et de détecter les risques de corruption et de blanchiment d’argent.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1660222)
La Commission nationale de l'informatique et des libertés,
Saisie par Madame Françoise BASCOUL, prise en qualité de mandataire judiciaire à la protection des majeurs exerçant à titre individuel, d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalités la gestion et le suivi de la représentation juridique des personnes placées par l’autorité judiciaire sous sauvegarde de justice, sous curatelle ou sous tutelle ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code civil, notamment son article 515 ;
Vu le code de l’action sociale et des familles, notamment ses articles L. 361-1, L. 471-1 à L. 473-4 et R. 472-1 à R. 472-26 ;
Vu le code de procédure pénale, notamment ses articles 706-112 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté n°2012-333-0009 du 28 novembre 2012 du Préfet du département du Gard relatif à l’agrément de Madame Françoise BASCOUL en qualité de mandataire judiciaire à la protection des majeurs ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Madame Françoise BASCOUL, en sa qualité de mandataire judiciaire à la protection des majeurs exerçant à titre individuel. 
Sur la finalité
Madame Françoise BASCOUL, a saisi la Commission, en qualité de mandataire judiciaire à la protection des majeurs d’une demande d’autorisation afin de  mettre en œuvre un traitement de données à caractère personnel ayant pour finalités la gestion et le suivi de la représentation juridique des personnes placées par l’autorité judiciaire sous sauvegarde de justice, sous tutelle ou sous curatelle et relevant de son mandat.A ce titre une gestion administrative et comptable du service de tutelle est nécessaire.Le responsable de traitement exerce la mission de mandataire judiciaire à la protection des majeurs que le juge des tutelles lui confie conformément aux dispositions de l’article L.471-1 du code de l’action sociale et des familles (CASF). la Commission relève que le responsable de traitement est spécifiquement agréé en tant que tel par le préfet de son département.La Commission considère que le traitement justifié par l’intérêt public, peut faire apparaître directement ou indirectement les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses, l’appartenance syndicale ou qui sont relatives à la santé ou à la vie sexuelle des personnes et qu’il y a lieu dès lors, de faire application des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements automatisés ou non.Elle considère également, qu’il convient de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à
autorisation les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.Elle estime qu’il y a également lieu de faire application de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements portant sur des données parmi lesquelles figure le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques.La Commission estime, enfin, que le recours à la formalité de l’autorisation se justifie au regard de l’article 25-I-7° de la loi 6 janvier 1978 modifiée pour ce qui concerne les traitements automatisés de données comportant des appréciations sur les difficultés sociales des personnes.
Sur les données traitées
Les données collectées du présent traitement sont, en fonction du type de mesure de protection (sauvegarde de justice, curatelle ou tutelle), du contenu précis de la mesure prononcée par le juge et de la nature des actes à accomplir, relatives :
à  l’identification des personnes et, le cas échéant, à celle de leurs conjoints et enfants (nom, prénom, adresse, date et lieu de naissance) ;
à leur vie personnelle (situation familiale, adresse de résidence et fiscale, type d’hébergement) ;
à  leur vie professionnelle (situation professionnelle, scolarité, formation) ;
à des informations d’ordre économique et financier (revenus, situation financière, dépenses, recettes, contrôle du budget) ;
à l’appartenance religieuse, politique ou syndicale et à la santé 
aux infractions, condamnations ou mesures de sûreté, dans les limites prévues par les dispositions législatives en vigueur ;
au numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (numéro de sécurité sociale), uniquement dans le cadre d’échanges avec des professionnels de santé, des organismes de sécurité sociale, de prévoyance ou de retraite, ainsi que des financeurs de prestations sociales ou médico-sociales;
à des appréciations sur les difficultés sociales des personnes ;
La Commission considère que le traitement de ces données est adéquat, pertinent et non excessif au regard de la finalité poursuivie, dès lors qu’elles s’avèrent nécessaires à l’exercice d’un mandat de représentation.
Sur les destinataires
Seul le responsable de traitement et, le cas échéant, les membres habilités de son personnel soumis à une obligation de confidentialité peuvent accéder au présent traitement. Le responsable de traitement exerçant en nom propre et à titre indépendant est habilité à transmettre des données aux destinataires suivants :Le juge des tutelles compétent peut être destinataire de l’intégralité des données du traitement.
La direction départementale de la cohésion sociale et les organismes financeurs, au nombre desquels figurent notamment les caisses d’allocations familiales ou de mutualité sociale agricole, la caisse des dépôts et des consignations ou encore les caisses primaires d’assurance maladie, peuvent être destinataires des données d’identification des données relatives à la vie personnelle et des numéros de sécurité sociale.La Commission considère que ces destinataires présentent un intérêt légitime à connaître de ces données.Elle estime, par ailleurs, que le responsable du traitement peut également communiquer des données aux organismes en relation avec les personnes représentées, sous réserve que ces transmissions soient indispensables à ces relations, d’une part, et que les données concernées soient limitées au strict nécessaire, d’autre part. 
Sur les durées de conservation
Les données à caractère personnel du présent traitement sont conservées jusqu’à la prescription de l’action en reddition des comptes, en revendication ou en paiement diligentée par la personne protégée ou ses héritiers à savoir, en application de l’article 515 du code civil, cinq ans à compter de la fin de la mesure de protection sauf interruption ou suspension de la prescription.  La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie.
Sur l’information et le droit d’accès
Les personnes concernées par le présent traitement sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales sur des notices d’information.La Commission considère que cette modalité d’information des personnes est satisfaisante. Elle rappelle que cette information doit être fournie selon des modalités adaptées à leur état.Sauf décision contraire du juge des tutelles, les droits d’accès, de rectification et d’opposition pour motif légitime s’exercent auprès de Madame Françoise BASCOUL par courrier, téléphone, fax ou courriel.  La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes. 
Sur les mesures de sécurité
La Commission observe que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.L’authentification des utilisateurs du traitement respecte les préconisations de la Commission, notamment en termes de complexité des mots de passe. Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Autorise, conformément à la présente délibération, Madame Françoise BASCOUL, à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1660689)
La Commission nationale de l'informatique et des libertés,
Saisie par Monsieur Olivier de PARSCAU DU PLESSIX, pris en qualité de mandataire judiciaire à la protection des majeurs exerçant à titre individuel, d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalités la gestion et le suivi de la représentation juridique des personnes placées par l’autorité judiciaire sous sauvegarde de justice, sous curatelle ou sous tutelle ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code civil, notamment son article 515 ;
Vu le code de l’action sociale et des familles, notamment ses articles L.361-, L.471-1 à L.473-4 et R.472-1 à R.472-26;
Vu le code de procédure pénale, notamment ses articles 706-112 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté nominatif d'agrément N° 2011-1227 du Préfet du Rhône du 14/01/2011 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Monsieur Olivier DE PARSCAU DU PLESSIX, en sa qualité de mandataire judiciaire à la protection des majeurs exerçant à titre individuel. 
Sur la finalité