AgentPublic/cnil huggingface dataset:
- les caractéristiques de l'ordre exécuté (achat ou vente, type d'ordre, prix, quantité, origine, date, etc.).
			Les listes ainsi constituées sont mises en ligne sur l'intranet du groupe. Elles sont consultables pendant 45 jours, avant d'être archivées pendant trois ans par le contrôle interne de l'établissement concerné.
			Ces dispositions sont adéquates, pertinentes et non excessives au regard des finalités déclarées et n'appellent pas d'observation particulière.
			Sur les destinataires
			Chaque responsable de la conformité pour les services d'investissement (RCSI) ne peut accéder qu'aux données qui se rapportent à son établissement. Il peut interroger la base des anomalies détectées pour une période donnée, pour un type d'anomalies, par instrument financier ou par numéro de compte. Il peut également procéder à des extractions de données sous tableur pour constituer des fichiers de travail. Les données ne peuvent pas y être conservées plus de 45 jours avant leur éventuel archivage.
			Les destinataires de tout ou partie des données sont :
			- les responsables de la conformité des services d'investissement du groupe BPCE et les agents habilités placés sous leur responsabilité, pour les seules données relatives à des opérations effectuées par les clients de leur établissement ;
			- les chargés de clientèle et les agents habilités du back office-titres de l'établissement concerné, lorsqu'il leur est demandé de répondre à une demande d'information du client ;
- en cas d'envoi d'une déclaration de soupçon à l'AMF, les agents habilités de cette autorité ainsi que ceux de la direction générale de l'établissement concerné.
			Ces règles n'appellent pas d'observations particulières dès lors que la liste des personnes habilitées à consulter et analyser ces résultats, ainsi qu'à exporter les données au format tableur est arrêtée par les responsables du contrôle des services d'investissement de l'établissement.
			Sur l'information et le droit d'accès
			Le droit d'accès s'exerce auprès du responsable de la conformité pour les services d'investissement de l'établissement teneur du compte du requérant.
			Une clause de la convention d'instruments financiers informe les clients de la finalité du traitement ainsi que des modalités d'exercice du droit d'accès.
Autorise, conformément à la présente délibération, le groupe BPCE à mettre en œuvre le traitement susmentionné, sous réserve que les responsables de chaque traitement visés par la présente délibération adressent à la CNIL, conformément aux dispositions de l'article 25-II de la loi du 6 janvier 1978, un engagement de conformité valant engagement de respecter les termes de la présente autorisation de la CNIL.
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret modifiant le décret n° 2011-110 du 27 janvier 2011 autorisant la création d'un traitement automatisé de données à caractère personnel dénommé Logiciel de rédaction des procédures de la police nationale (LRPPN) ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de procédure pénale, notamment ses articles 230-6 à 230-11, 803-1, R. 40-23 à R. 40-34 et R. 15-33-77 à R. 15-33-82 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 26-II et 30 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2011-110 du 27 janvier 2011 portant création d'un traitement automatisé de données à caractère personnel dénommé LRPPN 2 ;
 
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie par le ministre de l'intérieur d'une demande d'avis relative à un projet de décret modifiant le décret n° 2011-110 du 27 janvier 2011 portant création d'un traitement automatisé de données à caractère personnel dénommé LRPPN 2. Les modifications projetées visent à ajouter de nouvelles données. Conformément aux dispositions des articles 26 et 30 de la loi du 6 janvier 1978 modifiée, les modifications des dispositions relatives au traitement LRPPN 2 doivent faire l'objet d'un décret en Conseil d'Etat pris après avis motivé et publié de la commission.
L'article ler du projet de décret vise tout d'abord à modifier l' annexe du décret du 27 janvier 2011 susvisé afin d'enregistrer dans LRPPN 2 l'adresse de messagerie et les numéros de téléphone des personnes physiques mises en cause et victimes, des témoins et des plaignants, des personnes faisant l'objet d'une enquête pour recherches des causes de la mort ou d'une disparition ainsi que des personnes physiques faisant l'objet d'une enquête administrative.
En premier lieu, la commission relève, s'agissant des victimes, que cette modification s'inscrit dans le cadre de l' article 803-1 du code de procédure pénale (CPP), permettant la mise en œuvre de la communication électronique en matière pénale.
Depuis 2007, l'article 803-1 du CPP permet l'utilisation de moyens de communication électronique au cours de la procédure pénale entre les avocats des parties et les autorités judiciaires. L'article 14 de la loi du 16 février 2015 susvisée a complété cet article 803-1 du CPP afin de généraliser le recours à la communication électronique au cours de la procédure pénale.
Le CPP détaille les cas dans lesquels il peut être recouru à la communication électronique, les conditions préalables au recours à cette communication électronique ainsi que, pour certains types d'envoi, des contraintes techniques spécifiques, notamment d'horodatage à valeur probante. Par ailleurs, l'article 803-1 du CPP prévoit que l'envoi par voie électronique ne peut intervenir qu'à la condition que la personne y ait préalablement consenti par une déclaration expresse recueillie au cours de la procédure, cet accord devant préciser le mode de communication électronique accepté par la personne (en pratique, l'envoi de messages écrits au numéro de téléphone indiqué ou l'envoi de courriels à une adresse de messagerie électronique).
Cette nouvelle fonctionnalité a dans un premier temps été expérimentée sur un périmètre très réduit et s'est notamment appuyée sur la pré-plainte en ligne. Au moment du dépôt de la pré-plainte en ligne, la personne concernée saisit son adresse électronique et son numéro de téléphone portable, qui sont intégrées aux logiciels de rédaction des procédures lors de l'entretien d'officialisation lequel permet de valider la déclaration en ligne. Les enquêteurs recueillent, conformément aux exigences de l'article 803-1 du CPP, le consentement de la personne concernée pour la mise en œuvre de la communication électronique pénale.
Ces données sont ensuite transmises, via des échanges inter-applicatifs, au traitement Cassiopée. De cette manière, l'utilisateur de Cassiopée pourra générer un courrier électronique à destination de la personne concernée afin de l'aviser des suites de la procédure la concernant.
Or, pour permettre la mise en œuvre concrète de cette communication électronique en matière pénale, les autorités judiciaires doivent disposer au sein de Cassiopée de l'adresse électronique et des numéros de téléphone de la personne concernée. En pratique, les logiciels de rédaction de procédure de la police et de la gendarmerie nationales (LRPPN 2 et LRPGN) permettent une transmission automatisée au parquet des informations contenues dans les procédures judiciaires, par l'intermédiaire d'une interconnexion avec le traitement Cassiopée. Dès lors, ce sont ces logiciels de rédaction des procédures qui vont enrichir le traitement Cassiopée des données nécessaires à la mise en œuvre de cette fonctionnalité de communication électronique en matière pénale (adresse électronique et numéros de téléphone).
Dans ce contexte, l' annexe au décret n° 2011-110 du 27 janvier 2011 relative aux données collectées doit être modifiée afin de prévoir la collecte et l'enregistrement de ces données dans LRPPN 2.
La commission estime, s'agissant des victimes, que ces données sont adéquates, pertinentes et non excessives au regard des finalités assignées au traitement LRPPN 2, l'article 1er du décret du 27 janvier 2011 faisant expressément de LRPPN 2 un vecteur d'alimentation d'autres traitements.
Néanmoins, dans la mesure où il s'agit notamment de mettre en œuvre l'article 803-1 du CPP, la commission estime qu'il conviendrait également d'ajouter, au titre des données enregistrées, l'accord de la personne concernée pour la mise en œuvre de la communication électronique pénale. En effet, le consentement de la personne de la personne est une condition préalable nécessaire au recours à la communication électronique en matière pénale, expressément prévue par l'article 803-1 du CPP. Elle prend dès lors acte de l'engagement de modifier le projet de décret afin d'ajouter, au titre des données collectées, l'accord de la personne concernée pour la mise en œuvre de la communication électronique pénale, dans les conditions prévues au II de l'article 803-1 .
En deuxième lieu, la commission relève que la communication électronique peut concerner les parties à la procédure (parties civiles, personnes mises en examen, témoins assistés, prévenus), les personnes concernées par cette procédure qui ne sont pas des parties (témoins), ainsi que les personnes condamnées.
Elle prend dès lors acte que, si la communication électronique en matière pénale est pour l'instant limitée aux victimes, l'enregistrement des numéros de téléphone et de l'adresse de messagerie concernant ces catégories de personnes vise à anticiper les évolutions fonctionnelles de LRPPN et la mise en œuvre généralisée de cette communication électronique. La commission demande à être informée, conformément aux dispositions de l'article 30 de la loi du 6 janvier 1978 modifiée, du déploiement progressif de cette fonctionnalité.
Le ministère précise par ailleurs que, au-delà la mise en œuvre de la communication électronique en matière pénale, ces données constituent des éléments faisant l'objet d'investigations de la part des enquêteurs et permettant soit de confondre les auteurs de faits, de déterminer la présence de complice ou a contrario de mettre hors de cause des personnes initialement mises en cause. La commission relève enfin, par comparaison, que ces données sont enregistrées dans le logiciel de rédaction des procédures de la gendarmerie nationale (LRPGN), la collecte de ces données n'ayant fait l'objet d'aucune réserve de sa part.
En troisième lieu, l'enregistrement de ces mêmes données concernant les personnes faisant l'objet d'une enquête ou d'une instruction pour recherche des causes de la mort ou d'une disparition répond, pour le ministère de l'intérieur, à des besoins opérationnels et ne s'inscrit dès lors pas dans le cadre de la communication électronique en matière pénale. Ces données peuvent ainsi permettre de procéder à la géolocalisation du matériel et d'identifier les interlocuteurs de la personne disparue ou décédée.
En dernier lieu, la collecte de l'adresse de messagerie et des numéros de téléphone concernant les personnes physiques faisant l'objet d'une enquête administrative répond, d'après le ministère, à un besoin opérationnel. Il s'agit ainsi de faciliter et de fluidifier les échanges entre les services de police et les personnes concernées. La commission rappelle que des mesures de sécurité adéquates doivent être prises pour assurer la sécurité et la confidentialité des échanges intervenant dans le cadre des enquêtes administratives. Elle estime qu'il est d'autant plus nécessaire d'entourer ces échanges électroniques de mesures de sécurité strictes et de définir des procédures internes en la matière que ces échanges, contrairement à ceux prévus dans le cadre de la communication électronique en matière pénale, ne font l'objet d'aucun encadrement.
Par ailleurs, il est prévu d'ajouter, au titre des données collectées, des données relatives à la garde à vue (date et heure du début de la garde à vue, date et heure des prolongations de la garde à vue, date et heure de fin de la mesure). La commission relève que cette modification s'inscrit dans le cadre de l'alimentation, par LRPPN 2, du traitement dénommé Informatisation de la garde à vue (IGAV), créé par décret du 26 octobre 2016 susvisé pris après avis motivé et publié de la commission.
Dans son avis en date du 26 mai 2016, la commission avait ainsi relevé que le traitement iGAV, qui repose sur l'utilisation d'une application nationale, doit être interconnecté avec les logiciels de rédaction de procédures de la police et de la gendarmerie nationale (LRPPN 2 et LRPGN), créés par les décrets du 27 janvier 2011 susvisés. Il est ainsi prévu que les données concernant l'identité de la personne, son placement en garde à vue, les éventuelles prolongations et la fin de la mesure soient importées de ces traitements .
L'enregistrement de ces données dans LRPPN n'appelle dès lors pas d'observation de la part de la commission.
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l'action et des comptes publics d'une demande d'avis sur un projet d'arrêté autorisant l'Autorité de régulation des jeux en ligne à mettre en œuvre un traitement de données à caractère personnel dénommé contrôle et sanction des opérateurs agréés et lutte contre la fraude et le blanchiment ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L. 561-28 et L. 561-36 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26-I (2°) ;
Vu la loi n° 2010-476 du 12 mai 2010 modifiée relative à l'ouverture à la concurrence et à la régulation du secteur des jeux d'argent et de hasard en ligne ;
Vu la loi n° 2016-731 du 3 juin 2016 renforçant la lutte contre le crime organisé, le terrorisme et leur financement, et améliorant l'efficacité et les garanties de la procédure pénale, notamment son article 46 ;
Vu la loi n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique (dite loi Sapin 2 ) notamment son article 76 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2010-481 du 12 mai 2010 relatif à l'organisation et au fonctionnement de l'Autorité de régulation des jeux en ligne ;
Vu le décret n° 2010-482 du 12 mai 2010 fixant les conditions de délivrance des agréments d'opérateur de jeux en ligne, notamment son article 12 ;
Vu le décret n° 2010-509 du 18 mai 2010 relatif aux obligations imposées aux opérateurs agréés de jeux ou de paris en ligne en vue du contrôle des données de jeux par l'Autorité de régulation des jeux en ligne ;
Vu le décret n° 2010-518 du 19 mai 2010 relatif à la mise à disposition de l'offre de jeux et de paris par les opérateurs agréés de jeux ou de paris en ligne ;
Vu l'arrêté du 27 mars 2015 portant approbation du cahier des charges applicable aux opérateurs de jeux en ligne ;
Vu la délibération n° 2010-123 du 12 mai 2010 relative au projet de décret en Conseil d'Etat relatif au contrôle des données de jeux par l'Autorité de régulation des jeux en ligne (ARJEL), pris en application de la loi relative à l'ouverture à la concurrence et à la régulation du secteur des jeux d'argent et de hasard ;
Vu le dossier et ses compléments ;
Après avoir entendu Mme Joëlle FARCHY, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La loi n° 2010-476 du 12 mai 2010 relative à l'ouverture à la concurrence et à la régulation du secteur des jeux d'argent et de hasard en ligne a récemment été modifiée par la loi n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique (dite loi Sapin 2 ) et par la loi n° 2016-731 du 3 juin 2016 renforçant le dispositif de lutte contre le crime organisé, le terrorisme et leur financement, et améliorant l'efficacité et les garanties de la procédure pénale.
La commission observe à cet égard que les modifications introduites par ces textes renforcent, d'une part, les compétences de l'ARJEL en matière de contrôle et de sanction des opérateurs agréés et, d'autre part, le dispositif de lutte contre la fraude, le blanchiment des capitaux et le financement du terrorisme via de nouvelles modalités de coopération entre l'ARJEL et d'autres autorités.
C'est dans ce contexte que la commission est saisie par le ministère de l'action et des comptes publics, d'une demande d'avis portant sur un projet d'arrêté venant préciser les modalités des traitements mis en œuvre par l'ARJEL à des fins de contrôle et de sanction des opérateurs agréés et de lutte contre la fraude et le blanchiment dans le cadre de ses missions découlant de la loi du 12 mai 2010 modifiée.
Dans la mesure où les traitements ainsi mis en œuvre ont pour objet la prévention, la recherche, la constatation ou la poursuite d'infractions pénales ou l'exécution des condamnations pénales ou des mesures de sûreté, il y a lieu de faire application des dispositions de l'article 26-I (2°) de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés.
Sur les finalités
Les finalités mentionnées à l'article ler du projet d'arrêté correspondent aux missions que la loi du 12 mai 2010, modifiée par les lois précitées, a imparties à l'ARJEL.
1° S'agissant du contrôle de l'activité des opérateurs agréés et de l'éventuelle sanction des manquements à leurs obligations :
La commission rappelle que l'ARJEL est chargée de délivrer les agréments aux personnes morales souhaitant offrir des jeux et des paris en ligne en France, en s'assurant que ces derniers satisfont aux obligations édictées aux articles 15 et suivants de la loi du 12 mai 2010 modifiée et précisées dans l'arrêté du 27 mars 2015 portant approbation du cahier des charges applicable aux opérateurs de jeux en ligne.
Afin de répondre aux objectifs de régulation fixés à l'article 3 de ladite loi et, plus particulièrement, ceux relatifs à l'intégrité, la fiabilité et la transparence des opérations de jeu ainsi qu'à la lutte contre les activités frauduleuses ou criminelles et le blanchiment des capitaux et le financement du terrorisme, l'ARJEL effectue des contrôles permanent sur les données de jeu enregistrées et mises à sa disposition par les opérateurs agréés via un support matériel d'archivage (dénommé le frontal ).
A partir de ces données, l'ARJEL est susceptible d'exécuter différentes analyses pour s'assurer du respect, par les opérateurs, de leurs obligations selon des modalités portées à la connaissance de la commission à l'occasion de l'examen de la demande d'avis relative au décret du 18 mai 2010 (délibération n° 2010-123 du 12 mai 2010).
Les contrôles menés par l'ARJEL peuvent aboutir à la détection d'incidents de jeu ou d'opérations frauduleuses révélant des manquements par les opérateurs agréés à leurs obligations, lesquels peuvent faire l'objet de sanctions administratives ou pénales, prononcées par l'ARJEL ou par d'autres juridictions ou autorités administratives auxquelles l'ARJEL est habilitée à transmettre des informations en application de différentes dispositions législatives. C'est pourquoi, l'ARJEL a souhaité inclure cette finalité dans le présent projet d'arrêté.
2° S'agissant de la recherche et de l'identification de tout fait commis par un joueur ou un parieur susceptible de constituer une fraude ou de relever du blanchiment des capitaux et du financement du terrorisme :
L'article 46 de la loi du 3 juin 2016 renforçant la lutte contre le crime organisé, le terrorisme et leur financement, et améliorant l'efficacité et les garanties de la procédure pénale a modifié l'article 38 de la loi du 12 mai 2010 modifiée, qui habilite désormais l'ARJEL à utiliser les données enregistrées dans le support matériel d'archivage de chaque opérateur agréé auxquelles elle accède, pour rechercher et identifier directement des faits susceptibles de constituer une fraude ou de relever du blanchiment des capitaux ou du financement du terrorisme.
Ces contrôles systématiques seront menés sur une base périodique. Par ailleurs, des recherches ciblées ponctuelles pourront également être réalisées, notamment, suite à des signalements d'agissements provenant d'opérateurs agréés, de joueurs ou de parieurs ou mis en lumière à la suite de réquisitions judicaires ou d'échanges avec les garants de reversements des avoirs ou des tiers certificateurs visés à l'article 23-III de la loi du 12 mai 2010 modifiée.
3° S'agissant du contrôle du respect de leurs obligations par les membres et personnels de l'ARJEL et des opérateurs agréés :
Le second alinéa de l'article 36-11 de la loi du 12 mai 2010 modifiée formule une interdiction, pesant sur les membres et personnels de l'ARJEL, d'engager à titre personnel, directement ou par personne interposée, des mises sur des jeux ou paris proposés par des opérateurs de jeux ou de paris en ligne.
Afin de permettre le contrôle du respect de cette obligation l'ARJEL souhaite réaliser, ponctuellement, des opérations informatiques de rapprochements entre le fichier de gestion des ressources humaines contenant les données de ses personnels et membres, d'une part, et les données de jeux que les opérateurs agréés mettent à sa disposition, d'autre part.
Concrètement, l'ARJEL s'appuie sur des mécanismes de pseudonymisation, consistant à rapprocher des empreintes cryptographiques, générées à partir des noms, prénoms et date de naissance des joueurs.
En cas de concordance entre les informations ainsi rapprochées, établissant le manquement d'un personnel ou membre de l'ARJEL à son obligation, les personnels habilités de l'ARJEL procéderont à une analyse renforcée de l'activité de jeu en vue de l'engagement d'une éventuelle sanction.
A cet égard, le règlement intérieur de l'ARJEL prévoit que le collège de l'ARJEL se prononce sur les conséquences de la violation par l'un de ses membres de l'interdiction de jeu ou de pari en ligne, dont la sanction relève d'une décision administrative prise par le président de l'ARJEL.
La commission observe en outre que les contrôles du respect de l'interdiction de parier concernent également les propriétaires, les dirigeants, les mandataires sociaux et le personnel des opérateurs agréés, conformément aux dispositions de l'article 32 de la loi du 12 mai 2010 modifiée. Bien que cette finalité ne figure pas expressément dans le projet d'arrêté, les données d'identification relatives à ces catégories de personnes y sont mentionnées à l'article 2-III. Celles-ci proviennent des dossiers de demandes d'agrément déposés par les opérateurs et de leurs éventuelles mises à jour.
Elle invite en conséquence le ministère à compléter l'article 1er du projet d'arrêté en faisant mention du contrôle du respect de leurs obligations par les propriétaires, les dirigeants, les mandataires sociaux et le personnel des opérateurs agréés.