AgentPublic/cnil huggingface dataset:
(Demande d’autorisation n° 1891780)
La Commission nationale de l'informatique et des libertés,
Saisie par la société anonyme d'économie mixte à conseil d'administration ADOMA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la réalisation d’un audit interne ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses article 9 et 25 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence Dumont, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société ADOMA est une société anonyme d'économie mixte à conseil d'administration détenue par la société nationale immobilière (SNI), elle-même détenue par la Caisse des dépôts et consignations (CDC), exerçant des activités dans le domaine du logement social.Créée par les pouvoirs publics en 1956, initialement pour accueillir des travailleurs migrants, la société ADOMA a vu ses missions évoluer depuis cette date. Elle héberge actuellement plus de 71 000 personnes qui éprouvent des difficultés et ne peuvent accéder à un logement dans le parc immobilier traditionnel (jeunes en insertion, travailleurs précaires, bénéficiaires de minima sociaux, travailleurs migrants, familles monoparentales, etc.). Elle exerce, par ailleurs, des activités de construction, d’acquisition et de réhabilitation de logements. La société ADOMA est également devenue l’un des acteurs majeurs de l'insertion par le logement proposant à ses résidents de bénéficier d’accompagnements sociaux. 
Sur la finalité
La société ADOMA a déposé un dossier de demande d’autorisation préalablement à la mise en place d’un traitement automatisé de données à caractère personnel ayant pour finalité la réalisation d’un audit interne, impliquant l’interconnexion de fichiers ayant des finalités principales différentes, visant à s’assurer de l’absence d’irrégularités quant à la gestion des comptes des résidents de l’ensemble de ses résidences.A l’occasion d’un contrôle de gestion interne diligenté dans l’une des résidences gérées par ADOMA en raison d’un taux anormal d’impayés de redevances, des anomalies de gestion ont été constatées s’agissant des comptes des résidents, faisant craindre l’existence d’escroqueries, d’abus de faiblesse, de faux en écriture et d’usages de faux et justifiant en cela le dépôt d’une plainte.Pour détecter l’existence éventuelle de tels agissements dans d’autres résidences et, le cas échéant, engager les actions judiciaires nécessaires, la société ADOMA souhaite croiser dans ses fichiers les relevés d’identités bancaires (RIB) de son personnel avec ceux de ses clients pour s’assurer de la bonne affection des fonds perçus par ADOMA pour le compte de ces derniers, en vérifiant notamment que les RIB des résidents n’ont pas été remplacés par fraude ou par erreur. Dans certaines circonstances, la société ADOMA est en effet amenée à percevoir des fonds pour le compte de ses résidents, avant de les affecter à ces derniers, en particulier en cas de restitution des dépôts de
garanties ou lorsqu’elle perçoit directement en qualité de bailleur les allocations pour le logement (APL) versées au profit des résidents.Dans la mesure où ce traitement implique l’interconnexion de fichiers ayant des finalités principales différentes, d’une part, et est susceptible de porter sur des données relatives à des infractions pénales, d’autre part, la Commission considère qu’il y a lieu de faire application des dispositions des 3° et 6° du II de l’article 25 de la loi du 6 janvier 1978 modifiée soumettant à une autorisation de la Commission la mise en œuvre de tels traitementsAu regard des éléments ci-dessus reproduits, la Commission considère que la finalité du traitement objet de la présente délibération est déterminée, explicite et légitime.
Sur les données traitées
Les données du présent traitement concernent les personnes résidant dans une structure d’ADOMA, ainsi que des employés de la société ADOMA et sont relatives à :
l’identification des personnes : nom, prénoms, adresse ;
la situation économique et financière : RIB, opérations comptables et financières liées à des mouvements de fonds.
La Commission relève que le traitement soumis à son examen, en cas de découverte de manipulations frauduleuses opérées sur les RIB concernés, est susceptible de porter sur des données relatives à des infractions pénales. Conformément à la jurisprudence du Conseil d’Etat, la Commission considère, en effet, que le champ d'application de l’article 25 de la loi Informatique et Libertés couvre non seulement les données relatives aux infractions elles-mêmes, mais également les données qui, en raison des finalités du traitement, ne sont collectées que dans le but d'établir l'existence ou de prévenir la commission d'infractions, y compris par des tiers.
La Commission rappelle, s’agissant de la collecte de données relatives à des infractions pénales, que les personnes physiques et morales sont fondées, en application de l'article 9 de la loi du 6 janvier 1978 modifiée tel qu’interprété par le Conseil constitutionnel dans sa décision n° 2004-499 DC du 29 juillet 2004, à traiter de telles données en qualité de victime dans le cadre de la préparation et de l’exercice d’un recours juridictionnel. Par une réserve d'interprétation, le Conseil a en effet estimé que la déclaration d'inconstitutionnalité du 3° de l'article 9 de la loi du 6 janvier 1978 modifiée ne saurait être interprétée comme privant d'effectivité le droit d'exercer un recours juridictionnel dont dispose toute personne physique ou morale, s'agissant des infractions dont elle a été victime.
La Commission considère dès lors que la collecte de données pouvant se rapporter à des infractions pénales est en l’espèce légitime et conforme aux dispositions de l’article 9 de la loi du 6 janvier 1978 modifiée.
La Commission estime, par conséquent, que les données précédemment listées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie par le responsable de traitement.
Sur les destinataires
Seuls les employés de la société ADOMA habilités à mener les opérations d’audit précitées et à gérer les suites données aux constatations issues de ces dernières peuvent accéder aux données du présent traitement.Ces dernières ne sont pas transmises à un destinataire externe, mais elles peuvent néanmoins être transmises à des auxiliaires de justice et à l’autorité judiciaire dans le cadre de la préparation ou de l’exercice d’un recours juridictionnel.La Commission considère que ces destinataires présentent un intérêt légitime à accéder aux données du présent traitement, sous réserve que les données rendues accessibles présentent un lien direct et nécessaire avec leurs fonctions 
Sur l’information et le droit d’accès 
Les personnes concernées par le traitement sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales sur formulaires, une mention sur le site internet de la société, dans les contrats de travail, dans la charte informatique ou par l’envoi d’un courrier personnalisé.La Commission considère que ces modalités d’information des personnes sont satisfaisantes.Les droits d’accès, de rectification et d’opposition pour motif légitime, prévus par les articles 38, 39 et 40 de la loi du 6 janvier 1978 modifiée, s’exercent auprès du Secrétariat général basé au siège de la société ADOMA.La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
Le responsable d’un traitement de données à caractère personnel, en application de l’article 34 de la loi du 6 janvier 1978 modifiée, doit prendre toutes les précautions utiles pour préserver la sécurité des données collectées et traitées, au regard de la nature des données, des risques présentés par le traitement, et notamment empêcher que des tiers non autorisés y aient accès par l’intermédiaire de mesures de sécurité physiques, logiques et organisationnelles.En l’espèce, la Commission relève l’existence de mesures de sécurité prises par le responsable de traitement afin de préserver la sécurité des données et, notamment, empêcher que des tiers non autorisés y aient accès.L’authentification des utilisateurs du présent traitement est assurée par des mots de passe. A cet égard, la Commission rappelle que ces derniers doivent respecter ses recommandations en la matière, à savoir comporter au moins dix caractères de trois types distincts.Des profils d’habilitation définissent les données et les fonctionnalités accessibles en fonction des rôles des différents utilisateurs. A cet égard, la Commission rappelle que la gestion des habilitations doit faire l’objet de procédures formalisées validées par le responsable de traitement et portées à la connaissance des utilisateurs, et être régulièrement mise à jour.Les échanges de données sont assurés sur un réseau privé au moyen de liaisons spécialisées (LS). Des sauvegardes régulières permettent de garantir l’intégrité et la
disponibilité du système. Les sauvegardes sont stockées dans un lieu garantissant leur confidentialité.Les interventions de maintenance sont enregistrées dans une main-courante. Les opérations de maintenance qui nécessitent d’accéder à des données à caractère personnel sont par ailleurs effectuées selon une procédure particulière. La maintenance des matériels par un sous-traitant est faite en présence d’un informaticien de l’entreprise et les opérations de télémaintenance sont supervisées par une personne habilitée de la DSI de la société ADOMA.Des mesures de sécurité physiques protègent l'accès aux locaux et les équipements. Une fonctionnalité de journalisation a été définie pour les opérations de consultation, de création, de  mise à jour et de suppression. Les accès à l’application font l’objet d’une journalisation répertoriant la date et l’heure de connexion, l’identifiant du poste de travail, l’identifiant de l’utilisateur, la date et l’heure de déconnexion, l’opération effectuée et, enfin, la saisie et les changements de RIB des résidents. Les accès aux fichiers de données à caractère personnel font quant à eux l’objet d’une journalisation répertoriant la date et l’heure d’accès, l’identifiant du poste de travail, l’identifiant de l’utilisateur, la référence des données accédées et, enfin, la saisie et les changements de RIB des résidents. La Commission recommande qu’un contrôle des traces soit effectué de manière automatique, pour détecter les comportements anormaux,
et de prévoir des mesures pour assurer l’intégrité des traces.Sous réserve de ses observations précédentes, la Commission estime que les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle que l'usage d'outils ou de logiciels développés par des tiers dans le cadre de la mise en œuvre d'un traitement de données à caractère personnel reste sous la responsabilité du responsable de traitement qui doit notamment vérifier que ces outils ou logiciels respectent l'ensemble des obligations que la loi du 6 janvier 1978 modifiée met à sa charge. Elle rappelle également qu’un responsable de traitement conserve la responsabilité des données à caractère personnel communiquées ou gérées par ses sous-traitants et, le cas échéant, que le contrat établi entre les parties doit mentionner les objectifs de sécurité qu'un sous-traitant doit respecter.La Commission rappelle enfin que l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée nécessite la mise à jour des mesures de sécurité, au regard de la réévaluation régulière des risques et de l’évolution des technologies.
Sur les autres caractéristiques du traitement
Les données collectées et traitées dans le cadre des opérations d’audit précitées sont supprimées du présent traitement dès la constatation d’absence d’opérations frauduleuses. Dans le cas contraire, c'est-à-dire lorsque des opérations frauduleuses sont soupçonnées sur la base des résultats des opérations d’audit, les données peuvent être conservées jusqu’à la prescription de l’action en justice correspondante ou, le cas échéant, jusqu’au prononcé de la décision définitive.  La Commission considère que les données enregistrées dans le traitement sont conservées pour une durée qui n’excède pas la durée nécessaire à la finalité pour laquelle elles sont collectées et traitées.
Autorise, conformément à la présente délibération, la société anonyme d'économie mixte à conseil d'administration ADOMA à mettre en œuvre le traitement susmentionné.
Pour La Présidente
La Vice-Présidente déléguée,
M.-F. MAZARS
(Demande d’autorisation n° 1950533)
La Commission nationale de l'informatique et des libertés,
Saisie par la Banque Populaire des Alpes d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la détection des clients en situation de fragilité financière afin de leur proposer des mesures d'accompagnement adaptées ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-7° ;
Vu le code monétaire et financier et notamment son article L.312-1-1 A, créé par la loi n°2013-672 du 26 juillet 2013 de séparation et de régulation des activités bancaires ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 5 novembre 2014 portant homologation de la charte d'inclusion bancaire et de prévention du surendettement ;
Après avoir entendu M. Jean-Luc VIVET, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
Responsable du traitement
Banque Populaire des Alpes.
Sur la finalité
La Banque Populaire des Alpes souhaite mettre en place un mécanisme de détection précoce de ses clients en situation de fragilité financière en combinant les dispositifs d’alertes internes et de connaissance client. 
Le dispositif envisagé permet d’identifier les difficultés financières des clients au regard de l’utilisation des produits et des services qu’ils ont souscrits et sur la base des critères suivants :
Il s’agit d’une part de critères relatifs au profil : 
les clients majeurs  à l’exception de ceux qui font l’objet d’une gestion patrimoniale ;
qui ne sont pas en situation de surendettement connue et déclarée ;
qui sont titulaires ou co-titulaires d’un compte chèque et d’un prêt personnel.
la détention d’un découvert autorisé ;
le statut résidentiel (propriétaire, logé à titre gratuit, locataire, non connu) ;
l’existence de frais de rejet et de commissions d’intervention sur le trimestre ;
l’utilisation d’un  crédit renouvelable ;
la surface financière (total des avoirs du client en moyenne sur 3 mois) ;
le rapport entre le montant de l’échéance mensuelle et le capital total emprunté du prêt personnel ;
l’existence  d’impayés sur crédit sur 2 mois consécutifs ou plus au cours des 6 derniers mois.
En outre, si sa situation l’exige, le client peut être orienté avec son consentement vers les organismes gestionnaires de prestations sociales : les collectivités locales, les institutions ayant une mission de service public ou des associations caritatives jouant le rôle de médiation sociale. 
Il s’agit ainsi de favoriser l’accès d’une part, aux droits et prestations auxquels les personnes peuvent prétendre, et d’autre part, aux  acteurs du milieu associatif spécialisés dans l’accompagnement des personnes en difficultés afin de proposer aux clients des solutions ou des offres adaptées.
Ces différents acteurs prennent en charge le client selon leur processus interne de traitement de situation de « mal endettement » ou de surendettement. Tous les échanges ultérieurs entre le client et les partenaires relèvent de leur seule responsabilité et ne sont pas communiqués à la banque. Ainsi, le service proposé par la banque ne se substitue en aucun cas à l’accompagnement des acteurs sociaux mais intervient en amont et en complément d’un accompagnement social. 
La Commission observe que les clients détectés, mais qui ne se manifesteraient pas suite à la réception de la proposition de prise de contact, ne font l’objet d’aucune autre action,  ni limitation dans l’usage des produits et services précédemment souscrits, ou dans ceux qu’ils envisageraient de souscrire ultérieurement.
Les données sont conservées pendant une durée maximale de 5 ans et sont ensuite supprimées. Cette durée correspond notamment à celle prévue en matière d’incidents de remboursement des crédits aux particuliers (article L 333-4 et suivants du code de la consommation).
Dès lors, la Commission considère qu’elle est conforme aux dispositions de l’article 6-4° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des informations sont, dans la limite de leurs attributions, les conseillers clientèle de la banque populaire des Alpes, la structure dédiée dénommée, Qualité Relation Client (QRC), ainsi que Natixis Financement et CASDEN (Groupe BPOC), pour les clients communs.Les acteurs du milieu associatif seront également destinataires des données relatives à l’identification des clients, à la vie personnelle et professionnelle dès lors que le client aura donné son consentement.La Commission relève que les informations d’ordre économique et financier ne seront en aucun cas transmises à un tiers externe à la banque.La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la banque sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition dans les conditions contractuelles de la convention de compte.La mention d’information qui y figure rappelle notamment que les droits d’accès et de rectification s’exercent auprès du service qualité client de la banque populaire des Alpes à l’adresse suivante : 30, avenue Charles de gaulle, 74808 LA ROCHE SUR FORON.Les clients orientés vers les acteurs du milieu associatif devront préalablement donner leur consentement exprès pour la transmission de leurs coordonnées, afin d’être mis en contact. La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
La Commission relève que les informations pouvant être recueillies lors de l’entretien ne pourront porter que sur des éléments objectifs liés aux difficultés financières du client (revenus, charges actuelles ou futures…).La Commission rappelle que les informations concernant les clients et relatives à la vie personnelle et professionnelle, communiquées par la banque aux autres organismes nécessite au préalable la levée du secret bancaire, avec le recueil du consentement de la personne. 
Autorise, conformément à la présente délibération, la Banque Populaire des Alpes à mettre en œuvre le traitement susmentionné.
Pour La Présidente
La Vice-Présidente déléguée,
M.-F. MAZARS
(Demande d’autorisation n° 1950535)
La Commission nationale de l'informatique et des libertés,
Saisie par la Banque de Savoie d’une demande d’autorisation concernant  un traitement automatisé de données à caractère personnel ayant pour  finalité la détection des clients en   situation de fragilité financière afin de leur proposer des mesures d'accompagnement   adaptées ;
Vu la Convention n° 108 du Conseil de l’Europe pour la  protection des personnes à l’égard du traitement automatisé des données à  caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du  24 octobre 1995 relative à la protection des personnes physiques à l’égard du  traitement de données à caractère personnel et à la libre circulation de ces  données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à  l’informatique, aux fichiers et aux libertés, notamment son article 25-I-7° ;
Vu le code monétaire et financier et notamment son article  L.312-1-1 A, créé par la loi n°2013-672 du 26 juillet 2013 de séparation et de  régulation des activités bancaires ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour  l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique,  aux fichiers et aux libertés ;
Vu l’arrêté du 5  novembre 2014 portant homologation de la charte d'inclusion bancaire et de  prévention du surendettement ;
Après avoir entendu M. Jean-Luc VIVET, commissaire, en  son rapport, et M. Jean-Alexandre   SILVY, commissaire du Gouvernement, en ses observations.
 
Formule les observations suivantes :
 
Responsable   du traitement
Banque de   Savoie.
Sur la finalité
La Banque de Savoie souhaite mettre en place un mécanisme de   détection précoce de ses clients en situation de fragilité financière en   combinant les dispositifs d’alertes internes et de connaissance client. 
 
Le dispositif envisagé permet d’identifier les difficultés   financières des clients au regard de l’utilisation des produits et des services   qu’ils ont souscrits et sur la base des critères suivants :
 
Il s’agit d’une part de critères relatifs au profil : 
-            les clients majeurs  à l’exception de   ceux qui font l’objet d’une gestion patrimoniale ;
-            qui ne sont pas en situation de surendettement   connue et déclarée ;
-            qui sont titulaires ou co-titulaires d’un   compte chèque et d’un prêt personnel.
 
Et d’autre part, de critères liés à l’utilisation des produits   et des services et au comportement financier des clients :
-            la détention d’un découvert autorisé ;
-            le statut résidentiel (propriétaire, logé à   titre gratuit, locataire, non connu) ;
-            l’existence de frais de rejet et de   commissions d’intervention sur le trimestre ;
-            l’utilisation d’un  crédit   renouvelable ;
-            la surface financière (total des avoirs du   client en moyenne sur 3 mois) ;
-            le rapport entre le montant de l’échéance   mensuelle et le capital total emprunté du prêt personnel ;
-            l’existence  d’impayés sur crédit sur 2   mois consécutifs ou plus au cours des 6 derniers mois.
 
A partir de ces critères, les clients qui seront identifiés comme   susceptibles d’être en situation de fragilité financière, recevront un   courrier leur proposant de rencontrer leur conseiller afin de faire le point   sur leur situation financière. 
 
Il s’agit d’un entretien facultatif à la demande du client qui   consiste d’une part, à identifier les éventuelles difficultés financières et   leurs causes et d’autre part, à vérifier si l’équipement est adapté à la   situation du client afin de lui proposer des solutions de paiement, de   gestion du compte ou du crédit adaptés.
 
En outre, si sa situation l’exige, le client peut être orienté avec   son consentement vers les organismes gestionnaires de prestations   sociales : les collectivités locales, les institutions ayant une mission   de service public ou des associations caritatives jouant le rôle de médiation   sociale.