AgentPublic/cnil huggingface dataset:
L'article 10, j, de l'arrêté du 3 novembre 2014 définit la fraude externe par renvoi à l'article 324 du règlement (UE) n° 575/2013 du 26 juin 2013. La fraude externe est définie comme un événement causant des pertes qui sont liées à des actes de tiers visant à commettre une fraude ou un détournement d'actif ou à enfreindre/contourner la loi .
La notion de groupe dans la présente autorisation unique s'entend au sens des groupes soumis au contrôle de l'ACPR conformément à l'article L. 511-20-III du CMF et à l'arrêté du 3 novembre 2014. Les organismes d'assurance, de capitalisation, de réassurance, d'assistance et les intermédiaires d'assurance ne peuvent procéder à un engagement de conformité à la présente autorisation unique, mais doivent, le cas échéant, se référer à l'AU-039 relative au secteur de l'assurance ( délibération n° 2014-312 du 17 juillet 2014).
Les entreprises assujetties relevant de la surveillance de l'ACPR sur une base consolidée, c'est-à-dire à l'échelle du groupe ou, le cas échéant, sous-consolidée, c'est-à-dire d'une entité mère au sens du 49 de l'article 4 du règlement (UE) n° 575/2013 du 26 juin 2013, veillent à s'assurer que les systèmes mis en place, au sein de ces entreprises, sont cohérents entre eux afin de permettre une mesure, une surveillance et une maîtrise des risques encourus au niveau consolidé ou, le cas échéant, sous-consolidé.
A cette fin, elles mettent en œuvre des traitements automatisés de données à caractère personnel objets de la présente autorisation unique, qui peuvent conduire à refuser ou à rompre toute relation précontractuelle ou contractuelle avec les personnes concernées et donner lieu à des rapprochements de traitements ayant des finalités différentes.
Par conséquent, ces traitements relèvent des dispositions des articles 25-I (3° et 4°) de la loi n° 78-17 du 6 janvier 1978 modifiée et doivent, à ce titre, être autorisés par la CNIL.
En vertu du II de l'article 25, la commission peut autoriser par une décision unique une catégorie de traitements répondant aux mêmes finalités, portant sur des catégories de données identiques et ayant les mêmes catégories de destinataires,
Décide :
- d'adopter une autorisation unique pour les traitements automatisés ou non de données à caractère personnel relevant des articles 25-I (4° et 5°) de la loi n° 78-17 du 6 janvier 1978 modifiée ;
- que les organismes mentionnés ci-dessous qui souhaiteront se référer à la présente autorisation unique adresseront à cette fin à la commission un engagement de conformité pour leurs traitements qui répondent strictement aux conditions définies dans la présente décision unique et seront autorisés à mettre en œuvre ces traitements.
Tout projet de traitement automatisé ou non de données relevant des articles 25-I (4° et 5°) de la loi du 6 janvier 1978 modifiée, dont les finalités ou les catégories de données ou de destinataires excéderaient le cadre défini par la présente autorisation unique ou qui ne respecteraient pas les exigences qui y sont définies, devra faire l'objet d'une demande d'autorisation spécifique présentant et expliquant les différences entre le traitement envisagé et l'autorisation unique.
Sur le responsable de traitement :
Seules peuvent adresser un engagement de conformité à la présente autorisation unique les entités agissant en tant que responsable de traitement pour leur propre compte et répondant aux critères cumulatifs suivants :
- être visées au livre V du CMF ;
- être régulées par l'ACPR, c'est-à-dire relever de la compétence de l'ACPR au regard de l'article L. 612-2-I, A, du CMF ou pouvant être soumis à son contrôle (article L. 612-2-II) ; et
- être soumises aux dispositions de l'arrêté du 3 novembre 2014 relatif au contrôle interne.
Les entités pouvant adresser un engagement de conformité sont donc les suivantes :
- les établissements de crédit ;
- les intermédiaires en opérations de banque et services de paiement ;
- les prestataires de services de paiement ;
- les prestataires de services d'investissement ;
- les personnes qui fournissent des services d'investissement ;
- les conseillers en investissement ;
- les sociétés de financement ;
- les établissements de monnaie électronique ;
- les compagnies financières holding ;
- les entreprises mères de société de financement.
Par ailleurs, pourront effectuer un engagement de conformité à cette autorisation unique les entités contrôlées par les organismes susmentionnés lorsque l'activité de ces entités peut être qualifiée de connexe au sens de l'article L. 311-2 du CMF et qu'elle relève par conséquent du périmètre consolidé du contrôle interne au sens de l'article 3 de l'arrêté du 3 novembre 2014.
Chacune de ces entités est désignée sous le terme entité dans la présente autorisation unique.
Sur la finalité du traitement :
Peuvent procéder à un engagement de conformité à la présente autorisation unique, les entités mettant en œuvre des traitements automatisés de données à caractère personnel ayant pour finalité la prévention et la lutte contre la fraude externe.
La présente autorisation unique ne vise que les cas de fraude externe et de fraude mixte (fraude externe intervenant avec la complicité d'un collaborateur de l'entité). Elle comprend le traitement de :
- l'alerte générée après la détection d'une anomalie, d'une incohérence ou du signalement d'un acte pouvant relever d'une fraude, alerte qui est analysée manuellement par les personnes habilitées ;
- la fraude avérée qui s'entend comme une fraude ou une tentative de fraude qualifiée comme telle par l'entité à la suite d'investigations par les personnes habilitées.
Les cas de fraude interne ne relèvent pas de cette autorisation unique. La fraude externe concerne les personnes parties ou intéressées au contrat (clients, bénéficiaires effectifs) et les personnes intervenant au contrat (sous-traitants et prestataires de services, intermédiaires financiers, etc.).
Le périmètre matériel de l'autorisation unique est la lutte contre la fraude dans le cadre des activités relatives aux contrats portant sur les services et produits bancaires, financiers, de paiement et de monnaie électronique tels que définis aux livres II et III du CMF (comptes, prêts et crédits, autres contrats et services bancaires et financiers) ainsi que des produits et services dits connexes , délivrés par les organismes bancaires et financiers relevant du CMF (exemples : location longue durée, opération de change, tenue de coffre-fort, etc.), ci-après désignés globalement services bancaires et financiers .
Au titre des traitements couverts par la présente autorisation unique sont visées :
- la détection des actes réalisés dans le cadre de la passation, la gestion et l'exécution des contrats présentant une anomalie ou une incohérence ;
- la gestion et l'analyse des alertes provenant de sources d'information (le dispositif de contrôle interne au sens de l'arrêté du 3 novembre 2014, les réclamations clients, les réquisitions judiciaires et des autorités de régulation et les alertes émises directement par les collaborateurs) ;
- la constitution par l'entité de listes des personnes dûment identifiées comme auteurs d'actes qualifiés de fraude ou de tentative de fraude externe qualifiée comme telle par l'entité à la suite d'investigations.
Ces traitements permettent de prévenir, de détecter ou de gérer les opérations, actes, ou omissions dans le cadre de la passation, la gestion et l'exécution des contrats présentant un risque de fraude.
L'objectif de lutte contre la fraude peut donner lieu à des croisements ponctuels de données provenant des traitements mis en œuvre par les entités, répondant aux finalités suivantes :
- la gestion commerciale de clients et de prospects ;
- la passation, la gestion et l'exécution des contrats portant sur les services bancaires et financiers tels que définis dans la présente autorisation unique ;
- la gestion des relations contractuelles avec les intermédiaires en opérations de banque et services de paiement, les prestataires de services ou autres tâches opérationnelles essentielles ou importantes visés à l'article 10, r, de l'arrêté du 3 novembre 2014, les sous-traitants, les délégataires ;
- la lutte contre le blanchiment et le financement du terrorisme telle que prévue par l'AU-003 pour les cas de fraude relevant également de cette finalité ;
- la gestion des alertes résultant d'un dispositif d'alerte professionnelle , qui doit s'effectuer conformément à l'autorisation unique 004, délibération n° 2005-305 du 8 décembre 2005 modifiée ou à la délibération individuelle autorisant le traitement ;
- la constitution par l'entité de listes des personnes dûment identifiées comme auteurs d'actes qualifiés de fraude ou de tentative de fraude externe ;
- la gestion des procédures amiables et contentieuses, consécutives à un cas de fraude, mises en œuvre conformément à la délibération n° 2016-005 du 14 janvier 2016 portant autorisation unique de traitements de données à caractère personnel mis en œuvre par les organismes publics et privés pour la préparation, l'exercice et le suivi de leurs contentieux ainsi que l'exécution des décisions rendues (AU-046) ou à la délibération autorisant le traitement.
Sur le partage des données relatives à la fraude entre les entités d'un même groupe :
Au regard de leurs activités et de leur organisation, les entités d'un même groupe peuvent être amenées à partager ponctuellement les informations relatives aux soupçons de fraude (visés par l'article L. 561-20 du CMF dans le cadre de la déclaration de soupçon en matière de lutte contre le blanchiment des capitaux et le financement du terrorisme) et de cas de fraude avérée (option n° 1), ou à avoir recours à un traitement mutualisé intragroupe dans lequel sont consignées les données relatives aux auteurs de fraudes avérées et à leurs victimes (option n° 2). Les entités adressant un engagement de conformité à la présente autorisation unique peuvent selon les structures organisationnelles et les moyens techniques opter soit pour la première option (partage ponctuel) soit pour la seconde (base mutualisée entre les entités d'un même groupe). Le choix entre ces deux options s'opère au niveau du groupe.
Option n° 1 : partage ponctuel des données :
Le principe du partage doit s'inscrire dans le strict cadre du respect des obligations des entités au regard de l'arrêté du 3 novembre 2014 relatif au contrôle interne et de l'article L. 511-34 du CMF autorisant le partage des données liées à la fraude au sein du groupe dès lors que le partage répond à la gestion adéquate d'un risque opérationnel et qu'il intervient dans les conditions fixées à l'article précité. Ces partages d'informations sont notamment prévus pour les besoins de :
- la surveillance sur base consolidée ;
- l'organisation de la lutte contre le blanchiment de capitaux et contre le financement du terrorisme ;
- l'organisation de la détection des opérations d'initié ou des manipulations de cours.
En particulier, le partage d'informations ne devra pas méconnaître le principe du secret professionnel ( secret bancaire ) tel que défini par l'article L. 511-33 du CMF, qui interdit la communication d'informations confidentielles à des tiers sans l'accord exprès et au cas par cas du client, sauf hypothèses limitativement énumérées par le CMF.
Le partage des données relatives aux fraudes est réalisé selon des modalités permettant de garantir la sécurité, la confidentialité et le cloisonnement des données ainsi que leur communication aux seules personnes habilitées au regard de leurs attributions.
Peuvent être traitées dans le cadre du partage des données relatives aux soupçons de fraudes visées par l'article L. 531-20 du CMF et de fraudes avérées les données suivantes :
- les données d'identification de l'auteur de la fraude avérée et de la victime : nom ; nom d'usage ; prénoms ; sexe ; date et lieu de naissance ; nationalité ; adresse, numéros de téléphone ; adresse électronique ;
- le motif d'inscription (auteur/victime) ;
- la nature de la fraude et la typologie de la fraude ;
- les données d'identification des personnes à contacter au sein de la cellule fraude de l'entité déclarante.
Dans le cadre de la constitution du traitement recensant les cas de fraude avérée, seules peuvent être habilitées à accéder à tout ou partie des données sous réserve qu'elles soient nécessaires à l'accomplissement de leurs attributions les personnes suivantes :
- les personnels habilités en charge de la lutte contre la fraude au sein de l'entité et/ou des entités d'un même groupe répondant aux critères de l'article 1er de la présente autorisation unique ;
- les personnels habilités en charge de la lutte contre le blanchiment et le financement du terrorisme au sein de l'entité et/ou des entités d'un même groupe répondant aux critères de l'article 1er de la présente autorisation unique.
La commission rappelle que les personnes chargées du recueil et du traitement des alertes doivent être en nombre limité, spécialement formées et astreintes à une obligation renforcée de confidentialité préalablement définie.
Option n° 2 : mutualisation intragroupe des données relatives aux auteurs de fraudes avérées et à leurs victimes :
Au regard de leurs activités et de leur organisation, les entités d'un même groupe peuvent avoir recours à un traitement mutualisé intragroupe dans lequel sont consignées les données relatives aux auteurs de fraudes avérées et à leurs victimes.
Le partage des données liées à la fraude vise en particulier à prévenir de nouveaux agissements frauduleux opérés par les mêmes auteurs au détriment d'une ou de plusieurs entités d'un même groupe ou de leurs clients. Ce partage s'inscrit également dans le cadre du respect des obligations des entités au regard de l'arrêté du 3 novembre 2014 relatif au contrôle interne et de l'article L. 511-34 du CMF et doit être effectué dans le respect du secret professionnel ( secret bancaire ), tel que défini par l'article L. 511-33 du CMF.
Le partage des données relatives aux fraudes avérées est réalisé selon des modalités permettant de garantir la sécurité, la confidentialité et le cloisonnement des données ainsi que leur communication aux seules personnes habilitées au regard de leurs attributions.
A ce titre, des garanties techniques devraient être mises en œuvre via le recours à un traitement fonctionnant sur le principe d'une conservation des données par chaque entité ou service dédié, qui doit garder la maîtrise des données sources en assurant une meilleure sécurisation des données et des mises à jour plus aisées tout en permettant de requêter les bases de données. Les garanties suivantes doivent être prévues :
- limiter les éléments strictement nécessaires aux personnes ayant le droit d'en connaître ;
- authentifier les intervenants au système par des solutions d'authentification forte assurant une traçabilité de qualité ;
- assurer un suivi strict de ces traces et limiter la typologie des informations requérables en fonction des profils des utilisateurs ;
- définir la politique de gestion des habilitations dans le respect de l'organisation du contrôle interne du responsable de traitement ;
- s'assurer de l'existence de clauses contractuelles spécifiques dans les contrats de travail notamment s'agissant de la confidentialité ;
- organiser les données entrantes, sortantes et leur utilisation de façon claire et sécurisée (dans le transport, le stockage et les accès) ;
- cloisonner les environnements de plus grande sensibilité dans un système d'information dédié qui ne soit pas en lien avec les environnements de production de l'entreprise. Les accès à ces environnements ne doivent être possibles que depuis des postes spécifiques appartenant à un réseau cloisonné et physique identifié.
De manière générale, des règles minimales d'inscription dans les listes de fraudeurs qui soient communes au groupe doivent être prévues, à savoir :
- les listes doivent être proportionnées afin de préserver la sectorisation : les fichiers mutualisés ou communs ne peuvent être mis en œuvre que dans le secteur d'activité bancaire et financier avec des garanties propres à assurer le respect de la sectorisation, qu'elles soient d'ordre technique (contrôle d'accès, gestion des habilitations, journalisation des connexions ou des interrogations) ou contractuel ;
- seules les personnes identifiées de manière certaine devront faire l'objet d'une inscription (adoption de mesures permettant de pallier tout risque d'homonymie, notamment dans des cas signalés d'usurpation d'identité) ;
- les motifs d'inscription doivent être préétablis et reposer sur des motifs objectifs opposables à la personne concernée, faisant abstraction de tout jugement de valeur ou d'une appréciation de son comportement ;
- l'inscription doit être effectuée par des agents ayant la compétence pour vérifier le caractère certain de la tentative ou de la fraude imputée à la personne concernée ;
- les durées de conservation des données enregistrées doivent être proportionnées au regard des motifs d'inscription. Des procédures de mise à jour régulière et de suppression des informations doivent être mises en œuvre ;
- la sécurité et la confidentialité des données doivent être assurées.
En cas de demande d'entrée en relation, le traitement mutualisé intragroupe sera consulté par le service en charge de la prévention de la fraude de l'entité. En cas d'occurrence, le dossier fera l'objet d'une analyse approfondie par les personnels habilités en charge de la lutte contre la fraude, qui vérifieront notamment s'il s'agit d'un cas d'homonymie, ou si la personne est connue pour avoir perpétré ou tenté de perpétrer des fraudes ayant entraîné des pertes financières pour le groupe. Si tel est le cas, l'entité pourra refuser l'entrée en relation contractuelle.
Peuvent être traitées dans le cadre du partage des données relatives aux fraudes avérées les données suivantes :
- les données d'identification de l'auteur de la fraude avérée et de la victime : nom ; nom d'usage ; prénoms ; sexe ; date et lieu de naissance ; nationalité ; adresse, numéros de téléphone ; adresse électronique ; les données relatives à son employeur lorsque la personne concernée est employée d'un intermédiaire en opérations de banque et services de paiement, d'un prestataire de services ;
- le motif d'inscription (auteur/victime) ;
- la nature de la fraude et la typologie de la fraude ;
- les données d'identification des personnes à contacter au sein de la cellule fraude de l'entité déclarante pour obtenir des informations complémentaires.
Dans le cadre de la constitution du traitement recensant les cas de fraude avérée, seules peuvent être habilitées à accéder à tout ou partie des données sous réserve qu'elles soient nécessaires à l'accomplissement de leurs attributions les personnes suivantes :
- les personnels en relation avec la clientèle (pour les seuls messages d'alerte dans le cadre de l'étude du contrat portant sur les services bancaires et financiers) ;
- les personnels habilités en charge de la lutte contre la fraude au sein de l'entité et/ou des entités d'un même groupe répondant aux critères de l'article 1er de la présente autorisation unique ;
- les personnels habilités en charge de la lutte contre le blanchiment et le financement du terrorisme au sein de l'entité et/ou des entités d'un même groupe répondant aux critères de l'article 1er de la présente autorisation unique.
En particulier, le partage d'informations ne devra pas méconnaître le principe du secret professionnel ( secret bancaire ) qui interdit la communication d'informations confidentielles à des tiers sans l'accord exprès et au cas par cas du client, sauf hypothèses limitativement énumérées par le CMF.
La commission rappelle que les personnes chargées du recueil et du traitement des alertes doivent être en nombre limité, spécialement formées et astreintes à une obligation renforcée de confidentialité préalablement définie.
Sur la nature des données traitées :
Les entités du secteur bancaire et financier sont confrontées à différents types de fraudes. L'analyse et la détection d'anomalie pouvant révéler une fraude externe dans le cadre de la passation, la gestion et l'exécution des contrats peuvent conduire au traitement de nombreuses données.
La commission rappelle que les données à caractère personnel ne peuvent être collectées que si elles sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie. L'entité doit dès lors être en mesure de justifier du caractère nécessaire des données à caractère personnel effectivement collectées.
Peuvent être traitées, pour l'accomplissement des finalités décrites à l'article 2, les catégories de données suivantes, qui ont été collectées dans le cadre de :
- la passation, la gestion et l'exécution des contrats portant sur les services bancaires et financiers tels que définis dans la présente autorisation unique ainsi que celles relatives à la gestion de la relation commerciale :
- les données d'identification des personnes parties au contrat (client, bénéficiaire effectif, etc.), ainsi que les prospects ;
- les données relatives à la situation personnelle, familiale et professionnelle, les informations d'ordre économique et financier et habitudes de vie en lien avec la conclusion des contrats portant sur les services bancaires et financiers tels que définis dans la présente autorisation unique ;
- les données relatives aux opérations commerciales et au suivi de la relation commerciale ;
- les données relatives aux anomalies, incohérences et signalement pouvant révéler une fraude ;
- les données relatives aux investigations, à l'instruction du dossier de fraude et à l'évaluation du périmètre et de la nature de la fraude présumée ou avérée et à ses suites ;
- les données relatives à l'appréciation du risque, à la détermination ou à l'évaluation des préjudices ;
- les données d'identification des personnes intervenant dans la détection et la gestion de la fraude ;
- les données relatives aux mouvements financiers, aux moyens de paiement, aux transactions/opérations (y compris transactions financières) ;
- les données de navigation et de connexion aux systèmes d'information, pouvant comprendre les données de localisation et les données relatives au matériel (y compris la configuration), collectées dans le cadre des contrats souscrits, sous réserve de respecter les dispositions applicables à toute action tendant à accéder par voie de transmission électronique à des informations déjà stockées dans l'équipement terminal de communication électronique ou à inscrire des informations dans cet équipement ;
- la gestion des relations contractuelles avec les prestataires de services ou de tâches opérationnelles essentielles ou importantes au sens de l'article 10, r, de l'arrêté du 3 novembre 2014, les intermédiaires en opérations de banque et services de paiement, sous-traitants, mandataires :
- les données d'identification ;
- les données relatives aux anomalies, aux incohérences et aux signalements pouvant révéler une fraude ;
- les données relatives au suivi de la relation contractuelle ;
- les données relatives aux investigations, à l'instruction du dossier de fraude et à l'évaluation du périmètre et de la nature de la fraude présumée ou avérée et à ses suites ;
- les données relatives à l'appréciation du risque, à la détermination ou à l'évaluation des préjudices ;