AgentPublic/cnil huggingface dataset:
Les données issues des questionnaires et rapports sont conservées par Securimate dans la base active 90 jours après la finalisation de la procédure de vérification, et le cas échéant de la clôture des dossiers comportant un risque particulier.Les données seront ensuite archivées pendant 10 ans pour pouvoir justifier des diligences auprès des autorités, le cas échéant. Elles ne seront accessibles que par le Département Conformité aux Etats-Unis. Les données sont transférées au Département Conformité de la société mère et à la société Securimate situées aux États-Unis et tous deux adhérents au Safe Harbor. 
Autorise, conformément à la présente délibération, WALT DISNEY FRANCE à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1806313)
La Commission nationale de l'informatique et des libertés,
Saisie par THE WALT DISNEY COMPANY (France) SAS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la prévention de risque de corruption de ses « Agents »;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 7-5° et 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-Hélène MITJAVILE, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société « EURO DISNEY Associés SCA » (ci-après « EURO DISNEY » fait donc partie du groupe de sociétés Disney, dont la maison mère, The Walt Disney Company est située en Californie aux Etats-Unis.
Sur la finalité
Sur le fondement de l’article 25-I-4 de la loi du 6 janvier 1978 modifiée qui prévoit que sont soumis à autorisation préalable les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire, la Commission a été saisie par la société EURO DISNEY d’une demande d’autorisation relative à un traitement ayant pour finalité la prévention de la corruption et consistant à mettre en œuvre la politique et les procédures du groupe Disney destinées à évaluer le risque présenté par ses « Agents » en matière de corruption et à assurer la conformité aux réglementations anti-corruption applicables au groupe.Un « Agent », est une personne physique ou morale agissant pour le compte du groupe Disney ou de l’une de ses entités. La Commission considère qu’il y a lieu d’analyser le traitement au regard de l’article 7-5° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements de données à caractère personnel peuvent être mis en œuvre notamment dans l'intérêt légitime du responsable de traitement, dès lors que celui-ci est établi, sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux des personnes concernées. La société EURO DISNEY se prévaut notamment à l’appui de sa demande d’autorisation des dispositions du « Foreign Corrupt Practices Act » américain (ci-après FCPA) en
date du 20 décembre 1977, du « UK Bribery Act », ci-après UKBA et des articles 435-3 et suivants du code pénal français.Le renforcement des législations européenne et internationale en matière de lutte contre la corruption, en particulier dans le cadre des relations avec des agents publics, conduit des sociétés telles qu’EURO DISNEY à mettre en place un système de détection et de prévention de la corruption. En particulier, la loi britannique « UK Bribery Act » (UKBA) du 8 avril 2010 impose la mise en œuvre de procédures de contrôles préalables (« due diligence ») dans les entreprises multinationales dans le domaine de la lutte contre la corruption.La société mère EURO DISNEY est soumise au FCPA UK Bribery Act non seulement en ce qui concerne ses propres activités, mais aussi au titre des sociétés non américaines qui lui sont affiliées. S’agissant de l’UK Bribery Act, les sociétés françaises sont soumises à cette législation dès lors qu'elles ont une activité, même partielle, sur le territoire du Royaume-Uni, ou qu'elles sont partenaires de sociétés soumises à l’UKBA.Afin d’assurer la conformité du groupe à ses dispositions, The Walt Disney Company a mis en place une politique et des procédures internes encadrant les relations avec les Agents et applicables à toutes les sociétés du groupe, y compris la société EURO DISNEY.Le traitement envisagé par la société EURO DISNEY vise à identifier les transactions présentant un risque de corruption, par le biais d’un système reposant
sur une évaluation progressive adaptée au risque encouru. La société EURO DISNEY souhaite vérifier l’intégrité de ses Agents actuels et potentiels. Le traitement porte essentiellement sur des entités personnes morales et de manière ponctuelle sur des personnes physiques (« hommes clefs » des entités).Dans le cadre de la procédure de vérification, l’étendue des vérifications effectuées à l’égard de chaque Agent est graduée : analyse globale du risque, vérifications sur la réputation des Agents et renseignement d’un questionnaire. S’agissant de l’évaluation du risque, les profils de risque sont définis sur la base de différents facteurs, notamment la nature des prestations fournies ou qui seraient fournies par l’Agent au nom du Groupe, le type d’interaction de l’Agent (par exemple, si l’Agent a un rôle de lobbying auprès de représentants des pouvoirs publics, ou s’il interagit avec des représentants ministériels), et l’étendue du risque. La société WALT DISNEY Company a recours à la société Securimate, une société américaine spécialisée dans la gestion des programmes de conformité, pour effectuer des recherches d’ordre général, basées soit sur des informations limitées, telles que le nom de l’Agent et le pays où il se trouve, soit basées sur des informations plus détaillées fournies par l’Agent par le biais d’un questionnaire, le « Due Diligence Questionnaire » (ci-après « DDQ »). S’agissant de la vérification de la réputation des Agents, les « due diligences » pour les Agents
présentant un niveau de risque faible sont limitées à une « vérification de leur réputation au regard des risques de corruption (« Reputation Check ») dans Securimate. Ce Reputation Check consiste à rechercher le nom d’un Agent dans une base de données constituée de listes publiques (« Watchlists »). Si la vérification ne détecte aucune correspondance (« hit »), le Département Conformité approuvera l’Agent sans qu’aucune autre vérification ne soit nécessaire. Si des diligences supplémentaires sont requises, soit en cas de « hit » avéré, soit lorsque l’Agent présente un niveau de risque plus élevé, l’Agent sera invité, par mail, à compléter un DDQ disponible sur une plateforme hébergée par Securimate. Le Département Conformité examine alors le DDQ pour identifier tout élément de nature à révéler un risque élevé de violation des lois anti-corruption. Le système Securimate effectue par ailleurs une recherche dans les listes des personnes faisant l’objet de sanctions financières ou de mesures de restriction fournies par ses prestataires (« Watchlists »).S’il n’y a pas de « hit » et pas d’autres facteurs révélant un risque élevé de violation des lois anti-corruption, le Département Conformité approuve l’Agent. Si les vérifications révèlent un « hit » (présence du nom de l’Agent dans une Watchlist), la société WALT DISNEY Company s’assure que le « hit » correspond bien à l’Agent concerné afin d’éviter tout risque de « hit » non pertinent. Ces étapes de confirmation incluent une
analyse approfondie, des demandes d’informations complémentaires auprès des contacts commerciaux et juridiques au sein de l’entité du Groupe concernée, et de l’Agent concerné. L’outil fourni par le prestataire de service est configuré de telle sorte que la société EURO DISNEY ne puisse disposer que des informations spécifiques à la lutte contre la corruption.Les informations détectées lors de ces opérations de vérification peuvent conduire la société EURO DISNEY à limiter la relation commerciale à un périmètre donné ou à suspendre la transaction engagée avec les personnes concernées, après consultation des listes des personnes faisant l’objet de sanctions financières ou de mesures de restriction fournies par ses prestataires. La Commission considère que les vérifications portant sur ces listes doivent procéder d’une obligation légale et ne doivent porter que sur une catégorie de personnes déterminée au regard du risque encouru conformément au principe de proportionnalité. Elle rappelle qu’aucune décision de refus d’entrée en relation ne peut être prise sur la base des seuls éléments d’information recueillis par le biais de l’outil utilisé, qui devront faire l’objet d’un examen individuel, permettant de lever les cas d’homonymies, après collecte, le cas échéant, d’informations complémentaires.La Commission considère que sont légitimes les vérifications portant sur les listes des personnes faisant l’objet de sanctions financières ou de mesures de restriction appliquées en
France et dans le pays d’établissement de la maison mère et émises par une autorité publique dès lors que la société EURO DISNEY est tenue de les appliquer.Dans ces conditions, la Commission estime que le traitement répond à l’intérêt légitime du responsable du traitement conformément à l’article 7-5° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Dans le cadre de la procédure de vérification préalable d’intégrité de l’Agent, les catégories de données collectées sont les suivantes :
Informations permettant l’identification de l’Agent (par exemple, nom et adresse) ; 
Informations légales ; 
Liens avec le gouvernement, des organismes publics ou des fonctionnaires ; 
Situation financière (solvabilité de l’entreprise) ; 
Membres du directoire, principaux salariés, principaux contacts professionnels intervenant dans le cadre des activités ; 
Existence de contentieux liés à la corruption ; 
Références clients et bancaires. 
Sur la base des informations fournies, des recherches d’intégrité sont lancées dans le système Securimate. 
Les éléments d’information utilisés par ce prestataire procèdent de sources officielles nationales et internationales, des informations issues de la presse, des décisions de justice ou d’autorités publiques.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
Les opérations de vérification sont réalisées par les personnes habilitées du Département Conformité (« Business Standards groupe ») situé au siège social de la société mère aux Etats-Unis et du prestataire de services Securimate. La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données traitées.
Sur l’information et le droit d’accès
Les personnes concernées seront informées de la politique menée par EURO DISNEY en matière de lutte contre la corruption via une mention figurant dans le contrat, le questionnaire et un avis relatif à la collecte et à l'utilisation des données fournies.Un contact et une adresse e-mail dédiés au sein du Groupe seront mis en place de manière à aider les Agents soumis à la procédure de vérification à se mettre en conformité avec les politiques du Groupe. Les personnes concernées pourront exercer leurs droits d’accès, de rectification et d’opposition via cette adresse mail dédiée.
Sur les mesures de sécurité
Des mesures sont prises afin de préserver la sécurité et la confidentialité des données et, notamment, empêcher que des tiers non autorisés y aient accès. Les accès au système d’information et les opérations effectuées sur les supports d’enregistrement des données sont tracés.Le contrôle d’accès logique des personnes habilitées à accéder à l’application se fait par un mot de passe contenant au moins 8 caractères, dont au moins une lettre majuscule, une lettre minuscule et un chiffre. Les précédents mots de passe ne peuvent être réutilisés. Le mot de passe doit par ailleurs être différent de l’identifiant.Les mesures de sécurité envisagées n’appellent pas d’observations particulières ; la Commission rappelle la nécessité d’une mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données issues des questionnaires et rapports sont conservées par Securimate dans la base active 90 jours après la finalisation de la procédure de vérification, et le cas échéant de la clôture des dossiers comportant un risque particulier.Les données seront ensuite archivées pendant 10 ans pour pouvoir justifier des diligences auprès des autorités, le cas échéant. Elles ne seront accessibles que par le Département Conformité aux Etats-Unis. Les données sont transférées au Département Conformité de la société mère et à la société Securimate situées aux États-Unis et tous deux adhérents au Safe Harbor. 
Autorise, conformément à la présente délibération, EURO DISNEY à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1784327)
La Commission nationale de l'informatique et des libertés,
Saisie par le Crédit Lyonnais SA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel visant à évaluer  le risque de crédit au moyen d’un système de notation interne pour définir le niveau de fonds propres réglementaires et les opérations de gestion auprès des emprunteurs ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2013/36/UE du Parlement européen et du Conseil du 26 juin 2013 concernant l'accès à l'activité des établissements de crédit et la surveillance prudentielle des établissements de crédit et des entreprises d'investissement, modifiant la directive 2002/87/CE et abrogeant les directives 2006/48/CE et 2006/49/CE ;
Vu les règlements du Comité de la réglementation bancaire et financière (CRBF) n° 90-02 du 23 février 1990 modifié relatif aux fonds propres et n° 97-02 du 21 février 1997 modifié relatif au contrôle interne des établissements de crédit et des entreprises d’investissement et notamment ses articles 18, 19 et 24 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ; 
Vu l’ordonnance n°2013-544 du 27 juin 2013 relative aux établissements de crédit et aux sociétés de financement ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du ministre de l’économie, des finances et de l’industrie du 20 février 2007 relatif aux exigences de fonds propres applicables aux établissements de crédit et aux entreprises d’investissement ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Crédit Lyonnais SA, ci-après désigné LCL, a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation d’un traitement de données à caractère personnel visant à évaluer le risque de crédit au moyen d’un système de notation interne pour définir le niveau de fonds propres réglementaires et les opérations de gestion auprès des emprunteurs.
Sur la finalité
Le traitement automatisé mis en œuvre par LCL a, en premier lieu, pour finalité la définition du niveau de fonds propres réglementaires correspondant au niveau d’exposition. Il permet ainsi :
d’évaluer pour chaque client (personne physique) le risque de crédit qu’il présente sous la forme d’une note et d’affecter chaque exposition ou chaque client ou exposition à une classe de risque homogène ;
d’élaborer, de vérifier périodiquement et d’actualiser les modèles statistiques utilisés pour mesurer le risque de crédit des personnes physiques dans le cadre de l’application, à la clientèle de détail et de professionnels, du dispositif de notation interne des risques de crédit.
le calcul des fonds propres réglementaires pour LCL,
l’aide à la décision en matière d’octroi de crédit et d’augmentation de découvert,
le renouvellement des facilités de caisse ou les pré-attributions de crédits aux professionnels,
régler les sommes dues lorsque la provision du compte est insuffisante.
Il permet en second lieu, de calculer un indicateur utilisé pour les opérations de gestion des dossiers de prêts, et intervient pour des décisions d’octroi des dossiers de prêts en fonction du niveau de risque de défaillance associé au client.
Les personnes concernées par le traitement sont exclusivement des emprunteurs, clients de LCL, qui représentent un risque de crédit désigné ci-après sous le terme « débiteurs ».
Le système de notation interne des risques de crédit repose sur une évaluation statistique de la probabilité de défaut des débiteurs et du montant des pertes en résultant. Il doit tenir compte des caractéristiques pertinentes du risque attachées à l’emprunteur et à la transaction, dont l’établissement a connaissance.
Les notes d’évaluation du risque sont mises à jour mensuellement, les probabilités de défaut (PD), le taux de défaut et les pertes en cas de défaut (LGD) sont mises à jour annuellement et exclusivement utilisés pour :
d’évaluer pour chaque client (personne physique) le risque de crédit qu’il présente sous la forme d’une note et d’affecter chaque exposition ou chaque client ou exposition à une classe de risque homogène ;
d’élaborer, de vérifier périodiquement et d’actualiser les modèles statistiques utilisés pour mesurer le risque de crédit des personnes physiques dans le cadre de l’application, à la clientèle de détail et de professionnels, du dispositif de notation interne des risques de crédit.
le calcul des fonds propres réglementaires pour LCL,
l’aide à la décision en matière d’octroi de crédit et d’augmentation de découvert,
le renouvellement des facilités de caisse ou les pré-attributions de crédits aux professionnels,
régler les sommes dues lorsque la provision du compte est insuffisante.
La Commission prend acte que, conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, une décision défavorable en matière d’octroi de crédit ne peut être prise après consultation du résultat du score sans que le débiteur ait été informé de son droit à présenter des observations sur sa situation bancaire et financière.
La Commission considère que la finalité poursuivie est déterminée, explicite et légitime.
Chaque client ayant souscrit un crédit auprès de LCL fait l’objet d’une note dite « cotation Bâle III ». Cette cotation est susceptible d’être prise en compte en tant qu’élément permettant d’apprécier la probabilité statistique de défaut. 
L’existence d’une cotation défavorable peut, dans certains cas, conduire à une décision de refus d’octroi de crédit.
Ce traitement peut néanmoins, du fait de sa nature et de sa finalité, conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition législative ou réglementaire prévoyant une telle exclusion. Dès lors, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.
Sur les données traitées
Les catégories de données prises en compte pour l’élaboration des notes d’évaluation du risque concernent :- la situation personnelle du débiteur : âge, nom, prénom, date et lieu de naissance, numéro de compte.- la situation professionnelle : la catégorie socioprofessionnelle pour les particuliers, le secteur d’activité et l’ancienneté dans l’entreprise pour les professionnels.- la situation économique et financière : ratios financiers, encours, ancienneté de la relation bancaire, impayés, détention de crédits d’équipement chez LCL pour les professionnels.La Commission relève que les données relatives au nom, prénom, date et lieu de naissance, et numéro de compte ne sont pas utilisées pour le calcul de la cotation mais pour identifier au sein de la base client la personne physique à qui est attribuée la note.La Commission relève que pour les particuliers l’inscription au fichier central des chèques, au moment du calcul de la cotation, est prise en compte dans le calcul conformément aux dispositions de l’article L 131-85 dernier alinéa du code monétaire et financier qui autorise les établissements de crédit à utiliser cette information comme un élément d'appréciation avant d'accorder un financement, une ouverture de crédit ou de délivrer un moyen de paiement.Certaines variables font l’objet de croisements. Le poids de chaque variable dans la notation est le même pour l’ensemble des clients en tenant compte de la distinction entre les clients particuliers d’une part et les
clients professionnels d’autre part. La Commission observe qu’aucune variable ne reçoit une pondération telle qu’elle puisse à elle seule avoir un effet d’exclusion absolue ou disqualifiant. La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente, adéquate et non excessive, conformément aux dispositions de l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les notes sont réévaluées mensuellement. Les destinataires sont la filiale Interfimo (financement des professionnels libéraux) et les sociétés du groupe Crédit agricole Leasing et factoring et CA Consumer Finance.La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès 
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, chaque client est informé lors de la collecte des données, notamment au moment de l’entrée en relation contractuelle puis régulièrement sur le site internet de la banque.
Les clients sont informés :
de la mise en place d’un système de notation interne des risques de crédit,
des droits qui lui sont reconnus par la loi susvisée, notamment le droit d’obtenir une copie des informations enregistrées dans les fichiers, ainsi que leur origine. 
Les droits d’accès et de rectification s’exercent auprès du Service relations clientèle, à l’adresse suivante : BC 302.02, 10 place Oscar Niemeyer - 94811 Villejuif cedex, ou par courriel à l’adresse électronique : relationsclientele@lcl.fr
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité