AgentPublic/cnil huggingface dataset:
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la la Caisse d’Epargne d’Auvergne et du Limousin sont informés de la mise en œuvre du traitement par une mention qui figure sur la convention de compte. Les salariés, sont informés par une mention d’information qui figure dans l’annexe au règlement intérieur diffusée à l’ensemble du personnel.Dès lors qu’une enquête sera ouverte à l’encontre d’un collaborateur et lorsque l’établissement aura des présomptions fortes et des éléments factuels de fraude ou du manquement de ce dernier, ce salarié sera informé dans le cadre de l’entretien d’investigation. La Commission relève que le dossier du collaborateur ne comportera aucune information sur l’enquête diligentée à son encontre en l’absence de fraude avérée. Une présentation du dispositif a été réalisée auprès des comités exécutifs au sein des établissements ainsi qu’aux Directoires. Les instances représentatives du personnel seront informées du traitement de lutte contre la fraude lors d’une présentation aux comités d’entreprise des établissements. Le droit d’accès s’exerce auprès de la Direction de la Conformité : 63, rue Montlosier, 63961 Clermont-Ferrand. 
Sur les mesures de sécurité
Il existe des profils d’habilitations qui définissent les fonctions ou les types d’informations accessibles par les personnes prenant part au projet de la lutte contre la fraude interne :
seuls les membres de la cellule locale de Lutte Anti Fraude auront accès aux alertes remontées automatiquement par l’outil de détection des fraudes, 
en cas de fraude avérée, les informations seront transmises au département juridique et au département des ressources humaines,
les personnels chargés de créer le référentiel fraude ont accès au reporting qui contient des données statistiques anonymes sur les alertes et les cas de fraudes avérées.
Le personnel habilité de la Caisse d’Epargne d’Auvergne et du Limousin est a minima authentifié via la saisie d’un mot de passe. La complexité des mots de passe est d’une longueur minimale de 8 caractères, comportant 3 types de caractères distincts. Le mot de passe est généré automatiquement par l’outil de génération et est directement transmis à l’utilisateur via une messagerie sécurisée, les mots de passe sont obligatoirement changés lors de la première connexion. Certains utilisateurs sont authentifiés par un mécanisme d’authentification forte qui requiert, en plus de la connaissance d’un code, de posséder une carte à puce.
En dehors de l’utilisateur, personne n’a connaissance de ce mot de passe et en cas de perte, un nouveau mot de passe sera généré et transmis suivant le même procédé.
les alertes pour lesquelles un dossier d’investigation a été ouvert sont conservées pendant toute la durée de l’enquête jusqu’à ce que la fraude soit ou non avérée ; 
Enfin, une fois que l’alerte a été qualifiée, que le dossier a été clôturé ou que la procédure judiciaire est terminée, les alertes sont automatiquement supprimées ainsi que le rapport final d’investigation.
La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, la Caisse d’Epargne d’Auvergne et du Limousin à mettre en œuvre le traitement susmentionné.
La Présidente 
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1755041)
La Commission nationale de l'informatique et des libertés,
Saisie par la Caisse d’Epargne Picardie d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude interne;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.4°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Caisse d’Epargne Picardie, filiale du groupe BPCE.
Sur la finalité
Le dispositif envisagé se compose d’un outil commun au niveau du groupe BPCE, garantissant une harmonisation des règles et procédures des traitements de lutte contre la fraude interne et qui ne peut pas être modifié par l’établissement bancaire adhérant au dispositif. Toutefois, il est possible pour un établissement du groupe BPCE d’ajouter des outils optionnels. 
A cet égard, la Caisse d’Epargne Picardie souhaite bénéficier des outils optionnels relatifs au dispositif de formation, à l’accompagnement psychologique, au référentiel fraude ainsi qu’aux sources complémentaires de remontée des alertes.
Le dispositif commun est un système de requêtage permettant la détection des fraudes à partir d’une liste de critères, préalablement déterminés par l’établissement en fonction de certains paramètres et seuils. Cette liste met en exergue les alertes portant sur les opérations réalisées sur les comptes de l’ensemble des clients. 
Les alertes sont déclenchées sur la base des opérations financières ou administratives réalisées par le collaborateur sur le compte bancaire des clients. Les mouvements atypiques opérés par  le personnel de la banque ayant accès aux comptes bancaires des clients génèrent des alertes. Ces alertes sont analysées par les personnes en charge de la lutte contre la fraude interne.
le traitement ne permet pas d’alimenter une « liste noire » de personnes suspectées d’avoir commis ou tenté de commettre une fraude. 
Enfin, il existe un compte rendu anonymisé sur les indicateurs de pilotage de l’activité de lutte contre la fraude. Il s’agit uniquement de données statistiques conservées pour une durée maximale de 5 années. 
La Commission estime que les finalités poursuivies sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les données collectées sont issues du catalogue des requêtes administré par la sécurité financière du groupe au sein de l’organe central. 
La Commission relève que pour toute demande d’évolution du catalogue, la Caisse d’Epargne Picardie, devra saisir la Commission pour obtenir une autorisation conformément aux dispositions de l’article 30 de la loi du 6 janvier 1978 modifiée.
Le processus de détection de la fraude repose sur les données issues des systèmes d’information au moyen de requêtes portant sur les données suivantes :
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la Caisse d’Epargne Picardie sont informés de la mise en œuvre du traitement par une mention qui figure sur la convention de compte. Les salariés, sont informés par une mention d’information qui figure dans l’annexe au règlement intérieur diffusée à l’ensemble du personnel.Dès lors qu’une enquête sera ouverte à l’encontre d’un collaborateur et lorsque l’établissement aura des présomptions fortes et des éléments factuels de fraude ou du manquement de ce dernier, ce salarié sera informé dans le cadre de l’entretien d’investigation. La Commission relève que le dossier du collaborateur ne comportera aucune information sur l’enquête diligentée à son encontre en l’absence de fraude avérée. Une présentation du dispositif a été réalisée auprès des comités exécutifs au sein des établissements ainsi qu’aux Directoires. Les instances représentatives du personnel seront informées du traitement de lutte contre la fraude lors d’une présentation aux comités d’entreprise des établissements. Le droit d’accès s’exerce auprès du Service Relations Clientèle : 8 rue Vade, 80064 Amiens Cedex 9. 
Sur les mesures de sécurité
Il existe des profils d’habilitations qui définissent les fonctions ou les types d’informations accessibles par les personnes prenant part au projet de la lutte contre la fraude interne :
seuls les membres de la cellule locale de Lutte Anti Fraude auront accès aux alertes remontées automatiquement par l’outil de détection des fraudes, 
en cas de fraude avérée, les informations seront transmises au département juridique et au département des ressources humaines,
les personnels chargés de créer le référentiel fraude ont accès au reporting qui contient des données statistiques anonymes sur les alertes et les cas de fraudes avérées.
Le personnel habilité de la Caisse d’Epargne Picardie est a minima authentifié via la saisie d’un mot de passe. La complexité des mots de passe est d’une longueur minimale de 8 caractères, comportant 3 types de caractères distincts. Le mot de passe est généré automatiquement par l’outil de génération et est directement transmis à l’utilisateur via une messagerie sécurisée, les mots de passe sont obligatoirement changés lors de la première connexion. Certains utilisateurs sont authentifiés par un mécanisme d’authentification forte qui requiert, en plus de la connaissance d’un code, de posséder une carte à puce.
En dehors de l’utilisateur, personne n’a connaissance de ce mot de passe et en cas de perte, un nouveau mot de passe sera généré et transmis suivant le même procédé.
les alertes pour lesquelles un dossier d’investigation a été ouvert sont conservées pendant toute la durée de l’enquête jusqu’à ce que la fraude soit ou non avérée ; 
Enfin, une fois que l’alerte a été qualifiée, que le dossier a été clôturé ou que la procédure judiciaire est terminée, les alertes sont automatiquement supprimées ainsi que le rapport final d’investigation.
La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, la Caisse d’Epargne Picardie à mettre en œuvre le traitement susmentionné.
La Présidente 
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1755273)
La Commission nationale de l'informatique et des libertés,
Saisie par la Caisse d’Epargne et de Prévoyance de Rhône Alpes d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude interne;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.4°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Caisse d’Epargne et de Prévoyance de Rhône Alpes, filiale du groupe BPCE.
Sur la finalité
Le dispositif envisagé se compose d’un outil commun au niveau du groupe BPCE, garantissant une harmonisation des règles et procédures des traitements de lutte contre la fraude interne et qui ne peut pas être modifié par l’établissement bancaire adhérant au dispositif. Toutefois, il est possible pour un établissement du groupe BPCE d’ajouter des outils optionnels. 
A cet égard, la Caisse d’Epargne et de Prévoyance de Rhône Alpes souhaite bénéficier des outils optionnels relatifs au dispositif de formation, à l’accompagnement psychologique, au référentiel fraude ainsi qu’aux sources complémentaires de remontée des alertes.
Le dispositif commun est un système de requêtage permettant la détection des fraudes à partir d’une liste de critères, préalablement déterminés par l’établissement en fonction de certains paramètres et seuils. Cette liste met en exergue les alertes portant sur les opérations réalisées sur les comptes de l’ensemble des clients. 
Les alertes sont déclenchées sur la base des opérations financières ou administratives réalisées par le collaborateur sur le compte bancaire des clients. Les mouvements atypiques opérés par  le personnel de la banque ayant accès aux comptes bancaires des clients génèrent des alertes. Ces alertes sont analysées par les personnes en charge de la lutte contre la fraude interne.
le traitement ne permet pas d’alimenter une « liste noire » de personnes suspectées d’avoir commis ou tenté de commettre une fraude. 
Enfin, il existe un compte rendu anonymisé sur les indicateurs de pilotage de l’activité de lutte contre la fraude. Il s’agit uniquement de données statistiques conservées pour une durée maximale de 5 années. 
La Commission estime que les finalités poursuivies sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les données collectées sont issues du catalogue des requêtes administré par la sécurité financière du groupe au sein de l’organe central. 
La Commission relève que pour toute demande d’évolution du catalogue, la Caisse d’Epargne et de Prévoyance de Rhône Alpes, devra saisir la Commission pour obtenir une autorisation conformément aux dispositions de l’article 30 de la loi du 6 janvier 1978 modifiée.
Le processus de détection de la fraude repose sur les données issues des systèmes d’information au moyen de requêtes portant sur les données suivantes :
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la Caisse d’Epargne et de Prévoyance de Rhône Alpes sont informés de la mise en œuvre du traitement par une mention qui figure sur la convention de compte. Les salariés, sont informés par une mention d’information qui figure dans l’annexe au règlement intérieur diffusée à l’ensemble du personnel.Dès lors qu’une enquête sera ouverte à l’encontre d’un collaborateur et lorsque l’établissement aura des présomptions fortes et des éléments factuels de fraude ou du manquement de ce dernier, ce salarié sera informé dans le cadre de l’entretien d’investigation. La Commission relève que le dossier du collaborateur ne comportera aucune information sur l’enquête diligentée à son encontre en l’absence de fraude avérée. Une présentation du dispositif a été réalisée auprès des comités exécutifs au sein des établissements ainsi qu’aux Directoires. Les instances représentatives du personnel seront informées du traitement de lutte contre la fraude lors d’une présentation aux comités d’entreprise des établissements. Le droit d’accès s’exerce auprès de la Direction de la Conformité : 42 boulevard Eugène Deruelle, 69003 Lyon.
Sur les mesures de sécurité
Il existe des profils d’habilitations qui définissent les fonctions ou les types d’informations accessibles par les personnes prenant part au projet de la lutte contre la fraude interne :
seuls les membres de la cellule locale de Lutte Anti Fraude auront accès aux alertes remontées automatiquement par l’outil de détection des fraudes, 
en cas de fraude avérée, les informations seront transmises au département juridique et au département des ressources humaines,
les personnels chargés de créer le référentiel fraude ont accès au reporting qui contient des données statistiques anonymes sur les alertes et les cas de fraudes avérées.
Le personnel habilité de la Caisse d’Epargne et de Prévoyance de Rhône Alpes est a minima authentifié via la saisie d’un mot de passe. La complexité des mots de passe est d’une longueur minimale de 8 caractères, comportant 3 types de caractères distincts. Le mot de passe est généré automatiquement par l’outil de génération et est directement transmis à l’utilisateur via une messagerie sécurisée, les mots de passe sont obligatoirement changés lors de la première connexion. Certains utilisateurs sont authentifiés par un mécanisme d’authentification forte qui requiert, en plus de la connaissance d’un code, de posséder une carte à puce.
En dehors de l’utilisateur, personne n’a connaissance de ce mot de passe et en cas de perte, un nouveau mot de passe sera généré et transmis suivant le même procédé.
les alertes pour lesquelles un dossier d’investigation a été ouvert sont conservées pendant toute la durée de l’enquête jusqu’à ce que la fraude soit ou non avérée ; 
Enfin, une fois que l’alerte a été qualifiée, que le dossier a été clôturé ou que la procédure judiciaire est terminée, les alertes sont automatiquement supprimées ainsi que le rapport final d’investigation.
La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, la Caisse d’Epargne et de Prévoyance de Rhône Alpes à mettre en œuvre le traitement susmentionné
La Présidente 
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1755011)
La Commission nationale de l'informatique et des libertés,
Saisie par la société des Autoroutes Paris Rhin Rhône (APRR) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la sensibilisation des usagers aux dépassements de la vitesse maximale autorisée ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Eric PERES, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
Le responsable de traitement est la société des Autoroutes Paris Rhin Rhône (APRR).
Sur la finalité
Le traitement a pour finalité la sensibilisation des usagers aux dépassements de la vitesse maximale autorisée dans certaines zones du réseau de la société APRR. 
Ce dispositif s’inscrit dans le cadre d’un projet de régulation du trafic de l’A6 Nord et fait partie du contrat de plan 2009-2013 signé entre APRR et l’Etat. La régulation du trafic par la régulation de la vitesse permet d’harmoniser les vitesses des véhicules et donc de retarder l’apparition des congestions, de réduire le volume d’encombrements et de réduire le nombre d’accidents.
Chaque zone de régulation est composée de :
Deux sites distants équipés de caméras, positionnées au-dessus des voies et permettant la reconnaissance automatique des plaques d’immatriculation des véhicules.
D’un site d’affichage par un panneau à messages variables dédié et positionné en accotement.
D’un PC de gestion permettant de commander l’affichage sur ces panneaux du numéro de plaque d’immatriculation des véhicules circulant à une vitesse supérieure à celle autorisée, associé à un texte (par exemple, « N° de plaque - TROP VITE »). 
La Commission considère que la finalité poursuivie est déterminée, explicite et légitime. 
Le traitement présenté s’inscrit dans le cadre des dispositions de l’article 9-1° de la loi du 6 janvier 1978 modifiée en août 2004 qui autorisent les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales, à mettre en œuvre des traitements relatifs à des infractions.
La Commission considère également qu’il y a lieu de faire application des dispositions de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements portant sur des données relatives aux infractions, condamnations et mesures de sûreté. 
Sur les données traitées
Les données collectées sont les suivantes :
le numéro de plaque d’immatriculation ;
le code du pays d’immatriculation du véhicule ;
l’horodatage de la lecture de la plaque d’immatriculation.
A partir de ces données, le dispositif calcule la vitesse moyenne des véhicules et détermine s’il y a eu dépassement de la vitesse autorisée. En cas de dépassement de la vitesse autorisée, le dispositif déclenche l’affichage sur le panneau à messages variables.
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie. 
Sur les destinataires
Les destinataires des données sont, dans la limite de leurs attributions et pour la poursuite de la finalité précitée les administrateurs d’application et de bases de données. Les personnes en charge de l’exploitation n’ont accès qu’aux données statistiques (anonymisées).Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès 
Conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées au préalable de la mise en œuvre du traitement :
pour les abonnés : dans les conditions particulières du contrat Liber’t ;
pour les non abonnés : par affichage en gare de péage. Les tickets délivrés aux entrées renvoient également à l’affichage en gare.
Les droits d’accès et de rectification s’exercent auprès de la Direction Exploitation de la société APRR, 36, rue du Docteur Schmitt – 21850 SAINT APPOLINAIRE.
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes. 
Sur les mesures de sécurité
Le traitement est hébergé au sein de l’organisme sur un réseau privé. Le réseau est protégé de l’extérieur par l’intermédiaire d’un pare feu.Le réseau de gestion du trafic est sur un VLAN spécifique garantissant un cloisonnement par rapport au réseau bureautique.Les postes et serveur participant au traitement sont dans des locaux sécurisés physiquement. L’accès à l’interface de l’application se fait par le couple login/mot de passe. Le mot de passe est composé de 8 caractères minimum avec au minimum 3 des 4 complexités (minuscules, majuscules, chiffres et caractères spéciaux).Des profils d’habilitation spécifiques sont définis pour accéder au traitement.Les plaques d’immatriculation ne sont pas stockées sur disque (sous quelque forme que ce soit). Ces dernières restent en RAM, uniquement le temps que les véhicules parcourent le tronçon (ou jusqu’au time-out) et il n’existe aucune requête ou fonction de l’application pour extraire ces données. Cette mesure permet aussi de garantir le non-accès aux plaques en cas de vol de l’équipement.Le traitement met en œuvre une traçabilité des accès à l’application.Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques  
Sur les autres caractéristiques du traitement
Les durées de conservations sont les suivantes :
pour les données unitaires : le numéro de plaque d’immatriculation est supprimé dès le lancement de l’affichage par le PC de gestion et les autres données (vitesse moyenne) sont archivées pendant 3 mois ;
pour les données agrégées : les données sont conservées 24 heures dans la base du PC de gestion, puis elles sont archivées pendant 3 ans.
La Commission estime que ces durées de conservation sont proportionnées au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, la société des Autoroutes Paris Rhin Rhône (APRR) à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN