AgentPublic/cnil huggingface dataset:
Les cotations successives et les données permettant de les élaborer sont conservées pendant une durée de 24 mois après la fin du contrat sous une forme nominative. Elles sont utilisées comme une aide à la décision en matière d’octroi de crédit, pour l’augmentation de découvert et de manière générale dans le cadre de la gestion de la relation clientèle. Afin de permettre un calcul consolidé au niveau du groupe BNP PARIBAS, FIDEM transmet au groupe les cotations et les encours de crédits. Cette transmission est réalisée sous la forme de flux automatisés non nominatifs issus des outils utilisés et mis à disposition de FIDEM par BNP Paribas. Les destinataires des informations au niveau du groupe BNP PARIBAS ne sont donc pas en mesure d’identifier le client concerné. La Commission observe qu’il n’y a pas de mutualisation de données à caractère personnel entre la banque la FIDEM  et le Groupe BNP PARIBAS.Ces autres caractéristiques du traitement n’appellent pas d’observation particulière de la Commission.
Autorise, conformément à la présente délibération, la société FIDEM à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1728871)
La Commission nationale de l'informatique et des libertés,
Saisie par la société DOMOFINANCE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’évaluation du risque de crédit au moyen d’un système de notation interne pour définir le niveau de fonds propres réglementaires et les opérations de gestion auprès des emprunteurs;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son articles °25-I-4 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du ministre de l’économie, des finances et de l’industrie du 20 février 2007 relatif aux exigences de fonds propres applicables aux établissements de crédit et aux entreprises d’investissement ;
Vu les règlements du Comité de la réglementation bancaire et financière (CRBF) n° 90-02 du 23 février 1990 modifié relatif aux fonds propres et n° 97-02 du 21 février 1997 modifié relatif au contrôle interne des établissements de crédit et des entreprises d’investissement ;  
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
La société DOMOFINANCE est un établissement de crédit appartenant au groupe BNP PARIBAS.
Sur la finalité
La société DOMOFINANCE a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation d’un traitement de données à caractère personnel visant à évaluer le risque statistique de défaillance présenté par chaque client au moyen d'un système de notation interne permettant d’une part de définir le niveau de fonds propres réglementaires conformément aux règles prudentielles, d’autre part de mettre en œuvre les opérations de gestion en fonction du risque de défaillance associé au client.
Chaque client ayant souscrit un crédit auprès de la société DOMOFINANCE  fait l’objet d’une note dite « cotation Bâle II ». Cette cotation est susceptible d’être prise en compte en tant qu’élément permettant d’apprécier la solvabilité de l’emprunteur, notamment en cas de nouvelle demande de crédit ou d’autorisation de découvert. L’existence d’une cotation défavorable peut, dans certains cas, conduire à une décision de refus d’octroi de crédit.
Ce traitement peut, du fait de sa nature et de sa finalité, conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition législative ou réglementaire prévoyant une telle exclusion. Dès lors, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.
Le traitement permet ainsi : 
d’évaluer pour chaque client le risque de crédit qu’il présente sous la forme d’une note et d’affecter chaque exposition ou chaque client à une classe de risque homogène ;
d’élaborer, de vérifier périodiquement et d’actualiser les modèles statistiques utilisés pour mesurer le risque de crédit des personnes physiques dans le cadre de l’application, à la clientèle de détail et de professionnels, du dispositif de notation interne des risques de crédit.
le calcul des fonds propres réglementaires et le cas échéant le calcul des provisions,
l’aide à la décision en matière d’octroi de crédit et d’augmentation de découvert,
l’optimisation de la gestion de la relation client (grilles tarifaires différenciées en fonction des notes des clients au regard des risques statistiques de défaillance, des offres commerciales rationalisées).
Il permet également de définir et de mettre en œuvre les opérations de gestion et d’octroi des dossiers de prêts en fonction du niveau de risque de défaillance associé au client.
Les personnes concernées par le traitement sont exclusivement des emprunteurs, clients de la société DOMOFINANCE  qui représentent un risque de crédit.
Les notes d’évaluation du risque, les probabilités de défaut, le taux de défaut et les pertes en cas de défaut sont mises à jour trimestriellement et exclusivement utilisés pour :
d’évaluer pour chaque client le risque de crédit qu’il présente sous la forme d’une note et d’affecter chaque exposition ou chaque client à une classe de risque homogène ;
d’élaborer, de vérifier périodiquement et d’actualiser les modèles statistiques utilisés pour mesurer le risque de crédit des personnes physiques dans le cadre de l’application, à la clientèle de détail et de professionnels, du dispositif de notation interne des risques de crédit.
le calcul des fonds propres réglementaires et le cas échéant le calcul des provisions,
l’aide à la décision en matière d’octroi de crédit et d’augmentation de découvert,
Elle note également que l’affectation d’une cotation à un débiteur peut conduire la société DOMOFINANCE  à prendre en compte des informations relatives à d’autres clients personnes physiques (des informations relatives aux membres de la famille ou au conjoint). Toutefois, il s’agit d’informations déclarées par le client au moment de sa demande de prêt et non d’informations que la banque détiendrait déjà dans son système d’informations au titre de demandes de crédit effectuées antérieurement.
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente, adéquate et non excessive, conformément aux dispositions de l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires 
Seuls ont accès aux notes en cours :- les collaborateurs de la fonction risque chargés d’élaborer les modèles de notation interne, de les implémenter et de les actualiser ; - les collaborateurs de la fonction finance dans le cadre du rapprochement comptabilité / risque; 
- les collaborateurs du contrôle interne chargés de vérifier la conformité du dispositif de notation interne au dispositif « Bâle II » ;- les managers des Centres de Relation Clients ;- les collaborateurs en charge du paramétrage des campagnes marketing de masse ou des diverses opérations de gestion élaborées pour les différents types de clientèle. La liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès
Sur les autres caractéristiques du traitement
Les cotations successives et les données permettant de les élaborer sont conservées pendant une durée de 24 mois après la fin du contrat sous une forme nominative. Elles sont utilisées comme une aide à la décision en matière d’octroi de crédit, pour l’augmentation de découvert et de manière générale dans le cadre de la gestion de la relation clientèle. Afin de permettre un calcul consolidé au niveau du groupe BNP PARIBAS, DOMOFINANCE  transmet au groupe les cotations et les encours de crédits. Cette transmission est réalisée sous la forme de flux automatisés non nominatifs issus des outils utilisés et mis à disposition de DOMOFINANCE  par BNP Paribas. Les destinataires des informations au niveau du groupe BNP PARIBAS ne sont donc pas en mesure d’identifier le client concerné. La Commission observe qu’il n’y a pas de mutualisation de données à caractère personnel entre la banque la société DOMOFINANCE   et le Groupe BNP PARIBAS.Ces autres caractéristiques du traitement n’appellent pas d’observation particulière de la Commission.
Autorise, conformément à la présente délibération, la société DOMOFINANCE  à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1661688)
La Commission nationale de l'informatique et des libertés,
Saisie par le Crédit Mutuel Arkéa d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la détection en temps réel de la fraude à la carte de paiement;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Crédit Mutuel Arkéa appartient au groupe de bancassurance coopératif Crédit Mutuel Arkéa. 
Sur la finalité
Le traitement vise à émettre des alertes en temps réel sur la base d’une analyse des transactions effectuées par les titulaires de cartes de paiement Mastercard et Visa émises par le Crédit mutuel ARKEA. Celui-ci permet de détecter d’éventuelles opérations frauduleuses et d’en limiter les conséquences dommageables pour le porteur.La Commission observe que le traitement a pour objet d’identifier des opérations réalisées par cartes bancaires susceptibles de révéler une fraude. Dès lors, ce traitement peut avoir pour effet d’empêcher ou de restreindre, même temporairement, le porteur de faire usage de son moyen de paiement.Il en résulte que le traitement mis en œuvre peut avoir pour effet d’exclure des personnes du bénéfice d’une prestation, l’utilisation d’une carte bancaire, en l’absence de toute disposition législative ou réglementaire le prévoyant. Dès lors, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit à ce titre être autorisé par la CNIL.La Commission observe que les fraudes recherchées correspondent à des utilisations illégitimes d’une carte de paiement ou des données qui y sont attachées, lorsque ces utilisations risquent d’avoir des conséquences préjudiciables pour le titulaire de la carte ou son établissement bancaire. Les utilisations d’une carte par son porteur légitime qui sont rendues irrégulières du seul fait d’un défaut de provision ne font pas partie des risques de fraude qui donnent lieu à la production d’alerte. Le
traitement permet d’établir un modèle des risques d’utilisation frauduleuse élaboré sur la base d’un traitement statistique de l’historique des transactions réalisées par carte bancaire. L’ensemble des transactions réalisées à l’aide d’une carte bancaire émise par le Crédit Mutuel ARKEA est analysé en temps réel afin de détecter des fraudes.En cas de transaction identifiée comme susceptible de constituer une fraude, celle-ci fait l’objet d’une alerte transmise pour analyse au personnel du Back office fraude Monétique du Crédit Mutuel ARKEA. La Commission constate que ce traitement n’a pas pour objet d’identifier des commerçants ou des terminaux de paiements auxquels correspondent un taux significatif d’utilisations frauduleuses ou de tentatives d’utilisations frauduleuses.La Commission observe que le traitement de détection des alertes ne permet pas d’établir une liste noire recensant les alertes générées pour une même carte bancaire ou un même compte. La Commission remarque qu’en cas d’alerte, le personnel du Back office fraude Monétique du Crédit Mutuel ARKEA procède à une analyse manuelle des données collectées afin de confirmer le caractère suspect de la transaction. En cas de confirmation de l’alerte, il la transmet à l’agence du titulaire qui tente d’entrer en contact téléphonique avec ce dernier pour vérifier si celui-ci est à l’origine de la transaction ayant fait l’objet d’une alerte via un outil développé par MasterCard. Lorsque le titulaire confirme qu’il n’est
pas à l’origine de la transaction, la carte est annulée et une nouvelle carte lui sera délivrée gratuitement.La Commission constate que le personnel du Back office fraude Monétique du Crédit Mutuel ARKEA n’est pas habilité à procéder de sa propre initiative, au blocage du moyen de paiement. En cas d’indices de fraude jugée élevée ou en présence de plusieurs alertes, le chargé de clientèle du porteur peut décider d’appliquer à la carte bancaire une restriction temporaire de fonctionnement pendant le temps nécessaire à la prise de contact avec le porteur. La Commission observe que ce traitement ne peut donner lieu au blocage de la transaction ou à la mise en opposition de la carte bancaire sans avoir au préalable obtenu le consentement du porteur.La Commission prend acte du fait que la restriction temporaire de fonctionnement appliquée à la carte bancaire en cas d’indices de fraude jugée élevée ou en présence de plusieurs alertes ne peut être mise en place que pendant le temps nécessaire à la prise de contact avec le porteur.La Commission insiste par ailleurs sur la nécessité de paramétrer le traitement automatisé en fonction d’un niveau de risque jugé acceptable par le responsable de traitement afin de ne pas multiplier inutilement le nombre de fausses alertes susceptibles de provoquer une gêne excessive pour les porteurs légitimes de cartes.
Sur les données traitées
Les critères pris en compte pour la production des alertes sont :
Le type de transaction (paiement de proximité, paiement internet, retrait, etc.)
Le montant de la transaction
Le code réponse (accord ou refus)
Le code MCC (« Merchant Category Code » branche d’activité du commerçant acquéreur)
La date et l’heure de la transaction
Lieu de réalisation de la transaction
Le numéro du commerçant
Numéro de carte de paiement ( crypté en stockage interne et tronqué en flux sortant) 
Le mode de sécurisation de la transaction (pour les paiements internet et en vente à distance « VAD »)
Le code pays
Le score Mastercard
Les alertes sont conservées pendant une durée de 30 jours. 
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
Seuls ont accès au traitement de gestion des alertes : 
le personnel habilité de l’unité Back office fraude Monétique du Crédit Mutuel ARKEA,
les responsables de la Direction du Crédit Mutuel Arkéa (3 personnes) ainsi que le responsable du service litiges fraude monétique.
Les chargés de clientèle et les directeurs d’agence peuvent également avoir connaissance des alertes pour les seules transactions intéressant leurs clients et présentant un risque de fraude jugé élevé.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées de la mise en œuvre de ce traitement dans les conditions générales du compte. Elles peuvent exercer leur droit d’accès conformément aux dispositions de l’article 39 de la loi susvisée.
Sur les mesures de sécurité
Les actions effectuées par les destinataires des données sont tracées afin de permettre de détecter et d’analyser tous accès, modifications et suppressions de données non autorisés.
Autorise, conformément à la présente délibération, le Crédit Mutuel Arkéa à mettre en œuvre le traitement susmentionné.
La délibération n°2012-046 du 9 février 2012 autorisant la mise en œuvre par le Crédit Mutuel ARKEA d’un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à la carte bancaire, est abrogée.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1696484)
La Commission nationale de l’informatique et des libertés ; 
Saisie par le réseau de soins palliatifs Palliadour d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la création d’un dossier médical informatisé et partagé ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 6321-1, L. 1110-4 et L. 1111-8 ;
Vu le code de la sécurité sociale, notamment son article R. 162-1-16 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de  M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le réseau Palliadour est un réseau régional d’accompagnement et de soins palliatifs qui permet la prise en charge des personnes atteintes d'une maladie grave, évolutive ou terminale, de leur  famille et à leur proches, dans une approche globale, coordonnée et pluridisciplinaire. Aux termes de l’article R. 162-1-16 du code de la sécurité sociale, en effet, l’équipe de soins palliatifs à domicile peut faire appel aux réseaux de santé prévus à l'article L. 6321-1 du code de la santé publique, notamment en ce qui concerne l'évaluation des besoins des personnes, la permanence de l'accompagnement et la continuité des soins. C’est l’objet même du réseau Palliadour qui couvre le territoire de santé de Navarre-Côte Basque et s’étend sur l’ouest du Pays basque et le sud des Landes.
Sur la finalité
Le traitement projeté poursuit les finalités suivantes : - Permettre, par la mise en place d’un dossier médical partagé au sein d’un réseau de soins palliatifs, une mise en commun sécurisée d’informations médicales et sociales entre les acteurs médicaux, para-médicaux et sociaux qui prennent en charge les personnes malades nécessitant des soins palliatifs, ainsi que leurs proches. - Améliorer la qualité de la prise en charge, de la prise de décision et la coordination et la continuité des soins entre tous les intervenants de diverses disciplines (médecin coordonnateur, secrétariat, infirmières, travailleur social, psychologue, aide-soignant, pharmacien, kinésithérapeute, psychomotricien, etc.)- Permettre, pour ce faire, l’organisation et la mise en œuvre des réunions de concertation pluridisciplinaire (RCP) afin de définir la stratégie thérapeutique la plus adaptée à chaque patient et favoriser, grâce à un partage d’informations dans la cadre d’un réseau régional, la mise en œuvre opérationnelle des décisions prises dans les meilleurs délais.- Permettre le maintien à domicile des patients qui le souhaitent par un accompagnement médico-social, prévenir les hospitalisations et, si nécessaire, orienter les personnes ou leurs familles vers les structures de soins et de prise en charge les plus adaptées à leur situation et pallier l’absence de celles-ci s’il y a lieu.- Harmoniser les protocoles de soins spécifiques aux soins palliatifs afin de garantir une plus grande fiabilité
et homogénéité des pratiques professionnelles et une meilleure évaluation de celles-ci et favoriser des actions de formation et de soutien aux professionnels par la mise en place de groupes de paroles. - Informer et sensibiliser le grand public sur les soins palliatifs et leurs implications médicales, psychologiques et sociales.- Etablir des statistiques à partir de données préalablement anonymisées afin de produire des indicateurs d’activité et épidémiologiques. La Commission rappelle, à cet égard, qu’il conviendra, s’il y a lieu, de se conformer aux dispositions des chapitres IX ou X de la loi du 6 janvier 1978 modifiée.La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes, conformément à l’article 6 de la loi du 6 janvier 1978 modifiée.Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Sur les données traitées
Concernant les patients, les données traitées et échangées sont :
des données d’identification (nom, prénom, date de naissance) ; 
les coordonnées ;
des données relatives à la situation familiale ; 
les coordonnées des proches pouvant être contactés, de la personne de confiance, du médecin traitant ; 
les données médicales et médico-sociales nécessaires à la prise en charge (nature de la pathologie, état général du patient, douleurs, traitements en cours, conditions de vie et comportements utiles à la prise en charge) ;
la caisse d’assurance maladie et la mutuelle de l’assuré.
des données d’identification (nom, prénom, coordonnées professionnelles et spécialité, numéro RPPS (répertoire partagé des professionnels de santé) si le professionnel de santé se connecte avec sa carte de professionnel de santé (CPS) ;
Concernant les professionnels de santé ou du secteur médico-social composant l’équipe chargée du suivi du patient, les données traitées et échangées sont : 
des données d’identification (nom, prénom, date de naissance) ; 
les coordonnées ;
des données relatives à la situation familiale ; 
les coordonnées des proches pouvant être contactés, de la personne de confiance, du médecin traitant ; 
les données médicales et médico-sociales nécessaires à la prise en charge (nature de la pathologie, état général du patient, douleurs, traitements en cours, conditions de vie et comportements utiles à la prise en charge) ;