AgentPublic/cnil huggingface dataset:
Lorsqu’il existe un recours contre un tiers ou un contentieux, les données sont conservées jusqu’à l’intervention de la décision définitive.
A l’expiration de ces périodes, les données sont détruites de manière sécurisée.
Certains dossiers sont conservés de manière définitive à des fins d’archivage par la direction des archives départementales, conformément aux dispositions du code du patrimoine.
La Commission considère que ces durées de conservation sont pertinentes au regard des finalités poursuivies.
Sur les mesures de sécurité 
La Commission prend acte que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée et frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.
Des profils d’habilitation définissent les fonctions ou les types d’informations accessibles à un utilisateur. Ceux-ci ainsi que leurs droits respectifs sont spécifiés et documentés de manière détaillée, et prennent en compte les accès différentiés aux informations en fonction du besoin d’en connaître.
La Commission rappelle qu’elle recommande que les permissions d’accès soient attribuées pour une durée déterminée, qu’elles soient supprimées pour tout utilisateur n’étant plus habilité, et qu’une revue globale des habilitations soit opérée régulièrement.
L’authentification des utilisateurs du traitement est assurée par l’utilisation des mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des majuscules, des minuscules, des chiffres ou des caractères spéciaux lorsque l’authentification prévoit une restriction de l’accès au compte, conformément à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d’une recommandation relative aux mots de passe.
La Commission rappelle qu’elle recommande de réaliser un contrôle des traces de manière automatique, afin de détecter les comportements anormaux, et lever les alertes.
Des sauvegardes régulières sont réalisées et stockées dans un endroit garantissant leur sécurité et leur disponibilité. La Commission tient à rappeler l’importance de tester régulièrement les sauvegardes.
Sous réserves des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée en août 2004.
La Commission rappelle toutefois que cette obligation nécessité la mise à jour régulière des risques.
Autorise, conformément à la présente délibération, le Conseil départemental du Jura à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par l’ALFA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mutualisation des données des contrats d’assurance automobile et des sinistres déclarés auprès des assureurs pour lutter contre la fraude en assurance ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25.I.3° et 4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-212 du 11 juillet 2013 concernant les traitements automatisés de données à caractère personnel relatifs à la passation, la gestion et l'exécution des contrats mis en œuvre par les organismes d'assurances, de capitalisation, de réassurance, d'assistance et par leurs intermédiaires ;
Vu la délibération n° 2014-312 du 17 juillet 2014 portant autorisation unique de traitements de données à caractère personnel ayant pour finalité la lutte contre la fraude à l’assurance mis en œuvre par les organismes d’assurance, de capitalisation, de réassurance, d’assistance et par les intermédiaires d’assurance ;
Vu la délibération n° 2016-014 du 28 janvier 2016 autorisant l’ALFA à mettre en œuvre un traitement automatisé de données à caractère personnel à titre expérimental ayant pour finalité la mutualisation des données des sinistres automobiles des assureurs pour lutter contre la fraude en assurance ; 
Après avoir entendu M. Jean-Luc VIVET, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
L’Agence pour la lutte contre la fraude en assurance (ALFA) a saisi la Commission d’une demande d’autorisation relative à la mise en œuvre d’un traitement visant la lutte contre la fraude en assurance automobile. 
Le projet vise à détecter les cas de fraudes en matière de sinistres automobiles à partir des données mutualisées associées aux contrats d’assurance automobile souscrits et aux sinistres déclarés auprès des assureurs membres de l’ALFA. 
Ainsi, le dispositif vise à permettre l’émission automatique d’alertes qui sont analysées et validées manuellement par l’ALFA. Seules les alertes qualifiées de suspicieuses par l’ALFA sont adressées aux assureurs concernés.
Par conséquent, le traitement est susceptible, du fait de sa nature et de sa finalité, de conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat. Dès lors, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.
En outre, à l’occasion de la collecte de données d’infractions, les entreprises d’assurance peuvent détecter une fraude. A l’inverse, la découverte d’une fraude peut engendrer la collecte de données d’infraction ou de condamnation. Enfin, la gestion des actions contentieuses menées suite à des actes frauduleux peut générer la collecte de données pouvant donner lieu à une condamnation de son auteur. 
Dès lors, les traitements visant la lutte contre la fraude sont susceptibles de relever des dispositions de l’article 25-I-3° de la loi précitée.
Sur la finalité du traitement :
Les sinistres automobiles concernés par le dispositif sont les suivants :
les sinistres exposés au risque de fraudes en bande organisée au sens du code pénal ;
les sinistres exposés au risque de fraudes en récidive sur un même risque assuré ;
les sinistres exposés au risque de fraudes correspondant à un cumul frauduleux d’assurances ;
les sinistres exposés au risque de fraudes dites « collectives ». 
Le traitement comporte  quatre étapes :
la mutualisation des données des assureurs : chaque assureur extrait les données associées aux contrats d’assurance automobile souscrits et aux sinistres déclarés au sein de son système d’information, avant de les transmettre à un intermédiaire de confiance, sous-traitant de l’ALFA, pour pseudonymisation et chiffrement ; 
une analyse informatique des données et la détection des anomalies par le prestataire : les données préalablement pseudonymisées et chiffrées par le tiers de confiance sont adressées à un second prestataire également sous-traitant de l’ALFA pour être agrégées, analysées et détecter les anomalies ; 
une analyse humaine des résultats par l’ALFA : les anomalies détectées automatiquement par le second prestataire sont d’abord renvoyées au tiers de confiance pour dépseudonymisation des cas de fraude pour ensuite être adressées, en clair, à l’ALFA pour validation. 
les alertes qualifiées de suspicieuses par l’ALFA sont, in fine, envoyées aux assureurs dans le cadre de leurs propres traitements pour mener une instruction spécifique sur ces cas de fraudes.
Ainsi, les assureurs qui auront été alertés d’un cas de fraude mutualisée pourront prendre les mesures appropriées à l’encontre des assurés pouvant, notamment, conduire à leur exclusion. 
Au regard de ce qui précède, la Commission considère que la finalité du traitement est déterminée, explicite et légitime. 
Sur la nature des données traitées :
Les données mutualisées et traitées par l’ALFA correspondent à celles listées dans la norme simplifiée n° 16 relatives aux contrats souscrits en assurance automobile et aux sinistres déclarés. Parmi ces données, seules les catégories nécessaires à la lutte contre la fraude sont prises en compte. Elles correspondent à des informations objectives pouvant créer des alertes susceptibles de révéler des sinistres frauduleux. 
La Commission relève que la liste des données communiquées par les assureurs est une liste fixe et identique pour tous les assureurs qui participeront à la démarche de mutualisation des données.
Il s’agit des catégories de données relatives :
- au contrat ;
- au réseau de distribution ; 
- à l’identification de l’assuré ;
- au(x) conducteur(s) déclaré(s) dans le contrat ; 
- au(x) véhicule(s) assuré(s) ; 
- au(x) sinistre(s) en cours ; 
- aux tiers, au(x) garage(s), à (aux) l’expert(s) et à l’expertise.
Dès lors, la Commission considère que les données précitées sont pertinentes, adéquates et non excessives au regard de la finalité poursuivie, conformément à l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Par ailleurs, l’ALFA a indiqué que les règles de détection de fraudes utilisées par son prestataire peuvent être amenées à évoluer régulièrement. Aussi, la Commission rappelle à l’ALFA (et à son prestataire)  que ces règles de détection de la fraude ne peuvent porter que sur les catégories de données précitées dans la mesure où elles sont nécessaires aux traitements. Si certaines catégories de données ne sont plus utilisées par les règles de détection, celles-ci ne devront plus être traitées.
Sur la durée de conservation des données :
Les alertes analysées par l’ALFA dans le cadre du contrôle de cohérence et qui ne sont pas validées sont supprimées sans délai. Les alertes validées sont mises à disposition des assureurs concernés pour une durée de 6 mois afin de permettre la qualification de l’alerte. 
Passé le délai de 6 mois, les alertes ne sont plus conservées sous une forme lisible, c’est-à-dire que ne figurent plus les données en entrée ayant permis de générer l’alerte mais des éléments permettant une exploitation statistique, à savoir : le numéro de l'alerte, le type de fraude suspectée, le montant estimé, la qualification de l’alerte (pertinent ou non) par l'ALFA et par l'assureur.
Par ailleurs, la Commission relève que la durée de conservation de l’historique des données mutualisées (données des contrats d’assurance automobile et des sinistres déclarés) est de 5 ans.
La Commission considère que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Sur les destinataires des données :
Les assureurs membres de l’ALFA et participant à la mutualisation de la fraude sont destinataires des alertes qui leurs sont transmises par l’ALFA. 
Par conséquent, ils auront connaissance des résultats et pourront prendre des mesures à l’encontre des éventuels fraudeurs identifiés. La Commission précise que les assureurs sont responsables du traitement des alertes qui leurs sont remontées, et qu’ils doivent agir conformément aux principes de protection des données personnelles.
La Commission considère que ces destinataires ont un intérêt légitime à connaître de ces données.
Sur les droits des personnes concernées :
La Commission relève que l’ALFA s’engage à conclure avec chaque assureur membre un contrat type rappelant les conditions et modalités d’information générale de premier niveau prévues par les dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée. 
Cette information rappellera le principe du fonctionnement du dispositif mutualisé des données des contrats d’assurance automobile et des sinistres déclarés auprès des assureurs mis en œuvre par l’ALFA. Elle précisera, notamment, qu’il est possible pour les assureurs d’inscrire sur la liste des personnes à risque les personnes suspectées de fraude.
En outre, le contrat entre l’ALFA et les assureurs membres devra également mentionner le second niveau d’information et rappeler ses modalités au moment de l’inscription d’une personne suspectée de fraude sur une liste des personnes présentant un risque de fraude.
Ces modalités d’informations doivent être conformes à l’AU 039 qui prévoit qu’ : « en cas de confirmation de l’anomalie et de décisions produisant des effets juridiques, la personne susceptible d’être inscrite sur une liste de personnes présentant un risque de fraude, doit être informée individuellement par écrit des dites conséquences en lui donnant la possibilité de présenter ses observations ». 
Dans cette hypothèse, l’assureur devra indiquer de manière précise et explicite les raisons ayant conduit à l’exclusion de l’assuré.
Enfin, les droits d’accès, de rectification et d’opposition peuvent être exercés à tout moment, auprès de ALFA, 1, rue Jules Lefebvre - 75431 Paris Cedex 09. 
Toutefois, en raison de la pseudonymisation des données d'identification, la personne qui exercera son droit d’accès auprès de l’ALFA se verra demander la liste des assureurs auprès desquels elle a été garantie au cours des 5 dernières années, et ce, de manière à ce que l’ALFA puisse faire suivre sa demande auprès de l’assureur concerné. Dès lors, il appartiendra à l’assureur de répondre aux demandes adressées par les personnes dans le respect des conditions prévues par la loi du 6 janvier 1978 modifiée.
Sur la sécurité des données et la traçabilité des actions :
L'accès aux locaux est restreint au moyen de portes verrouillées et contrôlées par un moyen d'authentification personnel.
 
Chaque utilisateur dispose d'un identifiant qui lui est propre. Le responsable de traitement a mis en place une politique de mot de passe conforme aux exigences de la Commission. Des sauvegardes régulières sont réalisées régulièrement et font l’objet de tests afin de vérifier leur intégrité.
Les supports de stockage usagés ou en panne font l'objet d'une procédure de destruction ou d'effacement. Les échanges de données sont réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et de la destination.
Les données transmises par les assureurs sont d’abord chiffrées par un premier prestataire afin de s’assurer que le second prestataire, en charge de l’analyse des données, exploite uniquement les données chiffrées et qu’il ne soit pas en capacité de remonter à l’identité des personnes concernées. Néanmoins, la Commission relève que ces données ne sont pas considérées comme anonymes pour le responsable de traitement qui est mesure de déchiffrer les données afin de remonter à l’identité des personnes concernées et d’en informer les assureurs.
A l’issue de ce traitement, seules les informations correspondant à des alertes seront conservées en clair et seront uniquement accessibles au personnel de l’ALFA chargé de l’analyse des alertes. L’accès à cette application sera protégé par une authentification à deux facteurs et les accès en lecture feront l’objet d’une journalisation.
La Commission prend note que l’ALFA s’engage à conclure des contrats de sous-traitance avec les deux prestataires concernés. Conformément aux dispositions de l’article 35 de la loi du 6 janvier 1978 modifiée, le contrat liant le sous-traitant au responsable du traitement, devra comporter l’indication des obligations incombant au sous-traitant en matière de protection de la sécurité et de la confidentialité des données et prévoir que le sous-traitant ne pourra agir que sur instruction du responsable du traitement.
Par ailleurs, la Commission rappelle que le sous-traitant doit présenter des garanties suffisantes pour assurer la mise en œuvre des mesures de sécurité et de confidentialité mentionnées à l’article 34. Cette exigence ne décharge pas le responsable du traitement de son obligation de veiller au respect de ces mesures.
Dans ces conditions, la Commission autorise l’ALFA à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la mutualisation des données des sinistres automobiles des assureurs pour lutter contre la fraude en assurance.
A cet égard, la Commission précise que l’autorisation délivrée à l’ALFA ne porte que sur les données traitées par l’ALFA et ses sous-traitants et non sur les données émises ou reçues puis traitées par les assureurs membres de l’ALFA. 
 
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par la société BIOGEN France SAS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la prévention du risque de corruption de ses fournisseurs;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 7-5° et 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-Hélène MITJAVILE, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société BIOGEN  est l’un des leaders mondiaux du secteur des biotechnologies. Ses principaux domaines d’activité sont le développement de thérapeutiques destinées au traitement de certaines maladies. La maison mère est située aux Etats-Unis et est cotée au Nasdaq. L'ensemble des sociétés du groupe est soumis au Foreign Corrupt Practices Act (FCPA), loi fédérale américaine de 1977 visant à lutter contre la corruption d'agents publics à l'étranger.
Sur la finalité
Sur le fondement de l’article 25-I-4 de la loi du 6 janvier 1978 modifiée qui prévoit que sont soumis à autorisation préalable les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire, la Commission a été saisie par la société BIOGEN d’une demande d’autorisation relative à un traitement ayant pour finalité la prévention de la corruption et consistant à mettre en œuvre une procédure de vérifications portant sur les personnes avec lesquelles elle est en relation commerciale : les co-contractants, fournisseurs ou prestataires (sauf pour les biens de consommation courants ou commodities du type énergie). Cela inclut notamment les professionnels de santé qui, par exemple, participent aux études cliniques.
La Commission considère qu’il y a lieu d’analyser le traitement au regard de l’article 7-5° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements de données à caractère personnel peuvent être mis en œuvre notamment dans l'intérêt légitime du responsable de traitement, dès lors que celui-ci est établi, sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux des personnes concernées. 
La société BIOGEN se prévaut à l’appui de sa demande d’autorisation des dispositions du « Foreign Corrupt Practices Act » américain (ci-après FCPA) en date du 20 décembre 1977, du « UK Bribery Act », ci-après UKBA et des articles 435-3 et suivants du code pénal français.
Le renforcement des législations européennes et internationales en matière de lutte contre la corruption, en particulier dans le cadre des relations avec des agents publics, conduit des sociétés telles que BIOGEN à mettre en place un système de détection et de prévention de la corruption. En particulier, la loi britannique « UK Bribery Act » (UKBA) du 8 avril 2010 impose la mise en œuvre de procédures de contrôles préalables (« due diligence ») dans les entreprises multinationales dans le domaine de la lutte contre la corruption. Les sociétés françaises sont soumises à cette législation dès lors qu'elles ont une activité, même partielle, sur le territoire du Royaume-Uni, ou qu'elles sont partenaires de sociétés soumises à l’UKBA.
La société mère BIOGEN est soumise au FCPA non seulement en ce qui concerne ses propres activités, mais aussi au titre des sociétés non américaines qui lui sont affiliées. 
Le traitement envisagé par la société BIOGEN vise à identifier les transactions qu’elle réalise avec d’autres professionnels présentant un risque de corruption par le biais d’un système reposant sur une évaluation progressive adaptée au risque encouru. En fonction des résultats du premier screening, si une alerte est remontée par l'outil, des vérifications complémentaires sont réalisées pour identifier les faux positifs.
Le traitement porte essentiellement sur des entités personnes morales et de manière ponctuelle sur une catégorie limitée de personnes physiques (« hommes clefs »), avec lesquelles la société BIOGEN est en relation commerciale : les co-contractants, fournisseurs ou prestataires.
Dans le cadre de la procédure de « due diligence », la société BIOGEN identifie parmi les co-contractants les personnes politiquement exposées (PPE) et celles qui y sont étroitement liées au sens de l’article R. 561-18 du code monétaire et financier et de la Directive européenne n°2015/849. Il est procédé à des vérifications sur les personnes identifiées comme PPE afin d’éviter les conflits d’intérêts entre un consultant commercial et un donneur d’ordre, potentiellement générateurs d’actes de corruption.
La société BIOGEN a recours à un prestataire externe de services. La procédure d’identification des risques liés à la corruption est graduée en fonction du risque détecté. 
Les éléments d’information utilisés par ce prestataire procèdent de sources officielles nationales et internationales, des informations issues de la presse, des décisions de justice ou d’autorités publiques.
L’outil fourni par le prestataire de service est configuré de telle sorte que la société BIOGEN ne puisse disposer que des informations spécifiques à la lutte contre la corruption.
Les informations détectées lors de ces opérations de vérification peuvent conduire la société BIOGEN à limiter la relation commerciale à un périmètre donné ou à suspendre la transaction engagée avec les personnes concernées, après consultation des listes des personnes faisant l’objet de sanctions financières ou de mesures de restriction fournies par le prestataire.