AgentPublic/cnil huggingface dataset:
Monsieur Olivier DE PARSCAU DU PLESSIX a saisi la Commission, en qualité de mandataire judiciaire à la protection des majeurs d’une demande d’autorisation afin de mettre en œuvre un traitement de données à caractère personnel ayant pour finalités la gestion et le suivi de la représentation juridique des personnes placées par l’autorité judiciaire sous sauvegarde de justice, sous tutelle ou sous curatelle relevant de son mandat.A ce titre une  gestion administrative et comptable du service de tutelle est nécessaire.Par ailleurs, le responsable de traitement exerce la mission de mandataire judiciaire à la protection des majeurs que le juge des tutelles lui confie conformément aux dispositions de l’article L.471-1 du code de l’action sociale et des familles (CASF).la Commission relève que le responsable de traitement est spécifiquement agréé en tant que tel par le préfet de son département.La Commission considère que le traitement justifié par l’intérêt public, peut faire apparaître directement ou indirectement les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses, l’appartenance syndicale ou qui sont relatives à la santé ou à la vie sexuelle des personnes et qu’il y a lieu dès lors, de faire application des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements automatisés ou non.Elle considère également, qu’il convient de faire application de l’article 25-I-3° de la loi du 6 janvier 1978
modifiée qui soumet à autorisation les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.Elle estime qu’il y a également lieu de faire application de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements portant sur des données parmi lesquelles figure le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques.La Commission estime, enfin, que le recours à la formalité de l’autorisation se justifie au regard de l’article 25-I-7° de la loi 6 janvier 1978 modifiée pour ce qui concerne les traitements automatisés de données comportant des appréciations sur les difficultés sociales des personnes.
Sur les données traitées
Les données collectées du présent traitement sont, en fonction du type de la mesure de protection (sauvegarde de justice, curatelle ou tutelle), du contenu précis de la mesure prononcée par le juge et de la nature des actes à accomplir, relatives à :
à  l’identification des personnes et, le cas échéant, à celle de leurs conjoints et enfants (nom, prénom, adresse, date et lieu de naissance) ;
à leur vie personnelle (situation familiale, adresse de résidence et fiscale, type d’hébergement) ;
à  leur vie professionnelle (situation professionnelle, scolarité, formation) ;
à des informations d’ordre économique et financier (revenus, situation financière, dépenses, recettes, contrôle du budget) ;
à l’appartenance religieuse, politique ou syndicale et à la santé ;
aux infractions, condamnations ou mesures de sûreté, dans les limites prévues par les dispositions législatives en vigueur ;
au numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (numéro de sécurité sociale), uniquement dans le cadre d’échanges avec des professionnels de santé, des organismes de sécurité sociale, de prévoyance ou de retraite, ainsi que des financeurs de prestations sociales ou médico-sociales;
à des appréciations sur les difficultés sociales des personnes.
La Commission considère que le traitement de ces données est adéquat, pertinent et non excessif au regard de la finalité poursuivie, dès lors qu’elles s’avèrent nécessaires à l’exercice d’un mandat de représentation.
Sur les destinataires
Seul le responsable de traitement et, le cas échéant, les membres habilités de son personnel soumis à une obligation de confidentialité peuvent accéder au présent traitement. Le responsable de traitement exerçant en nom propre et à titre indépendant est   habilité à transmettre des données aux destinataires suivants :Le juge des tutelles compétent peut être destinataire de l’intégralité des données du traitement.La direction départementale de la cohésion sociale et les organismes financeurs, au nombre desquels figurent notamment les caisses d’allocations familiales ou de mutualité sociale agricole, la caisse des dépôts et des consignations ou encore les caisses primaires d’assurance maladie, peuvent être destinataires des données d’identification, des données relatives à la vie personnelle et des numéros de sécurité sociale.La Commission considère que ces destinataires présentent un intérêt légitime à connaître de ces données.Elle estime, par ailleurs, que le responsable du traitement peut également communiquer des données aux organismes en relation avec les personnes représentées, sous réserve que ces transmissions soient indispensables à ces relations, d’une part, et que les données concernées soient limitées au strict nécessaire, d’autre part. 
Sur les durées de conservation
Les données à caractère personnel du présent traitement sont conservées jusqu’à la prescription de l’action en reddition des comptes, en revendication ou en paiement diligentée par la personne protégée ou ses héritiers à savoir, en application de l’article 515 du code civil, cinq ans à compter de la fin de la mesure de protection sauf interruption ou suspension de la prescription.  La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie.
Sur l’information et le droit d’accès 
Les personnes concernées par le présent traitement sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales sur des notices d’information.La Commission considère que cette modalité d’information des personnes est satisfaisante. Elle rappelle que cette information doit être fournie selon des modalités adaptées à leur état.Sauf décision contraire du juge des tutelles, les droits d’accès, de rectification et d’opposition pour motif légitime s’exercent auprès de Monsieur Olivier DE PARSCAU DU PLESSIX par courrier, téléphone, fax ou courriel.  La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes. 
Sur les mesures de sécurité
La Commission observe que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.L’authentification des utilisateurs du traitement respecte les  préconisations de la Commission, notamment en termes de complexité des mots de passe. Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Autorise, conformément à la présente délibération, Monsieur Olivier Parscau du Plessix à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1753401)
La Commission nationale de l'informatique et des libertés,
Saisie par la Banque Populaire des Alpes d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude interne ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.4°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Banque Populaire des Alpes, filiale du Groupe BPCE.
Sur la finalité
Le dispositif envisagé se compose d’un outil commun au niveau du groupe BPCE, garantissant une harmonisation des règles et procédures des traitements de lutte contre la fraude interne et qui ne peut pas être modifié par l’établissement bancaire adhérant au dispositif. Toutefois, il est possible pour un établissement du groupe BPCE d’ajouter des outils optionnels. 
A cet égard, la Banque Populaire des Alpes souhaite bénéficier des outils optionnels relatifs au dispositif de formation, à l’accompagnement psychologique, au référentiel fraude ainsi qu’aux sources complémentaires de remontée des alertes.
Le dispositif commun est un système de requêtage permettant la détection des fraudes à partir d’une liste de critères, préalablement déterminés par l’établissement en fonction de certains paramètres et seuils. Cette liste met en exergue les alertes portant sur les opérations réalisées sur les comptes de l’ensemble des clients. 
Les alertes sont déclenchées sur la base des opérations financières ou administratives réalisées par le collaborateur sur le compte bancaire des clients. Les mouvements atypiques opérés par  le personnel de la banque ayant accès aux comptes bancaires des clients génèrent des alertes. Ces alertes sont analysées par les personnes en charge de la lutte contre la fraude interne.
le traitement ne permet pas d’alimenter une « liste noire » de personnes suspectées d’avoir commis ou tenté de commettre une fraude. 
Enfin, il existe un compte rendu anonymisé sur les indicateurs de pilotage de l’activité de lutte contre la fraude. Il s’agit uniquement de données statistiques conservées pour une durée maximale de 5 années. 
La Commission estime que les finalités poursuivies sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée.   
Sur les données traitées
Les données collectées sont issues du catalogue des requêtes administré par la sécurité financière du groupe au sein de l’organe central. 
La Commission relève que pour toute demande d’évolution du catalogue, la Banque Populaire des Alpes, devra saisir la Commission pour obtenir une autorisation conformément aux dispositions de l’article 30 de la loi du 6 janvier 1978 modifiée.
Le processus de détection de la fraude repose sur les données issues des systèmes d’information au moyen de requêtes portant sur les données suivantes :
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la Banque Populaire des Alpes sont informés de la mise en œuvre du traitement par une mention qui figure sur la convention de compte. Les salariés sont informés par une mention d’information qui figure dans l’annexe au règlement intérieur diffusée à l’ensemble du personnel.Dès lors qu’une enquête sera ouverte à l’encontre d’un collaborateur et lorsque l’établissement aura des présomptions fortes et des éléments factuels de fraude ou du manquement de ce dernier, ce salarié sera informé dans le cadre de l’entretien d’investigation. La Commission relève que le dossier du collaborateur ne comportera aucune information sur l’enquête diligentée à son encontre en l’absence de fraude avérée. Une présentation du dispositif a été réalisée auprès des comités exécutifs au sein des établissements ainsi qu’aux Directoires. Les instances représentatives du personnel seront informées du traitement de lutte contre la fraude lors d’une présentation aux comités d’entreprise des établissements. Le droit d’accès s’exerce auprès du Service Sécurité Financière: 2, avenue du Gresivaudan, 38700 Corenc.
Sur les mesures de sécurité
Il existe des profils d’habilitations qui définissent les fonctions ou les types d’informations accessibles par les personnes prenant part au projet de la lutte contre la fraude interne :
seuls les membres de la cellule locale de Lutte Anti Fraude auront accès aux alertes remontées automatiquement par l’outil de détection des fraudes, 
en cas de fraude avérée, les informations seront transmises aux départements juridiques et au département des ressources humaines,
les personnels chargés de créer le référentiel fraude ont accès  au reporting qui contient des données statistiques anonymes sur les alertes et les cas de fraudes avérées.
Le personnel habilité de la Banque Populaire des Alpes, accède aux données collectées grâce à un identifiant et un mot de passe. 
La complexité des mots de passe est d’une longueur minimale de 8 caractères, comportant 3 types de caractères distincts. Le mot de passe est généré automatiquement par l’outil de génération et est directement transmis à l’utilisateur via une messagerie sécurisée. 
En dehors de l’utilisateur, personne n’a connaissance de ce mot de passe et en cas de perte, un nouveau mot de passe sera généré et transmis suivant le même procédé. 
Toutes les opérations de consultation et de modification font l’objet d’une journalisation. Les journaux sont conservés pendant une durée d’un an et contiennent les adresses IP des machines utilisées ainsi que les identifiants des comptes utilisés. Les comptes sont verrouillés automatiquement après trois tentatives de connexions infructueuses.
lorsqu’une alerte est classée « sans suite », c’est-à-dire qu’il n’a pas été jugé utile d’ouvrir un dossier d’investigation, elle sera automatiquement purgée après le délai de 30 jours ;
les alertes non traitées sont conservées pendant 3 mois dans l’outil à partir de la date de mise à disposition et le temps de procéder à leur qualification (sans suite ou fraude avérée). Passé ce délai, elles sont automatiquement supprimées ;
les alertes non traitées mais classées « à investiguer » sont conservées pendant une durée de 3 mois qui correspond à la durée de conservation des alertes non traitées, à laquelle s’ajoute un nouveau délai de 3 mois dès lors que l’alerte a été classée comme étant à investiguer. Dans ce dernier cas, la durée de conservation totale est de 6 mois. Passé ce délai, elles sont automatiquement supprimées.
les alertes pour lesquelles un dossier d’investigation a été ouvert sont conservées pendant toute la durée de l’enquête jusqu’à ce que la fraude soit ou non avérée ; 
Enfin, une fois que l’alerte a été qualifiée, que le dossier a été clôturé ou que la procédure judiciaire est terminée, les alertes sont automatiquement supprimées ainsi que le rapport final d’investigation.
La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, la Banque Populaire des Alpes, à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1753360)
La Commission nationale de l'informatique et des libertés,
Saisie par la Banque Populaire de Savoie d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude interne ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.4°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Banque Populaire de Savoie, filiale du Groupe BPCE.
Sur la finalité
Le dispositif envisagé se compose d’un outil commun au niveau du groupe BPCE, garantissant une harmonisation des règles et procédures des traitements de lutte contre la fraude interne et qui ne peut pas être modifié par l’établissement bancaire adhérant au dispositif. Toutefois, il est possible pour un établissement du groupe BPCE d’ajouter des outils optionnels. 
A cet égard, la Banque Populaire de Savoie souhaite bénéficier des outils optionnels relatifs au dispositif de formation, à l’accompagnement psychologique, au référentiel fraude ainsi qu’aux sources complémentaires de remontée des alertes.
Le dispositif commun est un système de requêtage permettant la détection des fraudes à partir d’une liste de critères, préalablement déterminés par l’établissement en fonction de certains paramètres et seuils. Cette liste met en exergue les alertes portant sur les opérations réalisées sur les comptes de l’ensemble des clients. 
Les alertes sont déclenchées sur la base des opérations financières ou administratives réalisées par le collaborateur sur le compte bancaire des clients. Les mouvements atypiques opérés par  le personnel de la banque ayant accès aux comptes bancaires des clients génèrent des alertes. Ces alertes sont analysées par les personnes en charge de la lutte contre la fraude interne.
le traitement ne permet pas d’alimenter une « liste noire » de personnes suspectées d’avoir commis ou tenté de commettre une fraude. 
Enfin, il existe un compte rendu anonymisé sur les indicateurs de pilotage de l’activité de lutte contre la fraude. Il s’agit uniquement de données statistiques conservées pour une durée maximale de 5 années. 
La Commission estime que les finalités poursuivies sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée.   
Sur les données traitées
Les données collectées sont issues du catalogue des requêtes administré par la sécurité financière du groupe au sein de l’organe central. 
La Commission relève que pour toute demande d’évolution du catalogue, la Banque Populaire de Savoie, devra saisir la Commission pour obtenir une autorisation conformément aux dispositions de l’article 30 de la loi du 6 janvier 1978 modifiée.
Le processus de détection de la fraude repose sur les données issues des systèmes d’information au moyen de requêtes portant sur les données suivantes :
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la Banque Populaire de Savoie sont informés de la mise en œuvre du traitement par une mention qui figure sur la convention de compte. Les salariés, sont informés par une mention d’information qui figure dans l’annexe au règlement intérieur diffusée à l’ensemble du personnel.Dès lors qu’une enquête sera ouverte à l’encontre d’un collaborateur et lorsque l’établissement aura des présomptions fortes et des éléments factuels de fraude ou du manquement de ce dernier, ce salarié sera informé dans le cadre de l’entretien d’investigation. La Commission relève que le dossier du collaborateur ne comportera aucune information sur l’enquête diligentée à son encontre en l’absence de fraude avérée. Une présentation du dispositif a été réalisée auprès des comités exécutifs au sein des établissements ainsi qu’aux Directoires. Les instances représentatives du personnel seront informées du traitement de lutte contre la fraude lors d’une présentation aux comités d’entreprise des établissements. Le droit d’accès s’exerce auprès du Service Sécurité Financière : 6 boulevard du Théâtre, 73000 Chambéry. 
Sur les mesures de sécurité
Il existe des profils d’habilitations qui définissent les fonctions ou les types d’informations accessibles par les personnes prenant part au projet de la lutte contre la fraude interne :
seuls les membres de la cellule locale de Lutte Anti Fraude auront accès aux alertes remontées automatiquement par l’outil de détection des fraudes, 
en cas de fraude avérée, les informations seront transmises aux départements juridiques et au département des ressources humaines,
les personnels chargés de créer le référentiel fraude ont accès  au reporting qui contient des données statistiques anonymes sur les alertes et les cas de fraudes avérées.
Le personnel habilité de la Banque Populaire de Savoie, accède aux données collectées grâce à un identifiant et un mot de passe. 
La complexité des mots de passe est d’une longueur minimale de 8 caractères, comportant 3 types de caractères distincts. Le mot de passe est généré automatiquement par l’outil de génération et est directement transmis à l’utilisateur via une messagerie sécurisée. 
En dehors de l’utilisateur, personne n’a connaissance de ce mot de passe et en cas de perte, un nouveau mot de passe sera généré et transmis suivant le même procédé. 
Toutes les opérations de consultation et de modification font l’objet d’une journalisation. Les journaux sont conservés pendant une durée d’un an et contiennent les adresses IP des machines utilisées ainsi que les identifiants des comptes utilisés. Les comptes sont verrouillés automatiquement après trois tentatives de connexions infructueuses.
lorsqu’une alerte est classée « sans suite », c’est-à-dire qu’il n’a pas été jugé utile d’ouvrir un dossier d’investigation, elle sera automatiquement purgée après le délai de 30 jours ;
les alertes non traitées sont conservées pendant 3 mois dans l’outil à partir de la date de mise à disposition et le temps de procéder à leur qualification (sans suite ou fraude avérée). Passé ce délai, elles sont automatiquement supprimées ;
les alertes non traitées mais classées « à investiguer » sont conservées pendant une durée de 3 mois qui correspond à la durée de conservation des alertes non traitées, à laquelle s’ajoute un nouveau délai de 3 mois dès lors que l’alerte a été classée comme étant à investiguer. Dans ce dernier cas, la durée de conservation totale est de 6 mois. Passé ce délai, elles sont automatiquement supprimées.
les alertes pour lesquelles un dossier d’investigation a été ouvert sont conservées pendant toute la durée de l’enquête jusqu’à ce que la fraude soit ou non avérée ; 
Enfin, une fois que l’alerte a été qualifiée, que le dossier a été clôturé ou que la procédure judiciaire est terminée, les alertes sont automatiquement supprimées ainsi que le rapport final d’investigation.
La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, la Banque Populaire de Savoie, à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN