AgentPublic/cnil huggingface dataset:
- les données d'identification des personnes intervenant dans la détection et la gestion de la fraude.
En tout état de cause, ces données ne peuvent être collectées que dans le cadre des finalités définies dans la présente autorisation unique ;
- la gestion administrative du personnel uniquement dans le cadre de requêtes ponctuelles et individuelles consécutives à la détection d'une fraude mixte (complicité d'un collaborateur de l'entité) :
- noms ;
- prénoms ;
- identifiants ;
- adresse de messagerie ;
- numéro de téléphone ;
- absences ou congés.
En tout état de cause, la lutte contre la fraude externe ne doit pas conduire à une surveillance automatisée et systématique du personnel.
Chaque entité procédant à un engagement de conformité à la présente autorisation unique devra tenir à jour une liste des critères et des scénarios utilisés à des fins de détection de la fraude externe, qu'elle devra mettre à disposition de la CNIL.
Dans le cadre de la présente autorisation unique les données ci-dessus sont traitées directement en lien avec les typologies de fraudes listées ci-dessous.
Typologie de fraudes externes :
- fraude aux moyens de paiement (fraude chèque, fraude virement, fraude prélèvement, lettre de change relevé et billet à ordre relevé, cavalerie, détournement de fonds/titres, vol de moyens de paiement) ;
- fraude monétique (fraude à la carte de paiement, fraude au terminal de paiement [ TPE ], cavalerie) ;
- fraude documentaire et identitaire (ouverture de compte avec faux justificatifs, demande de financement, de location ou de tout autre service bancaire et financier tel que défini dans la présente autorisation unique avec faux documents, contrefaçon/falsification de documents, fausse facture, fausse garantie, usurpation d'identité, faux justificatifs d'identité, fausse identité, fausse entreprise, fausse qualité) ;
- fraude crédit/leasing/location longue durée (détournement de gage, détournement/vol du matériel financé, double financement d'actif, financement d'actif fictif, revente par le client ou un tiers du bien en crédit-bail, location avec promesse de vente ou location longue durée, soit en fraude au droit de propriété de l'entité) ;
- fraude liée à l'affacturage (fausse facture, financement de factures non causées, règlement direct non remboursé, double mobilisation de créance) ;
- fraude visant les clients ou l'entité (faux placements, montage Ponzi, fraude à l'héritage, fausse loterie, fraude aux annuaires, fraude au président, ingénierie sociale).
Les entités adressant un engagement de conformité à la présente autorisation unique établissent une étude d'impact relative à la protection des données pour tout scénario de fraude qui n'est pas expressément listé ci-dessus. Cette étude documente la liste des critères et scénarios utilisés à des fins de détection de la fraude externe, les risques sous-jacents et les mesures prises afin de limiter les risques pour les droits et libertés des personnes concernées. Elle devra être mise à jour régulièrement, et être mise à disposition de la CNIL.
Sur la durée de conservation des données :
La commission rappelle que des données à caractère personnel ne peuvent être conservées, conformément à l'article 6 (5°) de la loi du 6 janvier 1978 modifiée, que le temps strictement nécessaire à l'accomplissement de la finalité pour laquelle elles ont été collectées.
Les entités disposent d'un délai de 12 mois à compter de l'émission des alertes pour les qualifier. Toute alerte qualifiée de non pertinente est supprimée sans délai. Les alertes n'ayant reçu aucune qualification à l'issue du délai de 12 mois sont supprimées.
En cas d'alerte pertinente, les données relatives à la fraude avérée sont conservées pour une durée maximale de 5 ans à compter de la clôture du dossier de fraude.
Lorsqu'une procédure judiciaire est engagée, les données sont conservées jusqu'au terme de la procédure judiciaire. Elles sont ensuite archivées selon les durées légales de prescription applicables.
Pour les personnes inscrites sur une liste des fraudeurs avérés, les données les concernant sont supprimées passé le délai de 5 ans à compter de la date d'inscription sur cette liste.
Sur les destinataires des données :
Pour l'accomplissement des finalités précitées, seules peuvent être habilitées à accéder à tout ou partie des données sous réserve qu'elles soient nécessaires à l'accomplissement de leurs attributions, les personnes suivantes :
- pour les alertes :
- les personnels habilités en charge de la lutte contre la fraude dans l'entité concernée ou au sein d'une autre entité du groupe en charge de la lutte contre la fraude lorsqu'elle agit pour le compte de l'entité ;
- les personnels habilités en charge de la lutte contre le blanchiment et le financement du terrorisme au sein de l'entité ;
- les inspecteurs, enquêteurs, auditeurs et experts, de manière ponctuelle dans le cadre d'enquêtes ;
- le personnel habilité de la direction de la conformité en charge du contrôle interne ou du service du contentieux pour la gestion des contentieux au sein de l'entité ;
- les autorités légalement habilitées dans le cadre de leurs missions ou de l'exercice d'un droit de communication ;
- pour les fraudes avérées :
- les personnels en relation avec la clientèle (pour les seuls messages d'alerte liés à la fraude avérée dans le cadre de l'étude du contrat portant sur les services bancaires et financiers tels que définis dans la présente autorisation unique) ;
- les personnels habilités en charge de la lutte contre la fraude dans l'entité concernée ou au sein d'une autre entité du groupe ;
- les personnels habilités en charge de la lutte contre le blanchiment et le financement du terrorisme au sein de l'entité ;
- la direction générale, les directions des risques opérationnels, le personnel habilité de la direction de la conformité en charge du contrôle interne ou du service du contentieux, de la direction juridique, les personnels en charge du contrôle interne, l'audit, l'inspection générale, la sécurité financière ;
- les prestataires de services ou tâches opérationnelles essentielles ou importantes au sens de l'article 10, r, de l'arrêté du 3 novembre 2014, intermédiaires en opérations de banque et services de paiement, dès lors qu'ils sont concernés par la fraude ou interviennent dans la gestion des dossiers ou de maîtrise du risque de fraude ;
- les inspecteurs, auditeurs, enquêteurs, et experts, de manière ponctuelle dans le cadre d'enquêtes ;
- s'il y a lieu les victimes de fraudes ou leurs représentants ;
- les autorités légalement habilitées, dans le cadre de leurs missions ou de l'exercice d'un droit de communication.
Ces personnes n'ont accès à ces données que pour autant qu'elles soient habilitées dans le cadre de leur activité et de l'organisation mise en place au sein de chaque entité ayant procédé à un engagement de conformité à la présente autorisation unique.
Sur l'information et sur les droits d'accès, de rectification et d'opposition des personnes :
Le responsable du traitement procède, conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée, à l'information des personnes concernées, en précisant notamment à cette occasion l'identité du responsable de traitement ou de son représentant, la finalité poursuivie, les destinataires ou catégories de destinataires des données, les durées de conservation applicables et les modalités d'exercice des droits des personnes (droits d'accès, de rectification et d'opposition pour motif légitime).
Aucune décision produisant des effets juridiques à l'égard des personnes concernées par des données traitées dans le cadre de la lutte contre la fraude ne peut être prise sur le seul fondement de ces traitements automatisés. Dès lors, les alertes générées automatiquement doivent donner lieu à une analyse non automatisée par le personnel habilité de l'entité ou du groupe auquel elle appartient, le cas échéant des investigations complémentaires pourront être diligentées. Enfin, la personne concernée doit être mise en mesure de présenter ses observations si une décision produisant des effets juridiques est prise à son égard dans le cadre de la conclusion ou de l'exécution d'un contrat.
Cette information s'effectue selon les modalités suivantes :
- les personnes concernées sont informées de l'existence du traitement de lutte contre la fraude au moyen des documents qui leur sont communiqués au moment de la souscription/conclusion du contrat, ou de tout autre support de communication échangé lors de l'exécution du contrat. L'information doit être concise, transparente, compréhensible et aisément accessible ;
- outre cette information générale, après investigation, en cas de confirmation de l'anomalie et de décisions produisant des effets juridiques, la personne susceptible d'être inscrite sur une liste de personnes présentant un risque de fraude doit être, sauf disposition légale ou réglementaire contraire, informée individuellement par écrit des conséquences de cette inscription, en particulier du partage des données avec les entités du groupe concernées, en lui donnant la possibilité de présenter ses observations.
Les droits d'accès, de rectification et d'opposition définis au chapitre V de la loi du 6 janvier 1978 modifiée s'exercent directement auprès du ou des services que le responsable de traitement doit désigner.
Sur la sécurité des données et la traçabilité des actions :
Le responsable du traitement prend toutes précautions utiles pour préserver la sécurité des données traitées, notamment pour empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés y aient accès.
Le responsable de traitement définit une politique de sécurité adaptée aux risques présentés par les traitements. Cette politique devra décrire les objectifs de sécurité, et les mesures de sécurité physique, logique et organisationnelle permettant de les atteindre. Elle sera mise à jour régulièrement pour tenir compte des évolutions du contexte et des moyens permettant à tous ceux devant l'appliquer de la connaître seront mis en œuvre.
Les accès aux traitements de données nécessitent une authentification des personnes accédant aux données, au moyen d'un identifiant et d'un mot de passe individuels, gérés conformément à l'état de l'art, ou par tout autre moyen d'authentification de même fiabilité ou de fiabilité supérieure.
Les droits permettant d'accéder aux données doivent être précisément définis en fonction des besoins réels de chaque utilisateur, les permissions d'accès devront être supprimées pour tout utilisateur n'étant plus habilité.
Le responsable de traitement prend les mesures nécessaires pour assurer la maintenance du matériel. Ainsi, les interventions de maintenance doivent faire l'objet d'une traçabilité et le matériel remisé devra être nettoyé de toute donnée à caractère personnel.
Les conditions d'administration du système d'information prévoient l'existence de systèmes automatiques de traçabilité (journaux, audits, etc.).
Dans le cas de l'utilisation d'un service de communication au public en ligne, le responsable de traitement prend les mesures nécessaires pour se prémunir contre toute atteinte à la confidentialité des données traitées. Les données transitant sur des canaux de communication non sécurisés doivent notamment faire l'objet de mesures techniques visant à les rendre incompréhensibles à toute personne non autorisée à y avoir accès.
Le responsable de traitement devra aussi s'assurer que ses sous-traitants présentent des garanties suffisantes en matière de sécurité des données.
Sur les transferts de données vers l'étranger :
Les transferts de données à caractère personnel réalisés vers des pays tiers à l'Union européenne qui ne sont pas membres de l'Espace économique européen peuvent être effectués lorsque l'une des conditions suivantes est réunie :
- les transferts s'effectuent à destination d'un pays reconnu par une décision de la Commission européenne comme assurant un niveau de protection suffisant, ou d'une entreprise américaine ayant adhéré aux principes du Privacy Shield ;
- le traitement garantit un niveau suffisant de protection de la vie privée, ainsi que les droits et libertés fondamentaux des personnes, par la mise en œuvre de clauses contractuelles types adoptées par la Commission européenne ou par l'adoption de règles internes d'entreprise ( Binding Corporate Rules , ou BCR) dont la CNIL a préalablement reconnu qu'elles garantissent un niveau de protection suffisant ;
- ces transferts sont réalisés dans le cadre de l'exécution des contrats ou pour la mise en œuvre des garanties (art. 69 [1°, 5°, 6°] de la loi informatique et libertés), ou lors de la gestion des actions ou contentieux liés à l'activité et permettant notamment à l'entreprise d'assurer la constatation, l'exercice ou la défense de ses droits en justice ou pour les besoins de défense des personnes concernées (art. 69 [3°] de la loi informatique et libertés).
Le recours à ces exceptions de l'article 69 n'est possible que pour les transferts dont le champ d'application est limité à des cas de transferts ponctuels et exceptionnels. Ainsi, les transferts répétitifs, massifs ou structurels de données personnelles doivent faire l'objet d'un encadrement juridique spécifique au moyen de BCR ou de clauses contractuelles types.
Le responsable de traitement s'engage, sur simple demande de la personne concernée, à apporter une information complète sur la finalité du transfert, les données transférées, les destinataires exacts des informations et les moyens mis en œuvre pour encadrer ce transfert.
La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
I. Falque-Pierrotin
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) n° 596/2014 du Parlement européen et du Conseil du 16 avril 2014 sur les abus de marché (règlement relatif aux abus de marché) ;
Vu le règlement d'exécution (UE) 2016/347 de la Commission du 10 mars 2016 définissant des normes techniques d'exécution précisant le format des listes d'initiés et les modalités de la mise à jour de ces listes
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier ;
Vu le code du travail, notamment l'article L. 432-2-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 24 II ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Jean-Luc VIVET, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Parmi les mesures destinées à assurer la transparence et l'intégrité des marchés financiers, le règlement européen n° 596/2014 du 16 avril 2014 sur les abus de marché impose l'établissement et la mise à jour de listes d'initiés par toute entité juridique de droit public ou privé qui émet ou propose d'émettre des instruments financiers, ci-après émetteur .
Aux termes de l'article 18 du règlement sur les abus de marché, les émetteurs ou toute personne agissant en leur nom ou pour leur compte :
a) Etablissent une liste de toutes les personnes qui ont accès aux informations privilégiées, et qui travaillent pour eux en vertu d'un contrat de travail ou exécutent d'une autre manière des tâches leur donnant accès à des informations privilégiées, comme les conseillers, les comptables ou les agences de notation de crédit (ci-après dénommée liste d'initiés ) ;
b) Mettent cette liste d'initiés à jour rapidement conformément au paragraphe 4 ;
c) Communiquent la liste d'initiés à l'autorité compétente dès que possible à la demande de celle-ci .
Ces listes d'initiés constituent une mesure utile à la protection de l'intégrité du marché : elles peuvent être utilisées par les émetteurs pour mieux maîtriser le flux des informations privilégiées et mieux gérer leurs obligations de confidentialité ; elles permettent de sensibiliser les initiés à leurs propres obligations ; enfin, elles sont destinées à faciliter aux autorités compétentes l'identification des initiés et de déterminer la date à laquelle ils ont eu accès aux informations privilégiées, en vue de réprimer d'éventuels manquements à la réglementation.
Une section de la liste d'initiés devant être ouverte pour chaque nouvelle information privilégiée, les traitements automatisés mis en œuvre à cette fin ont vocation à se multiplier. Leur contenu et les modalités de conservation, d'utilisation et de communication des données y figurant sont définis par la réglementation européenne. Les personnes inscrites sur ces listes doivent en être informées. En outre, ces traitements ne sont pas susceptibles, sous réserve du respect des conditions prescrites par la présente délibération, de porter atteinte à la vie privée ou aux libertés des personnes physiques concernées.
La commission estime en conséquence, qu'en application du premier alinéa du II de l'article 24 de la loi du 6 janvier 1978, il y a lieu de dispenser de toute formalité déclarative préalable les traitements automatisés qui ont pour finalité la tenue des listes d'initiés lorsqu'ils sont conformes aux dispositions qui suivent.
Décide :
 
Article 1
Champ d'application.
Sont dispensés de déclaration les traitements automatisés de données à caractère personnel qui satisfont aux conditions posées par la présente délibération, lorsque leur responsable exerce en France une activité dans le cadre d'une installation stable, quelle qu'en soit la forme juridique (y compris s'il s'agit d'une simple succursale), et recourt à cette fin à des moyens informatiques situés sur le territoire national ou utilisés depuis celui-ci, ne serait-ce que pour collecter, enregistrer ou consulter des données personnelles.
Lorsque tout ou partie des moyens informatiques utilisés pour le traitement des données est établi hors du territoire national, la dispense ne s'applique que s'ils sont mis en œuvre dans un autre Etat membre de l'Union européenne ou partie à l'accord sur l'Espace économique européen ou dans un autre Etat disposant d'une législation adéquate en matière de protection des données à caractère personnel.
 
Article 2 
Finalités du traitement.
Les traitements automatisés doivent avoir pour finalité l'établissement, la mise à jour, l'utilisation et la communication des listes d'initiés dans les conditions fixées à l'article 18 du règlement (UE) n° 596/2014 du 16 avril 2014 relatif aux abus de marché.
Par ailleurs, aux termes de l'article 2-1 du Règlement d'exécution n° 2016-347, les émetteurs peuvent ajouter dans la liste d'initiés une section consacrée aux initiés permanents, c'est-à-dire aux personnes ayant accès en permanence à l'ensemble des informations privilégiées. Cette section sera par nature différente des autres sections de la liste, dans la mesure où elle sera créée en fonction de la personne ayant accès à l'information privilégiée et non pas par rapport à l'information privilégiée elle-même.
Enfin, le traitement pourra également avoir pour finalité d'établir une liste des personnes soumises à l'interdiction d'effectuer des transactions pour leur propre compte ou celui d'un tiers pendant une période dite période d'arrêt , conformément à l'article 19-11 du Règlement n° 596/2014 relatif aux abus de marché.
Sous réserve des dispositions de la dernière phrase de l'article 3 de la loi du 6 janvier 1978 relatives aux autorités habilitées à accéder aux informations en qualité de tiers autorisés , les informations traitées ne peuvent pas être utilisées, consultées ou transmises à d'autres fins que l'application de la législation sur la prévention des délits d'initiés.
Les informations portées sur les listes d'initiés se rapportent exclusivement à des personnes physiques ou morales, françaises ou étrangères, que le responsable du traitement considère comme étant initiées en tant qu'elles ont accès à des informations privilégiées au sens de l'article 7 du règlement n° 596/2014 relatif aux abus de marché.
 
Article 3
Informations collectées et traitées.
Les données à caractère personnel collectées pour la tenue des listes d'initiés sont énumérées à l'annexe du règlement d'exécution n° 2016/347 du 10 mars 2016 définissant des normes techniques d'exécution précisant le format des listes d'initiés et les modalités de la mise à jour de ces listes conformément au règlement n° 596/2014.
Les données à caractère personnel collectées pour la tenue des listes d'initiés et des listes des personnes soumises à l'interdiction d'effectuer des transactions pour leur propre compte ou celui d'un tiers pendant une période dite période d'arrêt sont les suivantes :
Données d'identification : nom, nom marital si différent, prénoms, date de naissance, adresse professionnelle, société de rattachement, numéros de téléphone professionnels et privés (fixe et mobile), adresse privée complète (numéro, rue, ville, code postal, pays), numéro d'identification national le cas échéant (à l'exclusion du NIR), date de fin des fonctions.
Motifs d'inscription : la fonction et la raison pour laquelle la personne a le statut d'initié (nature du mandat social, des fonctions professionnelles exercées, de la mission justifiant l'inscription sur la liste, etc.).
Les dates d'inscription et de radiation des informations sur la liste d'initiés.
La date et l'heure auxquelles la personne a obtenue l'accès aux informations privilégiées et la date et l'heure auxquelles la personne a cessé d'avoir accès aux informations privilégiées.
Dans le cas de l'établissement d'une section des initiés permanents , celle-ci doit comprendre les données suivantes :
Date et heure de la création de la section ;
Date et heure de la dernière mise à jour de la section ;
Date de transmission à l'autorité compétente ;
Informations relatives à l'initié :
- noms, prénoms, numéros de téléphone privés et adresse privée ;
- nom et adresse de l'entreprise, numéros de téléphone professionnel ;
- fonction et raison pour laquelle la personne a le statut d'initié ;
- date et heure auxquels l'initié a été inclus dans la section des initiés permanents.
Aux termes de l'article 2 du Règlement n° 2016/347, les coordonnées des initiés permanents figurant dans cette section supplémentaire ne sont pas incluses dans les autres sections de la liste d'initiés.
 
Article 4
Destinataires des informations.
Seuls peuvent avoir communication de tout ou partie des données enregistrées :
a) Les agents spécialement habilités des services juridiques, financiers, des ressources humaines, d'audit interne ou de la conformité pour participer à la tenue des listes d'initiés, y compris le cas échéant les dirigeants ou toute personne agissant en leur nom ou pour leur compte, qui ont besoin de cet accès de par la nature de leur fonction ou leur position ;
b) L'Autorité des marchés financiers et les autorités administratives compétentes, homologues de l'AMF, des autres Etats membres de la Communauté européenne, des autres Etats parties à l'accord sur l'Espace économique européen et des autres Etats disposant d'une législation adéquate en matière de protection des données à caractère personnel, pour les seules informations entrant dans leur champ de compétence respectif.
Les destinataires prévus au b ne peuvent avoir communication des données que dans le cadre d'une demande préalable formulée par écrit, notamment par voie électronique.
 
Article 5 
Mise à jour et durée de conservation.
Aux termes de l'article 18.4 du règlement n° 596/2014 relatif aux abus de marché, la liste d'initiés doit être mise à jour rapidement, y compris la date de mise à jour, en cas de changement du motif pour lequel une personne a été inscrite, lorsqu'une nouvelle personne a accès aux informations privilégiées et lorsqu'une personne cesse d'avoir accès aux informations privilégiées.