AgentPublic/cnil huggingface dataset:
Sur les autres caractéristiques du traitement
Ce traitement ne permet pas d’établir une « liste noire » de personnes ayant présenté des titres d’identité comportant des anomalies ou des titres d’identité falsifiés ou volés.Des statistiques sur des données anonymisées sont réalisées à partir des résultats de l’outil et permettent de chiffrer le nombre d’alertes par entité, par point de vente, par type de document et par département.Ces autres caractéristiques n’appellent pas d’observation particulière de la Commission.
Autorise, conformément à la présente délibération, le Crédit Agricole du Finistère à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n°1939812)
La Commission nationale de l'informatique et des libertés,
Saisie par la Banque Populaire Loire et Lyonnais d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la détection des clients en situation de fragilité financière afin de leur proposer des mesures d'accompagnement adaptées ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-7° ;
Vu le code monétaire et financier et notamment son article L.312-1-1 A, créé par la loi n°2013-672 du 26 juillet 2013 de séparation et de régulation des activités bancaires ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 5 novembre 2014 portant homologation de la charte d'inclusion bancaire et de prévention du surendettement ;
Après avoir entendu M. Jean-Luc VIVET, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
Responsable du traitement
Banque Populaire Loire et Lyonnais, ci-dessus dénommée BP2L.
Sur la finalité
La Banque Populaire Loire et Lyonnais souhaite mettre en place un mécanisme de détection précoce de ses clients en situation de fragilité financière en combinant les dispositifs d’alertes internes et de connaissance client. 
Le dispositif envisagé permet d’identifier les difficultés financières des clients au regard de l’utilisation des produits et des services qu’ils ont souscrits et sur la base des critères suivants :
Il s’agit d’une part de critères relatifs au profil : 
les clients majeurs  à l’exception de ceux qui font l’objet d’une gestion patrimoniale ;
qui ne sont pas en situation de surendettement connue et déclarée ;
la détention d’un découvert autorisé ;
le statut résidentiel (propriétaire, logé à titre gratuit, locataire, non connu) ;
l’existence de frais de rejet et de commissions d’intervention sur le trimestre ;
l’utilisation d’un  crédit renouvelable ;
la surface financière (total des avoirs du client en moyenne sur 3 mois) ;
le rapport entre le montant de l’échéance mensuelle et le capital total emprunté du prêt personnel ;
l’existence  d’impayés sur crédit sur 2 mois consécutifs ou plus au cours des 6 derniers mois.
qui sont titulaires ou co-titulaires d’un compte chèque et d’un prêt personnel.
Et d’autre part, de variables liées à l’utilisation des produits et des services et au comportement financier des clients :
les clients majeurs  à l’exception de ceux qui font l’objet d’une gestion patrimoniale ;
qui ne sont pas en situation de surendettement connue et déclarée ;
la détention d’un découvert autorisé ;
le statut résidentiel (propriétaire, logé à titre gratuit, locataire, non connu) ;
l’existence de frais de rejet et de commissions d’intervention sur le trimestre ;
l’utilisation d’un  crédit renouvelable ;
la surface financière (total des avoirs du client en moyenne sur 3 mois) ;
le rapport entre le montant de l’échéance mensuelle et le capital total emprunté du prêt personnel ;
l’existence  d’impayés sur crédit sur 2 mois consécutifs ou plus au cours des 6 derniers mois.
A partir de ces critères, les clients qui seront identifiés comme susceptibles d’être en situation de fragilité financière, recevront un courrier leur proposant de rencontrer leur conseiller afin de faire le point sur leur situation financière. 
Il s’agit d’un entretien facultatif à la demande du client qui consiste d’une part, à identifier les éventuelles difficultés financières et leurs causes et d’autre part, à vérifier si l’équipement est adapté à la situation du client afin de lui proposer des solutions de paiement, de gestion du compte ou du crédit adaptées.
En outre, et si sa situation l’exige, le client peut être orienté avec son consentement vers les organismes gestionnaires de prestations sociales : les collectivités locales, les institutions ayant une mission de service public ou des associations caritatives jouant le rôle de médiation sociale. 
Il s’agit ainsi de favoriser l’accès d’une part, aux droits et prestations auxquels les personnes peuvent prétendre, et d’autre part, aux  acteurs du milieu associatif spécialisés dans l’accompagnement des personnes en difficultés afin de proposer aux clients des solutions ou des offres adaptées.
Ces différents acteurs prennent en charge le client selon leur processus interne de traitement de situation de « mal endettement » ou de surendettement. Tous les échanges ultérieurs entre le client et les partenaires relèvent de leur seule responsabilité et ne sont pas communiqués à BP2L. Ainsi, le service proposé par la banque ne se substitue en aucun cas à l’accompagnement des acteurs sociaux mais intervient en amont et en complément d’un accompagnement social. 
La Commission observe que les clients détectés, qui ne se manifesteraient pas suite à la réception de la proposition de prise de contact, ne font l’objet d’aucune autre action,  ni limitation dans l’usage des produits et services précédemment souscrits, ou dans ceux qu’ils envisageraient de souscrire ultérieurement.
La Commission estime que les finalités du traitement sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Le dispositif vise en conséquence uniquement à détecter, prévenir et accompagner les clients potentiellement en difficultés.
Par conséquent, le traitement envisagé est susceptible de comporter des appréciations sur les difficultés sociales des personnes concernées. Dès lors, il relève des dispositions du 7° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et sa mise en œuvre doit, à ce titre, être autorisée par la CNIL.
Sur les données traitées
Les catégories de données à caractère personnel collectées sont relatives :
à l’identification du client ;
à ses coordonnées ;
à son logement (locataire, propriétaire) ;
à sa situation familiale ;
à sa situation professionnelle ;
à ses revenus et situation financière (découvert autorisé, frais de rejet, utilisation crédit renouvelable, surface financière, impayés) ;
aux charges et revenus actuels et le cas échéant aux prévisions d’évolution future.
La Commission considère que ces données sont adéquates, pertinentes et non excessives au sens de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Les données sont conservées pendant une durée maximale de 5 ans et sont ensuite supprimées. Cette durée correspond notamment à celle prévue en matière d’incidents de remboursement des crédits aux particuliers (article L 333-4 et suivants du code de la consommation).
Dès lors, la Commission considère qu’elle est conforme aux dispositions de l’article 6-4° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des informations sont, dans la limite de leurs attributions, les conseillers clientèle de BP2L, la structure dédiée dénommée, Qualité Relation Client (QRC), ainsi que Natixis Financement et CASDEN (Groupe BPOC), pour les clients communs.Les acteurs du milieu associatif seront également destinataires des données relatives à l’identification des clients, à la vie personnelle et professionnelle dès lors que le client aura donné son consentement.La Commission relève que les informations d’ordre économique et financier ne seront en aucun cas transmises à un tiers externe à la banque.La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la banque sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition dans les conditions contractuelles de la convention de compte.La mention d’information qui y figure rappelle notamment que les droits d’accès et de rectification s’exercent auprès du Service Contact Qualité de la Banque Populaire Loire et Lyonnais à l’adresse suivante : BP 3152 – 141, rue Garibaldi 69211 - LYON CEDEX 03, ou par courrier électronique à l’adresse suivante : qualite.contact@bp2l.banquepopulaire.frLes clients orientés vers les acteurs du milieu associatif devront préalablement donner leur consentement exprès pour la transmission de leurs coordonnées, afin d’être mis en contact. La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
La Commission relève que les informations pouvant être recueillies lors de l’entretien ne pourront porter que sur des éléments objectifs liés aux difficultés financières du client (revenus, charges actuelles ou futures…).La Commission rappelle que les informations concernant les clients et relatives à la vie personnelle et professionnelle, communiquées par BP2L aux autres organismes nécessite au préalable la levée du secret bancaire, avec le recueil du consentement de la personne. 
Autorise, conformément à la présente délibération, la Banque Populaire Loire et Lyonnais à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par la société la société Industria De Diseno Textil S.A.  (INDITEX S.A) d’une demande  d’autorisation concernant un traitement automatisé de données à caractère  personnel ayant pour finalité la mise en œuvre d’un dispositif d’alerte  professionnelle ;
Vu la Convention n° 108 du Conseil de l’Europe pour la  protection des personnes à l’égard du traitement automatisé des données à  caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du  24 octobre 1995 relative à la protection des personnes physiques à l’égard du  traitement des données à caractère personnel et à la libre circulation de ces  données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à  l’informatique, aux fichiers et aux libertés, notamment son article  25-I-4 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour  l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique,  aux fichiers et aux libertés ;
Vu la délibération n° 2005-305 du 8 décembre 2005 portant  autorisation unique de traitements automatisés de données à caractère  personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle  (AU-004), telle que modifiée le 14 octobre 2010 et le 30 janvier 2014 ; 
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS,  commissaire, et après avoir entendu les observations de M.   Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
 
A titre liminaire, la Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle (AU-004). 
Elle observe que le traitement objet de la présente délibération ne répond pas aux conditions prévues par cette autorisation unique, notamment s’agissant du champ d’application du dispositif.
La Commission doit, par conséquent, procéder à une analyse spécifique du traitement, au regard des principes relatifs à la protection des données à caractère personnel et, en particulier, de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
 
Responsable du   traitement
La   société Inditex S.A. est une   société de droit espagnol et la maison-mère du groupe de sociétés Inditex spécialisé dans la confection   et la distribution dans les secteurs de l’habillement, de la chaussure, de la   maroquinerie, de l’équipement et de la décoration de la maison.
La   société INDITEX S.A. endosse la qualité de responsable de traitement pour   l’ensemble des sociétés du groupe INDITEX concernées par le dispositif   d’alerte professionnelle en cause, en particulier s’agissant des sociétés   françaises suivantes :
-         ZARA   FRANCE ;
-         MASSIMO   DUTTI FRANCE ;
-         BERSHKA   FRANCE ;
-         PULL   & BEAR FRANCE ;
-         STRADIVARIUS   FRANCE ;
-         ZARA   HOME FRANCE ;
-         OYSHO   FRANCE.
La   Commission relève que le présent dispositif d’alerte professionnelle, pour sa   partie soumise à la législation espagnole, a fait l’objet d’une déclaration à   l’Agence espagnole de protection des données.
Sur la finalité
La société Inditex S.A. a déposé un dossier de demande d’autorisation   préalablement à la mise en place d’un dispositif d’alerte professionnelle.
La Commission considère qu’il y a lieu de   faire application des dispositions de l’article 25-I-4° de la loi du 6   janvier 1978 modifiée, qui soumet à autorisation les traitements automatisés   susceptibles du fait de leur nature, de leur portée ou de leurs finalités,   d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un   contrat en l’absence de toute disposition législative ou réglementaire.
Elle estime, de façon   générale, qu’un dispositif d’alerte   professionnelle doit être   limité dans son champ d’application et que son utilisation doit demeurer   facultative et complémentaire par rapport aux autres voies légales de   remontée de réclamations des salariés.
En l’espèce, le dispositif d’alerte   professionnelle mis en œuvre par la société Inditex S.A. est dédié au traitement   des signalements relatifs aux manquements aux principes énoncés dans le    Code de conduite et de pratiques responsables du groupe INDITEX ,   à savoir :
-         le   respect de la législation en matière de droit du travail, s’agissant   notamment de la santé, de l’hygiène et de la sécurité au travail, de la lutte   contre les discriminations et contre le harcèlement sexuel et moral ;
-         la   lutte contre les pratiques anticoncurrentielles ;
-         la   lutte contre la corruption ;
-         la   lutte contre les conflits d’intérêts ;
-         le   respect de la vie privée ;
-         la   protection des informations à caractère personnel ;
-         la   protection de la propriété industrielle et intellectuelle ;
-       la protection des informations comptables   et financières ;
-         la   lutte contre le détournement d’actifs ;
-         le respect   des engagements environnementaux.
Ce   code de conduite a été adopté par le Groupe INDITEX afin de prendre en compte   les nouvelles dispositions du Code pénal espagnol, issues de la loi organique   n° 1/2015 du 30 mars 2015, qui permettent notamment d’engager la   responsabilité pénale des personnes morales dans les domaines précités.
Ce mode de signalement ne se substitue pas à la remontée hiérarchique   classique, en ce qu’il constitue un canal de signalement alternatif pour les   personnes ne souhaitant pas emprunter la voie habituelle de signalement. 
La Commission estime que le dispositif qui lui est   présenté, limité dans son champ d’application et facultatif, répond à   l’intérêt légitime du responsable du traitement, conformément aux   dispositions du 5° de l’article 7 de la loi du 6 janvier 1978 modifiée. 
Elle considère, dès lors, que les finalités du traitement sont   déterminées, explicites et légitimes.
Sur les données   traitées
Les catégories de données collectées sont   relatives : 
-         à   l’identité, aux fonctions et aux coordonnées de l'émetteur de l'alerte   professionnelle ; 
-         à   l’identité, aux fonctions et aux coordonnées des personnes faisant l'objet   d'une alerte ; 
-         à   l’identité et aux fonctions des personnes intervenant dans le cadre du recueil   ou du traitement de l’alerte ;
-         aux   faits signalés ; 
-         au   compte rendu des opérations de vérification ;
-         aux   suites données à l’alerte et en particulier aux résolutions adoptées par le   Comité d’éthique.
La Commission estime que ces données sont adéquates, pertinentes et   non excessives au regard de la finalité poursuivie par le responsable de traitement.
S’agissant du traitement de l’identité de l’émetteur de l’alerte, la   Commission considère que l’obligation de s’identifier pour l’émetteur de   l’alerte est de nature à limiter les risques de mise en cause abusive ou   disproportionnée de l’intégrité professionnelle, voire personnelle des   personnes concernées. 
La Commission prend acte qu’en   l’espèce le dispositif impose que l’émetteur de l’alerte s’identifie, étant   précisé que son identité est néanmoins traitée de façon confidentielle par   les personnes chargées de la gestion des alertes. 
Sur les   destinataires
S’agissant des   modalités de signalement, la Commission prend acte que tout salarié de la société   Inditex S.A. peut déclencher la procédure par courrier postal,   par courrier électronique ou par fax via des dispositifs spécifiquement créés   pour le traitement.
Les alertes émises sont   recueillies par le Comité d’éthique de la société INDITEX   S.A., spécifiquement créé à cet effet, composé :
-         du secrétaire   général de la société INDITEX S.A. ;
-         du directeur   chargé de veiller au respect de la réglementation de la société INDITEX   S.A. ;
-         du directeur   de l’audit interne de la société INDITEX S.A ;
-         du directeur   de la responsabilité sociale corporative de la société INDITEX S.A ;
-         du directeur   des ressources humaines de la société INDITEX S.A. 
Les alertes sont exclusivement traitées en   interne par le Comité d’éthique précité, sans recours à un prestataire   extérieur.
Les données recueillies et traitées    pourront être communiquées par le Comité d’éthique au(x) correspondant(s)   désigné(s) de chaque filiale française (directeur des ressources humaines   et/ou directeur général de la filiale). 
Une communication de données pourra intervenir au cours de l’enquête,   pour réunir les documents et informations nécessaires au traitement de   l’alerte. Une communication de données pourra également intervenir à l’issue   de l’enquête pour permettre l’adoption des mesures nécessaires pour faire   cesser et/ou sanctionner le manquement relevé.
La Commission considère que ces destinataires présentent un intérêt   légitime à accéder aux données du présent traitement.
Elle relève, par ailleurs,   que ces personnes sont toutes astreintes à une obligation renforcée de   confidentialité, contractuellement définie.
Sur l’information   et le droit d’accès
La Commission prend acte du fait que les instances   représentatives du personnel en France    (Comité central d’entreprise, Comité d’entreprise et Comité d’hygiène,   de sécurité et des conditions de travail) seront informées et   consultées, préalablement à la décision de mise en œuvre, sur le dispositif   d’alerte professionnelle en cause et ses modalités de mise en œuvre.
Les salariés seront informés du dispositif, conformément à l’article   32 de la loi du 6 janvier 1978 modifiée, par la diffusion du  Code de   bonne conduite et des principes responsables du groupe INDITEX  et des   normes de fonctionnement du dispositif d’alerte professionnelle via   l’intranet de la société INDITEX S.A.
Ils seront également informés que l’utilisation de bonne foi du   dispositif, même si les faits s’avèrent par la suite inexacts ou ne donnent   lieu à aucune suite, n’expose son auteur à aucune sanction, mais que   l’utilisation abusive du dispositif peut en revanche exposer son auteur à des   sanctions disciplinaires et à des poursuites judiciaires.
Une personne mise en cause par un signalement est informée par le   Comité d’éthique de l’existence d’une alerte à son encontre, dès   l’enregistrement, par le Comité, de données à caractère personnel la   concernant, et notamment des faits reprochés et des modalités d’exercice de   ses droits d’accès et de rectification. Des mesures conservatoires peuvent   toutefois être prises avant l’information de cette personne afin de s’assurer   de la conservation des preuves. 
Les droits d’accès et de rectification, prévus par les articles 39 et   40 de la loi du 6 janvier 1978 modifiée, s’exercent auprès du Comité   d’éthique d’INDITEX S.A. par courrier électronique ou par voie postale.
La   Commission considère que ces modalités d’information et d’exercice des droits   des personnes sont satisfaisantes.
Sur les mesures de sécurité
La Commission relève qu’un audit de   sécurité sur les mesures techniques et d’organisation exigées par la loi   espagnole, et notamment sur celles relatives au dispositif d’alerte   professionnelle, a été réalisé en septembre 2014 dans la société INDITEX S.A.
Elle rappelle toutefois que le responsable d’un traitement de   données à caractère personnel doit, en application de l’article 34 de la loi   du 6 janvier 1978 modifiée, prendre toutes les précautions utiles pour   préserver la sécurité des données collectées et traitées, au regard de la   nature de ces dernières et des risques présentés par le traitement, et   notamment empêcher que des tiers non autorisés y aient accès par   l’intermédiaire de mesures de sécurité physiques, logiques et   organisationnelles.
La Commission relève à   cet égard que les utilisateurs s’authentifient avec un identifiant et un mot   de passe respectant ses recommandations en la matière.
Un mécanisme de gestion   des habilitations permet, par ailleurs, de garantir que seules les personnes   habilitées peuvent accéder aux données nécessaires à la réalisation de leurs   missions. A cet égard, la Commission rappelle que la gestion des   habilitations doit faire l’objet de procédures formalisées, validées par le   responsable de traitement, portées à la connaissance des utilisateurs et être   régulièrement mises à jour.
Des mesures techniques   adéquates garantissent la sécurité des données stockées ou échangées, en   particulier lors des échanges opérés par l’intermédiaire d’un réseau non   sécurisé tel qu’Internet.