AgentPublic/cnil huggingface dataset:
Dès lors, il est essentiel d'assurer la mise à jour des données relatives à ces mesures et de garantir qu'elles seront effacées sans délai du fichier dans toutes les hypothèses où ces mesures sans limitation de durée sont abrogées. La CNIL souligne que ces mises à jour sont en pratique particulièrement difficiles à réaliser pour les services concernés lorsqu'elles ne reposent pas sur des mécanismes automatisés. Or le fait d'être maintenu dans le fichier des personnes recherchées après abrogation de la mesure peut causer un préjudice très important aux personnes. Il est donc indispensable que des procédures précises soient mises en place pour que, en application du décret, les personnes chargées de la mise à jour du FPR soient informées de toute abrogation d'une mesure administrative concernant les étrangers.
C. - Sur l'accès aux données du FPR
a) Le cadre de consultation du traitement :
L'article 1er du décret définit les finalités et le cadre de consultation du FPR.
Le ministère précise que cette disposition doit être interprétée comme permettant de consulter le FPR dans le cadre de toute mission de police administrative ou judiciaire. Par ailleurs, s'agissant des enquêtes administratives, la disposition énumère de façon limitative les enquêtes dans le cadre desquelles le FPR peut être consulté.
La CNIL considère que le décret devrait préciser, au sein des dispositions relatives aux destinataires, les attributions dans le cadre desquelles l'accès aux données du traitement peut être accordé (en ce sens, v. CNIL, SP, 18 mai 2017, avis sur projet de décret, FPR, n° 2017-154, publié).
En outre, l'AIPD pourrait illustrer les contextes d'usage de pouvoirs de police administrative ou judiciaire pouvant donner lieu à une consultation du FPR, dans le respect de ses finalités.
b) L'extension du périmètre des accédants :
i. Accès au FPR dans le cadre d'enquêtes administratives :
Les agents du service national des enquêtes d'autorisation de voyage (SNEAV) pourront accéder aux données du FPR. Ce service est chargé de procéder à l'examen manuel de certaines demandes d'autorisation de voyage et de conduire les consultations sécuritaires relatives aux demandes de visas, notamment en consultant des traitements de données à caractère personnel relatifs à la prévention du terrorisme ou des atteintes à la sécurité et à l'ordre public (art. 2 du décret n° 2021-1138 du 1er septembre 2021).
Les agents du SNEAV pourront, dans le cadre des enquêtes administratives relevant de leur compétence, consulter la majorité des catégories de fiches inscrites dans le traitement.
Or, la CNIL rappelle avoir déjà souligné que l'accès des agents en charge des enquêtes administratives doit être restreint aux sous-fichiers dont les motifs d'inscription sont en lien avec l'objectif de prévention des atteintes à la sécurité des personnes, à la sécurité publique ou à la sûreté de l'Etat (CNIL, SP, 18 mai 2017, avis sur projet de décret, FPR, n° 2017-154, publié).
Au regard des spécificités des missions du SNEAV et de la nature des fichiers devant être consultés dans ce cadre (v. art. 2 du décret n° 2021-1138), le périmètre des catégories de fiches accessibles devrait être davantage circonscrit et exclure les types de fiches ne comprenant que des données sans rapport avec les enquêtes menées par ce service.
ii. Accès des services de renseignement :
Les agents du service national du renseignement pénitentiaire sont ajoutés parmi les accédants aux données du traitement. Le ministère précise que les agents relevant de ce service pourront accéder, dans le cadre de leurs missions de renseignement, à la quasi-totalité des catégories de fiches du FPR.
Par ailleurs, le projet de décret supprime les agents des services spécialisés du renseignement du ministère des armées de la liste des destinataires pour les ajouter aux accédants aux données du traitement.
Ces services auront accès au FPR dans le cadre, d'une part, des enquêtes administratives de sécurité dont ils ont la charge et, d'autre part, de la recherche, de la collecte, de l'exploitation et de la mise à disposition du Gouvernement des renseignements relatifs aux enjeux géopolitiques et stratégiques ainsi qu'aux menaces et aux risques susceptibles d'affecter la vie de la Nation. Les agents concernés auront accès à une large part des catégories de fiches inscrites au FPR.
La CNIL souligne que les différents accès doivent être limités aux seules catégories de fiches pertinentes et nécessaires au regard des missions particulières des agents relevant de chacun de ces services.
D. - Sur les mises en relation
a) Sur les mises en relation existantes ou projetées :
Le ministère indique que le FPR fait l'objet d'une mise en relation avec vingt-deux traitements.
La CNIL rappelle que les opérations de traitement en cause doivent être conformes aux finalités, aux données et aux accédants et destinataires fixés par les actes réglementaires encadrant chacun des traitements mis en relation (sur ce point, v. CNIL, SP, 27 mai 2021, avis sur projet de décret, LRPGN, n° 2021-061, publié).
Dans cette perspective, les textes régissant certains traitements doivent être modifiés pour permettre leur mise en relation avec le FPR. La CNIL prend acte de l'intention du ministère de modifier les textes encadrant le système informatique national du système d'information Schengen (N-SIS) et le fichier automatisé des empreintes digitales (FAED), notamment.
b) Sur les opérations de traitement susceptibles d'impliquer de nouvelles mises en relation :
Certaines opérations de traitement semblent impliquer des mises en relation avec d'autres fichiers.
Par exemple, le projet de décret prévoit l'inscription au FPR du numéro de dossier du permis de conduire et de données relatives au permis de conduire. Dans la mesure où ces données seraient issues du Système national des permis de conduire (SNPC), leur inscription dans le FPR impliquerait une mise en relation avec ce traitement.
Il n'est par ailleurs pas exclu que des mises en relation soient effectuées avec, en particulier, le traitement NATALI (mis en œuvre dans le cadre de l'instruction des demandes relatives à la nationalité française).
Au regard de ces éléments, la CNIL invite le ministère à :
- identifier et lister dans l'AIPD, de façon exhaustive, les traitements susceptibles d'être mis en relation avec le FPR ;
- s'assurer de la conformité de ces mises en relation avec les textes encadrant chaque traitement.
Elle prend acte de l'engagement du ministère de mettre à jour le tableau des mises en relation joint à l'AIPD.
E. - Sur l'information des personnes
Les informations relatives au traitement seront mises à disposition des personnes concernées sur le site web du ministère de l'intérieur. Cette modalité d'information des personnes vaut tant pour les opérations de traitement encadrées par le RGPD, que pour celles relevant du titre III de la loi informatique et libertés.
Or les articles 13 et 14 du RGPD prévoient que le responsable de traitement fournit ces informations à la personne concernée. L'article 104 de la loi informatique et libertés prévoit une mise à disposition de l'information.
La CNIL estime que :
- les personnes dont les données sont traitées dans les conditions prévues par le RGPD devront être directement informées du traitement. Des mentions d'information devront, pour les mesures faisant l'objet d'une notification, être portées sur les courriers afférents ;
- une information directe des personnes dont les données relèvent du titre III de la loi informatique et libertés pourrait, dans certains cas, être assurée. Dès lors qu'elle ne porterait pas atteinte à la poursuite des finalités du traitement, cette information serait, le cas échéant, fournie à la personne concernée lors de la notification de la décision fondant son inscription au FPR.
F. - Sur les mesures de sécurité
En premier lieu, le ministère indique avoir engagé un processus d'homologation de sécurité du système d'information mis en œuvre dans le cadre du traitement.
La CNIL rappelle la nécessité de mettre à jour l'AIPD à l'issue de la démarche d'homologation du système d'information.
Elle rappelle également l'importance d'inclure les interconnexions mises en œuvre avec le traitement FPR dans le périmètre des audits de sécurité, afin de vérifier que les systèmes tiers accédant aux données du traitement présentent des garanties de sécurité appropriées concernant la gestion des habilitations, la traçabilité, et la détection proactive des incidents de sécurité et violations de données.
En deuxième lieu, le ministère indique avoir mis en place un dispositif de journalisation, qui est obligatoire pour les traitements relevant du titre III de la loi informatique et libertés, et conserver les données de traçabilité du traitement principal pendant trois ans, afin de pouvoir en disposer lors d'enquêtes disciplinaires ou judiciaires. La CNIL estime que cette durée de conservation peut se justifier, en raison de la gravité et de la vraisemblance du risque de détournement des finalités du traitement principal, ainsi que pour permettre le traitement des alertes provenant des interconnexions avec le FPR.
En troisième lieu, s'agissant de l'authentification des accédants aux données du FPR, la CNIL estime que le niveau de sécurité des différents systèmes permettant de se connecter à l'application devrait être harmonisé, en recourant notamment à une authentification forte systématique.
Enfin, compte-tenu de la sensibilité des données concernées par le traitement FPR, la CNIL recommande de prévoir des mesures complémentaires de chiffrement de ces données, y compris concernant les données au repos et leurs sauvegardes, ainsi que, dans la mesure du possible, pour les échanges entre les différentes briques du traitement FPR, à l'aide d'algorithmes et de procédures de gestion des clés réputés sûrs, conformément aux recommandations de la CNIL et de l'agence nationale de la sécurité des systèmes d'information (ANSSI) en la matière.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l’économie et des finances d’une demande d’avis concernant un projet d’ordonnance renforçant le dispositif français de lutte contre le blanchiment et le financement du terrorisme et transposant la directive (UE) 2015/849 du Parlement européen et du Conseil du 20 mai 2015 relative à la prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme et le règlement (UE) 2015/847 du Parlement européen et du Conseil du 20 mai 2015 sur les informations accompagnant les transferts de fonds ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive (UE) 2015/849 du Parlement européen et du Conseil du 20 mai 2015 relative à la prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme (LCB/FT) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-4-a ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le code monétaire et financier ;
Après avoir entendu M. Jean-Luc VIVET, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
La directive (UE) 2015/849 du Parlement européen et du Conseil du 20 mai 2015 relative à la prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme (LCB/FT), ci-après "la 4ème directive anti-blanchiment", a été publiée le 5 juin 2015. Elle vise notamment à mettre le droit de l’Union européenne en conformité avec les recommandations du Groupe d’action financière internationale (GAFI) adoptées en février 2012.
L’article 118 de la loi n° 2016-731 du 3 juin 2016 renforçant la lutte contre le crime organisé, le terrorisme et leur financement, et améliorant l’efficacité et les garanties de la procédure pénale autorise le gouvernement à prendre, par ordonnance, les mesures législatives permettant de transposer le "paquet européen anti-blanchiment et financement du terrorisme", à savoir la 4ème directive anti-blanchiment et le règlement (UE) 2015/847 du Parlement européen et du Conseil du 20 mai 2015 sur les informations accompagnant les transferts de fonds.
A ce titre, la Commission a été saisie par le ministère de l’économie et des finances le 18 octobre 2016 d’un projet d’ordonnance visant à transposer la 4ème directive anti-blanchiment afin de moderniser le régime juridique en matière de lutte contre le blanchiment des capitaux et le financement du terrorisme et également d’inscrire dans le code monétaire et financier des mesures prévues à l’article 118 de la loi n° 2016-731 du 3 juin 2016 renforçant la lutte contre le crime organisé, le terrorisme et leur financement ainsi que la loi relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique.
La saisine de la Commission est fondée sur le a) du 4° de l’article 11 qui prévoit que la Commission est "consultée sur tout projet de loi ou de décret ou toute disposition de projet de loi ou de décret relatifs à la protection des données à caractère personnel ou au traitement de telles données".
Le Gouvernement a actionné la procédure d’urgence prévue au I de l’article 6-1 du décret n° 2005-1309 du 20 octobre 2005.
La Commission regrette de ne pas avoir eu communication de l’analyse d’impact, pour être en mesure de mieux appréhender la portée l’ordonnance. Il aurait été en outre souhaitable que la CNIL soit saisie plus en amont dans l’élaboration du texte.
La Commission tient à souligner que compte tenu du délai extrêmement contraint dans lequel elle est amenée à rendre un avis sur un texte d’une grande complexité, son analyse du texte n’a pu être que partielle et n’a porté que sur les principaux points suivants, au regard de la protection des données.
Sur l’identification du bénéficiaire effectif et l’accès à l’information sur les bénéficiaires effectifs
Le III de l’article 2 du projet d’ordonnance ajoute un nouvel élément d’appréciation permettant de qualifier une personne physique de bénéficiaire effectif, à savoir le contrôle direct ou indirect qu’opère ce dernier sur le client "en dernier lieu".
Il convient de préciser que la définition des bénéficiaires effectifs prévue à l’article L.561-2-2 est complétée par les articles R. 561-1 à R. 561-3 du code monétaire et financier (ci-après CMF) qui viennent préciser les critères d’identification des bénéficiaires effectifs (taux de détention du capital ou des droits de vote, pouvoir de contrôle sur les organes de gestion, etc.). Ces articles n’ont pas été modifiés.
La Commission note que l’ajout de ce critère vise à entériner la position de l’Autorité de contrôle prudentiel et de résolution (ci-après l’ACPR) qui a adopté en septembre 2011 des lignes directrices sur les bénéficiaires effectifs en considérant que l’identification de ces personnes doit être axée sur la recherche de la ou des personnes physiques "qui, en dernier ressort, possèdent ou contrôlent une entité juridique". En effet, dans la pratique, l’identification du bénéficiaire est rendue difficile dans certains cas (personne domiciliée à l’étranger, constitution d’un trust, etc.). Outre les critères d’identification qui doivent être recherchés en premier lieu, il convient de connaître la personne qui dans les faits assure le contrôle effectif de l’entité.
Le projet d’ordonnance prévoit également une exigence accrue en matière d’information à collecter sur le bénéficiaire effectif au même titre que le client, notamment pour les contrats d’assurance-vie. Ces nouvelles dispositions permettent de préciser la définition de la relation d’affaire visée par article L. 561-5 du code monétaire et financier en intégrant les recommandations de l’ACPR. Elles n’appellent pas d’observation de la Commission.
Le projet d’ordonnance prévoit en son article 8 la constitution d’un registre des bénéficiaires effectifs des personnes morales (L. 561-46) et les sanctions applicables en cas de non communication ou de communication incomplète des informations sur les bénéficiaires effectifs par les entités concernées. Il s’agit ainsi d’obliger les sociétés à déclarer l’identité du bénéficiaire effectif en transmettant au registre du commerce et des sociétés les informations nécessaires à cette identification.
Le projet d’ordonnance précise que l’article L. 561-46 relatif au registre des bénéficiaires des personnes morales est issu de l’article 45 quater B du projet de loi relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique. La Commission relève toutefois un problème de stabilité des dispositions visées par l’ordonnance sur laquelle son avis est requis. En effet, les dispositions relatives au registre des bénéficiaires effectifs (article 45 quater B) ont été supprimées du projet de loi actuellement en discussion. Dans ces conditions, la Commission ne peut valablement se positionner sur les conditions de mise en œuvre du registre des bénéficiaires effectifs.
Par ailleurs, la Commission rappelle que les conditions d’accès et de publicité liées à un tel registre ne porteront pas atteinte au droit à la vie privée des personnes concernées. Une attention particulière doit être portée aux décisions récentes du Conseil d’Etat (décision n° 400913 du 22 juillet 2016) et du Conseil Constitutionnel (décision n° 2016-591 QPC du 21 octobre 2016) ayant conduit à l’annulation du décret n° 2016-567 du 10 mai 2016 pris pour l'application de l'article 11 de la loi n° 2013-1117 du 6 décembre 2013 relative à la lutte contre la fraude fiscale et la grande délinquance économique et financière, qui avait également institué un registre public des trusts recensant, entre autres, le nom du constituant du trust et le nom des bénéficiaires, pour atteinte au droit au respect de la vie privée.
Enfin, la Commission rappelle, que conformément au a) du 4° de l’article 11 de la loi du 6 janvier 1978 modifiée, elle devra être saisie de toutes dispositions visant à mettre en œuvre un traitement recensant les bénéficiaires effectifs afin de s’assurer des garanties mises en œuvre, notamment au regard des données collectées et des destinataires de ces informations.
Sur l’évaluation des risques en matière de blanchiment et de financement du terrorisme dans le cadre de la relation d’affaires
Les articles 3 et 6 du projet d’ordonnance viennent renforcer l’approche par les risques en précisant les mesures qui doivent être mises en œuvre. Les entités assujetties doivent définir et mettre en place des dispositifs d’identification et d’évaluation des risques ainsi qu’une politique adaptée. Elles doivent également déterminer, en cas de besoin, un profil de la relation d’affaires, permettant de détecter des éléments atypiques ; les conditions d’application de ces dispositions seront définies par arrêtés du ministre chargé de l’économie et par le règlement de l’Autorité des marchés financiers (AMF).
A ce titre, les entités assujetties doivent élaborer une classification des risques en fonction des critères suivants :
nature des produits ou services offerts ;
conditions de transaction proposées ;
canaux de distribution utilisés ;
caractéristiques des clients ;
pays ou territoire d’origine ou de destination des fonds.
Le projet d’ordonnance prévoit la suppression de l’exonération des mesures de vigilance pour les produits à faibles risques au profit d’un allégement de ces mesures.
La Commission rappelle que la collecte des informations précitées avant l'entrée en relation ou au cours de celle-ci ne peut être systématique et indifférenciée pour l'ensemble des personnes concernées. Elle doit s'avérer nécessaire à l'évaluation du risque présenté par le client, l'opération demandée ou le contrat souscrit et être proportionnée à la classification des risques de l'établissement financier élaborée ab initio.
Le IV de l’article 3 du projet d’ordonnance prévoit, parmi les éléments d’information pertinents aux fins d’analyse du risque de blanchiment et de financement du terrorisme et par dérogation à l’article 9 de la loi "Informatique et Libertés", que les personnes mentionnées à l’article L. 561-2 du CMF (l’ensemble des personnes assujetties) peuvent traiter, y compris de manière automatisée, les informations accessibles au public qui contiendraient d’éventuelles données à caractère personnel relatives à des infractions, condamnations et mesures de sûreté émanant des médias.
En premier lieu, la Commission relève que le périmètre des assujettis aux règles applicables en matière de lutte anti-blanchiment et financement du terrorisme a été étendu à de nouvelles professions et que le IV de l’article 3 du projet d’ordonnance prévoit que l’ensemble des assujettis, sans distinction, pourront procéder à de tels traitements de recherche d’informations à partir de médias publics.
La Commission considère que le terme "médias" est de nature à couvrir de nombreux supports d’informations, y compris les médias sociaux. Il conviendrait de clarifier la notion de "médias" et de préciser explicitement les sources d’informations pouvant être utilisées par les personnes mentionnées à l’article L. 561-2.
En toute hypothèse, la Commission considère que les éléments d’information traitée par les assujettis ne doivent procéder que de sources fiables. En outre, Il conviendrait que ces informations soient directement en lien avec la lutte contre le blanchiment de capitaux et le financement du terrorisme.
En second lieu, elle considère que les vérifications ne doivent porter que sur une catégorie de personnes déterminée au regard du risque encouru conformément au principe de proportionnalité.
De manière générale, la Commission invite le ministère à expliciter les dispositions de d’ordonnance sur ce point afin de permettre aux assujettis de paramétrer le dispositif de vérification ("due diligence") avec les garanties appropriées en matière de protection des données à caractère personnel.
Sur le recrutement du personnel au sein des entités assujetties
Le I de l’article 6 du projet d’ordonnance prévoit que des vérifications soient opérées dans le cadre du recrutement du personnel, selon le niveau et la nature des responsabilités et fonctions exercées au regard de la lutte contre le blanchiment de capitaux et le financement du terrorisme, y compris si cette personne fait l’objet de mesures de gel prises en application de l’article 215 du traité sur le fonctionnement de l’Union européenne ou du code monétaire et financier.
Les mesures de gel s’inscrivent dans le cadre de régimes de sanctions économiques ou financières décidées notamment par l’Union européenne, ou par des États pour restreindre les relations économiques et financières avec un État, des personnes, des entités ou des groupements de fait. Les obligations de gel s’accompagnent d’une interdiction de mise à disposition de fonds ou de ressources économiques au profit des personnes ou entités faisant l’objet d’une mesure de gel.
Les conditions d’application de ces dispositions seront définies par arrêtés du ministre chargé de l’économie et par le règlement de l’AMF.
Il conviendra de préciser l’étendue de ces vérifications, en particulier la nature des vérifications qui devront être opérées au regard de la lutte contre le blanchiment de capitaux et le financement du terrorisme et la provenance des listes de sanctions qui pourront être consultées, s’agissant des mesures de gel.