AgentPublic/cnil huggingface dataset:
si le FNC-RF est constitué d’un fichier central géré par la Banque de France et d’instances locales de ce même fichier, gérées par chaque PSP concerné, il apparaît de manière claire que les traitements mis en œuvre par les PSP et la Banque de France participent d’une finalité commune et conjointement définie, d’échange et de mutualisation des informations contenues dans le FNC-RF afin d’améliorer la prévention, la recherche et la détection de la fraude en matière de paiement ; 
les moyens de la mise en œuvre du traitement ont été déterminés par ces acteurs conjointement, notamment dans le cadre de nombreuses réunions techniques et juridiques (détermination de l’architecture technique du fichier, du type de données partagées, etc.) ; 
le traitement de mutualisation et de partage au sein du FNC-RF ne pourrait pas avoir lieu sans la participation active de chacun. En effet, le fonctionnement du fichier implique à la fois la mise en commun des données par chacun des PSP, et la centralisation et le partage de ces données par la Banque de France à l’ensemble des PSP, au moyen d’une architecture technique fondée sur l’actualisation régulière des instances locales du fichier tenues par les PSP et du fichier central tenu par la Banque de France. Le traitement réalisé par chaque acteur est ainsi indissociable de celui des autres.
La CNIL rappelle que, selon les lignes directrices 07/2020 du CEPD sur les notions de responsable de traitement et de sous-traitant dans le RGPD, "les notions de responsable du traitement et de sous-traitant sont des concepts fonctionnels : ils visent à répartir les responsabilités en fonction des rôles réels des parties" (point 12). Si le responsable de traitement peut être désigné par le droit de l’Union ou par le droit d’un Etat membre, "cela présuppose que le législateur a désigné comme responsable du traitement l’entité qui est véritablement en mesure d’exercer le contrôle" (point 23). 
 
La CNIL invite donc le ministère à modifier le projet d’arrêté en indiquant que les PSP et la Banque de France sont conjointement responsables des traitements de données à caractère personnel mis en œuvre dans le cadre du FNC-RF. 
 
Le projet d’arrêté doit indiquer, en outre, que les acteurs responsables conjoints du traitement définissent ensemble, dans un document contraignant et de manière transparente, la répartition des obligations que leur impose le RGPD, conformément aux dispositions de l’article 26 du RGPD et aux lignes directrices 07/2020 du CEPD concernant les notions de responsable du traitement et de sous-traitant dans le RGPD. Ce document devra notamment définir : qui répond aux demandes des personnes concernées et informe les personnes, qui gère la sécurité, les fuites de données ou les analyses d’impact sur la protection des données, etc.
B. Sur les données collectées 
 
L’article 3 du projet d’arrêté prévoit que, pour chaque événement dont le caractère frauduleux est suspecté par le PSP, ce dernier déclare sans délai, au sein du fichier, un certain nombre d’informations relatives à cet événement, le ministère ayant précisé que cette liste est limitative. 
 
Ces informations comprennent notamment l’"événement de fraude", le "canal d’origine de la transaction", la "catégorie de fraude", la "source de fraude" et le "type d’opération". La CNIL estime toutefois que ces termes ne sont pas suffisamment précis et invite le ministère à les définir dans le projet d’arrêté.
 
En outre, les données à déclarer se rapportent à des événements de fraude suspectée et, le cas échéant, avérée. Le FNC-RF contient notamment des éléments sur la méthode utilisée par le potentiel fraudeur, la catégorie et la source de la fraude suspectée, ainsi que, le cas échéant, l’existence d’une réclamation ou d’une plainte d’un utilisateur des services de paiement pour usurpation d’identité (article 226-4-1 du code pénal). La CNIL déduit que le dispositif envisagé est susceptible d’impliquer la collecte et le traitement de données relatives à des condamnations pénales ou des infractions au sens de l’article 10 du RGPD dans la mesure où ces données sont collectées dans le but d’établir l’existence ou de prévenir la commission d’infractions.
Conformément aux articles 46 de la loi informatique et libertés et 10 du RGPD, le traitement de données d’infraction est possible lorsque le traitement est autorisé par le droit de l’Union ou d’un Etat membre qui prévoit des garanties appropriées pour les droits et libertés des personnes concernées. A cet égard, l’article L. 521-6-1 du CMF prévoit certaines garanties évoquées ci-dessus de nature à permettre le traitement de telles données. Ces garanties devraient néanmoins être substantiellement revues dans l’hypothèse d’un élargissement des données à déclarer ou des acteurs pouvant accéder au fichier ou le consulter. 
 
La CNIL relève, de manière incidente, l’absence de mention, dans le projet d’arrêté, des modalités d’alimentation du FNC-RF par les unions de recouvrement des cotisations de sécurité sociale et d’allocations familiales (URSSAF), alors qu’en l’état actuel du droit, le III de l’article L. 521-6-1 du CMF leur octroie la possibilité de signaler au gestionnaire du fichier les comptes qu’elles estiment susceptibles d’être frauduleux. Elle invite le ministère à modifier le projet d’arrêté afin d’indiquer que la Banque de France instruit les signalements des URSSAF et assume, à ce titre, la responsabilité des déclarations qu’elle effectue sur leur fondement.
 
C. Sur le principe d’exactitude des données
L’article 5, 1., d) du RGPD prévoit que les données à caractère personnel traitées doivent être exactes et, si nécessaire, tenues à jour ; toutes les mesures raisonnables doivent être prises pour que les données qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder. 
 
L’exactitude des données constitue une exigence centrale pour la conformité du FNC-RF au RGPD. En effet, comme développé précédemment, l’impact pour les personnes concernées d’une information erronée au sein du FNC-RF pourrait être significatif. Si le IV de l’article L. 521-6-1 du CMF prévoit que "l’inscription des informations relatives à un compte dans le fichier n’emporte pas d’interdiction de réaliser des opérations de paiement impliquant ce compte", ces dispositions n’empêchent toutefois pas un PSP de suspendre ou refuser de réaliser une opération de paiement du fait de la présence de l’identifiant unique d’un compte d’une personne dans le FNC-RF. Ainsi, une personne soupçonnée à tort de fraude pourrait : 
se voir refuser des opérations de paiement impliquant ce compte par la totalité des PSP consultant ce fichier. 
voir ses contrats de services de paiement ou ses conventions de compte de dépôt résiliés, sous réserve que le PSP puisse fonder sa décision sur des éléments complémentaires à cette seule suspicion de fraude. 
 
Le projet d’arrêté prévoit que le FNC-RF est alimenté de la manière suivante :
les PSP qui estiment qu’un compte de paiement ou de dépôt est susceptible d’être frauduleux doivent inscrire dans le fichier les informations concernant l’évènement de fraude relatif à ce compte (article 1, alinéa 3) ; 
le PSP teneur de compte, s’il participe au fichier, doit entamer sans délai des vérifications visant à évaluer son caractère frauduleux, et préciser, au sein du fichier, qu’il prend en charge ces vérifications ; 
il partage ensuite le résultat de ses vérifications au sein du fichier (article 3, alinéa 4) ;
lorsque les raisons de soupçonner la fraude disparaissent, le PSP procède sans délai à une déclaration corrective visant à demander à la Banque de France la radiation de l’évènement de fraude (article 4, alinéa 2). 
 
La nature et le fonctionnement du FNC-RF, qui mutualise des suspicions de fraude, sont susceptibles d’engendrer des risques d’inexactitude des données qu’il contient et ainsi des conséquences importantes pour les droits des personnes concernées. Ce sera particulièrement le cas lorsque le PSP teneur de compte n’entre pas dans la définition du I de l’article L. 521-6-1 du CMF, notamment parce qu’il n’est pas établi ou n’exerce pas en France, car dans ce cas la suspicion de fraude ne peut être confirmée ou infirmée par le PSP teneur de compte.
La CNIL insiste donc sur la nécessité pour chaque PSP d’appliquer strictement le mécanisme de vérification des déclarations de fraude prévu par les articles 3 et 4 du projet d’arrêté afin d’assurer l’exactitude du FNC-RF et de limiter les impacts pour les droits et libertés des personnes de déclaration de fraude qui ne serait finalement pas caractérisée
. 
 
La CNIL considère que, compte tenu de la sensibilité du traitement et de son impact potentiel sur les personnes concernées, les garanties prévues par le projet d’arrêté en termes d’exactitude des données doivent être améliorées. 
 
La CNIL prend acte de l’engagement du ministère d’indiquer, dans le projet d’arrêté, que : 
le PSP teneur de compte doit vérifier le caractère frauduleux du compte inscrit dans le fichier "dans les plus brefs délais" ; 
la Banque de France procédera "dans les plus brefs délais" à la suppression d’une suspicion erronée de fraude, afin que l’impact pour les personnes concernées soit minimisé.
Elle recommande au ministère d’indiquer également, dans le projet d’arrêté :
 
qu’une fois les vérifications effectuées, le partage par le PSP du résultat de ses vérifications au sein de chaque déclaration relative à un compte dont il est teneur se fait "sans délai" ;
les règles de détermination du sort d’une déclaration de suspicion de fraude, en cas de divergence d’appréciation entre le PSP teneur de compte et le ou les autres PSP, et quelle position devra, après vérifications, prévaloir et figurer au FNC-RF. 
 
Elle prend acte des précisions apportées par le ministère selon lesquelles la Banque de France suivra des indicateurs, notamment sur la fréquence d’actualisation par les PSP de leurs instances locales, et contrôlera, dans le cadre de ses fonctions, le respect par les PSP de la réglementation.
 
En outre, la CNIL constate une contradiction, dans le projet d’arrêté, concernant la fréquence d’actualisation des instances locales par les PSP. Le premier alinéa de l’article 2 prévoit en effet que les PSP actualisent "au moins une fois par jour ou, à défaut, avant toute nouvelle opération de paiement, les instances locales du fichier dont ils sont responsables". Or, cette formulation semble conduire à une fréquence d’actualisation supérieure à un jour si le PSP n’opère pas de paiement de manière quotidienne. La CNIL considère, au contraire, que la fréquence d’actualisation doit être a minima quotidienne, ce qu’indique d’ailleurs l’AIPD de la Banque de France. Par conséquent, l’article 2 du projet d’arrêté doit être modifié pour indiquer que les PSP "actualisent au moins une fois par jour et, en tout état de cause, avant toute nouvelle opération de paiement", les instances locales du fichier dont ils sont responsables.
Elle insiste également sur la nécessité, pour les PSP, de supprimer immédiatement de leurs instances locales les événements de fraude dès leur suppression du FNC-RF par la Banque de France, et a minima quotidiennement et avant toute nouvelle opération de paiement. En effet, la persistance de ces événements de fraude figurant indument au sein des instances locales des PSP pourrait avoir des conséquences négatives importantes pour la personne concernée. 
 
D. Sur l’information des personnes
 
L’article 5 du projet d’arrêté réserve l’obligation d’information des personnes concernées par les traitements de données mis en œuvre, au titre des articles 12 à 14 du RGPD, aux seuls PSP, sans mentionner d’obligation d’information à la charge de la Banque de France. 
 
Or, l’article 12 1. du RGPD impose à tout responsable de traitement de prendre des mesures appropriées pour fournir toute information visée aux articles 13 et 14 du RGPD, relatifs à l’information des personnes. En conséquence, autant la Banque de France que les PSP, respectivement responsables des traitements de données à caractère personnel mis en œuvre dans le cadre du fichier central et des instances locales du fichier et conjointement responsables du FNC-RF dans son ensemble, sont tenus d’informer les personnes concernées par ces traitements.
Cette information pourrait par exemple se faire via une information générale sur la page du site de la Banque de France spécifique au fonctionnement du FNC-RF et à destination des personnes concernées. Conformément à l’article 26 du RGPD, les responsables conjoints du traitement pourront définir de manière transparente, par voie d’accord entre eux, leurs obligations respectives en ce qui concerne la communication des informations visées aux articles 13 et 14 du RGPD. 
 
La CNIL rappelle qu’en tout état de cause, une prise de décision par un PSP ayant un effet direct sur la personne, telle que la résiliation d’un contrat ou d’une convention ou le refus de réaliser une opération de paiement, sur le fondement, notamment, de sa mention dans le FNC-RF, doit s’accompagner d’une information individuelle de la personne concernée sur ce fichier, afin de lui permettre d’exercer ses droits. 
 
La CNIL prend acte de l’engagement du ministère de préciser, dans le projet d’arrêté, l’obligation d’information à la charge de la Banque de France. 
 
E. Sur les droits d’accès et de rectification
 
Les droits d’accès et de rectification sont prévus par l’article 8 du projet d’arrêté, lequel dispose qu’ils s’exercent auprès du PSP teneur de compte.
Or, les articles 15, 16 et 18 du RGPD prévoient que les droits d’accès, de rectification et à la limitation du traitement s’exercent, par la personne concernée, auprès du responsable de traitement. Là encore, autant la Banque de France que les PSP, respectivement responsables des traitements de données à caractère personnel mis en œuvre dans le cadre du fichier central et des instances locales du fichier doivent permettre aux personnes concernées d’exercer leurs droits sur leurs données conformément au RGPD. Au surplus, l’existence d’une responsabilité conjointe de traitement entre les PSP et la Banque de France permet aux personnes concernées, conformément à l’article 26, 3. du RGPD, d’exercer leurs droits à l'égard de chacun des responsables du traitement.
 
Conformément à l’article 21, 1. du RGPD, la personne concernée ne dispose pas de droit d’opposition lorsque le traitement est fondé sur la base légale de l’obligation légale. 
 
La CNIL invite donc le ministère à modifier le projet d’arrêté pour rappeler l’existence pour les personnes concernées d’un droit d’accès, de rectification et de limitation du traitement auprès de la Banque de France, et auprès de l’ensemble des PSP visés par l’article 1er du projet d’arrêté.
Elle estime ces précisions d’autant plus nécessaires que, comme évoqué plus haut, la présence dans le fichier d’informations relatives à une personne soupçonnée de fraude emporte des conséquences potentiellement très importantes pour elles. Ce risque est d’autant plus important pour les clients de PSP qui n’entrent pas dans le champ du FNC-RF, et dont la suspicion de fraude ne peut faire l’objet d’une information par ce prestataire. 
 
Les modalités de réponse aux demandes d’exercices de droits devraient être définies conjointement entre la Banque de France et les PSP, de manière à permettre à la personne concernée d’obtenir les informations la concernant les plus à jour possible. Elles devraient figurer dans le document contraignant qui encadre la responsabilité conjointe des PSP et de la Banque de France, précédemment mentionné. 
 
F. Sur la durée de conservation
 
Le premier alinéa de l’article 6 du projet d’arrêté prévoit que les informations mentionnées à l’article 3 sont conservées dans le fichier pendant treize mois à compter de la date de la déclaration ou de la dernière déclaration correctrice, sans préjudice des obligations d’archivage s’imposant aux PSP. 
 
Le second alinéa précise que les PSP sont responsables de la suppression des informations visées à l’article 3 au niveau de leur instance locale. 
 
Selon le ministère, la durée de conservation de treize mois des informations contenues dans le fichier a été déterminée en considération des deux éléments :
l’article L. 133-24 du code monétaire et financier prévoit, pour l’utilisateur de services de paiement, un délai de forclusion de 13 mois pour contester les opérations de paiement non autorisées ; 
ce délai fait l’objet d’un consensus entre les PSP d’un point de vue opérationnel. 
 
La CNIL considère que ce délai de conservation n’est pas suffisamment justifié en regard des finalités de ce projet d’arrêté. 
 
G. Sur les modalités techniques de mise en œuvre et les mesures de sécurité
Les mesures de sécurité mises en œuvre pour sécuriser les accès par les PSP et leurs éventuels prestataires techniques aux interfaces mises en œuvre par la Banque de France pour le partage des données apparaissent à ce stade et sous réserves des pièces communiquées, conformes à l’état de l’art.
 
Cependant, dans un contexte où ces données seront traitées de manière autonome par plusieurs centaines d’organismes extérieurs à la Banque de France, la CNIL invite le ministère à prévoir au sein du projet d’arrêté que ces organismes mettent en œuvre des mesures appropriées, notamment :
 
concernant la suppression automatique des données, aussi bien pour les données portant le tag "événement à supprimer" que pour les données dont la durée de conservation a été atteinte ; 
pour assurer la confidentialité des données, en particulier au sein des copies alimentées par API ;
concernant les modalités d’authentification des utilisateurs accédant aux données du traitement, de journalisation de ces accès et de traitement des incidents, afin de garantir un niveau de sécurité adapté aux risques. 
 
La CNIL estime que l’architecture retenue, consistant en un partage de copies intégrales et synchronisées des données en clair avec les PSP et leurs éventuels prestataires, accroît fortement la surface d’exposition des données et, par 
conséquent
, la vraisemblance d’une fuite, d’un accès non autorisé ou d’une réutilisation indue. 
 
S’agissant en particulier des risques auxquels les personnes concernées seraient exposées en cas de fuite des données, la CNIL estime nécessaire de tenir compte du fait que plusieurs violations de données passées ont conduit à la diffusion illégale de millions d’IBAN associés au nom de leur titulaire, donc de la possibilité accrue que les personnes concernées puissent être identifiées. Elle rappelle que les données bancaires contenues dans le fichier constituent des données hautement personnelles au sens des lignes directrices du CEPD du 4 octobre 2017 concernant l’analyse d’impact relative à la protection des données. Le risque pour les personnes concernées pourrait en outre devenir encore plus important dans l’hypothèse où la nature des données concernées par le traitement viendrait à évoluer, notamment par l’ajout de nouvelles catégories de données.
Enfin, la CNIL regrette que l’architecture et les modalités techniques du traitement, déjà complètement déterminées au moment où elle a été saisie, n’aient pas davantage intégré des mesures techniques qui, sans amoindrir la fonctionnalité du système, auraient contribué "par conception" à la protection de la vie privée des personnes concernées. En particulier, le recours à des techniques de mutualisation confidentielle des données, telles que celles étudiées par l’Autorité de contrôle prudentiel et de résolution (ACPR) et présentées à la CNIL dans le cadre de leurs travaux relatifs à la mutualisation de données bancaires pour la lutte contre le blanchiment de capitaux et le financement du terrorisme, aurait pu être envisagé. Plus simplement, un partage reposant sur l’utilisation de pseudonymes déterministes, plutôt que sur la diffusion des identifiants bancaires en clair, aurait pu permettre à chaque partie prenante de rapprocher les signalements portant sur un même compte, ou plus généralement des comptes qui lui sont connus, tout en réduisant le risque réel attaché à une diffusion généralisée des données en clair.
 
Les autres dispositions du projet d’arrêté n’appellent pas d’observations de la part de la CNIL. 
 
 
La présidente,
 
 
M.-L. Denis
N° de demande d’avis : 26006446
Thématiques : défense ; réquisitions ; recensement.
Organisme(s) à l’origine de la saisine : Ministère des armées et des anciens combattants
Fondement de la saisine : article 31 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés
L’essentiel :
Le projet d’arrêté dont la CNIL est saisie autorise la mise en œuvre d’un traitement permettant le recensement, dans le cadre de l’exercice militaire ORION 26 , de personnes, biens et services, qui serait, le cas échéant, le préalable à un exercice de réquisition.
 
La CNIL estime que les catégories de données et la durée de conservation projetées sont pertinentes au regard des finalités du traitement.
Toutefois, la CNIL constate que l’information relative à l’aptitude, désignée sous le vocable de 
 données médico-administratives dans le projet d’arrêté, sera en réalité recueillie directement auprès de l’intéressé sur sa seule déclaration, excluant ainsi toute qualification de données de santé ; dès lors, elle recommande de supprimer dans le projet la mention des données médico-administratives précédant la donnée d’aptitude, et de faire suivre cette dernière de la précision déclarée par la personne concernée .
 
­­­­­­­­­­­­­­­­­­­­­­­­­­­­___________________
 
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (loi informatique et libertés ), notamment son titre IV ;
Sur la proposition de Mme Isabelle Latournarie-Willems, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,
Adopte la délibération suivante :
 
I. La saisine
 
A.Le contexte
 
La loi n° 2023-703 du 1er août 2023 relative à la programmation militaire pour les années 2024 à 2030 a modifié le cadre juridique applicable aux réquisitions pour les besoins de la défense et de la sécurité nationale. Les articles L. 2212-1 L. 2211-1 du code de la défense prévoient respectivement la possibilité de recourir à des réquisitions et d’organiser, dans le cadre d’essais et exercices, le recensement des personnes, des biens et des services susceptibles de faire l’objet de réquisitions.
 
Préalablement aux réquisitions et conformément aux dispositions de l’article L. 2211-1 du code de la défense, le Premier ministre peut ordonner le recensement – parmi les personnes, biens et services susceptibles d’être requis – de ceux que chaque ministère peut, dans la limite de ses attributions, soumettre à tous les essais et exercices qu’il juge indispensables.
Pour la première fois, le ministère des armées s’est saisi de cette possibilité pour préparer un exercice mené dans le cadre de l’exercice ORION 26 . Cette dernière repose sur un vaste exercice interarmées organisé sur tout le territoire national, visant à préparer les forces à un éventuel engagement dans un conflit international.
 
Dans ce cadre, un exercice est prévu du 27 au 30 avril 2026 dans les territoires de Clermont-Ferrand et Moulins, au profit de la 13ème base de soutien du matériel.
 
B. L’objet de la saisine
 
Pour la conduite de cet exercice, la CNIL a été saisie en urgence, par le ministère des armées et des anciens combattants, d’un projet d’arrêté pris sur le fondement de l’article R. 2211-4 du code de la défense, autorisant la mise en œuvre d’un traitement de données à caractère personnel aux fins de recensement et d’exploitation des informations relatives au recensement dans le cadre de l’exercice militaire ORION 26 .
 
II. L’avis de la CNIL
 
A. Sur les catégories de données traitées
 
Le projet de décret prévoit que les catégories de données relatives aux personnes physiques pouvant être enregistrées dans le traitement correspondent :
aux nom(s), prénom(s), sexe, date et lieu de naissance, nationalité(s) ;
à l’adresse postale, à l’adresse électronique et au numéro de téléphone ;