La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 91/308/CE du Conseil du 10 juin 1991 modifiée relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu le règlement n° 1781/2006 du Parlement européen et du Conseil du 15 novembre 2006 relatif aux informations concernant le donneur d'ordre accompagnant les virements de fonds ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 25-1-4° et 69 ;
Vu le code monétaire et financier, notamment ses articles L. 511-34, L. 561-1 à L. 563-5, L. 574-1, L. 574-2, L. 613-13, R. 562-1, R. 562-2, R. 563-1 à R. 563-3 et R. 564-1 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 précitée ;
Vu le dossier déposé par la société en cours de constitution Ria France relatif à un traitement automatisé de données personnelles ayant pour finalité la saisie et la transmission des ordres de transfert de fonds internationaux ;
Après avoir entendu M. Philippe NOGRIX, commissaire, en son rapport, et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La société financière Ria France a saisi la Commission nationale de l'informatique et des libertés le 24 octobre 2006 d'un dossier relatif à la mise en oeuvre d'un traitement de données à caractère personnel dont la finalité principale est d'assurer la saisie et le routage d'ordres de transfert de fonds internationaux entre particuliers, vers des pays et au bénéfice de populations faiblement bancarisés.
Ce traitement automatisé intègre, notamment, un dispositif de lutte contre le blanchiment d'argent et le financement du terrorisme qui vise à détecter les opérations qui sont susceptibles, du fait des anomalies qu'elles comportent, d'être qualifiées d'infraction de blanchiment par les autorités compétentes.  De ce fait, ces opérations peuvent donner lieu, après la collecte de renseignements complémentaires, à l'envoi d'informations au ministère de l'économie, des finances et de l'industrie, soit au bureau de la direction générale du Trésor et de la politique économique (DGTPE) en charge du mécanisme de gel des avoirs, soit au service d'analyse du renseignement financier Tracfin sous la forme de déclarations de soupçon.
La détection de ces opérations avant leur réalisation peut conduire la banque à suspendre la transaction engagée par le client sur la base de contrôles intégralement automatisés, notamment après consultation de liste des personnes faisant l'objet de sanctions financières, dont certaines n'ont pas force de loi sur le territoire national.  Ce traitement peut ainsi conduire à exclure des personnes du bénéfice d'une prestation en l'absence de toute disposition légale applicable en France prévoyant la mise en oeuvre d'une telle exclusion. Dès lors, il relève du 4° du I de l'article 25 de la loi du 6 janvier 1978 modifiée et doit être autorisé par la CNIL.
Les données enregistrées dans le traitement concernent les nom, prénoms, date de naissance, adresse et numéro de téléphone du client, les type, pays d'émission, numéro et date d'expiration de la pièce d'identité présentée, le montant de l'opération projetée, la devise fournie et la devise de reversement, les coordonnées complètes du bénéficiaire du paiement, le pays dans lequel le décaissement doit avoir lieu, la banque correspondante choisie sur une liste et l'adresse de réception du transfert.  Le document d'identité présenté - de type carte d'identité, passeport ou carte de séjour - est scanné.  Pour les clients réguliers, le système informatique permet de récupérer les renseignements déjà enregistrés.
Des filtres informatisés sont mis en place, qui suspendent automatiquement le traitement des demandes d'opérations lorsque : elles excèdent certains montants fixés dans l'agrément de Ria France ; elles se rapportent à des personnes susceptibles de figurer sur des listes officielles des personnes faisant l'objet d'une sanction financière internationale ; elles ne sont pas complètement renseignées ; la pièce d'identité présentée n'est plus valable.
Les listes de sanctions financières internationales prises en considération sont, d'une part, celles applicables en France, qu'elles soient mises en oeuvre au niveau national, au niveau européen ou qu'elles soient imposées par l'ONU, d'autre part, celles que l'OFAC (office of Foreign Assets Control, administration relevant du département du Trésor américain), est chargé de faire respecter et que le groupe américain Ria est tenu d'appliquer.
Les opérations ainsi suspendues sont soumises à un réexamen, le plus souvent après collecte d'informations complémentaires auprès du client sur le motif du transfert, l'origine des fonds transférés, son activité professionnelle et son employeur, en vue d'une levée de la mesure ou d'un rejet définitif de l'ordre par le responsable anti-blanchiment.
La Commission prend acte que le contrôle renforcé mis à la charge de l'établissement en cas de concordance entre l'identité d'un client et un signalement sur l'une de ces listes précitées garantit que les opérations de transfert ne seront définitivement bloquées qu'en présence d'indices sérieux et concordants et que le service de lutte anti-blanchiment ou de gel des avoirs compétent - la DGTPE ou l'OFAC - sera rendu destinataire de données personnelles concernant ce client.
Elle note également que l'ensemble des données personnelles recueillies par Ria France dans le cadre d'une demande de transfert de fonds lui permet de s'assurer que les vérifications, après suspension de l'ordre de transfert, sont effectuées très rapidement, au plus tard dans les 24 à 48 heures.
Elle relève que les personnes ayant déjà fait l'objet d'une suspension d'ordre de virement pour cause d'homonymie feront l'objet d'un signalement informatique spécifique, accessible aux seuls agents chargés de la lutte anti-blanchiment, qui permettra de régler plus rapidement tout nouveau blocage de leurs opérations.
Dès lors, le traitement mis en place est conforme à l'intérêt légitime du responsable du traitement sans méconnaître pour autant l'intérêt des clients concernés.
L'ensemble des informations saisies est transmis, via le réseau sécurisé du groupe Ria, au centre informatique de la société Ria Envia Inc., situé en Californie où sont assurés le traitement automatisé de l'ordre et son re-routage vers le pays de destination de l'ordre, chez le correspondant désigné par le client lors de la saisie de l'ordre de transfert.
La Commission observe que les États-Unis ne font pas, à ce jour, partie des Etats reconnus comme disposant d'une législation garantissant un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes à l'égard du traitement des données à caractère personnel.
Conformément à l'avant-dernier alinéa de l'article 69 de la loi du 6 janvier 1978 modifiée, la Commission a compétence pour autoriser tout transfert de données à caractère personnel envisagé vers cet Etat, dès lors que le traitement effectué par le destinataire sur ces données garantit un niveau de protection suffisant de la vie privée ainsi que des libertés et droits fondamentaux des personnes, notamment en raison des conditions contractuelles ou règles internes dont il fait l'objet.
A cet égard, la Commission constate que la société Ria Envia Inc. a adhéré à la "sphère de sécurité" ("Safe Harbour").  En outre, Ria France et Ria Envia Inc. s'engagent à signer un avenant à leur convention de gestion, qui précise les conditions d'utilisation des informations auxquelles Ria Envia Inc. aura accès en qualité de support technique ou au titre de la lutte anti-blanchiment.  Ce document rappelle que Ria France répond, en qualité de responsable du traitement, aux demandes de divulgation des données personnelles qui lui seraient adressées par des autorités étrangères dans le cadre des dispositions du droit national en vigueur, notamment en ce qui concerne le secret professionnel.
La transmission aux États-Unis des données nécessaires au routage des ordres de virement est, à cet égard, adéquate, pertinente et non excessive au regard des finalités poursuivies.  La Commission estime qu'il n'en va pas de même de la transmission des copies scannées des pièces d'identité des clients de Ria France, aux seules fins de leur archivage, qui ne parait pas s'imposer au regard des conditions envisagées à l'article 69 pour justifier des transferts de données personnelles vers des pays n'assurant pas un niveau de protection suffisant.
En conséquence, la Commission demande au groupe Ria d'envisager une autre solution technique que la transmission des copies scannées des pièces d'identité des clients de Ria France, aux seules fins de leur archivage, aux États-Unis, qui pourrait consister dans l'organisation de l'archivage des documents scannés en Espagne, pays servant de base logistique au groupe Ria en Europe.
Les données enregistrées, sont destinées à être conservées pendant cinq ans, conformément au règlement européen du 15 novembre 2006 susvisé.
Les destinataires des informations traitées sont :
- les agents habilités de Ria France, notamment en charge de la lutte anti-blanchiment, de la conformité et du contrôle interne,
- ceux de l'organisme correspondant chargé du versement des fonds dans le pays de destination (sauf pour les copies scannées des documents d'identité),
- à titre temporaire, les services de la filiale espagnole du groupe Ria qui assurent un rôle de formation et d'accompagnement au moment de la mise en place d'une fonction anti-blanchiment en France,
- les membres de l'équipe anti-blanchiment (Compliance officer) de la société mère américaine qui bénéficient d'une autorisation expresse, pour les données relatives aux transactions faisant l'objet d'une déclaration à l'OFAC.
En outre, des informations pourront être transmises, dans le cadre de leurs compétences respectives :
- au service Tracfin, dans le cadre de l'application du dispositif de lutte contre le blanchiment de l'argent, notamment dans le cas où l'identité du donneur d'ordre ou du bénéficiaire reste douteuse malgré les diligences effectuées,
- au bureau de la DGTPE chargé du mécanisme de gel des avoirs, pour les seules données relatives aux personnes qui font l'objet d'une mesure de gel des avoirs pour leurs liens présumés avec une activité terroriste,
- à l'OFAC, pour les seules données relatives aux donneurs d'ordre ou aux bénéficiaires des opérations qui figurent effectivement sur les listes en vigueur de l'OFAC et les données relatives aux virements de fonds les concernant.
Les clients sont informés sur les reçus qui leur sont donnés à chaque opération des finalités des traitements mis en oeuvre par Ria, des destinataires des données personnelles, ainsi que des modalités d'exercice des droits d'accès et de rectification.
Dans ces conditions, la Commission autorise à titre expérimental, pour une durée limitée à un an, Ria France SAS à mettre en oeuvre le traitement de données personnelles présenté.  Elle demande, en outre, qu'avant l'expiration de ce délai, lui soit adressée une nouvelle demande d'autorisation comportant notamment un rapport concernant le nouveau dispositif d'archivage des pièces d'identité ainsi qu'un bilan portant sur l'évaluation et l'évolution du dispositif de lutte anti-blanchiment mis en place et sur les transmissions de données en résultant.
Le Président, Alex TURK.