(Demande d’autorisation n°1534085)
La Commission nationale de l’informatique et des libertés,
Saisie par la Banque Nationale de Paris PARIBAS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des incivilités ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-3° et 25-I-4°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-11 du 10 janvier 2013 autorisant la mise en œuvre par la Banque Nationale de Paris PARIBAS d’un traitement de données à caractère personnel ayant pour finalité la gestion des incivilités ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Paul AMOUDRY, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
La Banque Nationale de Paris PARIBAS, ci-dessous désignée BNP PARIBAS.
Sur la finalité
Le traitement mis en œuvre vise la gestion des incivilités commises par les clients à l’encontre des salariés de BNP PARIBAS. Les incivilités peuvent être des agressions verbales (injures, insultes ou menaces), des agressions comportementales (harcèlement, chantage, bruits et tapage injurieux…) ou physiques (violences légères, coups et blessures, homicides).
Ce traitement a pour objectif de permettre le recensement des évènements survenus à l’encontre des collaborateurs. Le collaborateur est libre de déposer plainte ou non à l’encontre de la personne à l’origine de l’incivilité. Si le collaborateur décide de déposer plainte, il a la possibilité de demander au service des affaires juridiques de BNP PARIBAS de l’assister dans son action en justice (conseils juridiques, accompagnement lors du dépôt de plainte). En outre, des mesures d’accompagnement médicales, sociales ou psychologiques, peuvent être apportées au collaborateur.
Un suivi statistique de ces incivilités est réalisé afin d’identifier les récurrences.
La Commission estime que ces finalités sont déterminées, explicites et légitimes.
Les mesures prises par BNP PARIBAS sont graduées en fonction du niveau de gravité de l’incivilité. La survenance de l’incident peut conduire à une simple prise de rendez-vous avec le client ou à l’envoi d’une lettre d’avertissement. Dans les hypothèses les plus graves, la banque peut décider de mettre un terme à la relation contractuelle avec le client auteur de l’incivilité. Les circonstances de la rupture ne sont connues que par l’agence concernée par cet évènement. Ce traitement peut ainsi, du fait de sa nature et de sa finalité, conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat en l’absence de toutes dispositions légales ou réglementaires prévoyant une telle exclusion. Dès lors, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée en 2004 et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.
En outre, ce traitement porte sur des données relatives à des infractions. A cet égard, l’article 9 de la loi du 6 janvier 1978 modifiée liste les personnes pouvant mettre en œuvre un traitement de données relatives aux infractions, condamnations et mesures de sûreté. Conformément à la décision du Conseil Constitutionnel du 29 juillet 2004, les victimes d’infractions susceptibles de faire valoir leurs droits devant une juridiction peuvent également procéder à la collecte des données relatives à ces infractions.
Dans ce contexte, la Commission considère qu’il y a également lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté.
Sur les données traitées
Les catégories de données traitées sont relatives :
- à l’identité des collaborateurs concernés : nom, prénom, identifiant BNP PARIBAS, poste type, entité (agence, groupe, direction régionale) ;
- à l’identité des clients auteurs de l’incivilité : nom et prénom(s) ;
- aux incivilités et aux suites données : date, nature, descriptif, accompagnement proposé au collaborateur victime, mesures prises à l’encontre du client auteur de l’incivilité.
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente, adéquate et non excessive au sens de l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les personnes destinataires du traitement sont :
- le responsable hiérarchique du collaborateur,
- le responsable des Ressources Humaines du collaborateur,
- le responsable des Ressources Humaines et le conseiller de gestion de la Direction Régionale,
- le responsable des Ressources Humaines de la banque de détail en France,
- les responsables des « Relations sociales », qui accèdent aux informations pour réaliser un rapport statistique, remis aux Partenaires sociaux (Association Française des banques).
La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les collaborateurs du réseau commercial de BNP PARIBAS sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention d’information qui figure dans la procédure des ressources humaines. Cette procédure rappelle notamment que le collaborateur peut accéder directement et à tout moment au fichier de gestion des incivilités et consulter les déclarations le concernant.
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Les actions effectuées par les personnes habilitées à accéder à au fichier des incivilités sont tracées afin de permettre de détecter et d’analyser tous les accès, modifications et suppressions de données non autorisés. Les dates et heures de connexion, les opérations effectuées ainsi que les identifiants « utilisateurs » font l’objet d’une journalisation. Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application avec des profils d’habilitation et un contrôle d’accès logique qui se fait par mot de passe.
Les mesures de sécurité mises en place n’appellent pas d’observation.
Sur les autres caractéristiques du traitement
Les données personnelles contenues dans l’outil de gestion des incivilités commerciales sont conservées un an. Au terme de ce délai, elles sont anonymisées. Les données relatives à l’évènement sont conservées une année supplémentaire pour permettre la réalisation de statistiques anonymisées sur une période de 2 ans à compter de la date de l’incident. La Commission considère que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
En cas de rupture de la relation commerciale avec le client auteur de l’incivilité, les circonstances de la rupture ne sont pas connues du réseau des agences de BNP PARIBAS. En conséquence, il est possible pour le client de reprendre une relation commerciale auprès d’une autre agence du réseau.
La banque BNP PARIBAS a signé en 2006 un accord à durée indéterminée avec l’Association Française des Banques  relatif aux phénomènes des incivilités et violences à l’occasion des relations commerciales avec la clientèle. Cet accord définit les incivilités, identifie les mesures de prévention, décrit le dispositif d’assistance vis-à-vis des salariés victimes, et rappelle aux entreprises bancaires l’importance d’évaluer ces incivilités.
Ces autres caractéristiques du traitement n’appellent pas d’observation particulière de la Commission.
Abroge la délibération n° 2013-11 du 10 janvier 2013 autorisant la mise en œuvre par la Banque Nationale de Paris PARIBAS d’un traitement de données à caractère personnel ayant pour finalité la gestion des incivilités ;
Autorise, conformément à la présente délibération, la Banque Nationale de Paris PARIBAS, à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN