La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 91/308/CE du Conseil du 10 juin 1991 modifiée relative à la prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-I-4° ;
Vu le code monétaire et financier, notamment ses articles L.561-2 à L.561-22, L.561-32 à L.561-35, L. 561-45 et L. 562-1 à L. 562-11 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978 modifiée par la loi n° 2004-810 du 6 août 2004 ;
Vu la délibération n° 2005-297 du 1er décembre 2005 portant autorisation unique de certains traitements de données à caractère personnel mis en œuvre dans des organismes financiers au titre de la lutte contre le blanchiment de capitaux et le financement du terrorisme ;
Vu le dossier déposé par Barclays Bank PLC relatif à un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre le blanchiment de capitaux et le financement du terrorisme ;
Sur le rapport de M. Jean-Paul AMOUDRY, commissaire, et les observations de  Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Formule les observations suivantes :
Le traitement de données à caractère personnel soumis par Barclays Bank PLC à l’examen de la Commission a pour finalité de répondre à ses obligations légales en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme en apportant une aide à la détection, à l’examen et à la surveillance de certaines transactions financières dans le but éventuel, à l’issue d’une analyse non automatisée, de déclarer à la cellule de renseignement financier Tracfin les opérations qui relèvent de l’article L. 561-15 du CMF ou de bloquer la réalisation des opérations menées par une personne ou à destination d’une personne qui fait l’objet d’une mesure de gel des avoirs.
L’identification de tels faits, sur la base de critères intégrés dans les traitements automatisés de l’organisme financier, peut conduire Barclays Bank PLC à souhaiter, pour des raisons de prudence, rompre toute relation contractuelle avec certains des clients qui en font l’objet. Le traitement peut ainsi, du fait de sa portée, conduire à l’exclusion de personnes du bénéfice d’un contrat en l’absence de toute disposition légale prévoyant la mise en œuvre d’une telle exclusion.
Dès lors, ce traitement relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, être autorisé par la CNIL.
Par sa délibération n° 2005-297 du 1er décembre 2005 susvisée créant l’autorisation unique AU-003, la Commission a autorisé les traitements mis en œuvre par les organismes financiers au titre de la lutte contre le blanchiment de capitaux et le financement du terrorisme, sous réserve que les finalités de ces traitements, les catégories de données utilisées et leurs destinataires n’excèdent pas le cadre qui y est défini, que ces traitements remplissent également les conditions qui y sont fixées, et que les responsables de ces traitements adressent à la CNIL un engagement de conformité à l’autorisation unique AU-003.
L’analyse des conditions de mise en œuvre du traitement de Barclays Bank PLC fait apparaître des différences par rapport à l’autorisation unique AU-003 qui, de ce fait, sont soumises à l’examen de la CNIL.
La finalité du traitement inclut la création de groupes de clients dont le niveau de risque de blanchiment et de financement du terrorisme est homogène, afin d’effectuer des contrôles proportionnés au niveau de risque ainsi évalué. Un modèle de score visant à évaluer ce risque après pondération de certaines des catégories de données traitées est utilisé à cette fin.
La Commission observe que cette finalité est conforme aux articles L. 561-9 à L. 561-10 du code monétaire et financier qui prévoient que les mesures de vigilances doivent être proportionnées à la gravité des risques identifiés.
Le traitement porte, par ailleurs, sur plusieurs catégories de données supplémentaires :
- En ce qui concerne les personnes physiques, clients ou tiers : matricule, nature juridique (résident, non résident), pays de la résidence fiscale de l’auteur de la transaction, modalité d’entrée en relation (face à face ou à distance), indicateur de risque, risque accru (personne politiquement exposée, personne à patrimoine très élevé), numéros de téléphone ;
- En ce qui concerne les personnes morales, clients ou tiers : matricule, nature juridique, adresse, nationalité, adresse électronique, pays de la résidence fiscale de l’auteur de la transaction, indicateur de risque, adresse des dirigeants et associés, numéros de téléphone ;
- En ce qui concerne leurs situation et opérations financières : date de traitement de l’opération, avoirs possédés par le client et opérations s’y rapportant, type de produit souscrit, guichet où l’opération a été effectué, solde du compte, pays de commerce ou d’exercice des opérations de la personne morale ;
- En ce qui concerne les exploitants de Barclays Bank PLC : nom prénom, matricule, localisation.
Enfin, au titre des destinataires des données traitées, les conseillers de clientèle ont accès au seul indicateur de risque.
Les droits d’accès et de rectification s’exercent dans les conditions définies à l’article L. 56145 du code monétaire et financier ;
Autorise, dans les conditions prévues par la présente délibération, Barclays Bank PLC à mettre en œuvre le traitement automatisé de lutte contre le blanchiment de capitaux et contre le financement du terrorisme.