(Demande d’autorisation n° 1788740)
La Commission nationale de l'informatique et des libertés,
Saisie par la Caisse d’Epargne Ile de France d’une demande de modification de la délibération n°2005-258 du 10 novembre 2005 autorisant la Caisse d’Epargne Ile de France à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre le blanchiment de capitaux et le financement du terrorisme ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2005/60/CE du Parlement européen et du Conseil du 26 octobre 2005 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux et du financement du terrorisme ;
Vu la directive 2006/70/CE de la Commission du 1er août 2006 portant mesures de mise en œuvre de la directive 2005/60/CE du Parlement européen et du Conseil pour ce qui concerne la définition des « personnes politiquement exposées » et les conditions techniques de l’application d’obligations simplifiées de vigilance à l’égard de la clientèle ainsi que de l’exemption au motif d’une activité financière exercée à titre occasionnel ou à une échelle très limitée ;
Vu le code monétaire et financier (CMF), notamment ses articles L. 561-1 à L. 562-11, L. 574-1, L. 574-2, R. 562-1, R. 562-2, R. 563-1 à R. 563-3 et R. 564-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004, notamment le 4° du I et le II de l’article 25 ;
Vu l’ordonnance n° 2009-104 du 30 janvier 2009 relative à la prévention de l’utilisation du système financier aux fins de blanchiment de capitaux et de financement du terrorisme, ratifiée par la loi n° 2009-526 du 12 mai 2009 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu le décret n° 2009-1087 du 2 septembre 2009 relatif aux obligations de vigilance et de déclaration pour la prévention de l’utilisation du système financier aux fins de blanchiment de capitaux et de financement du terrorisme ;
Vu le décret n° 2012-1125 du 3 octobre 2012 relatif aux obligations de vigilance et de déclaration pour la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux et du financement du terrorisme portant modification des articles R. 561-12, R. 561-16, R.561-18 et R. 561-20 du Code monétaire et financier ;
Vu l’arrêté du 2 septembre 2009 pris en application de l’article R. 561-12 du code monétaire et financier et définissant des éléments d’information liés à la connaissance du client et de la relation d’affaire aux fins d’évaluation des risques de blanchiment de capitaux et de financement du terrorisme ;
Vu les recommandations du  Groupe d’action financière (GAFI) du 16 février 2012 et notamment la recommandation n°12 relative aux personnes politiquement exposées (PPE) en matière de lutte contre le blanchiment de capitaux, le financement du terrorisme ;
Vu la délibération n° 2005-297 du 1er décembre 2005 portant autorisation unique de certains traitements de données à caractère personnel mis en œuvre dans des organismes financiers au titre de la lutte contre le blanchiment de capitaux et le financement du terrorisme, modifiée par la délibération n° 2007-060 du 25 avril 2007 et la délibération n° 2011-180 du 16 juin 2011 ;
Vu la délibération n°2005-258 du 10 novembre 2005 autorisant la Caisse d’Epargne Ile de France à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre le blanchiment de capitaux et le financement du terrorisme ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M.  Jean-Alexandre SILVY, commissaire du Gouvernement .
Formule les observations suivantes :
Responsable du traitement
La Caisse d’Epargne Ile de France, ci-dessous dénommée la Caisse d’Epargne.
Sur la finalité
La Caisse d’Epargne a saisi la Commission d’une demande d’autorisation relative aux traitements automatisés de données à caractère personnel pour répondre aux obligations légales en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme, ainsi que de gel des avoirs.
Les traitements automatisés utilisés par les établissements du secteur bancaire dans le cadre de la lutte contre le blanchiment de capitaux et le financement du terrorisme visent notamment à détecter les transactions financières, réalisées par leurs clients, qui sont susceptibles d’être qualifiées d’infraction de blanchiment ou de financement du terrorisme par les autorités compétentes et qui, de ce fait, doivent, le cas échéant après collecte de renseignements complémentaires et analyse manuelle des éléments du dossier, donner lieu à l’envoi d’une déclaration à la cellule de renseignement financier nationale TRACFIN.
L’identification de telles opérations, pour une large part sur la base de critères intégrés dans les traitements automatisés des établissements concernés, peut conduire ces derniers à souhaiter, pour des raisons de prudence, rompre toute relation contractuelle avec certains des clients qui en font l’objet.
Ces traitements, peuvent ainsi, du fait de leur portée, conduire à l’exclusion de personnes du bénéfice d’un contrat en l’absence de toute disposition légale prévoyant la mise en œuvre d’une telle exclusion.
Ce traitement peut ainsi, du fait de sa nature et de sa finalité, conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat en l’absence de toutes dispositions légales ou réglementaires prévoyant une telle exclusion. Dès lors, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée en 2004 et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.
Par sa délibération modificative n° 2005-297 du 1er décembre 2005 susvisée, la Commission a autorisé « certains traitements de données à caractère personnel qui sont mis en œuvre dans des organismes financiers au titre de la lutte contre le blanchiment de capitaux et le financement du terrorisme », sous réserve que les finalités de ces traitements, les catégories de données utilisées et leurs destinataires n’excèdent pas le cadre fixé par l’autorisation unique AU-003, que ces traitements remplissent également les conditions définies dans ce texte et que la CNIL ait reçu un engagement de conformité à l’AU-003.
Tout projet de traitement automatisé dont les finalités ou les catégories de données ou de destinataires excèdent le cadre de cette autorisation unique ou qui ne respecterait pas les exigences qui y sont définies, doit faire l’objet d’une demande d’autorisation spécifique présentant et expliquant les différences entre le traitement envisagé et l’autorisation unique.
L’analyse des caractéristiques des traitements automatisés visés par la présente demande d’autorisation permet de conclure à la conformité de la demande au regard de l’AU 003 à l’exception des différences relatives aux finalités, aux personnes concernées et aux destinataires qui, de ce fait, sont soumises à l’examen de la CNIL.
La Commission relève que le traitement mis en œuvre par la Caisse d’Epargne a pour finalités celles prévues par l’AU 003 auxquelles s’ajoutent les sous finalités suivantes.
Le traitement mis en œuvre permet d’une part, de formaliser le contrôle permanent de niveaux 1 et 2 dans le cadre de la lutte contre le blanchiment des capitaux et de visualiser un reporting des contrôles effectués par les différents intervenants du contrôle permanent. D’autre part, le traitement permet l’élaboration de statistiques relatives à la gestion des alertes par le directeur d’agence (1er niveau) et le département sécurité financière et l’audit (2nd niveau).
Enfin, il existe un suivi des suites données par TRACFIN aux déclarations de soupçons réalisées par la banque.
La Commission observe que pour mettre en œuvre cette finalité le traitement utilise différents outils.
Tout d’abord, l’outil de contrôle permanent et de reporting formalise les contrôles portant sur la qualité et la conformité de l’analyse des alertes  (modalités de traitement manuel, analyse, documentation des vérifications effectuées, clôture des remontées de soupçon…) dans le cadre des opérations de lutte contre le blanchiment et le financement du terrorisme.
Ensuite, un outil de calcul du score de vigilance permet de matérialiser le degré de vigilance à avoir vis-à-vis du client de la banque suivant l’approche par les risques.
La Commission observe qu’aucune variable ne reçoit une pondération telle qu’elle puisse à elle seule être déterminante dans le calcul. Le score ne peut en aucun cas avoir à lui seul un effet d’exclusion automatique.
Et que, conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, une analyse manuelle est effectuée par les opérationnels du département sécurité financière pour ajuster le score obtenu.
Toutefois, la Commission relève que certains critères sont déterminants et  bloquent la possibilité d’ajustement manuel du score. Dès lors, le client fera l’objet d’une vigilance renforcée et il pourra lui être demandé de présenter des documents et pièces justificatives supplémentaires lors de l’entrée en relation.
Ensuite, il existe un outil permettant la détection automatique des situations pouvant être liées à un risque de blanchiment de capitaux et de financement de terrorisme. Les alertes sont émises, soit au regard de critères prédéterminés, soit détectées lorsqu’il existe des variations inhabituelles des mouvements réalisés par un client.
Chaque alerte fait l’objet d’une analyse manuelle par le conseiller financier. En cas de doute, l’alerte sera remontée au département sécurité financière pour une analyse plus approfondie.
Enfin, un dernier outil permet aux collaborateurs de faire remonter  une « déclaration interne de doute » qui sera ensuite analysée par le département sécurité financière.
La Commission estime que ces sous finalités sont déterminées, explicites et légitimes.
Sur les personnes concernées
Les personnes qui font l’objet de ce traitement peuvent concerner, outre la liste déjà prévue par l’AU 003, les membres du personnel de la banque dans la mesure où des informations permettant de les identifier figurent dans le traitement notamment pour la traçabilité des dossiers.
La Commission considère, compte tenu de la finalité poursuivie, que la liste des personnes concernées  est pertinente au regard de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires qui font l’objet du traitement peuvent concerner, outre la liste déjà prévue par l’AU 003, les personnes suivantes :
- les personnes en charge du contrôle permanent de 1er et 2nd niveau, c’est-à-dire les collaborateurs de la filière engagement et contrôle permanent ainsi que, le cas échéant, les directeurs d’agence pour la banque de détail, les autres personnes en charge du contrôle permanent pour la BDR, le contentieux et les fonctions supports ;
- pour le contrôle de 2nd niveau, les membres du département sécurité financière.
La Commission considère, compte tenu de la finalité poursuivie, que la liste des personnes concernées  est pertinente au regard de la loi du 6 janvier 1978 modifiée.
Autorise, conformément à la présente délibération, la Caisse d’Epargne Ile de France à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN