(demande d’autorisation n°1454827)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée le 6 août 2004, notamment ses articles 6 et 25-I-4° et 5° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié le 25 mars 2007 ;
Vu la demande d’autorisation présentée par la Mutuelle Assurance des Instituteurs de France d’un traitement de données à caractère personnel ayant pour finalité la détection de la fraude interne et externe ;
Sur le rapport de M. Eric PERES, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés a été saisie par la société Mutuelle Assurance des Instituteurs de France (MAIF) d’une demande d’autorisation relative à la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité la détection de la fraude interne et externe.
La société MAIF, spécialisée dans la commercialisation de produits d’assurance, souhaite mettre en place un traitement visant à détecter des incohérences susceptibles de révéler de simples erreurs de gestion, de fausses déclarations de sinistres réalisées par un assuré ou des détournements de fonds à l’initiative de salariés. Ce traitement peut conduire la MAIF, le cas échéant, à refuser d’indemniser un sinistre et/ou à rompre un contrat d’assurance et/ou à mettre fin à un contrat de travail. Il peut donc conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat, nonobstant l’absence de toute disposition légale le prévoyant.
Afin de détecter les actes frauduleux émanant de ses salariés, la société MAIF souhaite, en outre, utiliser des données collectées pour la gestion de la paie, en l’occurrence les références des relevés d’identité bancaire. Celles-ci seront extraites du fichier de gestion des ressources humaines. Ce fichier sera interconnecté avec le fichier de gestion des contrats et des sinistres afin de détecter les versements effectués à destination des comptes bancaires des salariés.
La Commission considère, dès lors, qu’il y a lieu de faire application des dispositions de l’article 25-I-4° et 5° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire et les traitements ayant pour objet l’interconnexion de fichiers dont les finalités principales sont différentes.
Le traitement que la société MAIF souhaite mettre en œuvre a notamment pour finalité de détecter les actes frauduleux émanant de ses salariés. La société MAIF prévoit de mettre en place un dispositif d’alerte permettant de détecter automatiquement de manière mensuelle les comptes bancaires des salariés affectés de plus de deux remboursements de sinistres sur une période de trois mois. La société MAIF considère que le versement de deux indemnités sinistres au moins, sur une période de trois mois, constitue une fréquence pouvant être qualifiée d’élevée.
Pour ce faire, la société MAIF prévoit d’interconnecter le traitement de gestion de la paie avec le traitement de gestion des sinistres. Le traitement de gestion de la paie sera expurgé de certaines données confidentielles avant exploitation, seules les références du relevé d’identité bancaire seront utilisées.
La Commission rappelle que l’article 6-3° de la loi du 6 janvier 1978 modifiée prévoit que les données traitées doivent être « adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs ».
La Commission relève que les coordonnées bancaires d’un salarié sont collectées au moment de la conclusion du contrat de travail afin de permettre à l’employeur de lui verser une rémunération et, le cas échéant, de lui rembourser des frais professionnels.
La Commission constate que les salariés de la société MAIF peuvent avoir la qualité d’assurés et donc légitimement recevoir des versements sur leur compte bancaire.
En outre, la Commission souligne que le traitement projeté ne permet pas de détecter les versements effectués vers des comptes bancaires dont l’existence est inconnue de l’employeur.
Dès lors, la Commission estime que l’utilisation du relevé d’identité bancaire par la société MAIF ne lui permet pas d’atteindre la finalité poursuivie.
La Commission relève, en outre, que cet objectif pourrait être atteint par d’autres moyens, par exemple, via la mise en place d’un dispositif reposant sur la collecte des références de comptes bancaires vers lesquels des virements au titre du remboursement de prestations peuvent être effectués. Ce dispositif permettrait de détecter toutes transactions réalisées vers des comptes bancaires ne figurant pas sur cette liste et, à ce titre, devant donner lieu à des investigations complémentaires.
En conséquence, la Commission considère que l’utilisation du relevé d’identité bancaire n’est ni pertinente ni proportionnée à la finalité de détection de la fraude interne.
Dans ces conditions, la Commission n'autorise pas, en l'état, la société Mutuelle Assurance des Instituteurs de France, sise 200 avenue Salvador Allende - 79038 Niort Cedex 9, à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la détection de la fraude interne et externe.
Isabelle FALQUE-PIERROTIN