La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 91/308/CE du Conseil du 10 juin 1991 modifiée relative à la prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-I-4° ;
Vu le code monétaire et financier, notamment ses articles L.561-2 à L.561-22, L.561-32 à L.561-35, L. 561-45 et L. 562-1 à L. 562-11 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978 modifiée par la loi n° 2004-810 du 6 août 2004 ;
Vu l’arrêté du Conseil général de la Banque de France du 19 décembre 2003 relatif à la création d’un traitement automatisé dénommé « Surveillance des transactions à risque (STAR) »
Vu la délibération n° 2005-297 du 1er décembre 2005 portant autorisation unique de certains traitements de données à caractère personnel mis en œuvre dans des organismes financiers au titre de la lutte contre le blanchiment de capitaux et le financement du terrorisme ;
Vu le demande d’autorisation modificative déposée par la Banque de France et relative à un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre le blanchiment de capitaux et le financement du terrorisme ;
Sur le rapport de M. Jean-Paul AMOUDRY, commissaire, et les observations de  Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Formule les observations suivantes :
La Banque de France met en œuvre un traitement de données à caractère personnel dénommé STAR, qui a été créé par arrêté du Conseil général de la Banque de France du 19 décembre 2003 et qui vise à permettre la surveillance des transactions financières à risque au regard de la législation relative à la lutte contre le blanchiment de capitaux et le financement du terrorisme dans le but éventuel, à l’issue d’une analyse non automatisée, de déclarer à la cellule de renseignement financier Tracfin les opérations qui relèvent de l’article L. 561-15 du code monétaire et financier ou de bloquer la réalisation des opérations menées par une personne ou à destination d’une personne qui fait l’objet d’une mesure de gel des avoirs.
L’identification de tels faits, sur la base de critères intégrés dans les traitements automatisés de l’organisme financier, peut conduire la Banque de France à souhaiter, pour des raisons de prudence, rompre toute relation contractuelle avec certains des clients qui en font l’objet. Le traitement peut ainsi, du fait de sa portée, conduire à l’exclusion de personnes du bénéfice d’un contrat en l’absence de toute disposition légale prévoyant la mise en œuvre d’une telle exclusion.
Dès lors, ce traitement relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, être autorisé par la CNIL.
Par sa délibération n° 2005-297 du 1er décembre 2005 susvisée créant l’autorisation unique AU-003, la Commission a autorisé les traitements mis en œuvre par les organismes financiers au titre de la lutte contre le blanchiment de capitaux et le financement du terrorisme, sous réserve que les finalités de ces traitements, les catégories de données utilisées et leurs destinataires n’excèdent pas le cadre qui y est défini, que ces traitements remplissent également les conditions qui y sont fixées, et que les responsables de ces traitements adressent à la CNIL un engagement de conformité à l’autorisation unique AU-003.
L’analyse des modifications que la Banque de France envisage d’apporter à son traitement fait apparaître des différences par rapport à l’autorisation unique AU-003 qui, de ce fait, sont soumises à l’examen de la CNIL.
La Banque de France prévoit, en premier lieu, de prendre en compte la liste de l’OFAC (Office of Foreign Assets Control), administration relevant du département du Trésor américain, pour apporter une aide à l’identification des opérations qui doivent faire l’objet d’une vigilance particulière.
En deuxième lieu, la Banque de France constitue une « liste blanche » dont la finalité est de recenser les homonymes des personnes ou entités dites à risque, dont les opérations n’ont pas, en conséquence, à être bloquées.
En conséquence, le traitement STAR porte sur plusieurs catégories de données supplémentaires : appartenance à un groupement ou à une organisation listée par un règlement européen sur le gel des avoirs ou par l’OFAC, appartenance à une « liste blanche ».
L’ensemble des données à caractère personnel restent enregistrées pendant cinq ans à compter de la dernière opération traitée, sous réserve des durées de conservation spécifiques susmentionnées.
Les droits d’accès et de rectification s’exercent dans les conditions définies à l’article L. 56145 du code monétaire et financier ;
Autorise, dans les conditions prévues par la présente délibération, la Banque de France à modifier le traitement automatisé de lutte contre le blanchiment de capitaux et contre le financement du terrorisme.