La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 91/308/CE du Conseil du 10 juin 1991 modifiée relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu le règlement n° 1781/2006 du Parlement européen et du Conseil du 15 novembre 2006 relatif aux informations concernant le donneur d'ordre accompagnant les virements de fonds ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 25-1-4° et 69 ;
Vu le code monétaire et financier, notamment ses articles L. 511-34, L. 561-1 à L. 563-5, L. 574-1, L. 574-2, L. 613-13, R. 562-1, R. 562-2, R. 563-1 à R. 563-3 et R. 564-1 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 précitée, modifié par décret n° 2007-451 du 25 mars 2007 ;
Vu le dossier déposé par la société en cours de constitution Coinstar Money Transfer (CMT) SAS relatif à un traitement automatisé de données personnelles ayant pour finalité la saisie et la transmission des ordres de transfert de fonds internationaux ;
Après avoir entendu M. Bernard PEYRAT, commissaire, en son rapport, et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La société financière Coinstar Money Transfer (CMT) SAS, en cours de constitution, a saisi la Commission nationale de l'informatique et des libertés d'un projet de traitement de données personnelles, dénommé "TMT - PRIME", dont les finalités sont la mise en oeuvre d'un service de transfert international d'argent de personne à personne, la lutte contre le blanchiment et la réalisation d'opérations commerciales.
Au titre de sa finalité relative à la lutte contre le blanchiment de capitaux et le financement du terrorisme, le traitement automatisé permet de détecter des opérations susceptibles, du fait des anomalies qu'elles comportent, d'être qualifiées d'infraction de blanchiment par les autorités compétentes.  Ces opérations peuvent donner lieu, après la collecte de renseignements complémentaires, à l'envoi d'informations, au sein du ministère de l'économie, des finances et de l'industrie, soit au bureau de la direction générale du Trésor et de la politique économique (DGTPE) en charge du dispositif de gel des avoirs, soit au service d'analyse du renseignement financier Tracfin sous la forme de déclarations de soupçon.
La détection de ces opérations avant leur réalisation peut, en outre, conduire CMT SAS à suspendre, pour des raisons de prudence, la transaction engagée par le client sur la base de contrôles automatisés, notamment après consultation de listes de personnes faisant l'objet de sanctions financières, dont certaines n'ont pas force de loi sur le territoire national.  Ce traitement peut ainsi conduire à exclure des personnes du bénéfice d'une prestation en l'absence de toute disposition légale applicable en France prévoyant la mise en oeuvre d'une telle exclusion.  Dès lors, il relève du 4° du I de l'article 25 de la loi du 6 janvier 1978 modifiée et doit être autorisé par la CNIL.
Les données enregistrées dans le traitement concernent les nom, prénoms, adresse et numéro de téléphone de l'expéditeur et du destinataire des fonds, le sexe de l'expéditeur, la date de naissance, les type, pays d'émission, numéro et date d'expiration de la pièce d'identité du client de CMT SAS, son numéro de carte de fidélité, le montant, la date et le numéro de référence de la transaction, la devise fournie et la devise de reversement, le pays dans lequel le décaissement doit avoir lieu, la banque destinataire, la question-test qui devra être posée au destinataire et la réponse qu'il devra fournir.  Le document d'identité présenté - carte d'identité, passeport. permis de séjour ou carte. de résident - est conservé sur support papier.  Pour les clients réguliers, le système informatique permet de retrouver les renseignements déjà enregistrés.
Des filtres informatisés sont mis en place, qui suspendent automatiquement le traitement des demandes d'envoi et de réception d'argent lorsque :  elles excèdent certains montant ; elles se rapportent à des personnes susceptibles de figurer sur des listes officielles de personnes faisant l'objet d'une sanction financière internationale ; elles ne sont pas complètement renseignées ; la pièce d'identité présentée n'est plus valable.
Les listes de sanctions financières internationales prises en considération sont, d'une part, celles applicables en France, qu'elles soient mises en oeuvre au niveau national, au niveau européen ou qu'elles soient imposées par l'ONU, d'autre part, celles que l'OFAC (office of Foreign Assets Control, administration relevant du département du Trésor américain), est chargé de faire respecter et que le groupe Coinstar est tenu d'appliquer.
Les opérations ainsi suspendues sont soumises à un contrôle renforcé, purement manuel, en vue d'une levée de la mesure ou d'un rejet définitif de l'ordre par le responsable anti-blanchiment de CMT SAS.
La Commission prend acte que le contrôle renforcé mis à la charge de l'établissement en cas de concordance entre l'identité d'un client et un signalement sur l'une de ces listes précitées garantit que les opérations de transfert ne seront définitivement bloquées qu'en présence d'indices sérieux et concordants et que le service de lutte anti-blanchiment ou de gel des avoirs compétent sera rendu destinataire de données personnelles concernant ce client.
Elle note également que l'ensemble des données personnelles recueillies par CMT SAS dans le cadre d'une demande de transfert de fonds lui permet de s'assurer que les vérifications, après suspension de l'ordre de transfert, sont effectuées très rapidement, au plus tard dans les 24 à 48 heures.
Dès lors, le traitement mis en place est conforme à l'intérêt légitime du responsable du traitement sans méconnaître pour autant l'intérêt des clients concernés.
L'ensemble des informations saisies est transmis, via le réseau sécurisé du groupe Coinstar, au centre informatique du groupe situé aux États-Unis où sont assurés le traitement automatisé des transactions, leur routage vers le pays de destination de l'ordre et leur stockage.
La Commission observe que les États-Unis ne font pas, à ce jour, partie des États reconnus comme disposant d'une législation garantissant un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes à l'égard du traitement des données à caractère personnel
Conformément à l'avant-dernier alinéa de l'article 69 de la loi du 6 janvier 1978 modifiée, la Commission a compétence pour autoriser tout transfert de données à caractère personnel envisagé vers cet État, dès lors que le traitement effectué par le destinataire sur ces données garantit un niveau de protection suffisant de la vie privée ainsi que des libertés et droits fondamentaux des personnes, notamment en raison des conditions contractuelles ou règles internes dont il fait l'objet.
A cet égard, la Commission constate que les sociétés CMT SAS, responsable du traitement, et CMT Limited, société de droit anglais, s'engagent à signer un contrat de sous-traitance comprenant les clauses contractuelles types définies par la Commission européenne et précisant notamment les conditions d'utilisation des informations auxquelles CMT Ltd aura accès en qualité de support technique et au titre de la lutte anti-blanchiment.  Ce document rappelle que CMT SAS répondra seule, en qualité de responsable du traitement aux demandes de divulgation des données personnelles qui lui seraient adressées par des autorités étrangères dans le cadre des dispositions du droit national en vigueur, notamment en ce qui concerne le secret professionnel.
La transmission aux États-Unis des données nécessaires au routage des ordres de virement et à leur stockage est, à cet égard, adéquate, pertinente et non excessive au regard des finalités poursuivies.  Les données spécifiques à la lutte contre le blanchiment et le financement du terrorisme sont conservées pendant cinq ans, conformément au règlement européen du 15 novembre 2006 susvisé.  Les données figurant sur les documents comptables et les pièces justificatives sont archivées pendant dix ans.
Les destinataires des informations traitées sont :
- les agents habilités de CMT SAS et de CMT Ltd en charge des transferts d'argent, des opérations commerciales, de la lutte anti-blanchiment, de la déontologie et du contrôle interne,
- ceux de l'organisme correspondant chargé du versement des fonds dans le pays de destination.
En outre, des informations pourront être transmises, dans le cadre de leurs compétences respectives :
- au service Tracfin, dans le cadre de l'application du dispositif de lutte contre le blanchiment de l'argent, notamment dans le cas où l'identité du donneur d'ordre ou du bénéficiaire reste douteuse malgré les diligences effectuées,
- au bureau de la DGTPE chargé du mécanisme de gel des avoirs, pour les seules données relatives aux personnes qui font l'objet d'une mesure de gel des avoirs pour leurs liens présumés avec une activité terroriste,
- à l'OFAC, pour les seules données relatives aux donneurs d'ordre ou aux bénéficiaires des opérations qui figurent effectivement sur les listes en vigueur de l'OFAC et les données relatives aux virements de fonds les concernant.
La Commission relève que seuls les correspondants Tracfin de CMT SAS et le service Tracfin peuvent avoir communication de données identifiant les personnes ayant fait l'objet d'une déclaration de soupçon.
Les clients de Coinstar sont informés par écrit des finalités du traitement des données et de leur transfert hors de l'Union européenne, des catégories de destinataires, du pays hors de l'Union européenne concerné par le transfert, de la nature des données transférées, de la décision de la CNIL autorisant ce transfert, ainsi que des modalités d'exercice des droits d'accès, de rectification et d'opposition à l'utilisation des données à des fins de prospection.
Dans ces conditions, la Commission autorise CMT SAS à mettre en oeuvre le traitement "TMT - PRIME".
Le Président Alex TURK.