La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 7-5°, 25-I-4° et 25 II ;
Vu la loi n° 71-1130 du 31 décembre 1971 portant réforme de certaines professions judiciaires et juridiques ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 91-1197 du 27 novembre 1991 organisant la profession d'avocat, notamment son article 241 ;
Vu l'arrêté du 5 juillet 1996 modifié fixant les règles applicables aux dépôts et maniements de fonds, effets ou valeurs reçus par les avocats pour le compte de leurs clients, notamment son article 8 ;
Après avoir entendu M. Jean-Luc VIVET, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Les caisses des règlements pécuniaires des avocats, ci-après  CARPA , organisées en association loi 1901, relèvent de la loi n° 71-1130 du 31 décembre 1971 complétée par des textes ultérieurs de nature législative et réglementaire. Ce sont des organismes intraprofessionnels de sécurisation des opérations de maniements financiers réalisées par les avocats qui en sont membres. La profession compte, à ce jour, 130 CARPA regroupant la totalité des 164 barreaux de France.
L'Union nationale des CARPA (ci-après  l'UNCA ) fédère les CARPA de France en leur apportant les moyens techniques et informatiques permettant d'assurer les missions légales qui leur incombent au titre des maniements des fonds réalisés par les avocats, mais aussi au titre des missions d'aide juridictionnelle. En l'espèce, l'UNCA met à disposition une fonction d'interface au sein du logiciel métier utilisé par les CARPA dans la gestion administrative des maniements de fonds permettant d'automatiser certaines opérations de vérification.
Chaque avocat exerçant en France dispose d'un compte ouvert dans les livres de la CARPA instituée par le barreau près duquel il est inscrit. Il doit obligatoirement, et sans délai, y déposer l'argent qu'il reçoit pour le compte de ses clients ou un tiers, dès lors que ces fonds sont accessoires à un acte professionnel, judiciaire ou juridique, et ce quel que soit l'instrument du paiement.
Les fonds ainsi déposés auprès des CARPA sont placés auprès de la Caisse des dépôts et consignations ou de tout autre établissement bancaire et ne peuvent être retirés par l'avocat qu'après un contrôle effectué par le service compétent de la CARPA qui établit, au terme d'un processus de vérification prévu réglementairement, un paiement au profit du bénéficiaire des fonds sur la demande de l'avocat gestionnaire du dossier.
Les CARPA, du fait de leurs missions, participent de facto, et à un premier niveau, à la prévention et à la lutte contre le blanchiment de capitaux et le financement du terrorisme, sans pour autant faire partie des personnes visées par les articles L. 561-2 ( personnes assujetties ) et L. 561-30 du code monétaire et financier (CMF), auxquelles il incombe notamment de faire des déclarations de soupçon à la cellule de renseignements financiers (TRACFIN).
L'identification d'opérations résultant notamment de la fraude ou du blanchiment, sur la base de critères intégrés dans les traitements automatisés des CARPA, peut conduire ces dernières à refuser les opérations suscitant un doute.
Les mécanismes de contrôle au sein de chaque CARPA constituent une protection pour l'ensemble des parties et contribuent à la conformité et à la sécurisation des fonds, en réponse aux exigences des autorités de régulation.
Les exigences accrues de vigilance et de surveillance souhaitées par les pouvoirs publics dans le domaine de maniement des fonds conduisent les CARPA à renforcer les procédures pour assurer un meilleur contrôle qualitatif des données pour ce qui concerne les parties d'un dossier gérées par un avocat. Dans ce cadre, l'UNCA souhaite déployer au niveau national, pour le compte des CARPA, quelle que soit leur taille, un dispositif informatisé d'aide à la décision qui permettra aux CARPA de faire face à la complexité des opérations de maniement des fonds à laquelle elles sont confrontées.
Il est dès lors apparu nécessaire de renforcer l'approche par les risques en accédant à des moyens de détection et de contrôle intégrant des sources de données et des moyens de traitement traditionnellement utilisés par les organismes assujettis à la lutte contre le blanchiment et le financement du terrorisme et dans le domaine des sanctions financières internationales, qui interdisent la réalisation de certaines opérations sur la base de critères déterminés.
L'identification d'opérations résultant notamment de la fraude ou du blanchiment, sur la base de critères intégrés dans les traitements automatisés de la CARPA, peut conduire cette dernière à refuser les opérations suscitant un doute.
Ces traitements peuvent ainsi, du fait de leur portée, conduire à l'exclusion de personnes du bénéfice d'un contrat ou d'une prestation. Dès lors, Ils relèvent du 4° du I de l'article 25 de la loi du 6 janvier 1978 modifiée et doivent faire l'objet d'une demande d'autorisation.
En vertu de l'article 25-II de la loi du 6 janvier 1978 modifiée, la commission peut autoriser par une décision unique une catégorie de traitements qui répondent aux mêmes finalités, portent sur des catégories de données identiques et ont les mêmes destinataires ou catégories de destinataires.
Dans ces conditions, la commission décide que les CARPA qui lui adressent une déclaration comportant un engagement de conformité pour leurs traitements de données à caractère personnel répondant aux conditions fixées par la présente autorisation unique, sont autorisés à les mettre en œuvre.
Tout traitement de données à caractère personnel qui excède le cadre ou les exigences définis par la présente autorisation unique doit, en revanche, faire l'objet d'une formalité spécifique.
Sur la finalité du traitement :
L'article 8 de l'arrêté du 5 juillet 1996 impose aux CARPA de contrôler les opérations réalisées par les avocats, en ce qui concerne notamment la provenance des fonds crédités, l'identité du bénéficiaire des règlements, la justification du lien entre les règlements pécuniaires des avocats et les actes juridiques ou judiciaires accomplis par ceux-ci dans le cadre de leur activité professionnelle.
Seuls peuvent faire l'objet d'un engagement de conformité par référence à la présente autorisation unique les traitements mis en œuvre par la CARPA ayant les finalités suivantes :
- analyser et déterminer le niveau de risque propre à chaque opération de maniement des fonds ;
- mettre en place une surveillance adaptée visant à détecter les opérations portant sur des sommes dont elle sait, soupçonne ou a de bonnes raisons de soupçonner qu'elles proviennent d'une infraction passible d'une peine privative de liberté supérieure à un an ou participent au financement du terrorisme ;
- s'assurer du respect des éventuelles mesures relatives aux sanctions financières nationales et internationales d'embargo et de gel des avoirs en vigueur ;
- procéder aux vérifications complémentaires nécessaires.
Un dispositif centralisé de traitement de données au sein de l'infrastructure informatique de l'UNCA est réalisé et permet d'automatiser certaines opérations de vérification sur la base de requêtes émises par la CARPA. A ce titre, est mis en œuvre un système automatisé de traitement des requêtes par voie de corrélations et de confrontation de données issues des dossiers instruits par la CARPA avec celles provenant de bases de données externes, afin d'identifier des opérations anormales qui échapperaient à un contrôle strictement manuel en lien avec les remettants ou les bénéficiaires concernés par un maniement de fonds.
A ce titre, l'UNCA a recours à un ou plusieurs éditeurs spécialisés de bases documentaires mises à jour en permanence et portant sur :
- l'identification des personnes qui doivent faire l'objet de mesures de vigilance complémentaires en tant que personnes politiquement exposées (PPE). La base documentaire ne comporte que les informations relatives à des relations d'affaires qui sont susceptibles d'être qualifiées de PPE au sens de l'article R. 561-18 du CMF et des personnes susceptibles de faire l'objet de mesures de vigilance renforcée ;
- l'identification des personnes d'intérêt particulier (Special Interest People) ;
- la consultation de listes de sanctions et autres listes officielles émises par des autorités publiques ;
- l'outil de requête et de corrélation d'informations permet à la CARPA, pour chaque maniement de fonds, de confronter de manière automatisée les informations communiquées par l'avocat avec celles qui figurent dans la base documentaire afin de faire remonter une éventuelle alerte sur une opération suspecte.
Toutes précautions doivent être prises pour exclure toute possibilité de consultation d'informations autres que celles strictement nécessaires à la finalité poursuivie.
Les éléments d'information utilisés par le ou les éditeurs procèdent de sources officielles nationales et internationales, des décisions de justice ou d'autorités publiques.
La commission considère que sont légitimes les vérifications portant sur les seules listes appliquées en France et en Europe ou qui trouvent dans les résolutions adoptées par l'ONU en la matière, une base juridique pouvant justifier leur portée extraterritoriale, dès lors que l'organisme participe à la lutte contre le blanchiment de capitaux et le financement du terrorisme. A ce titre, l'outil fourni par l'UNCA dispose d'un système de filtre permettant de limiter les informations transmises en retour à la CARPA aux seules informations pertinentes en lien avec les finalités poursuivies.
Les informations en provenance de la CARPA sont cloisonnées avec impossibilité pour l'UNCA de réaliser des traitements croisés de données.
Conformément à l'article 10 de la loi du 6 janvier 1978 modifiée, aucune décision de refus ne peut être prise sur la base des seuls éléments d'information recueillis par le biais de l'outil utilisé, qui devront faire l'objet d'un examen individuel, permettant notamment de lever les cas d'homonymies, après collecte, le cas échéant, d'informations complémentaires adaptées au niveau du risque identifié en fonction des opérations effectuées. Dès lors, les traitements seront réalisés selon une logique d'aide à la décision sous le contrôle des agents habilités de la CARPA.
La Commission estime que les finalités poursuivies sont déterminées, explicites et légitimes, conformément aux dispositions de l'article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur la nature des données traitées :
Conformément à l'article 6-3° de la loi Informatique et Libertés, les données traitées doivent être pertinentes, adéquates et non excessives au regard des finalités du traitement.
Dans le cadre du présent traitement, la CARPA dispose de deux sources d'informations : celles issues des données déclarées par l'avocat sur le formulaire CARPA accessible via son compte individuel  maniements de fonds  et celles issues des sources documentaires du prestataire de service.
Les catégories de données à caractère personnel qui peuvent être traitées par la CARPA portent sur les informations suivantes :
- données d'identification et coordonnées de l'avocat ;
- données d'identification du client et de toutes parties concernées (adversaires, avocats adverses, tiers concernés par l'opération financière) ;
- données d'ordre économique et financier ;
- vie personnelle (nature de l'affaire : vente immobilière, responsabilité, droit de la famille, droit du travail, etc. ; lien de parenté avec une PPE) ;
- situation professionnelle (pour les PPE).
Les données non pertinentes que les sources documentaires fournies sont susceptibles de comporter, ne doivent faire l'objet d'aucun traitement.
La Commission considère que ces catégories de données sont pertinentes au regard de la finalité poursuivie.
Sur la durée de conservation des données :
L'article 6-5° de la loi du 6 janvier 1978 modifiée dispose que les données permettant l'identification des personnes concernées sont conservées pendant une durée qui n'excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées.
La CARPA conserve les alertes résultant du traitement de requête et de corrélation pendant un délai maximum de 5 jours ouvrés, délai permettant à la CARPA de décider de valider ou de rejeter le maniement de fonds concerné.
Les données déclarées par les avocats dans le cadre des missions de la CARPA sont conservées le temps nécessaire à la réalisation et à la gestion de l'opération pendant une durée maximale de deux ans.
Sur les destinataires des données :
Seuls les agents habilités de la CARPA et de l'UNCA sont destinataires des données traitées. Ils sont statutairement soumis au secret professionnel et tenus par des clauses de confidentialité.
Sur l'information des personnes :
Le client est informé par son avocat que, pour répondre à ses obligations de validation des maniements de fonds, la CARPA concernée met en œuvre un traitement spécifique ayant pour finalité de vérifier l'existence éventuelle de manquements aux exigences liées à la lutte contre la fraude, le blanchiment de capitaux et le financement du terrorisme.
En cas de rejet d'une opération, l'avocat est informé des raisons ayant conduit la CARPA concernée à rejeter cette opération.
Il appartient à l'avocat, en sa qualité d'assujetti, de décider s'il y a lieu d'engager la procédure de déclaration de soupçon à la cellule TRACFIN et/ou d'informer le client des raisons du rejet, dans le respect de la réglementation et des mécanismes spécifiques qui s'appliquent à sa profession.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les personnes physiques concernées par un maniement de fonds peuvent exercer leurs droits d'accès, de rectification et d'opposition auprès du service maniements de fonds de chaque CARPA.
Sur la sécurité des données et la traçabilité des actions :
La CARPA, responsable du traitement, prend les mesures de protection physique et logique adéquates afin de préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse des informations, notamment par des tiers non autorisés, et préserver la confidentialité et l'intégrité des données.
Elle prend les mesures nécessaires pour préserver la sécurité des données tant à l'occasion de leur recueil que de leur consultation, de leur communication et de leur conservation.
A ce titre, elle s'assure notamment que les échanges d'informations avec le coordonnateur et, le cas échéant, le référent de la personne faisant l'objet d'une mesure de suivi, s'effectuent de manière sécurisée et de façon à garantir la confidentialité des données ainsi transmises.
La CARPA s'assure également que l'accès aux données fait l'objet d'une traçabilité effective et adaptée à leur sensibilité, et que les utilisateurs des traitements en sont bien informés.
La CARPA s'engage à respecter ces mesures de sécurité afin de répondre à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée.
La commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
I. Falque-Pierrotin