(Demande d’autorisation 1202252V1)
La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 91/308/CE du Conseil du 10 juin 1991 modifiée relative à la prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu le règlement n° 1781/2006 du Parlement européen et du Conseil du 15 novembre 2006 relatif aux informations concernant le donneur d’ordre accompagnant les virements de fonds ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment ses articles 68 et 69 ;
Vu le code monétaire et financier, notamment ses articles L. 511-34, L. 561-1 à L. 5635, L. 574-1, L. 574-2, L. 613-13, R. 562-1, R. 562-2, R. 563-1 à R. 563-3 et R. 564-1 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 précitée ;
Vu le dossier déposé par la société financière Ria France relatif à un traitement automatisé de données personnelles ayant pour finalité la saisie et la transmission des ordres de transfert de fonds internationaux ;
Après avoir entendu M. Bernard PEYRAT, commissaire, en son rapport, et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La société financière Ria France a  été autorisée par la Commission nationale de l’informatique et des libertés, par sa délibération n° 2007-021 du 8 février 2007, à mettre en œuvre pendant un an un traitement automatisé des ordres de transferts internationaux de fonds, qui a notamment pour finalité la lutte contre le blanchiment de capitaux et le financement du terrorisme.
La Commission a autorisé la mise en œuvre de ce traitement pour une durée limitée, après avoir constaté que les copies scannées des pièces d’identité des clients de Ria France allaitent être transmises aux Etats-Unis et considéré que ce transfert de données personnelles vers un pays n’assurant pas un niveau de protection suffisant était excessif au regard des conditions énumérées à l’article 69 de la loi du 6 janvier 1978 pour justifier de tels transferts. En effet, la transmission de ces données avait pour seule finalité d’en permettre l’archivage.
La Commission a, dans ces conditions, assortie son autorisation d’une demande d’envisager à terme la mise en place d’un autre dispositif technique et de lui adresser, à cette fin, une nouvelle demande d’autorisation comportant notamment un rapport concernant le nouveau dispositif d’archivage des pièces d’identité et un bilan portant sur l’évaluation et l’évolution du dispositif de lutte anti-blanchiment mis en place et sur les transmissions de données en résultant.
La nouvelle demande d’autorisation reçue par la CNIL prévoit que les copies scannées des pièces d’identité des clients de Ria France et les autres documents scannés relatifs à l’information sur le client sont sauvegardés sur un serveur en ligne, situé dans des locaux dédiés en Espagne, puis archivés dans une base de données sur un serveur en Espagne.
Les seules personnes autorisées à accéder aux documents scannés sont les membres des services conformité du groupe situés en Europe.
Les autres données traitées, qui sont nécessaires au routage des ordres de virement, restent transmises, via le réseau sécurisé du groupe Ria, au centre informatique de la société Ria Envia Inc., situé en Californie où sont assurés le traitement automatisé de l’ordre et son re-routage vers le pays de destination de l’ordre, chez le correspondant désigné par le client lors de la saisie de l’ordre de transfert.
La Commission considère que les transferts à l’étranger de données à caractère personnel ainsi redéfinis sont adéquats, pertinents et non excessifs au regard des finalités poursuivies.
Les autres caractéristiques du traitement sont inchangées par rapport au traitement initial.
Dans ces conditions, la Commission autorise Ria France SAS à mettre en œuvre le traitement automatisé des ordres de transferts internationaux de fonds.