(Demande d’autorisation n° 1625896)
La Commission nationale de l’informatique et des libertés,
Saisie par le Crédit Agricole Corporate and Investment d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude en matière d’opérations bancaires ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-3° et 25-I-4°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le code monétaire et financier et notamment l’article L. 561-2 ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Paul AMOUDRY, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
Le Crédit Agricole Corporate and Investment, ci-dessous désigné le Crédit agricole, est une banque de financement et d’investissement au service d’une clientèle de personnes morales.
Sur la finalité
Le traitement mis en œuvre vise la prévention de la fraude en matière d’opérations bancaires dans le cadre des activités  exercées par CACIB. Il s’agit des activités de financement (financements structurés, financements transactionnels, financements d’acquisitions, etc.), de commerce (financement et sécurisation des opérations de commerce en France et à l’international, crédits moyens et longs termes), de marché et d’investissement (vente de produits de marché, instruments de crédits et dettes, instruments de change et trésorerie, dérivés d’actions, etc.).
Le dispositif envisagé repose sur un outil d’indexation et de recherche par mots clefs permettant de faciliter l’accès à l’équipe de pilotage de prévention de la fraude à l’information déjà disponible dans les systèmes de la banque. En outre, l’outil permet de télécharger les données des bases de données de la banque. Plus précisément, les bases de données concernées sont celles :
- du système de gestion de la connaissance client,
- des référentiels tiers (clients et contreparties),
- et des systèmes de traitement des demandes de crédit et des fichiers d’instruction Swift (Society for Wolrdwide Interbank Financial Telecommunication, réseau interbancaire pour effectuer, notamment, des transferts de compte à compte).
L’outil DT Search vise ainsi à exploiter avec réactivité les alertes émanant des collaborateurs afin de détecter les potentiels cas de fraudes à l’encontre de la banque. Les résultats des recherches sont traités au cas par cas par les collaborateurs de l’équipe de pilotage et de prévention de la fraude.
La Commission estime que ces finalités sont déterminées, explicites et légitimes.
Le système de gestion de la connaissance client permet d’établir et de vérifier l’identité des clients de leurs bénéficiaires pour mettre en place une surveillance proportionnée au « risque client » dans le cadre de la relation d’affaires. Cette surveillance tient compte du type de client, de l’activité, de la situation géographique et des produits ou transactions envisagés, pour donner lieu à un classement des clients selon trois niveaux (faible, standard et élevé). Selon le niveau de risque estimé, le Crédit agricole est soumis à des obligations de vigilance allégées, normales ou renforcées.
Le référentiel tiers est une base de données permettant de référencer les tiers et contreparties de la banque présentant un risque de contrepartie (encours, limites, garants, émetteurs), les contreparties générant des revenus supérieurs à 1500 euros/mois, les entreprises, les institutions financières, les Etats souverains et les personnes physiques.
Les systèmes de traitement des demandes de crédit permettent, d’une part, de présenter au décisionnaire une analyse qualitative du dossier et, d’autre part, de lister l’ensemble des dossiers de demandes de crédits.
Enfin, le fichier d’instruction Swift recense l’émission et la réception des messages financiers sur le réseau Swift.
Le traitement mis en œuvre contient des informations relatives aux incidents touchant le secteur financier ainsi que des alertes des cas de fraudes reçues par les sources internes. Ces éléments permettront ainsi de déterminer si la banque est victime d’une fraude.
Dans l’hypothèse où la banque serait victime d’une fraude commise par une entreprise cliente, le responsable hiérarchique peut, au cas par cas et non pas de manière automatique, prendre des mesures visant à limiter les risques de la banque. Par exemple, il peut décider de réduire les relations contractuelles avec la société fautive ou de mettre un terme à la relation contractuelle.
Ce traitement peut ainsi, du fait de sa nature et de sa finalité, conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition législative ou réglementaire prévoyant une telle exclusion. Dès lors, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.
En cas de fraude avérée d’un salarié, la Direction des Ressources Humaines et la Direction générale de la société prennent les mesures de sanctions adaptées conformément aux dispositions des articles 24 et 25 du règlement intérieur de la banque. En outre, les parties concernées (métier, service juridique, service pilotage de la prévention de la fraude et la direction des ressources humaines pour les cas éventuels de fraude interne) peuvent examiner l’opportunité de déposer plainte. La décision de déposer plainte appartient au service juridique.
Conformément à la décision du Conseil Constitutionnel du 29 juillet 2004, les victimes d’infractions susceptibles de faire valoir leurs droits devant une juridiction peuvent procéder à la collecte des données relatives à ces infractions.
Dans ce contexte, la Commission considère qu’il y a également lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté.
Sur les données traitées
Les catégories de données traitées sont relatives :
- à l’identification des personnes physiques, des ayants droit et des représentants (salarié ou non) des personnes morales : nom, prénom, adresse, photographie, date et lieu de naissance, nationalité ;
- à l’identification des personnes morales : dénominations (sociales et usuelles), adresses (légale et commerciale), identifiants externes (id national, id fiscal, SIREN, ISIN…) ;
- aux informations d’ordre économique et financier : les éléments financiers concernant les personnes morales, les données financières qui concernent les ayants droits économiques des clients et autres tiers en relation avec la banque, la nature de la relation d’affaire envisagée (informations sur le type de produit ou service offert par la banque à la contrepartie) ;
- pour les demandes de crédit : les éléments comptables des sociétés (bilan, compte de résultat, rapports périodiques …).
En cas de détection d’une fraude présumée, les données traitées sont relatives :
- aux éléments matériels pertinents recueillis par l’outil (ex : opération frauduleuse),
- à la nature de la fraude présumée,
- aux éléments permettant d’identifier les auteurs présumés (nom, prénom de(s) la personne(s) physique(s) ou la raison sociale de(s) la personne(s) morale(s)),
- à la date de découverte des faits présumés,
- à la date de transmission du dossier aux services concernés.
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente, adéquate et non excessive au sens de l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les personnes destinataires du traitement sont :
- les membres de l’équipe prévention de la fraude,
- le service juridique et la direction des ressources humaines en cas de mesure disciplinaire ou de dépôt de plainte à l’encontre d’un salarié.
La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients et salariés du Crédit agricole sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention légale sur le site internet de la banque ainsi que dans les conventions de comptes des clients.
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Le responsable de traitement met en place une politique de mots de passe qui exige que ceux-ci aient une longueur minimale de 8 caractères, et qu’ils contiennent 3 types de caractères parmi les chiffres, les minuscules, les majuscules et les caractères spéciaux.
Des mesures de traçabilité permettent de journaliser toutes les requêtes effectuées par les salariés. Ces données sont conservées pendant 3 mois.
Les données traitées ne seront accessibles que sur le réseau interne de l’organisme qui fait l’objet de mesures de filtrage ayant pour but de restreindre  l’émission et la réception des flux réseaux aux machines identifiées et autorisées.
L'accès aux locaux est restreint au moyen de portes verrouillées contrôlées par un moyen d'authentification personnel. Les interventions de maintenance font l'objet d'une traçabilité.
Ces mesures de sécurité n’appellent pas d’observation de la Commission au regard de l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les requêtes effectuées dans l’outil sont conservées pendant 3 mois. Au-delà de cette période, elles sont effacées automatiquement.
La Commission considère que cette durée de conservation est dès lors pertinente au regard de la finalité poursuivie par le traitement.
Les personnes concernées par le traitement sont les clients personnes morales de la banque. Toutefois, certaines  personnes physiques (ex : un chargé d’affaire salarié de la banque, les personnes physiques externes bénéficiaires économiques de client personne morale) peuvent être indirectement visées par le traitement dans la mesure où les bases de données peuvent contenir des informations les concernant au cours d’une recherche par mot clef.
En outre, les noms des salariés, en qualité de responsables commerciaux de la relation avec des entreprises, peuvent figurer dans les bases de données.
La Commission observe qu’aucune décision automatisée n’est prise à l’égard des personnes concernées, conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée.
L’information et la consultation des instances représentatives du personnel avant la mise en œuvre de ce traitement sont réalisées conformément aux dispositions du code du travail.
Le traitement de détection des alertes ne permet pas d’établir de « liste noire » des personnes identifiées comme ayant tenté de commettre une fraude au préjudice du Crédit agricole. Les traitements pouvant faire l’objet de requêtes ne sont pas interconnectés entre eux.
Ces autres caractéristiques du traitement n’appellent pas d’observation.
Autorise, conformément à la présente délibération, le Crédit Agricole Corporate and Investment, à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN