(Demande d’autorisation n°1562050)
La Commission nationale de l’informatique et des libertés,
Saisie par la Caisse d’Epargne de Normandie d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des incivilités et le suivi des dossiers ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-3° et 4°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Paul AMOUDRY, commissaire, et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
La Caisse d’Epargne de Normandie, ci-dessous désignée la Caisse d’épargne.
Sur la finalité
Le traitement mis en œuvre vise la gestion des incivilités commises par les clients à l’encontre des salariés de la Caisse d’épargne ou par les salariés envers les clients. Les incivilités peuvent être des agressions verbales ou physiques. Un suivi de ces dossiers est réalisé afin de garder une trace des incivilités commises avec, notamment, les informations relatives à l’identification de l’auteur, aux témoignages, au dépôt de plainte éventuel, et à la décision prise par l’établissement pour sanctionner l’incivilité. Un suivi statistique de ces incivilités est, en outre, réalisé afin d’identifier les récurrences.
La Commission estime que ces finalités sont déterminées, explicites et légitimes.
Les mesures prises par la Caisse d’épargne sont graduées en fonction du niveau de gravité de l’incivilité. Pour un rappel à l’ordre auprès du client auteur de l’incivilité, un courrier simple lui est adressé par la Caisse d’épargne. Pour les cas plus importants, deux situations sont possibles : soit la Caisse d’épargne dépose une plainte à l’encontre du client, soit le client dépose une plainte à l’encontre du collaborateur auteur de l’incivilité. En cas d’atteinte grave ou récurrente de la part d’un client envers un collaborateur de la Caisse d’épargne, l’établissement peut décider de mettre un terme au contrat du client. Ce traitement peut ainsi, du fait de sa nature et de sa finalité, conduire à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat en l’absence de toutes dispositions légales ou réglementaires prévoyant une telle exclusion. Dès lors, il relève du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée en 2004 et doit, à ce titre, faire l’objet d’une autorisation de la CNIL.
En outre, ce traitement porte sur des données relatives aux infractions. A cet égard, l’article 9 de la loi du 6 janvier 1978 modifiée liste les personnes pouvant mettre en œuvre un traitement de données relatives aux infractions, condamnations et mesures de sûreté.
Conformément à la décision du Conseil Constitutionnel du 29 juillet 2004, seules les victimes d’infractions susceptibles de faire valoir leurs droits devant une juridiction peuvent procéder à la collecte des données relatives à ces infractions.
Dans ce contexte, la Commission considère qu’il y a également lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté.
Sur les données traitées
Les catégories de données traitées sont relatives :
- à l’identité des personnes concernées  : nom, prénom, adresse, date et lieu de naissance, code matricule des collaborateurs, numéro du client dans la base commerciale ;
- aux incivilités : date et lieu, identité de la victime, type d’incivilité (verbale, physique), motif de l’incivilité (refus de prêt, réclamation client refusée, refus d’un remboursement…) et actions menées (mesures d’accompagnement auprès des victimes, poursuites judiciaires, rupture de la relation commerciale …).
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente, adéquate et non excessive au sens de l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les personnes destinataires du traitement sont :
- les chargés de sécurité et leur responsable,
- le responsable hiérarchique du collaborateur victime de l’incivilité, lorsqu’il est décidé de mettre fin à la relation commerciale avec le client de la Caisse d’épargne.
La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la Caisse d’épargne sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par une mention d’information qui figure dans la convention de compte. Les salariés en sont également informés par une mention sur le site Intranet.
La Commission considère que l’information est suffisante au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Les actions effectuées par les chargés de la sécurité sont tracées afin de permettre de détecter et d’analyser tous les accès, modifications et suppressions de données non autorisés.
Seuls les chargés de la sécurité ont accès au fichier des incivilités. Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application avec des profils d’habilitation et un contrôle d’accès logique qui se fait par mot de passe.
Les mesures de sécurité mises en place n’appellent pas d’observation.
Sur les autres caractéristiques du traitement
S’agissant des données relatives aux incivilités pour lesquelles la Caisse d’épargne a engagé des poursuites, elles sont conservées jusqu’à l’épuisement des voies de recours.
Pour tous les autres cas qui ne font pas l’objet de poursuites par la Caisse d’épargne, les données sont conservées un an. La Commission considère que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Ces autres caractéristiques du traitement n’appellent pas d’observation.
Autorise, conformément à la présente délibération, la Caisse d’Epargne de Normandie, à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN