La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la directive 2005/60/CE du Parlement européen et du Conseil du 26 octobre 2005 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux et du financement du terrorisme ;
Vu la directive 2006/70/CE de la Commission du 1er août 2006 portant mesures de mise en œuvre de la directive 2005/60/CE du Parlement européen et du Conseil pour ce qui concerne la définition des « personnes politiquement exposées » et les conditions techniques de l’application d’obligations simplifiées de vigilance à l’égard de la clientèle ainsi que de l’exemption au motif d’une activité financière exercée à titre occasionnel ou à une échelle très limitée ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-I-4° ;
Vu l’ordonnance n° 2009-104 du 30 janvier 2009 relative à la prévention de l’utilisation du système financier aux fins de blanchiment de capitaux et de financement du terrorisme, ratifiée par la loi n° 2009-526 du 12 mai 2009 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978 modifiée par la loi n° 2004-810 du 6 août 2004 ;
Vu le décret n° 2009-1087 du 2 septembre 2009 relatif aux obligations de vigilance et de déclaration pour la prévention de l’utilisation du système financier aux fins de blanchiment de capitaux et de financement du terrorisme ;
Vu l’arrêté du 2 septembre 2009 pris en application de l’article R. 561-12 du code monétaire et financier et définissant des éléments d’information liés à la connaissance du client et de la relation d’affaire aux fins d’évaluation des risques de blanchiment de capitaux et de financement du terrorisme ;
Vu la délibération n° 2005-297 du 1er décembre 2005 portant autorisation unique de certains traitements de données à caractère personnel mis en œuvre dans des organismes financiers au titre de la lutte contre le blanchiment de capitaux et le financement du terrorisme, modifiée par la délibération n° 2007-060 du 25 avril 2007 ;
Vu la demande d’autorisation déposée par La Banque Postale Financement et relative à un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre le blanchiment de capitaux et le financement du terrorisme ;
Sur le rapport de M. Jean-Paul AMOUDRY, commissaire, et les observations de  Mme Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes :
La Banque Postale Financement (LBPF), dont l’activité se rapporte exclusivement au crédit à la consommation, a saisi la CNIL d’une demande d’autorisation relative au traitement automatisé de données à caractère personnel qui est mis en œuvre pour son compte et sous sa responsabilité pour répondre à ses obligations légales en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme.
Les traitements automatisés qui sont utilisés par les organismes financiers dans le cadre de la lutte contre le blanchiment de capitaux et le financement du terrorisme visent notamment à détecter des transactions financières, réalisées par leurs clients, qui sont susceptibles d’être qualifiées d’infraction de blanchiment ou de financement du terrorisme par les autorités compétentes et qui, de ce fait, doivent, le cas échéant après collecte de renseignements complémentaires et analyse manuelle des éléments du dossier, donner lieu à l’envoi d’une déclaration à la cellule de renseignement financier nationale TRACFIN.
L’identification de telles opérations, pour une large part sur la base de critères intégrés dans les traitements automatisés des établissements concernés, peut conduire ces derniers à souhaiter, pour des raisons de prudence, rompre toute relation contractuelle avec certains des clients qui en font l’objet. Ces traitements, peuvent ainsi, du fait de leur portée, conduire à l’exclusion de personnes du bénéfice d’un contrat en l’absence de toute disposition légale prévoyant la mise en œuvre d’une telle exclusion.
Dès lors, ces traitements relèvent du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée et doivent, à ce titre, être autorisés par la CNIL.
Par sa délibération n° 2005-297 du 1er décembre 2005 susvisée, la Commission a autorisé « certains traitements de données à caractère personnel qui sont mis en œuvre dans des organismes financiers au titre de la lutte contre le blanchiment de capitaux et le financement du terrorisme », sous réserve que les finalités de ces traitements, les catégories de données utilisées et leurs destinataires n’excèdent pas le cadre défini par l’autorisation unique AU-003, que ces traitements remplissent également les conditions fixées dans ce texte et que la CNIL ait reçu un engagement de conformité à l’AU003.
Tout projet de traitement automatisé dont les finalités ou les catégories de données ou de destinataires excèdent le cadre de cette autorisation unique ou qui ne respecterait pas les exigences qui y sont définies, doit, en revanche, faire l’objet d’une demande d’autorisation spécifique présentant et expliquant les différences entre le traitement envisagé et l’autorisation unique.
L’analyse des caractéristiques du traitement visé par la présente demande d’autorisation fait apparaître plusieurs différences relatives aux fonctionnalités, à la nature des données et aux destinataires, par rapport à l’autorisation unique AU003 qui, de ce fait, sont soumises à l’examen de la CNIL.
Ces différences résultent de la prise en compte des modifications apportées aux articles L. 561-2 et suivants et R. 561-1 et suivants du code monétaire et financier (CMF) en application des directives 2005/60/CE et  2006/70/CE susvisées.
Le traitement mis en œuvre a pour seule finalité de vérifier si les relations d’affaires de LBPF qui n’ont jamais été en relation avec La Banque Postale, et qui de ce fait ne figurent pas dans sa « base clients », apparaissent sur les listes de mesures de gel des avoirs applicables en France ou si elles doivent faire l’objet de mesures de vigilance complémentaires en tant que personnes politiquement exposées (PPE) – à savoir les personnes résidant dans un autre Etat membre de l'Union européenne ou un pays tiers et qui sont exposées à des risques particuliers en raison de leurs fonctions politiques, juridictionnelles ou administratives qu'elles exercent ou ont exercées pour le compte d'un autre Etat -, membres de leur famille ou personnes connues pour leur être étroitement associées.
Le traitement est réalisé pour le compte de LBPF par La Banque Postale, en qualité de sous-traitant.
La Banque Postale assure les opérations de filtrage vis-à-vis des listes de mesures de gel des avoirs sans conservation de leurs résultats ni des données traitées à cette occasion. Chaque fois que La Banque Postale constate qu’une relation d’affaire de LBPF paraît figurer dans les listes de mesures de gel des avoirs ou de PPE ou assimilées, elle en informe LBPF.
En ce qui concerne les transactions suspendues au vu des listes de mesures de gel des avoirs, celles-ci sont soumises à un examen manuel, le plus souvent après collecte d’informations complémentaires auprès de la personne concernée, en vue d’une levée de la mesure ou d’un rejet définitif de l’ordre par le responsable anti-blanchiment.
La Commission prend acte que le contrôle renforcé mis à la charge de l’établissement en cas de concordance entre l’identité d’une personne et un signalement de l’une des listes d’embargo garantit que les opérations de transfert ne seront définitivement bloquées qu’en présence d’indices sérieux et concordants et que les vérifications, après suspension de l’ordre de transfert, sont effectuées très rapidement, au plus tard dans les 24 à 48 heures.
Elle relève que les personnes ayant déjà fait l’objet d’une suspension d’ordre de virement pour cause d’homonymie feront l’objet d’un signalement spécifique, accessible aux seuls agents chargés de la lutte anti-blanchiment, qui permettra de régler plus rapidement tout nouveau blocage de leurs opérations.
En ce qui concerne les vérifications relatives à la situation de PPE ou assimilée, celles-ci nécessitent d’interconnecter préalablement le fichier des relations d’affaires de LBPF déclarées non-résidents ou ne disposant d’aucune adresse en France ou domiciliées dans une ambassade ou un consulat situé sur le territoire national, avec la liste des personnes qualifiées de PPE ou assimilées, quelle que soit leur nationalité, qui est issue du fichier documentaire international utilisé comme base de référence par la banque.
Le fichier de travail ainsi constitué et transmis à LBPF ne comporte, en conséquence, que des informations relatives à celles des relations d’affaires de LBPF qui sont susceptibles d’être à la fois PPE (ou assimilés) et non résidents.
Il est exploité pour distinguer les cas d’homonymie des personnes qui feront l’objet d’une vigilance renforcée en tant que PPE ou assimilées. Seul le fichier de travail est traité et consulté par LBPF.
La Commission rappelle que toutes précautions doivent être prises, notamment au plan technique, par LBPF et, à sa demande, par ses prestataires, La Banque Postale et la société éditrice de la liste des PPE et assimilées utilisée, pour exclure toute possibilité de consultation d’informations autres que celles qui, d’une part, concernent les personnes relevant de l’une des catégories mentionnées à l’article R. 561-18 du CMF, d’autre part, sont susceptibles d’être collectées en application de l’arrêté du 2 septembre 2009 pris pour l’application de l’article R. 56112 du même code.
La Commission prend acte des engagements de LBPF en ce sens.
Les données traitées sont conformes à l’autorisation unique AU-003, à l’exclusion des informations suivantes, relatives aux personnes politiquement exposées, aux membres directs de leur famille et aux personnes connues pour leur être étroitement associées : identité et motif justifiant, au regard des articles L. 561-10 et R. 561-18 du CMF, l’application des mesures de vigilance complémentaires.
Les données traitées ne sont, sans préjudice des dispositions de l’article L. 561-21 du CMF, accessibles ou transmises qu’aux personnels de LBPF chargés de la lutte anti-blanchiment ainsi que, en tant que de besoin, à la cellule TRACFIN et, pour les alertes résultant de la prise en compte des mesures de gel des avoirs prises dans le cadre de la lutte contre le financement du terrorisme ou des sanctions financières internationales, au bureau compétent de la Direction générale du Trésor et de la politique économique.
Les clients sont informés que, pour répondre à ses obligations légales, le responsable du traitement met en œuvre un traitement de surveillance ayant pour finalité la lutte contre le blanchiment de capitaux et le financement du terrorisme et que le régime de droit d’accès appliqué aux données traitées est conforme à l’article L. 561-45 du CMF.
Les autres aspects des traitements automatisés sont conformes à l’autorisation unique précitée et n’appellent pas d’autres observations de la part de la Commission.
Autorise, dans ces conditions, La Banque Postale Financement à mettre en œuvre ce traitement automatisé ayant pour objet la lutte contre le blanchiment de capitaux et le financement du terrorisme.

