CNIL, 25 juin 2015, 2015-207

(Demande d'autorisation n° 1820992) La Commission nationale de l'informatique et des libertés,

Saisie par

BARCLAYS BANK PLC d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte conter la fraude interne des salariés ;

Vu

la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25.I.4° ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le dossier et ses compléments ; Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,

Formule les observations suivantes

: Responsable du traitement BARCLAYS BANK PLC, succursale française de la société mère BARCLAYS BANK PLC (UK) située au Royaume-Unis. Sur la finalité Le dispositif envisagé est un outil commun au niveau du groupe BARCLAYS garantissant une harmonisation des règles et procédures des traitements de lutte contre la fraude interne. Le système ne peut pas être modifié par l'établissement bancaire adhérant au dispositif. Le système fonctionne sur la base de requêtes permettant la détection des fraudes à partir d'une liste de critères, préalablement déterminés par l'établissement en fonction de certains paramètres et seuils. Cette liste met en exergue les alertes portant sur les opérations réalisées sur les comptes de l'ensemble des clients de BARCLAYS BANK PLC. Les alertes sont déclenchées sur la base des opérations financières ou administratives réalisées par le collaborateur sur le compte bancaire des clients. Les mouvements atypiques opérés par le personnel de la banque ayant accès aux comptes bancaires des clients génèrent des alertes. Ces alertes sont analysées par les personnes en charge de la lutte contre la fraude interne et la cellule investigation si nécessaire. Ainsi, conformément aux dispositions de l'article 10 de la loi du 6 janvier 1978 modifiée, chaque alerte fait l'objet d'une analyse spécifique et au cas par cas afin d'évaluer sa pertinence et de procéder à des investigations supplémentaires. La Commission relève qu'il n'existe pas d'analyse systématique de l'ensemble des données du compte bancaire des clients. L'analyse porte uniquement sur une opération bancaire réalisée par le personnel de la banque sur le compte d'un client, qui aura été détectée par le dispositif comme étant une opération atypique. Les requêtes présentent un certain nombre de garanties : l'analyse du système porte uniquement sur des opérations bancaires et non sur des comportements ou profils d'individus ; les opérations bancaires anormales sont détectées via un système de requêtes basées sur des critères de recherche issus de scénarii de fraude connus ; seules les opérations anormales/atypiques font l'objet d'une alerte ; aucune requête n'utilise de données qui ne seraient pas utiles à la détection ou à l'analyse ; aucune requête n'utilise de donnée sensible, biométrique, génétique, d'infraction, de condamnation, de mesure de sûreté ni le numéro de sécurité sociale, ou d'appréciation sur les difficultés sociales des personnes ; les données utilisées pour les requêtes servent soit à la sélection des alertes, soit à leur analyse par la cellule investigation du service fraude pour qualification ; aucune décision n'est prise à l'égard d'un employé sur la seule base d'une alerte ; les services ayant accès aux données du système sont limités et définis eu égard à leur rôle dans la lutte contre la fraude interne ; le traitement ne permet pas d'alimenter une liste noire de personnes suspectées d'avoir commis ou tenté de commettre une fraude. La Commission estime que les finalités poursuivies sont déterminées, explicites et légitimes, conformément aux dispositions de l'article 6-2° de la loi du 6 janvier 1978 modifiée. En cas de fraude avérée d'un collaborateur, la Direction des ressources humaines de la banque peut décider de prendre des mesures disciplinaires à l'encontre du salarié et notamment la rupture de son contrat de travail. Dans la mesure où ce traitement est susceptible d'exclure des personnes du bénéfice d'un contrat, la Commission considère qu'il y a lieu de faire application des dispositions de l'article 25.I.4° de la loi du 6 janvier 1978 modifiée. Outre les mesures de sanctions pouvant être initiées par les Directions compétentes, la banque peut déposer plainte à l'encontre du salarié mis en cause. Sur les données traitées Le processus de détection de la fraude repose sur les données issues des systèmes d'information au moyen de requêtes portant sur les données suivantes : données d'identification du client : numéro du client, nom, prénom, date de naissance, adresse e-mail, numéro de téléphone (fixe et mobile), indicateur si le client a quitté la banque, statut juridique, segment de clientèle, top décédé (oui/non), date de décès, Type de domiciliation relevé, fréquence envoi relevé, top absence relevé, date entrée en relation, Top procuration (oui/non), lien interpersonne, nombre de personnes dans la relation bancaire (RB), nombre de comptes dans la RB, existence de mandats ; données d'identification du mandataire : numéro de personne, Top (Oui/Non) si le mandataire est le gestionnaire ; données de compte : numéro de compte, type de compte, solde, solde avant clôture, solde avant opération, produit ; données relatives au collaborateur gestionnaire : nom, prénom, identifiant, adresse du collaborateur en tant que client de la banque, numéro d'agence, numéro de téléphone (fixe, mobile pro ou personnel), adresse e-mail (pro et personnelle si disponible), numéro du compte bancaire sur lequel la paie est versée, date de début en fin du contrat, fonction, poste ; données relatives à la contrepartie : EDS (élément de structure-domiciliation client / collaborateur), numéro de compte, type de compte ; données relatives au collaborateur qui réalise les opérations : dernière opération, nom, prénom, EDS ; données relatives aux opérations sur données administratives : date de dernière modification, heure de l'opération, date de 1ère modification, valeur avant et après, élément modifié, date de saisie du décès, nombre de jours entre date de décès et date de saisie ; données relatives aux mouvements financiers : date de l'opération, date de dernière opération, date du dernier mouvement, heure de l'opération, nature de l'opération, sens de l'opération, numéro unique d'opération, demande produit (acceptée/refusée), date de la demande, date de création/fermeture du compte, mode de paiement, montant de l'opération, libellé de l'opération, date d'ouverture du compte support du prêt, numéro de contrat, type de contrat, top actif / segmentation commerciale, top inactif / segmentation commerciale. La Commission considère que ces données sont pertinentes au regard des finalités poursuivies. Sur les destinataires Seuls les utilisateurs suivants peuvent accéder à l'outil : la cellule investigation du service fraude interne dispose d'un accès limité aux alertes générées par le système pour l'établissement bancaire ; la Direction des Ressources Humaines et la Direction Juridique ont seulement accès au rapport final d'investigation rédigé par la cellule investigation en cas de fraude avérée du salarié ; la Direction générale dispose d'un accès direct au dossier d'investigation alors que la direction du service fraude, le service d'audit interne et les supérieurs hiérarchiques de la cellule investigation, peuvent accéder au dossier papier sur demande du fait de leur fonction ; la direction juridique et le service informatique peuvent être ponctuellement impliqués, sur sollicitation de la cellule investigation, pour collecter des informations ou mettre en œuvre des actions de traitement. La cellule investigation leur communique uniquement les informations utiles à leur action ; l'administration du système est gérée par le service de lutte contre la fraude interne Fraud Analytics de la banque Barclays Bank PLC située au Royaume-Uni ; la cellule investigation adresse un reporting au service investigation de la société mère Barclays Bank PLC (UK) ; la cellule investigation adresse un reporting à l'équipe Fraud Analytics sur la performance des critères d'alerte sur la base des résultats des investigations. La Commission observe qu'il existe un engagement de confidentialité rappelé dans le règlement intérieur et dans le contrat de travail des services concernés. Les personnes concernées par un cas avéré de fraude ou par un manquement interne, ont connaissance des faits qui leurs sont reprochés au cours d'un entretien contradictoire avec la direction des ressources humaines. Elles disposent d'un droit d'accès au rapport final qui les concerne qu'ils peuvent exercer auprès du service des Ressources humaines. L'équipe Fraud Analytics tient une liste nominative des personnes ci-dessus habilitées à accéder à l'outil. La liste de ces destinataires n'appelle pas d'observation particulière. Sur l'information et le droit d'accès Conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée, les clients de la banque BARCLAYS BANK PLC sont informés de la mise en œuvre du traitement par une mention qui figure sur la convention de compte. Les salariés sont informés par une mention d'information sur l'intranet RH. Dès lors qu'une enquête sera ouverte à l'encontre d'un collaborateur et lorsque l'établissement aura des présomptions fortes et des éléments factuels de fraude ou du manquement de ce dernier, ce salarié sera informé dans le cadre de l'entretien d'investigation. La Commission relève que le dossier du collaborateur ne comportera aucune information sur l'enquête diligentée à son encontre en l'absence de fraude avérée. Une présentation du dispositif a été réalisée auprès des comités exécutifs au sein des établissements ainsi qu'aux Directoires. Les instances représentatives du personnel seront informées du traitement de lutte contre la fraude lors d'une présentation aux comités d'entreprise des établissements. Le droit d'accès s'exerce auprès du service BARCLAYS SERVICES par courrier à l'adresse suivante : 183, avenue Daumesnil 75012 Paris ou par courriel à [email protected] Sur les mesures de sécurité Chaque utilisateur dispose d'un identifiant personnel. Les mots de passe sont obligatoirement changés après leur réinitialisation. Le responsable de traitement a mis en place une politique de gestion des mots de passe qui exige que ceux-ci aient une longueur minimale de huit caractères et qu'ils contiennent au moins trois types de caractères parmi les suivants : un chiffre, une minuscule, une majuscule, un caractère spécial. Il existe des profils d'habilitations pour gérer les accès aux données. Les postes de travail disposent d'un pare-feu logiciel et d'un logiciel antivirus mis à jour régulièrement. Les mises à jour logiciels sont installées de manière régulière. Des sauvegardes quotidiennes sont réalisées. Le transfert des sauvegardes est sécurisé. Les sauvegardes sont stockées dans un endroit garantissant leur sécurité et leur disponibilité. Les interventions de maintenance font l'objet d'une traçabilité. Les données transmises entre les différents services sont préalablement chiffrées. Le matériel remisé est nettoyé de toute donnée à caractère personnel. Il existe une journalisation des opérations de consultation, de création et de modification du traitement. L'accès aux locaux est restreint par des portes verrouillées contrôlées par un moyen d'authentification personnel. Sur les autres caractéristiques du traitement Le Groupe Barclays a développé son propre système qui lui permet de procéder à l'extraction des données personnelles nécessaires à la lutte contre la fraude interne sans recourir à un éditeur externe. Les opérations d'extraction sont réalisées par le service informatique situé en France. L'outil tient compte des données personnelles suivantes : les données relatives aux opérations sur les comptes bancaires des clients et ; les données d'identification des employés à l'origine de telles opérations lorsqu'elles s'avèrent anormales. l'application de gestion des comptes clients contient les informations relatives aux opérations sur comptes bancaires et ; les applications de gestion des ressources humaines contiennent les données d'identification des employés gestionnaires de ces comptes. Or, ces deux catégories de données se trouvent dans des applications aux finalités différentes : les données relatives aux opérations sur les comptes bancaires des clients et ; les données d'identification des employés à l'origine de telles opérations lorsqu'elles s'avèrent anormales. l'application de gestion des comptes clients contient les informations relatives aux opérations sur comptes bancaires et ; les applications de gestion des ressources humaines contiennent les données d'identification des employés gestionnaires de ces comptes. La Commission relève qu'il existe une interconnexion de fichiers aux finalités différentes. En effet, le traitement permet de détecter les opérations frauduleuses réalisées par les salariés et portant sur les comptes des clients. Par exemple, lorsque le salarié remplace les coordonnées des clients avec ses coordonnées personnelles pour recevoir les communications destinées au client et tenter de masquer la fraude. Elle observe que les données personnelles concernées sont proportionnées et pertinentes au regard de la finalité de lutte contre la fraude interne. La Commission constate que la société mère Barclays Bank PLC, se situe au Royaume-Uni. L'équipe Fraud analytics de cette société est en charge de l'administration et du développement du système informatique, tandis que la cellule investigation BARCLAYS BANK PLC est en charge du paramétrage et de la mise à jour des critères d'alertes.

Autorise, conformément à la présente délibération

, BARCLAYS BANK PLC à mettre en œuvre le traitement susmentionné. La Présidente I. FALQUE-PIERROTIN