AgentPublic/cnil huggingface dataset:
La société par actions simplifiée à associé unique ADP Europe a déposé une demande d’autorisation préalablement à la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un processus d’audit interne visant à détecter d’éventuelles fraudes en compléments des outils déjà utilisé dans ce cadre.Afin de mieux maitriser les risques juridiques et financiers qui pèsent sur lui, le groupe ADP souhaite en effet mettre en œuvre un nouveau processus d’audit interne qui consiste à détecter d’éventuelles fraudes grâce à un outil configuré pour extraire et analyser automatiquement des données à caractère personnel. Pour atteindre cet objectif, le groupe ADP, en se fondant sur des mécanismes de fraudes habituellement rencontrés dans le monde des affaires, a défini trois types de scénarios permettant de détecter des fraudes « RH », des faits de corruption ou des fraudes aux achats.Les fraudes « RH » pourront être détectées par l’analyse des augmentations de salaire sur les trois dernières années et  l’analyse des frais professionnels, afin de rechercher des situations anormales telles que des dépenses remboursées deux fois, des dépenses effectuées pendant les week-ends ou encore des dépenses supérieures au plafond autorisé par la politique interne.Les faits présumés de corruption pourront, quant à eux, être détectés par l’analyse des frais professionnels, afin de vérifier si les frais engagés pour des activités avec des
personnalités officielles sont conformes à la politique du groupe, et l’analyse des correspondances entre les noms des fournisseurs et des clients pour vérifier que les conditions commerciales sont conformes aux prix du marché, à la règlementation anti-corruption et au code d’éthique du groupe ADP. La Commission relève à cet égard que certaines de ces vérifications impliquent la mise en œuvre d’une interconnexion de fichier entre un extrait du fichier relatif aux clients de la société ADP Europe, d’une part, et un extrait du fichier relatif à ses fournisseurs, d’autre part.    Enfin, les éventuelles fraudes aux achats pourront être détectées par l’analyse des factures des fournisseurs, l’analyse des montants versés aux fournisseurs ou l’analyse des augmentations des achats par type d’achats sur les trois dernières années,  afin de détecter des situations anormales ou des augmentations inhabituelles.En cas de détection d’une situation potentiellement anormale, le département de l’audit interne, rattaché à la maison mère du groupe ADP située aux USA et composé notamment de trois collaborateurs basés en Europe en charge du contrôle interne des filiales françaises, demandera à accéder aux documents et justificatifs nécessaires pour s’assurer du caractère légitime de l’opération.Lorsque la situation n’aura pu être clarifiée à l’issue de ces premières vérifications, le dossier sera transmis par le département de l’audit interne au département de l’éthique, composé de trois
personnes dépendant du service juridique de la maison mère du groupe ADP et chargées des questions liées à l’éthique des affaires et de répondre aux interrogations des employés relatives aux codes de conduite du groupe, pour qu’une enquête plus poussée soit réalisée par les membres habilités de ce dernier département.  Dans la mesure où le traitement pour lequel la société ADP Europe a sollicité une autorisation implique l’interconnexion de fichiers ayant des finalités principales différentes, d’une part, et qu’il est susceptible de porter sur des données relatives à des infractions pénales, d’autre part, la Commission considère qu’il y a lieu de faire application des dispositions du 3° et du 6° du II de l’article 25 de la loi du 6 janvier 1978 modifiée, qui soumettent à une autorisation de la Commission la mise en œuvre d’un tel traitement. Au regard des éléments ci-dessus reproduits, la Commission considère que la finalité du traitement objet de la présente délibération est déterminée, explicite et légitime.
Sur les données traitées
Les données du présent traitement concernent les employés, les clients et les fournisseurs de la société ADP Europe et sont relatives à :
l’identification des personnes concernées : matricules, noms et prénoms des collaborateurs, noms des fournisseurs et des clients ;
la vie professionnelle : montants, types d’achats, documents et justificatifs relatifs à une relation contractuelle ;
la situation économique et financière : rémunérations annuelles ; numéros de comptes bancaires ; informations relatives à une dépense professionnelle (montant, date, justificatifs, conditions commerciales, approbation interne), informations relatives à une transaction (montant, date, descriptif, numéros de comptes) ;
des infractions pénales. 
La Commission relève que les membres habilités du département de l’audit interne, pour exercer leurs missions, utilisent des documents sur lesquels les noms et les prénoms des collaborateurs de la société ADP Europe sont remplacés par leurs matricules, de façon à ne pas permettre une identification durant la phase d’analyse. Les noms des collaborateurs ne sont utilisés qu’à la suite de la détection d’une situation anormale, si cela apparait utile à l’enquête ou pour expliquer la situation.  
La Commission relève, par ailleurs, que toute situation identifiée comme inhabituelle doit faire l’objet d’une analyse individuelle par un membre du département de l’audit interne.
La Commission considère dès lors que la collecte de données pouvant se rapporter à des infractions pénales, effectuée dans le but de détecter d’éventuelles fraudes au préjudice de la société ADP Europe avant d’engager les actions nécessaires, est légitime et conforme aux dispositions de l’article 9 de la loi du 6 janvier 1978 modifiée tel qu’interprété par le Conseil constitutionnel.
La Commission estime dès lors que les données précédemment listées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie par le responsable de traitement.
Sur les destinataires
Seuls les employés habilités à mener les opérations d’audit précitées ou à gérer les suites données aux constatations issues de ces dernières peuvent accéder aux données du présent traitement, à savoir les membres :
du département de l’audit interne habilités à effectuer les premières vérifications ;
du département de la société ADP Europe concerné par un signalement afin d’apporter leur concours aux premières vérifications (département des ressources humaines pour les scénarios de détection de fraudes RH, département de la comptabilité pour obtenir copie de documents commerciaux, etc.), ainsi que le manager ayant validé l’opération concernée ;
du département de l’éthique pour mener une enquête sur la situation, lorsque les analyses menées par l’audit interne auront préalablement permis de conclure à la pertinence de l’alerte, si nécessaire avec l’aide d’un collaborateur du département approprié de la société ADP Europe, d’un traducteur et d’un membre de l’équipe « Global Security Organization » ;
du service juridique de la société ADP Europe, du service des ressources humaines de la société ADP Europe, du service de la société ADP Europe concerné par la fraude, ainsi que les managers concernés, et ce, pour déterminer et mettre en œuvre les suites à donner (sanction disciplinaire, poursuites judiciaires, résiliation du contrat de fourniture, etc.) ;
du Comité d’éthique du groupe ADP en cas de fraudes particulièrement graves, notamment en cas d’implication d’un haut-dirigeant. 
La Commission relève que le département d’audit est également chargé de faire un rapport d’activité annuel au Comité d’audit du groupe ADP, sous la forme de statistiques générales agrégées rendant impossible l’identification des personnes concernées.
Les données du présent traitement peuvent enfin être transmises à des auxiliaires de justice et à l’autorité judiciaire dans le cadre de la préparation ou de l’exercice d’un recours juridictionnel.
Autorise, conformément à la présente délibération, la société par actions simplifiée à associé unique ADP Europe à mettre en œuvre le traitement susmentionné.
Pour La Présidente
La Vice-Présidente déléguée,
M.-F. MAZARS
(Demande d’autorisation n° 1810524) La Commission nationale de l'informatique et des libertés, Saisie par la société par actions simplifiée ADP France d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la réalisation d’un processus d’audit interne ; Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses article 9 et 25 ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; Vu le dossier et ses compléments ; Sur la proposition de Mme. Marie-France MAZARS, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement, Formule les observations suivantes :
 Responsable du traitement
Le groupe de sociétés ADP, dont la maison mère est située aux Etats-Unis d’Amérique (USA), assure en France des prestations de services dans le domaine de la paie et des ressources humaines. Le groupe ADP emploie en France environ 2.400 employés repartis en trois sociétés (ADP Europe, ADP France et ADP GSI France) et compte près de 12.000 entreprises clientes, ainsi que 1.000 fournisseurs. 
 Sur la finalité
La société par actions simplifiée ADP France a déposé une demande d’autorisation préalablement à la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un processus d’audit interne visant à détecter d’éventuelles fraudes en compléments des outils déjà utilisé dans ce cadre.Afin de mieux maitriser les risques juridiques et financiers qui pèsent sur lui, le groupe ADP souhaite en effet mettre en œuvre un nouveau processus d’audit interne qui consiste à détecter d’éventuelles fraudes grâce à un outil configuré pour extraire et analyser automatiquement des données à caractère personnel. Pour atteindre cet objectif, le groupe ADP, en se fondant sur des mécanismes de fraudes habituellement rencontrés dans le monde des affaires, a défini trois types de scénarios permettant de détecter des fraudes  RH , des faits de corruption ou des fraudes aux achats.Les fraudes  RH  pourront être détectées par l’analyse des augmentations de salaire sur les trois dernières années et  l’analyse des frais professionnels, afin de rechercher des situations anormales telles que des dépenses remboursées deux fois, des dépenses effectuées pendant les week-ends ou encore des dépenses supérieures au plafond autorisé par la politique interne.Les faits présumés de corruption pourront, quant à eux, être détectés par l’analyse des frais professionnels, afin de vérifier si les frais engagés pour des activités avec des personnalités officielles sont
conformes à la politique du groupe, et l’analyse des correspondances entre les noms des fournisseurs et des clients pour vérifier que les conditions commerciales sont conformes aux prix du marché, à la règlementation anti-corruption et au code d’éthique du groupe ADP. La Commission relève à cet égard que certaines de ces vérifications impliquent la mise en œuvre d’une interconnexion de fichier entre un extrait du fichier relatif aux clients de la société ADP France, d’une part, et un extrait du fichier relatif à ses fournisseurs, d’autre part.    Enfin, les éventuelles fraudes aux achats pourront être détectées par l’analyse des factures des fournisseurs, l’analyse des montants versés aux fournisseurs ou l’analyse des augmentations des achats par type d’achats sur les trois dernières années,  afin de détecter des situations anormales ou des augmentations inhabituelles.En cas de détection d’une situation potentiellement anormale, le département de l’audit interne, rattaché à la maison mère du groupe ADP située aux USA et composé notamment de trois collaborateurs basés en Europe en charge du contrôle interne des filiales françaises, demandera à accéder aux documents et justificatifs nécessaires pour s’assurer du caractère légitime de l’opération.Lorsque la situation n’aura pu être clarifiée à l’issue de ces premières vérifications, le dossier sera transmis par le département de l’audit interne au département de l’éthique, composé de trois personnes dépendant du service
juridique de la maison mère du groupe ADP et chargées des questions liées à l’éthique des affaires et de répondre aux interrogations des employés relatives aux codes de conduite du groupe, pour qu’une enquête plus poussée soit réalisée par les membres habilités de ce dernier département.  Dans la mesure où le traitement pour lequel la société ADP France a sollicité une autorisation implique l’interconnexion de fichiers ayant des finalités principales différentes, d’une part, et qu’il est susceptible de porter sur des données relatives à des infractions pénales, d’autre part, la Commission considère qu’il y a lieu de faire application des dispositions du 3° et du 6° du I de l’article 25 de la loi du 6 janvier 1978 modifiée, qui soumettent à une autorisation de la Commission la mise en œuvre d’un tel traitement. Au regard des éléments ci-dessus reproduits, la Commission considère que la finalité du traitement objet de la présente délibération est déterminée, explicite et légitime.
Sur les données traitées
 Les données du présent traitement concernent les employés, les clients et les fournisseurs de la société ADP France et sont relatives à :
l’identification des personnes concernées : matricules, noms et prénoms des collaborateurs, noms des fournisseurs et des clients ; 
la vie professionnelle : montants, types d’achats, documents et justificatifs relatifs à une relation contractuelle ; 
la situation économique et financière : rémunérations annuelles ; numéros de comptes bancaires ; informations relatives à une dépense professionnelle (montant, date, justificatifs, conditions commerciales, approbation interne), informations relatives à une transaction (montant, date, descriptif, numéros de comptes) ; 
des infractions pénales.
La Commission relève que les membres habilités du département de l’audit interne, pour exercer leurs missions, utilisent des documents sur lesquels les noms et les prénoms des collaborateurs de la société ADP France sont remplacés par leurs matricules, de façon à ne pas permettre une identification durant la phase d’analyse. Les noms des collaborateurs ne sont utilisés qu’à la suite de la détection d’une situation anormale, si cela apparait utile à l’enquête ou pour expliquer la situation.   La Commission relève, par ailleurs, que toute situation identifiée comme inhabituelle doit faire l’objet d’une analyse individuelle par un membre du département de l’audit interne. La Commission relève enfin que le traitement soumis à son examen est susceptible de porter sur des données relatives à des infractions pénales. Conformément à la jurisprudence du Conseil d’Etat, la Commission considère en effet que le champ d'application de l’article 25 de la loi Informatique et Libertés couvre non seulement les données relatives aux infractions pénales elles-mêmes, mais également les données qui, en raison des finalités du traitement, ne sont collectées que dans le but d'établir l'existence ou de prévenir la commission d'infractions pénales, y compris par des tiers. S’agissant de la collecte de données relatives à des infractions pénales, la Commission rappelle que les personnes physiques et morales, en application de l'article 9 de la loi du 6 janvier 1978 modifiée et de la décision n°
2004-499 DC du 29 juillet 2004 du Conseil constitutionnel, sont fondées à traiter de telles données en qualité de victime dans le cadre de la préparation et de l’exercice d’un recours juridictionnel. Par une réserve d'interprétation, le Conseil a en effet estimé que la déclaration d'inconstitutionnalité des dispositions du 3° de l'article 9 de la loi du 6 janvier 1978 modifiée ne saurait être interprétée comme privant d'effectivité le droit d'exercer un recours juridictionnel dont dispose toute personne physique ou morale, s'agissant des infractions dont elle a été victime. La Commission considère dès lors que la collecte de données pouvant se rapporter à des infractions pénales, effectuée dans le but de détecter d’éventuelles fraudes au préjudice de la société ADP France avant d’engager les actions nécessaires, est légitime et conforme aux dispositions de l’article 9 de la loi du 6 janvier 1978 modifiée tel qu’interprété par le Conseil constitutionnel. La Commission estime dès lors que les données précédemment listées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie par le responsable de traitement.
Sur les destinataires
 Seuls les employés habilités à mener les opérations d’audit précitées ou à gérer les suites données aux constatations issues de ces dernières peuvent accéder aux données du présent traitement, à savoir les membres :
du département de l’audit interne habilités à effectuer les premières vérifications ; 
du département de la société ADP France concerné par un signalement afin d’apporter leur concours aux premières vérifications (département des ressources humaines pour les scénarios de détection de fraudes RH, département de la comptabilité pour obtenir copie de documents commerciaux, etc.), ainsi que le manager ayant validé l’opération concernée ;  
du département de l’éthique pour mener une enquête sur la situation, lorsque les analyses menées par l’audit interne auront préalablement permis de conclure à la pertinence de l’alerte, si nécessaire avec l’aide d’un collaborateur du département approprié de la société ADP France, d’un traducteur et d’un membre de l’équipe  Global Security Organization  ; 
du service juridique de la société ADP France, du service des ressources humaines de la société ADP France, du service de la société ADP France concerné par la fraude, ainsi que les managers concernés, et ce, pour déterminer et mettre en œuvre les suites à donner (sanction disciplinaire, poursuites judiciaires, résiliation du contrat de fourniture, etc.) ;
du Comité d’éthique du groupe ADP en cas de fraudes particulièrement graves, notamment en cas d’implication d’un haut-dirigeant.  
 La Commission relève que le département d’audit est également chargé de faire un rapport d’activité annuel au Comité d’audit du groupe ADP, sous la forme de statistiques générales agrégées rendant impossible l’identification des personnes concernées. Les données du présent traitement peuvent enfin être transmises à des auxiliaires de justice et à l’autorité judiciaire dans le cadre de la préparation ou de l’exercice d’un recours juridictionnel. La Commission considère que les destinataires précédemment listés ont un intérêt légitime à accéder aux données du présent traitement, sous réserve que les données rendues accessibles présentent un lien direct et nécessaire avec leurs fonctions. 
 Sur l’information et le droit d’accès
Les clients et fournisseurs sont informés, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par l’envoi d’un courrier, qui sera par la suite adapté avant d’être intégré dans les documents contractuels types du groupe ADP, ainsi que par une mention spécifique ajoutée dans les contrats signés avec des cocontractants présentant un risque particulier.Les employés sont quant à eux informés, également conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention dans la rubrique ressources humaines de l’intranet.  Le Comité d’entreprise et le Comité d’hygiène, de sécurité et des conditions de travail ont également été informés.La Commission considère que ces modalités d’information sont satisfaisantes.Elle relève, par ailleurs, qu’une personne concernée par une enquête est informée de l’existence de cette dernière, dès l’enregistrement des données la concernant. Si des mesures conservatoires sont jugées nécessaires, notamment pour prévenir la destruction de preuves, cette information peut néanmoins être délivrée après l’adoption des mesures conservatoires précitées. Les droits d’accès, de rectification et d’opposition pour motif légitime, prévus par les articles 38, 39 et 40 de la loi du 6 janvier 1978 modifiée, s’exercent auprès du département des ressources humaines.La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes.
 Sur les mesures de sécurité
Sur les autres caractéristiques du traitement
 Les données collectées et traitées dans le cadre des opérations d’audit précitées sont conservées jusqu’à la fin du processus d’audit trimestriel suivant, ce qui implique une durée de conservation maximale des données de six mois.Lorsqu’une enquête est engagée à la suite de la détection d’une situation inhabituelle, les données sont conservées jusqu’à la fin de l’enquête. En cas de clôture sans suite de cette dernière, les données sont conservées jusqu’à la fin du processus d’audit trimestriel suivant. Si une procédure disciplinaire ou des poursuites judiciaires sont envisagées, les données sont conservées pendant la durée de la procédure ou jusqu’à la prescription de l’action en justice correspondante et, le cas échéant, supprimées à compter du prononcé de la décision définitive. La Commission considère que les données enregistrées dans le traitement sont conservées pour une durée qui n’excède pas la durée nécessaire à la finalité pour laquelle elles sont collectées et traitées.S’agissant des transferts de données transfrontaliers, la Commission relève que les transferts réalisés vers la maison mère du groupe ADP basée aux USA ont pour finalité la lutte contre la fraude interne. Ils sont encadrés par un contrat rédigé sur le modèle des clauses contractuelles élaborées par la Commission européenne relatives aux transferts de données de responsable de traitement à responsable de traitement.
Autorise, conformément à la présente délibération, la société par actions simplifiée ADP France à mettre en œuvre le traitement susmentionné. Pour La Présidente La Vice-Présidente déléguée, M.-F. MAZARS
(Demande d’autorisation n°1832685)
La Commission nationale de l'informatique et des libertés,
Saisie par la société par actions simplifiée NEXANS France d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dispositif d’alerte professionnelle ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération de la Cnil n° 2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle (AU-004), telle que modifiée le 14 octobre 2010 et le 30 janvier 2014 ; 
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,