AgentPublic/cnil huggingface dataset:
La Commission appelle l’attention du ministère des Outre-mer sur la nécessité de prendre toute mesure nécessaire à l’information des personnes dans des conditions conformes à l’article 32 de la loi « Informatique et Libertés », par tout moyen à sa disposition.S’agissant des droits d’accès et de rectification, ceux-ci pourront s’exercer auprès des services du haut-commissariat. Ce point n’appelle pas d’observation de la Commission.Le droit d’opposition des personnes au traitement de leurs données à caractère personnel est en outre écarté. Le traitement étant mis en œuvre afin de répondre à l’obligation légale d’inscrire sur la liste électorale spéciale à la consultation tout électeur remplissant les conditions fixées à l’article 218 de la loi organique du 19 mars 1999 modifiée, conformément à l’article 219 de cette même loi organique, cette exclusion est conforme aux dispositions de l’article 38 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
La Commission rappelle qu’il incombe au ministère des Outre-mer de garantir la confidentialité et l’intégrité des données ainsi que leur traçabilité, tout particulièrement au regard des enjeux poursuivis par le dispositif mis en œuvre et des actions susceptibles d’être menées à titre de vérification des travaux accomplis.Le contexte de mise en œuvre de ce traitement exige en effet une gestion stricte des mesures de sécurité, notamment en matière de politique d’habilitation et de traçabilité des actions. Ainsi, les conditions d’échanges de données avec les organismes habilités doivent assurer notamment leur confidentialité ainsi que leur intégrité au moyen de procédés de chiffrement, de calcul et de vérification d’intégrité réputés fiables, quel que soit le mode d’échange retenu (serveur sftp, clef USB, etc.). Les données transmises par les organismes doivent se limiter aux données strictement nécessaires à l’exécution du traitement et la transmission des secrets doit se faire via un canal de communication distinct des données.La Commission observe enfin que le responsable de traitement est chargé, pendant le délai de conservation, de s’assurer que les données nominatives sont conservées « dans des conditions sécurisées ». Compte tenu des éléments à sa disposition, la Commission estime que les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. Elle recommande
néanmoins que les bases de données utilisées et leurs sauvegardes fassent l’objet d’un chiffrement.
Sur les autres caractéristiques du traitement
Les données nominatives issues de ces opérations seront conservées jusqu’à l’expiration d’un délai de six mois à compter de la date de la consultation sur l’accession à la pleine souveraineté. A l’issue de ce délai, elles sont détruites dans des conditions permettant d’assurer la traçabilité de cette opération.Le cas échéant, l’ISEE devra mettre en œuvre des mesures de nature à garantir l’archivage de certaines données à titre probatoire, dans le souci de faire face aux vérifications et éventuelles contestations. Sur ce point et sans préjudice des dispositions applicables relevant du code du patrimoine, la Commission rappelle que l'accès aux données archivées doit se faire selon des modalités spécifiques et que les archives obsolètes doivent être détruites de manière sécurisée.La Commission considère que ces durées de conservation sont conformes aux dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée.
Autorise, conformément à la présente délibération, le ministère des Outre-mer à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président Délégué
Marie-France MAZARS
(Demande d’autorisation n° 1914783)
La Commission nationale de l'informatique et des libertés,
Saisie par la société CAPITAL SAFETY GROUP EMEA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la prévention de la corruption conformément aux législations anti-corruption américaine et britannique ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-4° et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Marie-Hélène MITJAVILE, commissaire, et après avoir entendu les observations de Mme. Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société CAPITAL SAFETY GROUP EMEA est une filiale du groupe 3M.
Le groupe 3M exerce son activité en France autour de plusieurs grands marchés, notamment les secteurs suivants :
Industrie and Transport ;
Protection, Hygiène et Sécurité ;
Signalisation, Communication Graphique et Systèmes pour la Mobilité et l'Interactivité
Electrique, Electronique et Télécommunications ;
Santé ;
Grand Public and Bureaux.
Sur la finalité
La Commission a été saisie par la société CAPITAL SAFETY GROUP EMEA d’une demande d’autorisation sur la base de l’article 25-I-4 de la loi du 6 janvier 1978 modifiée qui prévoit que sont soumis à autorisation préalable les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire.La loi du 20 décembre 1977 « Foreign Corupt Practices Act » (FCPA) et plus récemment la loi britannique « UK Bribery Act » (UKBA) du 8 avril 2010 entrée en vigueur le 1er juillet 2011 ont entraîné l’introduction de pratiques de contrôles préalables dans les grandes entreprises multinationales.La société mère 3M Company, cotée au Dow Jones, est soumise à la FCPA non seulement en ce qui concerne ses propres activités, mais aussi au titre des sociétés non américaines dans le monde entier avec lesquelles elle est affiliée.  Le UKBA a également une application extraterritoriale. Une grande partie de l’activité de 3M en Europe est menée au Royaume-Uni, à travers notamment la société 3M UK, avec laquelle les entités 3M françaises entretiennent des relations étroites.Le renforcement des législations européenne et internationale en matière de lutte contre la corruption, en particulier dans le cadre des relations avec des agents publics ont conduit la société CAPITAL SAFETY GROUP EMEA à mettre en place un système de détection
et de prévention de la corruption. Il s’agit de pouvoir identifier des transactions présentant un risque de corruption via un système reposant sur des questionnaires progressifs adaptés au risque encouru. La société 3M souhaite analyser les relations entretenues par ses clients, apporteurs d’affaires, leaders d'opinion, cocontractants, fournisseurs et autres intervenants avec des personnes exerçant des mandats publics présentant un risque de corruption ou de personnes qui sans exercer de mandat public présentent un risque de corruption.La politique de lutte contre la corruption comprend d’une part, des formations régulières dispensées aux équipes internes et, d’autre part, la mise en place de questionnaires « d’intégrité » à l’attention des futurs partenaires commerciaux de 3M, de manière à pouvoir évaluer leur exposition au risque de corruption.Ainsi, dans un premier temps, le futur partenaire commercial est tenu de remplir un questionnaire de « qualification du risque » destiné à déterminer l’existence de liens avec une personne officielle ( personne dépositaire de l’autorité publique, chargée d’un mission de service public ou investie d’un mandat électif public) de manière à donner à 3M une première vision du risque potentiel de corruption attaché à ce partenaire (niveaux 1 à 3).Aucune décision de refus d’entrée en relation ne sera prise sur la base des éléments inscrits dans ce questionnaire.Si les réponses au premier questionnaire font ressortir un risque de corruption,
en particulier du fait de l’existence d’une relation entre ce partenaire commercial et une personne officielle, d’autres questionnaires plus approfondis sont utilisés de manière à apporter des précisions supplémentaires nécessaires à l’évaluation du risque de corruption (niveaux 4 à 5).Les questionnaires suivent une politique de gradation du risque (de niveaux 1 à 5) selon des critères objectifs afin de limiter les questions au regard du niveau de risque potentiel identifié. Ces questionnaires supplémentaires sont remplis en collaboration entre 3M et l’entité concernée.Dans le cadre d’une évaluation de risque située au niveau « maximum », il pourrait en outre être demandé au contact de la société CAPITAL SAFETY GROUP EMEA du partenaire commercial de remplir un formulaire en ligne spécifique, dit formulaire « Securimate ». Ce formulaire est utilisé par des prestataires (analystes FCPA) de la société mère 3M Company qui sont chargés de vérifier auprès de sources publiques, par exemple les listes du bureau de l’industrie et de la sécurité des Etats-Unis, l’absence d’implication du partenaire commercial dans des actes de corruption.En fonction des réponses aux questionnaires, la société CAPITAL SAFETY GROUP EMEA peut ainsi mettre à jour des points de vigilance particuliers (dits « Red Flags ») à prendre en compte de manière à assurer une protection contre le risque de corruption.La Commission estime que le traitement répond à l’intérêt légitime du responsable du traitement.
Dans le cadre de la procédure de vérification préalable d’intégrité du partenaire commercial, la société CAPITAL SAFETY GROUP EMEA collecte les données suivantes :-donnée d’identification du partenaire commercial et du chargé de compte de la société CAPITAL SAFETY GROUP EMEA ;-date et lieu de naissance ;-nationalité (celle figurant sur le Kbis ou les statuts du partenaire commercial) ;-situation professionnelle ;-liens avec le gouvernement, des organismes publics, des fonctionnaires, un bénéficiaire d’opérations ;-vie économique du client entreprise ;-solvabilité ;-existence d’un embargo.Les partenaires commerciaux de la société sont essentiellement des personnes morales, il peut toutefois s’agir de personnes physiques. En effet, le partenaire commercial, sur lequel portera l’investigation (questionnaire externes de niveaux 4 et 5), peut potentiellement être une entreprise unipersonnelle. Les dirigeants des entités concernées peuvent également être visés lors des investigations.S’agissant des questionnaires « securimate » correspondant à l’identification d’un risque élevé, les données complémentaires suivantes seront collectées :-les membres du directoire, les employés-clés, les principaux contacts professionnels devant intervenir sur le marché ;-la réputation de la société (contentieux lié à la corruption) ;-l’historique et le type de relation de la société CAPITAL SAFETY GROUP EMEA ;-les relations de sa société avec des services officiels ou gouvernementaux.Sur la base de
ces informations, des recherches d’intégrité sont confiées à des prestataires spécialisés de la société mère 3M Company aux USA. La collecte de données personnelles sera limitée aux seules données nécessaires pour permettre l’évaluation du risque de corruption. La mention suivante figure sur les questionnaires avant toute zone à texte :« Notez uniquement les informations objectives et fiables et seulement si c’est nécessaire ; ne notez aucune information relative à des infractions ou condamnations concernant des personnes physiques ».Seuls des liens vers des informations déjà rendues publiques ou des coupures de presse seront inclus dans les rapports afin de permettre de justifier auprès des autorités des investigations menées dans le cadre de la procédure « securimate ». Les données issues des questionnaires et rapports sont conservées dans la base active 90 jours après la finalisation du processus d’évaluation de l’intégrité, et le cas échéant de la clôture des dossiers comportant un risque particulier (« red flags »).Les données seront ensuite archivées pendant 10 ans pour pouvoir justifier des diligences auprès des autorités. Elles ne seront accessibles qu’à la direction conformité groupe aux Etats-Unis.La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
Les opérations seront supervisées par le Directeur Conformité de la société CAPITAL SAFETY GROUP EMEA avec l’aide de son équipe, il assure le déploiement et la bonne application des règles au niveau local qui sont mises en œuvre sous la responsabilité des directeurs de chaque division commerciale en France.Chaque teneur de compte (commercial, acheteur) n’accède qu’aux questionnaires relatifs à son portefeuille.Une cellule spécifique appelée « Compliance Group » composée de personnels spécialisés a été instituée au sein de la maison-mère américaine et est destinataire des données issues des questionnaires. Le transfert est encadré par des clauses contractuelles types élaborées par la Commission européenne. La cellule pilote les opérations de vérification complémentaires mises en œuvre dans le cadre des questionnaires « securimate » ou en cas d’identification d’un risque avéré.Auront également accès aux données, les services conformité des autres entités du groupe pour les seuls partenaires commerciaux communs et pour les seules données relatives aux résultats de l’évaluation d’intégrité. La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données traitées.
Sur l’information et le droit d’accès
La politique 3M de lutte contre la corruption est mise en ligne sur le site internet de la société CAPITAL SAFETY GROUP EMEA afin de permettre aux futures partenaires commerciaux de prendre connaissance de la politique en vigueur au sein du groupe.Les contrats commerciaux concernés comportent un article spécifique qui mentionne l’existence du programme de lutte contre la corruption.Les questionnaires soumis aux partenaires commerciaux comportent une mention d’information relative aux droits des personnes.Un contact et une adresse email dédiés seront mis en place de manière à permettre aux personnes concernées de mettre à jour leurs données, de les corriger ou d’en obtenir une copie.
Sur les mesures de sécurité
Des mesures de sécurité sont prises afin de préserver la sécurité et la confidentialité des données et, notamment, empêcher que des tiers non autorisés y aient accès. Les accès au système d’information et les opérations effectuées sur les supports d’enregistrement des données sont tracées.Les mesures de sécurité envisagées n’appellent pas d’observations particulières.La Commission autorise, conformément à la présente délibération, la société CAPITAL SAFETY GROUP EMEA à mettre en œuvre le traitement susmentionné. 
Autorise, conformément à la présente délibération, la société CAPITAL SAFETY GROUP EMEA à mettre en œuvre le traitement susmentionné.
Pour La Présidente
                                                                           Le Vice-Président Délégué
(Demande d’autorisation n° 1806301)
La Commission nationale de l'informatique et des libertés,
Saisie par ALCATEL-LUCENT INTERNATIONAL d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la prévention de risque de corruption de ses fournisseurs, revendeurs, sous-traitants, cocontractants et partenaires commerciaux;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-4 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme. Marie-Hélène MITJAVILE, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société ALCATEL-LUCENT INTERNATIONAL ci-après ALCATEL-LUCENT est spécialisée dans les réseaux IP,  l’accès très haut débit et le « cloud ». Elle est notamment cotée au New York Stock Exchange.
Sur la finalité
Sur le fondement de l’article 25-I-4 de la loi du 6 janvier 1978 modifiée qui prévoit que sont soumis à autorisation préalable les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire, la Commission a été saisie par la société ALCATEL-LUCENT d’une demande d’autorisation relative à un traitement ayant pour finalité la prévention de la corruption et consistant à mettre en œuvre une procédure de vérifications portant sur les personnes avec lesquelles elle est en relation commerciale. La Commission considère qu’il y a lieu d’analyser le traitement au regard de l’article 7-5° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements de données à caractère personnel peuvent être mis en œuvre notamment dans l'intérêt légitime du responsable de traitement, dès lors que celui-ci est établi, sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux des personnes concernées. La société ALCATEL-LUCENT se prévaut à l’appui de sa demande d’autorisation des dispositions du « Foreign Corrupt Practices Act » américain (ci-après FCPA) en date du 20 décembre 1977, du « UK Bribery Act », ci-après UKBA.Le renforcement des législations européenne et internationale en matière de lutte contre la corruption, en particulier dans le cadre des relations avec des agents publics,
conduisent des sociétés telles que ALCATEL-LUCENT à mettre en place un système de détection et de prévention de la corruption. En particulier, la loi britannique « UK Bribery Act » (UKBA) du 8 avril 2010 impose la mise en œuvre de procédures de contrôles préalables (« due diligence ») dans les entreprises multinationales dans le domaine de la lutte contre la corruption.La société mère ALCATEL-LUCENT est soumise au FCPA UK Bribery Act non seulement en ce qui concerne ses propres activités, mais aussi au titre des sociétés non américaines qui lui sont affiliées. S’agissant de l’UK Bribery Act, les sociétés françaises sont soumises à cette législation dès lors qu'elles ont une activité, même partielle, sur le territoire du Royaume-Uni, ou qu'elles sont partenaires de sociétés soumises à l’UKBA. Une des sociétés affiliées à la société ALCATEL-LUCENT, la société ALCATEL-LUCENT UK Ltd, est immatriculée au Royaume-Uni, et par conséquent, soumise aux dispositions de l’UKBA.Le traitement envisagé par la société ALCATEL-LUCENT vise à identifier les transactions présentant un risque de corruption, par le biais d’un système reposant sur une évaluation progressive adaptée au risque encouru. La société ALCATEL-LUCENT souhaite vérifier l’intégrité de ses revendeurs, sous-traitants, co-contractants, vendeurs, distributeurs, fournisseurs et les prestataires de services.  Le traitement porte essentiellement sur des entités personnes morales et de manière ponctuelle sur une catégorie limitée
de personnes physiques (« hommes clefs »).La société ALCATEL-LUCENT a recours à un prestataire de services. La procédure d’identification des risques liés à la corruption est graduée en fonction du risque détecté. Les éléments d’information utilisés par ce prestataire procèdent de sources officielles nationales et internationales, des informations issues de la presse, des décisions de justice ou d’autorités publiques.L’outil fourni par le prestataire de service est configuré de telle sorte que la société ALCATEL-LUCENT ne puisse disposer que des informations spécifiques à la lutte contre la corruption.Les informations détectées lors de ces opérations de vérification peuvent conduire la société ALCATEL-LUCENT à limiter la relation commerciale à un périmètre donné ou à suspendre la transaction engagée avec les personnes concernées, après consultation des listes des personnes faisant l’objet de sanctions financières ou de mesures de restriction fournies par le prestataire. La Commission considère que les vérifications portant sur ces listes doivent procéder d’une obligation légale et ne doivent porter que sur une catégorie de personnes déterminée au regard du risque encouru conformément au principe de proportionnalité. Elle rappelle qu’aucune décision de refus d’entrée en relation ne peut être prise sur la base des seuls éléments d’information recueillis par le biais de l’outil utilisé, qui devront faire l’objet d’un examen individuel, permettant de lever les cas d’homonymies,
après collecte, le cas échéant, d’informations complémentaires.La Commission considère que sont légitimes, les vérifications portant sur les listes des personnes faisant l’objet de sanctions financières ou de mesures de restriction appliquées en France et dans le pays d’établissement de la maison mère et émises par une autorité publique dès lors que la société ALCATEL-LUCENT est tenue de les appliquer.Dans ces conditions, la Commission estime que le traitement répond à l’intérêt légitime du responsable du traitement conformément à l’article 7-5° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Dans le cadre de la procédure de vérification préalable d’intégrité du partenaire commercial, la société ALCATEL-LUCENT collecte les données suivantes :
Nom et prénom ;
Sexe
nationalité
Date et lieu de naissance (gestion des homonymies) ; 
Situation professionnelle ;
Antériorités dans la relation d’affaire ;
L’existence ou l’absence d’occurrence dans la base de données du prestataire ;
Données de connexion à l’outil de screening.
Le résultat positif ou négatif du screening est partagé au sein du groupe.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
Les opérations de vérification réalisées en France seront supervisées par les seules personnes habilitées du service Red Flag Group de la société ALCATEL-LUCENT UK située à Londres.La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données traitées.
Sur l’information et le droit d’accès 
Les personnes concernées seront informées de la politique menée par ALCATEL-LUCENT en matière de lutte contre la corruption via une mention figurant sur son site internet.Les personnes concernées pourront exercer leurs droits d’accès, de rectification et d’opposition auprès de la société  de la société ALCATEL-LUCENT INTERNATIONAL, 148/152 route de la reine, 92100 Boulogne-Billancourt.
Sur les mesures de sécurité