La Commission nationale de l'informatique et des libertés,
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-6° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu l’ordonnance n° 67-693 du 17 août 1967 relative à l’épargne salariale ;
Vu le décret n° 67-1112 du 19 décembre 1967 fixant les conditions d’application de l’ordonnance n° 67-393 du 17 août 1967 relative à l’épargne salariale, notamment son article 14 ;
Vu le Code du travail, notamment son article L. 3341-7 ;
Après avoir entendu M. Emmanuel de GIVRY, commissaire en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés est saisie par la société BTP Gestion SA d’une demande d’autorisation, relative à la mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité la gestion d’avoirs d’épargne salariale en déshérence non prescrits afin de les restituer à leurs bénéficiaires ou ayants droit, en application de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée.
Le décret n° 67-1112 du 19 décembre 1967 fixe les conditions d’application de l’ordonnance n° 67-393 du 17 août 1967 relative à l’épargne salariale. L’article 14 de ce décret dispose :
« Lorsque […] un salarié qui a quitté l’entreprise […] ne peut être atteint à la dernière adresse indiquée par lui, les sommes et droits auxquels il peut prétendre sont tenus à sa disposition par l’entreprise pendant une durée d’un an […]. Passé ce temps, ils sont remis à la Caisse des dépôts et des consignations où l’intéressé peut les réclamer jusqu’au terme de la prescription. »
L’article L. 3341-7 du Code du travail, dans sa rédaction issue de l’ordonnance n° 2007-329 du 13 mars 2007, prévoit que le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (NIR) est la référence pour la tenue des livrets d’épargne salariale. Le NIR peut ainsi figurer sur les relevés de compte individuels et l’état récapitulatif des sommes dues aux salariés au titre de l’épargne salariale.
La Caisse des dépôts et des consignations (CDC) est ainsi fondée à traiter le NIR dans le cadre de la gestion des avoirs d’épargne salariale en déshérence non prescrits dont elle est légalement chargée.
Par convention en date du 20 mai 1999, modifiée par avenant le 7 décembre 2005, la CDC et la société BTP Gestion SA ont convenu, notamment, que cette dernière assurera les retraits des sommes en déshérence confiées à la CDC et assumera la charge administrative correspondante.
Il ressort de l’analyse de cette convention et des autres éléments du dossier que la société BTP Gestion SA doit être qualifiée de responsable de traitement dans le cadre de cette prestation, puisqu’elle se présente sous son nom propre aux personnes concernées, ne reçoit pas d’instructions précises de la CDC, réalise sa prestation sans contrôle de cette dernière et, enfin, est libre de déterminer les moyens permettant de réaliser sa prestation.
Les droits d’accès et de rectification s’exercent auprès de la société BTP Retraite, en sa qualité de service chargé de la mise en œuvre du traitement (7 rue du regard, 75294 Paris Cedex 06).
Les données à caractère personnel traitées sont :
des données d’identification ;
des données relatives à la vie professionnelle ;
des données relatives à des informations d’ordre économique et financier ;
les NIR des bénéficiaires d’avoirs d’épargne salariale en déshérence non prescrits.
La Commission nationale de l’informatique et des libertés relève que la société BTP Gestion SA utilisera les NIR qui lui sont remis, à l’issue de la phase de recherche des bénéficiaires d’avoirs d’épargne salariale en déshérence non prescrits, uniquement pour s’assurer de l’identité d’un créancier présumé par comparaison entre le NIR de ce dernier et celui dont elle dispose.
Par ailleurs, la Commission observe que la société BTP Gestion SA s’est engagée à ne pas conserver les NIR qui lui ont été confiés au-delà de l’année 2017.
Enfin, la Commission prend acte que les NIR font l’objet de mesures de sécurité renforcées.
Les destinataires des informations sont, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les personnels habilités de la société BTP Gestion SA et de la CDC, d’une part, ainsi que deux commissaires aux comptes de la société BTP Gestion SA, d’autre part.
Dans ces conditions, la Commission autorise la société BTP Gestion SA à mettre en œuvre le traitement de données à caractère personnel précédemment étudié.
La Présidente,
Isabelle FALQUE-PIERROTIN