(Demande d’autorisation n° 1760124)
La Commission nationale de l'informatique et des libertés,
Saisie par la Haut Conseil du Commissariat aux Comptes d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion et le suivi des mesures et sanctions disciplinaires prononcées à l’encontre des commissaires aux comptes ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de commerce, notamment ses articles L.821-1 alinéa 8, L.822-7 alinéa 3, R.821-12 alinéa 2, R.822-46, R822-47 alinéas 1 et 6, R.822-50 et R.822-52 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9.3° 25.I.3°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Haut Conseil du Commissariat aux Comptes (H3C).
Sur la finalité
La finalité du traitement est d’assurer :
Dans ce contexte, la Commission considère qu’il y a lieu de faire application des articles 25-I-3° et 9-3°de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté.
la gestion des mesures disciplinaires et notamment le suivi des dossiers d’appel à l’égard des commissaires aux comptes ;
le suivi des sanctions disciplinaires prononcées en première instance et en appel à l’égard des commissaires aux comptes.
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes.
Sur les données traitées
Les données faisant l’objet d’un traitement sont les suivantes :
- les données d’identification des commissaires aux comptes et des avocats et/ou experts intervenants à la procédure (nom, prénom, adresse) ;
- les données relatives à la situation professionnelle (fonction exercée, adresse et numéro de téléphone professionnel) ;
- les données relatives aux condamnations (nature de la sanction, durée, juridiction à l’origine de la sanction, et les pièces de procédures dans le cadre de la phase d’appel).
Les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont :
- les parties à la procédure et leurs représentants,
- le personnel habilité du service en charge de la gestion et du suivi des dossiers ;
- la direction du H3C.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées du traitement de gestion et de suivi des mesures disciplinaires par une mention sur le site internet du H3C.
Les droits d’accès et de rectification, tels que reconnus par la loi du 6 janvier 1978 modifiée, s’exerceront auprès du H3C par courrier adressé au correspondant informatique et liberté à l’adresse suivante : 10, rue Auber 75009 Paris ou par courriel (cil@h3c.org). Enfin, les personnes, conformément à l’article 32 de la loi précitée, auront la possibilité d’exercer leur droit d’opposition, pour motif légitime, au traitement de leurs données à caractère personnel auprès des services exposés ci avant.
Ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
La Commission relève que l’authentification des utilisateurs est assurée au moyen de mots de passe renouvelés toutes les 6 semaines. La Commission rappelle que les mots de passe doivent être suffisamment complexes, à savoir qu’ils doivent comporter au moins trois caractères différents (minuscules, majuscules, chiffres ou caractères spéciaux) et être d’une taille minimum de huit caractères pour les utilisateurs et de dix caractères pour les administrateurs en charge de la gestion des habilitations des utilisateurs.
Par ailleurs, la Commission rappelle l’obligation d’assurer la confidentialité des transmissions et du stockage des données.
La Commission relève qu’une fonctionnalité de journalisation des opérations de consultation, création, mise à jour et suppression a été définie, mais rappelle la nécessité de prévoir une durée de conservation de ces traces.
Sous réserve des observations de la Commission, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données traitées seront conservées pendant 10 ans ce qui correspond au délai de prescription de l’action disciplinaire.
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, le Haut Conseil du Commissariat aux Comptes à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN