(Demande d’autorisation n° 1957182)
La Commission nationale de l'informatique et des libertés,
Saisie par BNP PARIBAS SA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la recherche des titulaires décédés d’un compte sur lequel sont inscrits les dépôts et avoirs au titre de produits d’épargne salariale par la consultation des données du RNIPP avec l’utilisation du NIR dans le cadre de la tenue des livrets des salariés;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code du travail, notamment son article L.3341-7 ;
Vu le code monétaire et financier, notamment ses articles L.312.20.I.2°,  L.312.20.III.2°, L.312.20.IV, R.310.20.I, R.312.20.II et R.312-19.I ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.6° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n°2014-096 du 9 décembre 2004 décidant la dispense de déclaration des traitements de gestion des rémunérations mis en œuvre par l'Etat, les collectivités locales, les établissements publics et les personnes morales de droit privé gérant un service public ;
Vu la délibération n°2014-097 du 9 décembre 2004 décidant la dispense de déclaration des traitements de gestion des rémunérations mis en oeuvre par les personnes morales de droit privé autres que celles gérant un service public ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
BNP PARIBAS SA, établissement teneur de compte conservateur, chargé de la tenue de comptes des actifs financiers.
Sur la finalité
Le traitement envisagé vise à permettre à BNP Paribas SA en sa qualité de Teneur de Compte Conservateur (TCC) :
de traiter le numéro de sécurité sociale de ses clients titulaires d’un compte d’épargne salariale et ce conformément aux dispositions de l’article L 3341-7 du code du travail, à savoir uniquement dans le cadre de la tenue des livrets des salariés à l’exclusion de toute autre utilisation.
de rechercher les titulaires décédés d’un compte ouvert chez BNP Paribas SA sur lequel sont inscrits des dépôts et avoirs au titre de produits d’épargne salariale par la consultation du répertoire national d’identification des personnes physiques (RNIPP) sur la base du numéro de sécurité sociale des titulaires lorsqu'il figure sur les relevés de compte individuels.
Le traitement concerne la collecte du NIR des titulaires d’un compte d’épargne salariale. Dès lors, il est soumis à autorisation de la Commission, en application des dispositions du 6° du I de l’article 25 de la loi du 6 janvier 1978 modifiée.
de traiter le numéro de sécurité sociale de ses clients titulaires d’un compte d’épargne salariale et ce conformément aux dispositions de l’article L 3341-7 du code du travail, à savoir uniquement dans le cadre de la tenue des livrets des salariés à l’exclusion de toute autre utilisation.
de rechercher les titulaires décédés d’un compte ouvert chez BNP Paribas SA sur lequel sont inscrits des dépôts et avoirs au titre de produits d’épargne salariale par la consultation du répertoire national d’identification des personnes physiques (RNIPP) sur la base du numéro de sécurité sociale des titulaires lorsqu'il figure sur les relevés de compte individuels.
Sur les données traitées
Les données pouvant être collectées pour la tenue des livrets des comptes d’épargne salariale et pour la recherche des titulaires décédés de ces comptes sont :
- d’une part, le numéro de sécurité sociale des titulaires d’un compte d’épargne salariale qui sera la référence pour la tenue du livret salarié et pourra figurer sur les relevés de compte individuels et l'état récapitulatif ;
- et d’autre d’une part, les données d’identification : nom, prénom, date et lieu de naissance, date et lieu de décès et numéro d’acte de décès ;
La Commission considère que ces données sont adéquates, pertinentes et non excessives par rapport à la finalité du traitement.
Sur les durées de conservation
La durée de conservation des données est de 27 ans suivant la date de dépôt à la Caisse des Dépôts et Consignations (CDC) conformément aux dispositions légales.
Sur les destinataires
Peuvent seuls dans la limite de leur attributions respectives, avoir accès aux données à caractère personnel dans le cadre de la mise en œuvre du traitement :
- les personnes habilitées de BNP Paribas SA Métier Epargne et retraite Entreprises,
- les personnes habilitées des entités en charge de la gestion des comptes.
Le service de restitution des avoirs en déshérence de la direction des services bancaires de la CDC sera en charge de la réception des fichiers informatiques envoyés via le site internet de la CDC conformément aux dispositions de l’article R. 312-20. II  du code monétaire et financier.
La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès
Le service chargé de répondre aux demandes de droit d’accès est le Métier Epargne et retraite Entreprises BNP PARIBAS : TSA 80007 – 93736 Bobigny Cedex 09.
Sur les mesures de sécurité
S’agissant de la sécurité, la Commission retient notamment la mise en place d’une architecture d’échange sécurisée incluant notamment l’authentification des personnes dument habilitées et des plateformes intervenants dans le cadre des échanges de données.
Cette architecture dédiée au traitement projeté met en œuvre un chiffrement des flux et des données transmises, à l’aide de solutions de chiffrement conformément à l’état de l’art.
La Commission prend note de la mise en œuvre de mécanismes automatisés permettant de s’assurer de la suppression des données traitées une fois les actions réalisées, et ce, afin d’éviter toute divulgation ultérieure de celle-ci.
En complément des éléments déjà cités, la Commission retient la signature de clauses de confidentialité par les personnels en charge de ces traitements et la mise en œuvre de solutions permettant d’assurer l’intégrité et la confidentialité des données, tant du point de vue des processus organisationnels mis en œuvre que des solutions techniques déployées.
Cette architecture est organisée de manière dédiée et cloisonnée pour chacun des TCC. Un niveau de traçabilité adéquat des actions réalisées pendant le cycle de vie de la donnée est également pris en compte.
On notera enfin que la remontée d’informations auprès de la CDC se fait au travers de flux chiffrés après une authentification forte des déposants dument habilités à l’aide d’un support physique générant un mot de passe à usage unique et dont la durée d’utilisation est limitée dans le temps.
Ce traitement intègre également des processus techniques permettant d’assurer l’intégrité des fichiers échangés.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Autorise, conformément à la présente délibération, BNP PARIBAS SA à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN