(Demande d’autorisation n° 1704639)
La Commission nationale de l'informatique et des libertés,
Saisie par la société ENGIE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la prévention du risque de corruption ;
Vu la convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 7-5° et 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-Hélène MITJAVILE, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société GDF SUEZ désormais dénommée ENGIE.
Sur la finalité
Sur le fondement de l’article 25-I-4 de la loi du 6 janvier 1978 modifiée qui prévoit que sont soumis à autorisation préalable les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire, la Commission a été saisie par la société ENGIE d’une demande d’autorisation relative à un traitement ayant pour finalités la détection et la prévention de la corruption et la maîtrise de la relation commerciale avec les consultants commerciaux. Elle entend ainsi se conformer aux législations anti-corruption américaine et britannique ainsi qu’au code pénal français en matière de corruption.
La Commission considère qu’il y a lieu d’analyser le traitement au regard de l’article 7-5° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements de données à caractère personnel peuvent être mis en œuvre notamment dans l'intérêt légitime du responsable de traitement, dès lors que celui-ci est établi, sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux des personnes concernées.
La société ENGIE se prévaut à l’appui de sa demande d’autorisation des dispositions du « Foreign Corrupt Practices Act » américain (ci-après FCPA) en date du 20 décembre 1977, du « UK Bribery Act », ci-après UKBA et des articles 435-3 et suivants du code pénal français.
Le renforcement des législations européennes et internationales en matière de lutte contre la corruption, en particulier dans le cadre des relations avec des agents publics, conduit des sociétés telles qu’ENGIE à mettre en place un système de détection et de prévention de la corruption. En particulier, la loi britannique « UK Bribery Act » (UKBA) du 8 avril 2010 impose la mise en œuvre de procédures de contrôles préalables (« due diligence ») dans les entreprises multinationales dans le domaine de la lutte contre la corruption. Les sociétés françaises sont soumises à cette législation dès lors qu'elles ont une activité, même partielle, sur le territoire du Royaume-Uni, ou qu'elles sont partenaires de sociétés soumises à l’UKBA.
La société ENGIE (groupe) est soumise aux lois anti-corruption notamment du fait de l’existence de filiales anglaises et américaines du groupe, d’activités directes du groupe sur le territoire britannique, de clauses contractuelles, de demandes de partenaires, banques et investisseurs soumis eux-mêmes à ces dispositions légales.
Afin d’assurer la conformité du groupe à ces dispositions, la société ENGIE a mis en place une politique et des procédures internes encadrant les relations avec les consultants commerciaux et applicables à toutes les sociétés du groupe.
Le consultant commercial désigne toute personne notamment un prestataire de services, un agent, un fournisseur, un sous-traitant qui agit pour le compte d’une société du groupe, en établissant, à minima, des contrats avec des agents publics ou des personnes privées pour le développement, la conclusion, la pérennisation ou la conduite à terme des affaires de la société du groupe.
Le traitement envisagé par la société ENGIE vise à identifier les transactions présentant un risque de corruption, par le biais d’un système reposant sur une évaluation progressive adaptée au risque encouru. La société souhaite vérifier l’intégrité des consultants commerciaux en leur soumettant notamment une demande de renseignements contractuels.
Dans le cadre de la procédure de vérification, l’étendue des vérifications effectuées à l’égard de chaque consultant commercial est graduée au travers d’une approche par les risques.
L’analyse du risque se fait à l’aide des outils suivants :
Le consultant commercial indique notamment s’il a parmi ses parents proches et alliés (conjoint, père et mère,  frères et sœurs ainsi que grands-parents, beaux-parents, petits-enfants, oncles et tantes, cousins, neveux) des personnes politiquement exposées (ci-après « PPE » au sens de l’article R. 561-18 du code monétaire et financier). En fonction de ses réponses et de l’analyse des risques réalisée par l’opérationnel, il est procédé à des vérifications sur les personnes identifiées comme PPE par le consultant commercial, ou les personnes qui de notoriété publique sont PPE afin d’éviter les conflits d’intérêts entre un consultant commercial et un donneur d’ordre, potentiellement générateurs d’actes de corruption.
la liste des Pays et Territoires non coopératifs arrêtée par le GAFI ;
le répertoire interne des consultants commerciaux (répertoire centralisé et tenu à jour par la direction éthique et compliance d’ENGIE) ;
la recherche sur Internet et la consultation des bases de données ;
les entretiens préliminaires éventuels avec le consultant commercial ;
les échanges avec le consultant commercial concernant la demande de renseignements contractuels.
Cette évaluation est menée par l’opérationnel qui doit se faire assister par un conseil juridique. Elle peut être complétée, en fonction du risque identifié, par une deuxième étape dite de « diligence » par laquelle la société ENGIE procède à des vérifications complémentaires approfondies en ayant recours à des sources externes : « agences de diligences », cabinets d’avocats, chambre de commerce. Cette étape se matérialise par la production d’un « rapport de diligence » portant sur les caractéristiques du consultant commercial.
Le consultant commercial indique notamment s’il a parmi ses parents proches et alliés (conjoint, père et mère,  frères et sœurs ainsi que grands-parents, beaux-parents, petits-enfants, oncles et tantes, cousins, neveux) des personnes politiquement exposées (ci-après « PPE » au sens de l’article R. 561-18 du code monétaire et financier). En fonction de ses réponses et de l’analyse des risques réalisée par l’opérationnel, il est procédé à des vérifications sur les personnes identifiées comme PPE par le consultant commercial, ou les personnes qui de notoriété publique sont PPE afin d’éviter les conflits d’intérêts entre un consultant commercial et un donneur d’ordre, potentiellement générateurs d’actes de corruption.
la liste des Pays et Territoires non coopératifs arrêtée par le GAFI ;
le répertoire interne des consultants commerciaux (répertoire centralisé et tenu à jour par la direction éthique et compliance d’ENGIE) ;
la recherche sur Internet et la consultation des bases de données ;
les entretiens préliminaires éventuels avec le consultant commercial ;
les échanges avec le consultant commercial concernant la demande de renseignements contractuels.
Le rapport de diligence du consultant commercial est validé par la direction juridique et/ou la direction générale en fonction de son importance.
A défaut de validation, le recours au consultant est rejeté et le contrat ne sera pas signé.
La société ENGIE a recours à des bases de données informationnelles, notamment celles proposées par des prestataires externes spécialisés dans la gestion des programmes de conformité.
L’accès à ces bases de données est configuré de telle sorte que la société ENGIE ne puisse disposer que des informations spécifiques à la lutte contre la corruption.
La Commission considère que les vérifications portant sur ces bases de données doivent procéder d’une obligation légale et ne doivent porter que sur une catégorie de personnes déterminée au regard du risque encouru conformément au principe de proportionnalité. Elle rappelle qu’aucune décision de refus d’entrée en relation ne peut être prise sur la base des seuls éléments d’information recueillis par le biais de l’outil utilisé, qui devront faire l’objet d’un examen individuel, permettant de lever les cas d’homonymies, après collecte, le cas échéant, d’informations complémentaires.
La Commission considère que sont légitimes les vérifications portant sur les listes des personnes faisant l’objet de sanctions financières ou de mesures de restriction appliquées en France et dans le pays d’établissement de la maison mère et émises par une autorité publique dès lors que la société ENGIE est tenue de les appliquer.
Dans ces conditions, la Commission estime que le traitement répond à l’intérêt légitime du responsable du traitement conformément à l’article 7-5° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Dans le cadre de la procédure de vérification préalable d’intégrité du consultant commercial, les catégories de données collectées sont les suivantes :
Les éléments d’information utilisés par les organismes extérieurs auxquels a recours la société ENGIE procèdent de sources officielles nationales et internationales, des informations issues de la presse, des décisions de justice ou d’autorités publiques.
organisation du consultant commercial : coordonnées complètes du consultant commercial : nom, prénom, date et lieu de naissance, adresse ainsi que celles de ses actionnaires ou éventuels bénéficiaires ultimes et des personnes appartenant à son organisation et qui seraient chargées d’une relation avec l’entité du groupe ENGIE ;
expérience du consultant commercial ;
réputation professionnelle du consultant commercial ;
éthique du consultant commercial : existence de contentieux liés à la corruption.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
Les destinataires de tout ou partie des données collectées dans le cadre des opérations de vérification sont les suivantes : l’opérationnel, le déontologue de branche, les personnes désignées de la branche ou des entités.
Ils sont tenus à des obligations de confidentialité.
La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données traitées.
Sur l’information et le droit d’accès
Les personnes concernées seront informées de la politique menée par la société ENGIE en matière de lutte contre la corruption par une lettre ainsi que par la demande de renseignements contractuels qui leur sont remis et comportent une mention d’information relative aux droits des personnes.
La charte éthique ainsi que le guide des pratiques de l’éthique de la société ENGIE sont mises en ligne sur le site internet afin de permettre aux consultants commerciaux de prendre connaissance de la politique en vigueur au sein du groupe.
Les personnes concernées pourront exercer leurs droits d’accès, de rectification et d’opposition directement auprès de l’opérationnel avec lequel elles sont en relation.
Sur les mesures de sécurité
Des mesures sont prises afin de préserver la sécurité et la confidentialité des données et, notamment, empêcher que des tiers non autorisés y aient accès. Les accès au système d’information et les opérations effectuées sur les supports d’enregistrement des données sont tracés.
Le contrôle d’accès logique des personnes habilitées à accéder à l’application se fait par un mot de passe contenant au moins 8 caractères, dont au moins une lettre majuscule, une lettre minuscule et un chiffre. Les précédents mots de passe ne peuvent être réutilisés. Le mot de passe doit par ailleurs être différent de l’identifiant.
Les mesures de sécurité envisagées n’appellent pas d’observations particulières ; la Commission rappelle toutefois la nécessité d’une mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Après la finalisation de la procédure de vérification, et le cas échéant de la clôture des dossiers comportant un risque particulier, les données sont archivées pendant 10 ans pour pouvoir, le cas échéant, justifier auprès des autorités compétentes des diligences accomplies.
Autorise, conformément à la présente délibération, la société ENGIE à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN