(Demande d’autorisation n° 1600250)
La Commission nationale de l’informatique et des libertés,
Saisie par la société AIRBUS SAS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion d’une main-courante d’incidents de sécurité et la gestion du pré-contentieux et du contentieux,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9 et 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :
Sur le responsable du traitement
Le responsable de traitement est la société AIRBUS SAS, filiale du groupe EADS.
Sur la finalité
Les finalités du présent traitement sont :
La Commission estime que les finalités poursuivies sont déterminées, explicites et légitimes.
la gestion d’une main-courante d’incidents de sécurité survenus au sein de la société ;
la gestion du précontentieux et du contentieux relatifs aux infractions commises dans l’enceinte de la société ;
la gestion d’une source documentaire (informations/consignes à respecter par les officiers de sécurité/sûreté).
Par ailleurs, la Commission considère qu’il y a lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté.
Sur les données traitées
Les données collectées sont relatives :
Dans sa décision du 29 juillet 2004, le Conseil Constitutionnel a déclaré non conforme à la Constitution l’article 9-3° qui permettait à une personne morale de droit privé, mandatée par d’autres personnes morales estimant avoir été victimes ou être susceptibles d’être victimes d’agissements passibles de sanctions pénales, de rassembler des données portant sur des infractions, condamnations ou mesures de sûreté, au motif de son caractère trop général et du manque de précision sur les garanties devant encadrer ce type de traitement. Pour autant, le Conseil Constitutionnel a précisé que cette annulation ne saurait être interprétée comme « privant d’effectivité le droit d’exercer un recours juridictionnel dont dispose toute personne physique ou morale s’agissant des infractions dont elle a été victime ».
à l’identification :
des personnes impliquées : nom, prénom, adresse, date et lieu de naissance, numéro, nature, date et organisme de délivrance de la pièce d’identité (facultatif), nom, adresse et titre des représentants légaux des mineurs le cas échéant ;
des officiers de sécurité concernés : nom, prénom, matricule, signature ;
des témoins : identification et témoignages ;
aux incidents constatés : description, localisation, date et heure ;
aux suites données aux incidents : saisine du Parquet, classement sans suite, poursuites, condamnation.
Cette réserve d’interprétation était indispensable pour ne pas priver de base légale les traitements légitimement mis en œuvre pour assurer le suivi des dossiers contentieux relatifs à des infractions. Elle permet à toute personne de constituer, pour les besoins de l’exercice de son droit au recours, des fichiers de pré-contentieux.
En outre, les zones de commentaires libres ne portent que sur des actes et des faits objectifs et ne font apparaître aucune donnée sensible au sens de l’article 8 de la loi du 6 janvier 1978 modifiée.
La Commission considère ainsi que les données traitées sont pertinentes au regard de la finalité poursuivie.
Elle rappelle, par ailleurs, que les officiers de sécurité ne sauraient se substituer aux enquêteurs et qu’ils ne peuvent donc procéder à aucun contrôle d’identité des personnes, ni procéder à des auditions ou interrogatoires, ni exercer aucune mesure de contrainte sur les individus.
Sur les destinataires
Les destinataires des données sont les personnels dûment habilités :
Chaque site n’a accès qu’aux incidents le concernant, à l’exception des administrateurs de l’outil qui ont accès à l’ensemble des données.
de la direction de l’établissement (au niveau central et décentralisé) ;
du département sécurité/sûreté de l’établissement ;
du service chargé de la gestion du contentieux du groupe.
Les données relatives aux suites données aux incidents constatés ne sont pas intégrées à la main-courante et ne sont donc accessibles qu’aux personnels du service chargé de la gestion du contentieux du groupe.
La liste de ces destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par un panneau d’affichage situé sur les comptoirs des postes d’accueil et dans les règles internes pour les salariés.
Les droits d’accès et de rectification s’exercent auprès du département sécurité/sûreté de la société AIRBUS SAS, 1 rond point Maurice Bellonte – 31707 BLAGNAC.
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
La Commission observe que l’authentification des utilisateurs du traitement respecte ses préconisations, et notamment que les mots de passe utilisés sont d’un niveau de complexité suffisant.
Le traitement est accessible uniquement sur l’intranet du responsable de traitement, et que des mesures de chiffrement des données échangées sont mises en place afin d’apporter un niveau de protection supplémentaire.
Des mécanismes de gestion des habilitations permettent de limiter le périmètre des données auxquelles les utilisateurs peuvent accéder.
Enfin, des mesures de traçabilité permettent de conserver une trace des opérations effectuées dans le traitement pendant une durée de 5 ans.
Ces mesures de sécurité sont conformes aux dispositions de l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant les durées suivantes :
La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
En l’absence de saisine du parquet ou d'un commissariat : 5 ans ;
En cas de classement sans suite : conservation pendant le délai de l'action publique ;
En cas d’engagement de poursuites : conservation jusqu'à la fin de la procédure judiciaire.
Autorise, conformément à la présente délibération, AIRBUS OPERATIONS SAS à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN