(Demande d’autorisation n° 1746769)
La Commission nationale de l'informatique et des libertés,
Saisie par lasociété par actions simplifiée CORNING d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion d’activités contentieuses et précontentieuses ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment les dispositions du 3° du I de son article 25 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société CORNING est une société par actions simplifiée, spécialisée dans la fabrication et le façonnage d’articles en verre.
Sur la finalité
La société CORNING a saisi la Commission d’une demande d’autorisation, préalablement à la mise en œuvre d’un traitement automatisé ayant pour finalité la préparation, l’exercice et le suivi d’une action disciplinaire ou d’un recours en justice et, le cas échéant, l’exécution de la décision rendue.
Dans la mesure où ce traitement peut notamment porter sur des données relatives à des infractions ou condamnations pénales, il y a lieu de faire application des dispositions du 3° du I de l’article 25 de la loi du 6 janvier 1978 modifiée, aux termes desquelles la Commission doit autoriser la mise en œuvre des traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté, sauf ceux qui sont mis en œuvre par des auxiliaires de justice pour les besoins de leurs missions de défense des personnes concernées.
La Commission considère que la finalité précitée est déterminée, explicite et légitime.
Sur les données traitées
Les données à caractère personnel enregistrées et traitées sont relatives :
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard de la finalité pour laquelle elles sont collectées et de leurs traitements  ultérieurs.
à l'identification des personnes mises en cause, des victimes, des témoins et des auxiliaires de justice mandatés dans la procédure (nom ; nom d'usage ; prénoms ; sexe ; date et lieu de naissance ; nationalité ; adresse ; numéros de téléphone et de fax ; adresse électronique) ;
à la vie professionnelle, en particulier les faits susceptibles de constituer une faute  disciplinaire et les conséquences associées ;
à des infractions, condamnations ou mesure de sûreté, en particulier :
les faits litigieux à l’origine de la procédure ;
les documents recueillis et pièces tendant à caractériser le caractère litigieux d'un comportement (constat ; témoignage ; attestation ; mise en demeure ; images extraites d'un dispositif de vidéoprotection ; « log » extrait d’un outil de sécurisation des ressources informatiques ou d’un système de contrôle d’accès ; fiche de constat des faits ; dépôt de plainte ; certificat médical en lien avec une expertise médico-légale) ;
les caractéristiques d’une action disciplinaire, d’un pré-contentieux et/ou d’un contentieux (date de début et de clôture du litige, juridiction saisie, date de l'assignation, date d'audience, état de la procédure, nature et objet des demandes, griefs, argumentations, observations et avis des représentants légaux, date du jugement.) ;
la date, la nature, les motifs et les montants des condamnations ;
les commentaires relatifs à la description et au suivi de la procédure.
Sur les destinataires
Seules les personnes habilitées au sein de la société CORNING chargées de la gestion des actions disciplinaires, des précontentieux, des contentieux et, le cas échéant, de la réalisation des enquêtes associées peuvent accéder aux données du présent traitement, à savoir les services chargés des affaires juridiques, de la sécurité, de la sécurité de l'information, de la propriété intellectuelle, des ressources humaines, ainsi que la direction.
Le personnel habilité du service informatique de la société et de son sous-traitant peuvent, quant à eux, accéder à ces données uniquement pour assurer l’hébergement et la maintenance du système informatique.
La Commission considère que ces destinataires présentent un intérêt légitime à accéder aux données du présent traitement, sous réserve que les données rendues accessibles présentent effectivement un lien direct et nécessaire avec leurs fonctions.
Sur l’information et le droit d’accès
Les personnes concernées par le présent traitement sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par la remise d’un livret d’accueil, des notices d’information relatives aux outils de surveillance, une charte informatique annexée au règlement intérieur et, enfin, des panneaux d’affichage s’agissant de la vidéosurveillance.
Les droits d’accès et de rectification, prévus par les articles 39 et 40 de la loi du 6 janvier 1978 modifiée, s’exercent auprès du Data Privacy Officer de la société CORNING.
La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
L’authentification des utilisateurs est assurée par des mots de passe respectant les recommandations de la Commission en la matière, à savoir des mots de passe de huit caractères comprenant des chiffres et des caractères spéciaux et régulièrement renouvelés.
Des profils d’habilitation définissent par ailleurs les données et les fonctionnalités accessibles en fonction des rôles des utilisateurs. La gestion des habilitations fait l’objet de procédures formalisées validées par le responsable de traitement, portées à la connaissance des utilisateurs, et est régulièrement mise à jour.
Les échanges de données sont réalisés au moyen de canaux sécurisés, en particulier par le recours à des réseaux privés, l’utilisation du protocole  SSL  et le chiffrement des fichiers transmis par Internet.
Des sauvegardes régulières permettent de garantir l’intégrité et la disponibilité du système. Les sauvegardes sont stockées dans un lieu garantissant leur confidentialité.
Des mesures de sécurité physiques protègent l'accès aux locaux et les équipements.
Une fonctionnalité de journalisation a été définie pour les opérations de consultation, de création, de  mise à jour et/ou de suppression en fonction des outils. Les accès aux applications et aux fichiers de données à caractère personnel font notamment l’objet d’une journalisation répertoriant l’identification de l’utilisateur, un horodatage et l’opération effectuée.
Sous réserve de son observation relative à la procédure d’habilitation, la Commission estime que les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité, au regard de la réévaluation régulière des risques et de l’évolution des technologies.
Sur les autres caractéristiques du traitement
Les données sont conservées en base active pour une durée d’un an à compter de la clôture d’une enquête.
A l’issue de ce délai, les données sont archivées jusqu’à la prescription des actions en justice correspondantes.
Lorsque des poursuites judiciaires sont engagées, les données sont conservées pendant la durée de la procédure, puis archivées jusqu’à la prescription de l'action en exécution d'une décision de justice passée en force de chose jugée.
La Commission estime que ces durées de conservation ne sont pas excessives au regard des finalités pour lesquelles les données sont collectées et traitées.
Les transferts de données réalisés vers la maison mère du groupe CORNING basée aux Etats Unis d’Amérique ont pour finalité l’hébergement et la maintenance des systèmes informatiques, ainsi que la réalisation d’enquêtes sur les agissements et infractions soupçonnés ou détectés. Ils sont encadrés par des règles internes d’entreprise (Binding Corporate Rules ou BCR) adoptées par le responsable de traitement et reconnues par la Commission et les autorités de protection des données personnelles compétentes comme offrant un cadre juridique satisfaisant pour effectuer des transferts de données en dehors de l’Union européenne.
Les transferts de données réalisés vers un prestataire basé en Inde ont pour finalités l’hébergement et la maintenance des systèmes informatiques de la société CORNING. Ils sont encadrés par un contrat rédigé sur le modèle des clauses contractuelles élaborées par la Commission européenne relatives aux transferts de données de responsable de traitement à sous-traitant.
Autorise, conformément à la présente délibération, la société par actions simplifiée CORNING à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN