(Demande d’autorisation n° 1806301)
La Commission nationale de l'informatique et des libertés,
Saisie par ALCATEL-LUCENT INTERNATIONAL d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la prévention de risque de corruption de ses fournisseurs, revendeurs, sous-traitants, cocontractants et partenaires commerciaux;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-4 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme. Marie-Hélène MITJAVILE, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société ALCATEL-LUCENT INTERNATIONAL ci-après ALCATEL-LUCENT est spécialisée dans les réseaux IP,  l’accès très haut débit et le « cloud ». Elle est notamment cotée au New York Stock Exchange.
Sur la finalité
Sur le fondement de l’article 25-I-4 de la loi du 6 janvier 1978 modifiée qui prévoit que sont soumis à autorisation préalable les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire, la Commission a été saisie par la société ALCATEL-LUCENT d’une demande d’autorisation relative à un traitement ayant pour finalité la prévention de la corruption et consistant à mettre en œuvre une procédure de vérifications portant sur les personnes avec lesquelles elle est en relation commerciale.
La Commission considère qu’il y a lieu d’analyser le traitement au regard de l’article 7-5° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements de données à caractère personnel peuvent être mis en œuvre notamment dans l'intérêt légitime du responsable de traitement, dès lors que celui-ci est établi, sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux des personnes concernées.
La société ALCATEL-LUCENT se prévaut à l’appui de sa demande d’autorisation des dispositions du « Foreign Corrupt Practices Act » américain (ci-après FCPA) en date du 20 décembre 1977, du « UK Bribery Act », ci-après UKBA.
Le renforcement des législations européenne et internationale en matière de lutte contre la corruption, en particulier dans le cadre des relations avec des agents publics, conduisent des sociétés telles que ALCATEL-LUCENT à mettre en place un système de détection et de prévention de la corruption. En particulier, la loi britannique « UK Bribery Act » (UKBA) du 8 avril 2010 impose la mise en œuvre de procédures de contrôles préalables (« due diligence ») dans les entreprises multinationales dans le domaine de la lutte contre la corruption.
La société mère ALCATEL-LUCENT est soumise au FCPA UK Bribery Act non seulement en ce qui concerne ses propres activités, mais aussi au titre des sociétés non américaines qui lui sont affiliées.
S’agissant de l’UK Bribery Act, les sociétés françaises sont soumises à cette législation dès lors qu'elles ont une activité, même partielle, sur le territoire du Royaume-Uni, ou qu'elles sont partenaires de sociétés soumises à l’UKBA. Une des sociétés affiliées à la société ALCATEL-LUCENT, la société ALCATEL-LUCENT UK Ltd, est immatriculée au Royaume-Uni, et par conséquent, soumise aux dispositions de l’UKBA.
Le traitement envisagé par la société ALCATEL-LUCENT vise à identifier les transactions présentant un risque de corruption, par le biais d’un système reposant sur une évaluation progressive adaptée au risque encouru. La société ALCATEL-LUCENT souhaite vérifier l’intégrité de ses revendeurs, sous-traitants, co-contractants, vendeurs, distributeurs, fournisseurs et les prestataires de services.  Le traitement porte essentiellement sur des entités personnes morales et de manière ponctuelle sur une catégorie limitée de personnes physiques (« hommes clefs »).
La société ALCATEL-LUCENT a recours à un prestataire de services. La procédure d’identification des risques liés à la corruption est graduée en fonction du risque détecté.
Les éléments d’information utilisés par ce prestataire procèdent de sources officielles nationales et internationales, des informations issues de la presse, des décisions de justice ou d’autorités publiques.
L’outil fourni par le prestataire de service est configuré de telle sorte que la société ALCATEL-LUCENT ne puisse disposer que des informations spécifiques à la lutte contre la corruption.
Les informations détectées lors de ces opérations de vérification peuvent conduire la société ALCATEL-LUCENT à limiter la relation commerciale à un périmètre donné ou à suspendre la transaction engagée avec les personnes concernées, après consultation des listes des personnes faisant l’objet de sanctions financières ou de mesures de restriction fournies par le prestataire.
La Commission considère que les vérifications portant sur ces listes doivent procéder d’une obligation légale et ne doivent porter que sur une catégorie de personnes déterminée au regard du risque encouru conformément au principe de proportionnalité. Elle rappelle qu’aucune décision de refus d’entrée en relation ne peut être prise sur la base des seuls éléments d’information recueillis par le biais de l’outil utilisé, qui devront faire l’objet d’un examen individuel, permettant de lever les cas d’homonymies, après collecte, le cas échéant, d’informations complémentaires.
La Commission considère que sont légitimes, les vérifications portant sur les listes des personnes faisant l’objet de sanctions financières ou de mesures de restriction appliquées en France et dans le pays d’établissement de la maison mère et émises par une autorité publique dès lors que la société ALCATEL-LUCENT est tenue de les appliquer.
Dans ces conditions, la Commission estime que le traitement répond à l’intérêt légitime du responsable du traitement conformément à l’article 7-5° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Dans le cadre de la procédure de vérification préalable d’intégrité du partenaire commercial, la société ALCATEL-LUCENT collecte les données suivantes :
Le résultat positif ou négatif du screening est partagé au sein du groupe.
Nom et prénom ;

nationalité
Date et lieu de naissance (gestion des homonymies) ;
Situation professionnelle ;
Antériorités dans la relation d’affaire ;
L’existence ou l’absence d’occurrence dans la base de données du prestataire ;
Données de connexion à l’outil de screening.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
Les opérations de vérification réalisées en France seront supervisées par les seules personnes habilitées du service Red Flag Group de la société ALCATEL-LUCENT UK située à Londres.
La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données traitées.
Sur l’information et le droit d’accès
Les personnes concernées seront informées de la politique menée par ALCATEL-LUCENT en matière de lutte contre la corruption via une mention figurant sur son site internet.
Les personnes concernées pourront exercer leurs droits d’accès, de rectification et d’opposition auprès de la société  de la société ALCATEL-LUCENT INTERNATIONAL, 148/152 route de la reine, 92100 Boulogne-Billancourt.
Sur les mesures de sécurité
Des mesures sont prises afin de préserver la sécurité et la confidentialité des données et, notamment, empêcher que des tiers non autorisés y aient accès. Les accès au système d’information et les opérations effectuées sur les supports d’enregistrement des données sont tracés.
Les mesures de sécurité envisagées n’appellent pas d’observations particulières ; la Commission rappelle cependant la nécessité d’une mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
S’agissant de la durée de conservation, lorsqu’un contrat est conclu, les éléments analysés par la société ALCATEL-LUCENT sur la base des informations recueillies et sélectionnées, lors des  étapes de vérification, sont conservés en base active pendant 90 jours à compter de l’évaluation, quel que soit le niveau du risque identifié. Les données sont ensuite archivées pendant dix ans pour pouvoir justifier, le cas échéant, des diligences auprès des autorités compétentes.
En fin, le processus de vérification fait intervenir un prestataire de services dont les serveurs hébergeant les données sont situées sur le territoire de l’Union Européenne.
Autorise, conformément à la présente délibération, la société ALCATEL-LUCENT INTERNATIONAL à mettre en œuvre le traitement susmentionné.
Pour La Présidente
Le Vice-Président Délégué
Marie-France MAZARS