(demande d’autorisation n°1493331)
La Commission nationale de l’informatique et des libertés ;
Saisie par la société BT Services SA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la prévention et la détection des fraudes ;
Vu la Convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-I-5° ;
Vu le décret n°2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Emmanuel de GIVRY, Commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du gouvernement, en ses observations ;
Formule les observations suivantes :
Sur le responsable du traitement
La société BT Services SA est une filiale française de British Telecom, qui est l’opérateur historique des télécommunications britanniques. Son activité entre donc dans le champ de la gestion des réseaux de télécommunications et du conseil en télécommunication.
Le traitement dénommé FBSSERV s’inscrit dans la cadre de l’obligation qui pèse sur la société de BT Services SA de se conformer à la loi britannique prévoyant des dispositions sur les infractions en matière de corruption et d’autres fins connexes du 8 avril 2010 (UK Bribery Act). Elle dispose notamment qu’une infraction commise par une entreprise britannique n’importe où dans le monde peut être sanctionnée. Ce traitement est donc dédié à la gestion des fraudes au sein de BT.
La commission considère qu’il y a lieu de faire application de l’article 25-I-5° de la loi du 6 janvier 1978 modifiée compte tenu que le traitement FBSSERV a pour objet l'interconnexion de fichiers dont les finalités principales sont différentes.
Sur la finalité
Le traitement FBSSERV répondra à une double finalité.
D’une part, il permettra de gérer l’ensemble des informations relatives aux audits internes sur les éléments suivants : notes de frais, frais de voyage, facturation téléphonique professionnelle, achats faits pour le compte de la société BT Services SA, étude de cohérence entre la paie et le système de gestion du personnel, paiements des heures supplémentaires, bonus et commissions.
D’autre part, le traitement permettra de détecter des montants abusifs ou des comportements contraires à la politique et aux procédures de la société BT Services SA (au moyen du traitement des anomalies ou infractions constatées sur la base des barèmes mis en place). Il permettra ainsi la détection d’éventuelles fraudes internes, enregistrées dans le FBSSERV uniquement si l’étude des informations résultant de ces audits établit l’existence d’une irrégularité avérée.
Le traitement ne constituera pas un dispositif d’alerte professionnelle : son alimentation sera uniquement assurée par des audits internes.
La Commission considère que cette finalité est déterminée, explicite et légitime.
Sur les données traitées
Les données traitées seront relatives :
L’ensemble des données collectées seront obtenues à partir du système de gestion du personnel (Peoplesoft) et du système de gestion de la paie de la société BT Services SA.
à l’identification des agents concernés : nom, prénom, date et lieu de naissance, numéro d’identification de l’employé (UIN) ;
à la situation familiale des agents concernés ;
à leur vie professionnelle : CV, situation professionnelle, notes de frais, salaires, bonus et commissions.
Une consultation préalable des représentants du personnel sera été effectuée.
Les données traitées seront objectives, ne comporteront aucune donnée d’appréciation subjective ni aucune appréciation sur le comportement de la personne concernée. Seuls les faits permettant d’apprécier la présence ou l’absence de fraudes seront saisis.
La Commission considère que les données collectées sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées.
Sur les destinataires
Les destinataires des données seront limités aux collaborateurs dont la mission est l’instruction des dossiers présentant des anomalies susceptibles de révéler une fraude, à savoir :
Ce qui n’appelle aucune observation de la Commission.
l’équipe de gestion des fraudes du groupe BT en Grande Bretagne ;
l’équipe d’investigations de la société BT Security UK ;
les agents dûment habilités des services des Ressources humaines, de la Finance et de la Direction générale de la société BT Services SA.
Sur l’information et le droit d’accès
L’information des personnes sera effectuée par le biais d’une inscription dans le registre d’information des agents mis à disposition sur l’intranet de la société BT.
La Commission recommande que les agents concernés soient également informés, au moment de la collecte des informations les concernant, par une mention apposée sur les formulaires, précisant : « Toute fraude pourra faire l’objet d’un traitement informatique spécifique ».
Le droit d’accès et de rectification défini au chapitre VII de la loi du 6 janvier 1978 modifiée s’exercera auprès de la société BT France, Tour Ariane, 5 place de la Pyramide, 92088 LA DEFENSE.
Sur les mesures de sécurité
Le traitement prévoit une authentification des agents habilités.
Néanmoins, la Commission recommande que la gestion des mots de passe individuels se conforme aux recommandations de la CNIL, et notamment que le mot de passe utilisé soit de 8 caractères alphanumériques.
Elle recommande que les habilitations restent strictement limitées aux agents en charge de la lutte contre la fraude au sein de la société BT Services SA et de BT UK.
La journalisation des données vise les contenus accédés et les opérations effectuées. L’ensemble des connexions et tentatives de connexion feront l’objet d’un traçage.
Compte tenu de la sensibilité des données traitées, un chiffrement des données identifiantes (noms, prénoms, dates et lieux de naissance, numéros identifiants, signes distinctifs) serait souhaitable.
Pour garantir la confidentialité des données, la Commission rappelle que les obligations suivantes doivent être respectées :
- tout échange dématérialisé de données en dehors de la société BT Services SA doit faire l’objet d’un chiffrement, à tout le moins des données identifiantes ;
- le traitement de gestion des fraudes ne doit faire l’objet d’aucune interconnexion autre que celle qui est déclarée par la société BT Services SA avec le système de gestion du personnel (Peoplesoft) et le système de gestion de la paie.
Sur les autres caractéristiques du traitement
La société BT Servies SA mettra en œuvre des procédures de mise à jour et de suppression des informations correspondant à des faits commis depuis plus de deux ans, ce qui n’appelle pas d’observation de la Commission.
Autorise, conformément à la présente délibération, la société BT Services SA à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN