La Commission nationale de l'informatique et des libertés,
Saisie par l'Union des Industries Métallurgiques et Minières d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion et le suivi des affaires pré contentieuses et contentieuses juridiques et judiciaires pour la défense en justice des intérêts de l'IUMM ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 9 et 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
L'Union des   Industries Métallurgiques et Minières, ci-dessous dénommée, l'IUMM.
Sur la finalité
La finalité du traitement consiste à   assurer la gestion et le suivi des   affaires pré contentieuses et contentieuses juridiques et judiciaires dans le   cadre de la défense en justice des intérêts de l'IUMM et en particulier de   procédures pénales.
Il s'agit   principalement d'un traitement papier constitué par les dossiers des avocats   dans le cadre des contentieux.
La Commission estime que les finalités poursuivies sont déterminées,   explicites et légitimes.
Par ailleurs, la Commission considère qu'il y a   lieu de faire application de l'article 25-I-3° de la loi du 6 janvier 1978   modifiée qui soumet à autorisation les traitements de données relatives aux   infractions, condamnations et mesures de sûreté.
Sur les données   traitées
Les données collectées   sont relatives :
-            à l'identification des personnes : nom,   prénom, adresse, photographie, date et lieu de naissance, éléments figurant   sur un titre d'identité ;
-            à la vie personnelle : situation   familiale ;
-            à la vie professionnelle
-            aux informations d'ordre économique et   financier : revenus ;
-            aux infractions, condamnations et mesures de   sûreté ;
-            aux incidents constatés : description,   localisation, date et heure ;
-            aux suites données aux incidents :   saisine du Parquet, classement sans suite, poursuites, condamnation.
-            aux informations communiquées par la personne   concernée dans le cadre du contentieux ou pièces jointes à la procédure ;
-            aux données de connexion : identifiants   des terminaux, identifiants de connexions, information d'horodatage.
Dans sa décision du 29 juillet 2004, le Conseil Constitutionnel a   déclaré non conforme à la Constitution l'article 9-3° qui permettait à une   personne morale de droit privé, mandatée par d'autres personnes morales   estimant avoir été victimes ou être susceptibles d'être victimes   d'agissements passibles de sanctions pénales, de rassembler des données   portant sur des infractions, condamnations ou mesures de sûreté, au motif de   son caractère trop général et du manque de précision sur les garanties devant   encadrer ce type de traitement. Pour autant, le Conseil Constitutionnel a   précisé que cette annulation ne saurait être interprétée comme
privant   d'effectivité le droit d'exercer un recours juridictionnel dont dispose toute   personne physique ou morale s'agissant des infractions dont elle a été   victime
Cette réserve d'interprétation était indispensable pour ne pas priver   de base légale les traitements légitimement mis en œuvre pour assurer le   suivi des dossiers contentieux relatifs à des infractions. Elle permet à   toute personne de constituer, pour les besoins de l'exercice de son droit au   recours, des fichiers de pré contentieux.
La Commission   considère, compte tenu de la finalité poursuivie, que ces données sont   pertinentes, adéquates et non excessives, conformément à l'article 6-3° de la   loi du 6 janvier 1978 modifiée.
Le traitement ne comportera   pas de zones de commentaires libres.
Sur les destinataires
Les destinataires des   données sont les conseils juridiques et auxiliaires de justice pour les besoins   de la défense des intérêts de l'IUMM.
La liste de ces destinataires n'appelle pas d'observation particulière.
Sur l'information   et le droit d'accès
Les personnes   concernées sont informées, conformément à l'article 32 de la loi du 6 janvier   1978 modifiée, préalablement au traitement, soit avant la collecte des   données sur le contentieux, soit au moment lorsque la procédure est engagée..
Les droits d'accès et   de rectification s'exercent auprès du Service CIL, 56 avenue de Wagram -   75854 Paris Cedex 17.
La Commission estime   que ces modalités d'information et d'exercice des droits sont satisfaisantes.
Sur les mesures de   sécurité
Le traitement concerne principalement la   gestion de dossiers papier et n'est automatisé que dans les cas pour lesquels   un dossier papier est numérisé. Dans cette hypothèse, la gestion du dossier   numérisé respecte les mesures suivantes :
- seul le département en charge du dossier   dispose d'un accès limité au dossier numérisé ;
- il existe une authentification sur les   postes informatiques par un login et un mot de passe ;
­ le mot de passe comporte 8 caractères et   au moins trois des quatre caractéristiques suivantes (une majuscule, une   minuscule, un chiffre et un caractère spécial) ;
­ un compte est bloqué après 5 tentatives d'authentification   infructueuses ;
­ un renouvellement obligatoire du mot de   passe est mis en œuvre trimestriellement.
Les mesures de sécurité décrites par le   responsable de traitement sont conformes à l'exigence de sécurité prévue par   l'article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette   obligation nécessite la mise à jour des mesures de sécurité au regard de la   réévaluation régulière des risques.
Sur les autres   caractéristiques du traitement
Les données sont conservées   le temps de la procédure judiciaire et jusqu'à épuisement des voies de   recours.
La Commission estime   que cette durée de conservation est pertinente au regard de la finalité   poursuivie par le traitement.
Autorise, conformément à la présente délibération, l'Union des Industries Métallurgiques et Minières à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN