(Demande d’autorisation n° 1557731)
La Commission nationale de l’informatique et des libertés ;
Saisie par la société Aéroport de Paris d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité de faciliter l’atteinte des objectifs, la maitrise des risques et la conformité aux exigences réglementaires auxquelles elle est soumise ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-5° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, commissaire et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Aéroports de Paris (ci-après « ADP ») est le gestionnaire des aéroports parisiens, parmi lesquels Paris-Charles de Gaulle (6ème aéroport mondial), Paris-Orly et Paris-Le Bourget. Avec 88,1 millions de passagers accueillis en 2011, il s'agit du deuxième groupe aéroportuaire européen pour le trafic de passagers. ADP emploie près de 7000 salariés.
Aéroports de Paris s’est doté d'un logiciel informatique, qui lui permet de renforcer la maîtrise de ses activités, de répondre efficacement à ses obligations réglementaires croissantes et de sécuriser l'atteinte de ses objectifs de développement.
Sur la finalité
La Commission nationale de l’informatique et des libertés a été saisie par la société Aéroport de Paris d’une demande d’autorisation de mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité de faciliter l’atteinte des objectifs, la maitrise des risques et la conformité aux dispositions de la loi sur la sécurité financière du 1er aout 2003 n°2003-706, au cadre de référence de l’autorité des marchés financiers et aux codes du transport et de l’aviation civile. Le traitement comprend donc la gestion des audits, du contrôle interne, des risques, des événements et des exigences réglementaires.
ADP en tant que gestionnaire d’aéroport doit assurer une traçabilité de tout incident ou évènement d’aviation civile dont il a connaissance. Dans certains cas, une enquête peut être menée et a pour objet de prévenir de futurs incidents d'aviation civile. Elle consiste à collecter et analyser les informations utiles, à déterminer les circonstances et les causes certaines ou possibles de l'événement, de l'accident ou de l'incident et, s'il y a lieu, à établir des recommandations de sécurité. Certains événements doivent être envoyés à la direction générale de l'aviation civile (DGAC) en moins de 72h.
La Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-5° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements ayant pour objet l’interconnexion de fichiers ayant des finalités principales différentes.
En effet, le traitement présenté procède à l’interconnexion de l’application de maitrise des risques (« Efront ») et le fichier de gestion du personnel (SAP/RH) pour récupérer les nom et prénom des agents ADP impliqués dans le suivi des actions liées au contrôle interne et ainsi permettre la gestion des habilitations et des actions à effectuer. En effet, au sein d’ADP, un risque est attaché à une personne individuellement désignée « le propriétaire du risque » ou à un manager qui doit être identifié dans l’application « Efront ».
La Commission estime que la finalité poursuivie est déterminée, légitime et explicite.
Sur les données traitées
Le traitement porte sur les données suivantes :
-Identifiant Windows ;
-Qualité (M., Mde) ;


-Fonction dans l’entreprise ;
-Identifiant hexadécimal du service de rattachement ;
-L’adresse mail.
Un mécanisme de purge des données est prévu. L’application ne conservera les données que 5 ans à compter de leur enregistrement.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées.
Sur les destinataires
Sont destinataires des données, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les personnes habilitées des départements « contrôle et audit » et « système de management ».
Ce point n’appelle aucune observation de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées par une mention figurant sur le portail de l'application et par des sessions de formations à l’outil.
Sur les mesures de sécurité
Les serveurs qui hébergent le traitement sont situés dans des locaux techniques avec contrôle d’accès et vidéo surveillance. Les postes clients se trouvent dans les locaux d’ADP.
Des sauvegardes sur disques sont réalisées de manière quotidienne. Les disques sont conservés dans des locaux techniques avec contrôle d’accès et vidéo surveillance. Les sauvegardes ne sont pas chiffrées.
L’application met en œuvre un chiffrement des données via le protocole SSL pour le transport des données à caractère personnel. L’authentification du destinataire et de l’émetteur est réalisée grâce à l’utilisation d’un certificat « opentrust ».
Le traitement met en œuvre une journalisation de l’accès à l’application et une journalisation d’accès aux fichiers de données à caractère personnel.
Pour l’accès à l’application, les évènements journalisés sont :
- date et heure de connexion ;
- identifiant de l’utilisateur ;
- opération effectuée.
Pour l’accès aux fichiers de données à caractères personnel, l’application journalisera la référence des données accédées pour toutes les actions effectuées (création, modification ou suppression). Les logs de connexion seront conservés pendant un an. Les logs concernant l’accès aux données seront conservés pendant 5 ans.
Les échanges entre l’application de maitrise des risques et le fichier du personnel seront chiffrés.
Les mesures de sécurité proposées sont conformes à l’article 34 de la loi du 6 janvier 1978 modifiée.
Autorise, conformément à la présente délibération, ADP à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN