(Demande d’autorisation n° 1881410)
La Commission nationale de l'informatique et des libertés,
Saisie par SMABTP d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi des conditions d’honorabilité relatives aux dirigeants et responsables de fonctions clés au sein des sociétés du groupe SMA ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2009/138/CE du Parlement européen et du Conseil du 25 novembre 2009 sur l'accès aux activités de l'assurance et de la réassurance et leur exercice (solvabilité II), modifiée en dernier lieu par la directive 2014/51/UE du Parlement européen et du Conseil du 16 avril 2014 modifiant les directives 2003/71/CE et 2009/138/CE et les règlements (CE) n° 1060/2009, (UE) n° 1094/2010 et (UE) n° 1095/2010 en ce qui concerne les compétences de l'Autorité européenne de surveillance (Autorité européenne des assurances et des pensions professionnelles) et de l'Autorité européenne de surveillance (Autorité européenne des marchés financiers) ;
Vu le code des assurances et notamment son article L.322-2 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9 et 25.I.3°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2015-513 du 7 mai 2015 pris pour l'application de l'ordonnance n° 2015-378 du 2 avril 2015 transposant la directive 2009/138/CE du Parlement européen et du Conseil sur l’accès aux activités de l'assurance et de la réassurance et leur exercice (solvabilité II) ;
Vu l’ordonnance n° 2015-378 du 2 avril 2015 transposant la directive 2009/138/CE du Parlement européen et du Conseil du 25 novembre 2009 sur l'accès aux activités de l'assurance et de la réassurance et leur exercice (Solvabilité II) ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
SMABTP, société d'assurance mutuelle pour les métiers du BTP et de l’assurance de personnes.
Sur la finalité
La finalité du traitement est d’assurer :
Dans ce contexte, la Commission considère qu’il y a lieu de faire application des articles 25-I-3° et 9 de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté.
le suivi des conditions d’honorabilité relatives aux dirigeants et responsables de fonctions clés au sein des sociétés du groupe SMA ;
la transmission de ces données aux autorités de tutelle et au greffe du tribunal de commerce conformément à la règlementation en vigueur.
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes.
Sur les données traitées
Les données faisant l’objet d’un traitement sont les suivantes :
- les données d’identification des mandataires sociaux et commissaires aux comptes : nom, prénom, adresse, date et lieu de naissance, copie de la carte d’identité ;
- les données relatives à la situation professionnelle : CV, scolarité, formation ;
- les données relatives aux infractions et condamnations : déclaration de non condamnation, extrait du bulletin n°3 du casier judiciaire.
Les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont :
- les autorités de tutelle (l’ACPR et la Banque de France) ;
- le greffe du tribunal de commerce ;
- le personnel habilité du service en charge de la gestion et du suivi des dossiers.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées du traitement de gestion et de suivi des mesures disciplinaires par une mention légale sur le formulaire ainsi que dans un courrier personnalisé.
Les droits d’accès et de rectification s’exercent auprès du Service Sécurité des Systèmes d’Information et Qualité à l’adresse suivante : 114 avenue Emile Zola – 75015 PARIS.
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
Chaque utilisateur dispose d'un identifiant qui lui est propre.
Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin.
Les permissions d'accès sont supprimées pour tout  utilisateur n'étant plus habilité.
Le responsable de traitement a mis en place une politique de mot de passe qui exige que ceux-ci aient une longueur minimale de 8 caractères, et qu’ils contiennent au moins un chiffre, une minuscule et un caractère spécial.
Les accès aux serveurs et aux bases de données sont eux aussi autorisés aux seules personnes habilitées.
La continuité d'activité est confiée à un prestataire spécialisé qui effectue régulièrement des tests.
Une journalisation des opérations de consultation, création et modification du traitement est réalisée. Les journaux sont conservés pendant un an.
Sur les autres caractéristiques du traitement
Les données traitées seront conservées pendant la durée du mandat et des obligations légales de conservation en vigueur.
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, SMABTP à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN