(Demande d’autorisation n° 1852732)
La Commission nationale de l'informatique et des libertés,
Saisie par BPCE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi et la gestion du pré contentieux et des contentieux ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9-3°et 25-I-3 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
BPCE, est l’organe central commun aux Banques Populaires et aux Caisses d’Epargne.
Sur la finalité
Le traitement mis en œuvre vise principalement la gestion des contentieux civils et commerciaux. Il s’agit d’actions visant la mise en cause de la responsabilité d’une ou de plusieurs entités du Groupe BPCE lorsque le litige est de nature à impacter l’ensemble du Groupe, soit dans le cadre d’actions de groupe, soit lorsque BPCE est directement mise en cause comme organe central  des Caisses d’Epargne, des Banques Populaires, de Natixis ou des autres banques et filiales.
De façon accessoire, le traitement peut concerner des actions pénales mettant en cause BPCE SA ou engagées à l’initiative de BPCE.
En dernier lieu, certains litiges peuvent être de nature administrative ou commerciale.
La Commission estime que les finalités poursuivies sont déterminées, explicites et légitimes.
Par ailleurs, la Commission considère qu’il y a lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté.
Sur les données traitées
Les données collectées sont relatives :
- à l’identité des personnes concernées : nom, prénom de la partie adverse, nom de l’avocat de BPCE, nom de l’avocat de la partie adverse, nom du juriste en charge du dossier ;
- aux infractions et condamnations ;
- à l’état et au suivi de la procédure : enjeux du litige, dommages et intérêts, frais, provision, montant de la perte, montant de la créance, déclaration de sinistre, honoraires et frais de procédure.
Dans sa décision du 29 juillet 2004, le Conseil Constitutionnel a déclaré non conforme à la Constitution l’article 9-3° de la loi du 6 janvier 1978 modifiée qui permettait à une personne morale de droit privé, mandatée par d’autres personnes morales estimant avoir été victimes ou être susceptibles d’être victimes d’agissements passibles de sanctions pénales, de rassembler des données portant sur des infractions, condamnations ou mesures de sûreté, au motif de son caractère trop général et du manque de précision sur les garanties devant encadrer ce type de traitement. Pour autant, le Conseil Constitutionnel a précisé que cette annulation ne saurait être interprétée comme « privant d’effectivité le droit d’exercer un recours juridictionnel dont dispose toute personne physique ou morale s’agissant des infractions dont elle a été victime ».
Dès lors, la Commission considère, compte tenu de la finalité poursuivie, que ces données sont pertinentes, adéquates et non excessives, conformément à l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont les auxiliaires de justice pour les besoins de la défense des intérêts de BPCE ainsi que les autorités de contrôle et commissaires aux comptes dans le cadre de leurs missions respectives.
La liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, préalablement à la mise en œuvre du traitement, par une mention d’information qui figure dans les documents contractuels. Les collaborateurs sont quant-à eux informés de manière individuelle ou via une mention figurant sur la page d’accueil du logiciel.
Les droits d’accès et de rectification s’exercent auprès du Secrétariat général de la Direction juridique à l’adresse suivante : 50, avenue Pierre Mendès-France – PARIS 75201 Cedex 13, ou à l’adresse électronique : filière-juridique@bpce.fr
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
Les actions effectuées par les juristes en charge du contentieux et les managers de la Direction Juridique sont tracées afin de permettre de détecter et d’analyser tous les accès, modifications et suppressions de données non autorisés.
Seules ces personnes ont accès au logiciel de suivi et de gestion du contentieux. Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application avec des profils d’habilitation et un contrôle d’accès logique qui se fait par mot de passe.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
La Commission observe que certaines données peuvent figurer dans les pièces de la procédure judiciaire (état civil, adresse). Ces pièces peuvent être numérisées et jointes au dossier électronique.
Les données sont conservées pendant une durée de 10 ans à compter de la décision de justice devenue définitive et / ou du dernier acte d’exécution, et ce, conformément à la durée de prescription légale.
La Commission considère que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Ces autres caractéristiques du traitement n’appellent pas d’observation particulière de la Commission.
Autorise, conformément à la présente délibération, BPCE à mettre en œuvre le traitement susmentionné
La Présidente
I. FALQUE-PIERROTIN