(Demande d’autorisation n° 1587547)
La Commission nationale de l'informatique et des libertés,
Saisie par la société Chevron Oronite SAS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité de s’assurer que tous les clients, fournisseurs et de manière générale tout cocontractant avec lesquels Chevron Oronite sas est susceptible d'entrer en relation contractuelle ne font pas l'objet de sanctions économiques internationales ou de violations graves édictées par certains Etats;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 7-5° et 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme/M. Marie-Hélène MITJAVILE, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société Chevron Oronite SAS  est la filiale française d’un groupe pétrolier international Chevron dont la société mère a son siège aux Etats-Unis.
Le groupe, présent dans plus de 180 pays, opère essentiellement dans le secteur de la recherche, l’exploration d’hydrocarbures, le transport par bateaux ou pipelines, et la distribution de produits pétroliers et chimiques.
La société Chevron Oronite SAS est spécialisée dans la fabrication et la commercialisation d’additifs pour lubrifiants. Présente dans le commerce international, elle propose ses produits sur toute la zone Europe Afrique et Moyen orient ainsi qu’aux autres entités affiliées au groupe Chevron situées dans les zones Amériques et Asie Pacifique fabriquant également des lubrifiants, afin de leur acheter ou de leur vendre des composants entrant dans la formule de ces additifs.
Sur la finalité
Sur le fondement de l’article 25-I-4 de la loi du 6 janvier 1978 modifiée qui prévoit que sont soumis à autorisation préalable les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire, la Commission a été saisie par la société Chevron Oronite SAS d’une demande d’autorisation relative à un traitement ayant pour finalité de s’assurer que tous les clients, fournisseurs et de manière général tout cocontractant avec lesquels Chevron Oronite SAS est susceptible d'entrer en relation contractuelle ne font pas l'objet de sanctions économiques internationales ou de violations graves édictées par certains Etats.
La Commission considère qu’il y a lieu d’analyser le traitement au regard de l’article 7-5° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements de données personnelles peuvent être mis en œuvre notamment dans l'intérêt légitime du responsable de traitement, dès lors que celui-ci est établi, sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux des personnes concernées.
Le renforcement des législations européenne et internationale en matière de lutte contre la corruption conduisent des sociétés telles que la société CHEVRON ORONITE SAS à mettre en place un système de détection et de prévention de la corruption.
Les filiales des groupes américains, ainsi que les sociétés françaises ayant des activités significatives aux Etats-Unis encourent un risque juridique résultant des sanctions américaines d’application extraterritoriale.
Ce traitement s’inscrit dans le cadre de mesures de « due diligence ». Par conséquent, afin d’éviter les risques de sanctions, la société COSAS souhaite mettre en œuvre un traitement destiné à s’assurer que le fait pour elle de contracter
avec certaines sociétés, organisations ou individus n’implique pas de risque en matière de violations des sanctions internationales d’une part, et de violations de politiques nationales de certains Etats d’autre part.
Les sanctions internationales sont celles qui sont édictées par les organisations internationales ou régionales (telles que l’ONU, l’Union européenne) et/ou par les Etats en application des résolutions des organisations internationales telles que l’ONU, à l’encontre de certains Etats (Iran, Syrie, Corée du Nord, etc.), d’organisation terroristes (AI Qaïda, Daesh), d’organisations de guerre ( ex Yougoslavie, Rwanda, etc.) dont la caractéristique commune est de restreindre ou interdire le commerce avec les personnes qui y sont liées sous peine de sanctions.
Les violations des politiques nationales de certains Etats (ci-après « violations graves ») concernent la corruption, le blanchiment de capitaux résultant de la criminalité organisée et le soutien au terrorisme, aux personnes poursuivies ou recherchées pour crimes de guerre, crimes contre l’humanité, génocides, trafics d’arme, de drogues ou autres substances ou objets illicites, d’êtres humaines ou d’animaux et/ou autres atteintes graves à la sécurité nationale, aux biens ou aux personnes généralement reconnues comme des crimes par le code pénal français.
Les mesures de due diligence consistent à vérifier si le nom des cocontractants de COSAS figure dans les listes publiques de sociétés, organisations et personnes listées dans les listes de sanctions internationales ou en raison de leur participation à des violations graves accessibles établies ou édictées par des autorités nationales et internationales. Ces vérifications sont effectuées à l’aide d’une base de données fournie par le prestataire auquel a recours COSAS, en charge de la compilation et de la mise à jour des données.
Les éléments d’information utilisés par ce prestataire procèdent de sources officielles nationales et internationales, des informations issues de la presse, des décisions de justice ou d’autorités publiques.
Ces vérifications portent essentiellement sur les entités personnes morales contractant avec COSAS. Cependant, dans certains cas, elles peuvent porter sur des dirigeants de droit et de faits et sur les actionnaires principaux des co-contractants de COSAS.
L’utilisation de la base de données du prestataire peut donner lieu à des résultats (« Hit » ou « No Hit ») analysés
manuellement par la suite pour s’assurer que les personnes concernées sont effectivement celles visées dans les listes et écarter notamment les cas d’homonymie.
La Commission prend acte que la société COSAS est particulièrement exposée compte tenu de la nature de ses produits dans le domaine de la pétrochimie. En outre, de part le périmètre géographique de ses activités, elle peut être amenée à opérer avec des Etats à risques dont les gouvernements et/ou certaines organisations et individus qui y sont établis peuvent faire l’objet de sanctions internationales. La violation des lois américaines dans cet environnement à risque pourrait notamment engager le groupe Chevron.
La société COSAS met en place une approche graduée et proportionnée :
L’outil fourni par le prestataire de service est configuré de telle sorte que la société COSAS ne puisse disposer que des informations spécifiques aux domaines précités.
En limitant le traitement à des dirigeants et actionnaires de référence ;
En engageant d’abord un processus de vérifications manuelle, en cas d’occurrence, notamment afin d’éliminer les risques d’homonymie, de s’assurer de l’identité des personnes listées et un dirigeant et/ou un actionnaire de référence du partenaire envisagé, et de vérifier l’exactitude et la pertinence des informations fournies ;
En s’abstenant de toute prise de décision sur la seule base de ce traitement, qui constituera un élément d’appréciation parmi d’autres considérations globales.
Les informations détectées lors de ces opérations de vérification peuvent conduire la société COSAS à suspendre la transaction engagée avec les personnes concernées, après consultation de listes des personnes faisant l’objet de sanctions financières ou de mesures de restriction.
La Commission considère que les vérifications portant sur ces listes doivent procéder d’une obligation légale et ne doivent porter que sur une catégorie de personnes déterminée au regard du risque encouru conformément au principe de proportionnalité. Elle rappelle qu’aucune décision de refus d’entrée en relation ne peut être prise sur la base des seuls éléments d’information recueillis par le biais de l’outil utilisé, qui devront faire l’objet d’un examen individuel, permettant de lever les cas d’homonymies, après collecte, le cas échéant, d’informations complémentaires.
La Commission considère que sont légitimes, les vérifications portant sur les listes appliquées en France et dans le pays d’établissement de la maison mère et émises par une autorité publique dès lors que COSAS est tenue de les appliquer.
Dans ces conditions, la Commission estime que le traitement répond à l’intérêt légitime du responsable du traitement conformément à l’article 7-5° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Dans le cadre des vérifications portant sur la base de données du prestataire extérieur auquel à recours COSAS, seules les données suivantes sont collectées :
Les vérifications porteront uniquement sur les dirigeants et les actionnaires des co-contractant, c’est-à-dire pour les dirigeants des partenaires commerciaux : les représentants légaux, les dirigeants de fait, les personnes bénéficiant d’une délégation générale ou d’un mandat équivalent selon le droit applicable et pour les principaux actionnaires, toute personne qui détient directement ou indirectement le contrôle du capital ou une partie substantielle de celui-ci et/ou une majorité des votes.
Le nom et prénom
Le pays de résidence
L’existence ou l’absence d’occurrence dans la base de données
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
Seules sont destinataires des données les personnes habilitées de la Direction des Ventes, des Achats, Juridique et Compliance.
La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données traitées.
Sur l’information et le droit d’accès
Les personnes concernées seront informées de l’existence du programme portant sur l’identification des personnes sous le coup d’une sanction économiques internationales ou de violations graves édictées par les autorités publiques via une mention d’information insérée dans les conditions générales d’achat (fournisseurs) et de vente (clients).
Les personnes concernées pourront exercer leurs droits d’accès, de rectification et d’opposition à l’adresse suivante : Direction générale, COSAS, le Corosa, 1 rue Eugène et Armand Peugeot CS 10022, 92508, Rueil-Malmaison Cedex.
Sur les mesures de sécurité
Des mesures sont prises afin de préserver la sécurité et la confidentialité des données et, notamment, empêcher que des tiers non autorisés y aient accès. Les accès au système d’information et les opérations effectuées sur les supports d’enregistrement des données sont tracés.
Les mesures de sécurité envisagées n’appellent pas d’observations particulières ; la Commission rappelle cependant la nécessité d’une mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
S’agissant de la durée de conservation, lorsqu’un contrat est conclu, les rapports traités et composés par la société Chevron Oronite SAS sur la base des informations recueillies et sélectionnées, lors des différentes étapes de vérification, sont conservés en base active pendant 90 jours à compter de l’évaluation, quel que soit le niveau du risque identifié. Les données sont ensuite archivées pendant dix ans pour pouvoir justifier, le cas échéant, des diligences auprès des autorités compétentes.
Lorsqu’un contrat est conclu avec un partenaire commercial, la preuve des vérifications opérées sur les dirigeants et/ou associés est conservée pendant la durée du contrat concerné qui peut aller de trois à cinq ans, puis les données sont versées en archives pendant six ans à compter de la fin de la relation contractuelle.
En fin, le processus de vérification fait intervenir un prestataire extérieur situé aux Etats-Unis qui a fait l’objet d’une certification « Safe Harbor ».
Autorise, conformément à la présente délibération, la société Chevron Oronite SAS à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN