(Demande d’autorisation n° 1891780)
La Commission nationale de l'informatique et des libertés,
Saisie par la société anonyme d'économie mixte à conseil d'administration ADOMA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la réalisation d’un audit interne ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses article 9 et 25 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence Dumont, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société ADOMA est une société anonyme d'économie mixte à conseil d'administration détenue par la société nationale immobilière (SNI), elle-même détenue par la Caisse des dépôts et consignations (CDC), exerçant des activités dans le domaine du logement social.
Créée par les pouvoirs publics en 1956, initialement pour accueillir des travailleurs migrants, la société ADOMA a vu ses missions évoluer depuis cette date. Elle héberge actuellement plus de 71 000 personnes qui éprouvent des difficultés et ne peuvent accéder à un logement dans le parc immobilier traditionnel (jeunes en insertion, travailleurs précaires, bénéficiaires de minima sociaux, travailleurs migrants, familles monoparentales, etc.). Elle exerce, par ailleurs, des activités de construction, d’acquisition et de réhabilitation de logements. La société ADOMA est également devenue l’un des acteurs majeurs de l'insertion par le logement proposant à ses résidents de bénéficier d’accompagnements sociaux.
Sur la finalité
La société ADOMA a déposé un dossier de demande d’autorisation préalablement à la mise en place d’un traitement automatisé de données à caractère personnel ayant pour finalité la réalisation d’un audit interne, impliquant l’interconnexion de fichiers ayant des finalités principales différentes, visant à s’assurer de l’absence d’irrégularités quant à la gestion des comptes des résidents de l’ensemble de ses résidences.
A l’occasion d’un contrôle de gestion interne diligenté dans l’une des résidences gérées par ADOMA en raison d’un taux anormal d’impayés de redevances, des anomalies de gestion ont été constatées s’agissant des comptes des résidents, faisant craindre l’existence d’escroqueries, d’abus de faiblesse, de faux en écriture et d’usages de faux et justifiant en cela le dépôt d’une plainte.
Pour détecter l’existence éventuelle de tels agissements dans d’autres résidences et, le cas échéant, engager les actions judiciaires nécessaires, la société ADOMA souhaite croiser dans ses fichiers les relevés d’identités bancaires (RIB) de son personnel avec ceux de ses clients pour s’assurer de la bonne affection des fonds perçus par ADOMA pour le compte de ces derniers, en vérifiant notamment que les RIB des résidents n’ont pas été remplacés par fraude ou par erreur. Dans certaines circonstances, la société ADOMA est en effet amenée à percevoir des fonds pour le compte de ses résidents, avant de les affecter à ces derniers, en particulier en cas de restitution des dépôts de garanties ou lorsqu’elle perçoit directement en qualité de bailleur les allocations pour le logement (APL) versées au profit des résidents.
Dans la mesure où ce traitement implique l’interconnexion de fichiers ayant des finalités principales différentes, d’une part, et est susceptible de porter sur des données relatives à des infractions pénales, d’autre part, la Commission considère qu’il y a lieu de faire application des dispositions des 3° et 6° du II de l’article 25 de la loi du 6 janvier 1978 modifiée soumettant à une autorisation de la Commission la mise en œuvre de tels traitements
Au regard des éléments ci-dessus reproduits, la Commission considère que la finalité du traitement objet de la présente délibération est déterminée, explicite et légitime.
Sur les données traitées
Les données du présent traitement concernent les personnes résidant dans une structure d’ADOMA, ainsi que des employés de la société ADOMA et sont relatives à :
La Commission relève que le traitement soumis à son examen, en cas de découverte de manipulations frauduleuses opérées sur les RIB concernés, est susceptible de porter sur des données relatives à des infractions pénales. Conformément à la jurisprudence du Conseil d’Etat, la Commission considère, en effet, que le champ d'application de l’article 25 de la loi Informatique et Libertés couvre non seulement les données relatives aux infractions elles-mêmes, mais également les données qui, en raison des finalités du traitement, ne sont collectées que dans le but d'établir l'existence ou de prévenir la commission d'infractions, y compris par des tiers.
l’identification des personnes : nom, prénoms, adresse ;
la situation économique et financière : RIB, opérations comptables et financières liées à des mouvements de fonds.
La Commission rappelle, s’agissant de la collecte de données relatives à des infractions pénales, que les personnes physiques et morales sont fondées, en application de l'article 9 de la loi du 6 janvier 1978 modifiée tel qu’interprété par le Conseil constitutionnel dans sa décision n° 2004-499 DC du 29 juillet 2004, à traiter de telles données en qualité de victime dans le cadre de la préparation et de l’exercice d’un recours juridictionnel. Par une réserve d'interprétation, le Conseil a en effet estimé que la déclaration d'inconstitutionnalité du 3° de l'article 9 de la loi du 6 janvier 1978 modifiée ne saurait être interprétée comme privant d'effectivité le droit d'exercer un recours juridictionnel dont dispose toute personne physique ou morale, s'agissant des infractions dont elle a été victime.
La Commission considère dès lors que la collecte de données pouvant se rapporter à des infractions pénales est en l’espèce légitime et conforme aux dispositions de l’article 9 de la loi du 6 janvier 1978 modifiée.
La Commission estime, par conséquent, que les données précédemment listées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie par le responsable de traitement.
Sur les destinataires
Seuls les employés de la société ADOMA habilités à mener les opérations d’audit précitées et à gérer les suites données aux constatations issues de ces dernières peuvent accéder aux données du présent traitement.
Ces dernières ne sont pas transmises à un destinataire externe, mais elles peuvent néanmoins être transmises à des auxiliaires de justice et à l’autorité judiciaire dans le cadre de la préparation ou de l’exercice d’un recours juridictionnel.
La Commission considère que ces destinataires présentent un intérêt légitime à accéder aux données du présent traitement, sous réserve que les données rendues accessibles présentent un lien direct et nécessaire avec leurs fonctions
Sur l’information et le droit d’accès
Les personnes concernées par le traitement sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales sur formulaires, une mention sur le site internet de la société, dans les contrats de travail, dans la charte informatique ou par l’envoi d’un courrier personnalisé.
La Commission considère que ces modalités d’information des personnes sont satisfaisantes.
Les droits d’accès, de rectification et d’opposition pour motif légitime, prévus par les articles 38, 39 et 40 de la loi du 6 janvier 1978 modifiée, s’exercent auprès du Secrétariat général basé au siège de la société ADOMA.
La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
Le responsable d’un traitement de données à caractère personnel, en application de l’article 34 de la loi du 6 janvier 1978 modifiée, doit prendre toutes les précautions utiles pour préserver la sécurité des données collectées et traitées, au regard de la nature des données, des risques présentés par le traitement, et notamment empêcher que des tiers non autorisés y aient accès par l’intermédiaire de mesures de sécurité physiques, logiques et organisationnelles.
En l’espèce, la Commission relève l’existence de mesures de sécurité prises par le responsable de traitement afin de préserver la sécurité des données et, notamment, empêcher que des tiers non autorisés y aient accès.
L’authentification des utilisateurs du présent traitement est assurée par des mots de passe. A cet égard, la Commission rappelle que ces derniers doivent respecter ses recommandations en la matière, à savoir comporter au moins dix caractères de trois types distincts.
Des profils d’habilitation définissent les données et les fonctionnalités accessibles en fonction des rôles des différents utilisateurs. A cet égard, la Commission rappelle que la gestion des habilitations doit faire l’objet de procédures formalisées validées par le responsable de traitement et portées à la connaissance des utilisateurs, et être régulièrement mise à jour.
Les échanges de données sont assurés sur un réseau privé au moyen de liaisons spécialisées (LS).
Des sauvegardes régulières permettent de garantir l’intégrité et la disponibilité du système. Les sauvegardes sont stockées dans un lieu garantissant leur confidentialité.
Les interventions de maintenance sont enregistrées dans une main-courante. Les opérations de maintenance qui nécessitent d’accéder à des données à caractère personnel sont par ailleurs effectuées selon une procédure particulière. La maintenance des matériels par un sous-traitant est faite en présence d’un informaticien de l’entreprise et les opérations de télémaintenance sont supervisées par une personne habilitée de la DSI de la société ADOMA.
Des mesures de sécurité physiques protègent l'accès aux locaux et les équipements.
Une fonctionnalité de journalisation a été définie pour les opérations de consultation, de création, de  mise à jour et de suppression. Les accès à l’application font l’objet d’une journalisation répertoriant la date et l’heure de connexion, l’identifiant du poste de travail, l’identifiant de l’utilisateur, la date et l’heure de déconnexion, l’opération effectuée et, enfin, la saisie et les changements de RIB des résidents. Les accès aux fichiers de données à caractère personnel font quant à eux l’objet d’une journalisation répertoriant la date et l’heure d’accès, l’identifiant du poste de travail, l’identifiant de l’utilisateur, la référence des données accédées et, enfin, la saisie et les changements de RIB des résidents. La Commission recommande qu’un contrôle des traces soit effectué de manière automatique, pour détecter les comportements anormaux, et de prévoir des mesures pour assurer l’intégrité des traces.
Sous réserve de ses observations précédentes, la Commission estime que les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle que l'usage d'outils ou de logiciels développés par des tiers dans le cadre de la mise en œuvre d'un traitement de données à caractère personnel reste sous la responsabilité du responsable de traitement qui doit notamment vérifier que ces outils ou logiciels respectent l'ensemble des obligations que la loi du 6 janvier 1978 modifiée met à sa charge.
Elle rappelle également qu’un responsable de traitement conserve la responsabilité des données à caractère personnel communiquées ou gérées par ses sous-traitants et, le cas échéant, que le contrat établi entre les parties doit mentionner les objectifs de sécurité qu'un sous-traitant doit respecter.
La Commission rappelle enfin que l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée nécessite la mise à jour des mesures de sécurité, au regard de la réévaluation régulière des risques et de l’évolution des technologies.
Sur les autres caractéristiques du traitement
Les données collectées et traitées dans le cadre des opérations d’audit précitées sont supprimées du présent traitement dès la constatation d’absence d’opérations frauduleuses.
Dans le cas contraire, c'est-à-dire lorsque des opérations frauduleuses sont soupçonnées sur la base des résultats des opérations d’audit, les données peuvent être conservées jusqu’à la prescription de l’action en justice correspondante ou, le cas échéant, jusqu’au prononcé de la décision définitive.
La Commission considère que les données enregistrées dans le traitement sont conservées pour une durée qui n’excède pas la durée nécessaire à la finalité pour laquelle elles sont collectées et traitées.
Autorise, conformément à la présente délibération, la société anonyme d'économie mixte à conseil d'administration ADOMA à mettre en œuvre le traitement susmentionné.
Pour La Présidente
La Vice-Présidente déléguée,
M.-F. MAZARS