(Demande d’autorisation n° 1776592)
La Commission nationale de l'informatique et des libertés,
Saisie par la société GDF SUEZ SA d’une demande d’autorisation concernant la mise en œuvre d’une interconnexion entre ses fichiers actionnaires et clients/prospects ayant pour finalité l’enrichissement du fichier actionnaires avec les adresses électroniques de ses clients qui sont également actionnaires de la société, à des fins de communication par voie électronique ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-5° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Eric PERES, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le responsable de traitement est la société GDF SUEZ SA.
Sur la finalité
La société GDF SUEZ SA souhaite interconnecter ses fichiers actionnaires et clients/prospects afin d’enrichir le fichier actionnaires avec les adresses électroniques de ses clients qui sont également actionnaires de la société, à des fins de communication par voie électronique.
En effet, jusqu’à présent, la société GDF SUEZ SA adressait des informations relatives à la société à une partie de ses actionnaires par courrier postal. En raison du coût de ces modalités de communication, et du nombre élevé d’actionnaires, tous les actionnaires n’étaient pas destinataires de ces courriers.
Aussi, la société GDF SUEZ SA souhaite dématérialiser sa communication afin de pouvoir l’adresser à davantage d’actionnaires. La communication par voie électronique vise également une mise en conformité avec la politique de développement durable de la société.
Cette communication comporte des informations relatives à la société, à ses résultats ou à des événements organisés à l’intention des actionnaires.
L’interconnexion est réalisée une seule fois et n’a pas vocation à être réitérée, l’adresse électronique étant dorénavant collectée directement auprès des nouveaux actionnaires.
L’adresse électronique des actionnaires est uniquement utilisée pour leur adresser des informations relatives à la société. L’adresse électronique ne sera pas utilisée à des fins de prospection commerciale.
La Commission considère que la finalité de l’interconnexion est déterminée, explicite et légitime au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Par ailleurs, la Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-5° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements ayant pour objet l’interconnexion de fichiers dont les finalités principales sont différentes.
Sur les données traitées
L’interconnexion entre les fichiers actionnaires et clients/prospects est réalisée à partir des données suivantes : nom, prénom et adresse postale.
Lorsque ces données permettent d’identifier une personne figurant dans les deux fichiers, le fichier actionnaires est enrichi de l’adresse électronique de cette personne.
Compte tenu de la finalité poursuivie, la Commission considère que la collecte de cette donnée est pertinente, adéquate et non excessive au sens de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les données issues de l’interconnexion sont intégrées dans le fichier actionnaires et sont accessibles par les agents du Service Relations Actionnaires.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
S’agissant des modalités d’information des personnes, il est prévu que le premier courriel adressé aux actionnaires contienne l’ensemble des mentions prévues à l’article 32-I de la loi du 6 janvier 1978 modifiée et, notamment, l’identité du responsable de traitement, les finalités de l’interconnexion autorisée par la CNIL ainsi que les modalités d’exercice des droits des personnes concernées.
En outre, à l’occasion de toute opération de communication, il est prévu que les modalités d’exercice des droits d’accès, de rectification et d’opposition soient rappelées aux personnes concernées. Une mention d’information précise ainsi que les actionnaires peuvent faire valoir leurs droits en adressant une demande au Service Relations Actionnaires, par courrier postal ou par courriel.
S’agissant plus spécifiquement du droit d’opposition, les actionnaires peuvent s’opposer à la réception de courriels contenant des informations relatives à la société en cochant la case prévue à cet effet dans les courriels. Si l’actionnaire était initialement destinataire de ces informations, celles-ci lui parviendront à nouveau par courrier postal.
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
L’interconnexion est effectuée sur des ressources informatiques internes à la société GDF SUEZ SA, qui font l’objet de mesures de sécurité suffisantes. Un mécanisme d’interconnexion VPN est utilisé.
Le système d’information bénéficie de mesures assurant la sauvegarde, de mesures visant à assurer la confidentialité des données lors des opérations de maintenance des logiciels ou des équipements, et de mesures de sécurité prémunissant du risque d’intrusion.
Des profils d’habilitation définissent les fonctions ou les types d’informations accessibles à un utilisateur.
L’authentification des utilisateurs se fait par l’intermédiaire d’un mot de passe composé de huit caractères alphanumériques, renouvelé tous les trois mois. La Commission rappelle qu’en matière de mot de passe, il est nécessaire que ces derniers intègrent au minimum trois des quatre complexités suivantes : majuscules, minuscules, chiffres, caractères spéciaux.
Une journalisation des accès aux données à caractère personnel est mise en œuvre, lors des actions de consultation et de suppression.
Les mesures de sécurité décrites par la société GDF SUEZ SA sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les données issues de l’interconnexion sont intégrées au fichier actionnaires et conservées pendant les durées de conservation prévues pour ce fichier, à savoir deux ans maximum à compter de la perte de la qualité d’actionnaire (cette durée correspondant à la fréquence des enquêtes « Titres au porteur - TPI » menées pour connaître, à un instant donné, l’intégralité des actionnaires de GDF SUEZ SA et, ainsi, mettre à jour le fichier).
La Commission considère que ces durées de conservation sont proportionnées au regard de la finalité poursuivie.
S’agissant de la mise à jour du fichier actionnaires, la Commission prend acte du fait qu’elle est effectuée par le Service Relations Actionnaires, pour tenir compte des demandes formulées sur le fondement des articles 38 et 40 de la loi du 6 janvier 1978 modifiée. Une fois l’interconnexion réalisée, et le fichier actionnaires enrichi, ce service effectue également une vérification humaine pour mettre à jour le fichier et, notamment, tenir compte des adresses électroniques qui ne sont plus valides.
Autorise, conformément à la présente délibération, la société GDF SUEZ SA à interconnecter ses fichiers actionnaires et clients/prospects pour la finalité et dans les conditions susmentionnées.
La Présidente
I. FALQUE-PIERROTIN