(Demande d’autorisation n° 1897617)
La Commission nationale de l'informatique et des libertés,
Saisie par la Compagnie de Saint-Gobain d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la détection et la prévention de la corruption conformément aux législations anti-corruption américaine et britannique ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 7-5°, 25-I-4° et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-Hélène MITJAVILE, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Groupe Saint-Gobain a pour société mère la compagnie de Saint-Gobain, société anonyme de droit français cotée notamment à la Bourse de Paris. Elle exerce directement ou indirectement un contrôle majoritaire effectif au sein de plus de 1 400 sociétés, groupements et organismes français et étrangers qui lui sont rattachés.
En France, elle exerce son activité dans le marché de l’habitat.
Sur la finalité
Le traitement vise à identifier les transactions présentant un risque de corruption, de blanchiment ou de non-conformité aux règlementations à l’exportation ou aux sanctions économiques, par le biais d’un système reposant sur une évaluation progressive adaptée au risque encouru. La société Saint-Gobain souhaite vérifier l’intégrité des clients et fournisseurs potentiels ainsi que des entités exerçant comme intermédiaires (agents commerciaux, mandataires, etc.). Le traitement porte essentiellement sur des entités personnes morales et de manière ponctuelle sur une catégorie limitée de personnes physiques tels que les dirigeants et les associés.
Dans un premier temps, le responsable chargé d’évaluer l’opportunité d’une relation commerciale pour la société Saint-Gobain, identifie le risque au regard de différentes informations recueillies (taille, volume, fréquence ou nature de la transaction, structure de l’actionnariat, présence d’intermédiaires, pays etc.).
En fonction de ces informations, le responsable qui décide de la transaction, peut estimer qu’il existe un risque qu’il convient d’évaluer. Dans le cas contraire, le partenaire ne donnera pas lieu à une vérification complémentaire.
Lorsque les informations recueillies à l’issue de ce premier niveau de vérification ont révélé un risque (il existe un risque dès lors qu’un critère est atteint), la société Saint-Gobain envoie les données au prestataire européen chargé du deuxième niveau d’analyse, lequel se base sur un outil développé par un prestataire externe.
Les éléments d’information utilisés par ce prestataire procèdent de sources officielles nationales et internationales, des informations issues de la presse, des décisions de justice ou d’autorités publiques.
L’outil fourni par le prestataire de service est configuré de telle sorte que la société Saint-Gobain ne puisse disposer que des informations spécifiques aux domaines de lutte contre la corruption et le blanchiment d’argent.
Les informations détectées lors de ces  opérations de vérification peuvent conduire la société Saint-Gobain à suspendre la transaction engagée avec les personnes concernées, après consultation de listes des personnes faisant l’objet de sanctions financières ou de mesures de restriction.
La Commission considère que les vérifications portant sur ces listes doivent procéder d’une obligation légale et ne doivent porter que sur une catégorie de personnes déterminée au regard du risque encouru conformément au principe de proportionnalité.
Elle rappelle qu’aucune décision de refus d’entrée en relation ne peut être  prise sur la base des seuls éléments d’information recueillis par le biais de l’outil utilisé,  qui devront faire l’objet d’un examen manuel et individuel, permettant de lever les cas d’homonymies.
Cet examen est réalisé par le responsable qui évalue l’opportunité d’une relation commerciale après collecte, le cas échéant,  d’informations complémentaires.
L’examen des cas d’homonymies est réalisé une première fois par comparaison de la base de données fournisseurs / clients au moment de l’installation de l’outil. Ensuite, des vérifications auront lieu avant l’entrée en contact avec un nouveau fournisseur / client.
La Commission considère que sont légitimes les vérifications portant sur les listes appliquées en France et dans le pays d’établissement de la maison mère et émises par une autorité publique dès lors que la société Saint-Gobain est tenue de les appliquer.
Dans ces conditions, la Commission estime que le traitement répond à l’intérêt légitime du responsable du traitement conformément à l’article 7-5° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Dans le cadre de la phase initiale de la procédure de vérification préalable d’intégrité du partenaire commercial, la société Saint-Gobain collecte les données d’identification de la personne : nom, prénom, adresse, date et lieu de naissance, nationalité, fonction de la personne concernée.
Dans le cadre de la seconde phase de vérification, les informations consultées par le biais de l’outil d’investigation concernent :
- les données d’identification ; - la liste officielle nationale et internationale pertinente ;
- en cas d’homonymie, le pourcentage de similarité.
Les vérifications porteront uniquement sur les dirigeants actionnaires, partenaires commerciaux, mandataires sociaux, agents commerciaux.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
Les opérations de vérification réalisées en France seront supervisées par les personnes habilitées du Secrétariat Général (Directeur juridique du Groupe), des Départements juridique, financier, commercial et les membres du réseau conformité de la société Saint-Gobain.
Le centre de service partagé de la société Saint-Gobain (filiale européenne du Groupe effectuant des recherches) procède à l’interrogation de l’outil sur demande de la société Saint-Gobain France.
La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données traitées.
Sur l’information et le droit d’accès
La politique menée par le Groupe Saint-Gobain en matière de lutte contre la corruption et de blanchiment sera mise en ligne sur le site internet du Groupe. Une mention spécifique d’information des personnes concernées sur les conditions dans lesquelles leurs données seront traitées sera insérée dans les conditions générales de vente et les chartes Fournisseurs et Achats.
Les personnes concernées pourront exercer leurs droits d’accès, de rectification et d’opposition auprès du Secrétariat Général à l’adresse suivante : 18, avenue d’Alsace les Miroirs – 92096 LA DEFENSE-CEDEX ou à l’adresse électronique suivante : protectiondesdonnees-screening@saint-gobain.com
Sur les mesures de sécurité
Des mesures sont prises afin de préserver la sécurité et la confidentialité des données et, notamment, empêcher que des tiers non autorisés y aient accès.
La Commission rappelle cependant la nécessité d’une mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. Ainsi, le contrôle d’accès doit se réaliser au moyen de mots de passe suivant les règles suivantes : faire au moins huit caractères, être composé d’au moins 3 types de caractères différents parmi les quatre types de caractères existants (majuscules, minuscules, chiffres et caractères spéciaux), et il ne doit pas avoir de lien avec son détenteur (nom, date de naissance…).
Elle rappelle également que les accès au système d’information et les opérations effectuées sur les supports d’enregistrement des données doivent être tracés, et notamment lorsqu’ils concernent l’accès aux données personnelles de personnes physiques.
Sur les transferts
Le processus de vérification fait intervenir un prestataire extérieur situé hors Union européenne. Les transferts des données sont encadrés par la signature de clauses contractuelles types élaborées par la Commission européenne (responsable de traitement à sous-traitant).
Sur les autres caractéristiques du traitement
Lorsqu’un contrat est conclu, les rapports traités et composés par la société Saint-Gobain sur la base des informations recueillies et sélectionnées, lors des différentes étapes de vérification, sont conservés en base active pendant 90 jours à compter de l’évaluation, quel que soit le niveau du risque identifié. Les données sont ensuite archivées pendant dix ans pour pouvoir justifier, le cas échéant, des diligences auprès des autorités compétentes.
Autorise, conformément à la présente délibération, la Compagnie de Saint-Gobain à mettre en œuvre le traitement susmentionné.
Pour la Présidente
La Vice-Présidente déléguée,
Marie-France MAZARS