(Demande d’autorisation n° 1810524)
La Commission nationale de l'informatique et des libertés,
Saisie par la société par actions simplifiée ADP France d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la réalisation d’un processus d’audit interne ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses article 9 et 25 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme. Marie-France MAZARS, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le groupe de sociétés ADP, dont la maison mère est située aux Etats-Unis d’Amérique (USA), assure en France des prestations de services dans le domaine de la paie et des ressources humaines.
Le groupe ADP emploie en France environ 2.400 employés repartis en trois sociétés (ADP Europe, ADP France et ADP GSI France) et compte près de 12.000 entreprises clientes, ainsi que 1.000 fournisseurs.
Sur la finalité
La société par actions simplifiée ADP France a déposé une demande d’autorisation préalablement à la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un processus d’audit interne
visant à détecter d’éventuelles fraudes en compléments des outils déjà utilisé dans ce cadre.
Afin de mieux maitriser les risques juridiques et financiers qui pèsent sur lui, le groupe ADP souhaite en effet mettre en œuvre un nouveau processus d’audit interne qui consiste à détecter d’éventuelles fraudes grâce à un outil configuré pour extraire et analyser automatiquement des données à caractère personnel.
Pour atteindre cet objectif, le groupe ADP, en se fondant sur des mécanismes de fraudes habituellement rencontrés dans le monde des affaires, a défini trois types de scénarios permettant de détecter des fraudes  RH , des faits de corruption ou des fraudes aux achats.
Les fraudes  RH  pourront être détectées par l’analyse des augmentations de salaire sur les trois dernières années et  l’analyse des frais professionnels, afin de rechercher des situations anormales telles que des dépenses remboursées deux fois, des dépenses effectuées pendant les week-ends ou encore des dépenses supérieures au plafond autorisé par la politique interne.
Les faits présumés de corruption pourront, quant à eux, être détectés par l’analyse des frais professionnels, afin de vérifier si les frais engagés pour des activités avec des personnalités officielles sont conformes à la politique du groupe, et l’analyse des correspondances entre les noms des fournisseurs et des clients pour vérifier que les conditions commerciales sont conformes aux prix du marché, à la règlementation anti-corruption et au code d’éthique du groupe ADP. La Commission relève à cet égard que certaines de ces vérifications impliquent la mise en œuvre d’une interconnexion de fichier entre un extrait du fichier relatif aux clients de la société ADP France, d’une part, et un extrait du fichier relatif à ses fournisseurs, d’autre part.
Enfin, les éventuelles fraudes aux achats pourront être détectées par l’analyse des factures des fournisseurs, l’analyse des montants versés aux fournisseurs ou l’analyse des augmentations des achats par type d’achats sur les trois dernières années,  afin de détecter des situations anormales ou des augmentations inhabituelles.
En cas de détection d’une situation potentiellement anormale, le département de l’audit interne, rattaché à la maison mère du groupe ADP située aux USA et composé notamment de trois collaborateurs basés en Europe en charge du contrôle interne des filiales françaises, demandera à accéder aux documents et justificatifs nécessaires pour s’assurer du caractère légitime de l’opération.
Lorsque la situation n’aura pu être clarifiée à l’issue de ces premières vérifications, le dossier sera transmis par le département de l’audit interne au département de l’éthique, composé de trois personnes dépendant du service juridique de la maison mère du groupe ADP et chargées des questions liées à l’éthique des affaires et de répondre aux interrogations des employés relatives aux codes de conduite du groupe, pour qu’une enquête plus poussée soit réalisée par les membres habilités de ce dernier département.
Dans la mesure où le traitement pour lequel la société ADP France a sollicité une autorisation implique l’interconnexion de fichiers ayant des finalités principales différentes, d’une part, et qu’il est susceptible de porter sur des données relatives à des infractions pénales, d’autre part, la Commission considère qu’il y a lieu de faire application des dispositions du 3° et du 6° du I de l’article 25 de la loi du 6 janvier 1978 modifiée, qui soumettent à une autorisation de la Commission la mise en œuvre d’un tel traitement.
Au regard des éléments ci-dessus reproduits, la Commission considère que la finalité du traitement objet de la présente délibération est déterminée, explicite et légitime.
Sur les données traitées
Les données du présent traitement concernent les employés, les clients et les fournisseurs de la société ADP France et sont relatives à :
La Commission relève que les membres habilités du département de l’audit interne, pour exercer leurs missions, utilisent des documents sur lesquels les noms et les prénoms des collaborateurs de la société ADP France sont remplacés par leurs matricules, de façon à ne pas permettre une identification durant la phase d’analyse. Les noms des collaborateurs ne sont utilisés qu’à la suite de la détection d’une situation anormale, si cela apparait utile à l’enquête ou pour expliquer la situation.
l’identification des personnes concernées : matricules, noms et prénoms des collaborateurs, noms des fournisseurs et des clients ;
la vie professionnelle : montants, types d’achats, documents et justificatifs relatifs à une relation contractuelle ;
la situation économique et financière : rémunérations annuelles ; numéros de comptes bancaires ; informations relatives à une dépense professionnelle (montant, date, justificatifs, conditions commerciales, approbation interne), informations relatives à une transaction (montant, date, descriptif, numéros de comptes) ;
des infractions pénales.
La Commission relève, par ailleurs, que toute situation identifiée comme inhabituelle doit faire l’objet d’une analyse individuelle par un membre du département de l’audit interne.
La Commission relève enfin que le traitement soumis à son examen est susceptible de porter sur des données relatives à des infractions pénales. Conformément à la jurisprudence du Conseil d’Etat, la Commission considère en effet que le champ d'application de l’article 25 de la loi Informatique et Libertés couvre non seulement les données relatives aux infractions pénales elles-mêmes, mais également les données qui, en raison des finalités du traitement, ne sont collectées que dans le but d'établir l'existence ou de prévenir la commission d'infractions pénales, y compris par des tiers.
S’agissant de la collecte de données relatives à des infractions pénales, la Commission rappelle que les personnes physiques et morales, en application de l'article 9 de la loi du 6 janvier 1978 modifiée et de la décision n° 2004-499 DC du 29 juillet 2004 du Conseil constitutionnel, sont fondées à traiter de telles données en qualité de victime dans le cadre de la préparation et de l’exercice d’un recours juridictionnel. Par une réserve d'interprétation, le Conseil a en effet estimé que la déclaration d'inconstitutionnalité des dispositions du 3° de l'article 9 de la loi du 6 janvier 1978 modifiée ne saurait être interprétée comme privant d'effectivité le droit d'exercer un recours juridictionnel dont dispose toute personne physique ou morale, s'agissant des infractions dont elle a été victime.
La Commission considère dès lors que la collecte de données pouvant se rapporter à des infractions pénales, effectuée dans le but de détecter d’éventuelles fraudes au préjudice de la société ADP France avant d’engager les actions nécessaires, est légitime et conforme aux dispositions de l’article 9 de la loi du 6 janvier 1978 modifiée tel qu’interprété par le Conseil constitutionnel.
La Commission estime dès lors que les données précédemment listées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie par le responsable de traitement.
Sur les destinataires
Seuls les employés habilités à mener les opérations d’audit précitées ou à gérer les suites données aux constatations issues de ces dernières peuvent accéder aux données du présent traitement, à savoir les membres :
La Commission relève que le département d’audit est également chargé de faire un rapport d’activité annuel au Comité d’audit du groupe ADP, sous la forme de statistiques générales agrégées rendant impossible l’identification des personnes concernées.
du département de l’audit interne habilités à effectuer les premières vérifications ;
du département de la société ADP France concerné par un signalement afin d’apporter leur concours aux premières vérifications (département des ressources humaines pour les scénarios de détection de fraudes RH, département de la comptabilité pour obtenir copie de documents commerciaux, etc.), ainsi que le manager ayant validé l’opération concernée ;
du département de l’éthique pour mener une enquête sur la situation, lorsque les analyses menées par l’audit interne auront préalablement permis de conclure à la pertinence de l’alerte, si nécessaire avec l’aide d’un collaborateur du département approprié de la société ADP France, d’un traducteur et d’un membre de l’équipe  Global Security Organization  ;
du service juridique de la société ADP France, du service des ressources humaines de la société ADP France, du service de la société ADP France concerné par la fraude, ainsi que les managers concernés, et ce, pour déterminer et mettre en œuvre les suites à donner (sanction disciplinaire, poursuites judiciaires, résiliation du contrat de fourniture, etc.) ;
du Comité d’éthique du groupe ADP en cas de fraudes particulièrement graves, notamment en cas d’implication d’un haut-dirigeant.
Les données du présent traitement peuvent enfin être transmises à des auxiliaires de justice et à l’autorité judiciaire dans le cadre de la préparation ou de l’exercice d’un recours juridictionnel.
La Commission considère que les destinataires précédemment listés ont un intérêt légitime à accéder aux données du présent traitement, sous réserve que les données rendues accessibles présentent un lien direct et nécessaire avec leurs fonctions.
Sur l’information et le droit d’accès
Les clients et fournisseurs sont informés, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par l’envoi d’un courrier, qui sera par la suite adapté avant d’être intégré dans les documents contractuels types du groupe ADP, ainsi que par une mention spécifique ajoutée dans les contrats signés avec des cocontractants présentant un risque particulier.
Les employés sont quant à eux informés, également conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention dans la rubrique ressources humaines de l’intranet.
Le Comité d’entreprise et le Comité d’hygiène, de sécurité et des conditions de travail ont également été informés.
La Commission considère que ces modalités d’information sont satisfaisantes.
Elle relève, par ailleurs, qu’une personne concernée par une enquête est informée de l’existence de cette dernière, dès l’enregistrement des données la concernant. Si des mesures conservatoires sont jugées nécessaires, notamment pour prévenir la destruction de preuves, cette information peut néanmoins être délivrée après l’adoption des mesures conservatoires précitées.
Les droits d’accès, de rectification et d’opposition pour motif légitime, prévus par les articles 38, 39 et 40 de la loi du 6 janvier 1978 modifiée, s’exercent auprès du département des ressources humaines.
La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
Le responsable d’un traitement de données à caractère personnel, en application de l’article 34 de la loi du 6 janvier 1978 modifiée, doit prendre toutes les précautions utiles pour préserver la sécurité des données collectées et traitées, au regard de la nature des données, des risques présentés par le traitement, et notamment empêcher que des tiers non autorisés y aient accès par l’intermédiaire de mesures de sécurité physiques, logiques et organisationnelles.
En l’espèce, la Commission relève l’existence de mesures de sécurité prises par le responsable de traitement afin de préserver la sécurité des données et, notamment, empêcher que des tiers non autorisés y aient accès.
L’authentification des utilisateurs est assurée par des mots de passe, valables quatre-vingt dix jours, composés au moins de huit caractères et contenant une majuscule, une minuscule, un chiffre et un caractère spécial. Les mots de passe ne peuvent  par ailleurs contenir plus de quatre caractères répétitifs.
Des profils d’habilitation définissent les données et les fonctionnalités accessibles en fonction des rôles des différents utilisateurs. A cet égard, la Commission rappelle que la gestion des habilitations doit faire l’objet de procédures formalisées validées par le responsable de traitement et portées à la connaissance des utilisateurs, et être régulièrement mise à jour.
Les échanges de données sont sécurisés par l’utilisation d’un réseau privé virtuel (VPN).
Les ordinateurs et autres terminaux portables, ainsi que les supports disques et les clefs USB, font l’objet d’un procédé de cryptographie (AES 256).
Des sauvegardes régulières permettent de garantir l’intégrité et la disponibilité du système. Les sauvegardes sont stockées dans un lieu garantissant leur confidentialité.
Les interventions de maintenance sont enregistrées dans une main-courante. Les opérations de maintenance qui nécessitent d’accéder à des données à caractère personnel sont par ailleurs effectuées selon une procédure particulière. La maintenance des matériels par un sous-traitant est ainsi faite en présence d’un informaticien de l’entreprise.
Des mesures de sécurité physiques protègent l'accès aux locaux et les équipements.
Une fonctionnalité de journalisation a été définie pour les opérations de consultation, de création, de  mise à jour et de suppression. Les accès à l’application font ainsi l’objet d’une journalisation répertoriant la date et l’heure de connexion, l’identifiant du poste de travail, l’identifiant de l’utilisateur et la date et l’heure de déconnexion. A cet égard, la Commission recommande qu’un contrôle des traces soit effectué de manière automatique, pour détecter les comportements anormaux, et de prévoir des mesures pour assurer l’intégrité des traces.
Sous réserve de ses observations précédentes, la Commission estime que les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
A toutes fins utiles, la Commission rappelle que l'usage d'outils ou de logiciels développés par des tiers dans le cadre de la mise en œuvre d'un traitement de données à caractère personnel reste sous la responsabilité du responsable de traitement qui doit notamment vérifier que ces outils ou logiciels respectent l'ensemble des obligations que la loi du 6 janvier 1978 modifiée met à sa charge.
Elle rappelle également qu’un responsable de traitement conserve la responsabilité des données à caractère personnel communiquées ou gérées par ses sous-traitants et, le cas échéant, que le contrat établi entre les parties doit mentionner les objectifs de sécurité qu'un sous-traitant doit respecter.
La Commission rappelle enfin que l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée nécessite la mise à jour des mesures de sécurité, au regard de la réévaluation régulière des risques et de l’évolution des technologies.
Sur les autres caractéristiques du traitement
Les données collectées et traitées dans le cadre des opérations d’audit précitées sont conservées jusqu’à la fin du processus d’audit trimestriel suivant, ce qui implique une durée de conservation maximale des données de six mois.
Lorsqu’une enquête est engagée à la suite de la détection d’une situation inhabituelle, les données sont conservées jusqu’à la fin de l’enquête.
En cas de clôture sans suite de cette dernière, les données sont conservées jusqu’à la fin du processus d’audit trimestriel suivant.
Si une procédure disciplinaire ou des poursuites judiciaires sont envisagées, les données sont conservées pendant la durée de la procédure ou jusqu’à la prescription de l’action en justice correspondante et, le cas échéant, supprimées à compter du prononcé de la décision définitive.
La Commission considère que les données enregistrées dans le traitement sont conservées pour une durée qui n’excède pas la durée nécessaire à la finalité pour laquelle elles sont collectées et traitées.
S’agissant des transferts de données transfrontaliers, la Commission relève que les transferts réalisés vers la maison mère du groupe ADP basée aux USA ont pour finalité la lutte contre la fraude interne. Ils sont encadrés par un contrat rédigé sur le modèle des clauses contractuelles élaborées par la Commission européenne relatives aux transferts de données de responsable de traitement à responsable de traitement.
Autorise, conformément à la présente délibération, la société par actions simplifiée ADP France à mettre en œuvre le traitement susmentionné.
Pour La Présidente
La Vice-Présidente déléguée,
M.-F. MAZARS