(Demande d’autorisation n° 1778960)
La Commission nationale de l'informatique et des libertés,
Saisie par la société ESCO CORPORATION d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion et le suivi des procédures internes, du précontentieux et du contentieux ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9, 25-I-3° et 69;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Maurice RONAI, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le responsable de traitement est la société ESCO CORPORATION (ci-après après désignée ESCO), établie aux Etats-Unis. Cette société est spécialisée dans le commerce de gros d’ustensiles pour les machines-outils servant à l’extraction de matières premières et de ressources naturelles.
Conformément à l’article 5-II de la loi du 6 janvier 1978 modifiée, le responsable de traitement a désigné un représentant établi sur le territoire français, la société ESCO SAS, qui se substitue à lui dans l’accomplissement de la demande d’autorisation.
Sur la finalité
La finalité du traitement de données à caractère personnel est la gestion et le suivi des procédures internes, du précontentieux et du contentieux pouvant survenir entre la société ESCO et ses salariés, ses clients, ses fournisseurs ou toute autre personne sur le territoire français.
A cette fin, des investigations peuvent être menées par la société en cas de détection d’actes pouvant recevoir une qualification pénale (vol, détournement d’actifs, rapports financiers frauduleux, fausses déclarations, etc.).
Le traitement consiste ainsi à mener des enquêtes et des contrôles en vue de confirmer la qualification de ces agissements et dans le but de déposer une plainte, ou de s’en réserver la possibilité. S’agissant des salariés de la société, ces investigations peuvent également déboucher sur des mesures disciplinaires, et notamment la rupture du contrat de travail.
Dans le cadre des investigations diligentées par la société, les personnes suspectées d’avoir commis des actes pouvant recevoir une qualification pénale sont mises en mesure de présenter leurs observations. Les témoins et donneurs d’alerte sont également entendus.
Ce traitement résulte d’une politique mondiale de la société ESCO de gestion et du suivi des procédures internes, du précontentieux et du contentieux. La société ESCO SAS, située en France, est une structure de moins de dix employés, qui ne dispose pas de services impliqués dans la mise en œuvre du traitement (services d’audit, services juridiques, etc.). Les services chargés de la mise en œuvre du traitement sont situés au sein de la société ESCO CORPORATION, responsable du traitement. L’assistance d’ESCO EUROPE DISTRIBUTION SA, située en Belgique, est également requise dans le cadre des enquêtes dans la mesure où les services ressources humaines et informatique couvrant les salariés français sont situés au sein de cette entité.
La Commission considère que la finalité du traitement est déterminée, explicite et légitime au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Par ailleurs, l’article 9 de la loi du 6 janvier 1978 modifiée prévoit que le traitement de données relatives aux infractions, condamnations et mesures de sûreté ne peut être mis en œuvre que par :
« 1° Les juridictions, les autorités publiques et les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales ;
2° Les auxiliaires de justice, pour les stricts besoins de l’exercice des missions qui leur sont confiées par la loi ;
3° [Dispositions déclarées non conformes à la Constitution par décision du Conseil constitutionnel n° 2004-499 DC du 29 juillet 2004 ;]
4° Les personnes morales mentionnées aux articles L. 321-1 et L. 331-1 du code de la propriété intellectuelle, agissant au titre des droits dont elles assurent la gestion ou pour le compte des victimes d’atteintes aux droits prévus aux livres Ier, II et III du même code aux fins d’assurer la défense de ces droits ».
Dans sa décision du 29 juillet 2004, le Conseil Constitutionnel a déclaré non conforme à la Constitution l’article 9-3° de la loi du 6 janvier 1978 modifiée qui permettait à une personne morale de droit privé, mandatée par d’autres personnes morales estimant avoir été victimes ou être susceptibles d’être victimes d’agissements passibles de sanctions pénales, de rassembler des données portant sur des infractions, condamnations ou mesures de sûreté, au motif de son caractère trop général et du manque de précision sur les garanties devant encadrer ce type de traitement.
Pour autant, le Conseil Constitutionnel a précisé que cette annulation ne saurait être interprétée comme « privant d’effectivité le droit d’exercer un recours juridictionnel dont dispose toute personne physique ou morale s’agissant des infractions dont elle a été victime ».
Ainsi, la Commission considère qu’il y a lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté.
Sur les données traitées
Les données collectées sont relatives :
-   à l’identification des personnes concernées : nom, prénom, adresse, photographie, date et lieu de naissance, numéro de téléphone ;
- à la vie professionnelle : curriculum vitae, situation professionnelle, scolarité, formation, distinction ;
-  aux informations d’ordre économique et financier : revenus, situation financière ;
-  aux infractions, condamnations et mesures de sûreté ;
-  aux signalements effectués, aux faits détectés, aux éléments recueillis dans le cadre de la vérification des faits, aux comptes-rendus des opérations de vérification et aux suites données.
Les données collectées et traitées figurent dans un traitement informatisé. Afin d’assurer la traçabilité des accès, la société ESCO collectera les données de connexion suivantes : identifiants des terminaux, identifiants de connexion et information d’horodatage.
La Commission considère que les données traitées sont pertinentes, adéquates et non excessives au regard des finalités poursuivies.
Sur les destinataires
A titre liminaire, il est rappelé que le traitement est mis en œuvre par la maison mère du groupe ESCO, située aux Etats-Unis. Les données sont transférées vers les services compétents de la société, les transferts étant encadrés par les clauses contractuelles européennes issues de la décision 2004/915/CE de la Commission européenne du 27 décembre 2004 concernant les transferts de responsable de traitement à responsable de traitement. La société ESCO EUROPE DISTRIBUTION SA est également destinataire des données, en sa qualité de sous-traitant.
Dans la limite de leurs attributions respectives, et dans la mesure où ces données sont nécessaires à l'accomplissement de leurs missions, seuls peuvent être habilités à accéder à tout ou partie des données, les agents du groupe ESCO appartenant :
-  au service de l’audit interne ;
-  au service juridique ;
-  au département de la conformité ;
-  au département des ressources humaines ;
-  au service comptabilité ;
-  au comité d’audit du Conseil d’administration.
Les personnes habilitées des prestataires de service (conseils extérieurs, sociétés d’audits, agences d’évaluation de crédit, agences de recouvrement,) peuvent être destinataires des données nécessaires à l’accomplissement de leurs missions. Par ailleurs, dans le cadre des enquêtes menées, des institutions financières peuvent être sollicitées.
En outre, lorsque les circonstances le justifient, les autorités compétentes peuvent être destinataires des données.
Ces destinataires, dans la limite de leurs attributions respectives, n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées, préalablement à la mise en œuvre du traitement, par une mention d’information figurant dans les documents contractuels.
Une information complémentaire à l’attention des salariés est mise en place via l’intranet de la société.
Dans le cadre des investigations diligentées par la société, les personnes concernées sont mises en mesure de présenter leurs observations.
La Commission considère que ces modalités d’information sont satisfaisantes au regard de l’article 32 de la loi du 6 janvier 1978 modifiée.
Les personnes concernées peuvent exercer leurs droits d’accès et de rectification, dans les conditions légales, auprès de la société ESCO EUROPE DISTRIBUTION SA, rue des Fours à Chaux, Parc Industriel, 7080 Frameries, Belgique.
Ces modalités d’exercice des droits des personnes n’appellent pas d’observation de la part de la Commission.
Sur les mesures de sécurité
Au titre des mesures de sécurité, la Commission observe que des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin.
Les postes de travail disposent d'un pare-feu logiciel et d'un logiciel antivirus mis à jour régulièrement.
Des sauvegardes régulières sont réalisées, ces sauvegardes sont stockées dans un endroit garantissant leur sécurité et leur disponibilité.
Les supports de stockages usagés ou en panne font l'objet d'une procédure de destruction ou d'effacement sécurisé.
Les interventions de maintenance font l'objet d'une traçabilité.
L'accès aux locaux est restreint au moyen de portes verrouillées contrôlées par un moyen d'authentification personnel.
Une journalisation des opérations de consultation, création et modification du traitement est réalisée.
Les communications intervenant sur le réseau informatique interne sont filtrées.
Les accès distants sont sécurisés afin de garantir la confidentialité et l’intégrité des données.
Les mots de passe ne sont pas conservés en clair et font l’objet d’un hachage avec clé. La Commission prend note qu’une procédure de révision est actuellement en cours au sein de la société et rappelle que les mesures de sécurité doivent correspondre à l’état de l’art, notamment en matière de mot de passe (longueur minimale de 8 caractères, comportant au moins un chiffre, une minuscule et un caractère spécial).
Sur les autres caractéristiques du traitement
S’agissant de la durée de conservation des données à caractère personnel, lorsque les investigations ne sont pas suivies d’une procédure disciplinaire ou judiciaire, les données relatives à l’enquête sont supprimées dans un délai de deux mois maximum à compter de la clôture de l’enquête.
Lorsqu’une procédure disciplinaire ou une procédure judiciaire est engagée à l’encontre de la personne ou de la société mise en cause, les données relatives à l’enquête sont conservées par le département juridique de la société ESCO jusqu’au terme de la procédure.
La Commission estime que les durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, la société ESCO à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN