La Commission nationale de l'informatique et des libertés,
Saisie par la société par actions simplifiée ACCENTURE d'une demande d'autorisation concernant la mise en œuvre d'un traitement automatisé de données à caractère personnel ayant pour finalité de garantir la confidentialité et la sécurité de certaines des données à caractère personnel confiées par ses clients ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses article 25-I-6° et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu Madame Marie-France MAZARS, commissaire, en son rapport, et Monsieur Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission nationale de l'informatique et des libertés a été saisie par la société par actions simplifiée Accenture, sur le fondement de l'article 25-I-6° de la loi du 6 janvier 1978 modifiée, d'une demande d'autorisation préalablement à la mise en œuvre d'un traitement de données à caractère personnel ayant pour finalité de garantir la confidentialité et la sécurité de certaines des données à caractère personnel confiées par ses clients.
Sur la finalité du traitement :
La société par actions simplifiée Accenture assure notamment des missions de conseil ou de prestation de service au profit de ses clients, qu'il s'agisse de la comptabilité, de la gestion de la paie ou de l'externalisation de processus métiers pour le compte d'organismes financiers, d'employeurs ou de fournisseurs de prestations de santé.
Au titre de ses obligations, notamment au regard de l'article 34 de la loi du 6 janvier 1978 modifiée et des contrats signés avec ses partenaires commerciaux, elle est tenue de garantir la sécurité des données qui lui sont confiées.
Afin de détecter et de prévenir la perte de ces données, ainsi que leur diffusion accidentelle ou malveillante, un outil dit de  Data Loss Prévention (DLP)  analysera les réseaux internes de la société, les postes de travail professionnels ainsi que les points de sortie des réseaux internes.
Seules les données préalablement définies, qui exigent un haut niveau de sécurité, appelées données cibles, seront recherchées par cet outil. En l'espèce, les données cibles sont des numéros d'inscription des personnes au répertoire national d'identification des personnes physiques (ou numéros de sécurité sociale) et des numéros de cartes bancaires.
En cas de détection d'une transmission de données contenant des données cibles, l'utilisateur sera informé, par l'affichage d'une fenêtre d'avertissement ou l'envoi d'un courriel automatique, qu'il s'apprête à réaliser une opération soumise à restriction qui fera l'objet d'une analyse par les personnes habilitées en cas de persistance.
A cette occasion, il lui sera demandé de confirmer ou d'abandonner son action et, en cas de poursuite, d'expliquer la raison de son choix parmi un menu prédéfini.
Si l'utilisateur décide de ne pas poursuivre son action, l'outil DLP enregistrera une trace de cet évènement pendant trois jours mais aucune analyse ne sera effectuée par les personnes habilitées à analyser la légitimité d'une opération.
En cas de persistance de l'action, quel que soit le motif invoqué par l'utilisateur, l'outil DLP générera automatiquement un extrait des données concernées, constitué des vingt caractères qui précèdent et qui suivent les données cibles. Cet extrait sera par la suite adressé aux personnes chargées d'étudier la légitimité de l'opération effectuée, dans le respect des procédures internes et de la législation applicable.
En complément de l'analyse de la légitimité des opérations effectuées sur les données cibles, l'outil DLP permettra également, en cas de découverte de pratiques de gestion de données non sécurisées, d'apporter les mesures correctives nécessaires pour éviter leur réitération.
La Commission considère que les finalités poursuivies par la société par actions simplifiée Accenture sont déterminées, explicites et légitimes.
Elle estime qu'il y a lieu de faire application de l'article 25-I-6° de la loi du 6 janvier 1978 modifiée, qui soumet à autorisation les traitements portant sur des données parmi lesquelles figure le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques.
A ce titre, elle rappelle que les traitements dit de DLP relèvent, en principe, de la procédure de déclaration normale, sauf lorsqu'ils portent sur des données dont le traitement doit être autorisé par la Commission tel que prévu par l'article 25 de la loi du 6 janvier 1978 modifiée.
Sur la nature des données collectées et traitées :
Les données à caractère personnel collectées par l'outil DLP sont relatives à des :
- données d'identification (adresse e-mail) ;
- informations d'ordre économique et financier (numéros de cartes bancaires) ;
- numéros d'inscription des personnes au répertoire national d'identification des personnes physiques (numéros de sécurité sociale).
L'outil DLP est configuré pour rechercher et sécuriser uniquement les données qui, en raison de leur nature, exigent un haut niveau de sécurité.
En l'espèce, les données cibles recherchées comprennent uniquement des numéros de sécurité sociale et des numéros de cartes bancaires.
Par ailleurs, pour réduire le nombre de faux incidents, le responsable de traitement a décidé qu'une alerte ne sera émise qu'en cas de détection d'au mois vingt-cinq numéros de sécurité sociale ou d'au moins vingt-cinq numéros de cartes bancaires.
Les données stockées dans les boites de réception ou les dossiers des employés ne sont pas analysées par l'outil DLP tant qu'elles ne font pas l'objet d'une transmission.
En cas de transmission, les courriers électroniques et les fichiers identifiés par leurs émetteurs comme étant  privés  sont également exclus du champ d'application du présent traitement, ce qui apporte une garantie quant au respect du secret des correspondances privées.
La Commission considère que le traitement des données précédemment listées est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
Elle précise que l'ajout d'un nouveau type de données cibles dont le traitement est , en application de la loi du 6 janvier 1978 modifiée, soumis à autorisation préalable de la Commission devra faire l'objet d'une nouvelle demande d'autorisation.
Sur les destinataires des données :
Les données du présent traitement seront transmises pour instruction :
- aux membres habilités du service chargé de la sécurité (SOC) de la société Accenture LLP ;
- aux membres habilités du service chargé de la réponse aux incidents informatiques (CIRT) de la société Accenture LLP.
En cas de détection d'une anomalie par ces personnes, les données pourront être transmises :
- aux membres habilités du service  Corporate investigation  de la société Accenture LLP ;
- aux membres habilités du service des ressources humaines de la société par actions simplifiée Accenture ;
- au(x) manager(s) concerné(s) de la société par actions simplifiée Accenture ;
- au Data privacy officer de la société par actions simplifiée Accenture chargé de garantir la protection des données à caractère personnel.
La Commission considère que ces destinataires présentent un intérêt légitime à connaître des données collectées par l'intermédiaire de l'outil DLP.
Elle relève, par ailleurs, que le client concerné par une anomalie se rapportant aux données à caractère personnel confiées à la société par actions simplifiée Accenture pourra être informé de l'incident.
Sur la durée de conservation des données :
Les données relevant de la vie privée des utilisateurs qui seraient collectées, malgré les précautions prises en amont par le responsable de traitement, seront immédiatement détruites.
Les données relatives à une alerte ne mettant pas en lumière une anomalie seront détruites au plus tard trois jours à compter du constat.
En cas de mise à jour d'une anomalie, les données seront conservées le temps nécessaire à la réalisation de l'enquête associée, dans le respect des procédures internes et de la législation applicable.
La Commission considère que ces durées de conservation n'excèdent pas celles qui sont nécessaires à l'accomplissement des finalités poursuivies par le responsable traitement.
Sur le transfert des données en dehors de l'Union européenne :
Les données collectées par l'intermédiaire de l'outil DLP seront envoyées vers un serveur sécurisé situé aux Etats-Unis d'Amérique, aux fins de permettre leur analyse par les membres habilités des services de la société Accenture LLP chargés de la sécurité (SOC) et de la réponse aux incidents informatiques (CIRT), ainsi que par les membres habilités de son service  Corporate investigation .
L'ensemble des données du présent traitement feront l'objet de tels transferts.
Les transferts de données réalisés dans le cadre du présent traitement seront encadrés par les règles internes du groupe Accenture ( Binding Corporate Rules ), validées le 14 mars 2006 par les autorités européennes de protection des données à caractère personnel.
Sur l'information et les droits des personnes :
Les personnes concernées sont informées, conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, par des actions de communication interne, notamment la remise d'une notice d'utilisation avant la mise en œuvre de l'outil DLP expliquant son fonctionnement, par une insertion dans le règlement intérieur et, enfin, par l'affichage d'une fenêtre d'avertissement ou par l'envoi d'un courriel automatique en cas de détection d'une opération soumise à restriction.
Les droits d'accès, de rectification et d'opposition pour motif légitime s'exercent auprès du data privacy officer (DPO) de la société par actions simplifiée Accenture.
La Commission considère que ces modalités d'information et d'exercice des droits des personnes sont satisfaisantes.
Sur la sécurité des données et la traçabilité des actions :
Des profils d'habilitation définissent les données et les fonctionnalités accessibles en fonction des utilisateurs.
Les échanges de données sont sécurisés par l'utilisation d'un procédé de chiffrement (AES 128 bits).
Une fonctionnalité de journalisation des opérations permet d'identifier l'utilisateur à l'origine d'une opération.
Les interventions de maintenance sont enregistrées dans une main courante.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise la société par actions simplifiée ACCENTURE à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité de garantir la confidentialité et la sécurité de certaines des données à caractère personnel confiées par ses clients.
La Présidente
Isabelle FALQUE-PIERROTIN