(Demande d’autorisation n° 1700039)
La Commission nationale de l'informatique et des libertés,
Saisie par la société BMW France d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion et le suivi du précontentieux et du contentieux ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9 et 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Eric PERES, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le responsable de traitement est la société BMW France.
Responsable du traitement
Le responsable de traitement est la société BMW France.
Sur la finalité
La finalité du présent traitement est la gestion et le suivi du précontentieux et du contentieux pouvant survenir entre la société BMW France et ses salariés, ses fournisseurs, ses clients ou toute autre personne.
La Commission estime que les finalités poursuivies sont déterminées, explicites et légitimes.
Par ailleurs, l’article 9 de la loi du 6 janvier 1978 modifiée prévoit que le traitement de données relatives aux infractions, condamnations et mesures de sûreté ne peut être mis en œuvre que par :
« 1° Les juridictions, les autorités publiques et les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales ;
2° Les auxiliaires de justice, pour les stricts besoins de l’exercice des missions qui leur sont confiées par la loi ;
3° [Dispositions déclarées non conformes à la Constitution par décision du Conseil constitutionnel n° 2004-499 DC du 29 juillet 2004 ;]
4° Les personnes morales mentionnées aux articles L. 321-1 et L. 331-1 du code de la propriété intellectuelle, agissant au titre des droits dont elles assurent la gestion ou pour le compte des victimes d’atteintes aux droits prévus aux livres Ier, II et III du même code aux fins d’assurer la défense de ces droits ».
Dans sa décision du 29 juillet 2004, le Conseil Constitutionnel a déclaré non conforme à la Constitution l’article 9-3° de la loi du 6 janvier 1978 modifiée qui permettait à une personne morale de droit privé, mandatée par d’autres personnes morales estimant avoir été victimes ou être susceptibles d’être victimes d’agissements passibles de sanctions pénales, de rassembler des données portant sur des infractions, condamnations ou mesures de sûreté, au motif de son caractère trop général et du manque de précision sur les garanties devant encadrer ce type de traitement.
Pour autant, le Conseil Constitutionnel a précisé que cette annulation ne saurait être interprétée comme « privant d’effectivité le droit d’exercer un recours juridictionnel dont dispose toute personne physique ou morale s’agissant des infractions dont elle a été victime ».
Ainsi, la Commission considère qu’il y a lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté.
Sur les données traitées
Les données collectées sont relatives :
De plus, afin d’assurer la traçabilité des accès, BMW collectera les données de connexion suivantes : logs de connexion aux fichiers Excel contenant les données à caractère personnel de gestion et de suivi du précontentieux et du contentieux.
à l’identification des personnes concernées : nom, prénom, photographie, adresse, date et lieu de naissance, éléments figurant sur un titre d'identité ;
à la vie personnelle : situation familiale ;
à la vie professionnelle : curriculum vitae, scolarité, formation, distinction ;
aux informations d’ordre économique et financier : revenus ;
aux infractions, condamnations et mesures de sûreté ;
aux informations communiquées par la personne concernée dans le cadre du contentieux ou pièces jointes à la procédure.
La Commission considère ainsi que les données traitées sont pertinentes au regard de la finalité poursuivie.
Sur les destinataires
Les destinataires des données sont les seuls conseils juridiques et auxiliaires de justice intervenant dans la procédure concernée.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, préalablement à la mise en œuvre du traitement, par une mention d’information qui figure dans les documents contractuels.
Les droits d’accès et de rectification s’exercent auprès des services suivants :
à l’adresse suivante : BMW France, 3, avenue Ampère – 78180 MONTIGNY LE BRETONNEUX, ou à l’adresse électronique : mesdonneespersonnelles@bmw.fr.
pour les salariés, auprès de la direction des ressources humaines ;
pour les fournisseurs, auprès du service achats ;
pour les clients, auprès du centre de relations clientèle ;
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
Il existe un mécanisme d’authentification des personnes habilitées à accéder à l’application avec des profils d’habilitation et un contrôle d’accès logique qui se fait par mot de passe. Le mot de passe est composé de huit caractères minimum, contenant des lettres majuscules, des lettres minuscules, et des caractères spéciaux. Le renouvellement est opéré tous les 90 jours. Le compte est bloqué après 3 tentatives de mots de passe erronés.
Le traitement met en œuvre une journalisation des accès à l’application concernant la création, la mise à jour, et la suppression des données. Cette traçabilité s’appuie sur la collecte des données de connexions au fichier Excel. Par ailleurs, les actions effectuées par les juristes en charge du contentieux sont tracées afin de permettre de détecter et d’analyser tous les accès, modifications et suppressions de données non autorisés.
Le fichier de gestion des précontentieux ou contentieux concernés se présente sous la forme d’un fichier Excel hébergé dans un espace de stockage uniquement accessible aux personnes habilitées.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les données relatives à l’identification des personnes concernées peuvent provenir de titres d’identité joints aux attestations produites en justice. La Commission prend note de ce que ces titres d’identité ne seront pas numérisés.
Les données sont conservées pendant la durée de la procédure judiciaire.
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, la société BMW France à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN