Délibération n° 2016-352 du 1er décembre 2016 autorisant la société CAPITAL SAFETY GROUP EMEA à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la détection et la prévention de la corruption conformément aux législations anti-corruption américaine et britannique
Nature: Autre autorisation

(Demande d’autorisation n° 1914783)
La Commission nationale de l'informatique et des libertés,
Saisie par la société CAPITAL SAFETY GROUP EMEA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la prévention de la corruption conformément aux législations anti-corruption américaine et britannique ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-4° et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Marie-Hélène MITJAVILE, commissaire, et après avoir entendu les observations de Mme. Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société CAPITAL SAFETY GROUP EMEA est une filiale du groupe 3M.
Le groupe 3M exerce son activité en France autour de plusieurs grands marchés, notamment les secteurs suivants :
Industrie and Transport ;
Protection, Hygiène et Sécurité ;
Signalisation, Communication Graphique et Systèmes pour la Mobilité et l'Interactivité
Electrique, Electronique et Télécommunications ;
Santé ;
Grand Public and Bureaux.
Sur la finalité
La Commission a été saisie par la société CAPITAL SAFETY GROUP EMEA d’une demande d’autorisation sur la base de l’article 25-I-4 de la loi du 6 janvier 1978 modifiée qui prévoit que sont soumis à autorisation préalable les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire.La loi du 20 décembre 1977 « Foreign Corupt Practices Act » (FCPA) et plus récemment la loi britannique « UK Bribery Act » (UKBA) du 8 avril 2010 entrée en vigueur le 1er juillet 2011 ont entraîné l’introduction de pratiques de contrôles préalables dans les grandes entreprises multinationales.La société mère 3M Company, cotée au Dow Jones, est soumise à la FCPA non seulement en ce qui concerne ses propres activités, mais aussi au titre des sociétés non américaines dans le monde entier avec lesquelles elle est affiliée.  Le UKBA a également une application extraterritoriale. Une grande partie de l’activité de 3M en Europe est menée au Royaume-Uni, à travers notamment la société 3M UK, avec laquelle les entités 3M françaises entretiennent des relations étroites.Le renforcement des législations européenne et internationale en matière de lutte contre la corruption, en particulier dans le cadre des relations avec des agents publics ont conduit la société CAPITAL SAFETY GROUP EMEA à mettre en place un système de détection et de prévention de la corruption. Il s’agit de pouvoir identifier des transactions présentant un risque de corruption via un système reposant sur des questionnaires progressifs adaptés au risque encouru. La société 3M souhaite analyser les relations entretenues par ses clients, apporteurs d’affaires, leaders d'opinion, cocontractants, fournisseurs et autres intervenants avec des personnes exerçant des mandats publics présentant un risque de corruption ou de personnes qui sans exercer de mandat public présentent un risque de corruption.La politique de lutte contre la corruption comprend d’une part, des formations régulières dispensées aux équipes internes et, d’autre part, la mise en place de questionnaires « d’intégrité » à l’attention des futurs partenaires commerciaux de 3M, de manière à pouvoir évaluer leur exposition au risque de corruption.Ainsi, dans un premier temps, le futur partenaire commercial est tenu de remplir un questionnaire de « qualification du risque » destiné à déterminer l’existence de liens avec une personne officielle ( personne dépositaire de l’autorité publique, chargée d’un mission de service public ou investie d’un mandat électif public) de manière à donner à 3M une première vision du risque potentiel de corruption attaché à ce partenaire (niveaux 1 à 3).Aucune décision de refus d’entrée en relation ne sera prise sur la base des éléments inscrits dans ce questionnaire.Si les réponses au premier questionnaire font ressortir un risque de corruption, en particulier du fait de l’existence d’une relation entre ce partenaire commercial et une personne officielle, d’autres questionnaires plus approfondis sont utilisés de manière à apporter des précisions supplémentaires nécessaires à l’évaluation du risque de corruption (niveaux 4 à 5).Les questionnaires suivent une politique de gradation du risque (de niveaux 1 à 5) selon des critères objectifs afin de limiter les questions au regard du niveau de risque potentiel identifié. Ces questionnaires supplémentaires sont remplis en collaboration entre 3M et l’entité concernée.Dans le cadre d’une évaluation de risque située au niveau « maximum », il pourrait en outre être demandé au contact de la société CAPITAL SAFETY GROUP EMEA du partenaire commercial de remplir un formulaire en ligne spécifique, dit formulaire « Securimate ». Ce formulaire est utilisé par des prestataires (analystes FCPA) de la société mère 3M Company qui sont chargés de vérifier auprès de sources publiques, par exemple les listes du bureau de l’industrie et de la sécurité des Etats-Unis, l’absence d’implication du partenaire commercial dans des actes de corruption.En fonction des réponses aux questionnaires, la société CAPITAL SAFETY GROUP EMEA peut ainsi mettre à jour des points de vigilance particuliers (dits « Red Flags ») à prendre en compte de manière à assurer une protection contre le risque de corruption.La Commission estime que le traitement répond à l’intérêt légitime du responsable du traitement. 
Sur les données traitées
Dans le cadre de la procédure de vérification préalable d’intégrité du partenaire commercial, la société CAPITAL SAFETY GROUP EMEA collecte les données suivantes :-donnée d’identification du partenaire commercial et du chargé de compte de la société CAPITAL SAFETY GROUP EMEA ;-date et lieu de naissance ;-nationalité (celle figurant sur le Kbis ou les statuts du partenaire commercial) ;-situation professionnelle ;-liens avec le gouvernement, des organismes publics, des fonctionnaires, un bénéficiaire d’opérations ;-vie économique du client entreprise ;-solvabilité ;-existence d’un embargo.Les partenaires commerciaux de la société sont essentiellement des personnes morales, il peut toutefois s’agir de personnes physiques. En effet, le partenaire commercial, sur lequel portera l’investigation (questionnaire externes de niveaux 4 et 5), peut potentiellement être une entreprise unipersonnelle. Les dirigeants des entités concernées peuvent également être visés lors des investigations.S’agissant des questionnaires « securimate » correspondant à l’identification d’un risque élevé, les données complémentaires suivantes seront collectées :-les membres du directoire, les employés-clés, les principaux contacts professionnels devant intervenir sur le marché ;-la réputation de la société (contentieux lié à la corruption) ;-l’historique et le type de relation de la société CAPITAL SAFETY GROUP EMEA ;-les relations de sa société avec des services officiels ou gouvernementaux.Sur la base de ces informations, des recherches d’intégrité sont confiées à des prestataires spécialisés de la société mère 3M Company aux USA. La collecte de données personnelles sera limitée aux seules données nécessaires pour permettre l’évaluation du risque de corruption. La mention suivante figure sur les questionnaires avant toute zone à texte :« Notez uniquement les informations objectives et fiables et seulement si c’est nécessaire ; ne notez aucune information relative à des infractions ou condamnations concernant des personnes physiques ».Seuls des liens vers des informations déjà rendues publiques ou des coupures de presse seront inclus dans les rapports afin de permettre de justifier auprès des autorités des investigations menées dans le cadre de la procédure « securimate ». Les données issues des questionnaires et rapports sont conservées dans la base active 90 jours après la finalisation du processus d’évaluation de l’intégrité, et le cas échéant de la clôture des dossiers comportant un risque particulier (« red flags »).Les données seront ensuite archivées pendant 10 ans pour pouvoir justifier des diligences auprès des autorités. Elles ne seront accessibles qu’à la direction conformité groupe aux Etats-Unis.La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
Les opérations seront supervisées par le Directeur Conformité de la société CAPITAL SAFETY GROUP EMEA avec l’aide de son équipe, il assure le déploiement et la bonne application des règles au niveau local qui sont mises en œuvre sous la responsabilité des directeurs de chaque division commerciale en France.Chaque teneur de compte (commercial, acheteur) n’accède qu’aux questionnaires relatifs à son portefeuille.Une cellule spécifique appelée « Compliance Group » composée de personnels spécialisés a été instituée au sein de la maison-mère américaine et est destinataire des données issues des questionnaires. Le transfert est encadré par des clauses contractuelles types élaborées par la Commission européenne. La cellule pilote les opérations de vérification complémentaires mises en œuvre dans le cadre des questionnaires « securimate » ou en cas d’identification d’un risque avéré.Auront également accès aux données, les services conformité des autres entités du groupe pour les seuls partenaires commerciaux communs et pour les seules données relatives aux résultats de l’évaluation d’intégrité. La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données traitées.
Sur l’information et le droit d’accès 
La politique 3M de lutte contre la corruption est mise en ligne sur le site internet de la société CAPITAL SAFETY GROUP EMEA afin de permettre aux futures partenaires commerciaux de prendre connaissance de la politique en vigueur au sein du groupe.Les contrats commerciaux concernés comportent un article spécifique qui mentionne l’existence du programme de lutte contre la corruption.Les questionnaires soumis aux partenaires commerciaux comportent une mention d’information relative aux droits des personnes.Un contact et une adresse email dédiés seront mis en place de manière à permettre aux personnes concernées de mettre à jour leurs données, de les corriger ou d’en obtenir une copie.
Sur les mesures de sécurité
Des mesures de sécurité sont prises afin de préserver la sécurité et la confidentialité des données et, notamment, empêcher que des tiers non autorisés y aient accès. Les accès au système d’information et les opérations effectuées sur les supports d’enregistrement des données sont tracées.Les mesures de sécurité envisagées n’appellent pas d’observations particulières.La Commission autorise, conformément à la présente délibération, la société CAPITAL SAFETY GROUP EMEA à mettre en œuvre le traitement susmentionné. 
Autorise, conformément à la présente délibération, la société CAPITAL SAFETY GROUP EMEA à mettre en œuvre le traitement susmentionné.
Pour La Présidente
                                                                           Le Vice-Président Délégué
                                                                            Marie-France MAZARS