Délibération n° 2017-328 du 14 décembre 2017 autorisant la SMACL à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité le suivi des conditions d’honorabilité relatives aux dirigeants et responsables de fonctions clés (Demande d’autorisation n° 2102606)
Nature: Autre autorisation

La Commission nationale de l'informatique et des libertés,
Saisie par SMACL d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi des conditions d’honorabilité relatives aux dirigeants et responsables de fonctions clés ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2009/138/CE du Parlement européen et du Conseil du 25 novembre 2009 sur l'accès aux activités de l'assurance et de la réassurance et leur exercice (solvabilité II), modifiée en dernier lieu par la directive 2014/51/UE du Parlement européen et du Conseil du 16 avril 2014 modifiant les directives 2003/71/CE et 2009/138/CE et les règlements (CE) n° 1060/2009, (UE) n° 1094/2010 et (UE) n° 1095/2010 en ce qui concerne les compétences de l'Autorité européenne de surveillance (Autorité européenne des assurances et des pensions professionnelles) et de l'Autorité européenne de surveillance (Autorité européenne des marchés financiers) ;
Vu le code des assurances et notamment son article L.322-2 ;
Vu le code de commerce et notamment ses articles L.820-1 et A.123-51 ; 
Vu le code monétaire et financier et notamment son article R.612-29-3 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9 et 25.I.3°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2015-513 du 7 mai 2015 pris pour l'application de l'ordonnance n° 2015-378 du 2 avril 2015 transposant la directive 2009/138/CE du Parlement européen et du Conseil sur l’accès aux activités de l'assurance et de la réassurance et leur exercice (solvabilité II) ;
Vu l’ordonnance n° 2015-378 du 2 avril 2015 transposant la directive 2009/138/CE du Parlement européen et du Conseil du 25 novembre 2009 sur l'accès aux activités de l'assurance et de la réassurance et leur exercice (Solvabilité II) Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société mutuelle d'assurance des collectivités locales, ci-dessous dénommée SMACL.
Sur la finalité
La finalité du traitement est d’assurer :
- le suivi des conditions d’honorabilité relatives aux dirigeants et responsables de fonctions clés ;
- la transmission de ces données aux autorités de tutelle et au greffe du tribunal de commerce conformément à la règlementation en vigueur.
Dans ce contexte, la Commission considère qu’il y a lieu de faire application des articles 25-I-3° et 9 de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté.
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes.
Sur les données traitées
Les données faisant l’objet d’un traitement sont les suivantes :
- les données d’identification des mandataires sociaux et commissaires aux comptes : nom, prénom, adresse, date et lieu de naissance, copie de la carte d’identité ;
- les noms des parents du déclarant dirigeant ou responsable de foncions clés  figurant dans la déclaration sur l’honneur de non condamnation ;
- les données relatives à la situation professionnelle : CV, scolarité, formation, distinction professionnelles ; 
- les données relatives aux infractions et condamnations : déclaration de non condamnation, extrait du bulletin n°3 du casier judiciaire.
Les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont :
- les autorités de tutelle (l’ACPR et la Banque de France).
- le greffe du tribunal de commerce est destinataires des données à l’exception de l’extrait du bulletin n°3 du casier judiciaire dans la mesure où la vérification est réalisée par le juge commis au registre du commerce et des sociétés sur la base de la déclaration sur l'honneur complétée pour chaque dirigeant.
- le personnel habilité du service en charge de la gestion et du suivi des dossiers.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées du traitement de gestion et de suivi des mesures disciplinaires par une mention légale sur le formulaire ainsi que dans un courrier personnalisé.
Les droits d’accès et de rectification s’exercent auprès du Service Correspondant informatique et libertés département juridique à l’adresse suivante : 141 avenue Salvador Allende 79031 NIORT CEDEX.
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
Chaque utilisateur dispose d'un identifiant qui lui est propre.
Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin.
Les permissions d'accès sont supprimés pour tout  utilisateur n'étant plus habilité.
Le responsable de traitement a mis en place une politique de mot de passe qui exige que ceux-ci aient une longueur minimale de 8 caractères, et qu’ils contiennent au moins un chiffre, une minuscule et un caractère spécial.
Les accès aux serveurs et aux bases de données sont eux aussi autorisés aux seules personnes habilitées.
La continuité d'activité est testée régulièrement.
Une journalisation des opérations de consultation, création et modification du traitement est réalisée. Les journaux sont conservés pendant un an.
Sur les autres caractéristiques du traitement
Les données traitées seront conservées pendant la durée du mandat et des obligations légales de conservation en vigueur.
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, la SMACL à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président Délégué
Marie-France MAZARS