Délibération n° 2014-442 du 23 octobre 2014 autorisant LOUIS BERGER FRANCE à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la prévention de risque de corruption de ses partenaires et intermédiaires commerciaux.
Nature: Autre autorisation

(Demande d’autorisation n° 1724674)
La Commission nationale de l'informatique et des libertés,
Saisie par LOUIS BERGER FRANCE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la prévention de risque de corruption de ses partenaires et intermédiaires commerciaux;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 7-5° et 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-Hélène MITJAVILE, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société LOUIS BERGER FRANCE, société du Groupe Berger (Berger Group Holdings Inc. siège social est situé aux Etats-Unis), est un bureau d’études offrant des services d’ingénierie, d’assistance à maitrise d’ouvrage et de conseil dans les domaines de la construction et de la planification des infrastructures de transport, de l’eau, la gestion de projets et programmes de construction, de l’aménagement, du développement institutionnel, du développement rural et social, ou de l’environnement et du développement durable.
Sur la finalité
Sur le fondement de l’article 25-I-4 de la loi du 6 janvier 1978 modifiée qui prévoit que sont soumis à autorisation préalable les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire, la Commission a été saisie par la société LOUIS BERGER FRANCE d’une demande d’autorisation relative à un traitement ayant pour finalité la prévention de la corruption et consistant à mettre en œuvre une procédure de vérifications portant sur les personnes avec lesquelles elle est en relation commerciale. 
La Commission considère qu’il y a lieu d’analyser le traitement au regard de l’article 7-5° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements de données à caractère personnel peuvent être mis en œuvre notamment dans l'intérêt légitime du responsable de traitement, dès lors que celui-ci est établi, sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux des personnes concernées. 
La société LOUIS BERGER FRANCE se prévaut à l’appui de sa demande d’autorisation des dispositions du « Foreign Corrupt Practices Act » américain (ci-après FCPA) en date du 20 décembre 1977, du « UK Bribery Act », ci-après UKBA, et de la Convention de l’OCDE sur la lutte contre la corruption d’agents publics étrangers dans les transactions commerciales internationales en date du 15 février 1999 et enfin des articles 435-3 et suivants du code pénal français.
Le renforcement des législations européenne et internationale en matière de lutte contre la corruption, en particulier dans le cadre des relations avec des agents publics, conduisent des sociétés telles que LOUIS BERGER SAS à mettre en place un système de détection et de prévention de la corruption. En particulier, la loi britannique « UK Bribery Act » (UKBA) du 8 avril 2010 impose la mise en œuvre de procédures de contrôles préalables (« due diligence ») dans les entreprises multinationales dans le domaine de la lutte contre la corruption.
La société mère LOUIS BERGER est soumise au FCPA UK Bribery Act non seulement en ce qui concerne ses propres activités, mais aussi au titre des sociétés non américaines qui lui sont affiliées. 
S’agissant de l’UK Bribery Act, les sociétés françaises sont soumises à cette législation dès lors qu'elles ont une activité, même partielle, sur le territoire du Royaume-Uni, ou qu'elles sont partenaires de sociétés soumises à l’UKBA. Une des sociétés affiliées à la société LOUIS BERGER FRANCE, la société LOUIS BERGER UK Ltd, est immatriculée au Royaume-Uni, et par conséquent, soumise aux dispositions de l’UKBA.
Le traitement envisagé par la société LOUIS BERGER FRANCE vise à identifier les transactions présentant un risque de corruption, par le biais d’un système reposant sur une évaluation progressive adaptée au risque encouru. La société LOUIS BERGER FRANCE souhaite vérifier l’intégrité des clients et fournisseurs potentiels ainsi que des entités exerçant comme intermédiaires (agents commerciaux, mandataires, etc.). Le traitement porte essentiellement sur des entités personnes morales et de manière ponctuelle sur une catégorie limitée de personnes physiques qui sont les suivants:
Le contact commercial et/ou son mandant ;  
Les associés/actionnaires (uniquement ceux possédant plus de 5% des actions en cas de société cotée ;
Le gérant, le directeur général, le directeur financier ou leurs équivalents ;
Les responsables (ou consultants) en charge de la relation avec LOUIS BERGER ;
Trois référents que la société LOUIS BERGER est susceptible de consulter pour s’assurer de la véracité des informations fournies.
La procédure d’identification des risques liés à la corruption est graduée en fonction du risque détecté.
Dans un premier temps, les commerciaux de la société LOUIS BERGER FRANCE identifient le risque au regard de différentes informations recueillies dans le cadre d’un questionnaire interne qui contient des éléments d’identification du potentiel partenaire ou intermédiaire commercial.
Les informations indiquées sur le formulaire sont ensuite renseignées dans le logiciel Securimate qui va adresser, dans un second temps, par courrier électronique, un autre questionnaire au potentiel partenaire ou intermédiaire commercial que celui-ci devra remplir, ainsi qu’une déclaration de conformité anti-corruption.
Sur la base de ces deux questionnaires, la société Steele CIS éditera un premier rapport qui fera ressortir d’éventuels risques de corruption (« red flags »). Le cas échéant, un rapport plus approfondi peut être élaboré par des analystes FCPA de la société Steele CIS. 
Les éléments d’information utilisés par ce prestataire procèdent de sources officielles nationales et internationales, des informations issues de la presse, des décisions de justice ou d’autorités publiques.
L’outil fourni par le prestataire de service est configuré de telle sorte que la société LOUIS BERGER FRANCE ne puisse disposer que des informations spécifiques à la lutte contre la corruption.
Les informations détectées lors de ces opérations de vérification peuvent conduire la société LOUIS BERGER FRANCE à limiter la relation commerciale à un périmètre donné ou à suspendre la transaction engagée avec les personnes concernées, après consultation des listes des personnes faisant l’objet de sanctions financières ou de mesures de restriction fournies par ses prestataires. 
La Commission considère que les vérifications portant sur ces listes doivent procéder d’une obligation légale et ne doivent porter que sur une catégorie de personnes déterminée au regard du risque encouru conformément au principe de proportionnalité. Elle rappelle qu’aucune décision de refus d’entrée en relation ne peut être prise sur la base des seuls éléments d’information recueillis par le biais de l’outil utilisé, qui devront faire l’objet d’un examen individuel, permettant de lever les cas d’homonymies, après collecte, le cas échéant, d’informations complémentaires.
La Commission considère que sont légitimes, les vérifications portant sur les listes des personnes faisant l’objet de sanctions financières ou de mesures de restriction appliquées en France et dans le pays d’établissement de la maison mère et émises par une autorité publique dès lors que la société LOUIS BERGER FRANCE est tenue de les appliquer.
Dans ces conditions, la Commission estime que le traitement répond à l’intérêt légitime du responsable du traitement conformément à l’article 7-5° de la loi du 6 janvier 1978 modifiée. 
Sur les données traitées
Dans le cadre de la procédure de vérification préalable d’intégrité du partenaire commercial, la société LOUIS BERGER FRANCE collecte les données suivantes :
Nom et prénom ;
Date de naissance (gestion des homonymies) ; 
Adresse ;
Situation professionnelle ;
Situation financière de l’entreprise.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
Les opérations de vérification réalisées en France seront supervisées par les personnes habilitées des services Ethique et Conformité de la société  LOUIS BERGER, Export Compliance Manager Procurement  du groupe LOUIS BERGER et juridique de la société LOUIS BERGER Group Holdings Inc.La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données traitées.
Sur l’information et le droit d’accès 
Les personnes concernées seront informées de la politique menée par LOUIS BERGER en matière de lutte contre la corruption via une mention figurant dans le formulaire anti-corruption et dans une notice explicative.Les personnes concernées pourront exercer leurs droits d’accès, de rectification et d’opposition auprès de la société Berger Group Holdings Inc. à l’adresse électronique suivante : ecompliance@louisberger.com.
Sur les mesures de sécurité
Des mesures sont prises afin de préserver la sécurité et la confidentialité des données et, notamment, empêcher que des tiers non autorisés y aient accès. Les accès au système d’information et les opérations effectuées sur les supports d’enregistrement des données sont tracés.Les mesures de sécurité envisagées n’appellent pas d’observations particulières ; la Commission rappelle cependant la nécessité d’une mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données issues des questionnaires et les divers documents générés par la procédure de vérification sont conservés pour une durée de 3 ans, durée pendant laquelle la vérification d’un partenaire est considérée comme valable. Elles sont ensuite archivées pendant 7 ans afin de satisfaire aux exigences des dispositions du FCPA dans le but de démontrer que les contrôles nécessaires ont été effectués.La société LOUIS BERGER FRANCE SAS, par l’intermédiaire de la société Berger Group Holdings Inc enregistrée « Safe Harbor » a recours à deux prestataires qui font partie d’un même groupe et sont tous les deux également enregistrés « Safe Harbor » : la société Steele CIS (analyste FCPA) qui établit et archive les rapports, et la société Securimate qui fournit la plate-forme en ligne pour la procédure de « screening ».
Autorise, conformément à la présente délibération, LOUIS BERGER FRANCE à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN