Délibération n° 2018-018 du 25 janvier 2018 autorisant la société Teleperformance France à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la détection des anomalies dans les accès physiques et logiques de l’entreprise
Nature: Autre autorisation

(demande d’autorisation n°  2047745)
La Commission nationale de l'informatique et des libertés,
Saisie par la société Teleperformance France d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la détection des anomalies dans les accès physiques et logiques ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-5° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Teleperformance France est une entreprise spécialisée dans la gestion « omnicanale » et externalisée de la relation client, et fait partie du groupe Teleperformance.
Sur la finalité
Le traitement a pour finalité de détecter de manière automatisée et a posteriori, des anomalies dans l’accès aux locaux ainsi que des connexions anormales dans les systèmes d’information de l’entreprise et de ses clients. 
A cet égard, Teleperformance France souhaite interconnecter certaines informations contenues dans les fichiers relatifs à la gestion du personnel, au contrôle de l’accès aux locaux et aux données de connexion. 
Aussi, la demande a été déposée sur le fondement de l’article 25-I-5° de la loi du 6 janvier 1978 modifiée en août 2004 qui soumet à autorisation de la Commission les traitements automatisés de données à caractère personnel ayant pour objet l’interconnexion de fichiers relevant de personnes morales de droit privé et dont les finalités principales sont différentes.
Les interconnexions susvisées doivent permettre de détecter les situations anormales suivantes :
une personne se connecte sur le système d’information de l’entreprise ou celui d’une entreprise cliente avec les identifiants de connexion d’un employé non planifié ;
une personne s’introduit dans les locaux de l’entreprise avec le badge d’un employé non planifié ;
une personne se connecte sur le système d’information de l’entreprise ou celui d’une entreprise cliente avec ses propres identifiants de connexion en dehors de ses heures de travail ;
une personne s’introduit dans les locaux de l’entreprise avec son propre badge en dehors de ses heures de travail.
Lorsqu’une incohérence est détectée, l’entreprise diligentera une enquête interne permettant de révéler, le cas échéant, si une fraude a été commise.
Ainsi, les interconnexions ne conduisent pas à une prise de décision automatique à l’égard des employés de l’entreprise dans la mesure où chaque anomalie détectée fera ensuite l’objet d’une analyse spécifique, au cas par cas, afin d’évaluer sa pertinence et de procéder à des investigations supplémentaires, conformément aux dispositions de l’article 10 de la loi Informatique et Libertés.
La Commission considère que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 6-2° de la loi susvisée.
Sur les données traitées
Les informations traitées sont issues des trois fichiers suivants :
fichier relatif à la gestion du personnel : nom, prénom, convention de forfait (forfait jour, forfait heure), gestion du temps de travail (planning), gestion de congés et des absences ;
fichier relatif au contrôle de l’accès aux locaux : numéro d’identification du badge, date de validité du badge, horodatage (heures d’entrée et de sortie) ;
fichier relatif aux données de connexion : identifiants de connexion, adresse IP, horodatage des connexions (informations relatives au log in et log out, connexions sur le système d’information de l’entreprise ou sur les outils numériques des clients).
La Commission considère que les données collectées et traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies par le traitement, conformément aux dispositions de l’article 6-3° de la loi Informatique et Libertés.
Sur les destinataires
Dans les limites de leurs attributions respectives, et chacun pour ce qui le concerne, peuvent accéder aux données enregistrées dans le traitement, le personnel en charge de la sécurité informatique de l’entreprise. 
La Commission estime que les destinataires ont un intérêt légitime à connaître des données contenues dans le traitement.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées, conformément aux dispositions de l’article 32 de la loi Informatique et Libertés, par une mention figurant sur:
un courriel individuel adressé à chaque employé accessible via le compte de l’outil gestion de l’employé dans l’espace intranet de l’entreprise ;
des panneaux d’affichage situés aux différents points d’accès physiques des locaux ;
l’espace intranet réservé au CIL de Teleperformance France.
La Commission considère que ces modalités d’information des personnes sont satisfaisantes.
Les droits d’opposition, d’accès et de rectification prévus aux articles 38, 39 et 40 de la loi précitée s’exercent auprès du CIL de Teleperformance France.
La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes.
Sur la durée de conservation
Les données extraites des fichiers susvisées sont conservées quinze jours en base active, à compter de la date de l’extraction de la donnée.
Lorsqu’une anomalie est détectée, les données extraites sont conservées dans la base intermédiaire pendant une durée de trois mois afin d’effectuer toutes les recherches utiles relatives à cette anomalie.
A l’expiration de ces délais, les données sont détruites de manière sécurisée.
La Commission considère que ces durées n’excèdent pas celles nécessaires aux finalités pour lesquelles elles sont collectées, conformément aux dispositions de l’article 6-5° de la loi Informatique et Libertés.
Sur les mesures de sécurité
La Commission prend acte que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée et frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.
Des profils d’habilitation définissent les fonctions ou les types d’informations accessibles à un utilisateur du traitement. Ceux-ci prennent en compte les accès différenciés aux informations en fonction du besoin d’en connaître.
L’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des majuscules, des minuscules, et des chiffres ou des caractères spéciaux lorsque l’authentification prévoit une restriction de l’accès au compte, conformément à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d’une recommandation relative aux mots de passe.
Les données interconnectées (n° de badge, identifiant, nom, prénom, horodatage des accès physiques et accès aux outils numériques de l’entreprise ou de ses clients) le sont au moyen de requêtes SQL, afin de déterminer :
si le badge d’une personne est utilisé à un moment où celle-ci n’est pas planifiée ;
si les outils d’une personne sont utilisés alors qu’il n’a pas utilisé son badge pour rentrer dans l’entreprise auparavant ;
si les outils d’une personne sont utilisés à un moment où il n’est pas planifié.
La détection de connexions anormales sur le système d’information d’un client et/ou sur celui de l’entreprise  se fera avec un « retard » estimé à une semaine.
A cet égard, lorsqu’une anomalie est détectée, le personnel ayant accès aux informations du traitement devra l’analyser afin de déterminer s’il s’agit effectivement d’un cas de fraude. 
Des sauvegardes régulières sont réalisées et stockées dans un endroit garantissant leur sécurité et leur disponibilité.
La Commission considère que les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi Informatique et Libertés.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Autorise, conformément à la présente délibération, la société Teleperformance France à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS