Délibération n° 2014-393 du 2 octobre 2014 autorisant la société Zurich Insurance France à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité de s’assurer que les salariés répondent aux conditions fixées par les normes d’aptitude et d’intégrité définies par le régulateur irlandais.
Nature: Autre autorisation

(demande d’autorisation n° 1668421)
La Commission nationale de l'informatique et des libertés,
Saisie par la société Zurich Insurance France d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité de s’assurer que les salariés sont conformes aux normes d’aptitude et d’intégrité définies par le régulateur irlandais. ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9 et 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Jean-Luc VIVET, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La société Zurich Insurance France est la succursale française d’une société d’assurance de droit irlandais. Elle exerce en France sur la base du principe de la libre prestation de service des sociétés européennes. La société Zurich Insurance France appartient au groupe Zurich Insurance dont le siège social est situé à Zurich, en Suisse.
Sur la finalité du traitement :
La finalité du traitement est de s'assurer que les candidats sélectionnés ou les salariés déjà en poste amenés à exercer des « controlled functions » se conforment bien aux normes d'aptitude et d'intégrité définies par le régulateur irlandais la « Central Bank of Ireland (CBI) ». 
Les « controlled functions » sont des fonctions occupées par les personnes capables d’exercer une influence sur la conduite des affaires tels le mandataire général ou encore les personnes détentrices d’une autorité dans le cadre de la gestion, du contrôle et de la surveillance de la conformité de l’assureur au regard de ses obligations légales (par exemple le directeur juridique et conformité).
L’article A. 321-2 (m) du Code des assurances prévoit la transmission du bulletin n° 3 du casier judiciaire (B3) à l’ACPR pour les personnes chargées de conduire ou de diriger une entreprise au sens de l’article L. 321-10 du même code telles que le président du conseil d'administration ou encore le directeur général.
Aux termes de l’article 21 du Central Bank Reform Act adopté en 2010 (CBRA), un fournisseur de services financiers ne devra pas autoriser une personne à exercer une « controlled function » à moins que : le fournisseur de services financiers soit convaincu sur la base d’éléments raisonnables que la personne se conforme à toutes les normes d’aptitude et d’intégrité définies par l'article 50 du Central Bank Reform Act, et que la personne se soit engagée à se conformer à toutes ces normes. 
Les vérifications exigées par la CBI portent sur l'ensemble des candidats (internes ou externes) aux « controlled functions ». 
A cette fin, une déclaration de conformité et un questionnaire sont soumis aux personnes postulant à de telles fonctions. 
Ces vérifications ne portent que sur les nouvelles candidatures aux postes de « controlled functions».
La société Zurich, en tant que succursale d'une société de droit irlandais, est tenue de se conformer aux normes émises par la CBI. La Commission considère dès lors que la mise en œuvre d’un traitement visant à s’assurer de « l’honnêteté, de l’intégrité et de l’éthique » des personnes appelées à exercer des « controlled functions » est légitime.
Sur la nature des données traitées :
Les données collectées dans le cadre du traitement mis en œuvre sont les suivantes :
nom, prénom ;
date et lieu de naissance ;
adresse ;
formation ;
expérience professionnelle ;
honorabilité au sens des normes d’aptitude et d’intégrité définies par le “Fitness and probity Standards” de la CBI.
La Commission observe que, dans le cadre de la vérification de l’honorabilité de la personne, parmi les données traitées, figure le bulletin n°3 du casier judiciaire. 
Il revient à la Commission de vérifier la pertinence de la collecte de l’extrait du casier judiciaire.
Le B3 ne peut être demandé que par la personne concernée. Il est remis par les candidats sélectionnés au service RH, qui le transmet au service Conformité pour procéder aux vérifications. 
Le B3 du casier judiciaire comporte les condamnations les plus graves ainsi que des peines privatives de droit. 
La personne faisant l'objet d'une condamnation pourra être écartée du poste à condition que cette condamnation soit incompatible avec l'exercice de la fonction contrôlée.
La réglementation irlandaise distingue entre les « controlled functions » et les « pre-approval controlled functions », cette dernière notion correspondant à la notion française de « personnes qui conduisent l’entreprise » pour lesquelles l’article A. 321-2 du Code des assurances prévoit la transmission du B3 à l’Autorité de contrôle prudentiel et de résolution (ACPR).
Les « Fitness and probity Standards » (« the Standards ») adoptés par la CBI sur le fondement du CBRA précisent ainsi que les personnes postulant aux « controlled functions » doivent être capables de démontrer leur probité, en justifiant de l’absence des condamnations ou des sanctions en matière financière énumérées par lesdits Standards. Ce code s’applique aux « controlled functions » et aux « pre-approval functions » (sous réserve des exceptions prévues au point 1.5).
S’agissant de la réglementation française, l’article L. 322-2 du code des assurances prévoit des interdictions professionnelles pour les personnes qui dirigent, gèrent ou administrent une entreprise d’assurance, ou les personnes qui disposent du pouvoir de signer pour son compte, qui ont fait l’objet de condamnations définitives depuis moins de 10 ans pour un certain nombre d’infractions énumérées par cet article. 
Par ailleurs, conformément à l’article R. 362-2 du code des assurances, le mandataire général de la succursale, personne physique, ne doit pas avoir fait l'objet d'une condamnation inscrite au bulletin n° 3 du casier judiciaire ou d'une condamnation prononcée à l'étranger qui, si elle avait été prononcée par une juridiction française, serait inscrite sur ce bulletin.
La Commission relève que le Parlement européen et le Conseil ont adopté une Directive 2009/138/CE le 25 novembre 2009 sur l'accès aux activités de l'assurance et de la réassurance et leur exercice (ci-après Solvabilité II). Solvabilité II représente une extension du champ de l’appréciation du « fitness & probity » (articles 26, 42 et 43), qui se limite pour l’instant, pour les organismes soumis au Code des assurances, aux principaux dirigeants de l’organisme (président du CA, DG, DG délégué). 
Sont désormais concernés par la notification les responsables de « fonctions clés » et l’ensemble des membres du conseil. Cette extension du champ est le corollaire à la volonté du législateur européen de renforcer la responsabilité des administrateurs et le rôle des « fonctions clés ». L’ensemble des dispositions de Solvabilité II doit être transposé au plus tard le 1er janvier 2016.
La réglementation irlandaise, qui a déjà transposé les dispositions relatives à la gouvernance d’entreprise de la directive Solvabilité II, prévoit que l’employeur doit, notamment, s’assurer de « l’honnêteté, de l’intégrité et de l’éthique » des postulants à des «controlled functions», ainsi que de l’absence de condamnation ou de sanction en matière financière. 
Compte tenu de ces éléments, et au regard des interdictions professionnelles posées par la réglementation française, la Commission considère dès lors que la collecte de l’extrait du B3, avant l’embauche ou la prise de fonction, des personnes postulant à des « controlled functions » au sein d’une succursale d’une entreprise d’assurance irlandaise implantée en France est adéquate et pertinente.
Sur la durée de conservation des données :
Les données collectées sont conservées, à l’exception de l’extrait du casier judiciaire (B3), jusqu'à 5 ans suivant la fin d'exercice de la « controlled function » pour les salariés et jusqu’à 2 ans pour les candidats.
La Commission prend acte que la société Zurich Insurance France s’engage à supprimer immédiatement l’extrait du casier judiciaire dès la fin du processus de sélection de la personne concernée.
C’est pourquoi, dès lors que les vérifications du B3 du casier judiciaire sont une condition légale ou réglementaire d’accès à un emploi, les informations conservées doivent être neutres, c’est-à-dire retranscrites de la manière suivante : conservation de mentions sous la forme « néant au bulletin n° 3 sur les infractions visées par le Fitness and Probity Standard du CBI » ou « inscription au bulletin n° 3 sur les infractions visées par le Fitness and Probity Standard du CBI ».
Par ailleurs, en application de l’article L. 1221-6 du code du travail, les informations collectées doivent présenter un lien direct et nécessaire avec l’emploi proposé. Aucun commentaire relatif aux infractions dont un candidat a été l’auteur et ne présentant pas de lien direct et nécessaire avec l’emploi proposé ne doit être enregistré dans son dossier.
Sur les destinataires des données :
Les destinataires de tout ou partie des données sont les personnes habilitées du service des ressources humaines, du service juridique & conformité de Zurich Insurance France et du prestataire en charge de l’hébergement des données.
Sont également destinataires de tout ou partie des données, les personnes habilitées du siège social situé en Irlande et de la maison-mère située en Suisse. 
La Commission considère que les personnes sont en nombre limité et sont légitimes à recevoir communication de tout ou partie des données.
Sur l'information des personnes :
Les candidats aux postes de « controlled functions » et les salariés en exercice sont informés par l’insertion de clauses spécifiques dans le questionnaire soumis lors de la candidature, dans le contrat de travail et enfin dans la déclaration de conformité aux normes du CBI signée annuellement.
Le traitement a été soumis au comité d’entreprise et a reçu un avis favorable.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les droits d’accès, de rectification et d’opposition s’exercent directement auprès du service juridique et conformité de Zurich Insurance France.
Sur la sécurité des données et la traçabilité des actions :
Les mesures de sécurité mises en place n’appellent pas d’observation.
Dans ces conditions, la Commission autorise Zurich Insurance France à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité de s’assurer que les salariés répondent aux conditions fixées par les normes d’aptitude et d’intégrité définies par le régulateur irlandais.
La Présidente
I. FALQUE-PIERROTIN