(demande d’autorisation n°1493311)
La Commission nationale de l’informatique et des libertés ;
Saisie par la société BT France d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la prévention et la détection des fraudes ;
Vu la Convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-I-5° ;
Vu le décret n°2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Emmanuel de GIVRY, Commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du gouvernement, en ses observations ;
Formule les observations suivantes :
Sur le responsable du traitement
BT France est la succursale française de British Telecom, qui est l’opérateur historique des télécommunications britanniques. Son activité entre donc dans le champ de la gestion des réseaux de télécommunications et du conseil en télécommunication.
Le traitement dénommé FBS SERV s’inscrit dans l’obligation de BT France de se conformer à la loi britannique prévoyant des dispositions sur les infractions en matière de corruption et d’autres fins connexes du 8 avril 2010 (UK Bribery Act). Elle  dispose notamment qu’une infraction commise par une entreprise britannique n’importe où dans le monde peut être sanctionnée. Ce traitement est donc dédié à la gestion des fraudes au sein de BT.
Sur la finalité
Le traitement FBS SERV répond à une double finalité.
D’une part, il permet de gérer l’ensemble des informations relatives aux audits internes sur les éléments suivants : notes de frais, frais de voyage, facturation téléphonique professionnelle, achats faits pour le compte de BT France, étude de cohérence entre la paie et le système de gestion du personnel, paiements des heures supplémentaires, bonus et commissions.
D’autre part, le traitement permettra de détecter des montants abusifs ou des comportements contraires à la politique et aux procédures de BT France (au moyen du traitement des anomalies ou infractions constatées sur la base des barèmes mis en place). Il permettra ainsi la détection d’éventuelles fraudes internes, enregistrées dans le FBS SERV uniquement si l’étude des informations résultant de ces audits établit l’existence d’une irrégularité avérée.
Le traitement ne constitue pas un dispositif d’alerte professionnelle : son alimentation est uniquement assurée par des audits internes.
La Commission considère que cette finalité est déterminée, explicite et légitime.
Sur les données traitées
Les données traitées sont relatives :
L’ensemble des données collectées sont obtenues à partir du système de gestion du personnel (Peoplesoft) et du système de gestion de la paie de BT France. A cet égard, la Commission prend acte qu’une consultation préalable des représentants du personnel a été effectuée.
à l’identification des agents concernés : nom, prénom, date et lieu de naissance, numéro d’identification de l’employé (UIN) ;
à la situation familiale des agents concernés ;
à leur vie professionnelle : CV, situation professionnelle, notes de frais, salaires, bonus et commissions.
Les données traitées sont objectives, ne comportent aucune donnée d’appréciation subjective ni aucune appréciation sur le comportement de la personne concernée. Seuls les faits permettant d’apprécier la présence ou l’absence de fraudes sont saisis.
La Commission considère que les données collectées sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées.
Sur les destinataires
Les destinataires des données sont limités aux collaborateurs dont la mission est l’instruction des dossiers présentant des anomalies susceptibles de révéler une fraude, à savoir :
Ce qui n’appelle aucune observation de la Commission.
l’équipe de gestion des fraudes du groupe BT en Grande Bretagne ;
l’équipe d’investigations de BT Security UK ;
les agents dûment habilités des services des Ressources humaines, de la Finance et de la Direction générale de BT France.
Sur l’information et le droit d’accès
L’information des personnes sera effectuée par le biais d’une inscription dans le registre d’information des agents mis à disposition sur l’intranet de BT.
La Commission recommande que les agents concernés soient également informés, au moment de la collecte des informations les concernant, par une mention apposée sur les formulaires, précisant : « Toute fraude pourra faire l’objet d’un traitement informatique spécifique ».
Le droit d’accès et de rectification défini au chapitre VII de la loi du 6 janvier 1978 modifiée s’exercera auprès de BT France, Tour Ariane, 5 place de la Pyramide, 92088 LA DEFENSE.
Sur les mesures de sécurité
Le traitement permet une authentification des agents habilités.
Néanmoins, la Commission recommande que la gestion des mots de passe individuels se conforme aux recommandations de la CNIL, et notamment que le mot de passe utilisé soit de 8 caractères au lieu de 6.
Elle recommande que les habilitations restent strictement limitées aux agents en charge de la lutte contre la fraude au sein de BT France et de BT UK.
La journalisation des données vise les contenus accédés et les opérations effectuées. L’ensemble des connexions et tentatives de connexion feront l’objet d’un traçage.
Compte tenu de la sensibilité des données traitées, un chiffrement des données identifiantes (noms, prénoms, dates et lieux de naissance, numéros identifiants, signes distinctifs) serait souhaitable.
Pour garantir la confidentialité des données, la Commission rappelle que les obligations suivantes doivent être respectées :
- tout échange dématérialisé de données en dehors de BT France doit faire l’objet d’un chiffrement, à tout le moins des données identifiantes ;
- le traitement de gestion des fraudes ne doit faire l’objet d’aucune interconnexion autre que celle qui est déclarée par BT France avec le système de gestion du personnel (Peoplesoft) et le système de gestion de la paie.
Sur les autres caractéristiques du traitement
BT France mettra en œuvre des procédures de mise à jour et de suppression des informations correspondant à des faits commis depuis plus de deux ans, ce qui n’appelle aucune observation de la Commission.
Autorise, conformément à la présente délibération, BT France à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
