Décision DR-2024-150 du 19 juin 2024 autorisant l’Institut GUSTAVE ROUSSY à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur le profilage moléculaire pour stratification du traitement des enfants et jeunes adultes porteurs d’un cancer, intitulée « MAPPY ACT 2 ». (Demande d’autorisation n° 923306).

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité de protection des personnes Sud-Est IV du 16 novembre 2023. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données directement identifiantes. Destinataires des données directement identifiantes Le responsable de traitement prévoit l’utilisation d’une solution de surveillance à distance des consentements des participants à l’étude. Le sous-traitant et l’attaché de recherche clinique du responsable de traitement seront destinataires de certaines données administratives d’identification des participants (nom, prénom, date de naissance) ainsi que du contenu du formulaire de consentement mentionnant leur pathologie. Les personnes concernées en seront préalablement informées. Information des personnes S’agissant des participants majeurs : Tous les participants recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données. S’agissant des participants mineurs : Les deux titulaires de l’exercice de l’autorité parentale recevront une note d’information individuelle en vue de la participation de leur enfant mineur à l’étude. Les mineurs participant à l’étude recevront une note d’information individuelle. Les participants devenant majeurs pendant l’étude recevront à cette occasion une note d’information et un formulaire de consentement spécifiques en vue de la poursuite de leur participation à l’étude. Mesures de sécurité La solution technique permettant le contrôle des consentements électronique à distance consiste en une plateforme sécurisée permettant aux centres investigateurs de transmettre les documents de consentements (format PDF) nécessaires au contrôle qualité des consentements à distance par les attachés de recherche clinique du promoteur. Le responsable de traitement a précisé se conformer aux bonnes pratiques émises par la CNIL pour le contrôle qualité à distance des essais cliniques, notamment aux conditions de sécurité communes aux différentes solutions pouvant être utilisées, ainsi qu’aux conditions de sécurité spécifiques à l’ envoi de données par les centres à l’ attaché de recherche clinique du promoteur via une plateforme sécurisée . La solution de contrôle qualité à distance sera hébergée en France par un sous-traitant certifié pour l’hébergement de données de santé. Le dépôt des documents de consentement numérisés sur la plateforme est réalisé par les centres investigateurs. Une procédure devra être mise en place afin d’assurer l’authenticité des copies numérisées par rapport aux documents manuscrits d’origine, en s’appuyant sur les recommandations de l’Agence européenne du médicament sur les essais décentralisés dans mes essais cliniques et sur le règlement eIDAS. Les connexions à la solution nécessitant un accès à des données administratives d’identification ou de santé seront soumises à une authentification multifacteur (mot de passe et code à usage unique). Tous les mots de passe utilisés devront être conformes à la délibération n° 2022-100 du 21 juillet 2022 portant adoption d'une recommandation relative aux mots de passe et autres secrets partagés. Les connexions à cette plateforme sécurisée s’effectueront depuis des postes de travail maitrisés du responsable de traitement et des centres investigateurs. Il est recommandé que des mesures de filtrage soient mises en place afin de restreindre les accès à cette plateforme à ces seuls postes de travail autorisés. Les données stockées et échangées seront chiffrées au repos et en transit par des protocoles et algorithmes à l’état de l’art. Les documents de consentement sont uniquement consultables en ligne, la solution met en œuvre une visualisation web en propre afin d’éviter le chargement du document dans le navigateur ou sur le poste de l’attaché d’étude clinique. Les journaux et traces techniques seront conservés conformément aux recommandations de sa délibération n° 2021-122 du 14 octobre 2021 portant adoption d'une recommandation relative à la journalisation. Outre ces mesures relatives au contrôle qualité à distance, les mesures de sécurité décrites dans le dossier de demande ont pour objectif de répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD. A cet égard ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité. Par ailleurs, le responsable de traitement demeure pleinement responsable du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de leur conformité à tout moment. Transferts hors Union européenne La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat. Durées de conservation en base active et en archivage À la fin de l’étude, les échantillons biologiques seront soit versés dans une collection, lorsque le participant y aura consenti, soit détruits. Les données nominatives et la date de naissance du patient seront conservées six jours puis détruits. Autres données : Base active : quatorze ans Archivage : vingt-cinq ans. Réutilisation des données / échantillons biologiques Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la CNIL. AUTORISE L’INSTITUT GUSTAVE ROUSSY à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Décision DR-2024-151 du 19 juin 2024 autorisant la société LFB-BIOTECHNOLOGIES à mettre en œuvre un traitement de données ayant pour finalité une étude portant sur la polyneuropathie inflammatoire démyélinisante chronique en France, nécessitant un accès aux données du SNIIRAM, du PMSI, du CepiDC et de l’échantillon des données du SNDS (ESND), composantes du Système national des données de santé (SNDS), pour les années 2008 à 2023 (Demande d’autorisation n° 924112)

La Commission nationale de l’informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ; Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ; Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ; Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes : Avis du comité Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 8 février 2024. Point de non-conformité à la méthodologie de référence concernée Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées. Réutilisation des données d’une base existante (étude précédente ou entrepôt de données de santé) Les données de la Base de données nationale maladies rares (BNDMR) (demande d’autorisation n°2211418) seront réutilisées dans le cadre de la présente étude. Catégories particulières de données traitées (autres que données de santé) Les données de la BNDMR feront l'objet d'un rapprochement avec les données issues du SNDS par l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR). Le NIR sera transmis à la CNAM qui effectuera le rapprochement avec les données du SNDS. Les données seront transmises sous forme de fichiers chiffrés. Les algorithmes et les procédures de gestion de clés devront être conformes à l'annexe B1 du référentiel général de sécurité. Des mesures de sécurité renforcées devront être mises en place pour les tables de correspondance. Utilisation de données issues du SNDS historique Composantes concernées : SNIIRAM, PMSI, PMSI et ESND Années concernées : 2008 à 2023, sous réserve qu’elles soient diffusables par la CNAM Modalités de consultation : portail de la CNAM Recours à un laboratoire de recherche ou à un bureau d’études ayant fait réaliser un engagement de conformité au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance fixé par arrêté du 17 juillet 2017 : oui Le responsable de traitement n’aura pas accès aux données individuelles du SNDS. Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment : l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ; le respect du référentiel de sécurité applicable au SNDS. Information et droits des personnes En application de l'article 14 du règlement général sur la protection des données, l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles. En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement de la BNDMR d’une information relative au projet de recherche qui devra comporter l’ensemble des mentions prévues par le RGPD. Durée d’accès Données du SNDS : trois ans à compter de la dernière mise à disposition des données. Les NIR des participants ne seront pas conservés après l’appariement. Transparence du traitement Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé. AUTORISE, dans ces conditions, la société LFB-BIOTECHNOLOGIES à mettre en œuvre le traitement décrit ci-dessus. La Cheffe du service de la santé Hélène GUIMIOT-BREAUD


Délibération n° 2023-142 du 21 décembre 2023 portant approbation des règles d’entreprise contraignantes (BCR) "responsable du traitement" du groupe SODEXO
(Demande d’approbation n° 20005716)

La Commission nationale de l'informatique et des libertés (ci-après "la CNIL"), Saisie par la société Sodexo SA au nom et pour le compte du groupe Sodexo (ci-après "Sodexo") d’une demande d’approbation de ses BCR "responsable du traitement" ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD), notamment ses articles 47, 57 et 64 ; Vu la décision de la CJUE C-311/18 Data Protection Commissioner contre Facebook Ireland Ltd et Maximillian Schrems, du 16 juillet 2020 ; Vu les recommandations 01/2020 sur les mesures qui complètent les instruments de transfert destinés à garantir le respect du niveau de protection des données à caractère personnel de l'UE, du 18 juin 2021 ; Vu les recommandations 1/2022 sur la demande d’approbation et sur les éléments et principes à inclure dans les BCR responsable de traitement (article 47 RGDP), du 20 juin 2023 ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ; Sur la proposition de Mme Anne DEBET, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement, Formule les observations suivantes : En vertu de l’article 47-1 du RGPD, la CNIL approuve des règles d’entreprise contraignantes ("BCR") sous réserve que celles-ci répondent aux exigences prévues par cet article. La mise en œuvre et l’adoption de BCR par un groupe d’entreprises visent à fournir des garanties aux responsables de traitement et aux sous-traitants établis sur le territoire de l’Union européenne ("UE") afin qu’un niveau de protection uniforme soit appliqué aux données transférées vers des pays tiers, et ce, indépendamment du niveau de protection conféré par chacun de ces pays tiers. Toutefois, avant de mettre en application ces BCR, il incombe à l'exportateur de données situé dans un État membre, le cas échéant en collaboration avec l'importateur de données, d'apprécier si le niveau de protection requis par le droit de l’UE est respecté dans le pays tiers de destination, y compris dans les situations de transferts ultérieurs. Cette évaluation doit être effectuée afin de déterminer si les garanties établies par les BCR peuvent être respectées dans la pratique, compte tenu des circonstances du transfert et des conflits qui peuvent exister entre les exigences du droit du pays tiers et les droits fondamentaux. Si tel n'est pas le cas, l'exportateur de données situé dans un État membre, le cas échéant en collaboration avec l'importateur de données, doit évaluer s'il peut prévoir des mesures supplémentaires pour assurer un niveau de protection substantiellement équivalent à celui garanti au sein de l’UE. La mise en œuvre des mesures supplémentaires relève de la responsabilité de l’exportateur, y compris après l’approbation des BCR par l’autorité compétente. Par conséquent, ces mesures supplémentaires ne font pas partie des éléments analysés dans le cadre de la procédure d’approbation des BCR. Dans le cas où l'exportateur de données établi dans un État membre n'est pas à même de prendre des mesures supplémentaires suffisantes pour assurer un niveau de protection substantiellement équivalent à celui garanti dans l’UE, il ne peut y avoir de transfert de données à caractère personnel vers le pays tiers en vertu des BCR. Par conséquent, l'exportateur de données est tenu de renoncer, de suspendre ou de mettre fin au transfert de données à caractère personnel. Dans la même logique, lorsque l’exportateur prend connaissance de nouveaux développements touchant à la protection des données dans un pays tiers qui diminuent le niveau de protection attendu ; il est tenu de suspendre ou mettre fin au transfert concerné. Conformément à la procédure de coopération décrite par le document de travail WP263 rev.01[1], la documentation relative aux BCR "responsable du traitement" du groupe a été instruite par les services de la CNIL en qualité d’autorité compétente, puis par les services de deux autres autorités de protection des données agissant en qualité de co-examinatrices. Ces BCR ont également été revues par les autorités de protection des données des pays membres de l’Espace économique européen ("EEE") en application de la procédure d’approbation mise en place par le Comité européen de la protection des données ("CEPD"). L’instruction des BCR "responsable du traitement" du groupe permet de conclure que celles-ci sont conformes aux critères imposés par l’article 47-1 du RGPD et le document de travail WP256 rev.01[2], notamment parce que les BCR susmentionnées : I. sont rendues juridiquement contraignantes par un contrat intra-groupe et imposent une obligation claire à chaque entité liée, y compris à leurs employés, de les respecter (Règle 26 des BCR et contrat intra-groupe) ; II. confèrent expressément des droits aux personnes concernées leur permettant de s’en prévaloir en tant que tiers bénéficiaires via les Règles 10 et 21 des BCR ; III. répondent aux exigences prévues par l’article 47-2 du RGPD : a) la structure et les coordonnées du groupe d’entreprises et de chacune des entités liées sont détaillées dans le formulaire de soumission qui a été fourni dans le cadre de l’instruction du dossier ; b) les transferts ou l'ensemble des transferts de données, y compris les catégories de données à caractère personnel, les types de traitements et leurs finalités, les types de personnes concernées et les pays tiers en question sont précisés en annexe 8 des BCR ; c) la nature juridiquement contraignante, tant interne qu’externe, des BCR est reconnue par la Règle 26 des BCR et les dispositions du contrat intra-groupe ; d) l'application des principes généraux relatifs à la protection des données, notamment la limitation de la finalité, la minimisation des données, la limitation des durées de conservation des données, la qualité des données, la protection des données dès la conception et la protection des données par défaut, la base juridique du traitement, le traitement de catégories particulières de données à caractère personnel, les mesures visant à garantir la sécurité des données, ainsi que les exigences en matière de transferts ultérieurs à des organismes qui ne sont pas liés par les règles d'entreprise contraignantes, sont visés aux Règles 2, 3, 4, 5, 6, 7, 8, 13 et 14 des BCR ; e) les droits des personnes concernées à l'égard du traitement et les moyens d'exercer ces droits, y compris le droit de ne pas faire l'objet de décisions fondées exclusivement sur un traitement automatisé, y compris le profilage, conformément à l'article 22 du RGPD, le droit d'introduire une réclamation auprès de l'autorité de contrôle compétente et devant les juridictions compétentes des États membres conformément aux articles 77 et 79 du RGPD et d'obtenir réparation et, le cas échéant, une indemnisation pour violation des règles d'entreprise contraignantes sont prévus aux Règles 10, 11, 21 et 22 des BCR ; f) l'acceptation, par le responsable du traitement ou le sous-traitant établi sur le territoire d'un État membre, de l'engagement de sa responsabilité pour toute violation des règles d'entreprise contraignantes par toute entité concernée non établie dans l'UE est précisée à la Règle 22 des BCR ; de même que le principe selon lequel l’exonération, en tout ou en partie, de cette responsabilité peut intervenir uniquement si l’entité responsable prouve que le fait générateur du dommage n'est pas imputable à l'entité en cause ; g) la manière dont les informations sur les règles d'entreprise contraignantes, notamment en ce qui concerne les éléments mentionnés aux points d), e) et f) de l’article 47.2 du RGPD, sont fournies aux personnes concernées, en sus des informations visées aux articles 13 et 14 du RGPD, est spécifiée à la Règle 12 des BCR ; h) les missions de tout délégué à la protection des données, désigné conformément à l'article 37 du RGPD, ou de toute autre personne ou entité chargée de la surveillance du respect des règles d'entreprise contraignantes au sein du groupe d'entreprises, ou du groupe d'entreprises engagées dans une activité économique conjointe, ainsi que le suivi de la formation et le traitement des réclamations sont détaillées aux Règles 16, 17 et 20 des BCR ; i) les procédures de réclamation sont décrites à la Règle 17 des BCR ; j) les mécanismes mis en place au sein du groupe d’entreprises pour garantir le contrôle du respect des règles d’entreprise contraignantes sont détaillés à la Règle 18 des BCR. Ces mécanismes prévoient des audits sur la protection des données et des méthodes assurant que des mesures correctrices seront prises pour protéger les droits des personnes concernées. Les résultats de ces contrôles sont communiqués à la personne ou à l'entité visée au point h) ci-dessus et au conseil d'administration de l'entreprise qui exerce le contrôle du groupe d'entreprises, et sont mis à la disposition de l'autorité de contrôle compétente sur demande ; k) les mécanismes mis en place pour communiquer et consigner les modifications apportées aux règles et pour communiquer ces modifications à l'autorité de contrôle sont précisés à la Règle 25 des BCR ainsi qu’en annexe 5 ; l) le mécanisme de coopération avec l'autorité de contrôle mis en place pour assurer le respect des règles par toutes les entités du groupe d'entreprises est décrit à la Règle 24 des BCR ainsi qu’en annexe 4. L’obligation de mise à disposition de l'autorité de contrôle des résultats des contrôles des mesures visés au point j) ci-dessus est spécifiée à la Règle 18 des BCR ; m) les mécanismes permettant de communiquer à l'autorité de contrôle compétente toutes les obligations juridiques auxquelles une entité du groupe d'entreprises est soumise dans un pays tiers qui sont susceptibles d'avoir un effet négatif important sur les garanties fournies par les règles d'entreprise contraignantes sont décrits à la Règle 23 des BCR ; n) enfin, la Règle 16 des BCR prévoit une formation appropriée en matière de protection des données pour le personnel ayant un accès permanent ou régulier aux données à caractère personnel. Le CEPD a rendu l’avis n°29/2023 en date du 28 novembre 2023, conformément à l’article 64-1-f du RGPD. La Commission a tenu compte de cet avis. Décide : La CNIL approuve les BCR "responsable du traitement" présentées par le groupe Sodexo, en ce qu’elles fournissent des garanties appropriées pour le transfert de données à caractère personnel conformément aux articles 46-1, 46-2-b, 47-1 et 47-2 du RGPD. Afin de dissiper toute ambigüité, la CNIL rappelle que l’approbation des BCR n’implique pas l’approbation de transferts spécifiques de données à caractère personnel effectués sur la base des BCR. En conséquence, l’approbation des BCR ne peut être interprétée comme une approbation des transferts vers des pays tiers inclus dans les BCR pour lesquels un niveau de protection substantiellement équivalent à celui assuré au sein de l'UE ne peut être garanti. La mise en œuvre des BCR approuvées ne nécessite pas d’autorisation supplémentaire spécifique de la part des autorités européennes de protection des données concernées. Les BCR "responsable du traitement" du groupe Sodexo doivent être mises en conformité avec les Recommandations 1/2022 du CEPD dans le cadre de la mise à jour annuelle de 2024. Conformément à l’article 58-2-j du RGPD, chaque autorité de protection des données concernée dispose du pouvoir d’ordonner la suspension des flux de données adressés à un destinataire situé dans un pays tiers ou à une organisation internationale dans le cas où les garanties appropriées prévues par les BCR "responsable du traitement" du groupe Sodexo ne seraient pas respectées. La Présidente Marie-Laure DENIS Cette décision peut faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification. ANNEXE Les BCR "responsable du traitement" du groupe Sodexo approuvées par la présente décision s’étendent au périmètre décrit ci-après : a. Champ d’application. Ces BCR "responsable du traitement" couvre les traitements des données personnelles par les entités de Sodexo établies au sein de l’EEE légalement liées par les BCR lorsqu’elles agissent en tant que responsables du traitement ou en tant que sous-traitants pour le compte d’un autre responsable du traitement du groupe et à tous les traitements ultérieurs des données personnelles des entités de Sodexo en dehors de l’EEE pour toute autre entité Sodexo au sein du groupe (annexe 8 des BCR). b. États membres de l’EEE depuis lesquels les transferts sont effectués : Allemagne, Autriche, Belgique, Bulgarie, Chypre, Danemark, Espagne, Finlande, France, Hongrie, Irlande, Italie, Luxembourg, Norvège, Pays-Bas, Pologne, Portugal, République tchèque, Roumanie, Suède (listés en introduction des BCR). c. Pays tiers vers lesquels les transferts sont effectués : Afrique du Sud, Algérie, Australie, Birmanie, Brésil, Canada, Chili, Chine continentale, Colombie, Costa Rica, Émirats Arabes Unis, États-Unis, Inde, Indonésie, Israël, Japon, Malaisie, Mexique, Maroc, Nouvelle-Zélande, Oman, Panama, Pérou, Philippines, République de Corée du Sud, Royaume-Uni, Singapour, Sri Lanka, Suisse, Thaïlande, Tunisie, Turquie, Uruguay, Venezuela, Vietnam (listés en introduction des BCR). d. Les finalités des transferts : ces finalités sont détaillées à l’annexe 8 des BCR. Elles comprennent notamment les finalités suivantes : Gestion du recrutement ; Gestion des ressources humaines (y compris, mais sans s’y limiter, la gestion du personnel administratif, la gestion de la mobilité, la gestion de la performance au travail, la gestion du développement de carrière, la gestion de la formation à l’évaluation des talents, la gestion des voyages d’affaires, la gestion de l’annuaire actif, etc.) ; Gestion comptable et financière des employés (par exemple, gestion des frais), des fournisseurs/vendeurs, des prestataires/sous-traitants, des clients et des contrôles et rapports connexes ; Finance, trésorerie et gestion fiscale (y compris mais non limité aux opérations de fusions et d’acquisitions, gestion des actions de performance, consolidation financière, solution de budgétisation et de prévision, y compris le reporting) ; Gestion des risques (audit interne, contrôles internes, etc..) ; Gestion de la sécurité des salariés (y compris information et localisation des salariés voyageant ou travaillant à l’étranger, gestion de crise) ; Fourniture d’Active Directory, de boîtes aux lettres de services de messagerie et d’autres outils informatiques ou sites internet internes tels que l’intranet de Sodexo, les appareils mobiles et toutes autres solutions numériques ou plateformes collaboratives ; Gestion du support informatique, y compris la gestion de l’infrastructure, la gestion des systèmes et les applications ; Gestion de la santé et de la sécurité ; Gestion de la sécurité des informations (y compris, mais sans s’y limiter, la prévention, la détection et l’investigation des incidents de sécurité, le contrôle du respect des politiques de sécurité des données de Sodexo) ; Gestion de la relation client, y compris l’exécution de nos services et de toute autre opération commerciale ; Gestion des offres, des ventes et du marketing ; Gestion de l’approvisionnement ; Communication interne et externe et gestion des événements ; Opérations d’analyse de données (analyse de données afin d’avoir une meilleure compréhension et plus d’informations sur les expériences de nos clients ou consommateurs/bénéficiaires, fournisseurs/vendeurs) ; Gestion juridique de l’entreprise (y compris, mais sans s’y limiter, la gestion des personnes morales, la gestion des délégations de pouvoir et d’autorité) ; Mise en place de processus d’éthique et de conformité (afin de se conformer aux exigences applicables). e. Catégories de personnes concernées : ces catégories sont détaillées dans l’annexe 8 des BCR. Elles comprennent : Candidats à une offre d’emploi ; Employés ; Anciens employés ; Clients (clients commerciaux actuels ou potentiels) ; Consommateurs/Bénéficiaires (actuels ou potentiels) ; Fournisseurs/vendeurs (contacts commerciaux) ; Prestataires/sous-traitants (contacts commerciaux) ; Consultants externes ; Autres (visiteurs, occupants du site, etc.). f. Catégories de données à caractère personnel transférées : les catégories sont détaillées dans l’annexe 8 des BCR. Elles comprennent notamment : Données d'identification (état civil, identité) ; Vie privée (limitée aux loisirs et autres informations incluses dans les CV, point de contact d’urgence, et informations nécessaires à la gestion du contrat d’assurance maladie pour tous les bénéficiaires) ; Vie professionnelle ; CV, école, diplôme, formation professionnelles, distinctions, etc. Situation économique et financière (ex : attentes salariales) ; Situation économique et financière (coordonnées bancaires pour la gestion de la paie) ; Données de connexion (ex : informations d’identification à des finalités d’authentification, logs/interaction avec les applications informatiques pertinentes, adresse IP) ; Vie privée (numéro de téléphone privé lorsque le salarié n’a pas de téléphone professionnel pour des raisons HLC) ; Vie privée (ex : les habitudes de vies) ; Vie privée (e-mail personnel pour le marketing direct si la Personne Concernée y a consenti) ; Situation économique et financière (revenus, situation financière, situation fiscale, etc.) ; Données sensibles : préférences ou restrictions alimentaires ou allergies pouvant révéler indirectement des données de santé ou des croyances religieuses. [1] Approuvé par le CEPD le 25 mai 2018. [2] Les WP256 rev.01 et WP264 sont remplacés par les Recommandations 1/2022 du CEPD. Cependant, étant donné que les BCR responsable du traitement du groupe avaient déjà atteint le stade de projet consolidé visé par l’article 2.4 du WP263 rev.01 au moment de la publication desdites Recommandations, les BCR peuvent être instruites conformément au cadre précédent, sous réserve que le CEPD adopte son avis d'ici la fin d’année 2023 (paragraphe 13 des Recommandations 1/2022).


Délibération n° 2023-143 du 21 décembre 2023 portant approbation des règles d’entreprise contraignantes (BCR) "sous-traitant" du groupe SODEXO
(Demande d’approbation n° 20005717)

La Commission nationale de l'informatique et des libertés (ci-après "la CNIL"), Saisie par la société Sodexo SA au nom et pour le compte du groupe Sodexo (ci-après "Sodexo") d’une demande d’approbation de ses BCR "sous-traitant" ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD), notamment ses articles 47, 57 et 64 ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ; Sur la proposition de Mme Anne DEBET, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement, Formule les observations suivantes : En vertu de l’article 47-1 du RGPD, la CNIL approuve des règles d’entreprise contraignantes ("BCR") sous réserve que celles-ci répondent aux exigences prévues par cet article. La mise en œuvre et l’adoption de BCR par un groupe d’entreprises visent à fournir des garanties aux responsables de traitement et aux sous-traitants établis sur le territoire de l’Union européenne ("UE") afin qu’un niveau de protection uniforme soit appliqué aux données transférées vers des pays tiers, et ce, indépendamment du niveau de protection conféré par chacun de ces pays tiers. Toutefois, avant de mettre en application ces BCR, il incombe à l'exportateur de données situé dans un État membre, le cas échéant en collaboration avec l'importateur de données, d'apprécier si le niveau de protection requis par le droit de l’UE est respecté dans le pays tiers de destination, y compris dans les situations de transferts ultérieurs. Cette évaluation doit être effectuée afin de déterminer si les garanties établies par les BCR peuvent être respectées dans la pratique, compte tenu des circonstances du transfert et des conflits qui peuvent exister entre les exigences du droit du pays tiers et les droits fondamentaux. Si tel n'est pas le cas, l'exportateur de données situé dans un État membre, le cas échéant en collaboration avec l'importateur de données, doit évaluer s'il peut prévoir des mesures supplémentaires pour assurer un niveau de protection substantiellement équivalent à celui garanti au sein de l’UE. La mise en œuvre des mesures supplémentaires relève de la responsabilité de l’exportateur, y compris après l’approbation des BCR par l’autorité compétente. Par conséquent, ces mesures supplémentaires ne font pas partie des éléments analysés dans le cadre de la procédure d’approbation des BCR. Dans le cas où l'exportateur de données établi dans un État membre n'est pas à même de prendre des mesures supplémentaires suffisantes pour assurer un niveau de protection substantiellement équivalent à celui garanti dans l’UE, il ne peut y avoir de transfert de données à caractère personnel vers le pays tiers en vertu des BCR. Par conséquent, l'exportateur de données est tenu de renoncer, de suspendre ou de mettre fin au transfert de données à caractère personnel. Dans la même logique, lorsque l’exportateur prend connaissance de nouveaux développements touchant à la protection des données dans un pays tiers qui diminuent le niveau de protection attendu ; il est tenu de suspendre ou mettre fin au transfert concerné. Conformément à la procédure de coopération décrite par le document de travail WP263 rev.01[1], la documentation relative aux BCR "sous-traitant" du groupe a été instruite par les services de la CNIL en qualité d’autorité compétente, puis par les services de deux autres autorités de protection des données agissant en qualité de co-examinatrices. Ces BCR ont également été revues par les autorités de protection des données des pays membres de l’Espace économique européen ("EEE") en application de la procédure d’approbation mise en place par le Comité européen de la protection des données ("CEPD"). L’instruction des BCR "sous-traitant" du groupe permet de conclure que celles-ci sont conformes aux critères imposés par l’article 47-1 du RGPD et le document de travail WP257.rev.01, notamment parce que les BCR susmentionnées : I. sont rendues juridiquement contraignantes par un contrat intra-groupe et imposent une obligation claire à chaque entité liée, y compris à leurs employés, de les respecter (Règle 26 des BCR et contrat intra-groupe) ; II. confèrent expressément des droits aux personnes concernées leur permettant de s’en prévaloir en tant que tiers bénéficiaires via les Règles 10 et 21 des BCR ; III. répondent aux exigences prévues par l’article 47-2 du RGPD : a) la structure et les coordonnées du groupe d’entreprises et de chacune des entités liées sont détaillées dans le formulaire de soumission qui a été fourni dans le cadre de l’instruction du dossier ; b) les transferts ou l'ensemble des transferts de données, y compris les catégories de données à caractère personnel, les types de traitements et leurs finalités, les types de personnes concernées et les pays tiers en question sont précisés en annexe 7 des BCR ; c) la nature juridiquement contraignante, tant interne qu’externe, des BCR est reconnue par la Règle 26 des BCR et les dispositions du contrat intra-groupe ; d) l'application des principes généraux relatifs à la protection des données, notamment la limitation de la finalité, la minimisation des données, la limitation des durées de conservation des données, la qualité des données, la protection des données dès la conception et la protection des données par défaut, la base juridique du traitement, le traitement de catégories particulières de données à caractère personnel, les mesures visant à garantir la sécurité des données, ainsi que les exigences en matière de transferts ultérieurs à des organismes qui ne sont pas liés par les règles d'entreprise contraignantes sont visés aux Règles 2, 3, 4, 5, 6, 7, 8, 13 et 14 des BCR ; e) le droit d'introduire une réclamation auprès de l'autorité de contrôle compétente et devant les juridictions compétentes des États membres conformément aux articles 77 et 79 du RGPD et d'obtenir réparation et, le cas échéant, une indemnisation pour violation des règles d'entreprise contraignantes sont prévus aux Règles 10, 21 et 22 des BCR ; f) l'acceptation, par le sous-traitant établi sur le territoire d'un État membre, de l'engagement de sa responsabilité pour toute violation des règles d'entreprise contraignantes par toute entité concernée non établie dans l’UE est précisée à la Règle 22 des BCR, de même que le principe selon lequel l’exonération, en tout ou en partie, de cette responsabilité peut intervenir uniquement si l’entité responsable prouve que le fait générateur du dommage n'est pas imputable à l'entité en cause ; g) la manière dont les informations sur les règles d'entreprise contraignantes, notamment en ce qui concerne les éléments mentionnés aux points d), e) et f) de l’article 47.2 du RGPD, sont fournies aux personnes concernées, en sus des informations visées aux articles 13 et 14 du RGPD, est spécifiée à la Règle 12 des BCR ; h) les missions de tout délégué à la protection des données, désigné conformément à l'article 37 du RGPD, ou de toute autre personne ou entité chargée de la surveillance du respect des règles d'entreprise contraignantes au sein du groupe d'entreprises, ou du groupe d'entreprises engagées dans une activité économique conjointe, ainsi que le suivi de la formation et le traitement des réclamations sont détaillées aux Règles 16, 17 et 20 des BCR; i) les procédures de réclamation, y compris l’obligation du sous-traitant d’informer le responsable du traitement d’une demande ou d’une réclamation d’une personne concernée, sont décrites aux Règles 2 et 17 des BCR ; j) les mécanismes mis en place au sein du groupe d’entreprises pour garantir le contrôle du respect des règles d’entreprise contraignantes sont détaillés à la Règle 18 des BCR. Ces mécanismes prévoient des audits sur la protection des données et des méthodes assurant que des mesures correctrices seront prises pour protéger les droits des personnes concernées. Les résultats de ces contrôles sont communiqués à la personne ou à l'entité visée au point h) ci-dessus et au conseil d'administration de l'entreprise qui exerce le contrôle du groupe d’entreprises, et sont mis à la disposition de l'autorité de contrôle compétente sur demande ; k) les mécanismes mis en place pour communiquer et consigner les modifications apportées aux règles et pour communiquer ces modifications à l'autorité de contrôle sont précisés à la Règle 25 des BCR ainsi qu’en annexe 4 ; l) le mécanisme de coopération avec l'autorité de contrôle mis en place pour assurer le respect des règles par toutes les entités du groupe d'entreprises est décrit à la Règle 24 des BCR ainsi qu’en annexe 3. L’obligation de mise à disposition de l'autorité de contrôle des résultats des contrôles des mesures visés au point j) ci-dessus est spécifiée à la Règle 18 des BCR ; m) les mécanismes permettant de communiquer à l'autorité de contrôle compétente toutes les obligations juridiques auxquelles une entité du groupe d'entreprises est soumise dans un pays tiers qui sont susceptibles d'avoir un effet négatif important sur les garanties fournies par les règles d'entreprise contraignantes sont décrits à la Règle 23 des BCR ; n) enfin, la Règle 16 des BCR prévoit une formation appropriée en matière de protection des données pour le personnel ayant un accès permanent ou régulier aux données à caractère personnel. Le CEPD a rendu l’avis n°30/2023 en date du 28 novembre 2023, conformément à l’article 64-1-f du RGPD. La Commission a tenu compte de cet avis. Décide : La CNIL approuve les BCR "sous-traitant" présentées par le groupe Sodexo, en ce qu’elles fournissent des garanties appropriées pour le transfert de données à caractère personnel conformément aux articles 46-1, 46-2-b, 47-1 et 47-2 du RGPD. Afin de dissiper toute ambigüité, la CNIL rappelle que l’approbation des BCR n’implique pas l’approbation de transferts spécifiques de données à caractère personnel effectués sur la base des BCR. En conséquence, l’approbation des BCR ne peut être interprétée comme une approbation des transferts vers des pays tiers inclus dans les BCR pour lesquels un niveau de protection substantiellement équivalent à celui assuré au sein de l'UE ne peut être garanti. La mise en œuvre des BCR approuvées ne nécessite pas d’autorisation supplémentaire spécifique de la part des autorités européennes de protection des données concernées. Conformément à l’article 58-2-j du RGPD, chaque autorité de protection des données concernée dispose du pouvoir d’ordonner la suspension des flux de données adressés à un destinataire situé dans un pays tiers ou à une organisation internationale dans le cas où les garanties appropriées prévues par les BCR "sous-traitant" du groupe Sodexo ne seraient pas respectées. La Présidente Marie-Laure DENIS Cette décision peut faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification. ANNEXE Les BCR "sous-traitant" du groupe Sodexo approuvées par la présente décision s’étendent au périmètre décrit ci-après : a. Champ d’application. Ces BCR "sous-traitant" s’appliquent à tous les flux de données personnelles traitées par une entité Sodexo liée par les BCR pour le compte d’un responsable de traitement pour des activités de traitement au sein du groupe, quelle que soit l’origine des données personnelles. b. États membres de l’EEE depuis lesquels les transferts sont effectués : Allemagne, Autriche, Belgique, Bulgarie, Chypre, Danemark, Espagne, Finlande, France, Hongrie, Irlande, Italie, Luxembourg, Norvège, Pays-Bas, Pologne, Portugal, République tchèque, Roumanie, Suède (listés en introduction des BCR). c. Pays tiers vers lesquels les transferts sont effectués : Afrique du Sud, Algérie, Australie, Birmanie, Brésil, Canada, Chili, Chine continentale, Colombie, Costa-Rica, Émirats Arabes Unis, États-Unis, Inde, Indonésie, Israël, Japon, Malaisie, Mexique, Maroc, Nouvelle-Zélande, Oman, Panama, Pérou, Philippines, République de Corée du Sud, Royaume-Uni, Singapour, Sri Lanka, Suisse, Thaïlande, Tunisie, Turquie, Uruguay, Venezuela, Vietnam (listés en introduction des BCR). d. Les finalités des transferts : la finalité indiquée à l’annexe 7 des BCR est l’exécution de services fournis par Sodexo pour le compte des clients (ex : services de gestion des installations, services de restauration, certains des services avantages et récompenses). e. Catégories de personnes concernées : ces catégories sont listées en annexe 7 des BCR. Elles comprennent : clients (contacts commerciaux actuels ou potentiels) consommateurs/bénéficiaires (consommateurs ou bénéficiaires actuels ou potentiels) f. Catégories de données à caractère personnel transférées : ces catégories sont listées en annexe 7 des BCR. Elles comprennent : données d’identification (état civil, identité…) ; vie professionnelle ; données de connexion (ex : informations d’identification à des fins d’authentification, logs/interaction avec les applications informatiques pertinentes, adresse IP). [1] Approuvé par le CEPD le 25 mai 2018.


Délibération n° 2023-144 du 21 décembre 2023 portant approbation des règles d’entreprise contraignantes (BCR)
"responsable du traitement" du groupe THALES
(demande d’approbation n° 20005721)

La Commission nationale de l'informatique et des libertés (ci-après "la CNIL"), Saisie par la société Thales S.A. au nom et pour le compte du groupe Thales (ci-après "Thales") d’une demande d’approbation de ses BCR "responsable du traitement" ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD), notamment ses articles 47, 57 et 64 ; Vu la décision de la CJUE C-311/18 Data Protection Commissioner contre Facebook Ireland Ltd et Maximillian Schrems, du 16 juillet 2020 ; Vu les recommandations 01/2020 sur les mesures qui complètent les instruments de transfert destinés à garantir le respect du niveau de protection des données à caractère personnel de l'UE, du 18 juin 2021 ; Vu les recommandations 1/2022 sur la demande d’approbation et sur les éléments et principes à inclure dans les BCR responsable de traitement (article 47 RGDP), du 20 juin 2023 ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ; Sur la proposition de Mme Anne DEBET, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement, Formule les observations suivantes : En vertu de l’article 47-1 du RGPD, la CNIL approuve des règles d’entreprise contraignantes ("BCR") sous réserve que celles-ci répondent aux exigences prévues par cet article. La mise en œuvre et l’adoption de BCR par un groupe d’entreprises visent à fournir des garanties aux responsables de traitement et aux sous-traitants établis sur le territoire de l’Union européenne ("UE") afin qu’un niveau de protection uniforme soit appliqué aux données transférées vers des pays tiers, et ce, indépendamment du niveau de protection conféré par chacun de ces pays tiers. Toutefois, avant de mettre en application ces BCR, il incombe à l'exportateur de données situé dans un État membre, le cas échéant en collaboration avec l'importateur de données, d'apprécier si le niveau de protection requis par le droit de l’UE est respecté dans le pays tiers de destination, y compris dans les situations de transferts ultérieurs. Cette évaluation doit être effectuée afin de déterminer si les garanties établies par les BCR peuvent être respectées dans la pratique, compte tenu des circonstances du transfert et des conflits qui peuvent exister entre les exigences du droit du pays tiers et les droits fondamentaux. Si tel n'est pas le cas, l'exportateur de données situé dans un État membre, le cas échéant en collaboration avec l'importateur de données, doit évaluer s'il peut prévoir des mesures supplémentaires pour assurer un niveau de protection substantiellement équivalent à celui garanti au sein de l’UE. La mise en œuvre des mesures supplémentaires relève de la responsabilité de l’exportateur, y compris après l’approbation des BCR par l’autorité compétente. Par conséquent, ces mesures supplémentaires ne font pas partie des éléments analysés dans le cadre de la procédure d’approbation des BCR. Dans le cas où l'exportateur de données établi dans un État membre n'est pas à même de prendre des mesures supplémentaires suffisantes pour assurer un niveau de protection substantiellement équivalent à celui garanti dans l’UE, il ne peut y avoir de transfert de données à caractère personnel vers le pays tiers en vertu des BCR. Par conséquent, l'exportateur de données est tenu de renoncer, de suspendre ou de mettre fin au transfert de données à caractère personnel. Dans la même logique, lorsque l’exportateur prend connaissance de nouveaux développements touchant à la protection des données dans un pays tiers qui diminuent le niveau de protection attendu ; il est tenu de suspendre ou mettre fin au transfert concerné. Conformément à la procédure de coopération décrite par le document de travail WP263 rev.01[1], la documentation relative aux BCR "responsable du traitement" du groupe a été instruite par les services de la CNIL en qualité d’autorité compétente, puis par les services de deux autres autorités de protection des données agissant en qualité de co-examinatrices. Ces BCR ont également été revues par les autorités de protection des données des pays membres de l’Espace économique européen ("EEE") en application de la procédure d’approbation mise en place par le Comité européen de la protection des données ("CEPD"). L’instruction des BCR "responsable du traitement" du groupe permet de conclure que celles-ci sont conformes aux critères imposés par l’article 47-1 du RGPD et le document de travail WP256 rev.01[2], notamment parce que les BCR susmentionnées : I. sont rendues juridiquement contraignantes par un contrat intra-groupe et imposent une obligation claire à chaque entité liée, y compris à leurs employés, de les respecter (article 3 des BCR, annexe 12 des BCR et article 2 du contrat intra-groupe) ; II. confèrent expressément des droits aux personnes concernées leur permettant de s’en prévaloir en tant que tiers bénéficiaires via l’article 10.2 des BCR ; III. répondent aux exigences prévues par l’article 47-2 du RGPD : a) la structure et les coordonnées du groupe d’entreprises et de chacune des entités liées sont détaillées dans le formulaire de soumission qui a été fourni dans le cadre de l’instruction du dossier ainsi qu’à l’annexe 8 des BCR ; b) les transferts ou l'ensemble des transferts de données, y compris les catégories de données à caractère personnel, les types de traitements et leurs finalités, les types de personnes concernées et les pays tiers en question sont précisés en annexes 1 et 9 des BCR ; c) la nature juridiquement contraignante, tant interne qu’externe, des BCR est reconnue à l’article 3 des BCR, en annexe 12 des BCR et à l’article 2 du contrat intra-groupe ; d l'application des principes généraux relatifs à la protection des données, notamment la limitation de la finalité, la minimisation des données, la limitation des durées de conservation des données, la qualité des données, la protection des données dès la conception et la protection des données par défaut, la base juridique du traitement, le traitement de catégories particulières de données à caractère personnel, les mesures visant à garantir la sécurité des données, ainsi que les exigences en matière de transferts ultérieurs à des organismes qui ne sont pas liés par les règles d'entreprise contraignantes, sont visés aux articles 4, 5, 8 et 13 des BCR ; e) les droits des personnes concernées à l'égard du traitement et les moyens d'exercer ces droits, y compris le droit de ne pas faire l'objet de décisions fondées exclusivement sur un traitement automatisé, y compris le profilage, conformément à l'article 22 du RGPD, le droit d'introduire une réclamation auprès de l'autorité de contrôle compétente et devant les juridictions compétentes des États membres conformément aux articles 77 et 79 du RGPD et d'obtenir réparation et, le cas échéant, une indemnisation pour violation des règles d'entreprise contraignantes, sont prévus aux articles 9, 10, 11 et 12 des BCR ; f) l'acceptation, par le responsable du traitement ou le sous-traitant établi sur le territoire d'un État membre, de l'engagement de sa responsabilité pour toute violation des règles d'entreprise contraignantes par toute entité concernée non établie dans l'UE est précisée à l’article 9 des BCR ; de même que le principe selon lequel l’exonération, en tout ou en partie, de cette responsabilité peut intervenir uniquement si l’entité responsable prouve que le fait générateur du dommage n'est pas imputable à l'entité en cause ; g) la manière dont les informations sur les règles d'entreprise contraignantes, notamment en ce qui concerne les éléments mentionnés aux points d), e) et f) de l’article 47.2 du RGPD, sont fournies aux personnes concernées, en sus des informations visées aux articles 13 et 14 du RGPD, est spécifiée à l’article 17.1 des BCR ; h) les missions de tout délégué à la protection des données, désigné conformément à l'article 37 du RGPD, ou de toute autre personne ou entité chargée de la surveillance du respect des règles d'entreprise contraignantes au sein du groupe d'entreprises, ou du groupe d'entreprises engagées dans une activité économique conjointe, ainsi que le suivi de la formation et le traitement des réclamations sont détaillées à l’article 20 des BCR et en annexes 2, 3, 5, 6 et 7 des BCR ; i) les procédures de réclamation sont décrites aux articles 11 et 12 des BCR ainsi qu’aux annexes 2 et 3 des BCR ; j) les mécanismes mis en place au sein du groupe d’entreprises pour garantir le contrôle du respect des règles d’entreprise contraignantes sont détaillés à l’article 19 des BCR et à l’annexe 5 BCR. Ces mécanismes prévoient des audits sur la protection des données et des méthodes assurant que des mesures correctrices seront prises pour protéger les droits des personnes concernées. Les résultats de ces contrôles sont communiqués à la personne ou à l'entité visée au point h) ci-dessus et au conseil d'administration de l'entreprise qui exerce le contrôle du groupe d'entreprises, et sont mis à la disposition de l'autorité de contrôle compétente sur demande ; k) les mécanismes mis en place pour communiquer et consigner les modifications apportées aux règles et pour communiquer ces modifications à l'autorité de contrôle sont précisés à l’article 21 des BCR ; l) le mécanisme de coopération avec l'autorité de contrôle mis en place pour assurer le respect des règles par toutes les entités du groupe d'entreprises est décrit à l’article 16 des BCR. L’obligation de mise à disposition de l'autorité de contrôle des résultats des contrôles des mesures visés au point j) ci-dessus est spécifiée à l’article 19 des BCR ; m) les mécanismes permettant de communiquer à l'autorité de contrôle compétente toutes les obligations juridiques auxquelles une entité du groupe d'entreprises est soumise dans un pays tiers qui sont susceptibles d'avoir un effet négatif important sur les garanties fournies par les règles d'entreprise contraignantes sont décrits à l’article 8 des BCR ; n) enfin, l’article 18 et l’annexe 6 des BCR prévoient une formation appropriée en matière de protection des données pour le personnel ayant un accès permanent ou régulier aux données à caractère personnel. Le CEPD a rendu l’avis n°31/2023 en date du 28 novembre 2023, conformément à l’article 64-1-f du RGPD. La Commission a tenu compte de cet avis. Décide : La CNIL approuve les BCR "responsable du traitement" présentées par le groupe Thales, en ce qu’elles fournissent des garanties appropriées pour le transfert de données à caractère personnel conformément aux articles 46-1, 46-2-b, 47-1 et 47-2 du RGPD. Afin de dissiper toute ambigüité, la CNIL rappelle que l’approbation des BCR n’implique pas l’approbation de transferts spécifiques de données à caractère personnel effectués sur la base des BCR. En conséquence, l’approbation des BCR ne peut être interprétée comme une approbation des transferts vers des pays tiers inclus dans les BCR pour lesquels un niveau de protection substantiellement équivalent à celui assuré au sein de l'UE ne peut être garanti. La mise en œuvre des BCR approuvées ne nécessite pas d’autorisation supplémentaire spécifique de la part des autorités européennes de protection des données concernées. Les BCR "responsable du traitement" du groupe Thales doivent être mises en conformité avec les Recommandations 1/2022 du CEPD dans le cadre de la mise à jour annuelle de 2024. Conformément à l’article 58-2-j du RGPD, chaque autorité de protection des données concernée dispose du pouvoir d’ordonner la suspension des flux de données adressés à un destinataire situé dans un pays tiers ou à une organisation internationale dans le cas où les garanties appropriées prévues par les BCR "responsable du traitement" du groupe Thales ne seraient pas respectées. La Présidente Marie-Laure DENIS Cette décision peut faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification. ANNEXE Les BCR "responsable du traitement" du groupe Thales approuvées par la présente décision s’étendent au périmètre décrit ci-après : a. Champ d’application. Ces BCR "responsable du traitement" s’appliquent lorsqu’une entité du groupe juridiquement liée par les BCR, et ayant mis en œuvre les engagements pris au titre des BCR agit en tant que responsable du traitement, de même que lorsque l’entité agit en tant que sous-traitant pour le compte du groupe, ainsi qualifié de sous-traitant interne (article 2.2 des BCR). Les BCR couvrent plus particulièrement les transferts effectués par des entités liées situées en EEE vers des entités situées dans des pays tiers, ainsi qu’aux transferts ultérieurs effectués par des dernières (article 2.3 des BCR). b. Etats membres de l’EEE depuis lesquels les transferts sont effectués. Ces Etats membres sont visés à l’annexe 8.1 des BCR. Il s’agit des pays suivants : France, Autriche, Belgique, Danemark, Estonie, Finlande, Allemagne, Grèce, Hongrie, Italie, Lettonie, Pays-Bas, Norvège, Pologne, Portugal, Roumanie, Espagne et Suède. c. Pays tiers vers lesquels les transferts sont effectués. Ces pays tiers sont mentionnés en annexes 8.2 et 9 des BCR. Il s’agit des pays suivants : Afrique du Sud, Algérie, Arabie Saoudite, Argentine, Australie, Bahreïn, Bolivie, Brésil, Cameroun, Canada, Chili, Chine, Colombie, Corée du Sud, Côte d'Ivoire, Égypte, Emirats Arabes Unis, Etats-Unis d'Amérique, Gabon, Hong-Kong, Inde, Indonésie, Israël, Japon, Kazakhstan, Kenya, Liban, Malaisie, Maroc, Maurice, Mexique, Nigeria, Nouvelle-Zélande, Oman, Pakistan, Philippines, Qatar, Royaume-Uni, Sénégal, Singapour, Suisse, Taiwan, Thaïlande, Turquie et Venezuela. d. Les finalités des transferts. Ces finalités sont détaillées en annexe 1 des BCR, comme suit : Gestion du système informatique et du réseau téléphonique, contrôle des accès au système informatique ainsi qu’aux différents outils informatiques (logiciels, applications, imprimantes, etc.), gestion des autorisations ainsi que des nominations des Administrateurs IS/IT y afférentes, authentification des utilisateurs et gestion de leurs profils, suivi des actions réalisées par ceux-ci (ex., modification de base de données) Mise en œuvre d’un outil de messagerie électronique Suivi et audit des connections à certains outils et bases de données du système informatique afin de connaître le taux d’utilisation et calculer le coût des licences associées, analyse de la navigation des utilisateurs de sites internet afin de comprendre leurs usages et d’améliorer le(s) site(s) internet concerné(s) Réalisation d’audits de sécurité informatique, gestion et suivi des failles/incidents de sécurité, mise en place de procédures destinées à la sauvegarde des données et à la continuité d’activité en cas d’incidents affectant le système informatique Gestion et suivi des demandes d’assistance informatique soumises par les utilisateurs auprès du Helpdesk Gestion et administration des outils de téléphonie et des réseaux téléphoniques afférents mis à la disposition des employés Gestion d’outils collaboratifs Suivi des collaborateurs en déplacement professionnel aux fins d’assurer leur sécurité Recrutement de collaborateurs et suivi des candidatures Administration du personnel, gestion des profils des salariés, gestion des organisations, rapport et analyse de données RH Gestion de la performance, des rémunérations, avantages financiers ou non et du développement professionnel des salariés et des compétences Gestion de la paie, du dossier administratif des salariés (présence, absence, congés maladie, départs en retraite, transferts, etc.), et suivi du temps de travail Gestion de la formation professionnelle Gestion des salariés en situation de mobilité internationale (suivi de leur mission, des mesures d’accompagnement, situation familiale) Gestion des déplacements, réservation et paiement des titres de voyage, ainsi que le remboursement au personnel en déplacement des frais afférents, suivi et gestion des notes de frais soumises par les salariés, des cadeaux et invitations que les salariés pourraient envisager d’accepter ou offrir et des cartes bancaires professionnelles Mise en place de réseaux d’entreprise, notamment de réseaux sociaux d’entreprise Gestion de la charge de travail, organisation et suivi des projets et de l’activité Gestion des enquêtes auprès des salariés Gestion de la politique d’emploi des travailleurs handicapés Suivi des déclarations d’inventions dans le cadre des activités relatives à la propriété intellectuelle Création et gestion de listes d’initiés, des représentants d’intérêts, des déclarations anti-corruption, réalisation de due diligence des partenaires, gestion des procédures d’alerte, d’enquête interne et des conflits d’intérêts Suivi de la conformité en matière de contrôle des exportations Gestion des administrateurs en ce compris aux fins de se conformer avec des exigences légales Gestion documentaire Gestion des retours d’expérience fournis par les employés et de leur niveau de satisfaction, suivi des suggestions soumises par ceux-ci (ex. boîte à idées) Gestion des habilitations des employés et des prestataires aux fins d’obtenir les accréditations et/ou habilitations nécessaires (i) pour valider la conformité de données, documents, produits ou services à des normes, standards ou réglementations ou (ii) pour procéder à des vérifications ou audits Gestion, suivi et inventaire du parc immobilier du groupe Gestion et suivi des plaintes ou demandes d’indemnisation d’employés, gestion de la relation avec les assureurs à cet égard Etude et résolution des plaintes de tiers, demandes d’indemnisation, des contentieux et des précontentieux, et pour la détermination des conseils assistant Thales dans les procédures contentieuses et précontentieuses Traitement de données à des fins d’organisation événementielle et de communication Gestion de la relation avec les clients, partenaires et prospects Gestion des opérations de fusions & acquisitions Gestion de la relation avec les fournisseurs et sous-traitants impliquant notamment la gestion des achats et le suivi des relations contractuelles Gestion des réservations, achats, évaluations et dispenses de formations par Thales au profit de ses clients internes et/ou externes Soumission de candidatures dans le cadre de processus d’appels d’offres initiés par de potentiels clients, impliquant dans certains cas des échanges de données avec des partenaires soumissionnaires Suivi et gestion de l’utilisation des plateformes interactives et réseaux mis à la disposition des clients finaux et des achats réalisés par ces derniers sur lesdites plateformes interactives et réseaux Traitements aux fins d’adaptation et de configuration des produits aux besoins des clients Gestion des incidents sur les produits et systèmes et rapports d’incidents établis par les salariés Thales Traitement destiné à assurer l’organisation, le suivi et la réalisation de formations dispensées par Thales pour ses clients Traitement de données résultant d’opérations de support technique et de maintenance réalisées pour les clients Thales Traitements aux fins de participation à et/ou de mise en œuvre de projets de recherche Traitement aux fins d’obtention de subventions Collecte et traitement de données personnelles à des fins de veille règlementaire, économique et d’intelligence stratégique Gestion comptable, fiscale générale et contrôle des opérations financières Réalisation d’audits internes au sein du groupe et suivi des actions en résultant e. Catégories de personnes concernées. Ces catégories sont indiquées dans l’article 2.2 et l’annexe 1 des BCR. Elles couvrent les : employés de Thales, y compris salariés, représentants et mandataires sociaux, ainsi que les anciens employés de Thales ; intérimaires et stagiaires de Thales ; candidats à l’emploi au sein de Thales ; employés et points de contact des clients existants et clients éventuels de Thales ; employés et points de contact des partenaires, prestataires, fournisseurs et sous-traitants de Thales ; employés, points de contact des clients des clients internes (un client interne désigne toute entité Thales agissant en qualité de responsable du traitement, pour le compte de laquelle une autre entité Thales traite des données à caractère personnel dans le cadre d’un contrat de prestations de services ou de fourniture de produits impliquant un traitement de données à caractère personnel). f. Catégories de données à caractère personnel transférées. Ces catégories sont reprises par l’article 2.2 des BCR et sont détaillés par finalité et par catégorie de personnes concernées dans l’annexe 1 des BCR. Il s’agit des : données d’identification ; données relatives à la vie professionnelle ; données de connexion ; données biométriques ; données relatives à la vie personnelle ; données économiques et financières ; données personnelles sensibles (telles que les données de santé) ; données de localisation ; permis de conduire ; toute information disponible publiquement ; des données relatives à l’utilisation de services interactifs. [1] Approuvé par le CEPD le 25 mai 2018. [2] Les WP256 rev.01 et WP264 sont remplacés par les Recommandations 1/2022 du CEPD. Cependant, étant donné que les BCR responsable du traitement du groupe avaient déjà atteint le stade de projet consolidé visé par l’article 2.4 du WP263 rev.01 au moment de la publication desdites Recommandations, les BCR peuvent être instruites conformément au cadre précédent, sous réserve que le CEPD adopte son avis d'ici la fin d’année 2023 (paragraphe 13 des Recommandations 1/2022).


Délibération n° 2023-145 du 21 décembre 2023 portant approbation des règles d’entreprise contraignantes (BCR) "sous-traitant" du groupe THALES
(demande d’approbation n° 20005722)

La Commission nationale de l'informatique et des libertés (ci-après "la CNIL"), Saisie par la société Thales S.A. au nom et pour le compte du groupe Thales (ci-après "Thales") d’une demande d’approbation de ses BCR "sous-traitant" ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD), notamment ses articles 47, 57 et 64 ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ; Sur la proposition de Mme Anne DEBET, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement, Formule les observations suivantes : En vertu de l’article 47-1 du RGPD, la CNIL approuve des règles d’entreprise contraignantes ("BCR") sous réserve que celles-ci répondent aux exigences prévues par cet article. La mise en œuvre et l’adoption de BCR par un groupe d’entreprises visent à fournir des garanties aux responsables de traitement et aux sous-traitants établis sur le territoire de l’Union européenne ("UE") afin qu’un niveau de protection uniforme soit appliqué aux données transférées vers des pays tiers, et ce, indépendamment du niveau de protection conféré par chacun de ces pays tiers. Toutefois, avant de mettre en application ces BCR, il incombe à l'exportateur de données situé dans un État membre, le cas échéant en collaboration avec l'importateur de données, d'apprécier si le niveau de protection requis par le droit de l’UE est respecté dans le pays tiers de destination, y compris dans les situations de transferts ultérieurs. Cette évaluation doit être effectuée afin de déterminer si les garanties établies par les BCR peuvent être respectées dans la pratique, compte tenu des circonstances du transfert et des conflits qui peuvent exister entre les exigences du droit du pays tiers et les droits fondamentaux. Si tel n'est pas le cas, l'exportateur de données situé dans un État membre, le cas échéant en collaboration avec l'importateur de données, doit évaluer s'il peut prévoir des mesures supplémentaires pour assurer un niveau de protection substantiellement équivalent à celui garanti au sein de l’UE. La mise en œuvre des mesures supplémentaires relève de la responsabilité de l’exportateur, y compris après l’approbation des BCR par l’autorité compétente. Par conséquent, ces mesures supplémentaires ne font pas partie des éléments analysés dans le cadre de la procédure d’approbation des BCR. Dans le cas où l'exportateur de données établi dans un État membre n'est pas à même de prendre des mesures supplémentaires suffisantes pour assurer un niveau de protection substantiellement équivalent à celui garanti dans l’UE, il ne peut y avoir de transfert de données à caractère personnel vers le pays tiers en vertu des BCR. Par conséquent, l'exportateur de données est tenu de renoncer, de suspendre ou de mettre fin au transfert de données à caractère personnel. Dans la même logique, lorsque l’exportateur prend connaissance de nouveaux développements touchant à la protection des données dans un pays tiers qui diminuent le niveau de protection attendu ; il est tenu de suspendre ou mettre fin au transfert concerné. Conformément à la procédure de coopération décrite par le document de travail WP263 rev.01[1], la documentation relative aux BCR "sous-traitant" du groupe a été instruite par les services de la CNIL en qualité d’autorité compétente, puis par les services de deux autres autorités de protection des données agissant en qualité de co-examinatrices. Ces BCR ont également été revues par les autorités de protection des données des pays membres de l’Espace économique européen ("EEE") en application de la procédure d’approbation mise en place par le Comité européen de la protection des données ("CEPD"). L’instruction des BCR "sous-traitant" du groupe permet de conclure que celles-ci sont conformes aux critères imposés par l’article 47-1 du RGPD et le document de travail WP257 rev.01, notamment parce que les BCR susmentionnées : I. sont rendues juridiquement contraignantes par un contrat intra-groupe et imposent une obligation claire à chaque entité liée, y compris à leurs employés, de les respecter (article 3 des BCR, annexe 11 des BCR et article 2 du contrat intra-groupe) ; II. confèrent expressément des droits aux personnes concernées leur permettant de s’en prévaloir en tant que tiers bénéficiaires via l’article 10.2 des BCR ; III. répondent aux exigences prévues par l’article 47-2 du RGPD : a) la structure et les coordonnées du groupe d’entreprises et de chacune des entités liées sont détaillées dans le formulaire de soumission qui a été fourni dans le cadre de l’instruction du dossier ainsi qu’à l’annexe 7 des BCR ; b) les transferts ou l'ensemble des transferts de données, y compris les catégories de données à caractère personnel, les types de traitements et leurs finalités, les types de personnes concernées et les pays tiers en question sont précisés en annexes 1 et 8 des BCR ; c) la nature juridiquement contraignante, tant interne qu’externe, des BCR est reconnue à l’article 3 des BCR, annexe 11 des BCR et à l’article 2 du contrat intra-groupe ; d) l'application des principes généraux relatifs à la protection des données, notamment la limitation de la finalité, la minimisation des données, la limitation des durées de conservation des données, la qualité des données, la protection des données dès la conception et la protection des données par défaut, la base juridique du traitement, le traitement de catégories particulières de données à caractère personnel, les mesures visant à garantir la sécurité des données, ainsi que les exigences en matière de transferts ultérieurs à des organismes qui ne sont pas liés par les règles d'entreprise contraignantes, sont visés aux articles 4, 5, 8 et 13 des BCR ; e) le droit d'introduire une réclamation auprès de l'autorité de contrôle compétente et devant les juridictions compétentes des États membres conformément aux articles 77 et 79 du RGPD et d'obtenir réparation et, le cas échéant, une indemnisation pour violation des règles d'entreprise contraignantes, sont prévus aux articles 9, 10, 11 et 12 des BCR ; f) l'acceptation, par le sous-traitant établi sur le territoire d'un État membre, de l'engagement de sa responsabilité pour toute violation des règles d'entreprise contraignantes par toute entité concernée non établie dans l'UE est précisée à l’article 9 des BCR, de même que le principe selon lequel l’exonération, en tout ou en partie, de cette responsabilité peut intervenir uniquement si l’entité responsable prouve que le fait générateur du dommage n'est pas imputable à l'entité en cause ; g) la manière dont les informations sur les règles d'entreprise contraignantes, notamment en ce qui concerne les éléments mentionnés aux points d), e) et f) de l’article 47.2 du RGPD, sont fournies aux personnes concernées, en sus des informations visées aux articles 13 et 14 du RGPD, est spécifiée à l’article 17.1 des BCR ; h) les missions de tout délégué à la protection des données, désigné conformément à l'article 37 du RGPD, ou de toute autre personne ou entité chargée de la surveillance du respect des règles d'entreprise contraignantes au sein du groupe d'entreprises, ou du groupe d'entreprises engagées dans une activité économique conjointe, ainsi que le suivi de la formation et le traitement des réclamations, sont détaillées à l’article 20 des BCR et en annexes 2, 3, 5 et 6 des BCR ; i) les procédures de réclamation y compris l’obligation du sous-traitant d’informer le responsable du traitement d’une demande ou d’une réclamation d’une personne concernée, sont décrites aux articles 11 et 12 des BCR ainsi qu’aux annexes 2 et 3 des BCR ; j) les mécanismes mis en place au sein du groupe d’entreprises pour garantir le contrôle du respect des règles d’entreprise contraignantes sont détaillés à l’article 19 et en annexe 4 des BCR. Ces mécanismes prévoient des audits sur la protection des données et des méthodes assurant que des mesures correctrices seront prises pour protéger les droits des personnes concernées. Les résultats de ces contrôles sont communiqués à la personne ou à l'entité visée au point h) ci-dessus et au conseil d'administration de l'entreprise qui exerce le contrôle du groupe d’entreprises, et sont mis à la disposition de l'autorité de contrôle compétente sur demande ; k) les mécanismes mis en place pour communiquer et consigner les modifications apportées aux règles et pour communiquer ces modifications à l'autorité de contrôle sont précisés à l’article 21 des BCR ; l) le mécanisme de coopération avec l'autorité de contrôle mis en place pour assurer le respect des règles par toutes les entités du groupe d'entreprises est décrit à l’article 16 des BCR. L’obligation de mise à disposition de l'autorité de contrôle des résultats des contrôles des mesures visées au point j) ci-dessus est spécifiée à l’article 19 des BCR ; m) les mécanismes permettant de communiquer à l'autorité de contrôle compétente toutes les obligations juridiques auxquelles une entité du groupe d'entreprises est soumise dans un pays tiers qui sont susceptibles d'avoir un effet négatif important sur les garanties fournies par les règles d'entreprise contraignantes sont décrits à l’article 8 des BCR ; n) enfin, l’article 18 et l’annexe 5 des BCR prévoient une formation appropriée en matière de protection des données pour le personnel ayant un accès permanent ou régulier aux données à caractère personnel. Le CEPD a rendu l’avis n°32/2023 en date du 28 novembre 2023, conformément à l’article 64- 1-f du RGPD. La Commission a tenu compte de cet avis. Décide : La CNIL approuve les BCR "sous-traitant" présentées par le groupe Thales, en ce qu’elles fournissent des garanties appropriées pour le transfert de données à caractère personnel conformément aux articles 46-1, 46-2-b, 47-1 et 47-2 du RGPD. Afin de dissiper toute ambigüité, la CNIL rappelle que l’approbation des BCR n’implique pas l’approbation de transferts spécifiques de données à caractère personnel effectués sur la base des BCR. En conséquence, l’approbation des BCR ne peut être interprétée comme une approbation des transferts vers des pays tiers inclus dans les BCR pour lesquels un niveau de protection substantiellement équivalent à celui assuré au sein de l'UE ne peut être garanti. La mise en œuvre des BCR approuvées ne nécessite pas d’autorisation supplémentaire spécifique de la part des autorités européennes de protection des données concernées. Conformément à l’article 58-2-j du RGPD, chaque autorité de protection des données concernée dispose du pouvoir d’ordonner la suspension des flux de données adressés à un destinataire situé dans un pays tiers ou à une organisation internationale dans le cas où les garanties appropriées prévues par les BCR "sous-traitant" du groupe Thales ne seraient pas respectées. La Présidente Marie-Laure DENIS Cette décision peut faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification. ANNEXE Les BCR "sous-traitant" du groupe Thales qui sont approuvées par la présente décision s’étendent au périmètre décrit ci-après : a. Champ d’application. Ces BCR "sous-traitant" s’appliquent aux transferts de données à caractère personnel depuis des entités Thales agissant en qualité de sous-traitants situées dans l’EEE vers des entités du même groupe agissant en qualité de sous-traitant ultérieurs situées en dehors de l’EEE, ainsi qu’aux transferts ultérieurs vers d’autres entités Thales situées en dehors de l’EEE (article 2.3 BCR). b. Etats membres de l’EEE depuis lesquels les transferts sont effectués. Ces Etats membres sont visés à l’annexe 7.1 des BCR. Il s’agit des pays suivants : France, Autriche, Belgique, Danemark, Estonie, Finlande, Allemagne, Grèce, Hongrie, Italie, Lettonie, Pays-Bas, Norvège, Pologne, Portugal, Roumanie, Espagne et Suède. c. Pays tiers vers lesquels les transferts sont effectués. Ces pays tiers sont mentionnés en annexes 7.2 et 8 des BCR. Il s’agit des pays suivants : Afrique du Sud, Algérie, Arabie Saoudite, Argentine, Australie, Bahreïn, Bolivie, Brésil, Cameroun, Canada, Chili, Chine, Colombie, Corée du Sud, Côte d'Ivoire, Égypte, Emirats Arabes Unis, Etats-Unis d'Amérique, Gabon, Hong-Kong, Inde, Indonésie, Israël, Japon, Kazakhstan, Kenya, Liban, Malaisie, Maroc, Maurice, Mexique, Nigeria, Nouvelle-Zélande, Oman, Pakistan, Philippines, Qatar, Royaume-Uni, Sénégal, Singapour, Suisse, Taiwan, Thaïlande, Turquie et Venezuela. d. Les finalités des transferts. Ces finalités sont détaillées en annexe 1 des BCR, comme suit : Traitements de données dans le cadre de l’externalisation, de l’hébergement et de la gestion de systèmes informatiques et de sécurité fournis par Thales à ses clients Traitement de données résultant du support technique et des opérations de maintenance effectués pour le compte de clients en exécution d’un contrat Traitement de données afin de fournir du support technique et des services de maintenance aux clients pour des systèmes de surveillance et de navigation Traitements destinés à assurer l’organisation, le suivi et l’exécution de sessions de formation dispensées par Thales à ses clients en tant que Sous-Traitant Collecte et traitement de données par Thales pour le compte de ses clients compagnies aériennes afin de fournir des services à ces compagnies Collecte et traitement de données par Thales pour le compte de ses clients compagnies aériennes afin de fournir des services personnalisés aux usagers Collecte et traitement de données par Thales pour le compte de ses clients impliquant la consolidation et la redistribution de données à ses clients ou à des tiers désignés par les clients Traitements afin d’adapter et ajuster les produits aux besoins des clients Traitement de données personnelles pour la gestion bancaire numérique Traitement de données personnelles pour la vérification d’identité et la reconnaissance faciale Traitement de données personnelles pour des services de connectivité à la demande afin de connecter des objets aux réseaux cellulaires Traitement de données personnelles pour des solutions de licences de programmes informatiques e. Catégories de personnes concernées. Ces catégories sont indiquées dans l’article 2.2 des BCR. Elles couvrent les : contacts des clients de Thales ; employés des clients de Thales ; contacts des clients des clients de Thales (client final) ; employés des clients des clients de Thales ; contacts des prestataires et fournisseurs de Thales ; employés des prestataires et fournisseurs de Thales. f. Catégories de données à caractère personnel transférées. Ces catégories sont reprises par l’article 2.2 des BCR. Il s’agit de : données d’identification ; données relatives à la vie professionnelle ; données de connexion ; données biométriques ; données économiques et financières ; données de localisation ; permis de conduire ; toute information disponible publiquement. [1] Approuvé par le CEPD le 25 mai 2018.


Délibération n° 2023-139 du 21 décembre 2023 portant approbation des règles d’entreprise contraignantes (BCR) "responsable du traitement" du groupe NESTLÉ (Demande d’approbation n° 20005278)

La Commission nationale de l'informatique et des libertés (ci-après "la CNIL"), Saisie par la société Nestlé France au nom et pour le compte du groupe Nestlé S.A. (ci-après "Nestlé"), d’une demande d’approbation de ses BCR "responsable du traitement" ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD), notamment ses articles 47, 57 et 64 ; Vu la décision de la CJUE C-311/18 Data Protection Commissioner contre Facebook Ireland Ltd et Maximillian Schrems, du 16 juillet 2020 ; Vu les recommandations 01/2020 sur les mesures qui complètent les instruments de transfert destinés à garantir le respect du niveau de protection des données à caractère personnel de l'UE, du 18 juin 2021 ; Vu les recommandations 1/2022 sur la demande d’approbation et sur les éléments et principes à inclure dans les BCR responsable de traitement (article 47 RGDP), du 20 juin 2023 ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ; Sur la proposition de Mme Anne DEBET, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement, Formule les observations suivantes : En vertu de l’article 47-1 du RGPD, la CNIL approuve des règles d’entreprise contraignantes ("BCR") sous réserve que celles-ci répondent aux exigences prévues par cet article. La mise en œuvre et l’adoption de BCR par un groupe d’entreprises visent à fournir des garanties aux responsables de traitement et aux sous-traitants établis sur le territoire de l’Union européenne ("UE") afin qu’un niveau de protection uniforme soit appliqué aux données transférées vers des pays tiers, et ce, indépendamment du niveau de protection conféré par chacun de ces pays tiers. Toutefois, avant de mettre en application ces BCR, il incombe à l'exportateur de données situé dans un État membre, le cas échéant en collaboration avec l'importateur de données, d'apprécier si le niveau de protection requis par le droit de l’UE est respecté dans le pays tiers de destination, y compris dans les situations de transferts ultérieurs. Cette évaluation doit être effectuée afin de déterminer si les garanties établies par les BCR peuvent être respectées dans la pratique, compte tenu des circonstances du transfert et des conflits qui peuvent exister entre les exigences du droit du pays tiers et les droits fondamentaux. Si tel n'est pas le cas, l'exportateur de données situé dans un État membre, le cas échéant en collaboration avec l'importateur de données, doit évaluer s'il peut prévoir des mesures supplémentaires pour assurer un niveau de protection substantiellement équivalent à celui garanti au sein de l’UE. La mise en œuvre des mesures supplémentaires relève de la responsabilité de l’exportateur, y compris après l’approbation des BCR par l’autorité compétente. Par conséquent, ces mesures supplémentaires ne font pas partie des éléments analysés dans le cadre de la procédure d’approbation des BCR. Dans le cas où l'exportateur de données établi dans un État membre n'est pas à même de prendre des mesures supplémentaires suffisantes pour assurer un niveau de protection substantiellement équivalent à celui garanti dans l’UE, il ne peut y avoir de transfert de données à caractère personnel vers le pays tiers en vertu des BCR. Par conséquent, l'exportateur de données est tenu de renoncer, de suspendre ou de mettre fin au transfert de données à caractère personnel. Dans la même logique, lorsque l’exportateur prend connaissance de nouveaux développements touchant à la protection des données dans un pays tiers qui diminuent le niveau de protection attendu ; il est tenu de suspendre ou mettre fin au transfert concerné. Conformément à la procédure de coopération décrite par le document de travail WP263 rev.01[1], la documentation relative aux BCR "responsable du traitement" du groupe a été instruite par les services de la CNIL en qualité d’autorité compétente, puis par les services de deux autres autorités de protection des données agissant en qualité de co-examinatrices. Ces BCR ont également été revues par les autorités de protection des données des pays membres de l’Espace économique européen ("EEE") en application de la procédure d’approbation mise en place par le Comité européen de la protection des données ("CEPD"). L’instruction des BCR "responsable du traitement" du groupe permet de conclure que celles-ci sont conformes aux critères imposés par l’article 47-1 du RGPD et le document de travail WP256 rev.01[2], notamment parce que les BCR susmentionnées : I- sont rendues juridiquement contraignantes par un contrat intra-groupe et imposent une obligation claire à chaque entité liée, y compris à leurs employés, de les respecter (article 1.1 des BCR et articles 2.1 et 2.2 du contrat intra-groupe) ; II- confèrent expressément des droits aux personnes concernées leur permettant de s’en prévaloir en tant que tiers bénéficiaires via l’article 26.2 des BCR ; III- répondent aux exigences prévues par l’article 47-2 du RGPD : a) la structure et les coordonnées du groupe d’entreprises et de chacune des entités liées sont détaillées dans le formulaire de soumission qui a été fourni dans le cadre de l’instruction du dossier. La liste des entités est accessible depuis le site web du groupe Nestlé ; b) les transferts ou l'ensemble des transferts de données, y compris les catégories de données à caractère personnel, les types de traitements et leurs finalités, les types de personnes concernées et les pays tiers en question sont précisés en annexe 2 des BCR ; c) la nature juridiquement contraignante, tant interne qu’externe, des BCR est reconnue par l’article 1.1 des BCR ainsi qu’aux articles 2.1 et 2.2 du contrat intra-groupe ; d) l'application des principes généraux relatifs à la protection des données, notamment la limitation de la finalité, la minimisation des données, la limitation des durées de conservation des données, la qualité des données, la protection des données dès la conception et la protection des données par défaut, la base juridique du traitement, le traitement de catégories particulières de données à caractère personnel, les mesures visant à garantir la sécurité des données, ainsi que les exigences en matière de transferts ultérieurs à des organismes qui ne sont pas liés par les règles d'entreprise contraignantes, sont visés aux articles 5, 6, 7, 8, 9, 10, 16, 17 et 20 des BCR ; e) les droits des personnes concernées à l'égard du traitement et les moyens d'exercer ces droits, y compris le droit de ne pas faire l'objet de décisions fondées exclusivement sur un traitement automatisé, y compris le profilage, conformément à l'article 22 du RGPD, le droit d'introduire une réclamation auprès de l'autorité de contrôle compétente et devant les juridictions compétentes des Etats membres conformément aux articles 77 et 79 du RGPD et d'obtenir réparation et, le cas échéant, une indemnisation pour violation des règles d'entreprise contraignantes sont prévus aux articles 12, 13 et 26.2 des BCR ; f) l'acceptation, par le responsable du traitement ou le sous-traitant établi sur le territoire d'un Etat membre, de l'engagement de sa responsabilité pour toute violation des règles d'entreprise contraignantes par toute entité concernée non établie dans l’UE est précisée à l’article 27.2 des BCR ; de même que le principe selon lequel l’exonération en tout ou en partie de cette responsabilité peut intervenir uniquement si l’entité responsable prouve que le fait générateur du dommage n'est pas imputable à l'entité en cause ; g) la manière dont les informations sur les règles d'entreprise contraignantes, notamment en ce qui concerne les éléments mentionnés aux points d), e) et f) de l’article 47.2 du RGPD, sont fournies aux personnes concernées, en sus des informations visées aux articles 13 et 14 du RGPD, est spécifiée à l’article 11 des BCR et en annexe 4 ; h) les missions de tout délégué à la protection des données, désigné conformément à l'article 37 du RGPD, ou de toute autre personne ou entité chargée de la surveillance du respect des règles d'entreprise contraignantes au sein du groupe d'entreprises, ou du groupe d'entreprises engagées dans une activité économique conjointe, ainsi que le suivi de la formation et le traitement des réclamations sont détaillées à l’article 23.1 des BCR ; i) les procédures de réclamation sont décrites à l’article 25 des BCR et en annexe 3 ; j) les mécanismes mis en place au sein du groupe d’entreprises pour garantir le contrôle du respect des règles d’entreprise contraignantes sont détaillés à l’article 22 des BCR. Ces mécanismes prévoient des audits sur la protection des données et des méthodes assurant que des mesures correctrices seront prises pour protéger les droits des personnes concernées. Les résultats de ces contrôles sont communiqués à la personne ou à l'entité visée au point h) ci-dessus et au conseil d'administration de l'entreprise qui exerce le contrôle du groupe d'entreprises, et sont mis à la disposition de l'autorité de contrôle compétente sur demande ; k) les mécanismes mis en place pour communiquer et consigner les modifications apportées aux règles et pour communiquer ces modifications à l'autorité de contrôle sont précisés à l’article 29 des BCR ; l) le mécanisme de coopération avec l'autorité de contrôle mis en place pour assurer le respect des règles par toutes les entités du groupe d'entreprises est décrit à l’article 28 des BCR. L’obligation de mise à disposition de l'autorité de contrôle des résultats des contrôles des mesures visés au point j) ci-dessus est spécifiée à l’article 22.1 des BCR ; m) les mécanismes permettant de communiquer à l'autorité de contrôle compétente toutes les obligations juridiques auxquelles une entité du groupe d'entreprises est soumise dans un pays tiers qui sont susceptibles d'avoir un effet négatif important sur les garanties fournies par les règles d'entreprise contraignantes sont décrits aux articles 24.4, 24.10 et 24.13 des BCR ; n) enfin, l’article 21 et l’annexe 2.6 des BCR prévoient une formation appropriée en matière de protection des données pour le personnel ayant un accès permanent ou régulier aux données à caractère personnel. Le CEPD a rendu l’avis n°24/2023 en date du 16 novembre 2023, conformément à l’article 64-1-f du RGPD. La Commission a tenu compte de cet avis. Décide : La CNIL approuve les BCR "responsable du traitement" présentées par le groupe Nestlé, en ce qu’elles fournissent des garanties appropriées pour le transfert de données à caractère personnel conformément aux articles 46-1, 46-2-b, 47-1 et 47-2 du RGPD. Afin de dissiper toute ambigüité, la CNIL rappelle que l’approbation des BCR n’implique pas l’approbation de transferts spécifiques de données à caractère personnel effectués sur la base des BCR. En conséquence, l’approbation des BCR ne peut être interprétée comme une approbation des transferts vers des pays tiers inclus dans les BCR pour lesquels un niveau de protection substantiellement équivalent à celui assuré au sein de l'UE ne peut être garanti. La mise en œuvre des BCR approuvées ne nécessite pas d’autorisation supplémentaire spécifique de la part des autorités européennes de protection des données concernées. Les BCR "responsable du traitement" du groupe Nestlé doivent être mises en conformité avec les Recommandations 01/2022 du CEPD dans le cadre de la mise à jour annuelle de 2024. Conformément à l’article 58-2-j du RGPD, chaque autorité de protection des données concernée dispose du pouvoir d’ordonner la suspension des flux de données adressés à un destinataire situé dans un pays tiers ou à une organisation internationale dans le cas où les garanties appropriées prévues par les BCR "responsable du traitement" du groupe Nestlé ne seraient pas respectées. La Présidente Marie-Laure DENIS Cette décision peut faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification. ANNEXE Les BCR "responsable du traitement" du groupe Nestlé qui sont approuvées par la présente décision couvrent le champ d’application suivant : a. Champ d’application : ces BCR "responsable du traitement" s’appliquent lorsqu’une entité du groupe juridiquement liée par les BCR, et ayant mis en œuvre les engagements pris au titre des BCR agit en tant que responsable du traitement, de même que lorsque l’entité agit en tant que sous-traitant pour le compte du groupe Nestlé, ainsi qualifié de sous-traitant interne (article 1 des BCR). b. Etats membres de l’EEE depuis lesquels les transferts sont effectués : Allemagne, Autriche, Belgique, Bulgarie, Chypre, Croatie, Danemark, Espagne, Estonie, Finlande, France, Grèce, Hongrie, Irlande, Islande, Italie, Lettonie, Liechtenstein, Lituanie, Luxembourg, Malte, Norvège, Pays-Bas, Pologne, Portugal, République tchèque, Roumanie, Slovaquie, Slovénie et Suède. c. Pays tiers vers lesquels les transferts sont effectués : Afrique du Sud, Algérie, Angola, Arabie saoudite, Argentine, Australie, Azerbaïdjan, Bahreïn, Bangladesh, Bolivie, Bosnie-Herzégovine, Burkina Faso, Cameroun, Canada, Chili, Chine continentale, Colombie, République démocratique du Congo, Corée, Costa Rica, Cuba, Égypte, Émirats arabes unis, Équateur, États-Unis, Éthiopie, Fidji, Gabon, Géorgie, Ghana, Guatemala, Honduras, Hong Kong, Inde, Indonésie, Iran, Irak, Israël, Jamaïque, Japon, Jordanie, Kazakhstan, Kenya, Koweït, Liban, Macédoine, Malaisie, Mali, Maroc, Maurice, Mexique, Moldavie, Monténégro, Mozambique, Myanmar, Nigéria, Nouvelle-Zélande, Pakistan, État de Palestine, Panama, Papouasie-Nouvelle-Guinée, Paraguay, Pérou, Philippines, Qatar, République arabe syrienne, République dominicaine, Russie, Salvador, Sénégal, Serbie, Singapour, Sri Lanka, Suisse, Taïwan, Tanzanie, Thaïlande, Trinité-et-Tobago, Turquie, Ukraine, Uruguay, Venezuela, Vietnam, Yémen, Zambie et Zimbabwe. Dans la pratique, les pays tiers de destination les plus courants sont la Suisse, l’Ukraine, le Brésil et les Philippines (annexe 2 des BCR). d. Les finalités des transferts : les finalités sont détaillées en annexe 2 des BCR. Elles comprennent notamment les finalités suivantes : Administration de l’entreprise (ex : la gestion des ressources humaines ; l’administration des systèmes informatiques de Nestlé ; la gestion économique, financière et administrative ; la planification et les rapports commerciaux) ; Bases de données du personnel (ex : la communication interne et la facilitation des interactions au sein de l’entreprise) ; Recrutement (ex : fonctionnement et amélioration des objectifs de recrutement) ; Gestion de la rémunération et des avantages sociaux (ex : gestion de la paie, de la rémunération, des programmes incitatifs, des avantages sociaux et des pensions, remboursement des dépenses, planification et paiements de la rémunération, planification et conformité fiscale) ; Services informatiques et sécurité de l’information (ex : mise à disposition, maintenance, support et développement des systèmes informatiques de Nestlé ; mise en œuvre, maintien et amélioration des systèmes et mesures de sécurité de l’information ; enquête sur les incidents de sécurité informatique et violations de données à caractère personnel). e. Catégories de personnes concernées : les catégories sont détaillées dans l’annexe 2 des BCR. Elles comprennent : le personnel de Nestlé ; les membres de la famille et autres bénéficiaires du Personnel de Nestlé ; les demandeurs d’emploi ; les consommateurs, visiteurs de tout site Internet de Nestlé et visiteurs des locaux de Nestlé ; le personnel des entreprises clientes ; le personnel des fournisseurs de l’entreprise ; les tiers (par exemple, les journalistes avec lesquels Nestlé interagit de temps à autre) ; les participants aux études de développement de produits et aux essais cliniques. f. Catégories de données à caractère personnel transférées : les catégories sont détaillées, par finalité et par catégorie de personnes concernées dans l’annexe 2 des BCR. ---------------------------------------------------------------------------------------------------------------------------- [1] Approuvé par le CEPD le 25 mai 2018. [2] Les WP256 rev.01 et WP264 sont remplacés par les Recommandations 1/2022 du CEPD. Cependant, étant donné que les BCR responsable du traitement du groupe avaient déjà atteint le stade de projet consolidé visé par l’article 2.4 du WP263 rev.01 au moment de la publication desdites Recommandations, les BCR peuvent être instruites conformément au cadre précédent, sous réserve que le CEPD adopte son avis d'ici la fin d’année 2023 (paragraphe 13 des Recommandations 1/2022).