CNILTEXT000044033300
CNIL texte/cnil/CNIL/TEXT/00/00/44/03/33/CNILTEXT000044033300.xml DELIBERATION
Délibération 2021-088 du 22 juillet 2021 Délibération n° 2021-088 du 22 juillet 2021 portant approbation des règles d’entreprises contraignantes (BCR) « sous-traitant » du groupe CGI Inc. 2021-088
Autre autorisation 2021-07-22
2021-09-10 VIGUEUR
La Commission nationale de l'informatique et des libertés,
Saisie par la société CGI France SAS au nom et pour le compte du groupe CGI Inc., le 20 avril 2017, d’une demande d’approbation de ses BCR sous-traitant ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD), notamment ses articles 47, 57 et 64 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment son article 73 ;
Sur la proposition de Mme Anne DEBET, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 47-1 du RGPD dispose que la CNIL approuve des règles d’entreprise contraignantes ( BCR ) sous réserve que celles-ci répondent aux exigences prévues par cet article.
Conformément à la procédure de coopération décrite par le document de travail WP263.rev.01, la documentation relative aux BCR sous-traitant du groupe CGI Inc. a été instruite par les services de la CNIL en qualité d’autorité compétente, puis par les services de deux autres autorités de protection des données agissant en qualité de co-instructeurs. Ces BCR ont également été revues par les autorités de protection des données des pays membres de l’Espace économique européen, en application de la procédure d’approbation mise en place par le Comité européen de la protection des données ( CEPD ).
L’instruction des BCR sous-traitant du groupe CGI Inc. permet de conclure que celles-ci sont conformes aux exigences imposées par l’article 47-1 du RGPD et le document de travail WP257.rev.01, notamment car les BCR susmentionnées :
sont rendues juridiquement contraignantes par un contrat intra-groupe et imposent une obligation claire à chaque entité participante du groupe CGI, y compris à leurs employés, de les respecter ;
confèrent expressément des droits aux personnes concernées leur permettant de s’en prévaloir en tant que tiers bénéficiaires via l’article 7 ( Droits des Tiers bénéficiaires ) et 9 ( Procédure de traitement des demandes et des réclamations des personnes concernées ) ;
répondent aux exigences imposées par l’article 47-2 du RGPD :
a) la structure et les coordonnées du groupe d’entreprises et de chacune de ses entités sont détaillées dans le formulaire WP265 qui a été fourni dans le cadre de l’instruction du dossier et dans l’annexe A des BCR ;
b) les transferts ou l'ensemble des transferts de données, y compris les catégories de données à caractère personnel, le type de traitement et ses finalités, le type de personnes concernées affectées et le nom du ou des pays tiers en question sont précisées aux articles 2 et 5 des BCR et en annexe B des BCR intitulée Activités couvertes par les BCR-P ;
c) la nature juridiquement contraignante, tant interne qu’externe, des BCR sous-traitant est reconnue aux articles 3.1 et 3.2 des BCR ainsi qu’à l’article 2 du projet de contrat intra-groupe fourni par le groupe ;
d) l'application des principes généraux relatifs à la protection des données, notamment la limitation de la finalité, la minimisation des données, la limitation des durées de conservation des données, la qualité des données, la protection des données dès la conception et la protection des données par défaut, la base juridique du traitement, le traitement de catégories particulières de données à caractère personnel, les mesures visant à garantir la sécurité des données, ainsi que les exigences en matière de transferts ultérieurs à des organismes qui ne sont pas liés par les règles d'entreprise contraignantes sont visés aux articles 3.4, 4, 5, 6 et 10 des BCR sous-traitant ;
e) le droit d'introduire une réclamation auprès de l'autorité de contrôle compétente et devant les juridictions compétentes des Etats membres conformément à l'article 79 du RGPD et d'obtenir réparation et, le cas échéant, une indemnisation pour violation des règles d'entreprise contraignantes, sont bien prévus dans les BCR, aux articles 7 Droits des Tiers Bénéficiaires , et 8 Responsabilité de CGI en cas de violation des BCR-P ;
f) l'acceptation, par le sous-traitant établi sur le territoire d'un Etat membre, de l'engagement de sa responsabilité pour toute violation des règles d'entreprise contraignantes par toute entité concernée non établie dans l'Union sont précisées à l’article 8 Responsabilité de CGI en cas de violation des BCR-P de même que le principe selon lequel l’exonération, en tout ou en partie, de cette responsabilité peut intervenir uniquement si l’intéressé prouve que le fait générateur du dommage n'est pas imputable à l'entité en cause ;
g) la manière dont les informations sur les règles d'entreprise contraignantes, notamment en ce qui concerne les éléments mentionnés aux points d), e) et f) de l’article 47.2 du RGPD sont fournies aux personnes concernées, en sus des informations visées aux articles 13 et 14 du RGPD est spécifiée aux articles 12.1 et 12.2 des BCR sous-traitant ;
h) les missions de tout délégué à la protection des données, désigné conformément à l'article 37, ou de toute autre personne ou entité chargée de la surveillance du respect des règles d'entreprise contraignantes au sein du groupe d'entreprises, ou du groupe d'entreprises engagées dans une activité économique conjointe, ainsi que le suivi de la formation et le traitement des réclamations, sont détaillées à l’article 15 Equipe responsable de la protection de la vie privée et dans l’annexe F des BCR ;
i) les procédures de réclamation y compris l’obligation de CGI en tant que sous-traitant d’informer le responsable du traitement de la réclamation ou de la demande, sont décrites à l’article 9 Procédure de traitement des demandes et des réclamations des Personnes Concernées et en annexe D des BCR ;
j) les mécanismes mis en place au sein du groupe d’entreprises pour garantir le contrôle du respect des règles d’entreprise contraignantes sont détaillés à l’article 14 Audit et en annexe C des BCR. Ces mécanismes prévoient des audits sur la protection des données et des méthodes assurant que des mesures correctrices seront prises pour protéger les droits de la personne concernée. Les résultats de ces contrôles sont communiqués à la personne ou à l'entité visée au point h) ci-dessus et au conseil d'administration de l'entreprise qui exerce le contrôle du groupe d'entreprises (en l’occurrence au siège social de CGI Inc. ainsi qu’à l’équipe responsable de la protection de la vie privée), et sont mis à la disposition de l'autorité de contrôle compétente sur demande ;
k) les mécanismes mis en place pour communiquer et consigner les modifications apportées aux règles et pour communiquer ces modifications à l'autorité de contrôle sont précisés à l’article 17 des BCR Mise à jour des BCR-P ;
l) le mécanisme de coopération avec l'autorité de contrôle mis en place pour assurer le respect des règles par toutes les entités du groupe d'entreprises est décrit à l’article 12.4 des BCR. L’obligation de mise à disposition de l'autorité de contrôle les résultats des contrôles des mesures visés au point j) ci-dessus est spécifiée à l’article 14 des BCR ;
m) les mécanismes permettant de communiquer à l'autorité de contrôle compétente toutes les obligations juridiques auxquelles une entité du groupe d'entreprises est soumise dans un pays tiers qui sont susceptibles d'avoir un effet négatif important sur les garanties fournies par les règles d'entreprise contraignantes sont décrits à l’article 12.5 des BCR ;
n) enfin, l’article 13 et l’annexe E des BCR prévoient une formation appropriée en matière de protection des données pour le personnel ayant un accès permanent ou régulier aux données à caractère personnel.
Le CEPD a rendu l’avis n°22/2021 en date du 1 er juillet 2021, conformément à l’article 64-1-f du RGPD. La Commission a tenu compte de cet avis.
Décide :
Les règles d’entreprises contraignantes sous-traitant présentées par le groupe CGI Inc., en ce qu’elles fournissent des garanties appropriées pour le transfert de données à caractère personnel conformément aux articles 46-1, 46-2-b, 47-1 et 47-2 du RGPD, sont approuvées.
Toutefois, avant de mettre en application ces BCR, il incombe à l'exportateur de données situé dans un Etat membre, le cas échéant en collaboration avec l'importateur de données, d'apprécier si le niveau de protection requis par le droit de l’EEE est respecté dans le pays tiers de destination, y compris dans les situations de transferts ultérieurs. Cette évaluation doit être effectuée afin de déterminer si les garanties établies par les BCR peuvent être respectées dans la pratique, compte tenu des circonstances du transfert et des conflits qui peuvent exister entre les exigences du droit du pays tiers et les droits fondamentaux. Si tel n'est pas le cas, l'exportateur de données situé dans un Etat membre, le cas échéant en collaboration avec l'importateur de données, doit évaluer s'il peut prévoir des mesures supplémentaires pour assurer un niveau de protection substantiellement équivalent à celui garanti au sein de l’EEE.
Dans le cas où l'exportateur de données établi dans un Etat membre n'est pas en mesure de prendre des mesures supplémentaires suffisantes pour assurer un niveau de protection substantiellement équivalent à celui garanti dans l’Union, il ne peut y avoir de transfert de données à caractère personnel vers le pays tiers en vertu des BCR. Par conséquent, l'exportateur de données est tenu de renoncer, de suspendre ou de mettre fin au transfert de données à caractère personnel.
La mise en œuvre des BCR approuvées ne nécessite pas d’autorisation supplémentaire spécifique de la part des autorités européennes de protection des données concernées.
Conformément à l’article 58-2-j du RGPD, chaque autorité de protection des données concernée dispose du pouvoir d’ordonner la suspension des flux de données adressés à un destinataire situé dans un pays tiers ou à une organisation internationale dans le cas où les garanties appropriées prévues par les BCR sous-traitant du groupe CGI Inc. ne seraient pas respectées.
La Présidente
Marie-Laure DENIS
ANNEXE AU PROJET DE DECISION
Les BCR sous-traitant du groupe CGI qui sont approuvées par la présente décision couvrent le champ d’application suivant :
A. Champ d’application. Ces BCR s’appliquent lorsque CGI agit en tant que sous-traitant pour le compte et sur les instructions d’un responsable du traitement établi dans l’Union européenne qui n’est pas une entité CGI et qui ne fait pas partie du groupe CGI Inc. (article 2 des BCR).
B. Etats membres de l’Union économique européenne depuis lesquels les transferts sont effectués : l’Allemagne, la Belgique, la Bulgarie, le Danemark, l’Espagne, l’Estonie, la Finlande, la France, la Hongrie, l’Italie, la Lettonie , la Lituanie , le Luxembourg , la Norvège, les Pays-Bas, la Pologne, le Portugal , la République tchèque , la Roumanie , la Slovaquie et la Suède .
C. D. Pays tiers vers lesquels les transferts sont effectués : la majorité des transferts de données à caractère personnel se font vers les entités du groupe CGI Inc. au Canada, au Maroc, en Inde, aux Philippines et aux Etats-Unis, mais également vers l’Australie, le Brésil, la Malaisie, Singapour, l’Afrique du Sud et le Royaume-Uni.
Les finalités des transferts : Les finalités sont détaillées en annexe B Activités couvertes par les BCR-P . Elles dépendent des services fournis au responsable du traitement et correspondent aux activités suivantes :
ingénierie commerciale et opérations : - gestion de la gouvernance, de la livraison et de la clôture des projets et des services des clients, y compris les opérations de recrutement, la formation, la gestion des fournisseurs et des sous-traitants, la facturation, l'établissement de rapports et les activités d'audit ; et - gestion de projets et de services de clients pour des secteurs tels que la banque, les services publics, l'industrie manufacturière, l'assurance, l'administration, la vente au détail et les services aux consommateurs, la santé et les sciences de la vie, le transport et la logistique, le pétrole et le gaz ou la communication, y compris la saisie, la correction et la consolidation des données à caractère personnel, le stockage, la tenue et la sauvegarde des dossiers, la gestion et l'analyse des données, la gestion des demandes individuelles, la gestion des applications et des infrastructures, le développement et les tests, la correspondance, l'administration déléguée/consolidée/ou externalisée des systèmes informatiques, l'hébergement et la gestion, y compris le contrôle d'accès et l'audit, la gestion des actifs, le Traitement des dépenses, le marketing et l'analyse des recherches.
Catégories de personnes concernées : Les catégories de personnes concernées sont listées dans l’annexe B des BCR Activités couvertes par les BCR-P . Elles dépendent des services fournis au responsable du traitement, et comprennent :
clients, prospects et clients potentiels ;
employés /candidats à l’embauche des clients ;
clients des clients ;
fournisseurs et sous-traitants ;
tierces parties.
Catégories de données à caractère personnel transférées : Les catégories sont listées dans l’annexe B des BCR Activités couvertes par les BCR-P .