Délibération

Dispense n° 4 - Délibération n° 2005-005 du 18 janvier 2005 décidant de la dispense de déclaration des traitements relatifs à la gestion des fichiers de fournisseurs comportant des personnes physiques

18 Janvier 2005 - Thème(s) :

J.O n° 55 du 6 mars 2005

La Commission nationale de l'informatique et des libertés,

Vu la convention n°108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 24, II ;
Après avoir entendu M. Bernard Peyrat, commissaire, en son rapport et Mme Charlotte Marie Pitrat, commissaire du Gouvernement, en ses observations ;

Formule les observations suivantes :

Les traitements de données à caractère personnel relatifs à la gestion des fichiers de fournisseurs comportant des données sur des personnes physiques étant des traitements courants ne paraissant pas susceptibles de porter atteinte à la vie privée des personnes, la Commission estime en conséquence qu'il y a lieu de faire application des dispositions de l'article 24 de la loi du 6 janvier 1978 modifiée et de dispenser ces traitements de toute formalité déclarative préalable.

Décide :

Article 1er

Sont dispensés de déclaration les traitements de données à caractère personnel relatifs à la gestion des fichiers de fournisseurs comportant des données sur des personnes physiques qui répondent aux conditions suivantes.

Article 2 : Finalité des traitements

Les traitements doivent avoir pour seules fonctions : 

• d'effectuer les opérations administratives liées : 
  • aux contrats, 
  • aux commandes, 
  • aux réceptions, 
  • aux factures, 
  • aux règlements, 
  • à la comptabilité pour ce qui a trait à la gestion des comptes fournisseurs,
• d'éditer les titres de paiement (traites, LCR, chèques, billets à ordre) ; 
• d'établir des statistiques financières et de chiffre d'affaires par fournisseur ; 
• de fournir des sélections de fournisseurs pour les besoins de l'entreprise ou de l'organisme ; 
• d'entretenir une documentation sur les fournisseurs.

Les informations traitées ne peuvent être utilisées que dans le cadre des finalités prévues à l'article 2 de la norme. La présente norme exclut dès lors l'utilisation des données collectées à des fins de prospection commerciale.

Article 3 : Données traitées

Les données traitées pour la réalisation des finalités décrites à l'article 2 sont :

• a) identité : nom ou raison sociale, prénoms, adresse (siège social, lieu de facturation), code d'identification comptable, téléphone, fax, adresse de courrier électronique, numéro SIREN ;
• b) vie professionnelle : profession, catégorie économique, activité ;
• c) éléments de la facturation et du règlement : les abonnements, article, produit, service faisant l'objet de l'abonnement, périodicité, montant, conditions : 
  • les commandes et les factures, articles, produits, services faisant l'objet de la commande et de la facture, quantité, prix, numéro, date et montant de la commande et de la facture, échéance de la facture, conditions de livraison ; 
  • paiement, conditions et modalités de règlement (moyen de paiement, références bancaires ou postales, remises, acomptes, ristournes), conditions de crédit, durée ;
  • impayés, avoirs, reçus ;
  • retenues ou oppositions.

Article 4 : Durée de conservation

Les données à caractère personnel recueillies à l'occasion de ce traitement sont conservées  conformément aux dispositions légales applicables.

Article 5 : Destinataires des informations

Peuvent seuls dans les limites de leurs attributions respectives être destinataires des informations :

• les personnels chargés du service des achats, des services administratifs et comptables, leurs supérieurs hiérarchiques, ainsi que les personnes liées contractuellement à l'entreprise ou à l'organisme pour assurer sa comptabilité ; 
• les personnes chargées du contrôle (commissaire aux comptes, experts-comptables, service chargé des procédures internes de contrôle) ;
• les entreprises extérieures liées contractuellement pour l'exécution du contrat ; 
• les organismes publics, exclusivement pour répondre aux obligations légales ;

• les auxiliaires de justice et les officiers ministériels dans le cadre de leur mission de recouvrement de créances ;

• les organismes financiers teneurs des comptes mouvementés.

Article 6 : Information des personnes concernées

Les personnes concernées sont informées de l'identité du responsable du traitement, des finalités poursuivies par le traitement, du caractère obligatoire ou facultatif des réponses à apporter, des conséquences éventuelles, à leur égard, d'un défaut de réponse, des destinataires des données, de leur droit d'opposition et de rectification ainsi que des modalités d'exercice de leurs droits.

Article 7 : Sécurités

Le responsable du traitement est tenu de prendre toutes précautions utiles pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès.

Article 8 : Transmissions de données vers des pays tiers à la Communauté européenne

Ne peuvent prétendre au bénéfice de l'exonération les traitements automatisés comportant la transmission de données à caractère personnel vers des pays tiers à l'Union européenne, y compris lorsque cette transmission est réalisée à des fins de sous-traitance. Ces traitements font l'objet de formalités déclaratives préalables auprès de la CNIL dans les conditions prévues par la loi du 6 janvier 1978 modifiée.

Article 9 : Effets de la dispense de déclaration

Les traitements répondant aux conditions visées aux articles 2 à 8 peuvent être mis en œuvre sans délai et sans déclaration préalable auprès de la CNIL. La dispense de déclaration n'exonère le responsable de tels traitements d'aucune de ses autres obligations prévues par les textes applicables à la protection des données à caractère personnel.

Article 10

La norme simplifiée n° 14 établie par la délibération n° 80-033 du 21 octobre 1980 est abrogée.

Article 11

La présente délibération sera publiée au Journal officiel de la République française.

Le président, Alex Türk