Arrêté du 15 mars 2023

• Date du texte: 15 mars 2023
• Articles: 11

Article 1

Il est créé par la direction générale des entreprises du ministère de l'économie, des finances et de la souveraineté industrielle et numérique un traitement automatisé de données à caractère personnel à destination des entreprises volontaires, mis en œuvre par la sous-direction du développement des entreprises, qui est le responsable de traitement.

Les objectifs de ce traitement sont les suivants :

1° Aider les entreprises à identifier leurs obligations extra-financières issues du droit national et communautaire ;

2° Permettre aux entreprises de disposer d'un outil de transmission, de déclaration et de publication, permettant de se conformer aux obligations extra-financières auxquelles elles sont assujetties.

Article 2

Pour le présent arrêté, les comptes suivants sont utilisés :

1° Des comptes " entreprise utilisatrice " regroupant les données et informations de la société utilisant le traitement de données ;

2° Des comptes " utilisateur " qui peuvent être rattachés à un ou plusieurs comptes " entreprise utilisatrice ".

Un compte entreprise utilisatrice peut être relié à plusieurs comptes utilisateur.

Article 3

1° Le traitement automatisé concerne des données d'entreprises utilisatrices du service issues d'autres sites publics.

2° Les données protégées, notamment à finalités fiscales ou statistiques, peuvent être utilisées pour soutenir les processus de déclaration des entreprises utilisatrices, sous réserve de leur accord explicite.

3° Le traitement automatisé consiste également, le cas échéant, à collecter des données financières pour la réalisation des objectifs mentionnés au 2° de l'article 1er.

Article 4

I. - Dans les comptes des entreprises utilisatrices les informations susceptibles d'être enregistrées sont les suivantes :

1° Le numéro SIREN permettant l'identification de l'entreprise ;

2° Les informations renseignées par l'entreprise en matière d'informations extra-financières ;

3° Les données de l'entreprise contenues dans des bases de données à disposition de l'administration susceptibles de lui apporter une aide dans le remplissage de ses informations ;

4° Les données transmises par les groupements d'intérêt public ;

5° Les données transmises par les établissements publics d'administration et les établissements publics à caractère industriels et commerciaux.

II. - Parmi les informations listées au I du présent article, les données à caractère personnel suivantes peuvent être enregistrées dans le présent traitement de données :

1° Le numéro SIREN permettant l'identification de l'entrepreneur individuel ;

2° Les données extra-financières susceptibles par recoupement d'informations de fournir l'identité d'une personne physique.

Article 5

Dans les comptes utilisateurs peuvent être enregistrés dans le traitement mentionné à l'article 1er les informations et données à caractère personnel suivantes :

1° Identification : nom d'usage, nom de naissance, nom marital, prénom(s), civilité ;

2° Coordonnées : adresse courriel ;

3° Vie professionnelle : fonctions dans l'entreprise utilisatrice.

Article 6

Un compte utilisateur est considéré comme actif lorsqu'il réalise au minimum une action en lien avec le traitement de données tous les dix-huit mois.

Article 7

La durée de conservation des données mentionnées aux articles 4 et 5 est déterminée de la manière suivante :

1° S'agissant des données à caractère personnel et informations relatives aux comptes " entreprises utilisatrices ", mentionnées à l'article 4 :

a) Pour les comptes disposant d'au moins un utilisateur actif : sans durée de temps ;

b) Pour les comptes n'ayant plus aucun utilisateur actif : dix-huit mois à compter de l'inactivité du dernier utilisateur du compte.

2° S'agissant des données à caractère personnel et informations relatives aux comptes " utilisateurs ", mentionnées à l'article 5 :

a) Pour les comptes inactifs au sens de l'article 6 : six mois à compter de l'inactivité de l'utilisateur ;

b) Pour les comptes faisant l'objet d'une demande de suppression par l'utilisateur ou l'entreprise utilisatrice : trois mois à compter de la demande de suppression du compte.

Article 8

Sont destinataires de tout ou partie des données à caractère personnel et informations strictement nécessaires à leur mission, à raison de leurs attributions respectives et dans la limite du besoin d'en connaître et dans le respect du secret professionnel au sens de l'article L. 226-13 du code pénal :

1° Les agents de la direction générale des entreprises ;

2° Les agents de la direction interministérielle du numérique ;

3° Tous prestataires dûment habilités par les services de l'Etat identifiés au 1° ;

4° Tous prestataires dûment habilités par les services de l'Etat identifiés cumulativement aux 1° et 2°.

Article 9

Conformément au 2° de l'article 1er, les informations décrites à l'article 4 peuvent être transmises à toutes administrations au sens de l'article L. 100-3 du code des relations entre le public et l'administration, dès lors que celles-ci sont considérées sont strictement nécessaires à leur mission, à raison de leurs attributions respectives.

Sous réserve de l'accord de l'entreprise utilisatrice, les données décrites à l'article 4 pourront être publiées sous le statut de données ouvertes.

Article 10

Les droits d'accès, de rectification des données, à la limitation du traitement ainsi que le droit d'opposition sont prévus respectivement aux articles 15, 16, 18 et 21 du règlement (UE) du 27 avril 2016 susvisé et s'exercent auprès du délégué à la protection des données des ministères économiques et financiers.

Article 11

Le directeur général des entreprises est chargé de l'exécution du présent arrêté, qui sera publié au Journal officiel de la République française.