Politique de protection des données personnelles du H3C

Le Haut conseil du commissariat aux comptes (H3C), autorité publique indépendante chargée de réguler la profession de commissaire aux comptes, veille, dans le cadre de ses missions, au respect du Règlement européen n° 2016/679 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel (RGPD) et de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (Loi Informatique et Libertés). La politique de protection des données personnelles (ci-après la « politique ») présente les informations relatives :

• Aux données à caractère personnel traitées par le H3C (ci-après les « données »)
• Aux finalités et à la base de ces traitements, au partage des données avec des tiers
• A vos droits relatifs à vos données
• Et aux mesures de sécurité mises en place par le H3C pour protéger ces données

1. Champ d’application

La politique s’applique aux données collectées directement ou indirectement dans le cadre des missions du H3C et aux données collectées via le site internet www.h3c.org (ci-après le « site du H3C ») et le portail du H3C www.portail.h3c.org (ci-après le « portail du H3C »).

2. Responsable du traitement des données

Le H3C est responsable du traitement de vos données. Cela signifie que le H3C détermine les moyens par lesquels vos données sont traitées et la finalité de ces traitements. Le H3C a désigné un délégué à la protection des données (DPD) qui est votre point de contact pour toutes les questions ou demandes en lien avec le traitement de vos données. Vous trouverez les coordonnées du DPD dans la rubrique ci-dessous « Quels sont vos droits et comment pouvez-vous les exercer ? ».

3. Origine des données traitées

Le H3C est l’autorité de régulation de la profession de commissaire aux comptes en France (article L.821-1 du code de commerce). Dans le cadre de ses missions, le H3C est amené à collecter vos données de plusieurs façons :

3.1 Les données que vous avez vous-même fournies

• Dans le cadre de l’exécution des missions d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le H3C : il s’agit, entre autres, des données que vous fournissez au H3C en application d’une disposition légale ou règlementaire (par exemple inscription sur la liste des commissaires aux comptes, déclaration et paiement des cotisations, enquête ou contrôle, saisine…) 
• En remplissant un formulaire de contact sur le site du H3C 
• Dans le cadre d’un rendez-vous au H3C : il s’agit des données que vous êtes susceptibles de communiquer dans le cadre de l’enregistrement des visiteurs 
• En concluant un contrat avec le H3C : il s’agit des données que vous fournissez au H3C dans un cadre contractuel 
• En postulant à un emploi au sein du H3C : il s’agit des données que vous fournissez au H3C dans le cadre de votre candidature

3.2 Les données obtenues auprès d’un tiers

Des données peuvent être obtenues auprès de tiers dans le cadre des missions d’intérêt public et de l’exercice de l’autorité publique du H3C. Il peut s’agir par exemple de données qui sont fournies par un tiers au H3C dans le cadre d’une enquête ou d’un contrôle.

4. Finalités et bases juridiques du traitement

Le H3C collecte, stocke et utilise vos données :

• Pour respecter une obligation légale à laquelle il est soumis ou pour exercer ses missions énumérées à l’article L.821-1 du code de commerce ou d’autres missions qui lui sont dévolues par toute autre disposition du droit national ou européen, et pour l’exercice de l’autorité publique dont il est investi 
• Ou sur la base de votre consentement 
• Ou sur la base de mesures précontractuelles ou de l’exécution d’un contrat qu’il a conclu avec vous ou la personne pour laquelle vous travaillez, afin de lui fournir toutes les informations nécessaires pour prendre la décision de conclure un contrat ou afin de pouvoir communiquer avec vous dans le cadre de l’exécution d’un contrat

5. Délai de conservation des données

Le H3C conserve les données recueillies le temps strictement nécessaire à la finalité poursuivie par le traitement et dans les limites prévues par la législation européenne et nationale si elle autorise une conservation plus longue. À titre d’exemple, les données relatives aux opérations de contrôle sont conservées pendant six ans après la fin du contrôle.

6. Partage des données

Le H3C traite les données aux seules fins spécifiques pour lesquelles elles ont été collectées ou à des fins compatibles avec celles-ci, conformément aux règles relatives au traitement ultérieur des données prévues par la réglementation européenne et nationale sur la protection des données à caractère personnel. Les données collectées ne sont en aucun cas utilisées à des fins commerciales. Le H3C peut partager certaines de vos données :

• Avec l’Autorité des marchés financiers, l’Autorité de contrôle prudentiel et de résolution, l’Autorité de la concurrence, la Banque de France, le Système européen de banques centrales, la Banque centrale européenne et le Comité européen du risque systémique en application des dispositions de l’article L. 821-12-5 du code de commerce 
• Avec les autorités européennes et étrangères exerçant des compétences analogues 
• Avec la Compagnie nationale des commissaires aux comptes 
• Avec certains de ces prestataires 
• Pour répondre à une demande de l’autorité judiciaire en application des dispositions de l’article L. 821-3-3 C.com
• Avec le service mentionné à l’article L. 561-23 du code monétaire et financier, lorsque le H3C constate des faits susceptibles d’être liés au blanchiment de capitaux ou au financement du terrorisme 
• Avec le procureur de la République dans le cadre de révélation des infractions dont le H3C a connaissance, conformément à l’article 40 du code de procédure pénale 
• Dans le cadre de recours administratifs ou juridictionnels contre les actes ou décisions du H3C et dans toute autre instance à laquelle le H3C est partie

7. Transferts des données en dehors de l’Espace économique européen

Compte tenu de la dimension internationale de ses missions de contrôle et d’enquête, le H3C est susceptible de transférer vos données à ses homologues situés dans l’Union Européenne (UE) et en dehors de l’UE. Les transferts de données avec des homologues situés hors UE ne sont possibles que :

• Si le pays concerné bénéficie une décision d’adéquation de la Commission européenne 
• Où lorsqu’une convention (« arrangement administratif ») conclue entre le H3C et un homologue, et autorisée par décision de la Commission Nationale Informatique et Libertés (CNIL), garantit la mise en œuvre par l’homologue du H3C de garanties appropriées
•  Le 7 avril 2021, le H3C et son homologue américain, le Public Company Accounting Oversight Board (PCAOB) ont signé un protocole d’accord dont l’objet est de faciliter leur coopération, dans les limites prévues par leurs législations nationales respectives, s’agissant de la supervision, des contrôles (en ce compris les contrôles conjoints) et des enquêtes portant sur les auditeurs qui relèvent de la compétence des deux régulateurs. Le même jour, le H3C et le PCAOB ont signé un accord relatif à la protection des données personnelles transférée par le H3C au PCAOB dans le cadre de ce protocole. Ce protocole et cet accord, ainsi qu’une notice d’information destinée aux personnes concernées par ces transferts, peuvent être consultés sur le site internet du H3C https://www.h3c.org/publications/signature-de-laccord-de-cooperation-entre-le-h3c-et-le-pcaob

8. Protection des données et secret professionnel

Le H3C met en œuvre des mesures de sécurité techniques et organisationnelles afin de protéger vos données et de prévenir toute destruction, perte, altération ou modification, ainsi que tout accès ou divulgation non autorisé, de nature accidentelle ou illégale. En application de l’article L. 821-3-3 du code de commerce, et sous réserve des dispositions de l’article L. 821-12-5 du même code et de l’article L. 631-1 I. du code monétaire et financier, les personnels du Haut conseil ainsi que les personnes physiques ou morales qui, à quelque titre que ce soit, participent, même occasionnellement à l’activité du H3C sont tenus au secret professionnel pour les faits, actes et renseignements dont ils ont pu avoir connaissance en raison de leurs fonctions. Par ailleurs, le H3C demande à ses prestataires de service traitant des données pour son compte de prendre les mesures de sécurité nécessaires.

9. Quels sont vos droits et comment pouvez-vous les exercer ?

Vous disposez des droits prévus aux articles 12 à 21 du RGPD. Toutefois, en raison du caractère sensible de la mission d’intérêt général du Haut conseil et du secret professionnel auquel ses collaborateurs sont soumis, l’exercice de ces droits est susceptible de compromettre les finalités des traitements concernés. Aussi, vos garanties pourront être limitées dans certaines situations conformément aux articles 14. 5 et 23 du RGPD, 48 de la loi Informatique et Libertés, et  L. 821-3-3 du code de commerce, par exemple pour des raisons de secret professionnel ou de bonne conduite d’une enquête. Sous cette réserve, vous pouvez à tout moment exercer votre droit d’accès à vos données, afin de les compléter, de les modifier, de les rectifier, de les effacer ou de vous opposer à leur traitement pour des motifs légitimes conformément aux dispositions légales applicables en matière de protection des données personnelles. En outre, dans certains cas, vous pouvez demander que le traitement de vos données soit limité et demander au H3C de vous transférer vos données (si cela est techniquement possible et dans les limites du secret professionnel du H3C) ou de les transmettre à un autre responsable de traitement. Si vous souhaitez exercer ces droits, vous devez envoyer une demande avec une copie de votre carte d’identité, de votre passeport ou de toute autre pièce d’identité :

• Par courrier : H3C – Délégué à la protection des données – 104 avenue du Président Kennedy, 75016 Paris
• Par email : dpd@h3c.org

Si vous nous contactez pour exercer vos droits, nous vous informerons dans un délai d’un mois à compter de la réception de votre demande des suites données à celle-ci. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Nous nous réservons le droit de ne pas répondre aux demandes manifestement infondées ou excessives. Votre demande sera conservée tant qu’un recours est possible. À tout moment, si vous considérez que vos droits n’ont pas été respectés, vous pouvez également déposer une réclamation auprès de la CNIL.