1. Introduction
La Banque européenne d’investissement (ci-après la « BEI ») s’engage à protéger les données à caractère personnel. Elle collecte et traite ultérieurement les données à caractère personnel conformément au règlement (UE) 2018/1725 du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) n° 45/2001 et la décision n° 1247/2002/CE (ci-après le « RGPD-UE »).
La présente déclaration relative à la protection des données explique la raison du traitement de toutes les données à caractère personnel, leur mode de collecte et de traitement, et la manière dont leur protection est garantie. En outre, cette déclaration explique les modalités d’utilisation des informations et les droits dont disposent les personnes concernées pour ce qui est de leurs données à caractère personnel.
Les informations relatives à l’opération de traitement de données du portail client du Groupe BEI, effectué par la BEI, concernant les interactions numériques entre les parties prenantes professionnelles et le Groupe BEI sont présentées ci-dessous.
2. Responsable du traitement
Le responsable du traitement des données fait partie de la division Systèmes d’information et applications, qui dépend du département Planification et soutien des activités de la Banque européenne d’investissement (ci-après la « BEI »).
3. Finalité du traitement des données
La présente déclaration fournit des informations sur le traitement de données à caractère personnel effectué par la BEI dans le cadre de l’utilisation du portail client du Groupe BEI par des parties prenantes professionnelles afin d’interagir avec la BEI. La BEI accomplit ces tâches dans l’exercice des compétences qui lui sont conférées par les traités et par ses statuts.
Elle traite les données à caractère personnel en vue de gérer le portail client du Groupe BEI de manière raisonnable et appropriée, conformément à la législation et à la réglementation en vigueur. Le traitement des données à caractère personnel s’effectue conformément au règlement (UE) 2018/1725 du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) n° 45/2001 et la décision n° 1247/2002/CE (ci-après le « RGPD-UE »).
Dans le cadre de l’utilisation du portail client du Groupe BEI, la BEI traite les données à caractère personnel afin de fournir des services en ligne sécurisés et pertinents à des parties prenantes telles que les clients, les partenaires et les auditeurs du Groupe BEI.
Cela implique également la collecte et la transmission de données à caractère personnel à l’appui de diverses activités, notamment l’octroi d’un accès aux informations financières relatives aux contrats, l’échange de rapports sur la gestion des mandats, la réalisation d’opérations liées aux contrats (par exemple, révisions, conversions, paiements anticipés, décaissements), la facilitation du partage de documents, des commentaires et des demandes ponctuelles.
Le traitement des données à caractère personnel dans le cadre de l’utilisation du portail client du Groupe BEI n’implique pas de décisions fondées exclusivement sur un traitement automatisé, y compris pour le profilage.
4. Base juridique du traitement
La base juridique du traitement des données à caractère personnel dans le cadre de l’utilisation du portail client du Groupe BEI est le consentement de l’utilisateur dans le cadre d’un contrat ou d’un projet de contrat avec le Groupe BEI, ainsi que l’intérêt public.
Même si le portail client du Groupe BEI est le canal de communication privilégié pour des raisons de sécurité et d’efficacité, les parties prenantes professionnelles du Groupe BEI ne sont pas tenues d’utiliser ce portail et peuvent recourir à d’autres canaux de communication, tels que le courrier électronique, pour contacter le Groupe BEI.
5. Catégories de personnes concernées
Les catégories suivantes de personnes sont ou peuvent être concernées par le traitement visé au point 2 :
- clients ou prospects : employés d’entreprises, pays, institutions financières, ainsi que, le cas échéant, auditeurs et consultants ;
- clients en partenariat : employés du Fonds européen d’investissement/de la Commission européenne ;
- utilisateurs internes : employés du Groupe BEI autorisés à accéder au portail client du Groupe BEI.
6. Données à caractère personnel traitées par la BEI
La BEI traite les catégories de données à caractère personnel suivantes : nom, coordonnées (téléphone, courriel, fonction, entreprise), date de naissance.
Témoins de connexion : le portail client du Groupe BEI utilise des témoins de connexion (« cookies ») strictement nécessaires à son fonctionnement et à ses performances :
| Témoin de connexion | Taille en octets | Expiration | Description | Type |
|---|---|---|---|---|
| ASP.NET_SessionId (.NET)OSSESSIONID (Java) | 41 | Session | Défini par la technologie sous-jacente (Microsoft ASP.NET) utilisée pour exécuter l’application web ou par OutSystems (Java). Transmission unique | Transmission unique |
| osVisitor | 45 | Jamais | Lors du premier accès de l’utilisateur final au serveur web (via une page web à partir du serveur), un témoin de connexion enregistre une valeur unique. OutSystems ne procède à aucune association avec l’identité réelle de l’utilisateur. | Absolument nécessaire |
| osVisit | 43 | 30 min | Chaque fois que l’utilisateur final accède à une page web et que ce témoin de connexion n’existe pas encore, il est créé et défini avec une valeur unique, indiquant que le visiteur a accédé au site. Ce témoin de connexion expire au bout de 30 minutes. Si le visiteur quitte l’application web et revient 30 minutes plus tard, une nouvelle session est lancée. OutSystems ne procède à aucune association avec l’identité réelle de l’utilisateur. | Absolument nécessaire |
| pageLoadedFromBrowserCache | 30 | Session | Veille à ce que les messages de rétroaction ne s’affichent plus si l’utilisateur clique sur le bouton de retour. Nécessaire au bon fonctionnement des applications. | Absolument nécessaire |
| (web screen name):(generated id):(initial tab) | 46 | Session | Utilisé par certaines applications pour conserver la pagination dans des pages web spécifiques. | Absolument nécessaire |
| (User Provider Name) | 49 | 10 jours | Utilisé par la fonctionnalité de mémorisation de l’identifiant (« Remember Login ») dans les applications. | Absolument nécessaire |
| (User Provider Name).sid | 56 | Session | Utilisé en conjonction avec le témoin de connexion « Session Id » pour empêcher les vulnérabilités liées à la fixation de session. | Absolument nécessaire |
| Nr1(User Provider Name) | 192 | Session | Utilisé pour appliquer l’expiration de la session au besoin. Contient les informations nécessaires pour garantir l’authenticité de la session. | Absolument nécessaire |
| Nr2(User Provider Name) | 99 | Session | Fournit au code de l’application des informations sur l’identifiant de l’utilisateur via la fonction intégrée « GetUserId ». Contient les informations nécessaires pour éviter les attaques CSRF. | Transmission unique |
| DEVICE_ORIENTATION | 26 | 360 jours | Enregistre l’orientation de l’appareil mobile pour permettre à l’interface utilisateur d’OutSystems de mettre en œuvre correctement l’action « GetDeviceOrientation ». OutSystems ne procède à aucune association avec l’identité réelle de l’utilisateur. | Absolument nécessaire |
| DEVICE_TYPE | 21 | 360 jours | Enregistre le type d’appareil utilisé afin que le cadre puisse s’adapter correctement à l’interface utilisateur Silk (applications web traditionnelles). OutSystems ne procède à aucune association avec l’identité réelle de l’utilisateur. | Absolument nécessaire |
| DEVICES_TYPE | 17 | 360 jours | Enregistre le type d’appareil mobile utilisé pour permettre à l’interface utilisateur web d’OutSystems (applications web traditionnelles) d’adapter l’interface. OutSystems ne procède à aucune association avec l’identité réelle de l’utilisateur. | Absolument nécessaire |
| DEVICE_BROWSER | 20 | 360 jours | Enregistre le navigateur utilisé sur l’appareil pour permettre à l’interface utilisateur d’OutSystems de mettre en œuvre correctement l’action « GetBrowser ». OutSystems ne procède à aucune association avec l’identité réelle de l’utilisateur. | Absolument nécessaire |
| DEVICE_OS | 12 | 360 jours | Enregistre le système d’exploitation de l’appareil, ce qui permet à l’interface utilisateur d’OutSystems d’exécuter correctement l’action « GetOS ». OutSystems ne procède à aucune association avec l’identité réelle de l’utilisateur. | Absolument nécessaire |
7. Sources des données à caractère personnel traitées par la BEI
Les données à caractère personnel sont obtenues directement auprès des personnes concernées.
8. Destinataires des données à caractère personnel
Les données sont transmises en interne au service concerné de la BEI pour qu’il puisse mener à bien ses activités.
La BEI peut être amenée à transmettre des données à caractère personnel aux destinataires suivants :
- Middle Office / Connaissance des clients et Gestion des contreparties / unité d’intégration des contreparties et de connaissance des clients, unité de suivi de la connaissance des clients pour l’intégration et le suivi (collecte des documents relatifs à la connaissance des clients, examen préalable des clients) ;
- Middle Office / division Financements intermédiés pour le suivi du portefeuille de garanties ;
- Middle Office / division Décaissements pour les demandes de révision/conversion ;
- unité compétente pour les demandes ponctuelles ;
- pour les activités d’assistance et de maintenance :
- le responsable du portail client du Groupe BEI, à savoir le département Planification et soutien des activités / Systèmes d’information et applications - unité de développement des projets des entreprises ;
- le Bureau du numérique Groupe / le département Solutions d’appui à l’activité / la division Prêts / l’unité Middle Office Prêts ;
- l’équipe chargée des activités de protection des informations et de contrôle de l’accès au sein du Bureau du numérique Groupe.
En outre, en fonction de leur rôle d’utilisateur, de leurs droits d’accès de contrepartie et de leurs droits d’accès aux contrats, les utilisateurs du portail client du Groupe BEI peuvent visualiser les activités effectuées par d’autres utilisateurs (comme le nom d’utilisateur pour une étape d’une activité effectuée ou un commentaire ajouté).
9. Transfert vers des pays tiers
Les données à caractère personnel peuvent être communiquées à des entités établies en dehors de l’UE ou de l’Espace économique européen, les garanties et mécanismes suivants étant mis en place :
Clauses contractuelles types (approuvées par la Commission européenne)
10. Durée de conservation par la BEI des données à caractère personnel
Seules les données relatives aux comptes sont conservées, à savoir : identifiant, nom et coordonnées de l’utilisateur. Ces données sont conservées le temps nécessaire aux finalités décrites dans la présente déclaration. Les critères déterminant la durée de conservation sont les suivants :
- activité de l’utilisateur sur le portail client du Groupe BEI ;
- demande de désactivation du compte.
Les données à caractère personnel relatives à un compte sont conservées jusqu’à 10 ans après la désactivation du compte. Après cette période, la seule donnée conservée est l’identifiant de l’utilisateur, qui est anonyme.
11. Droits des personnes concernées et modalités pour les exercer
Les droits des personnes concernées sont ceux énoncés dans les chapitres III à V du RGPD-UE, à savoir :
- les personnes concernées ont le droit d’obtenir du responsable du traitement la confirmation que leurs données à caractère personnel font ou ne font pas l’objet d’un traitement et, le cas échéant, d’accéder à ces données en contactant le responsable du traitement ou le délégué à la protection des données de la BEI (droit d’accès) ;
- les personnes concernées ont le droit de demander au responsable du traitement de corriger des données inexactes et (ou) de compléter des données (droit de rectification) ;
- les personnes concernées ont le droit de demander au responsable du traitement l’effacement de leurs données à caractère personnel conformément à l’article 19 du RGPD-UE (droit à l’oubli) ;
- les personnes concernées ont le droit de demander au responsable du traitement de limiter le traitement de leurs données à caractère personnel (droit à la limitation du traitement) dans les cas suivants :
- i) si elles contestent l’exactitude de leurs données ;
- ii) si le traitement des données est illicite, mais qu’elles s’opposent à leur effacement ;
- iii) si le responsable du traitement n’a plus besoin des données aux fins du traitement, mais que la personne concernée en a encore besoin pour la constatation, l’exercice ou la défense de droits en justice ; ou
- iv) si les personnes concernées se sont opposées au traitement de leurs données et la BEI cherche à établir si les motifs légitimes poursuivis par le responsable du traitement prévalent sur leur droit à la limitation du traitement ;
- les personnes concernées ont le droit de s’opposer au traitement des données à caractère personnel pour des raisons tenant à leur situation particulière, à moins que la BEI ne démontre l’existence de motifs légitimes impérieux pour le traitement ou pour la constatation, l’exercice ou la défense de droits en justice (droit d’opposition) ;
- les personnes concernées ont le droit de recevoir de la BEI, dans un format structuré, couramment utilisé et lisible par machine, les données à caractère personnel les concernant, afin de leur permettre de transmettre ces données à un(e) autre responsable de traitement sans entrave de la part de la BEI (droit à la portabilité des données) ;
- lorsque la base juridique du traitement est le consentement, les personnes concernées ont le droit de retirer leur consentement à tout moment, sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le retrait de celui-ci (droit au retrait du consentement) ;
- les personnes concernées ont le droit d’introduire à tout moment une réclamation auprès du contrôleur européen de la protection des données (edps.europa.eu) (droit de réclamation).
12. Contact
Si les personnes concernées ont des questions quant au traitement de leurs données à caractère personnel ou souhaitent exercer l’un des droits mentionnés ci-dessus, elles peuvent contacter la division Systèmes d’information et applications au sein du département Planification et soutien des activités à l’adresse group-portal-helpdesk@eib.org ou contacter Pelopidas Donos, délégué à la protection des données de la BEI, par courrier électronique à l’adresse p.donos@eib.org ou par courrier postal à l’adresse suivante :
Pelopidas Donos - Banque européenne d’investissement
98-100, boulevard Konrad Adenauer
L-2950 Luxembourg (Grand-Duché de Luxembourg)