Politique de protection des données personnelles de la H2A

La Haute autorité de l’audit (H2A), autorité publique indépendante chargée de réguler la profession de commissaire aux comptes et les professionnels qui certifient les rapports de durabilité des entreprises en France, veille, dans le cadre de ses missions, au respect du Règlement européen n° 2016/679 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel (RGPD) et de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (Loi Informatique et Libertés).

La politique de protection des données personnelles (ci-après la « politique ») présente les informations relatives :

• aux données à caractère personnel traitées par la H2A (ci-après les « données »),
• aux finalités et à la base de ces traitements,
• au partage des données avec des tiers,
• à vos droits relatifs à vos données,
• et aux mesures de sécurité mises en place par la H2A pour protéger ces données.

1. Champ d’application

La politique s’applique aux données collectées directement ou indirectement dans le cadre des missions de la H2A et aux données collectées via le site internet www.h2a-france.org (ci-après le « site de la H2A ») et le portail www.portail.h3c.org (ci-après le « portail de la H2A»).

2. Responsable du traitement des données

La H2A est responsable du traitement de vos données.

Cela signifie que la H2A détermine les moyens par lesquels vos données sont traitées et la finalité de ces traitements. La H2A a désigné un délégué à la protection des données (« DPD ») qui est votre point de contact pour toutes les questions ou demandes en lien avec le traitement de vos données.

Vous trouverez les coordonnées du DPD dans la rubrique ci-dessous « Quels sont vos droits et comment pouvez-vous les exercer ? ».

3. Origine des données traitées

La H2A est l’autorité de régulation de la profession de commissaire aux comptes et des professionnels qui certifient les rapports de durabilité des entreprises en France (article L.820-1 du code de commerce).

Dans le cadre de ses missions, la H2A est amenée à collecter vos données de plusieurs façons :

3.1 Les données que vous avez vous-même fournies

• dans le cadre de l’exécution des missions d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi la H2A : il s’agit, entre autres, des données que vous fournissez à la H2A en application d’une disposition légale ou règlementaire (par exemple inscription sur la liste des commissaires aux comptes ou des auditeurs de durabilité, déclaration et paiement des cotisations, enquête ou contrôle, saisine…) ;
• en remplissant un formulaire de contact sur le site de la H2A ;
• dans le cadre d’un rendez-vous à la H2A : il s’agit des données que vous êtes susceptibles de communiquer dans le cadre de l’enregistrement des visiteurs ;
• en concluant un contrat avec la H2A : il s’agit des données que vous fournissez à la H2A dans un cadre contractuel ;
• en postulant à un emploi au sein de la H2A : il s’agit des données que vous fournissez de la H2A dans le cadre de votre candidature.

3.2 Les données obtenues auprès d’un tiers

Des données peuvent être obtenues auprès de tiers dans le cadre des missions d’intérêt public et de l’exercice de l’autorité publique de la H2A. Il peut s’agir par exemple de données qui sont fournies par un tiers à la H2A dans le cadre d’une enquête ou d’un contrôle.

4. Finalités et bases juridiques du traitement

La H2A collecte, stocke et utilise vos données :

• pour respecter une obligation légale à laquelle elle est soumise ou pour exercer ses missions énumérées à l’article L.820-1 du code de commerce ou d’autres missions qui lui sont dévolues par toute autre disposition du droit national ou européen, et pour l’exercice de l’autorité publique dont elle est investie ;
• Ou sur la base de votre consentement 
• ou sur la base de mesures précontractuelles ou de l’exécution d’un contrat qu’elle a conclu avec vous ou la personne pour laquelle vous travaillez, afin de lui fournir toutes les informations nécessaires pour prendre la décision de conclure un contrat ou afin de pouvoir communiquer avec vous dans le cadre de l’exécution d’un contrat.

5. Délai de conservation des données

La H2A conserve les données recueillies le temps strictement nécessaire à la finalité poursuivie par le traitement et dans les limites prévues par la législation européenne et nationale si elle autorise une conservation plus longue. À titre d’exemple, les données relatives aux opérations de contrôle sont conservées pendant six ans après la fin du contrôle.

6. Partage des données

La H2A traite les données aux seules fins spécifiques pour lesquelles elles ont été collectées ou à des fins compatibles avec celles-ci, conformément aux règles relatives au traitement ultérieur des données prévues par la réglementation européenne et nationale sur la protection des données à caractère personnel. Les données collectées ne sont en aucun cas utilisées à des fins commerciales.

La H2A peut partager certaines de vos données :

• avec l’Autorité des marchés financiers, l’Autorité de contrôle prudentiel et de résolution, l’Autorité de la concurrence, la Banque de France, le Système européen de banques centrales, la Banque centrale européenne, le Comité européen du risque systémique et le comité français d’accréditation en application des dispositions de l’article L. 820-22 du code de commerce et de l’article L. 631-1 I du code monétaire et financier,
• avec les autorités européennes et étrangères exerçant des compétences analogues ;
• avec la Compagnie nationale des commissaires aux comptes ; 
• avec certains de ces prestataires ;
• pour répondre à une demande de l’autorité judiciaire en application des dispositions de l’article L. 820-8 du code de commerce ;
• avec le service mentionné à l’article L. 561-23 du code monétaire et financier, lorsque la H2A constate des faits susceptibles d’être liés au blanchiment de capitaux ou au financement du terrorisme ;

• avec le procureur de la République dans le cadre de révélation des infractions dont la H2A a connaissance, conformément à l’article 40 du code de procédure pénale ;

• dans le cadre de recours administratifs ou juridictionnels contre les actes ou décisions de la H2A et dans toute autre instance à laquelle la H2A est partie.

7. Transferts des données en dehors de l’Espace économique européen

Compte tenu de la dimension internationale de ses missions de contrôle et d’enquête, la H2A est susceptible de transférer vos données à ses homologues situés dans l’Union Européenne (UE) et en dehors de l’UE.

Les transferts de données avec des homologues situés hors UE ne sont possibles que :

• si le pays concerné bénéficie une décision d’adéquation de la Commission européenne ;
• où lorsqu’une convention (« arrangement administratif ») conclue entre la H2A et un homologue, et autorisée par décision de la Commission Nationale Informatique et Libertés (CNIL), garantit la mise en œuvre par l’homologue de la H2A de garanties appropriées.
• Le 7 avril 2021, le H3C (auquel a succédé la H2A) et son homologue américain, le Public Company Accounting Board (PCAOB) ont signé un protocole d’accord dont l’objet est de faciliter leur coopération, dans les limites prévues par leurs législations nationales respectives, s’agissant de la supervision, des contrôles (en ce qui concerne les contrôles conjoints) et des enquêtes portant sur les auditeurs qui relèvent de la compétence des deux régulateurs. Le même jour, le H3C et le PCAOB ont signé un accord relatif à la protection des données personnelles transférées par le H3C au PCAOB dans le cadre de ce protocole. Ce protocole et cet accord, ainsi qu’une notice d’information destinée aux personnes concernées par ces transferts, peuvent être consultés sur le site internet du H3C https://h3c.org/publications/signature-de-laccord-de-cooperation-entre-le-h3c-et-le-pcaob

8. Protection des données et secret professionnel

La H2A met en œuvre des mesures de sécurité techniques et organisationnelles afin de protéger vos données et de prévenir toute destruction, perte, altération ou modification, ainsi que tout accès ou divulgation non autorisé, de nature accidentelle ou illégale.

En application de l’article L. 820-8 du code de commerce, et sous réserve des dispositions de l’article L. 820-22 du même code et de l’article L. 631-1 I. du code monétaire et financier, les personnels de la H2A ainsi que les personnes physiques ou morales qui, à quelque titre que ce soit, participent, même occasionnellement à l’activité de la H2A sont tenus au secret professionnel pour les faits, actes et renseignements dont ils ont pu avoir connaissance en raison de leurs fonctions.

Par ailleurs, la H2A demande à ses prestataires de service traitant des données pour son compte de prendre les mesures de sécurité nécessaires.

9. Quels sont vos droits et comment pouvez-vous les exercer ?

Vous disposez des droits prévus aux articles 12 à 21 du RGPD.

Toutefois, en raison du caractère sensible de la mission d’intérêt général du Haut conseil et du secret professionnel auquel ses collaborateurs sont soumis, l’exercice de ces droits est susceptible de compromettre les finalités des traitements concernés. Aussi, vos garanties pourront être limitées dans certaines situations conformément aux articles 14. 5 et 23 du RGPD, 48 de la loi Informatique et Libertés, et L. 820-8 du code de commerce, par exemple pour des raisons de secret professionnel ou de bonne conduite d’une enquête.

Sous cette réserve, vous pouvez à tout moment exercer votre droit d’accès à vos données, afin de les compléter, de les modifier, de les rectifier, de les effacer ou de vous opposer à leur traitement pour des motifs légitimes conformément aux dispositions légales applicables en matière de protection des données personnelles. En outre, dans certains cas, vous pouvez demander que le traitement de vos données soit limité et demander à la H2A de vous transférer vos données (si cela est techniquement possible et dans les limites du secret professionnel de la H2A) ou de les transmettre à un autre responsable de traitement.

Si vous souhaitez exercer ces droits, vous devez envoyer une demande avec une copie de votre carte d’identité, de votre passeport ou de toute autre pièce d’identité :

• par courrier : Haute autorité de l’audit – Délégué à la protection des données – 16-32 rue Henri Regnault CS 30404 – Courbevoie – 92902 PARIS LA DEFENSE CEDEX, ou
• par mail : dpd@h2a-france.org

Si vous nous contactez pour exercer vos droits, nous vous informerons dans un délai d’un mois à compter de la réception de votre demande des suites données à celle-ci. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes.

Nous nous réservons le droit de ne pas répondre aux demandes manifestement infondées ou excessives. Votre demande sera conservée tant qu’un recours est possible.

À tout moment, si vous considérez que vos droits n’ont pas été respectés, vous pouvez également déposer une réclamation auprès de la CNIL.