1 Objectif

Le présent document constitue la politique « Vie Privée » mise en œuvre par ENODIA dans le cadre de ses activités.

La protection de votre vie privée et de vos données à caractère personnel est d’une importance capitale pour ENODIA.

Cette politique « Vie Privée » est rédigée afin de garantir le respect du Règlement européen 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la Directive 95/46/EC (Règlement général sur la protection des données, ou RGPD), de la Loi du 30 juillet 2018 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel et toute autre réglementation et toute modification éventuelle future, relatives à la protection de la vie privée.

Cette politique « Vie Privée » a pour but de vous informer de manière complète sur le sujet et explique comment nous collectons, utilisons et conservons vos données à caractère personnel.

2 Quelle est la portée de cette politique ?

Que recouvre le « traitement de vos données » et qui en est responsable ?

Nous recueillons et utilisons uniquement les données personnelles qui sont nécessaires dans le cadre de nos activités.

ENODIA, ayant son siège social à 4000 Liège Rue Louvrex 95, est Responsable du traitement des données à caractère personnel qu’elle est amenée à traiter.

Nous sommes en conséquence votre partenaire ainsi que celui des autorités de contrôle (par exemple « l’Autorité de la Protection des Données ») pour toute question relative à l’utilisation de vos données par notre société.

Pour certaines prestations, nous faisons appel à des tiers spécialisés qui, dans certains cas, agissent comme sous-traitants. Ceux-ci doivent alors suivre nos directives et respecter notre politique « Vie Privée ». Dans d’autres cas, ces tiers sont aussi co-responsables du traitement et doivent de leur côté respecter leurs obligations légales en la matière.

Nous nous assurons que ces sous-traitants ne reçoivent que les données strictement nécessaires pour exécuter leur partie du contrat.

3 Quelles données sont couvertes par notre politique?

Les données couvertes par la présente politique sont les données à caractère personnel des personnes physiques, c’est-à-dire des données qui permettent directement ou indirectement d’identifier une personne.

Dans le cadre de vos relations et interactions avec ENODIA, nous pouvons être amenés à collecter différentes données à caractère personnel telles que :

  • des données d’identification et de contact (exemples : vos titre, nom, adresse, date et lieu de naissance, numéro de registre national, numéro de compte, numéro de téléphone, adresse mail, profession) ;
  • situation familiale (exemples : état civil, nombre d’enfants) ;
  • données bancaires, financières et transactionnelles (exemples : coordonnées bancaires, numéros de compte, données relatives aux virements y compris la communication, et, de façon générale, toutes données enregistrées lors de vos transferts bancaires).

Nous ne traitons jamais de données relatives à vos origines raciales ou ethniques, vos opinions politiques, votre religion, vos convictions philosophiques ou l’appartenance syndicale (hormis pour les Membres de notre personnel exerçant un mandat syndical), vos données génétiques, votre vie sexuelle ou orientation sexuelle.

4 Principes directeurs pour traiter les données à caractère personnel

ENODIA respectera entre autres les principes suivants lors des traitements de données à caractère personnel dans le cadre de la gestion et de l’exécution de ses engagements :

  • Traitement licite de données : ENODIA traite les données à caractère personnel d’une manière licite dans le cadre de ses activités ;
  • Finalités déterminées et limitation des finalités : ENODIA collecte et traite les données à caractère personnel pour les finalités licites déterminées ci-après ;
  • Minimisation du traitement des données : ENODIA limite le traitement des données à caractère personnel à ce qui est nécessaire dans le cadre de ses activités ;
  • Exactitude des données à caractère personnel : ENODIA prend toutes les mesures raisonnables pour veiller à ce que les données à caractère personnel soient exactes et qu’elles soient rectifiées et/ou effacées sans tarder si elles n’apparaissent plus exactes ;
  • Limitation du traitement et de la conservation : ENODIA ne traitera et ne conservera pas plus longtemps que nécessaire à la réalisation de ses activités les données à caractère personnel ;
  • Mesures de sécurité: ENODIA prend les mesures techniques et/ou organisationnelles nécessaires et adéquates pour la sécurité des données à caractère personnel.

5 Quand vos données à caractère personnel sont-elles collectées ?

Les données que nous utilisons peuvent être collectées directement auprès de vous ou obtenues des sources suivantes, dans le but de vérifier ou d’enrichir nos bases de données :

  • des publications/bases de données rendues accessibles par les autorités officielles (exemple: le Moniteur Belge) ;
  • nos fournisseurs de services ;
  • des sites internet/pages de réseaux sociaux contenant des informations que vous avez rendues publiques (exemple : votre site web ou réseau social) ;
  • des bases de données rendues publiques par des tiers.

Certaines de vos données peuvent également notamment être collectées par ENODIA :

  • quand vous devenez fournisseurs;
  • quand vous remplissez les formulaires et contrats que nous vous soumettons ;
  • quand vous nous contactez par les différents canaux mis à votre disposition ;
  • quand vos données sont publiées ou transmises par des tiers autorisés ;
  • quand vous êtes filmés par nos caméras de surveillance situées dans et aux abords de nos locaux/immeubles.

Les images sont enregistrées uniquement dans le but de préserver la sécurité des biens et des personnes ainsi que de prévenir les abus, fraudes et autres infractions envers nos visiteurs et/ou notre personnel (leur présence est signalée par des autocollants munis de coordonnées de contact).

6 Sur quel fondement et pourquoi utilisons-nous vos données personnelles ?

Nous traitons vos données à caractère personnel en vue de diverses finalités. Pour chaque traitement, seules les données pertinentes par rapport à la finalité poursuivie sont traitées.

De manière générale, nous utilisons vos données à caractère personnel :

  • dans le cadre de l’exécution d’un contrat ou la prise de mesures précontractuelles ;
  • afin de nous conformer aux dispositions légales et réglementaires auxquelles nous sommes soumis ;
  • pour des raisons qui relèvent de l’intérêt légitime de la société (voyez des illustrations ci-dessous). Lorsque nous effectuons ce type de traitement, nous veillons à préserver l’équilibre entre cet intérêt légitime et le respect de votre vie privée ;
  • quand nous avons obtenu votre consentement.

Les données à caractère personnel sont traitées par ENODIA pour les finalités qui incluent, mais ne sont pas limitées à :

  • vous assister et répondre à vos demandes ;
  • permettre la bonne exécution des conventions conclues ;
  • assurer la gestion financière et comptable d’ENODIA ;
  • assurer une bonne gestion du personnel, du matériel et des fournisseurs ;
  • répondre aux obligations légales parmi lesquelles les réponses aux demandes officielles d’autorités publiques, de contrôle ou judiciaires ;
  • assurer la sécurisation de nos locaux et infrastructures, ainsi que des personnes en ces lieux.

7 Qui a accès à vos données et à qui sont-elles transférées ?

Seuls les utilisateurs autorisés ont accès à vos données à caractère personnel afin d’accomplir les finalités précitées. Il faut entendre par utilisateur autorisé les personnes qui, dans le cadre de l’exercice de leur fonction au sein d’ENODIA sont autorisées, dans le cadre des activités réalisées, à traiter des données à caractère personnel sur la base des directives d’ENODIA.

Afin d’accomplir les finalités précitées, ENODIA divulgue vos données personnelles à/aux :

  • entités du Groupe ENODIA ;
  • aux Communes et Province associées ;
  • un actuaire ;
  • un auditeur externe ;
  • un commissaire agréé ;
  • un conseiller juridique ;
  • un consultant financier ;
  • un autre professionnel et/ou prestataire de services/conseiller ;
  • un secrétariat social, les organismes bancaires, les assureurs/Fonds ;
  • des entreprises IT ou des prestataires de services pour des programmes software et le stockage de données électroniques (serveurs, etc.) ;
  • des autorités judiciaires, administratives ou des services de police ;
  • des autorités de contrôle/tutelle

8 Combien de temps conservons-nous vos données ?

Nous conservons vos données personnelles pour la plus longue des durées nécessaires au respect des dispositions légales et réglementaires applicables ou une autre durée compte tenu des contraintes opérationnelles telles qu’une bonne tenue de la comptabilité, un management efficace et les réponses aux demandes en justice ou aux autorités de contrôle/tutelle.

9 Sécurité et confidentialité

ENODIA s’engage à adopter les mesures techniques, physiques et organisationnelles nécessaires et adéquates pour protéger les données à caractère personnel contre les accès non autorisés, le traitement illicite et non autorisé, la perte ou le dommage accidentel, et la destruction non autorisée. Ces mesures sont régulièrement évaluées et si nécessaire actualisées en vue de garantir une protection maximale des données à caractère personnel des personnes concernées.

En cas de violation ou de fuite informatique, comme décrite ci-dessous, ENODIA prend les mesures nécessaires/adéquates pour en constater l’étendue et les conséquences, y mettre fin le plus vite possible et, le cas échéant, limiter son impact pour les personnes concernées.

10 Quels sont vos droits et comment les exercer ?

10.1 Droits des personnes concernées

Conformément à la règlementation applicable, vous disposez de différents droits :

  • Le droit de demander l’accès aux données à caractère personnel (A)
  • Le droit à la rectification (A)
  • Le droit à l’effacement des données(A)
  • Le droit de s’opposer au traitement (B)
  • Le droit de retirer son consentement (B)
  • Le droit de demander une limitation du traitement (B)
  • Le droit à la portabilité des données (C)

A. Droit d’accès, de rectification et d’effacement

Toute personne concernée a le droit de faire une demande d’accès. Si une personne concernée exerce ce droit, ENODIA est tenue de lui fournir des informations à ce sujet, en ce compris :

  • de donner une description et une copie des données à caractère personnel;
  • d’informer la personne concernée des raisons pour lesquelles ENODIA traite ces données.

Si des données sont inexactes ou incomplètes, la personne concernée peut demander de les rectifier.

Dans certaines circonstances, la personne concernée peut, conformément à la règlementation en matière de protection des données, demander l’effacement d’une donnée à caractère personnel la concernant, entre autres si la donnée à caractère personnel n’est plus nécessaire pour les finalités pour lesquelles elle avait été collectée ou traitée. ENODIA peut cependant refuser d’effacer ces données, par exemple pour l’introduction, la mise en œuvre ou la preuve d’un droit en justice.

Dans un souci de tenir vos données parfaitement à jour, nous vous prions de nous informer de tout changement (exemple : changement d’état civil, de domicile).

B. Droit d’opposition et de limitation au traitement de vos données et droit de retirer votre consentement

Vous avez le droit de vous opposer à certains traitements de vos données à caractère personnel que nous souhaiterions effectuer. Vous pouvez également demander la limitation du traitement de vos données.

Ce droit ne peut cependant s’exercer que dans certaines conditions :

  • votre demande doit être datée et signée ;
  • vous devez avoir des raisons sérieuses et légitimes tenant à votre situation particulière pour vous opposer à ce que le traitement ait lieu. En cas d’opposition justifiée, le traitement en question ne pourra plus porter sur ces données.

Par contre, vous ne pouvez pas vous opposer à un traitement nécessaire à l’exécution d’un contrat conclu avec vous ou à l’exécution des mesures précontractuelles; ni au respect de toute disposition légale ou réglementaire à laquelle nous sommes soumis.

Si vous avez donné votre consentement au traitement de vos données personnelles, vous avez le droit de retirer ce consentement à tout moment.

C. Le droit à la portabilité

Lorsque cela est nécessaire et dans la mesure où cela est applicable, la personne concernée peut demander de recevoir certaines données à caractère personnel qu’elle a fournies à ENODIA dans le cadre de la gestion et de l’exécution de ses activités, et de transférer ces données vers un autre Responsable du traitement. Lorsque cela est techniquement possible, la personne concernée peut demander à ENODIA de transférer directement ces données vers un autre Responsable du traitement.

10.2 A qui vous adresser ?

Si la personne concernée souhaite exercer ses droits relativement à ses données à caractère personnel, elle peut en faire part à :

  • Au D.P.D (Délégué à la Protection des Données) :
    • par mail : privacy@enodia.net
    • par courrier : ENODIA– à l’attention du DPO Office – rue Louvrex, 95 à 4000 Liège

Dans ce cadre, votre demande doit nous parvenir datée et signée, accompagnée d’une copie/scan de votre carte d’identité.

Conformément à la règlementation, vous êtes en droit d’introduire une réclamation auprès de l’Autorité de contrôle compétente.

11 Transfert des données en dehors de l’EEE

En cas de transferts internationaux émanant de l’EEE vers un pays tiers pour lequel la Commission européenne a rendu une décision d’adéquation reconnaissant à ce pays un niveau de protection des données personnelles équivalent à celui prévu par la législation de l’EEE, vos données personnelles seront transférées sur ce fondement.

Pour des transferts vers des pays en dehors de l’EEE pour lesquels la Commission européenne n’a pas rendu de décision d’adéquation, nous nous appuyons soit sur une dérogation applicable à la situation (ex : en cas de paiement à l’international, le transfert est nécessaire à l’exécution du contrat), soit sur le fait que le destinataire des données a accepté de traiter les données à caractère personnel conformément aux « Clauses Contractuelles Types » établies par la Commission européenne pour les Responsables des données ou les sous-traitants.

Pour obtenir une copie de ces textes ou savoir comment y accéder, vous pouvez adresser une demande écrite de la manière indiquée dans la Section 10.2.

12 Violation de données à caractère personnel

A. Mention des violations relatives aux données à caractère personnel

Les utilisateurs autorisés doivent veiller, dans l’exercice de leur fonction, à éviter des incidents (volontaires ou non) qui peuvent porter atteinte à la vie privée des personnes concernées.

En cas de violation de données à caractère personnel, des mesures adéquates sont prises le plus rapidement possible pour minimiser le risque de dommage pour les personnes concernées ainsi que pour ENODIA (atteinte à la réputation, sanctions imposées, …).

Dans tous les cas, tous les utilisateurs autorisés, ainsi que toutes les autres personnes qui consultent, utilisent ou gèrent des informations d’ENODIA doivent signaler immédiatement toute violation de la sécurité et les incidents en lien avec la sécurité des informations au D.P.D de sorte qu’une analyse puisse immédiatement être faite, les mesures nécessaires prises et pour savoir si la violation doit être signalée à l’Autorité de Protection des Données et/ou aux personnes concernées.

Lorsque le signalement est réalisé par courriel, il est important que celui-ci soit envoyé au D.P.D (voir Section 10.2) et qu’il soit expressément indiqué dans l’objet du courriel qu’il s’agit d’un message avec urgence élevée à propos d’une possible violation en lien avec les données à caractère personnel.

L’information doit contenir une description complète et détaillée de l’incident, en ce compris l’identité de la personne qui fait le signalement (nom, prénom, adresse, courriel (le cas échéant) et numéro de téléphone), de quel type d’incident il s’agit, et combien de personnes sont concernées.

B. Enquête et analyse des risques

En principe, dans un délai de 24 heures après que l’incident ou la violation a été constaté par ENODIA ou signalé par un sous-traitant, un utilisateur autorisé, un destinataire, une personne concernée ou un tiers, une enquête sera entamée par ENODIA.

L’enquête indiquera quelle est la nature de l’incident, le type de données visées et si spécifiquement des données à caractère personnel sont impactées (et dans l’affirmative, qui sont les personnes concernées et combien de données à caractère personnel sont touchées). L’enquête déterminera s’il s’agit d’une violation ou non des données à caractère personnel.

S’il s’agit d’une violation, une analyse des risques sera effectuée pour savoir quelles sont (peuvent être) les conséquences possibles de la violation, et en particulier les impacts (possibles) pour les personnes concernées.

ENODIA décidera ensuite, sur la base du caractère de la violation, s’il y a ou non une obligation d’effectuer une notification à l’Autorité de Protection des Données et/ou à la personne concernée.

C. Documentation des violations

Toutes les violations seront documentées dans un registre. Le registre détaillera la cause principale de l’incident et les facteurs contributifs, la chronologie des événements, les actions en réponse, les recommandations et les leçons apprises en vue d’identifier les domaines qui nécessitent une amélioration. Les changements recommandés à apporter aux systèmes, et procédures seront documentés et mis en place aussi vite que possible.

Dans le cadre de sa mission de surveillance du respect de la règlementation en matière de protection des données le D.P.D examinera également les suites données au traitement de la violation consignée dans le rapport.

13 Délégué à la protection des données (« D.P.D »)

ENODIA a désigné un délégué à la protection des données qui peut être contacté par courrier (DPO Office – rue Louvrex, 95 à 4000 Liège) ou par mail (privacy@enodia.net).

Ce délégué à la protection des données est compétent :

  • Pour informer et conseiller ENODIA, ainsi que les membres du personnel, les administrateurs ainsi que la Direction quant aux obligations qui leur incombent en vertu de la Législation et règlementation en matière de protection des données ;
  • Pour contrôler le respect de la Législation et règlementation en matière de protection des données et de la politique de traitement et de protection des données à caractère personnel dans le cadre des activités d’ENODIA tels que repris dans la présente politique, y compris en ce qui concerne la répartition des responsabilités, la sensibilisation et la formation des personnes participant aux opérations de traitement, et les audits s’y rapportant ;
  • Pour dispenser des conseils, sur demande, en ce qui concerne l’analyse d’impact relative à la protection des données à caractère personnel et d’en vérifier l’exécution;
  • Pour coopérer avec l’Autorité de Protection des Données ;
  • Pour faire office de point de contact pour :
    • Les personnes concernées, qui peuvent contacter le délégué à la protection des données pour toutes les questions liées au traitement de leurs données à caractère personnel et à l’exercice de leurs droits ;
    • Toute personne qui constate un incident ou une violation en lien avec le traitement des données à caractère personnel dans le cadre des activités d’ENODIA et qui doivent entre autres en informer le Délégué à la protection des données ;
    • L’Autorité de Protection des Données en ce qui concerne les questions liées aux traitements de données à caractère personnel ;
  • Pour tenir dûment compte du risque associé aux opérations de traitement, compte tenu de la nature, de la portée, du contexte et des finalités du traitement;
  • Pour toute autre mission ou tâche qu’il se verrait confier.

14 Comment prendre connaissance de cette politique et de ses modifications ?

Dans un monde en constante évolution technologique, nous actualiserons régulièrement la Politique « Vie Privée ».
Nous vous invitons à prendre connaissance de la dernière version de ce document sur notre site.

15 Comment nous contacter ?

Si vous avez des questions concernant l’utilisation de vos données personnelles visée par la présente politique, vous pouvez contacter notre délégué à la protection des données (D.P.D) par courrier adressé à DPO Office – rue Louvrex, 95 à 4000 Liège ou par e-mail à l’adresse privacy@enodia.net.

En ce qui concerne les Membres de notre personnel, ceux-ci peuvent également consulter la « Politique Vie Privée R.H » sur l’intranet.

La présente Politique « Vie Privée » est applicable à dater du 25 mai 2018 dans sa version actualisée par le Conseil d’administration du 31 mars 2021.