FAQ

La loi s’applique :

• aux organismes des secteurs public et privé
• aux traitements automatisés et non automatisés
• de données à caractère personnel
• contenues dans des fichiers.

Qu’est-ce qu’une « Donnée à caractère personnel » ?

Toute information concernant une personne physique identifiée ou identifiable, directement ou indirectement, notamment par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale.

Qu’est-ce qu’un «Traitement » de données à caractère personnel ?

Toute opération telle que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, par diffusion ou par toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction. 

Qu’est-ce qu’un «Fichier » ?

Tout ensemble structuré de données à caractère personnel, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique.

Non, il n’existe pas de liste exhaustive  des données personnelles mais les données peuvent être classées par catégories et en fonction de leur sensibilité.

Quelques exemples de données personnelles :

• Nom, Adresse, Date de naissance, Adresse email, N° de téléphone
• N°permis de conduire, N° d’immatriculation
• NIR
• Photos, vidéo, enregistrements sonores
• Données bancaires : n°compte bancaire, n° carte bancaire, enregistrements de crédits
• Informations patrimoniales ou financières
• Informations sur la localisation d’une personne
• Informations sur la vie sociale d’un individu (amis, famille, relations…)
• Informations subjectives sur un individu (avis, note, commentaire, traits de caractère, qualités personnelles, difficultés sociales…)
• Informations relatives aux infractions et condamnations d’une personne,
• Informations sur les préférences d’achat d’une personne (historique, avis, centres d’intérêts..)
• Numéro d’étudiant
• Adresse IP, UDID
• Métadonnées
• Puces RFID…

Catégories de données personnelles « sensibles » :

• Données biométriques
• Données génétiques
• Données de santé
• Données de recherche médicale
• Données à caractère politique
• Données à caractère sexuel
• Données à caractère religieux

Le « Responsable du Traitement » est responsable devant la loi: il s’agit de la personne physique ou morale, de l’autorité publique, du service ou de tout autre organisme qui, seul ou conjointement avec d’autres, «détermine les finalités et les moyens » du traitement de données à caractère personnel.

Il s’agit dans la plupart des cas, de la société ou du dirigeant de l’entreprise. Cependant, il convient de déterminer au cas par cas, en pratique, si les critères permettant de qualifier le « responsable de traitement » sont remplis, car il en découle des obligations et donc une responsabilité légale.

Le responsable de traitement est aussi responsable du respect des obligations de confidentialité et de sécurité par son sous-traitant.

Le sous-traitant sera donc responsable contractuellement.

N.B. Selon le cas d’espèce, le sous-traitant pourra être qualifié de co-responsable de traitement.

N.B. Avec le règlement général européen de protection des données, les sous-traitants seront désormais responsables aux yeux de la loi.

La non-conformité à la loi est passible de sanctions administratives (pécuniaire, injonction, publicité) et de sanctions pénales (articles 226-16 à 226-24 du code pénal).

Aujourd’hui les peines maximales encourues, y compris en cas de négligence, sont de 300.000 € d’amendes et de 5 ans d’emprisonnement.

Surtout, la sanction peut être rendue publique et entrainer des dommages collatéraux :

• atteinte à l’image et à la réputation,
• perte de marchés ou impossibilité d’accéder à certains marchés,
• sanctions professionnelles,
• conflit social,
• coût financier.

N.B. les sanctions maximales prévues par le nouveau règlement général de protection des données seront de 4% du C.A. d’un groupe ou 20 M €

Les mesures de sécurité portent non seulement sur les mesures physiques et logiques mais aussi organisationnelles. Elles sont essentielles mais ne sont qu’un rouage des mesures de protection que vous devez prendre. De plus, elles doivent être adaptées aux risques d’impact des traitements  sur la vie privée –  dans certains cas, cela oblige à recourir à une analyse de risques méthodique.

Mais aussi,  les traitements de données personnelles doivent être conformes à un certain  nombre de principes et obligations définis par les directives européennes de protection de la vie privée et par la loi « Informatique et Libertés. La mise en œuvre des dispositions législatives requièrent donc la mise en place de mesures juridiques telles que des politiques, des procédures et des clauses contractuelles spécifiques.

Oui, selon la loi, votre sous-traitant doit présenter des garanties suffisantes. Vous avez l’obligation de veiller au respect des mesures de sécurité et de confidentialité, notamment par des procédures de contrôle et d’audit et par des mesures juridiques contraignantes.

Le contrat vous liant à votre sous-traitant doit comporter l’indication des obligations lui incombant et prévoir que celui-ci agit uniquement sur instructions de votre part.

Sauf exception ou dispense, avant leur mise en œuvre, les traitements automatisés de données à caractère personnel doivent faire  l’objet d’une déclaration auprès de la CNIL, d’une autorisation  ou d’un avis préalables. La CNIL doit notamment avoir connaissance de la finalité du traitement.

De plus, vous devez soit avoir reçu le consentement de la personne concernée, soit satisfaire aux conditions prévues par la loi :

• La collecte et le traitement doivent être conforme à certains principes juridiques.
• Les données personnelles ne peuvent être collectées que pour des finalités déterminées, explicites et légitimes et ne peuvent pas être réutilisées de manière incompatible avec cette finalité.
• Les données doivent être collectées de manière loyale et licite.
• Elles doivent être adéquates, pertinentes et non excessives au regard des finalités i.e. que la collecte ne doit porter que sur les données strictement nécessaires pour atteindre l’objectif déterminé.
• Les données personnelles doivent être exactes, complètes et mises à jour.

N.B. Toute personne a le droit de s’opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l’objet d’un traitement. Elle peut exiger du responsable d’un traitement que soient, selon les cas, rectifiées, complétées, mises à jour, verrouillées ou effacées les données personnelles la concernant, qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l’utilisation, la communication ou la conservation est interdite.

Oui. Vous avez l’obligation d’informer les personnes sur les points suivants :

• votre identité,
• la finalité du traitement,
• le caractère obligatoire ou facultatif des réponses,
• les destinataires des informations,
• l’existence de leurs droits,
• les divulgations envisagées des données personnelles.

Tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète :

• de la finalité de toute action tendant à installer des cookies sur son terminal,
• des moyens dont il dispose pour s’y opposer.

Sauf exception, ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son accord.

Oui. Sauf exception, il est interdit de collecter ou de traiter des données à caractère personnel qui font apparaître, directement ou indirectement :

• les origines raciales ou ethniques,
• les opinions politiques, philosophiques ou religieuses
• l’appartenance syndicale des personnes,
• ou qui sont relatives à la santé
• ou à la vie sexuelle de celles-ci.

Les traitements de données à caractère personnel relatives aux infractions, condamnations et mesures de sûreté ne peuvent être mis en œuvre que dans des cas limitativement énumérés.

Oui. Les données personnelles doivent être conservées pendant la seule durée nécessaire à la réalisation des finalités pour lesquelles elles sont collectées et traitées. Au delà, vous engagez votre responsabilité.

Toute personne physique justifiant de son identité dispose d’un « droit d’accès » à ses données personnelles. Vous devez répondre à cette demande dans le délai de 2 mois et communiquer sous une forme accessible les éléments suivants :

• La confirmation que des données à caractère personnel la concernant font ou ne font pas l’objet de ce traitement,
• Les informations relatives aux finalités du traitement,
• Les informations relatives aux catégories de données personnelles traitées,
• Les informations relatives aux destinataires ou aux catégories de destinataires auxquels les données sont communiquées,
• Les informations relatives aux transferts de données personnelles envisagés à destination d’un état non membre de la Communauté Européenne,
• Les données à caractère personnel qui la concernent ainsi que de toute information disponible quant à l’origine de celles-ci,
• Les informations permettant de connaître et de contester la logique qui sous-tend le traitement automatisé en cas de décision prise sur le fondement de celui-ci et produisant des effets juridiques à l’égard de l’intéressé.

Une copie des données personnelles est délivrée à l’intéressé à sa demande.

Par principe, les flux de données vers des pays hors de l’Union Européenne et dont la protection n’a pas été reconnue « équivalente » sont interdits sans le consentement explicite des personnes. Cependant et nonobstant certaines exceptions légales, il est possible de transférer des données personnelles hors U.E. dans les cas suivants :

• Autorisation de la CNIL,
• Si le pays destinataire est reconnu « à protection adéquate » par la Commission Européenne,
• Si le transfert est encadré par des « clauses contractuelles types » ou par des règles d’entreprise contraignantes (Binding Corporate Rules « BCR »),
• Si le transfert est encadré par des clauses contractuelles validées par la CNIL

En France, l’organisation peut désigner un Correspondant Informatique et libertés (CIL). Il peut s’agir soit d’un salarié exerçant sa mission à temps partiel ou à temps plein, soit d’un intervenant externe.

Il n’existe pas de statut européen commun pour le « DPO » (Data Protection Officer). En Suisse par exemple, il porte le nom de « Conseiller à la Protection des Données » et au Luxembourg il est le « Chargé de la Protection des Données ».

Parce que c’est vous, en tant que « responsable de traitement », qui verrez votre responsabilité engagée en cas de non-conformité de vos traitements à la loi « Informatique et Libertés » et à la directive européenne 95/46 EU.

Mais aussi parce que vous êtes ès qualité d’employeur, pénalement responsable du fait de vos employés sur le fondement de l’article 1384 al.5 cc.