NOTE D INFO 2010/18 du 29/08/2010. Informatique et libertés : Les obligations des entreprises

Transcription

1 NOTE D INFO 2010/18 du 29/08/2010 Informatique et libertés : Les obligations des entreprises Les traitements automatisés de données personnelles doivent, en principe, faire l objet d une déclaration auprès de la CNIL. Toutefois, la plupart de ceux utilisés par les entreprises sont susceptibles de bénéficier d une déclaration simplifiée voire d une dispense de déclaration. Nous faisons le point sur les conditions de déclarations simplifiées et de dispense ainsi que sur les bonnes pratiques en matière d archivage électronique. I Quelle déclaration pour quel fichier? A) L obligation de déclaration La déclaration est une obligation légale dont le non-respect est pénalement sanctionné (C. Pénal art ). Tout fichier ou traitement informatisé comportant des données personnelles doit être déclaré à la CNIL préalablement à sa mise en œuvre, sauf s il en est exonéré. Dans tous les cas, la désignation d un correspondant informatique et liberté dispense l entreprise des formalités relatives aux fichiers relevant de la déclaration simplifiée et normale (loi du 6 janvier 1978modifiée, art 22 à 24). Le régime de droit commun est la déclaration normale, lorsque le fichier ne relève pas d une procédure particulière. Certains traitements sont dispensés de déclaration, d autres peuvent faire l objet d une déclaration simplifiée, directement sur le site de la CNIL, se résumant à une déclaration de conformité à la norme ( REPERES : Qu est-ce qu une donnée à caractère personnel? Constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d identification ou à un ou plusieurs éléments qui lui sont propres. B) Comptabilité informatisée : DISPENSE 1- Conditions de la dispense Les traitements comptables automatisés n entrent pas dans le champ d application de la loi relative à l informatique et aux libertés et, par conséquent, échappent à l obligation de déclaration sous réserve de respecter les conditions suivantes (CNIL, délibération du 21 octobre 1980) : 29/08/2010 1/6

2 le traitement automatisé de la comptabilité générale et des comptabilités auxiliaires pouvant lui être rattachés doit avoir pour seul objet la représentation et les fluctuations du patrimoine de l entreprise et la constatation de sa situation financière, les informations nominatives sont limitées aux nom, prénom, adresse, domiciliations bancaires, renseignements sur la nature des opérations, les informations ne doivent pas faire l objet d une cession à des tiers ou d un échange. Le traitement ne doit pas donner lieu à des interconnexions autres que celles nécessaires à l objet défini ci-dessus. 2- Effet de dispense Les traitements peuvent être mis en œuvre sans délai et sans déclaration préalable auprès de la CNIL. Le déclarant reste néanmoins soumis à ses obligations en matière de protection des données à caractère personnel. C) Fichiers fournisseurs : DISPENSE 1- Conditions de la dispense Les traitements relatifs à la gestion des fichiers fournisseurs comportant des données sur des personnes physiques doivent avoir pour seules fonctions (CNIL, dispense n 4, délibération du 18 janvier 2005) : d effectuer les opérations administratives liées aux contrats, aux commandes, aux réceptions, aux factures, aux règlements, à la comptabilité pour ce qui a trait à la gestion de comptes fournisseurs, d éditer les titres de paiements, d établir des statistiques financières et de chiffres d affaires par fournisseur, de fournir des sélections de fournisseurs pour les besoin de l entreprise ou de l organisme, d entretenir une documentation sur les fournisseurs. EXCEPTION! Cette dispense ne s applique pas à l utilisation de ces données à des fins de prospection commerciale. 2- Pour quelles données? Les données traitées sont l identité, la vie professionnelle et les éléments de la facturation et du règlement 3- Protection de l information Seules les personnes ci-après peuvent être destinataires de l information : les personnels chargés du service des achats, des services administratifs et comptables, leurs supérieurs hiérarchiques et les personnes liées contractuellement à l entreprise ou à l organisme pour assurer sa comptabilité, les personnes chargées du contrôle (commissaires aux comptes, expert comptable), les entreprises extérieures liées contractuellement pour l exécution du contrat, les organismes publics, exclusivement pour répondre aux obligations légales, les auxiliaires de justice et les officiers ministériels dans le cadre de leur mission de recouvrement de créances, les organismes financiers teneurs des comptes mouvementés. 29/08/2010 2/6

3 D) Fichiers paie : DISPENSE 1- Conditions de la dispense Les traitements de gestion des rémunérations, des registres obligatoires et des déclarations sociales mis en œuvre par les employeurs privés sont dispensés de déclaration sous réserve que les traitements de ces données aient pour seules fonctions (CNIL, dispense n 2, délibération du 9 décembre 2004) : le calcul et le paiement des rémunérations et accessoires et des frais professionnels, ainsi que le calcul des retenues déductibles ou indemnisables opérées conformément aux dispositions légales et conventionnelles applicables, la réalisation des opérations résultant de dispositions légales, conventionnelles ou contractuelles concernant les déclarations à l administration fiscale et aux organismes de protection sociale, de retraite et de prévoyance ainsi que le calcul des cotisations et versements donnant lieu à retenue à la source, la tenue des comptes individuels relatifs à l intéressement et à la participation aux résultats ; la réalisation des traitements statistiques non nominatifs, liés à l activité salariée dans l entreprise, la fourniture des écritures de paie à la comptabilité, la fourniture des informations et la réalisation des états relatifs à la situation du personnel permettant de satisfaire à des obligations légales. 2- Pour quelles données? Les données traitées sont l identité, la situation familiale et matrimoniale, les enfants à charge, les éléments déterminant l attribution d un complément de rémunération, la vie professionnelle et les éléments de rémunération. 3- Destinataires des données : Peuvent seuls, dans la limite de leurs attribution, être destinataires de tout ou partie des informations : les services chargés de l administration et de la paie du personnel, les services chargés du contrôle financier dans l entreprise, les organismes gérant les différents systèmes d assurances sociales, de chômage, de retraite et de prévoyance, les caisses de congés payés, les organismes publics et administrations légalement habilités à les recevoir, les organismes financiers intervenant dans la gestion des comptes de l entreprise et du salarié. REMARQUE : Le guide 2010 de la CNIL pour les employeurs et les salariés récapitule les délibérations utiles pour l entreprise notamment celles concernant les traitements pour la gestion du personnel (délibération du 13 janvier 2005), la collecte et le traitement d information nominative lors d opérations de recrutement (délibération du 21 mars 2002) les traitements mis en œuvre par les comités d entreprise pour la gestion de leurs activités sociales et culturelles (délibération du 17 octobre 2006). 29/08/2010 3/6

4 E) Fichiers clients : déclaration simplifiée 1- Conditions d application Le traitement automatisé relatif à la gestion des fichiers des clients et des prospects doit avoir pour seules finalités : d effectuer les opérations relatives à la gestion des clients concernant les contrats, les commandes, les livraisons, les factures, la comptabilité et, en particulier, la gestion des comptes clients, la gestion d un programme de fidélité à l exclusion des programmes communs à plusieurs sociétés, d effectuer des opérations relatives à la prospection, c est-à-dire, la constitution et la gestion d un fichier de prospects, la sélection de clients pour réaliser des actions de prospection et de promotion, la cession, la location ou l échange du fichier de clients et de prospects, l élaboration de statistiques commerciales, l envoi de sollicitations. 2- Pour quelles données? Les données traitées sont l identité, les données relatives aux moyens de paiements, à la relation commerciale et aux règlements des factures. 3- Protection de l information Peuvent seuls, dans les limites de leurs attributions respectives, avoir accès aux données à caractère personnel : les personnels chargés du service commercial et des services administratifs, leurs supérieurs hiérarchiques et les entreprises extérieures liées contractuellement pour l exécution du contrat les services chargés du contrôle (CAC, contrôleurs internes). Peuvent être destinataires des données, dans les limites de leurs attributions respectives : les organismes publics exclusivement pour répondre aux obligations légales, les auxiliaires de justice et les officiers ministériels dans le cadre de leur mission de recouvrement de créances. 4- Conditions de cession des fichiers Peuvent être cédées, louées ou échangées, dès lors que les organismes destinataires s engagent à ne les exploiter que pour s adresser directement aux intéressés, pour des finalités exclusivement commerciales : sous réserve d informer les personnes concernées de leur droit d opposition sans frais et sans justification, les données relatives à l identité ainsi que les informations relatives à la situation familiale, économique et financière, sous réserve d avoir recueilli le consentement exprès de la personne concernée, les données relatives à la relation commerciale susceptibles de faire apparaitre indirectement les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses, l appartenance syndicale ou les données relatives à la vie sexuelle de celle-ci. 29/08/2010 4/6

5 II Archivage électronique versus droit à l oubli Les entreprises ont l obligation légale d archiver des informations sur leurs activités passées, notamment sur des opérations effectuées avec leurs clients, fournisseurs ou salariés, pouvant comporter des données à caractère personnel protégées par la loi informatique et libertés. A) Rappel sur les délais de conservation 1- Délais légaux 10 ans pour les documents, livres et pièces justificatives comptables (C. com art L ) 5 ans pour les doubles de bulletin de paie (C. travail. art L ) 10 ans pour les contrats commerciaux en ligne portant un montant supérieur à 120 (C. consom. art L 134-2) 6 ans pour les documents fiscaux (CGI, LFP, art L 102B). 2- Délais non prévus par la loi En l absence de délais de conservation par la loi, il convient de se référer aux délais de prescription extinctive des actions. B) Recommandation de la CNIL 1- Archivage électronique de données à caractère personnel Ce sont toutes les pratiques de conservation des données, qu elles soient collectées, reçues ou transformées sous forme électronique, par toute personne, service ou organisme privé dans l exercice de son activité (CNIL, délibération ). 2- Droit à l oubli Les données sont conservées sous une forme permettant l identification des personnes concernées pendant une durée qui n excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées (loi du 6 janvier 1978, art 36 al.1 er ). Seules les données présentant un caractère historique, scientifique ou statistique (archives définitives) peuvent être conservées au-delà de cette date (loi précitée art. 36 al.1er). 3- Durée de conservation Selon une recommandation de la CNIL sur l archivage électronique, les archives courantes (données d utilisation courante par les services concernés) et intermédiaires (données qui présentent encore pour les services concernés un intérêt administratif) doivent répondre à des durées de conservation spécifiques, proportionnées à la finalité poursuivie, en particulier au regard des durées de prescription définies par la réglementation commerciale, civile ou fiscale, qui doivent être précisées dans le cadre des dossiers de formalités préalables adressés à la CNIL (CNIL, délibération du 11 octobre 2005). Les durées de conservation déclarées doivent être respectées sous peine de sanction (C. pénal, art ). 29/08/2010 5/6

6 Le responsable de traitement doit établir, dans le cadre de ses moyens d archivage, des procédures aptes à gérer des durées de conservations distinctes selon les catégories de données qu il collecte et être en mesure d effectuer, le cas échéant, toute purge ou destruction sélective de données. 4- Sécurité La CNIL recommande que : l accès aux archives intermédiaires soit limité à un service spécifique et qu il soit procédé, a minima, à un isolement des données archivées au moyen d une séparation logique, les archives définitives soient conservées sur un support indépendant, non accessible par les systèmes de production, n autorisant qu un accès distinct, ponctuel et précisément motivé auprès d un service spécifique, des dispositifs de traçabilité des consultations des données archivées soient mis en œuvre. III Les pouvoirs de la CNIL A) Pouvoir de contrôle Pour ses contrôles, la CNIL peut accéder à tous les locaux professionnels, demander communication de tout document nécessaire et en prendre copie, recueillir tout renseignement utile et accéder aux programmes informatiques et aux données. Elle surveille également la sécurité des systèmes d information en s assurant que toutes les précautions sont prises pour empêcher la déformation ou l accès non autorisé aux données, la sécurité des fichiers (physique et logique) étant de la responsabilité du responsable de traitement informatique. B) Pouvoir de sanction Lors de manquements sérieux au respect de la loi informatique et libertés, la CNIL a le pouvoir de prononcer des sanctions administratives ou financières telle que (loi précitée, art. 45) : un avertissement à l égard du responsable de traitement fautif, une mise en demeure à l organisme contrôlé de faire cesser les manquements constatés dans un délai de 10 jours à 3 mois, une sanction pécuniaire jusqu'à 150 K (300K en cas de récidive), en l absence de réponse à la mise en demeure de la CNIL et après une procédure contradictoire, une injonction de cesser le traitement, un retrait de l autorisation, en cas d urgence, l interruption du traitement et le verrouillage des données pendant 3 mois, en cas d atteinte grave à et immédiate aux droits et libertés, le président de la CNIL peut demander d ordonner en référé toute mesure de sécurité nécessaire. Des sanctions pénales sont également susceptibles de s appliquer dans la mesure où la CNIL peut dénoncer au procureur de la République les infractions dont elle a connaissance (C. pénal art à ). 29/08/2010 6/6

7 EN CONLUSION : - Les fichiers fournisseurs, de comptabilité et de paie sont dispensés de déclaration à la CNIL. - Pour les traitements de fichiers clients, une déclaration de conformité est requise. - Seules les données à caractère historique, scientifique ou statistique peuvent être conservées au-delà des durées de prescription. Article tiré du RF comptable n 374 de 07/ /08/2010 7/6