à Caractère re Personnel Les 30 Ans De La Cnil 9 septembre 2008 F. COLLIN D. WALON WINLEX

Transcription

1 Les Données à Caractère re Personnel Les 30 Ans De La Cnil 9 septembre 2008 F. COLLIN D. WALON WINLEX

2 QUOI DE NEUF EN 30 ANS 30 ans d évolutions techniques les traitements des données àcaractère personnel ont explosés parallèlement au nombre d applications issues de l inventivité des entreprises prestations de service sur Internet techniques de géo localisation, technologies RFID et nanotechnologies, etc 30 ans d évolutions économiques et comportementales éclatement des frontières mondialisation avènement du web «social» une problématique renouvelée de protection de la vie privée des individus

3 PARTIE I HISTORIQUE ET EVOLUTIONS

4 NOTRE ANCETRE GAULOIS : LA LOI DU 6 JANVIER 1978 Genèse de la loi et historique Projet SAFARI Loi du 6 janvier 1978 relative à «l'informatique, aux fichiers et aux libertés». directive communautaire (directive 95/46/CE du 24 octobre 1995) est venue harmoniser les lois nationales. Loi du 6 aout 2004

5 AVEC LA RÉFORME DE 2004 Des principes inchangés La collecte des données doit être loyale et licite ; La finalité du traitement doit être légitime et déterminée ; Les données personnelles sont adéquates, pertinentes et non excessives au regard de la finalité du traitement ; La durée de conservation des données est limitée en fonction de la finalité du traitement ; Les destinataires doivent être précisément définis et limités ; le traitement de données personnelles doit respecter le principe de proportionnalité concernant les interconnexions.

6 AVEC LA RÉFORME DE 2004 Des obligations inchangées Notifier la mise en œuvre des traitements de données à caractère personnel àla CNIL, sauf cas de dispense prévus par la loi ou par la CNIL ; Mettre les personnes concernées par ces traitements en mesure d exercer leurs droits (principes d information et de collecte loyale, droit d accès, de rectification, droit à l oubli) ; Assurer la sécurité et la confidentialité des informations afin qu elles ne soient pas déformées ou communiquées àdes tiers non autorisés ; Se soumettre aux contrôles et vérifications sur place de la CNIL et répondre àtoute demande de renseignements qu elle formule dans le cadre de ses missions. mais une méthode ayant évolué démarche d auto évaluation + contrôle a postériori par la CNIL

7 LE BRAS ARMÉ DE LA LOI : LA CNIL ET SES POUVOIRS Missions d origine de la CNIL inchangées: établissement de normes simplifiées ou de dispenses traitement les déclarations et des demandes d'autorisation instruction des plaintes, réclamations ou demandes d'avis exercice du droit d accès indirect aux fichiers intéressant la sûreté de l'état, la défense et la sécurité publique, notamment ceux des Renseignements généraux mise àdisposition du public du "fichier des fichiers"

8 LE BRAS ARMÉ DE LA LOI : LA CNIL ET SES POUVOIRS Pouvoirs renforcés par la loi du 6 août 2004, pouvoir d imposer des sanctions graduées : avertissement, mise en demeure, sanctions pécuniaires pouvant atteindre , injonction de cesser le traitement. son Président peut demander par référé à la juridiction compétente d'ordonner toute mesure de sécurité nécessaire au nom de la Commission, dénoncer au Procureur de la République les violations de la loi. Opposition àl'exercice de la mission de la CNIL pénalement sanctionné

9 LES DONNÉES PROTÉGÉES, UN NOYAU DUR AUX FRONTIÈRES MOLES Un centre de gravité modifié de l inquiétude originelle face aux «grands fichiers» vers les préoccupations relatives àla gestion des «traces»(de navigation, de communication, de déplacement géographiques, de présence sur des images issues de la vidéo surveillances, vers celles liées à l exploitation commerciale des données personnelles (spamming, profiling, etc ) ; de la méfiance envers les administrations vers une méfiance envers les opérateurs privés. rendant nécessaire une nouvelle définition des «données à caractère personnel», «toute information relative àune personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence àun numéro d'identification ou àun ou plusieurs éléments qui lui sont propres» sont donc concernés tous les systèmes automatisés tels que les moteurs de recherche, logiciels de reconnaissance d'adresses I.P., de reconnaissance vocale ou morphologique

10 ASSOUPLISSEMENT DU REGIME Une banalisation des traitements entrainant un assouplissement des formalités Des dispenses Des exonérations Des déclarations simplifiées Mais de nouveaux domaines de sensibilité apparaissent discussions avec les moteurs de recherche discussions avec les opérateurs de réseaux sociaux

11 LA BIOMETRIE ET LES DONNEES DE SANTE La biométrie premières demandes d autorisation : refusées 27 avril 2006 trois autorisations uniques en matière de biométrie. Sont concernés les dispositifs suivants : le contour de la main pour le contrôle d accès, la gestion des horaires et de la restauration sur les lieux de travail ; l empreinte digitale exclusivement enregistrée sur un support individuel pour le contrôle de l accès aux locaux sur les lieux de travail ; le contour de la main pour l accès au restaurant scolaire distinguo selon que les systèmes laissent ou non des traces

12 LA BIOMETRIE ET LES DONNEES DE SANTE Les données de santé données sensibles par excellence DMP àl étranger GOOGLE HEALTH, MICROSOFT HEALTH VAULT France Telecom et Mutuelle Générale : e carnet de vaccination Et demain?

13 Partie II LA CONCEPTION MONDIALE : VASE CLOS ET FLUX DE DONNEES

14 LA PROBLÉMATIQUE DU TRANSFERT DE DONNÉES Des sociétés multinationales Des délocalisations d activités et des systèmes d information Un flux de données vers des pays aux législations diversifiées Un critère : «un niveau de protection jugé adéquat»

15 L EUROPE OU LA CONSÉCRATION D UNE POLITIQUE ÀLA FRANÇAISE Des normes européennes inspirées Les 27 pays de l Union Européennes ont transposés la directive 95/46/CE du 24 octobre 1995 dans leur loi locale; L Islande, le Liechtenstein et la Norvège, lors de la signature de l accord sur l EEE, ont également repris les dispositions de cette directive. 30 pays ont donc des législations harmonisées, conforment aux règles françaises. Ils sont dotés d une autorité indépendante similaire àla CNIL.

16 Le club fermé des pays à sécurité adéquat «Le caractère adéquat du niveau de protection offert par un pays tiers s'apprécie au regard de toutes les circonstances relatives à un transfert ou à une catégorie de transferts de données ; en particulier, sont prises en considération la nature des données, la finalité et la durée du ou des traitements envisagés, les pays d'origine et de destination finale, les règles de droit, générales ou sectorielles, en vigueur dans le pays tiers en cause, ainsi que les règles professionnelles et les mesures de sécurité qui y sont respectées». (Article 25 de la directive 95/46/CE)

17 7 décisions d adéquation ont été rendues par la CNIL 2000 Les Etats Unis ( Safe Harbor uniquement) La Suisse 2002 Le Canada (au niveau fédéral) 2003 L Argentine Guernesey 2004 L'île de Man 2008 Jersey

18 QUELLES CONSÉQUENCES EN MATIÈRE DE TRANSFERT DE DONNÉES? Le transfert de données à caractère personnel n a pas àfaire l objet d une autorisation expresse de la CNIL, Le transfert doit être déclaré à la CNIL. Si le traitement, objet du transfert, fait l objet d une déclaration simplifiée, le transfert lui n y est pas soumis, sauf si la norme CNIL le prévoit. Le transfert doit satisfaire les mêmes conditions légales que tout traitement de données à caractère personnel information des personnes concernées, droit d accès, de rectification et d opposition, les données transférées doivent être adéquates, pertinentes et non excessives, la finalité du transfert doit être déterminée, explicite et légitime, le traitement issu du transfert doit respecter la finalité du transfert, la durée de conservation de données doit être proportionnelle au but poursuivi

19 LE RESTE DU MONDE Le cas particulier des Etats Unis : Le safe harbor Une législation peu protectrice de la vie privée : un principe non constitutionnel un impératif supérieur : la lutte contre le terrorisme depuis le 11 septembre 2001 Un exemple d actualité le Passanger Name Record Le safe harbor et la niveau de protection adéquat

20 HIGHLIGHT SUR LES HOTSPOT : LES PAYS DE L OFF SHORING DE DONNÉES Des pays aux législations non adéquates : L Afrique du Sud, l Albanie, l Australie, le Brésil, le Burkina Faso, le Chili, la Corée du Sud, la Croatie, HongKong, l Inde, Israël, le Japon, le Mexique, Monaco, la Nouvelle Zélande, la Russie, Taiwan, la Tunisie, La Thaïlande, l Uruguay et le Paraguay, la République de Macédoine. Des pays sans législation en matière de données à caractère personnel : Le Maroc, l Algérie, l Egypte, la Libye Cas particulier du Maroc : la pression française

21 QUELLES CONSÉQUENCES EN MATIÈRE DE TRANSFERT DE DONNÉES? Le transfert de données à caractère personnel doit faire l objet d une autorisation expresse de la CNIL. La CNIL peut autoriser ce transfert au regard : (i) du contrat signé entre les sociétés concernées (ii) des normes internes adoptés par la société réceptrice Le transfert doit satisfaire les mêmes conditions légales que tout traitement de données à caractère personnel. Si le traitement, objet du transfert est exonéré de déclaration, le transfert ne l est pas. Une demande d autorisation présentée par un correspondant CNIL sera examinée en priorité.

22 PARTIE III LA CNIL PRATIQUE

23 DES CAS PARTICULIERS PAS SI PARTICULIERS Le Correspondant Informatique et liberté Le CIL a été institué par la loi d Août 2004 ayant modifié loi originelle informatique, fichiers et libertés Le contour de son statut et de sa mission a été précisé par le Décret n du 20 octobre 2005.

24 LE CORRESPONDANT INFORMATIQUE ET LIBERTÉ Sa mission : être le spécialiste des questions informatique et liberté au sein de l entreprise, être l interlocuteur de la CNIL pour toute les formalités obligatoires. Ses avantages : être exonéré de déclaration des traitements courants, Seuls les traitements qualifiés de sensibles dans la loi (numéro INSEE NIRrace, religion, santé..), ou les transferts vers des pays non membres de l Union Européenne devront continuer àêtre déclarés.

25 LE CORRESPONDANT INFORMATIQUE ET LIBERTÉ Qui est il? un salarié de l entreprise, àl exception du représentant légal, un conseil extérieur (avocat, conseil..) une personne morale autre que l entreprise elle même. Il est toujours impartial. Comment est il désigné? une notification formelle au représentant du personnel doit être effectuée, une notification àla CNIL doit être faite, Sa prise de fonction est effective un mois après la réception par la CNIL de la notification.

26 LE CORRESPONDANT INFORMATIQUE ET LIBERTÉ Quelles sont ses tâches? Dans les trois mois de sa nomination il doit avoir audité l entreprise et dressé une liste de l ensemble des traitements de données nominatives effectuées, Il doit tenir cette liste àjour et àla disposition du personnel (elle peut être payante), Il doit former le personnel de l entreprise. Comment est il révoqué? Par la CNIL, Par l employeur après avis de la CNIL

27 LA PROBLÉMATIQUE DU SOUS TRAITANT Définitions : qu est ce qu un sous traitant? Le responsable du traitement est défini comme «la personne, l autorité publique, le service ou l organisme qui détermine ses finalités et ses moyens». Il est autonome dans la mise en place et la gestion du traitement. Le destinataire d un traitement de données à caractère personnel est toute personne habilitée à recevoir communication de ces données autre que la personne concernée, le responsable du traitement, le sous traitant et les personnes qui, en raison de leurs fonctions, sont chargés de traiter les données.

28 LES DISPOSITIONS SPÉCIFIQUES APPLICABLES AUX SOUS TRAITANTS: ils doivent présenter des garanties suffisantes en terme de sécurité et de confidentialité en conformité avec les prerequis de la loi informatique, fichiers et liberté. le contrat liant le responsable du traitement et son sous traitant doit préciser l ensemble des obligations incombant au sous traitant en matière de données à caractère personnel et préciser que le sous traitant ne peut agir que sur les instructions du responsable du traitement.

29 RECOMMANDATIONS PRATIQUES vérifier la stricte conformité du traitement àla norme simplifiée assurer un suivi du maintien de la conformité à la norme veiller à établir et mettre àjour une cartographie des déclarations effectuées et des normes qui leur sont applicables faciliter la mise àjour les déclarations ou en fonction des données ajoutées ou des finalités modifiées si la «mémoire»des déclarations a été perdue, faire une demande àla CNIL pour obtenir un «état des lieux»

30 RECOMMANDATIONS PRATIQUES Se préparer àun éventuel contrôle sensibiliser les acteurs internes intéressés àla possibilité de tels contrôles, et àla nécessaire coopération qui doit se mettre en place avec les agents de contrôle, les préparer en amont mettre au point une procédure interne en cas de contrôle mettre en place des procédures pour suivre les missions de contrôles mettre en place une procédure de gestion des courriers CNIL.