Gestion des données à caractère personnel au sein des offices de tourisme et syndicats d initiative SAINT-LÔ, 21 Novembre 2013 Reproduction interdite distribution uniquement au public participant / Copyright Ac2r Informatique 2013
Arnaud ROBERT Consultant en gestion des données à caractère personnel Correspondant Informatique et Libertés (CIL) externe Délégué à la Protection des Données (DPO) 2
Les points abordés -Donnée à caractère personnel, définition -Traitement de donnée à caractère personnel, définition -qui est le responsable des traitements? -La CNIL -Les risques liés au non respect de la loi -les sanctions dans les textes -Le CIL -Droit à l image -dans quels cas formaliser l information des tiers 3
Donnée à caractère personnel: Ce que dit la loi: (article 2 de la loi 78-17 du 6 janvier 1978) " Constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d identification ou à un ou plusieurs éléments qui lui sont propres. Pour déterminer si une personne est identifiable, il convient de considérer l ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accès le responsable du traitement ou toute autre personne ". 4
Donnée à caractère personnel: Identifiée directement: 5
Donnée à caractère personnel: Identifiée indirectement: Votre adresse IP est : 87.22.254.35 6
Traitement de données à caractère personnel: Comment savoir si mon organisme met en œuvre un traitement de données à caractère personnel? Si votre organise: Collecte, Enregistre, Organise, Classe, Conserve, Modifie, Extrait, Consulte, Communique, transfert, Diffuse, Met à disposition, Verrouille, Efface, Détruit. alors au sens de l article 2 de la loi 78-17 du 6 janvier 1978 votre organisme traite des données à caractère personnel et son représentant légal est au sens de la loi «Le Responsable des traitements» 7
Responsable de traitement, on parle de qui? Ce que dit la loi: Article 3 de la loi 78-17 et Dir. 95/46/CE du 24 octobre 1995. Sauf désignation expresse par les dispositions législatives ou réglementaires relatives à ce traitement, la personne, l autorité publique, le service ou l organisme qui détermine ses finalités et ses moyens 1 (L. 1978, art. 3). La personne physique ou morale, l autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d autres, détermine les finalités et les moyens du traitement de données à caractère personnel ; lorsque les finalités et les moyens du traitement sont déterminés par des dispositions législatives ou réglementaires nationales ou communautaires, le responsable du traitement ou les critères spécifiques pour le désigner peuvent être fixés par le droit national ou communautaire(dir. 95/46/CE du 24 octobre 1995). 8
Est un traitement de données à caractère personnel. Des exemples: La gestion du personnel La gestion de la téléphonie La gestion des candidatures (CV) L organisation de concours La gestion des maisons d hôtes 9
Important: Les déclarations des traitements de données à caractère personnel sont Obligatoires et Préalables à la mise en œuvre. 10
Pour déclarer et mettre en œuvre un traitement de données, le responsable de traitement devra être capable de préciser les points suivants: 11
Pour bien déclarer mes traitements et assurer ma conformité à la loi. Descriptif du traitement Service ou direction de mise en œuvre Personnes concernées par le traitement Données traitées Origine des données Personnes, fonctions ayant directement accès aux données Destinataires des données Durée de conservation dans l application Pour mémo Le nom du service (interne ou via prestataire) Usagers, Institutionnels, contacts Nom, prénom, adresse, date de naissance, situation de famille, etc. Formulaire de collecte, site internet, transmission par des tiers, etc. Services internes, comptabilité, partenaires, etc. Interne, externe. Devenir des données à l issue de l utilisation 12
Pour bien déclarer mes traitements et assurer ma conformité à la loi. Descriptif du traitement Conservation Sécurités entourant le traitement Information des personnes Service ou personne chargé de la gestion du droit d accès, opposition, effacement et mise à jour Transfer des données hors UE Outils utilisés pour la collecte Technologie de collecte Pour mémo Destruction, archive intermédiaires, versement aux archives Droits d accès, mot de passe, journalisation des accès, etc. Affichage, mentions, bulletin d information Le service ou la personne doit être identifié pour garantir le respect du droit des personnes Formalités supplémentaires a effectuer Site internet, formulaire papier, etc. Carte à puces, RFID, vidéosurveillance, biométrie, etc. 13
LA CNIL en chiffres Elle est composée de 174 agents librement recrutés par Madame Isabelle FALQUE- PIERROTIN présidente depuis juin 2011. En 2012: 88 990 traitements déclarés 6017 plaintes + 30% par an 3682 demandes d'accès indirect aux fichiers de police et de renseignement 458 contrôles +1500 % en 10 ans 43 mises en demeure 9 avertissements 4 sanctions financières 16 millions d' de budget 14
Les facteurs d aggravation du risque Les risques ne sont pas directement proportionnels au nombre de traitements. Des facteurs d aggravation existent. Le manque d information La méconnaissance de la loi La négligence Le manque ou l absence de contrôle interne Le manque de formation Des croyances persistantes à savoir: Ce n est pas grave la CNIL ne contrôle jamais Je suis un service public c est l état qui est responsable J ai déclaré donc je suis conforme Je ne traite que ce dont j ai besoin Je n ai pas de données personnelles Etc 15
Les risques encourus en cas de nonrespect des obligations. En matière de risques encourus: Le risque lié à l image de structure Le risque pénal pour le responsable de traitements Le risque social Le risque lié au droit du travail (sanctions, licenciements) Le risque financier Les risques liés aux coûts (par exemple développement des outils) 16
Les droits des personnes fichées. Les personnes disposent: D un droit d information: Finalité(s) du traitement, le nom du responsable de traitements, la durée de conservation, les destinataires des données collectées, les éventuels transferts hors de la CEE, les suites données en cas de non-réponse aux demandes d informations. Article 32 de la loi. Un droit d opposition: Toute personne peut s opposer pour des motifs légitimes à figurer dans un fichier. Article 38 de la loi. Un droit d accès: Toute personne à le droit d interroger le responsable de traitements pour savoir s il détient des informations sur elle et le cas échant en avoir communication. Le délai de réponse est de 2 mois. Articles, 39, 41 et 42 de la loi. Un droit de rectification: Toute personne à le droit de faire rectifier les informations la concernant. Article 40 de la loi. 17
Les principes à respecter - Mettre en œuvre un traitement uniquement s il est indispensable et s il n existe pas déjà. -Traiter les données de façon licite et loyale. - Ne traiter que les données qui sont indispensables. - Informer les personnes de leurs droits avant et au moment de la collecte. - Prendre toutes les mesures de sécurité pour préserver la confidentialité des données auxquelles on accède. (mot de passe forts, les documents papier ne sont accessibles qu aux personnes habilitées, ne pas donner son mot de passe aux collègues, se «déloguer» quand on part déjeuner, fermer à clé son bureau, etc. - Chaque nouveau traitement doit être déclaré avant d être mis en œuvre ou conforme aux normes de dispense. 18
Les principes à respecter - Les durées de conservation sont conformes à la finalité du traitement. Les nouveaux outils sont développés en prenant en compte les obligations légales pour le responsable des traitements. Auditer ou faire auditer son organisme pour connaitre son niveau de conformité. 19
Les sanctions prévues pour le responsable des traitements Manquements Défaut de déclaration Non respect des normes et dispenses Utilisation du numéro de sécurité sociale sans décret Défaut d information des personnes au moment de la collecte Utilisation de moyens illicites déloyaux et frauduleux pour collecter Non respect du droit d opposition Sanctions et textes 300000 et 5 ans / article 226-16 du code pénal 300000 et 5 ans / article 226-16-1-A du code pénal 300000 et 5 ans / article 226-16-1 du code pénal 300000 et 5 ans / article 226-17 du code pénal 300000 et 5 ans / article 226-18 du code pénal 300000 et 5 ans / article 226-18-1 du code pénal *De procéder ou de faire procéder 20
Les sanctions prévues pour le responsable des traitements Manquements Non respect de la durée de conservation Détournement de finalité Communication à des tiers non autorisés Entrave à l action de la CNIL Dénonciation au parquet et au procureur de la république Non respect du droit de rectification, mise à jour et effacement Sanctions et textes 300000 et 5 ans / article 226-19 du code pénal 300000 et 5 ans / article 226-21 du code pénal 300000 et 5 ans / article 226-22 du code pénal 15000 et 5 ans / article 50 de la loi Informatique et Libertés 300000 et 5 ans / article 52 de la loi Informatique et Libertés Contravention 5ème classe / article R 625-12 CP *De procéder ou de faire procéder 21
Le Correspondant Informatique et Libertés (CIL) Les bonnes raisons de désigner un CIL 1. Un vecteur de sécurité juridique Le CIL permet de garantir la conformité de votre organisme à la loi «informatique et libertés». Cette maîtrise des risques juridiques est d autant plus importante que certains manquements à la loi du 6 janvier 1978 sont pénalement sanctionnés. 2. Un accès personnalisé aux services de la CNIL Les CILs disposent : d une ligne téléphonique et d une adresse électronique dédiées ; d un extranet proposant des services exclusifs et notamment des forums de discussion et des outils pratiques. 22
Le Correspondant Informatique et Libertés (CIL) Les bonnes raisons de désigner un CIL: 3. Une source de sécurité informatique Parmi les missions du CIL, celui-ci doit s assurer que toutes les précautions utiles ont été prises pour préserver la sécurité des données et, notamment, empêcher qu elles soient déformées, endommagées, ou que des personnes non autorisées y aient accès. 4. La preuve d un engagement éthique et citoyen La désignation d un correspondant témoigne de l engagement de votre organisme en faveur du respect de la vie privée et des droits des personnes dont les données sont traitées. 23
Le Correspondant Informatique et Libertés (CIL) Les bonnes raisons de désigner un CIL: 5. Un facteur de simplification des formalités administratives La désignation d un CIL permet de bénéficier d un allègement considérable des formalités. Votre organisme est exonéré de l obligation de déclaration préalable des traitements ordinaires et courants. Seuls les traitements identifiés comme sensibles dans la loi demeurent soumis à autorisation et continuent à faire l objet de formalités. 6. Un outil de valorisation du patrimoine informationnel En s assurant de la fiabilité des données traitées, le CIL garantit la possibilité de céder, transmettre ou louer les fichiers détenus par votre organisme dans le respect de la loi «informatique et libertés». 24
Le Correspondant Informatique et Libertés (CIL) Les bonnes raisons de désigner un CIL: 7. Un facteur d information au sein de l organisme. La désignation d un CIL permet de diffuser au sein de l organisme, les bonnes pratiques, les bons reflex auprès des utilisateurs. 8. Diminution des coûts liés au développement. Le CIL est intégré aux projets et adapte son cahier des charges pour inclure le plus en amont possible les obligations légales en matière d utilisation des données personnelles. 9. Le CIL audite ou fait auditer les procédures de collecte. Le CIL garantit son action au sein de l organisme en auditant ou en faisant auditer les procédures au sein de l organisme. Son action permet de maintenir et d améliorer la conformité de l organisme et ainsi réduire Le risque juridique. 25
Le Correspondant Informatique et Libertés (CIL) Les bonnes raisons de désigner un CIL: 10. Le CIL est l interlocuteur pour l organisme. Le CIL est celui qui est en mesure de répondre aux demandes d accès des usagers, des collaborateurs, et plus généralement de toute personne concernée par un traitement de données au sein de l organisme. Il assure une réponse aux demandes dans les délais impartis pour et avec le responsable de traitement. 26
Utilisation de l image des personnes. L image d une personne est une donnée à caractère personnel, les principes de la loi "informatique et libertés" s appliquent. La diffusion à partir d un site web, par exemple, de l image ou de la vidéo d une personne doit se faire dans le respect des principes protecteurs de la loi du 6 janvier 1978 modifiée. Ces principes rejoignent les garanties issues du droit à l image. D'une manière générale, la reproduction et la diffusion de l'image ou la vidéo d'une personne doivent respecter les principes issus du droit à l'image et du droit à la vie privée. Les principes issus du droit à l'image: Le droit à l'image permet à toute personne de s'opposer - quelle que soit la nature du support utilisé - à la reproduction et à la diffusion, sans son autorisation expresse, de son image. L'autorisation de la captation ou de la diffusion de l'image d'une personne doit être expresse et suffisamment précise quant aux modalités de l'utilisation de l'image (pour quelle finalité l'autorisation a-t-elle été donnée, quelles sera la durée de l'utilisation de cette image). Dans le cas d'images prises dans les lieux publics, seule l'autorisation des personnes qui sont isolées et reconnaissables est nécessaire. La diffusion, à partir d'un site web, de l'image ou de la vidéo d'une personne doit respecter ces principes. Le non-respect de cette obligation est sanctionné par l'article 226-1 du Code pénal qui prévoit un an d'emprisonnement et 45 000 d'amende. Pour autant, lorsque la capture de l'image d'une personne a été accomplie au vu et au su de l'intéressée sans qu'elle s'y soit opposée alors qu'elle était en mesure de le faire, le consentement de celle-ci est présumé. 27
Utilisation de l image des personnes. La protection de la vie privée: L'article 226-1 du Code pénal punit d'un an d'emprisonnement et 45 000 d'amende le fait de porter atteinte à l'intimité de la vie privée d'autrui en fixant, enregistrant ou transmettant, sans le consentement de celle-ci, l'image d'une personne se trouvant dans un lieu privé. Pour autant, lorsque la capture de l'image d'une personne a été accomplie au vu et au su de l'intéressée sans qu'elle s'y soit opposée alors qu'elle était en mesure de le faire, le consentement de celle-ci est présumé. Par ailleurs, l'article 226-8 du Code pénal punit d'un an emprisonnement et de 15 000 d'amende le fait de publier, par quelque voie que ce soit, le montage réalisé avec l'image d'une personne sans son consentement, s'il n'apparaît pas à l'évidence qu'il s'agit d'un montage ou s'il n'en est pas expressément fait mention. La loi "informatique et libertés" vient compléter les garanties apportées par le droit à l'image et le droit à la vie privée. Les principes de la loi "informatique et libertés" : Dès lors qu'elle se rapporte à une personne identifiée ou identifiable, l'image d'une personne est une donnée à caractère personnel. Le traitement informatique de cette donnée (numérisation, diffusion à partir d'un site web, etc.) doit s'effectuer dans le respect de la loi "informatique et libertés". On relèvera que la loi "informatique et libertés" ne s'applique pas pour l'exercice d'activités purement personnelles ou domestiques. À titre d'exemple, la photographie d'un parent ou d'un ami par un appareil photographique numérique ou par un téléphone portable nouvelle génération et la diffusion de cette image par courrier électronique, par MMS à un nombre limité de correspondants ou par l'intermédiaire d'un site web dont l'accès est restreint, ne rentrent pas dans le champ de compétence de la CNIL. 28
Utilisation de l image des personnes. De la même façon, la photographie et la publication de photographies de personnes identifiables aux seules fins de journalisme ou d'expression artistique ne sont pas soumises aux principales dispositions de la loi du 6 janvier 1978 modifiée dans la seule mesure où ces exceptions s'avèrent nécessaires pour concilier le droit à la vie privée avec les règles régissant la liberté d'expression. La loi "informatique et libertés" s'applique dans tous les autres cas (diffusion de l'image d'une personne par l'intermédiaire d'un site web ouvert au public par exemple) et conduit le responsable du traitement à informer les personnes dont les images sont utilisées de son identité, de la finalité du traitement (diffusion de son image sur un intranet, sur internet, etc.), des personnes destinataires des images et de l'existence d'un droit d'accès et de rectification. Enfin, l'article 38 de la loi reconnaît à toute personne physique le droit de "s'opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l'objet d'un traitement." Ainsi, une personne qui contesterait, par exemple, la diffusion de son image par un site web pourrait s'adresser soit au juge en s'appuyant sur les principes du droit à l'image (obligation de recueil du consentement), soit à la CNIL, après avoir, en application du droit d'opposition, demandé sans succès l'arrêt de cette diffusion au responsable du site. Enfin, on doit relever que la diffusion à partir d'un site web ouvert au public de données à caractère personnel (le nom d'une personne ou son image) constitue un traitement automatisé de données à caractère personnel et est soumise à l'obligation de déclaration prévue à l'article 22 de la loi. 29
Utilisation de l image des personnes. Faites attention au droit à l'image des biens: L exploitation commerciale de l image du bien d autrui est l'un des plus gros casse-têtes juridiques actuels. D'après le Code civil, seul le propriétaire est en droit d'exploiter son bien, sous quelque forme que ce soit. Toutefois, suite à de nombreux procès abusifs, la jurisprudence estime que "le droit de propriété d'un bien situé sur le domaine public et exposé à la vue de tous n'autorise pas son titulaire à s'opposer à l'exploitation de l'image de ce bien, mais permet seulement d'agir contre l'exploitation abusive et préjudiciable de cette image". Pour éviter toute tracasserie, il est recommandé de faire signer une décharge aux propriétaires ou de flouter leurs biens. 30
Utilisation de l image des personnes. Les bonnes pratiques en matière de gestion du droit à l image: - Informer les participants préalablement (bulletin de participation, inscription, jeux-concours, loterie, spectacle, etc.) - Rappeler le droit des personnes avec une mention informatique et libertés complète et exhaustive (nom du responsable de traitement, finalité du traitement, destinataires des données, durée de conservation des données, et modalité pour exercer le droit d accès, modification, suppression et opposition) - Respecter le droit de s'opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l'objet d'un traitement. Article 38 de la loi Informatique et Libertés, Exemple de mention à faire figurer: "Les participants sont informés qu ils sont susceptibles de figurer sur des photographies (plan général de la salle) qui seraient prises à l occasion de cette manifestation pour en illustrer le compte-rendu (publié sur le site de ou par voie de Presse) et en acceptent le principe ". Exemple de mention légale dans les formulaires de collecte: Les informations collectées via le présent formulaire et celles lors de la manifestions (photo, vidéo) font l objet d un traitement informatique destiné à gérer l organisation de la manifestation, illustrer son déroulement sur le site de l Office du Tourisme de ou par voie de presse. Les destinataires sont: les organisateurs, les services en charge des manifestations, les partenaires institutionnelles et/ou commerciales. Le responsable de traitement (M. Mme ) vous assure un droit d accès, de modification, de suppression, et d opposition pour les données à caractère personnel vous concernant que vous pouvez exercer en justifiant de votre identité via courriel:..@...ou par voie postale: adresse. 31
En synthèse Les données personnelles méritent une attention particulière. Les données personnelles doivent être traitées de façon licite et loyale. Les données personnelles doivent faire l objet de mesures de sécurité appropriées. Les données personnelles doivent faire l objet d une durée de conservation adéquate. Les personnes auprès de qui sont collectées les données doivent être informées de la finalité de la collecte, qui est le responsable de traitement et comment exercer leurs droits. Les traitements non dispensés de déclaration doivent être déclarés préalablement à leur mise en œuvre. Ceux dispensés doivent être conformes aux textes. Un nouveau traitement doit être évalué avant sa mise en œuvre. Vérifier que le traitement que vous désirez créer n existe pas déjà dans un autre service. Traiter les données personnelles des autres comme s il s'agissait des vôtres. Un contrôle n est pas qu une question de malchance, c est aussi parfois pour des raisons de non-respect de la loi! 32
Merci de votre attention Des questions? 33