LES OUTILS. Connaître et appliquer la loi Informatique et Libertés

LES OUTILS Connaître et appliquer la loi Informatique et Libertés SEPTEMBRE 2011

QUE FAUT-IL DÉCLARER? Tous les fichiers informatiques contenant des données à caractère personnel sont soumis à la Loi Informatique et Libertés et doivent notamment être déclarés à la CNIL avant leur mise en œuvre. Cela peut donc concerner aussi bien des tableaux excel, que des programmes informatiques plus élaborés. Chaque fichier doit faire l objet d une déclaration. Cela vise également tous les fichiers d une entreprise, quels que soient le service utilisateur ou les personnes recensées dans ces fichiers (ex : salariés dans les fichiers du service des ressources humaines, prospects et clients dans les fichiers du service commercial). Source : Loi Informatique et Libertés n 78-18 du 06/01/78 modifiée le 06/08/2004 Dans le cadre des déclarations à effectuer, il faut distinguer les termes suivants : Donnée à caractère personnel : toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d identification ou à un ou plusieurs éléments qui lui sont propres. Pour déterminer si une personne est identifiable, il convient de considérer l ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accès le Responsable de Traitement ou toute autre personne. Destinataire des données : toute personne habilitée à recevoir communication de ces données, autre que la personne concernée, le Responsable de Traitement, le sous-traitant et les personnes qui, en raison de leur fonction, sont chargées de traiter les données. Traitement : toute opération ou tout ensemble d opérations portant sur de telles données, quel que soit le procédé utilisé, et notamment la collecte, l enregistrement, l organisation, la conservation, l adaptation ou la modification, l extraction, la consultation, l utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l interconnexion, ainsi que le verrouillage, l effacement ou la destruction (ex : collecte et enregistrement d adresses clients). Finalité du Traitement : le but de la collecte de ces données doit être déterminé, explicite et légitime (ex : prospection et gestion commerciale ; gestion du personnel). www.cnil.fr Responsable de Traitement : la personne, l autorité publique, le service ou l organisme qui détermine les finalités et les moyens du Traitement (ex : la société personne morale utilisatrice du Traitement). 2 Les Outils

COMMENT DÉCLARER? Au préalable, il convient de dresser et maintenir à jour dans votre entreprise un inventaire de tous vos Traitements (cf. modèle sur la pochette, fichier téléchargeable sur www.domaines-skiables.fr). Pour procéder aux déclarations CNIL correspondant à vos traitements, vous disposez de 2 possibilités : m Envoi des formulaires (2 exemples joints en annexe, ou téléchargeables à partir du site www.cnil.fr) complétés à la CNIL : 8, rue Vivienne - CS 30223-75083 Paris cedex 02. m Envoi d une déclaration en ligne sur le site www.cnil.fr : Le traitement de votre demande par la CNIL sera plus rapide en suivant cette procédure. Correspondant Informatique et Libertés (CIL). Depuis 2004, tous les Responsables de Traitement peuvent recourir à cette formule, qu ils soient publics ou privés. La désignation d un CIL a pour effet de dispenser les Responsables de Traitement de l accomplissement de tout ou partie des formalités préalables leur incombant. Ainsi, une fois le CIL désigné, seuls les Traitements soumis à autorisation ou avis préalable de la CNIL doivent continuer à être déclarés. Les autres Traitements, qui ne comportent pas de risques manifestes pour les droits des personnes, n ont qu à être référencés dans une liste tenue par le CIL. La CNIL doit vous adresser un récépissé sur lequel figurera le numéro d identification de votre déclaration (Document à conserver). Le CIL joue le rôle d interlocuteur entre la CNIL et le Responsable de Traitement, pour mieux assurer les obligations qui incombent à l entreprise en application de la loi Informatique et Libertés. Mais la désignation d un CIL n exonère en aucun cas le Responsable de Traitement de ses responsabilités. ATTENTION : le fait de recevoir ce récépissé de la CNIL n exonère pas le Responsable de Traitement de toute responsabilité. Un contrôle de la CNIL est toujours possible et le Responsable de Traitement doit veiller à appliquer strictement les engagements pris dans ses déclarations CNIL et d une manière générale les dispositions de la Loi Informatique et Libertés lors de l utilisation de ses fichiers. > NÉCESSITE D ORGANISER UN SUIVI ET DE CONTRÔLER LA CONFORMITÉ DES UTILISATIONS DES FICHIERS PAR RAPPORT AUX TERMES DES DÉCLARATIONS CNIL ET PLUS LARGEMENT DE LA LOI INFORMATIQUE ET LIBERTÉS. En cas d évolution dans le fonctionnement des fichiers déclarés, il convient d effectuer une déclaration de modification auprès de la CNIL. Pour plus d informations, se reporter au guide du CIL édité par la CNIL en 2006, téléchargeable à l adresse suivante : http://www.cnil.fr/fileadmin/documents/ Guides_pratiques/CNIL_Guide_correspondants. pdf Septembre 2011 3

INFORMER, C EST OBLIGATOIRE! Le Responsable de Traitement doit permettre aux personnes concernées d exercer pleinement leurs droits. Le Responsable de Traitement doit informer les personnes concernées : m de son identité ; m de la finalité de son Traitement (ex : gestion du personnel, prospection commerciale ) ; m du caractère obligatoire ou facultatif des informations qu il collecte ; m des Destinataires de ces informations ; m des transmissions envisagées ; m des modalités d exercice des droits reconnus aux personnes fichées (droits d accès, de rectification et d opposition pour motifs légitimes). Cette information doit être donnée au moment où sont collectées les données (ex : bon de commande, souscription d un abonnement, questionnaire ). Les mentions d information à l attention des personnes fichées doivent ainsi figurer sur les formulaires utilisés pour collecter les données (cf. article 32 de la loi informatique et libertés). MODÈLES DE MENTIONS CNIL: Plusieurs modèles de mentions sont accessibles sur le site de la CNIL à l adresse suivante : http://www.cnil.fr/vos-responsabilites/informations-legales/ Pour plus d informations sur le droit d accès dont disposent toutes les personnes fichées, se reporter au guide du droit d accès édité par la CNIL en 2010, téléchargeable à l adresse suivante : http://www.cnil.fr/fileadmin/documents/ Guides_pratiques/CNIL_Droit_d_acces.pdf 4 Les Outils

Parmi les modèles proposés, nous avons sélectionné trois exemples de mentions, figurant ci-après : FORMULAIRE DE COLLECTE DE DONNÉES À CARACTÈRE PERSONNEL «(Veuillez indiquer l identité du Responsable de Traitement) Les informations recueillies font l objet d un Traitement informatique destiné à (Veuillez préciser la Finalité). Les destinataires des données sont : (précisez). Conformément à la loi «Informatique et Libertés» du 6 janvier 1978 modifiée le 6 août 2004, vous bénéficiez d un droit d accès et de rectification aux informations qui vous concernent, que vous pouvez exercer en vous adressant à (Veuillez préciser le service et l adresse). Vous pouvez également, pour des motifs légitimes, vous opposer au traitement des données vous concernant.» NOTE D INFORMATION À AFFICHER «Le(s) service(s) (Veuillez citer le nom du ou des services responsables du Traitement) dispose(nt) de moyens informatiques destinés à gérer plus facilement (Veuillez indiquer la finalité du Traitement). Les informations enregistrées sont réservées à l usage du (ou des) service(s) concerné(s) et ne peuvent être communiquées qu aux destinataires suivants : (Veuillez préciser les Destinataires). Conformément aux articles 39 et suivants de la loi n 78-17 du 6 janvier 1978 modifiée le 6 août 2004 relative à l informatique, aux fichiers et aux libertés, toute personne peut obtenir communication et, le cas échéant, rectification ou suppression des informations la concernant, en s adressant au service (Veuillez citer le nom du service ou des services concernés).» VIDÉOSURVEILLANCE : PANNEAU D INFORMATION Ce panneau doit être situé à l entrée de l établissement et visible par les salariés et les personnes extérieures. «Établissement sous vidéosurveillance (représentation graphique d une caméra). Nous vous informons que cet établissement est placé sous vidéosurveillance pour des raisons de (indiquer les Finalités poursuivies). Pour tout renseignement, s adresser à (identifier la personne ou le service compétent), auprès duquel vous pouvez également exercer votre droit d accès, conformément à la loi n 78-17 du 6 janvier 1978 relative à l informatique, aux fichiers et aux libertés, modifiée le 6 août 2004.» Septembre 2011 5

SÉCURISER LES DONNÉES À CARACTÈRE PER LA SÉCURITÉ DES TRAITEMENTS Tout Responsable de Traitement doit adopter des mesures de sécurité physiques (sécurité des locaux), logiques (sécurité des systèmes d information) et adaptées à la nature des données et aux risques présentés par le Traitement. m Protéger les accès aux locaux et au système informatique ; m Prévoir une politique d habilitation des personnes utilisatrices des fichiers (cette habilitation doit pouvoir être justifiée selon le poste de travail concerné) et de protection d accès (ex : mot de passe). Le non-respect de l obligation de sécurité est sanctionné de 5 ans d emprisonnement et de 300 000 d amende (Art. 226-17 du Code pénal). LA CONFIDENTIALITÉ DES DONNÉES Pour plus d informations sur la sécurité des systèmes d information, se référer à l adresse suivante : http://www.cnil.fr/la-cnil/actu-cnil/article/ article/10-conseils-pour-securiser-votresysteme-dinformation-1/ Seules les personnes autorisées peuvent accéder aux Données à caractère personnel contenues dans un fichier. Il s agit des Destinataires explicitement désignés dans votre déclaration CNIL pour en obtenir régulièrement communication. La communication d informations à des personnes non-autorisées est punie de 5 ans d emprisonnement et de 300 000 d amende. La divulgation d informations commise par imprudence ou négligence est punie de 3 ans d emprisonnement et de 100 000 d amende. (Art. 226-22 du Code pénal). Dans le cas où des prestataires (notamment prestataires informatiques) auraient accès à ces données, il est vivement conseillé d intégrer une clause de confidentialité dans les contrats conclus avec ces derniers. 6 Les Outils

SONNEL MODÈLE DE CLAUSE DE CONFIDENTIALITÉ POUVANT ÊTRE UTILISÉE EN CAS DE SOUS-TRAITANCE Extrait : «Les supports informatiques et documents fournis par la société X à la société Y restent la propriété de la société X. Les données contenues dans ces supports et documents sont strictement couvertes par le secret professionnel (Art. 226-13 du Code pénal), il en va de même pour toutes les données dont Y prend connaissance à l occasion de l exécution du présent contrat. Conformément à l article 34 de la loi Informatique et Libertés modifiée, Y s engage à prendre toutes précautions utiles afin de préserver la sécurité des informations et notamment d empêcher qu elles ne soient déformées, endommagées ou communiquées à des personnes non autorisées. Y s engage donc à respecter les obligations suivantes et à les faire respecter par son personnel : m ne prendre aucune copie des documents et supports d informations qui lui sont confiés, à l exception de celles nécessaires à l exécution de la présente prestation prévue au contrat, l accord préalable du maître du fichier est nécessaire ; m ne pas utiliser les documents et informations traités à des fins autres que celles spécifiées au présent contrat ; m ne pas divulguer ces documents ou informations à d autres personnes, qu il s agisse de personnes privées ou publiques, physiques ou morales ; m prendre toutes mesures permettant d éviter toute utilisation détournée ou frauduleuse des fichiers informatiques en cours d exécution du contrat ; m prendre toutes mesures de sécurité, notamment matérielles, pour assurer la conservation et l intégrité des documents et informations traités pendant la durée du présent contrat ; m et en fin de contrat, à procéder à la destruction de tous fichiers manuels ou informatisés stockant les informations saisies. À ce titre, Y ne pourra sous-traiter l exécution des prestations à une autre société, ni procéder à une cession de marché sans l accord préalable de X. X se réserve le droit de procéder à toute vérification qui lui paraîtrait utile pour constater le respect des obligations précitées par Y. En cas de non-respect des dispositions précitées, la responsabilité du titulaire peut être également engagée sur la base des dispositions des articles 226-17 et 226-22 du Code pénal. X pourra prononcer la résiliation immédiate du contrat, sans indemnité en faveur du titulaire, en cas de violation du secret professionnel ou de non-respect des dispositions précitées». Pour plus d informations, se référer à l adresse suivante : http://m.cnil.fr/la-cnil/actualite/actualite/ article/sous-traitance-modeles-de-clauses-deconfidentialite/ Septembre 2011 7

SÉCURISER LES DONNÉES À CARACTÈRE PERSONNEL LA DURÉE DE CONSERVATION DES DONNÉES À CARACTÈRE PERSONNEL Les Données à caractère personnel ont une date de péremption. Le Responsable de Traitement fixe, dans ses déclarations CNIL, une durée de conservation raisonnable en fonction de l objectif du Traitement. Le Code pénal sanctionne la conservation des données pour une durée supérieure à celle qui a été déclarée de 5 ans d emprisonnement et de 300 000 d amende. (Art. 226-20 du Code pénal). > IL EST DONC ESSENTIEL DE VEILLER À RESPECTER LES DURÉES DE CONSERVA- TION INDIQUÉES SUR LES DÉCLARATIONS, EN PROCÉDANT AUX EFFACEMENTS/ MISES À JOUR DES BASES DE DONNÉES RÉGULIÈREMENT. DANS QUELLE MESURE PEUT-ON ARCHIVER LES DONNÉES À CARACTÈRE PERSONNEL? Il existe trois types d archivage : m l archivage courant : il s agit des données d utilisation courante par les services concernés de l entreprise. Il correspond aux durées de conservation indiquées dans les textes de la CNIL et déclarations adressées à cette dernière. m l archivage intermédiaire : il vise les données qui présentent encore pour les services concernés un intérêt administratif, comme par exemple en cas de contentieux, et dont les durées de conservation sont fixées par les règles de prescription applicables. L accès à ces données doit être limité à un service spécifique et il doit être procédé a minima à un isolement des données archivées au moyen d une séparation logique (gestion des droits d accès et habilitations). Pour plus d informations, se référer à : http://www.cnil.fr/en-savoir-plus/ deliberations/deliberation/delib/76/ m l archivage définitif : il s agit exclusivement des données présentant un intérêt scientifique, historique ou statistique justifiant qu elles ne fassent l objet d aucune destruction. Elles doivent alors être conservées sur un support indépendant, n autorisant qu un accès distinct, ponctuel et précisément motivé auprès d un service spécifique seul habilité à consulter ce type d archives. 8 Les Outils

QUELS SONT LES RISQUES? La CNIL peut procéder à des vérifications sur place. POUVOIR DE CONTRÔLE ET DE SANCTIONS DE LA CNIL La formation restreinte de la CNIL peut prononcer diverses sanctions graduées : avertissement, mise en demeure, sanctions pécuniaires, injonction de cesser le Traitement. Le montant des sanctions pécuniaires peut atteindre 150 000 e lors du premier manquement constaté puis 300 000 e, ou 5 % du chiffre d affaires hors taxes du dernier exercice, dans la limite de 300 000 e, pour une entreprise. Le montant de ces sanctions est «proportionné à la gravité des manquements commis et aux avantages tirés de ce manquement». La CNIL peut également dénoncer pénalement les infractions à la loi dont elle a connaissance au procureur de la République. RISQUE D ACTIONS JUDICIAIRES Comme indiqué ci-avant, il existe plusieurs types de délits pouvant être sanctionnés par une amende conséquente. Exemples : m Non-déclaration d un fichier : Le non-accomplissement des formalités auprès de la CNIL est sanctionné de 5 ans d emprisonnement et 300 000 d amende (Art. 226-16 du Code pénal). m Respect des droits des personnes : Le refus ou l entrave au bon exercice des droits des personnes est puni de 1 500 par infraction constatée et 3 000 en cas de récidive (Art. 131-13 du Code pénal). En janvier 2011, la CNIL et la DGCCRF ont signé un protocole de coopération permettant un échange d informations entre ces deux autorités, afin de renforcer leurs actions de contrôle. Concrètement, ce protocole vise les fichiers de Données à caractère personnel des consommateurs sur Internet. Il permet à la DGCCRF de signaler tout manquement à la CNIL, qui décide alors des sanctions à appliquer. IMPACT MÉDIATIQUE Septembre 2011 9

FOCUS SUR LES RÈGLES DE PROSPECTION EN Source : Loi sur la Confiance dans l Économie Numérique (LCEN) n 2004-575 du 21 juin 2004. PROSPECTION PAR MAIL, FAX ET TÉLÉPHONE Principe : Pas de message commercial sans accord préalable du destinataire. C est le système de l Opt-in. Lors du recueil des Données à caractère personnel, il faut par conséquent demander au client l autorisation de lui envoyer des offres commerciales par téléphone, mail ou fax. Le client doit donner son accord de manière «positive» (au moyen d une case à cocher) : les cases pré-cochées sont donc à proscrire. Modèle de mentions LCEN (source : www.cnil.fr) : Cession des e-mails des personnes (Opt-in) «Ces informations sont nécessaires à notre société pour traiter votre demande. Elles sont enregistrées dans notre fichier de clients et peuvent donner lieu à l exercice du droit d accès et de rectification auprès de notre service clientèle. Si vous souhaitez recevoir des propositions commerciales de nos partenaires par voie électronique, merci de cocher la case ci-contre o.» Deux exceptions : m 1. Le recueil de l accord préalable de la personne concernée n est pas obligatoire lorsque cette dernière a déjà acquis des biens ou services analogues auprès de l entreprise. Modèle de mentions LCEN (source : www.cnil.fr) : Réutilisation d adresses électroniques pour proposer des biens ou des services analogues «Vous êtes susceptibles de recevoir des offres commerciales de notre société pour des produits et services analogues à ceux que vous avez commandés. Si vous ne le souhaitez pas, cochez la case ci-contre o.» m 2. Le message commercial est destiné à une adresse professionnelle et en rapport avec la profession de la personne démarchée. Pour ces deux exceptions, il suffit d informer préalablement l interlocuteur de la possibilité d utiliser ses données (mail, tel, fax) à des fins de prospection commerciale et de lui rappeler comment il peut exercer son droit d opposition. > INFORMATION PRÉALABLE + DROIT D OPPOSITION 10 Les Outils

MATIÈRE COMMERCIALE PROSPECTION PAR COURRIER POSTAL : Principe : information préalable et droit d opposition. Modèle de mentions LCEN (source : www.cnil.fr) : Cession de données à des partenaires hors e-mail (Opt-out) «Ces informations sont nécessaires à notre société pour traiter votre demande. Elles sont enregistrées dans notre fichier de clients et peuvent donner lieu à l exercice du droit d accès et de rectification auprès de notre service clientèle (précisez ici les coordonnées de ce service). Si vous ne souhaitez pas que vos données soient utilisées par nos partenaires à des fins de prospection, veuillez cocher la case ci-contre o.» QUELS SONT LES RISQUES? Amende de 750 par message expédié (articles L 34-5 et R10-1 du Code des postes et communications électroniques). Septembre 2011 11

SNTF - Alpespace / Bâtiment Annapurna 24 rue St Exupéry 73800 FRANCIN (F) Tél. : 04 79 26 60 70 Fax : 04 79 96 08 71 info@domaines-skiables.fr www.domaines-skiables.fr