Etude d impact CIL Volet «Effort» F.A.Q Foire Aux Questions

Version 2.2 du 14 octobre 2011 Etude d impact CIL Volet «Effort» F.A.Q Foire Aux Questions Quelles sont vos recommandations pour répondre efficacement au questionnaire?... 2 Je ne suis pas encore désigné CIL : Puis-je répondre?... 2 J ai été CIL mais je ne le suis plus : Puis-je répondre?... 2 Je suis désigné CIL pour plusieurs entités. Comment répondre?... 2 Je suis CIL externe. Comment répondre?... 2 Puis-je répondre plusieurs fois au questionnaire?... 3 Dois-je répondre à toutes les questions?... 3 Puis-je revenir sur les réponses pour les modifier?... 3 Dois-je configurer mon navigateur pour qu il accepte les cookies afin de pouvoir répondre au questionnaire?... 3 Puis-je contacter quelqu un en cas de doute, de question?... 3 Quelle est la définition d un «collaborateur direct» au sens du questionnaire?... 4 Quelle est la définition d un «RIL» au sens du questionnaire?... 4 Quelle est la définition d un «stagiaire» au sens du questionnaire?... 4 Quelle est la définition d un «Cabinet Conseils» au sens du questionnaire?... 4 Dois-je obtenir l accord de ma direction avant de répondre au questionnaire?... 4 Qui est à l origine de cette étude?... 4 Qui finance cette étude?... 4 Quels sont les objectifs de cette étude?... 4 L AFCDP a-t-elle déjà réalisé d autres études sur le CIL?... 5 Quelles peuvent être les biais de cette étude?... 5 Comment est pilotée cette étude?... 5 Quand seront connus les résultats de cette étude?... 5 Qui a conçu le questionnaire?... 5 Quels sont les moyens mis en œuvre pour réaliser cette étude?... 5 Pourquoi cette étude est-elle anonyme?... 6 Comment est assuré l anonymat de cette étude?... 6 Si ce traitement est anonyme, pourquoi l avoir déclaré auprès de la CNIL?... 6 Puis-je exercer mon droit d accès?... 6 Quelles précautions ont-elles été prises concernant la conformité de ce traitement?... 7 Une étude complémentaire portant sur les «Bénéfices» est-elle prévue?... 7 Que deviendront les réponses collectées?... 7 Il manque une question importante, indispensable? Merci de la suggérer par email au Délégué général de l AFCDP Bruno RASLE : charge-mission@afcdp.net Page 1 sur 8

INFORMATIONS VOUS PERMETTANT DE REPONDRE AU QUESTIONNAIRE Quelles sont vos recommandations pour répondre efficacement au questionnaire? Il vaut mieux préparer quelques éléments au préalable. Nous vous recommandons de télécharger le questionnaire intégral dans sa version.pdf afin d en prendre connaissance et de préparer vos réponses. Une fois que vous aurez commencé à répondre, vous pourrez vous interrompre à tout moment et reprendre quand vous le souhaitez (cf. les informations relatives aux cookies qui sont mis en œuvre pour vous donner cette possibilité). Je ne suis pas encore désigné CIL : Puis-je répondre? Non. La majorité des questions s adresse à des CIL désignés. J ai été CIL mais je ne le suis plus : Puis-je répondre? Oui. Vous répondrez dans ce cas en vous replaçant dans vos fonctions, au dernier jour de votre mission. Je suis désigné CIL pour plusieurs entités. Comment répondre? Si ces entités sont totalement différentes (exemple : Vous êtes CIL externe désigné pour plusieurs PME), il vous est possible de renseigner plusieurs questionnaires (pour ce faire, il vous faudra purger vos cookies après avoir totalement validé le questionnaire précédent). Chacun de ces questionnaires portera sur chaque entité. Si au contraire vous considérez que ces différentes entités ont de nombreux points communs (exemple : Vous êtes désigné par plusieurs entités de votre groupe), vous pouvez préférer de ne remplir qu un seul questionnaire (il vous sera demandé pour combien d entités vous êtes désigné). Vous pouvez aussi opter pour une voie médiane, si l une des entités a une spécificité propre (exemple : L une des entités a le statut de banque), en renseignant un questionnaire pour cette filiale particulière et un questionnaire global pour toutes les autres entités. Je suis CIL externe. Comment répondre? Il faut vous placer dans le rôle d un CIL interne, pour votre client considéré (secteur d activité, nombre de collaborateurs, etc.). Vous pouvez renseigner plusieurs questionnaires, autant que de clients qui vous ont désigné CIL (cf. «Puis-je répondre plusieurs fois au questionnaire?»). Pour ce faire, après avoir validé votre questionnaire, merci de purger vos cookies pour pouvoir entrer dans un nouveau questionnaire vierge. Page 2 sur 8

Puis-je répondre plusieurs fois au questionnaire? C est techniquement possible. Après avoir validé définitivement votre questionnaire, il vous suffit de purger vos cookies (cf. les informations relatives aux cookies) et de vous connecter à nouveau sur la page d accueil du questionnaire. Merci de ne pas «polluer» les résultats de l étude : ne renseignez de nouveaux questionnaires que si cela est pertinent (vous êtes CIL externe et vous remplissez un questionnaire par client, vous êtes CIL mutualisé et vous remplissez un questionnaire supplémentaire pour l une de vos filiales qui présente un profil «spécifique», vous avez été CIL par le passé pour une première entité et vous êtes aujourd hui CIL pour une autre entité). Dois-je répondre à toutes les questions? C est recommandé, pour la pertinence de l étude, et la majorité des questions sont obligatoires (un message s affiche pour vous indiquer que vous devez répondre à la question avant de pouvoir poursuivre). Quelques questions sont cependant facultatives. Puis-je revenir sur les réponses pour les modifier? Oui, que ce soit au sein d une session ou lors d une reprise Attention! Votre navigateur doit accepter les cookies Wysuforms. Les cookies vous permettent de reprendre votre questionnaire à l endroit où vous vous êtes arrêté. Dois-je configurer mon navigateur pour qu il accepte les cookies afin de pouvoir répondre au questionnaire? Oui. Le fait d accepter les cookies mis en œuvre dans le cadre de ce traitement vous permet de suspendre votre questionnaire et de le reprendre quand vous le souhaitez. Le questionnaire est hébergé par un prestataire français (WysuForms) qui place des cookies persistants (qui restent sur votre poste). Les cookies WysuForms ne sont pas conçus à partir de l'adresse IP du répondant mais générés de façon aléatoire et unique, sans corrélation avec une caractéristique héritée de l'équipement terminal ou de la connexion avec le répondant (les adresses IP ne sont pas traitées) Les cookies WysuForms ne contiennent aucune information sur les réponses qui ont été apportées aux questions. Les cookies persistants ont pour finalité 1) d éviter les doublons de réponses 2) de gérer les reprises de questionnaires en cours. Les cookies persistants ont une durée de vie de trois mois. Puis-je contacter quelqu un en cas de doute, de question? Vous pouvez adresser un email au Délégué général de l AFCDP : charge-mission@afcdp.net Page 3 sur 8

Quelle est la définition d un «collaborateur direct» au sens du questionnaire? Il s agit d une personne sur laquelle vous pouvez vous appuyer dans vos missions de CIL. Ne pas comptabiliser parmi elles les éventuels stagiaires (une question leur est dédiée) ni vos RIL (Relais «Informatique et Libertés»). Une question leur est également dédiée. Quelle est la définition d un «RIL» au sens du questionnaire? Les RIL (Relais «Informatique et Libertés») sont vos yeux et vos oreilles au sein des directions opérationnelles et des services déconcentrés (directions régionales, filiales, etc.). Quelle est la définition d un «stagiaire» au sens du questionnaire? Il s agit d une personne qui n est pas considérée comme un collaborateur permanent et qui effectue une mission dans votre organisme dans le cadre d une formation (initiale ou professionnelle). Quelle est la définition d un «Cabinet Conseils» au sens du questionnaire? Il s agit d un cabinet d avocats, d une société de conseils en technologies de l information, de cabinets de conseils spécialisés «Informatique et Libertés», de consultants indépendants, etc. Dois-je obtenir l accord de ma direction avant de répondre au questionnaire? Ce n est pas nécessaire, ce questionnaire étant totalement anonyme. De plus, nous rappelons l indépendance du CIL. INFORMATIONS CONCERNANT L ETUDE Qui est à l origine de cette étude? Cette étude est menée par l AFCDP. Ses modalités de mise en œuvre ont fait l objet d échanges avec les services de la CNIL. Qui finance cette étude? Cette étude est réalisée sur les fonds propres de l AFCDP, dont les seules ressources sont les cotisations de ses Membres. Quels sont les objectifs de cette étude? Dans le cadre de la révision de la Directive 95/46/CE et en sa qualité d association représentative de la fonction de Correspondant Informatique et Libertés, l AFCDP réalise une étude d impact sur la présence d un CIL au sein d un organisme pour disposer d éléments permettant de nourrir le débat à venir concernant l éventuelle obligation de désigner un délégué à la protection des données personnelles. L étude envisagée permettrait entre autre ; Page 4 sur 8

- d obtenir une indication du budget global qu un CIL représente pour un Responsable de traitement, et quels sont les critères (s ils en existent) qui influencent son montant ; - de valoriser les principales composantes de ce budget (coûts salariaux, formation, outils, etc.) ; - d évaluer s il n existe pas un risque de faire supporter aux organismes concernés une charge disproportionnée par rapport aux buts poursuivis ; - de disposer d éléments de Benchmarking (au niveau national mais également vis-à-vis d autres états membres). L AFCDP a-t-elle déjà réalisé d autres études sur le CIL? L AFCDP a réalisé plusieurs études auprès de ses Membres, parmi lesquelles «Comment préparer une désignation de CIL?» et «Comment voyez-vous le CIL du futur?». L AFCDP a également soutenu l étude réalisée par Mlle Aurélie Goyer, CIL du CNAM, dans le cadre de son Mastère Spécialisé «Informatique et Libertés» de l ISEP, thèse professionnelle intitulée «Donne-t-on au CIL les moyens d'être efficace?» (Meilleure thèse professionnelle 2009). Quelles peuvent être les biais de cette étude? Les biais peuvent provenir d un nombre limité de répondants, d une sur ou sous représentation de certaines catégories de répondants, d un manque de pertinence des réponses. Comment est pilotée cette étude? Cette étude est pilotée par le Délégué général de l AFCDP, Bruno RASLE, qui bénéficie du soutien d un Membre statisticien de formation, Monsieur Laurent GLANDAIS. La supervision est assurée par un Administrateur de l AFCDP, Monsieur Patrick BLUM (CIL de l ESSEC). Quand seront connus les résultats de cette étude? L objectif est de disposer de premiers résultats suffisamment tôt pour nourrir la contribution de l AFCDP auprès de la Commission européenne. Il est probable que des résultats synthétiques de l étude soient publiés le 27 janvier 2012 (veille de la journée européenne de la protection des données personnelles), à l occasion de la 6 ème Université AFCDP des Correspondants Informatique et Libertés. Qui a conçu le questionnaire? Le questionnaire a été conçu conjointement par Messieurs Patrick Blum, Laurent Glandais et Bruno Rasle. Quels sont les moyens mis en œuvre pour réaliser cette étude? L AFCDP a opté pour un sondage en ligne, en mode SaaS, sur une plate-forme mise à disposition par un prestataire basé en France (et qui traite les données en France), sous https (certificat non auto-signé), de façon totalement anonyme. Le prestataire sélectionné est la société WysuForms. Page 5 sur 8

Pourquoi cette étude est-elle anonyme? Cette approche permet d inciter la totalité des CIL à participer à l enquête, qu ils soient Membres de l AFCDP ou pas. Elle permet également d espérer un taux de réponse élevé, malgré la sensibilité de certaines questions. Comment est assuré l anonymat de cette étude? Le répondant qui se connecte sur l URL en flux chiffré (SSL) n a pas à s identifier. La plateforme ne collecte ou n enregistre aucune caractéristique du terminal de communication (et en aucun cas l adresse IP). Les cookies générés par l application pour permettre au répondant d interrompre le questionnaire pour y revenir plus tard sont générés de façon aléatoire. Ces cookies sont sans corrélation avec une caractéristique héritée de l'équipement terminal ou de la connexion avec le répondant (les adresses IP ne sont pas traitées) Les cookies ne contiennent aucune information sur les réponses qui ont été apportées aux questions. Certaines questions ont été modifiées de façon à limiter le risque d identifier un CIL par un «cas isolé» (exemple des secteurs d activité, ramenés à un faible nombre de grands secteurs). Une ségrégation est assurée par l architecture de la plate-forme : l AFCDP n a pas accès aux cookies mais uniquement aux questionnaires renseignés, tandis que le prestataire n a pas accès aux réponses (hors opération spécifique de maintenance ou de support, sous le contrôle de l AFCDP). L ensemble des informations sera purgé un mois après la fin de l enquête dans l infrastructure du prestataire. Si ce traitement est anonyme, pourquoi l avoir déclaré auprès de la CNIL? L article 2 de la Loi Informatique et Libertés, qui définit la données à caractère personnel, indique que «Pour déterminer si une personne est identifiable, il convient de considérer l ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accès le responsable du traitement ou toute autre personne». Si les données nous semblent aujourd hui anonymes, qui peut dire s il ne serait pas possible à un tiers, aujourd hui ou dans le futur, de réussir à ré-identifier les répondants? Par précaution, le responsable de traitement de l AFCDP (son Président), a préféré déclarer ce traitement auprès de la CNIL. Puis-je exercer mon droit d accès? Certes vous le pouvez (par courrier postal, auprès de l AFCDP, Secrétaire général, 1 rue de Stockholm 75006 Paris). Mais l étude étant anonyme, nous ne serons pas en mesure d identifier vos réponses, et donc de répondre avec pertinence à votre demande. Page 6 sur 8

Quelles précautions ont-elles été prises concernant la conformité de ce traitement? L AFCDP a opté pour un traitement intégralement sous https (avec certificat SSL délivré par un tiers certificateur. L intégralité des données (y compris les cookies) est traitée en France. Par contrat le prestataire s est engagé à informer l AFCDP de tout incident de sécurité pouvant mettre en péril les données collectées, à considérer comme confidentielles les informations saisies par les répondants, à protéger avec le plus grand soin et à ne pas divulguer à des tiers ces informations. Une déclaration a été effectuée auprès de la CNIL. La page d accueil du questionnaire comporte des mentions d informations (dont cette FAQ fait partie), indique l identité du Responsable de traitement (l AFCDP), la finalité du traitement (réaliser une étude d impact du coût d un CIL pour un Responsable de traitement) et rappelle leurs droits aux personnes concernées. La durée de conservation (en archives courantes) des données collectées est de trois ans à l issue de l enquête. Les données collectées (réponses anonymes) ne seront communiquées à aucun destinataire. Une étude complémentaire portant sur les «Bénéfices» est-elle prévue? Un second volet, complémentaire, est en effet prévu. Il porterait sur les bénéfices retirés par l organisme (et par les personnes concernées) de la désignation d un CIL. L AFCDP a identifié des points qui l ont conduite à dissocier les deux volets. Parmi ceux-ci citons le fait qu il s agira principalement d indicateurs qualitatifs (et non quantitatifs), et le fait du décalage temporel entre la «dépense» (la désignation du CIL) et la perception/constatation des «bénéfices» induits. Que deviendront les réponses collectées? Les réponses seront détruites chez le prestataire un mois après la fin de la campagne. Au préalable, l intégralité des réponses et des questionnaires anonymes aura été sauvegardée par l AFCDP, qui procédera à leur analyse. La durée de conservation (en archives courantes) des données collectées est de trois ans à l issue de la fin de l enquête. Les données collectées (réponses anonymes) ne seront communiquées à aucun destinataire. L analyse sera présentée au Conseil d administration de l AFCDP et participera des réflexions qui mèneront à une contribution, seule ou conjointe avec le CEDPO (Confederation of European Data Protection Organizations), auprès de la Commission européenne, dans le cadre de la révision de la Directive L analyse sera également communiquée à la CNIL, qui accompagne la réalisation de cette étude, et aux personnes qui en ont fait la demande. Il manque une question importante, indispensable? Merci de la suggérer par email au Délégué général de l AFCDP Bruno RASLE : charge-mission@afcdp.net Page 7 sur 8

AFCDP ASSOCIATION FRANCAISE DES CORRESPONDANTS A LA PROTECTION DES DONNEES A CARACTERE PERSONNEL L AFCDP, Association Française des Correspondants à la Protection des Données, a été créée en 2004 suite à la réforme de la loi du 6 janvier 1978 sur la protection des données à caractère personnel, qui a donné naissance à la fonction de DPO («Correspondant à la protection des données à caractère personnel» également appelé CIL, «Correspondant Informatique & Libertés»). L AFCDP est un lieu d échange qui accueille toute personne intéressée par la protection des données à caractère personnel : CIL, chargés de la protection des données, avocats, responsables ressources humaines, DSI, RSSI, directeurs qualité et directeurs conformité, professionnels du e-commerce et du marketing Plus de 1.000 personnes ont déjà rejoint cette association à but non lucratif. L AFCDP encourage la discussion et les échanges d informations en matière de protection des données personnelles en vue de faciliter la communication entre ses membres et de promouvoir les meilleures pratiques. L AFCDP entretient un dialogue avec la CNIL et d autres autorités concernées au niveau français et européen par la protection des données personnelles. Contacts : Paul-Olivier Gibert, Président president@afcdp.net / Bruno Rasle, Délégué Général - Tel : + 33(0) 6. 1234. 0884 - charge-mission@afcdp.net Site Web : 6ème UNIVERSITE AFCDP DES CORRESPONDANTS INFORMATIQUE ET LIBERTES - Vendredi 27 janvier 2012 Pourquoi ai-je désigné un CIL? Un Responsable de traitement témoigne Comment "vendre" les efforts de conformité à sa direction? Conformité Informatique et Libertés et Responsabilité sociale : la vision d'un syndicat concernant la protection de la vie privée dans le cadre du travail Un métier de passion : CIL, ou «Ne dites pas à ma mère que je suis CIL, elle me croit pianiste dans un dancing» Cloud Computing et Contrat SaaS Que rôle pour le CIL? L avenir des CIL se dessine à Bruxelles Analyse pratique d une politique du "gros bâton" : les sanctions de l autorité de contrôle espagnole Le quotidien d'un CIL dans le secteur Social Mise en œuvre du vote électronique : un beau défi pour un CIL Anonymat versus anonymisation des données de santé : mythe ou réalité? Sécurisation des bases de données La conformité Informatique et Libertés des collectivités locales BYOD (Bring Your Own Device)! Quand les nouveaux usages mettent à mal les règles établies Alertes professionnelles : de l'autorisation unique à l autorisation spécifique Anonymisation des jeux de test Biométrie : L expérimentation du Centre Oscar Lambret Recruter sans discriminer Flux transfrontières Point d avancement des travaux du groupe de réflexion éponyme de l AFCDP e-commerce, cookies et traçabilité comportementale Conformité à la loi Informatique et Libertés des Réseaux Sociaux Organiser une lutte contre la fraude efficace en toute conformité avec la loi Informatique et Libertés Privacy by RE-Design, ou comment mettre en conformité les outils existants? Page 8 sur 8