Norme simplifiée n°060
Délibération n° 2017-291 du 16 novembre 2017 portant adoption d'une norme relative aux traitements mis en œuvre par les administrateurs judiciaires et les mandataires judiciaires
(NS-060)

Extrait du Journal officiel électronique authentifié PDF - 240,5 Ko La Commission nationale de l'informatique et des libertés, Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu le code de commerce, notamment les chapitres 1 et 2 du titre 1 du livre VIII et les articles L. 611-3, L. 641-9, L. 811-1, L. 814-1 et son annexe 8-2 ; Vu le code civil ; Vu le code de procédure pénale, notamment son article 706-43 ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 24-I ; Vu le décret n° 91-1404 du 27 décembre 1991 autorisant l'utilisation du répertoire national d'identification des personnes physiques par les employeurs dans les traitements automatisés de la paie et de la gestion du personnel ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2015-999 du 17 août 2015 relatif aux procédures judiciaires applicables aux copropriétés en difficulté ; Vu les délibérations de la commission n° 2004-096 et n° 2004-097 du 9 décembre 2004 décidant la dispense de déclaration des traitements de gestion des rémunérations mis en œuvre par l'Etat, les collectivités locales, les établissements publics et les personnes morales de droit privé gérant un service public et les personnes morales de droit privé autres que celles gérant un service public, Après avoir entendu Mme Sylvie ROBERT, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations, Formule les observations suivantes : Conformément à l'article L. 811-1 du code de commerce, les administrateurs judiciaires sont les mandataires, personnes physiques ou morales, chargés par décision de justice d'administrer les biens d'autrui ou d'exercer des fonctions d'assistance ou de surveillance dans la gestion de ces biens. Aux termes de l'article L. 812-1 dudit code, les mandataires judiciaires sont les mandataires, personnes physiques ou morales, chargés par décision de justice de représenter les créanciers et de procéder à la liquidation d'une entreprise dans les conditions définies par le titre II du livre VI du code de commerce. Ces professionnels sont inscrits sur une liste nationale. Toutefois, en application des articles L. 811-2 et L. 812-2 du code de commerce, des personnes n'étant pas inscrites sur ladite liste peuvent être désignées, par décision motivée du juge, comme faisant fonction d'administrateur judiciaire ou de mandataire judiciaire. Dans le cadre de leurs activités d'administration ou de représentation ès-qualités de personnes morales ou physiques, les administrateurs judiciaires, les mandataires judiciaires ou les personnes désignées hors liste (ci-après les professionnels ) sont amenés à mettre en œuvre des traitements de données à caractère personnel. En application de l'article 24-I de la loi du 6 janvier 1978 modifiée, la Commission est habilitée à établir des normes destinées à simplifier l'obligation de déclaration des traitements les plus courants et dont la mise en œuvre, dans des conditions régulières, n'est pas susceptible de porter atteinte à la vie privée ou aux libertés. La commission estime que les traitements mis en œuvre par les administrateurs judiciaires et les mandataires judiciaires, dans le cadre de leur mandat, sont de ceux qui peuvent, sous certaines conditions, relever de cette définition. Décide : Article 1 Champ d'application. Les professionnels peuvent être amenés à traiter des données à caractère personnel relevant de deux catégories de traitements : - les traitements mis en œuvre par les personnes physiques ou morales administrées ou représentées par les professionnels, aux fins et dans les conditions définies par ces personnes et dont celles-ci sont dès lors responsables de traitement au sens de l'article 3-I de la loi du 6 janvier 1978 modifiée ; - les traitements directement mis en œuvre par les professionnels, au sein de leurs études, en tant que responsables de traitement, pour leurs besoins propres aux fins d'exercice de leurs missions civiles et commerciales, ; les données concernées peuvent alors être traitées au format papier ou sous forme automatisée, étant précisé que les logiciels de traitement automatisé de tenue de la comptabilité spéciale doivent être agréés conformément à l'article 4.8.4 de l'annexe 8-2 de l'article L. 814-1 du code de commerce. La présente norme simplifiée vise à couvrir les seuls traitements automatisés de cette seconde catégorie. Elle ne couvre pas la mise en œuvre, par le Conseil national des administrateurs judiciaires et des mandataires judiciaires (le CNAJMJ ), organe représentant ces professionnels, du portail électronique offrant des services de communication électronique sécurisée en lien avec les activités de ces professionnels en matière de procédures collectives, régi par les dispositions des articles L. 814-2, L. 814-13 et R. 814-58-4 et suivants du code de commerce. Article 2 Finalités des traitements. Seuls peuvent faire l'objet d'un engagement de conformité à la présente décision les traitements mis en œuvre par les professionnels dans le cadre de leurs missions civiles ou commerciales d'administration ou de représentation ès-qualités de personnes physiques ou morales, décidées par le juge. Ces traitements visent à permettre, en premier lieu, la gestion et le suivi de la représentation juridique, de l'assistance, de la surveillance et du contrôle des personnes placées, par l'autorité judiciaire, sous la responsabilité des administrateurs judiciaires ou mandataires judiciaires. En second lieu, ces traitements ont pour objet la reddition de compte auprès de toute autorité habilitée à en connaître, en particulier l'autorité judiciaire. Article 3 Données traitées. Conformément à l'article 6-3° de la loi du 6 janvier 1978 modifiée, des données à caractère personnel ne peuvent être collectées que si elles sont adéquates, pertinentes et non excessives au regard de la finalité précisément poursuivie par le responsable de traitement. Le professionnel doit ainsi être en mesure de justifier du caractère nécessaire des catégories de données à caractère personnel effectivement collectées, notamment au regard des missions qui lui sont confiées par l'autorité judiciaire. En premier lieu, la commission relève que, dans le cadre de leurs missions de représentation ou d'administration, les professionnels peuvent être amenés à agir pénalement à l'encontre du dirigeant ou des salariés de la personne morale administrée ou représentée ou à défendre les intérêts de cette dernière dans le cadre d'une procédure judiciaire. Dès lors, ces professionnels, auxiliaires de justice au sens des articles 9-2° et 25-I-3° de la loi du 6 janvier 1978 modifiée, sont susceptibles de traiter des données relatives aux infractions, condamnations ou mesures de sûreté, sans autorisation préalable de la commission. En deuxième lieu, les administrateurs judiciaires et mandataires judiciaires peuvent, à l'instar des employeurs qu'ils représentent ou qu'ils administrent, être chargés de la gestion des salariés, notamment en cas de procédure collective. Les traitements de données à caractère personnel mis en œuvre par ces professionnels peuvent dès lors comporter le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques (ci-après numéro de sécurité sociale). La commission considère que le traitement du numéro de sécurité sociale par ces professionnels à des fins de gestion de la paie s'assimile au traitement mis en œuvre par les employeurs représentés ou administrés, autorisé par les dispositions du décret n° 91-1404 du 27 décembre 1991 susvisé. En troisième lieu, la commission relève que, pour mener à bien leurs missions et établir les rapports d'activité destinés à l'autorité judiciaire, les administrateurs judiciaires et mandataires judiciaires traitent des documents relatifs aux personnes morales ou physiques représentées ou administrées pouvant comporter des données à caractère personnel. Ainsi, pour atteindre les finalités mentionnées à l'article 2 de la présente norme, un responsable de traitement peut collecter et traiter les données suivantes, y compris sous la forme de pièces justificatives : 1. Dans le cadre d'une procédure collective ou d'un mandat ad hoc, au sens de l'article L. 611-3 du code de commerce : a) Données relatives au débiteur soumis à la procédure collective ou au bénéficiaire du mandat ad hoc, lorsque ceux-ci sont des personnes physiques : - identité ; - situation matrimoniale ; - nationalité ; - coordonnées personnelles et professionnelles ; - activité exercée à la date du jugement qui a ouvert la procédure ; - extrait d'immatriculation aux registres et répertoires mentionnés aux articles L. 526-7 et R. 631-8 du code de commerce ; - numéro d'identification, tel que, par exemple, le numéro d'immatriculation au registre des commerces et des sociétés, à l'exception du numéro de sécurité sociale ; - coordonnées bancaires ; - situation financière (situation des comptes, montant du chiffre d'affaires, derniers bilans d'exercice, situation de trésorerie, compte de résultat prévisionnel), - dernières déclarations sociales et fiscales ; - état chiffré des créances et des dettes ; - état actif et passif des sûretés ainsi que celui des engagements hors bilan ; - inventaire sommaire des biens du débiteur ou, si un patrimoine a été affecté à l'activité en difficulté, inventaire des biens affectés à l'exercice de cette activité ; - le cas échéant, infractions pénales, condamnations, mesures de sûreté et dossiers de procédure dans le cadre de procédures contentieuses. b) Données relatives aux associés de la personne morale faisant l'objet d'une procédure collective : - identité ; - coordonnées personnelles et professionnelles ; - montant du capital social et sa répartition ; - registres des procès-verbaux d'assemblée générale et des conseils d'administration. c) Données relatives aux salariés du débiteur soumis à la procédure collective : - identité ; - situation matrimoniale ; - nationalité ; - coordonnées personnelles et professionnelles ; - numéro de sécurité sociale, dans les conditions fixées par le décret n° 91-1404 du 27 décembre 1991 précité et les délibérations susvisées de la commission en date du 9 décembre 2004 ; - situation sociale des salariés (contrats de travail, créances salariales, ancienneté) ; - bulletins de paie ; - coordonnées bancaires ; - fonction, pour les représentants du comité d'entreprise ou des délégués du personnel habilités à être entendus par le tribunal ayant ordonné la mesure ; - le cas échéant, infractions pénales, condamnations, mesures de sûreté et dossiers de procédure dans le cadre de procédures contentieuses. d) Données relatives aux créanciers : - identité ; - coordonnées personnelles et professionnelles ; - coordonnées bancaires. - informations relatives aux déclarations de créances : - montant de la créance due au jour du jugement d'ouverture avec indication des sommes à échoir et de la date de leurs échéances ; - informations sur la nature du privilège ou de la sûreté dont la créance est éventuellement assortie ; - éléments de nature à prouver l'existence et le montant de la créance si elle ne résulte pas d'un titre ou, à défaut, une évaluation de la créance si son montant n'a pas encore été fixé, - modalités de calcul des intérêts dont le cours n'est pas arrêté ; - indication de la juridiction saisie si la créance fait l'objet d'un litige. e) Données relatives aux contractants : - identité ; - coordonnées professionnelles ; - coordonnées bancaires. 2 Dans le cadre de l'administration provisoire d'une copropriété : a) Informations relatives à la copropriété pouvant contenir des données à caractère personnel : - règlements de copropriété et modificatifs éventuels ; - numéro de digicode de l'immeuble ; - registres des procès-verbaux des assemblées générales ; - contrats relatifs à l'entretien de l'immeuble ; - carnet d'entretien faisant état de la date et de la nature des interventions pour l'entretien de la copropriété ; - dossiers de mutations de la nature de l'affectation de l'immeuble ; - diagnostics sur l'état de l'immeuble ; - dossiers de travaux ; - dossiers de procédures contentieuses ; - situation de trésorerie à la fin du mandat ; - grands livres comptables ; - état des dépenses ; - appels de fonds sur les dix dernières années. - données relatives aux déclarations de créance : - montant de la créance due au jour du jugement d'ouverture avec indication des sommes à échoir et de la date de leurs échéances ; - informations sur la nature du privilège ou de la sûreté dont la créance est éventuellement assortie ; - éléments de nature à prouver l'existence et le montant de la créance si elle ne résulte pas d'un titre (à défaut, une évaluation de la créance si son montant n'a pas encore été fixé) ; - modalités de calcul des intérêts dont le cours n'est pas arrêté ; - indication de la juridiction saisie si la créance fait l'objet d'un litige. b) Données relatives aux copropriétaires : - identité ; - coordonnées personnelles et professionnelles ; - coordonnées bancaires ; - numéros de lots et répartition ; - le cas échéant, numéro d'identification attribué par le syndic, à l'exclusion du numéro de sécurité sociale ; - état des dettes et créances (détail du fonds de roulement par copropriétaire, appels de fond, paiement) ; - diagnostics relatifs aux lots privatifs ; - contrats d'assurances et dossiers de sinistres ; - le cas échéant, infractions pénales, condamnations, mesures de sûreté et dossiers de procédure dans le cadre de procédures contentieuses. c) Données relatives aux salariés de la copropriété : - identité ; - coordonnées personnelles et professionnelles ; - coordonnées bancaires ; - numéro de sécurité sociale, dans les conditions fixées par le décret n° 91-1404 du 27 décembre 1991 précité et les délibérations susvisées de la commission en date du 9 décembre 2004 ; - situation sociale (contrats de travail, créances salariales, ancienneté) ; - bulletins de paie ; - le cas échéant, infractions pénales, condamnations, mesures de sûreté et dossiers de procédure dans le cadre de procédures contentieuses. d) Données relatives aux contractants : - identité ; - coordonnées professionnelles ; - coordonnées bancaires ; - carnet d'entretien faisant état de la date et de la nature des interventions pour l'entretien de la copropriété. 3. Dans le cadre de l'administration provisoire d'une société civile : a) Informations relatives à la société, pouvant contenir des données à caractère personnel : - originaux des statuts d'origine et des modifications ; - actes de cession de parts sociales ; - procès-verbaux des assemblées générales ; - titres de propriété ; - contrats d'assurance des actifs ; - situation locative ; - bilans ; - situation financière ; - déclarations fiscales ; - relevés bancaires ; - dossiers de prêt ; - le cas échéant, infractions pénales, condamnations, mesures de sûreté et dossiers de procédure dans le cadre de procédures contentieuses. b) Données relatives aux associés : - identité ; - coordonnées personnelles et professionnelles ; - répartition du capital entre associés ; - le cas échéant, infractions pénales, condamnations, mesures de sûreté et dossiers de procédure dans le cadre de procédures contentieuses. c) Dans le cadre de l'administration d'une société civile immobilière (SCI), données relatives aux locataires : - identité ; - coordonnées personnelles ou professionnelles ; - état actualisé du paiement des loyers ; - coordonnées bancaires ; - contrats d'assurance souscrits ; - le cas échéant, infractions pénales, condamnations, mesures de sûreté et dossiers de procédure dans le cadre de procédures contentieuses. d) Données relatives aux salariés de la société : - identité ; - coordonnées personnelles et professionnelles ; - coordonnées bancaires ; - numéro de sécurité sociale, dans les conditions fixées par le décret n° 91-1404 du 27 décembre 1991 précité et les délibérations susvisées de la commission en date du 9 décembre 2004 ; - situation sociale (contrats de travail, créances salariales, ancienneté) ; - bulletins de paie ; - le cas échéant, infractions pénales, condamnations, mesures de sûreté et dossiers de procédure dans le cadre de procédures contentieuses. 4. Dans le cadre d'une expropriation : a) Données relatives au propriétaire exproprié : - identité ; - coordonnées. b) Dans le cadre d'une expropriation pour laquelle le propriétaire exproprié est inconnu, données relatives au généalogiste mandaté aux fins de recherches du propriétaire : - identité ; - coordonnées ; - coordonnées bancaires. 5 Dans le cadre de l'administration provisoire d'une indivision, de la gestion d'une succession ou de la désignation en qualité de séquestre : a) Documents contenant des données à caractère personnel : - actes d'état civil ; - livret de famille ; - documents d'identité ; - carnets d'adresse ; - acte de notoriété ou attestation dévolutive ; - tableau généalogique ; - contrats de prestations de services ; - contrats d'assurances ; - relevés de situations de caisses retraite/mutuelle ; - liste des établissements bancaires communiqués par FICOBA ; - résultat de la consultation du Fichier central des dispositions de dernières volontés (FCDDV) ; - testament et procès-verbal d'ouverture de testament ; - déclaration de succession ; - fiche immeuble/état hypothécaire/titre de propriété ; - acte de partage ; - attestation immobilière ; - convocations et procès-verbal d'assemblée générale ; - carnet d'entretien d'immeuble ; - règlements de copropriété et modificatifs ; - estimations ; - inventaire, continuation d'inventaire et clôture d'inventaire ; - relevés de charges et appels de fonds ; - factures diverses ; - bordereaux de situation fiscale ; - conventions d'obsèques ; - titre de concession cimetière ; - contrats d'assurance-vie ; - relevés bancaires ; - relevés d'arriérages divers ; - relevés de pension de retraite ; - relevés de mutuelle ; - titres de copropriété ; - correspondances du syndic d'immeuble ; - cartes grises ; - déclaration d'impôts ; - avis d'imposition ; - factures diverses. b) Données relatives aux salariés du défunt : - identité ; - coordonnées personnelles et professionnelles ; - coordonnées bancaires ; - numéro de sécurité sociale, dans les conditions fixées par le décret n° 91-1404 du 27 décembre 1991 précité et les délibérations susvisées de la Commission en date du 9 décembre 2004 ; - situation sociale (contrats de travail, créances salariales, ancienneté) ; - bulletins de paie ; - le cas échéant, infractions pénales, condamnations, mesures de sûreté et dossiers de procédure dans le cadre de procédures contentieuses. c) Données traitées dans le cadre de l'administration provisoire d'associations : a. Informations relatives à l'association, pouvant contenir des données à caractère personnel : - originaux des statuts d'origine et des modifications ; - procès-verbaux des assemblées générales ; - titres de propriété ; - contrats d'assurance des actifs ; - situation locative ; - bilans ; - situation financière ; - déclarations fiscales ; - relevés bancaires ; - dossiers de prêt ; - le cas échéant, infractions pénales, condamnations, mesures de sûreté et dossiers de procédure dans le cadre de procédures contentieuses. b. Données relatives aux adhérents : - identité ; - coordonnées. c. Données relatives aux membres du bureau ou du conseil d'administration : - identité ; - coordonnées ; - fonctions ; - mandats sociaux dont, le cas échéant, le mandat syndical ; - parcours professionnel. d. Données relatives aux salariés de l'association : - identité ; - coordonnées personnelles et professionnelles ; - coordonnées bancaires ; - situation sociale (contrats de travail, créances salariales, ancienneté) ; - numéro de sécurité sociale, dans les conditions fixées par le décret n° 91-1404 du 27 décembre 1991 précité et les délibérations susvisées de la Commission en date du 9 décembre 2004 ; - bulletins de paie ; - le cas échéant, infractions pénales, condamnations, mesures de sûreté et dossiers de procédure dans le cadre de procédures contentieuses. Article 4 Durées de conservation des données. Conformément à l'article 6-5° de la loi du 6 janvier 1978 modifiée, les données à caractère personnel ne peuvent être conservées que le temps strictement nécessaire à l'accomplissement de la finalité pour laquelle elles ont été collectées. Les données à caractère personnel collectées pour les finalités visées à l'article 2 de la présente décision et les pièces justificatives y afférentes ne doivent ainsi pas être conservées, en base active, au-delà de la durée du mandat de représentation confié au professionnel par décision judiciaire. A l'issue de cette durée de conservation, les données peuvent être conservées au sein d'une base d'archives intermédiaires, pendant dix ans au maximum et aux seules fins suivantes : - probatoire, en cas de contentieux, les données pouvant être conservées tant que les délais d'exercice des voies de recours ordinaires et extraordinaires ne sont pas épuisés ; - probatoire, en cas de contrôle, par des organismes habilités, du respect, par le responsable de traitement, de ses obligations. Les données ainsi archivées ne peuvent être consultées que de manière ponctuelle et motivée, par les personnels individuellement et dûment habilités, dont les accès doivent faire l'objet d'une traçabilité. A l'expiration de ces périodes, les données sont détruites de manière sécurisée ou archivées à titre définitif, dans des conditions définies en conformité avec les dispositions du code du patrimoine relatives aux obligations d'archivage des informations du secteur public. Article 5 Destinataires des données et informations. Seuls le responsable de traitement et, le cas échéant, les membres habilités de son personnel soumis à une obligation de confidentialité peuvent accéder directement aux traitements régis par la présente décision. Sont ainsi concernés les administrateurs judiciaires, les mandataires judiciaires ou les personnes désignées hors liste pour ces fonctions, conformément aux articles L. 811-2 et L. 812-2 du code de commerce, ainsi que leurs collaborateurs habilités. Seuls ces personnels sont habilités à transmettre tout ou partie des données contenues dans les traitements mis en œuvre. Le responsable de traitement doit ainsi, avant chaque transmission des données, opérer un tri parmi ces dernières. Il lui revient, en effet, de veiller à ce que seuls les destinataires dûment habilités se voient transmettre des données et que seules les données strictement nécessaires à l'exercice de leur mission leur soient transmises. Peuvent ainsi, dans la limite de leurs attributions respectives, être destinataires des données traitées, quelle que soit la mission confiée au professionnel : - les membres de la juridiction ayant ordonné la mesure ; - le procureur de la République ; - les instances de contrôle de l'activité des professionnels prévues par la réglementation en vigueur. Peuvent également être destinataires des données traitées, dans la limite de leurs attributions respectives et pour les seules données qui leur sont nécessaires : - Dans le cadre d'une procédure collective ou d'un mandat ad hoc, au sens de l'article L. 611-3 du code du commerce : - les instances représentatives du personnel : les représentants ou délégués du personnel, les comités d'entreprises et le Comité d'hygiène et de sécurité des conditions de travail ; - le représentant de l'Ordre pour les professions réglementées ; - la direction régionale des entreprises, de la concurrence, de la consommation, du travail et de l'emploi (DIRRECTE) ; - les candidats repreneurs ; - le CNAJMJ, aux fins de mise en œuvre du portail électronique régi par les articles L. 814-2, L. 814-13 et R. 814-58-4 et suivants du code de commerce. - Dans le cadre d'une expropriation, de l'administration d'une indivision ou d'une succession : - l'autorité judiciaire en charge du dossier d'expropriation ; - l'autorité expropriante et l'entreprise qu'elle a désignée pour l'opération immobilière ; - le généalogiste mandaté aux fins de recherches d'un propriétaire exproprié ; - les indivisaires ; - les notaires en charge de la succession ; - les héritiers. - Dans le cadre de l'administration d'une association : - la préfecture compétente et le ministère de l'intérieur, dans le cadre de leurs pouvoirs de contrôle prévus par la réglementation en vigueur. - Dans le cadre de l'administration provisoire d'une copropriété : - le conseil syndical ; - les copropriétaires. Article 6 Droits des personnes. Conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées de manière claire et complète de l'identité du responsable du traitement, des finalités poursuivies par les traitements mis en œuvre, du caractère obligatoire ou facultatif de leurs réponses aux questions posées en cas d'utilisation de formulaires, de la durée de conservation des données, des destinataires des données ainsi que des droits dont elles disposent en application des articles 38 à 40 de ladite loi. L'information des personnes concernées peut intervenir par le biais d'une mention figurant : - sur les courriers papiers ou électroniques qui leur sont adressés ; - au sein des conditions générales d'utilisation des espaces personnels pouvant être mis à leur disposition ; - ou par tout autre moyen que le responsable de traitement jugerait plus adapté. Les droits d'opposition pour motifs légitimes, d'accès et de rectification des données, prévus par les articles 38 à 40 de la loi du 6 janvier 1978 modifiée, s'exercent directement auprès du responsable de traitement. Article 7 Politique de confidentialité, de sécurité et de traçabilité des actions. Le responsable d'un traitement de données à caractère personnel est tenu, en application de l'article 34 de la loi du 6 janvier 1978 modifiée de prendre toutes les précautions utiles au regard de la nature des données et des risques présentés par le traitement pour les personnes concernées afin de préserver la sécurité des données et, notamment, empêcher que des tiers non autorisés y ait accès. A cet effet, le responsable de traitement définit une politique de sécurité adaptée aux risques présentés par le traitement. Cette politique doit décrire les objectifs de sécurité et les mesures de sécurité physique, logique et organisationnelle permettant de les atteindre. Elle doit être mise à jour régulièrement pour tenir compte des évolutions du contexte et doit également prévoir des moyens permettant à tous ceux devant l'appliquer de la connaître et de la mettre en œuvre. Les accès aux traitements de données nécessitent une authentification des personnes accédant aux données, au moyen d'un identifiant et d'un mot de passe individuels respectant la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe mise à jour le 22 juin 2017, ou par tout autre moyen d'authentification de même fiabilité ou de fiabilité supérieure. Les habilitations permettant d'accéder aux données doivent être précisément définies en fonction des besoins réels de chaque utilisateur. Ces habilitations doivent être périodiquement vérifiées et supprimées lorsque les utilisateurs n'ont plus besoin d'accéder aux données. Les conditions d'administration du système d'information prévoient l'existence de systèmes automatiques de traçabilité (journaux, audits, etc.). Ces systèmes doivent intégrer une journalisation des connexions aux applications et aux postes de travail ainsi qu'une journalisation des opérations de consultation ou de modification des données, incluant un identifiant de la personne à l'origine de l'opération. Ces journaux doivent être conservés pendant six mois, sans préjudice de l'application d'obligations légales spécifiques. Les opérations de destruction et suppression des données doivent être réalisées de manière sécurisée, soit en détruisant physiquement les supports papier ou informatiques, soit en utilisant des outils d'effacement sécurisés à l'état de l'art. Les données conservées au format papier doivent faire l'objet de mesures de sécurité physique spécifiques. Les échanges de données réalisés sur des réseaux publics, notamment tous les échanges réalisés par courriel, doivent être systématiquement chiffrés avec des outils à l'état de l'art afin d'en garantir la confidentialité et l'intégrité. Les échanges de données réalisés au moyen de supports de stockage amovible, tels que des clés USB ou des disques durs portables, doivent être systématiquement chiffrés avec des outils à l'état de l'art afin d'en garantir la confidentialité et l'intégrité. Afin de garantir leur effectivité, les opérations de suppression de données doivent être réalisées de façon automatique. Article 8 Formalités préalables. La mise en œuvre des traitements mentionnés aux articles 1er et 2 est subordonnée à l'envoi préalable à la Commission nationale de l'informatique et des libertés, en application du dernier alinéa de l'article 24-I de la loi du 6 janvier 1978 susvisée, d'une déclaration faisant référence à la présente norme simplifiée. Cette déclaration dite de conformité à une norme simplifiée peut s'effectuer par téléprocédure sur le site internet de la CNIL. Les traitements dont les finalités sont celles définies à l'article 2 mais qui ne sont pas conformes aux dispositions de la présente délibération doivent faire l'objet d'une déclaration normale, d'une inscription à la liste des traitements établie par le correspondant à la protection des données à caractère personnel (CIL), si l'organisme en dispose d'un, ou, le cas échéant, d'une demande d'autorisation. La présente délibération sera publiée au Journal officiel de la République française. La présidente, I. Falque-Pierrotin


Délibération n° 2017-239 du 07 septembre 2017 portant autorisation unique de transferts de données à caractère personnel hors Espace économique européen encadrés par les règles internes d’entreprise (BCR) " responsable de traitement " du groupe UTC.

(BCR n° 045)

Extrait du Journal officiel électronique authentifié PDF - 226,3 Ko La Commission nationale de l'informatique et des libertés, Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-II et 69 ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, notamment ses articles 101 et 103 ; Sur la proposition de Mme Marie-Hélène MITJAVILE, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement, Formule les observations suivantes : En application de l’article 68 de la loi 6 janvier 1978 modifiée, les transferts de données à caractère personnel à destination de pays qui ne sont membres ni de l’Union européenne, ni de l’Espace économique européen ou qui n’assurent pas un niveau de protection suffisant sont interdits. Néanmoins, il peut être fait exception à cette interdiction par application de l’article 69 de la loi précitée, notamment par décision de la Commission nationale de l’informatique et des libertés lorsqu’un niveau de protection suffisant est apporté aux données transférées par l’intermédiaire de règles internes, c’est-à-dire des règles contraignantes d’entreprise (" Binding Corporate Rules " - BCR) constituant un code de conduite interne s’imposant à toutes les entités d’un même groupe. Au terme d’une procédure de coopération, la Commission et les autorités européennes de protection des données compétentes ont reconnu les BCR " responsable de traitement " du groupe UTC dont le siège social mondial est situé 10 Farm Springs Road, Farmington, CT, Etats-Unis conformes aux exigences posées par les documents de référence adoptés par le Groupe de travail de l’article 29. Ainsi, ces BCR sont réputées apporter un niveau de protection suffisant aux données personnelles transférées au sein du groupe United Technologies Corporation (ci-après "UTC). Les organismes mentionnés à l’article 1er ci-dessous, qui se réfèreront à la présente autorisation unique (n° BCR-045) et adresseront à la Commission un engagement de conformité à celle-ci, seront autorisés à mettre en œuvre leurs transferts. Un transfert ne peut être autorisé que dans la mesure où : lorsque cela est requis, la formalité relative au traitement auquel ce transfert se rattache a été dûment accomplie auprès de la Commission nationale de l’informatique et des libertés, et le transfert est réalisé dans le strict respect du cadre défini par cette formalité. Tout transfert de données à caractère personnel qui excèderait le cadre ou les exigences définis par la présente autorisation unique devra faire l’objet d’une décision d’autorisation spécifique. Article 1er : Sur les responsables de traitement / champ d’application Seules les entités du groupe UTC agissant en qualité de responsable de traitement, étant juridiquement liées par les BCR responsable de traitement du groupe UTC et ayant mis en œuvre les engagements pris au titre des BCR peuvent adresser un engagement de conformité à la présente autorisation unique. Article 2 : Sur les finalités des transferts Conformément au champ matériel et à la description des transferts couverts par les BCR " responsable de traitement " du groupe UTC et à leurs annexes, seuls sont autorisés les transferts de données à caractère personnel ayant pour finalités : la gestion des ressources humaines, la gestion des relations avec les partenaires commerciaux, la gestion des relations avec les clients de produits d’UTC qui ont un contrat d’entretien avec une unité opérationnelle, les visiteurs, les représentants commerciaux non-salariés, ainsi que les concessionnaires ; la gestion des relations avec les utilisateurs des produits et services Otis et CCS. Article 3 : Sur les catégories de données personnelles transférées Conformément au champ matériel et à la description des transferts couverts par les BCR " responsable de traitement " du groupe UTC et à leurs annexes, seules peuvent être transférées, dans le cadre des finalités décrites ci-dessus, les catégories de données à caractère personnel suivantes : Pour les transferts relatifs aux données personnelles des salariés et travailleurs intérimaires : état civil/identité/données d’identification, vie professionnelle, vie personnelle, données de connexion, données de localisation, numéro de sécurité sociale (uniquement dans le cadre de la gestion de la paie), informations d’ordre économique et financier. Pour les transferts relatifs aux données personnelles des partenaires commerciaux : état civil/identité/données d’identification, vie professionnelle. Pour les transferts relatifs aux données personnelles des clients de produits UTC : état civil/identité/données d’identification. Pour les transferts relatifs aux données personnelles des utilisateurs de produits et services Otis et CCS : état civil/identité/données d’identification. Article 4 : Sur les catégories de personnes concernées par les transferts Conformément au champ matériel et à la description des transferts couverts par les BCR responsable de traitement du groupe UTC et à leurs annexes, seules peuvent être transférées, dans le cadre des finalités décrites ci-dessus, les données à caractère personnel relatives aux catégories de personnes suivantes : salariés et travailleurs temporaires ; partenaires commerciaux : Clients, fournisseurs, représentants commerciaux et autres partenaires commerciaux ; clients de produits d’UTC qui ont un contrat d’entretien avec une Unité opérationnelle, visiteurs, représentants commerciaux non-salariés, concessionnaires ; utilisateurs des produits et services Otis et CCS. Article 5 : Sur les destinataires habilités à accéder aux données transférées Seules peuvent être habilitées à accéder aux données les entités du groupe UTC juridiquement liées aux BCR responsable de traitement du groupe UTC dont la liste à jour a été fournie à la Commission nationale de l'informatique et des libertés. Article 6 : Sur les informations relatives à chaque transfert Les responsables de traitement doivent tenir à disposition des services de la Commission nationale de l'informatique et des libertés une liste (voir modèle proposé en annexe 1 de la présente délibération) détaillée et à jour des transferts effectués sur la base des BCR " responsable de traitement " du groupe UTC précisant, pour chaque transfert, les informations suivantes : la finalité générale du transfert ; la ou les catégories de données à caractère personnel transférées ; la ou les catégories de personnes concernées par le transfert ; les informations relatives à chaque destinataire des données : raison sociale ; nom du groupe auquel le destinataire appartient et ayant adopté des BCR " responsable de traitement " ; pays d’établissement ; catégorie de destinataire (ex : maison-mère, filiale) et nature du traitement opéré par ce dernier. Article 7 : Sur les droits d'accès, de rectification et d'opposition des personnes Les droits d’accès, de rectification et d’opposition des personnes concernées définis au chapitre V de la loi du 6 janvier 1978 modifiée s’exercent auprès du ou des services que les responsables de traitement auront désignés. Article 8 : Sur l'information des personnes Les responsables de traitement doivent avoir clairement informé les personnes concernées de l’existence de transferts de données vers des pays tiers et des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition, dans les conditions prévues par les dispositions des articles 90 et 91 du décret du 20 octobre 2005 modifié. La présente délibération sera publiée au Journal officiel de la République française. Pour la Présidente Le Vice-Président délégué Marie-France MAZARS Annexe 1 : Modèle de documentation sur les transferts de données à caractère personnel encadrés par des BCR " responsable de traitement " Transfert n°1 Modifications (préciser la date et l’objet) Date de mise en œuvre Finalité générale du transfert Catégories de personnes concernées Nature des données personnelles transférées Destinataire 1 Raison sociale Pays d’établissement Type de destinataire (ex : maison-mère, filiale) Nature du traitement opéré par le destinataire (ex : lecture seule, saisie) Destinataire 2 Raison sociale Pays d’établissement Type de destinataire (ex : maison-mère, filiale) Nature du traitement opéré par le destinataire (ex : lecture seule, saisie)


Délibération n° 2017-215 du 13 juillet 2017 portant adoption d’une norme destinée à simplifier l’obligation de déclaration des traitements de données à caractère personnel ayant pour finalité le dépistage organisé du cancer du sein, du cancer colorectal et du cancer du col de l’utérus mis en œuvre par les structures de gestion conventionnées, et abrogeant la délibération n° 2015-175 du 11 juin 2015 (décision d'autorisation unique n° AU-043)
(NS-059)

Extrait du Journal officiel électronique authentifié PDF - 234,3 Ko La Commission nationale de l'informatique et des libertés, Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-II,6°, 24 I ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; Vu le décret n°2015-390 du 3 avril 2015 autorisant les traitements de données à caractère personnel par les organismes gestionnaires des régimes obligatoires de base de l'assurance maladie pour l'accomplissement de leurs missions d'affiliation, d'immatriculation, d'instruction des droits aux prestations et de prise en charge des soins, produits et services ; Vu le décret n° 2017-412 du 27 mars 2017 relatif à l'utilisation du numéro d'inscription au répertoire national d'identification des personnes physiques comme identifiant national de santé ; Vu l’arrêté du 29 septembre 2006 modifié relatif aux programmes de dépistage des cancers ; Vu l’arrêté du 23 septembre 2014 portant introduction du test immunologique dans le programme de dépistage organisé du cancer colorectal ; Vu l’Instruction N°DGS/SP5/2016/166 du 25 mai 2016 relative aux modalités de désignation des structures régionales de préfiguration de la généralisation du dépistage organisé du cancer du col de l’utérus et son annexe comprenant le cahier des charges ; Vu l’Instruction N°DGS/SP5/2016/395 du 21 décembre 2016 relative à l’évolution du dispositif des structures de gestion du dépistage organisé du cancer ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; Après avoir entendu M. Alexandre LINDEN, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations, Formule les observations suivantes : Les programmes nationaux de dépistage organisé du cancer du sein, du cancer colorectal et du cancer du col de l’utérus s’inscrivent dans le cadre du Plan cancer mis en place par le Gouvernement afin de réduire la mortalité et la lourdeur des traitements liés à une prise en charge tardive. Leurs modalités d’organisation sont précisées dans des cahiers des charges nationaux publiés par arrêté. Ces programmes de dépistage organisé des cancers sont mis en œuvre par des structures départementales, interdépartementales ou régionales qui ont passé une convention avec les représentants de l’Etat et de l’assurance maladie dans leur région. A ce titre, ces structures constituent des fichiers d’invitation et de suivi des personnes concernées ; les données collectées dans ce cadre sont également utilisées à des fins d’évaluation et de pilotage des programmes. S’agissant du dépistage organisé du cancer colorectal, les laboratoires de biologie médicale-centres de lecture des examens définis par l’arrêté précité mettent en œuvre une plateforme électronique dédiée au partage des résultats entre les différents acteurs du dépistage et comportant des données personnelles relatives à la santé des personnes. En vertu de l'article 24 de la loi du 6 janvier 1978 modifiée, la Commission nationale de l'informatique et des libertés est habilitée à établir des normes destinées à simplifier l'obligation de déclaration des traitements les plus courants et dont la mise en œuvre, dans des conditions régulières, n'est pas susceptible de porter atteinte à la vie privée ou aux libertés. Les traitements de données à caractère personnel, automatisés ou non, mis en œuvre par les structures de gestion conventionnées aux fins d’exercice de leurs missions dans le cadre du dépistage organisé du cancer colorectal et du cancer du sein sont de ceux qui peuvent, sous certaines conditions, relever de cette définition. Ces traitements encadrés précédemment par une autorisation unique AU-043 adoptée le 11 juin 2015 (délibération n° 2015-175 du 11 juin 2015 portant autorisation unique de traitements de données à caractère personnel ayant pour finalité le dépistage organisé du cancer du sein et du cancer colorectal mis en œuvre par les structures de gestion conventionnées), relèvent dorénavant d’une norme simplifiée avec un champ d’application élargi au cancer du col de l’utérus. Article 1er : Champ d’application: Seuls peuvent faire l’objet d’un engagement de conformité en référence à la présente norme les traitements, automatisés ou non, mis en œuvre par les structures en charge de la mise en œuvre des programmes de dépistage des cancers investies contractuellement par les représentants de l’Etat dans leur région. Les structures en charge de la mise en œuvre des programmes de dépistage des cancers, placées sous la responsabilité médicale d’un ou plusieurs médecins coordinateurs du (des) programme(s), assurent l'organisation locale des dépistages organisés des cancers du sein, colorectal et utérin à l'échelle d'un ou plusieurs départements. Article 2 : Finalités du traitement : Peuvent faire l’objet d’un engagement de conformité à la présente norme les traitements automatisés ou non de données à caractère personnel ayant pour finalité la mise en œuvre de programmes de dépistage organisé du cancer du sein, du cancer colorectal et du cancer du col de l’utérus. Au titre de ces traitements, sont visées : la constitution, par les structures en charge de la mise en œuvre des programmes de dépistage des cancers, et la gestion par celles-ci, des fichiers des personnes concernées, à partir des données transmises par les caisses d’assurance maladies participantes, aux fins d’invitation aux opérations de dépistage selon les critères d’éligibilité des personnes ; la réalisation des opérations de suivi de ces personnes dans le cadre des programmes de dépistage organisé, y compris la transmission des résultats des tests de dépistage ; la gestion des contacts avec les médecins traitants, les spécialistes et les centres de lecture associés aux programmes de dépistage (laboratoires de biologie médicale et structures d’anatomie et cytologie pathologique) ; l’évaluation des programmes de dépistage. Article 3 : Nature des données traitées : La Commission rappelle que conformément à l’article 6-3° de la loi " informatique et libertés ", les données traitées doivent être pertinentes, adéquates et non excessives au regard des finalités du traitement. Peuvent être traitées, pour l'accomplissement des finalités décrites à l'article 2, les catégories de données à caractère personnel suivantes : données relatives à l’identification des personnes concernées telles que transmises par les caisses d’assurance maladie participantes ou les personnes concernées, à savoir : l’identifiant national de santé mentionné à l’article L. 1111-8-1 du code de la santé publique, nom de naissance et nom d’usage, le cas échéant, prénom(s), sexe, date de naissance, adresse, coordonnées téléphoniques ; données relatives à l’identification des professionnels de santé intervenant dans le programme, à savoir : nom, prénom(s), numéro d’inscription au répertoire partagé des professionnels de santé et adresse postale ; données relatives à la santé des personnes concernées, à savoir, limitativement : le numéro d’identifiant ou d’invitation de la personne généré par la structure de gestion à partir des fichiers transmis par les caisses d’assurance maladie ; les données relatives aux examens antérieurs et antécédents médicaux strictement nécessaires à la détermination du niveau de risque et à la définition de l’éligibilité des personnes vis-à-vis des programmes de dépistage des cancers, telles que transmises par les caisses d’assurance maladie participantes, par les personnes concernées et les professionnels de santé ; le cas échéant, si les personnes concernées l’acceptent, leur(s) motif(s) de refus de participer aux opérations de dépistage ; les résultats et comptes rendus des examens, et, le cas échéant, les clichés d’imagerie ; les dates d'envoi des résultats au médecin et à la personne concernée ; les informations sur la prise en charge médicale effective permettant de vérifier l’entrée dans une filière de soins des personnes dont le test se serait révélé positif. Article 4 : Durée de conservation des données : Les données relatives à la prise en charge des personnes concernées sont conservées par les structures en charge de la mise en œuvre des programmes de dépistage des cancers jusqu’à la fin du suivi, décidée par la personne elle-même ou son médecin. Ces durées doivent être conformes aux dispositions législatives et règlementaires en vigueur. A l’expiration de ce délai, les données sont supprimées ou archivées sous une forme anonyme. La conservation et l’archivage des données doivent être réalisés dans des conditions de sécurité conformes aux dispositions de l’article 34 de la loi du 6 janvier 1978 modifiée. Article 5 : Destinataires des données : Dans la limite de leurs attributions respectives et pour l'exercice des finalités précitées, seules peuvent être habilitées à accéder aux données les personnes suivantes : Pour les seules données relatives aux personnes qu’ils prennent en charge : les professionnels de santé ayant prescrit ou réalisé l’acte de dépistage ; le médecin coordinateur de la structure de gestion ; le médecin traitant ou le médecin désigné par la personne comme destinataire des résultats de l’examen de dépistage. En outre, peuvent être destinataires des données relatives à ces personnes, les personnels habilités : des centres de lecture associés aux programmes de dépistage ; des organismes d’assurance maladie, pour les seules données nécessaires à l’amélioration du processus d’invitation et au remboursement des soins dans des conditions conformes à l’article 3 du décret n° 2015-390 du 3 avril 2015 ; les médecins spécialistes ayant réalisé des examens complémentaires à la suite d’un test positif ; de l’Institut national du cancer et de l’Agence nationale de santé publique (Santé publique France) pour les seules données nécessaires à l’évaluation et au pilotage des programmes (données anonymes) ; des registres des cancers pour la caractérisation des lésions précancéreuses et des cancers et l’évaluation de leur incidence. Article 6 : Information et droits des personnes concernées : Le responsable de traitement informe les personnes concernées de la mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité la réalisation des opérations de dépistage organisé du cancer du sein, du cancer colorectal ou du cancer du col de l’utérus. Cette information s'effectue selon les modalités suivantes : la structure de gestion invite par courrier la personne éligible au programme de dépistage à consulter son médecin traitant ou un professionnel de santé agréé. Le courrier de réponse joint à ce courrier contient une note d’information établie conformément à l’article 32-I de la loi du 6 janvier 1978 modifiée qui rappelle notamment les droits d’accès, de rectification et d’opposition reconnus par les articles 38 à 40. Cette note précise le service auprès duquel ces droits peuvent s’exercer ; le médecin traitant ou le professionnel de santé qui réalise l’examen de dépistage informe oralement les personnes concernées conformément à l’article 32-I de la loi. Il précise les modalités d’exercice des droits d’accès, de rectification et d’opposition précités ; cette information est également affichée dans les locaux des professionnels de santé participants et, le cas échéant, sur la feuille de demande d’examen. S'agissant des professionnels de santé intervenant dans le programme de dépistage : les structures de gestion les informent du traitement de leurs données à caractère personnel conformément à l'article 32-I de la loi ; si une plateforme électronique est utilisée pour la communication des résultats, les professionnels de santé sont informés lors de leur connexion à cette plateforme selon les modalités prévues à l’article 32-I de la loi. Article 7 : Sécurité des données et traçabilité des actions : Conformément à l’article 34 de la loi " informatique et libertés ", le responsable du traitement prend toutes les précautions utiles pour préserver la sécurité et la confidentialité des données traitées, notamment pour empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés y aient accès. Le responsable de traitement définit une politique de sécurité adaptée aux risques présentés par les traitements et à la taille de l'organisme concerné. Cette politique doit décrire : les objectifs de sécurité ainsi que les mesures de sécurité physique, logique et organisationnelle permettant de les atteindre ; les habilitations d’accès aux données, en fonction du besoin des utilisateurs du système d’information, en particulier les mesures de restriction de l’accès à l’identité des professionnels de santé intervenant dans le programme, les modalités d’accès aux traitements, dont les mesures d’identification et d’authentification ; les dispositifs de contrôle des identifications et habilitations et les procédures de traçabilité des accès aux informations médicales, ainsi que l’historique des connexions ; les mesures de sécurité devant être mises en œuvre pour les transmissions de données. Si le format électronique est utilisé par l’intermédiaire d’une plateforme électronique de recueil, d’échange et de mise à disposition des résultats : les personnes doivent créer un compte personnel afin de consulter les résultats. Leur adresse électronique pourra être collectée afin de permettre l’envoi d’un courriel contenant un lien permettant d’activer le compte et de vérifier que l’adresse électronique saisie est valide ; le contrôle d’accès au compte des professionnels de santé doit être opéré conformément aux dispositions de l’article L. 1110-4 du code de la santé publique qui impose une authentification forte de ces professionnels par l’utilisation d’une carte de professionnel de santé (CPS) ou d’un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS, pour toute transmission ou tout accès aux données de santé ; la transmission des informations relatives à la santé doit s’opérer dans des conditions conformes à la délibération n° 2014-239 du 12 juin 2014 portant autorisation unique de mise en œuvre, par les professionnels et établissements de santé ainsi que par les professionnels du secteur médico-social habilités par une loi, de traitements de données à caractère personnel ayant pour finalité l'échange par voie électronique de données de santé à travers un système de messagerie sécurisée. Dans l’hypothèse d’une transmission par télécopie, les mesures de sécurité suivantes doivent être mises en place : le fax doit être situé dans un local physiquement contrôlé et accessible uniquement au personnel habilité ; l’impression des messages doit être subordonnée à l’introduction d’un code d’accès personnel ; lors de l’émission des messages, le fax doit afficher l’identité du fax destinataire afin d’être assuré de l’identité du destinataire ; le carnet d’adresses des fax doit préenregistrer, dans la mesure du possible, les destinataires potentiels. En cas de recours à un prestataire de service externe pour la mise en œuvre du traitement, le contrat doit prévoir : la limitation de l’utilisation des données à la finalité prévue par la présente autorisation ; une clause de confidentialité ; l’encadrement des modalités de destruction ou de restitution de tous les supports manuels ou informatisés de données à caractère personnel au terme de la prestation ; la conformité à l’article L 1111-8 du code de la santé publique de l'hébergement des données, des modalités d'accès à celles-ci et de leurs modalités de transmission. Article 8 : Abrogation de la délibération du 11 juin 2015 La délibération n° 2015-175 du 11 juin 2015 portant autorisation unique de traitements de données à caractère personnel ayant pour finalité le dépistage organisé du cancer du sein et du cancer colorectal mis en œuvre par les structures de gestion conventionnées est abrogée. Il n'est pas nécessaire que les organismes ayant procédé à un engagement de conformité effectués en référence à la délibération n° 2015-175 du 11 juin 2015 procèdent à un nouvel engagement de conformité à la présente délibération pour les traitements qui relèveraient de son champ d'application. La présente délibération sera publiée au Journal officiel de la République française. La Présidente Isabelle FALQUE-PIERROTIN


Délibération n° 2017-238 du 07 septembre 2017 portant autorisation unique de transferts de données à caractère personnel hors Espace économique européen encadrés par les règles internes d’entreprise (BCR) " responsable de traitement " du groupe IBM.

(BCR n° 044)

Extrait du Journal officiel électronique authentifié PDF - 232,5 Ko La Commission nationale de l'informatique et des libertés, Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-II et 69 ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, notamment ses articles 101 et 103 ; Sur la proposition de Mme Marie-Hélène MITJAVILE, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement, Formule les observations suivantes : En application de l’article 68 de la loi 6 janvier 1978 modifiée, les transferts de données à caractère personnel à destination de pays qui ne sont membres ni de l’Union européenne, ni de l’Espace économique européen ou qui n’assurent pas un niveau de protection suffisant sont interdits. Néanmoins, il peut être fait exception à cette interdiction par application de l’article 69 de la loi précitée, notamment par décision de la Commission nationale de l’informatique et des libertés lorsqu’un niveau de protection suffisant est apporté aux données transférées par l’intermédiaire de règles internes, c’est-à-dire des règles contraignantes d’entreprise (" binding corporate rules " - BCR) constituant un code de conduite interne s’imposant à toutes les entités d’un même groupe. Au terme d’une procédure de coopération, la Commission et les autorités européennes de protection des données compétentes ont reconnu les BCR " responsable de traitement " du groupe IBM, (dont le siège social mondial est situé 1 New Orchard Road, Armonk, New York 10504-1722) conformes aux exigences posées par les documents de référence adoptés par le Groupe de travail de l’article 29. Ainsi, ces BCR sont réputées apporter un niveau de protection suffisant aux données personnelles transférées au sein du groupe IBM. Les organismes mentionnés à l’article 1er ci-dessous, qui se réfèreront à la présente autorisation unique (n° BCR-044) et adresseront à la Commission un engagement de conformité à celle-ci, seront autorisés à mettre en œuvre leurs transferts. Un transfert ne peut être autorisé que dans la mesure où : lorsque cela est requis, la formalité relative au traitement auquel ce transfert se rattache a été dûment accomplie auprès de la Commission nationale de l’informatique et des libertés, et le transfert est réalisé dans le strict respect du cadre défini par cette formalité. Tout transfert de données à caractère personnel qui excèderait le cadre ou les exigences définis par la présente autorisation unique devra faire l’objet d’une décision d’autorisation spécifique. Article 1er : Sur les responsables de traitement / champ d’application Seules les entités du groupe IBM agissant en qualité de responsable de traitement, étant juridiquement liées par les BCR responsable de traitement du groupe IBM, et ayant mis en œuvre les engagements pris au titre des BCR peuvent adresser un engagement de conformité à la présente autorisation unique. Article 2 : Sur les finalités des transferts Conformément au champ matériel et à la description des transferts couverts par les BCR " responsable de traitement " du groupe IBM, et à leurs annexes, seuls sont autorisés les transferts de données à caractère personnel ayant pour finalités : celles relatives aux transferts des données personnelles des salariés, prestataires, consultants, intérimaires et stagiaires : la gestion opérationnelle de la société (comptabilité, gestion des locaux y compris badges et accès aux locaux et à la cantine, gestion des outils de géolocalisation sur le site, gestion de la sécurité des sites du groupe y compris les outils de vidéosurveillance, etc.) ; la gestion des salariés (l’ensemble des finalités visées aux normes simplifiées n° 42, n° 46, n° 47, ainsi que et y compris la gestion du recrutement et des départs, la gestion des congés, la gestion des fusions, acquisitions et cessions, la gestion de la paie (salaires, primes, bonus, etc.), la gestion des avantages sociaux, la gestion des carrières, la gestion des missions à l’international, le suivi de l'éducation et de la certification des règles et des programmes du Groupe IBM, la gestion des contacts tiers des salariés en cas d’urgence, la gestion des contrats, la fourniture d’outils informatiques y compris la surveillance individuelle de l’utilisation de ces outils, la formation, la gestion des alertes éthiques et enquêtes y étant liées, la gestion de la téléphonie, la gestion des notes de frais, la mise en œuvre d’outils de suivi des dossiers, etc.) celles relatives aux transferts aux transferts des données personnelles relatives aux clients et prospects : la gestion comptable, administrative et opérationnelle, la gestion des communications marketing, la facturation, les enquêtes de satisfaction, la gestion des événements clients. celles relatives aux transferts aux transferts des données personnelles relatives aux clients des clients : la gestion administrative et opérationnelle. celles relatives aux transferts des données personnelles relatives aux fournisseurs, partenaires, partenaires commerciaux : la gestion comptable, administrative et opérationnelle. celles relatives aux transferts des données personnelles relatives aux visiteurs : la gestion opérationnelle (gestion de la sécurité des sites du Groupe y compris les outils de contrôle des accès de vidéosurveillance, etc.). celles relatives aux finalités communes à toutes les catégories de personnes concernées : la gestion des risques et des audits d’entreprise ; la gestion opérationnelle de la société et de ses locaux (gestion des locaux, gestion de la sécurité des sites du groupe y compris les outils de contrôle des accès, de vidéosurveillance, etc.) ; la gestion des contentieux nationaux et internationaux de la société ; la gestion et l’administration des réseaux et systèmes, y compris toutes les mesures de sécurité mises en œuvre à ce titre ; l’administration des bases de données ; le stockage et l’hébergement des données ; la maintenance corrective et évolutive des outils, systèmes et applicatifs mis en œuvre dans la conduite des activités du Groupe ; la réalisation de copies de sauvegarde des informations ; la mise en œuvre de mesures préventives et correctives de sécurité pour prévenir tous accès non autorisés ou frauduleux. Article 3 : Sur les catégories de données personnelles transférées Conformément au champ matériel et à la description des transferts couverts par les BCR " responsable de traitement " du groupe IBM et à leurs annexes, seules peuvent être transférées, dans le cadre des finalités décrites ci-dessus, les catégories de données à caractère personnel suivantes : Pour les transferts relatifs aux données personnelles des salariés, prestataires, consultants, intérimaires et stagiaires : état civil/identité/données d’identification ; vie professionnelle ; vie personnelle ; données de connexion ; données de localisation. Pour les transferts relatifs aux données personnelles des clients : état civil/identité/données d’identification ; vie personnelle ; vie professionnelle ; informations d’ordre économique et financier. Pour les transferts relatifs aux données personnelles des salariés et assimilés état civil/identité/données d’identification ; vie professionnelle ; vie personnelle ; données de connexion ; données de localisation ; numéro de sécurité sociale (uniquement dans le cadre de la gestion de la paie) ; informations d’ordre économique et financier ; infractions, condamnations, mesures de sûreté (dans le respect de la législation locale applicable) ; données biométriques ; décès des personnes. Pour les transferts relatifs aux données personnelles des clients et prospects : état civil/identité/données d’identification ; vie professionnelle ; informations d’ordre économique et financier ; données de connexion ; Pour les transferts relatifs aux données personnelles des clients des clients : état civil/identité/données d’identification ; vie professionnelle ; informations d’ordre économique et financier ; données de connexion ; Pour les transferts relatifs aux données personnelles des fournisseurs, prestataires de services, partenaires, partenaires commerciaux : état civil/identité/données d’identification ; vie professionnelle ; informations d’ordre économique et financier ; données de connexion ; Pour les transferts relatifs aux données personnelles des visiteurs : état civil/identité/données d’identification ; vie professionnelle. Article 4 : Sur les catégories de personnes concernées par les transferts Conformément au champ matériel et à la description des transferts couverts par les BCR responsable de traitement du groupe IBM et à leurs annexes, seules peuvent être transférées, dans le cadre des finalités décrites ci-dessus, les données à caractère personnel relatives aux catégories de personnes suivantes : salariés et assimilés (ex: anciens employés, intérimaires, candidats, stagiaires, apprentis, etc.) ; clients (actuels ou potentiels) clients de clients ; fournisseurs, prestataires de services et partenaires ; partenaire commerciaux ; visiteurs. Article 5 : Sur les destinataires habilités à accéder aux données transférées Seules peuvent être habilitées à accéder aux données les entités du groupe IBM juridiquement liées aux BCR responsable de traitement du groupe IBM dont la liste à jour a été fournie à la Commission nationale de l'informatique et des libertés. Article 6 : Sur les informations relatives à chaque transfert Les responsables de traitement doivent tenir à disposition des services de la Commission nationale de l'informatique et des libertés une liste (voir modèle proposé en annexe 1 de la présente délibération) détaillée et à jour des transferts effectués sur la base des BCR " responsable de traitement " du groupe IBM, précisant, pour chaque transfert, les informations suivantes : la finalité générale du transfert ; la ou les catégories de données à caractère personnel transférées ; la ou les catégories de personnes concernées par le transfert ; les informations relatives à chaque destinataire des données : raison sociale ; nom du groupe auquel le destinataire appartient et ayant adopté des BCR " responsable de traitement " ; pays d’établissement ; catégorie de destinataire (ex : maison-mère, filiale) et nature du traitement opéré par ce dernier. Article 7 : Sur les droits d'accès, de rectification et d'opposition des personnes Les droits d’accès, de rectification et d’opposition des personnes concernées définis au chapitre V de la loi du 6 janvier 1978 modifiée s’exercent auprès du ou des services que les responsables de traitement auront désignés. Article 8 : Sur l'information des personnes Les responsables de traitement doivent avoir clairement informé les personnes concernées de l’existence de transferts de données vers des pays tiers et des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition, dans les conditions prévues par les dispositions des articles 90 et 91 du décret du 20 octobre 2005 modifié. La présente délibération sera publiée au Journal officiel de la République française. Pour La Présidente Le Vice-Président délégué Marie-France MAZARS Annexe 1 : Modèle de documentation sur les transferts de données à caractère personnel encadrés par des BCR " responsable de traitement " Transfert n°1 Modifications (préciser la date et l’objet) Date de mise en œuvre Finalité générale du transfert Catégories de personnes concernées Nature des données personnelles transférées Destinataire 1 Raison sociale Pays d’établissement Type de destinataire (ex : maison-mère, filiale) Nature du traitement opéré par le destinataire (ex : lecture seule, saisie) Destinataire 2 Raison sociale Pays d’établissement Type de destinataire (ex : maison-mère, filiale) Nature du traitement opéré par le destinataire (ex : lecture seule, saisie)


Délibération n° 2017-244 du 7 septembre 2017 portant avis sur un projet d’arrêté modifiant l’arrêté du 23 juillet 2015 portant création d’un traitement de données à caractère personnel dénommé " GISTRID " relatif aux transferts transfrontaliers de déchets.
(demande d’avis n° 1846302 V1)

La Commission nationale de l'informatique et des libertés, Saisie par la ministre de l’environnement, de l’énergie et de la mer, chargée des relations internationales sur le climat, d’une demande d’avis concernant un projet d’arrêté modifiant l’arrêté du 23 juillet 2015 portant création d’un traitement automatisé de données à caractère personnel dénommé " GISTRID " relatif aux transferts transfrontaliers de déchets ; Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; Vu la convention de Bâle du 22 mars 1989 sur le contrôle des mouvements transfrontaliers de déchets dangereux et leur élimination par les Etats membres ; Vu le règlement (CE) n° 1013/2006 du Parlement européen et du Conseil du 14 juin 2006 modifié concernant les transferts de déchets ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 27-II-4° ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; Vu la délibération n° 2015-269 du 16 juillet 2015 portant avis sur un projet d’arrêté portant création d’un traitement de données à caractère personnel relatif aux transferts transfrontaliers ; Après avoir entendu M. Eric PERES, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations, Émet l’avis suivant : La Commission nationale de l’informatique et des libertés a été saisie par le ministère de l’environnement, de l’énergie et de la mer d’une demande d’avis concernant un projet d’arrêté modifiant l’arrêté du 23 juillet 2015 portant création d’un traitement automatisé de données à caractère personnel dénommé " GISTRID " relatif aux transferts transfrontaliers de déchets. Ce traitement vise à faciliter la gestion et le suivi des demandes et des documents transmis dans le cadre des opérations de transferts transfrontaliers de déchets au sens du règlement du 14 juin 2006 susvisé, qui organise et règlemente la surveillance et le contrôle des transferts de déchets. Il comporte notamment un téléservice de l’administration électronique, au sens des dispositions de l’article 27-II-4° de la loi du 6 janvier 1978 modifiée, et a ainsi été autorisé par l’arrêté précité du 23 juillet 2015, pris après l’avis susvisé de la Commission en date du 16 juillet 2015. En application des dispositions prévues aux articles 27-II-4° et 30 de la loi du 6 janvier 1978 modifiée, les modifications apportées audit arrêté, qui concernent uniquement les destinataires du traitement GISTRID, doivent dès lors faire l’objet d’un avis motivé et publié de la Commission. L’arrêté en vigueur prévoit que les destinataires autorisés à accéder au traitement sont, à raison de leurs attributions et pour les besoins exclusifs des missions qui leur sont confiées, les personnels individuellement désignés suivants : les agents des directions régionales de l'environnement, de l'aménagement et du logement, des directions de l'environnement, de l'aménagement et du logement et de la direction régionale et interdépartementale de l'environnement et de l'énergie d'Ile-de-France ; les agents de la direction générale de la prévention des risques du ministère de l'écologie, du développement durable et de l'énergie ; les agents du service de l'observation et des statistiques du Commissariat général du développement durable du ministère de l'écologie, du développement durable et de l'énergie. Le projet d’arrêté modificatif vise à permettre en premier lieu aux agents dûment habilités de la police, de la gendarmerie et des douanes de recevoir communication des données enregistrées dans le traitement GISTRID. A cet égard, la Commission relève que l’article 53 du règlement (CE) n° 1013/2006 impose aux Etats membres, à partir de 2017, une obligation de planification des inspections des transferts transfrontaliers de déchets, afin de renforcer les contrôles et de rendre plus efficace la lutte contre les trafics illicites. Ces inspections peuvent notamment être conduites par les agents des forces de l’ordre et des services des douanes. Leur planification doit nécessairement faire l’objet d’une concertation entre les autorités compétentes et l’accès de ces nouveaux destinataires aux données enregistrées dans le traitement GISTRID apparaît dès lors légitime. Le projet d’arrêté prévoit en second lieu la communication d’informations issues du traitement aux autorités étrangères compétentes en matière de transferts transfrontaliers de déchets désignées par les Parties à la Convention de Bâle susvisée et par les Etats membres au titre du règlement précité du 14 juin 2006. A cet égard, la Commission relève que ces autorités reçoivent déjà, dans le cadre de leurs missions, communication sous format papier des mêmes informations que celles enregistrées dans le traitement GISTRID, dans les conditions prévues par les dispositions précitées. Les modifications prévues visent à leur permettre de disposer d’un accès dématérialisé à ces données, afin de faciliter les échanges entre autorités compétentes en matière de transferts transfrontaliers de déchets. Au vu des finalités du traitement GISTRID, la Commission estime que cette modification est conforme aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée. Pour La Présidente, Le Vice-Président délégué, Marie-France MAZARS


Délibération n° 2017-312 du 7 décembre 2017 portant avis sur un projet d’arrêté relatif à la mise en œuvre de traitements automatisés de données à caractère personnel destinés à la vidéosurveillance et au contrôle de l’accès aux locaux des Archives nationales situés à Paris et à Pierrefitte-sur-Seine
 (demande d’avis n° 2061863)

La Commission nationale de l'informatique et des libertés, Saisie par la ministre de la culture et de la communication d’une demande d’avis concernant un projet d’arrêté relatif à la mise en œuvre de traitements automatisés de données à caractère personnel destinés à la vidéosurveillance et au contrôle de l’accès aux locaux des Archives nationales situés à Paris et à Pierrefitte-sur-Seine ; Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu le code de la sécurité intérieure, notamment ses articles L. 251-1 et suivants ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment le I de son article 26 ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; Vu le dossier et ses compléments ; Sur la proposition de Mme Laëtitia AVIA, commissaire, et après avoir entendu les observations de M. Michel TEIXEIRA, adjoint au commissaire du Gouvernement, Émet l’avis suivant : La Commission nationale de l’informatique et des libertés a été saisie pour avis par le ministère de la culture d’un projet d’arrêté relatif à la mise en œuvre de traitements automatisés de données à caractère personnel destinés à la vidéosurveillance et au contrôle de l’accès aux locaux des Archives nationales situés à Paris et à Pierrefitte-sur-Seine. Les traitements projetés ont pour finalité de prévenir, constater et poursuivre des infractions pénales et peuvent concerner des lieux intéressant la sûreté de l’État et la sécurité publique. Il y a dès lors lieu de faire application des dispositions de l’article 26-I de la loi du 6 janvier 1978 modifiée qui soumettent la création de tels traitements à un arrêté ministériel pris après avis motivé et publié de la Commission. Sur les finalités des traitements : A titre liminaire, la Commission rappelle que l’installation de caméras dans des espaces ouverts au public ne saurait être couverte par le présent projet d’arrêté sur le fondement des dispositions de la loi du 6 janvier 1978 modifiée et doit faire l’objet d’une demande d’autorisation auprès de l’autorité préfectorale territorialement compétente, conformément aux dispositions du code de la sécurité intérieure. Les traitements projetés ont pour objectif la sécurisation des locaux non ouverts au public des Archives nationales qui présentent des risques particuliers en matière de sécurité. Plus précisément, l’article 1er dudit projet leur assigne deux finalités : d’une part, la protection des locaux et la prévention des atteintes aux biens et aux personnes par le recours à des dispositifs de vidéosurveillance et, d’autre part, le contrôle d’accès des personnes entrant dans ces mêmes lieux. Il précise que les dispositifs de contrôle d’accès et de vidéosurveillance peuvent être mis en œuvre de manière dissociée ou intégrée. La Commission prend acte que les dispositifs projetés ne visent pas à surveiller les membres du personnel des Archives nationales. Elle relève toutefois que, s’agissant des dispositifs de vidéoprotection, les images collectées pourront être utilisées, le cas échéant, dans le cadre d’une procédure disciplinaire à l’encontre d’un agent ayant mis en jeu la sécurité du site concerné, dans la mesure où cette utilisation n’apparaît pas incompatible avec les finalités qu’ils poursuivent. De manière générale, elle rappelle qu’un dispositif de vidéosurveillance installé sur un lieu de travail ne peut, par principe, avoir pour objet de placer un salarié ou un groupe de salariés sous surveillance constante. Les bâtiments concernés sont les locaux non ouverts au public des sites des Archives nationales de Paris et de Pierrefitte-sur-Seine qui présentent des risques particuliers en matière de sécurité, notamment les " zones et locaux abritant le système d’information ISIS (messagerie et portail étatique de niveau confidentiel défense) ou abritant des données équivalentes ". Il s’agit plus précisément des couloirs qui mènent aux magasins sécurisés d’archives et des magasins eux-mêmes, ainsi que des zones " frontières " entre les lieux ouverts au public et ceux réservés au personnel. Les caméras filmant spécifiquement ces zones enregistrent en continu, jour et nuit, et ne sont pas équipées d’un détecteur de mouvement déclenchant leur mise en marche. Aux termes de l’article 1er du projet d’arrêté, les dispositifs de vidéosurveillance ne peuvent être installés dans les " lieux d’intimité, ceux destinés aux activités syndicales ainsi que leurs accès et les endroits où sont susceptibles d’être tenus des échanges couverts par le secret professionnel ". Sont donc notamment exclus les dispositifs de vidéosurveillance qui filmeraient les toilettes, les vestiaires, les salles de repos et les locaux syndicaux. S’agissant des dispositifs de contrôle d’accès, il est prévu l’utilisation d’un badge permettant d’accéder aux locaux des sites des Archives nationales concernés et l’installation de détecteurs d’intrusion. La Commission relève qu’aucun autre type de dispositifs de contrôle d’accès, tels que ceux reposant sur l’utilisation de la biométrie, n’est prévu par le projet d’arrêté. Si, du fait de la spécificité de certains locaux, des dispositifs d’accès biométriques devaient être mis en œuvre, ceux-ci devraient faire l’objet d’une formalité préalable distincte auprès de la Commission. Au regard de ces éléments, la Commission considère que les finalités poursuivies par les traitements projetés sont déterminées, explicites et légitimes, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée. Sur les personnes concernées et la nature des données traitées : L’article 2 du projet d’arrêté énumère les catégories de données à caractère personnel et informations enregistrées dans les traitements mis en œuvre. Aux fins du contrôle d’accès et quelle que soit leur qualité (agents, prestataires, visiteurs), toutes les personnes entrant dans les sites concernés des Archives nationales font l’objet d’une collecte de données, dans la mesure où l’accès à ces locaux présentant des risques particuliers en matière de sécurité doit faire l’objet d’une délivrance préalable de droits d’accès spécifiques. Sont notamment collectés leurs nom et prénom, le nom de l’agent chargé de la délivrance des droits d’accès, les données relatives aux entrées et sorties, aux droits d’accès, aux éventuels incidents liés notamment au non-respect d’une interdiction d’accès ou à une tentative d’intrusion, une photographie d’identité et les images captées par le dispositif de vidéosurveillance. En ce qui concerne la collecte de la photographie des personnes concernées, la Commission prend acte que le contrôle d’accès par reconnaissance faciale est expressément interdit par le projet d’arrêté. D’autres catégories de données relatives aux accès et énumérées au même article du projet d’arrêté sont collectées et enregistrées, s’agissant des agents des sites des Archives nationales (sexe, numéro d’identification, adresse professionnelle, service d’affectation, plaque d’immatriculation en cas d’utilisation du parking), des prestataires habilités (sexe, type de prestation, nom et adresse de la société d’emploi, plaque d’immatriculation en cas d’utilisation du parking), ainsi que des visiteurs (motifs de la visite, nom de la personne visitée et service d’affectation). Elles n’appellent pas d’observation particulière de la part de la Commission. S’agissant spécifiquement des dispositifs vidéo, le projet d’arrêté prévoit que la captation ou l’enregistrement du son ne sont pas autorisés. La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées, conformément à l’article 6-3° de la loi du 6 janvier 1978 modifiée. Sur la durée de conservation des données : L’article 5 du projet d’arrêté prévoit que les images enregistrées par les caméras de vidéosurveillance sont conservées pendant un délai ne pouvant excéder trente jours. Au terme de ce délai, il est prévu que les enregistrements qui n’ont fait l’objet d’aucune transmission à l’autorité judiciaire ou qui n’ont pas été utilisées dans le cadre de poursuites disciplinaires soient effacés. La Commission rappelle que cet effacement doit intervenir de manière sécurisée. Cet article prévoit en outre que les éléments d’identification enregistrés dans les traitements mis en œuvre à des fins de contrôle d’accès sont conservés un an au plus à compter de la fin de la validité de l’autorisation d’accès pour les agents et les prestataires et trois mois au plus pour les visiteurs. Les éléments relatifs au déplacement des agents, prestataires et visiteurs sont quant à eux conservés trois mois au plus, à compter de la date de passage de la personne concernée. La Commission estime que ces durées de conservation sont conformes à l’article 6-5° de la loi du 6 janvier 1978 modifiée. Sur les accédants et destinataires des données : L’article 3 du projet d’arrêté prévoit que seuls ont accès aux données à caractère personnel, à raison de leurs attributions respectives et de leurs besoins d’en connaître : les agents chargés de la sécurité et de la surveillance du site concerné, spécialement désignés et individuellement habilités par le directeur des Archives nationales ou le chef du service de la sécurité et de la sûreté des Archives nationales ou le responsable du pôle sûreté du site concerné ; le directeur des Archives nationales, le chef du service de la sécurité et de la sûreté des Archives nationales, le responsable du pôle sûreté du site concerné au sein duquel les traitements sont mis en œuvre. Ce même article prévoit que seuls les agents spécialement désignés et individuellement habilités par le directeur des Archives nationales ou le chef du service de la sécurité et de la sûreté des Archives nationales ou le responsable du pôle sûreté du site concerné peuvent rechercher et extraire des images ou des informations des systèmes de vidéosurveillance et de contrôle d’accès. A cet égard, la Commission rappelle que toute opération de recherche ou d’extraction ne doit intervenir qu’en cas d’atteinte avérée à la sécurité d’un site présentant des risques particuliers en matière de sécurité. La liste des personnes habilitées à accéder aux données à caractère personnel n'appelle pas d'observation de la part de la Commission, qui prend acte qu’aucun autre destinataire n’est prévu par le projet d’arrêté. Sur l'information et les droits des personnes : L’article 9 du projet d’arrêté prévoit que les personnes susceptibles d’être filmées sont informées de l’existence d’un système de vidéosurveillance et des modalités d’accès aux images les concernant par affiches apposées à l’entrée des locaux concernés. Il est également prévu que la mise en œuvre des dispositifs de vidéosurveillance n’intervienne qu’après avis des comités compétents en matière d’hygiène, de sécurité et des conditions de travail. La Commission prend acte de ces éléments, ainsi que du fait que le ministère procédera à l’information des personnes concernées dans les conditions prévues à l’article 32-I de la loi du 6 janvier 1978 modifiée, y compris en ce qui concerne les dispositifs de contrôle d’accès. Le droit d’opposition prévu à l’article 38 de cette même loi ne s’applique pas aux traitements autorisés par le projet d’arrêté, ce qui n’appelle pas d’observation particulière de la Commission. Enfin, il est prévu que les droits d’accès et de rectification prévus aux articles 39, 40 et 41 de la loi " Informatique et Libertés " s’exercent directement auprès du service des Archives nationales. La Commission prend acte qu’il est notamment fait application des dispositions prévues au dernier alinéa de l’article 41 de cette même loi, qui permettent, lorsque la communication d’informations aux personnes concernées ne met pas en cause la finalité d’un traitement, comme cela est le cas en l’espèce, de prévoir un droit d’accès direct dudit fichier. Sur la sécurité des données et la traçabilité des actions : L’article 4 du projet d’arrêté prévoit que toutes les opérations intervenant sur le traitement, y compris de recherche, d’extraction ou les simples consultations des données, font l’objet d’un enregistrement comprenant l’identifiant de l’utilisateur, la date et l’heure de l’opération. Ces données sont conservées pendant une durée d’un an. L’article 1er du projet d’arrêté prévoit que les traitements peuvent être mis en œuvre au sein des serveurs des postes centraux de sécurité des deux sites concernés à des fins de sécurité. S’agissant des données collectées dans le cadre des dispositifs de contrôle d’accès, la Commission relève que les images collectées sont visionnées en temps réel ou de manière différée, circonscrites à un réseau informatique local en l’absence de transmission WIFI. Concernant la collecte de la photographie d’identité, la Commission rappelle que des mesures de sécurité renforcées, telle que, par exemple, la limitation de la qualité de l’image numérisée, l’intégration d’un filigrane comportant la date de collecte et l’identité du responsable de traitement ou le recours à des mécanismes de chiffrement, doivent être mises en œuvre afin de se prémunir contre les risques de mésusage de ces données et, notamment, d’utilisation des photographies à des fins de reconnaissance faciale. Enfin, le projet d’arrêté prévoit l’établissement d’un dossier technique décrivant les dispositifs mis en place, lequel est conservé sur le site des Archives nationales concerné et tenu à la disposition de la Commission. La Commission rappelle que tous les dispositifs mis en œuvre devront bénéficier de mesures de sécurité satisfaisante afin de préserver la sécurité des données et notamment d’empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès. Conformément aux dispositions de l’article 34 de la loi du 6 janvier 1978 modifiée, ces mesures de sécurité devront faire l’objet d’une mise à jour régulière au regard de l’évolution des risques encourus. La Présidente Isabelle FALQUE-PIERROTIN


Délibération n° 2019-072 du 23 mai 2019 portant avis sur un projet du décret relatif à la création de traitements de données à caractère personnel relatifs aux ressources des assurés sociaux
(demande d’avis n° AV 19006432)

Extrait du Journal officiel électronique authentifié PDF - 2,3 Mo


Délibération de la formation restreinte n°SAN-2023-012 du 13 juillet 2023 relative à l’injonction prononcée à l’encontre des sociétés X et Y par la délibération no SAN-2021-023 du 31 décembre 2021

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Philippe-Pierre CABOURDIN, vice-président, Mesdames Anne DEBET et Christine MAUGÜÉ, et Messieurs Alain DRU et Bertrand du MARAIS, membres ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ; Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ; Vu la délibération n° SAN-2021-023 du 31 décembre 2021 adoptée par la formation restreinte à l’encontre des sociétés X et Y ; Vu les éléments transmis par les sociétés X et Y les 4 avril, 19 avril, 25 mai et 15 juin 2022, pour démontrer leur conformité à l’injonction ; Vu le courrier du 5 août 2022, par lequel le président de la formation restreinte a demandé au rapporteur d’intervenir à nouveau dans la procédure aux fins d’instruction de ces éléments ; Vu la demande complémentaire de Madame Valérie PEUGEOT, commissaire rapporteure, notifiée aux conseils des sociétés X et Y le 25 janvier 2023 ; Vu le courrier du 28 avril 2023, en réponse à la demande complémentaire, transmis par les sociétés X et Y ; Vu les autres pièces du dossier ; Après en avoir délibéré lors de la séance du 13 juillet 2023, a adopté la décision suivante : FAITS ET PROCÉDURE La décision no SAN-2021-023 du 31 décembre 2021, notifiée à la société X le 14 janvier 2022 et le 17 janvier 2022 à la société Y, a enjoint aux sociétés X et Y (ci-après … ) de : de modifier, sur les sites web […].fr et […].com , les modalités de recueil du consentement des utilisateurs situés en France aux opérations de lecture et/ou d’écriture d’informations dans leur terminal, en leur offrant un moyen de refuser ces opérations présentant une simplicité équivalente au mécanisme prévu pour leur acceptation, afin de garantir la liberté de leur consentement . Cette injonction était assortie d’une astreinte de cent mille euros (100 000) euros par jour de retard à l’issue d’un délai de trois mois suivant la notification de la délibération de la formation restreinte, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai. Le 4 avril 2022, dans le délai fixé par la délibération, […] a adressé au président de la formation restreinte des éléments en vue de justifier sa mise en conformité, en présentant les mesures qu’elle comptait mettre en œuvre à partir de mi-avril 2022 sur […] et à la fin du mois d’avril ou dans les premières semaines de mai 2022 s’agissant de […]. Les modifications consistaient en l’adaptation du parcours utilisateur de façon à ce que les fenêtres surgissantes relatives aux cookies, qui apparaissent lorsque l’utilisateur se rend sur les sites web des sociétés, comprennent désormais un bouton de refus intitulé Tout refuser . Les 19 avril, 25 mai et 15 juin 2022, […] a adressé au président de la formation restreinte les justificatifs attestant du déploiement sur les sites web […].fr et […].com de ces nouvelles fenêtres surgissantes relatives aux cookies. Par courrier du 5 août 2022, le président de la formation restreinte a demandé à la rapporteure d’intervenir à nouveau aux fins d’instruction de ces éléments, sur le fondement de l’article 44 du décret n°2019-536 du 29 mai 2019, pour s’assurer de l’effectivité du mécanisme de refus mis en œuvre par la société. Dans ce but, après une analyse notifiée à […] le 25 janvier 2023, la rapporteure a demandé à […] de lui indiquer, dans un délai de 2 mois, des éléments d’informations complémentaires. Par courrier du 28 avril 2023, […] a apporté les précisions demandées. MOTIFS DE LA DECISION La formation restreinte relève qu’il ressort des éléments fournis par la société dans ses différents courriers que les personnes se rendant sur les sites web […].fr et […].com se voient désormais proposer un moyen de refuser les opérations de lecture et/ou écriture d’informations dans leur terminal présentant une simplicité équivalente au mécanisme prévu pour leur acceptation. Les modalités proposées permettant de garantir la liberté du consentement des utilisateurs, la formation restreinte considère que les sociétés X et Y ont satisfait à l’injonction dans le délai imparti. PAR CES MOTIFS La formation restreinte de la CNIL, après en avoir délibéré, décide : de dire n’y avoir lieu à liquidation de l’astreinte ; de rendre publique, sur le site de la CNIL et sur le site de Légifrance, la présente délibération qui n’identifiera plus nommément les sociétés à l’expiration d’un délai de deux ans, le point de départ étant la publication de la délibération n° SAN-2021-023 du 31 décembre 2021. Le vice-président Philippe-Pierre CABOURDIN