Smart Action
Protection des données personnelles

La réalisation d’une analyse d’impact relative à la protection des données, ou AIPD, est obligatoire avant de mettre en œuvre un traitement si ce dernier susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques (RGPD, art. 35, § 1).

• Plus particulièrement, l’AIPD est requise dans les cas suivants, énoncés par le RGPD (art. 35) : l'évaluation systématique et approfondie d'aspects personnels concernant des personnes physiques, qui est fondée sur un traitement automatisé, y compris le profilage, et sur la base de laquelle sont prises des décisions produisant des effets juridiques à l'égard d'une personne physique ou l'affectant de manière significative de façon similaire ;
• le traitement à grande échelle de catégories particulières de données ou de données à caractère personnel relatives à des condamnations pénales et à des infractions ; ou la surveillance systématique à grande échelle d'une zone accessible au public.

Le G29, aujourd’hui rebaptisé CEPD (Comité européen de la protection des données), a pour cela donné des exemples de traitements susceptibles de présenter un tel risque (Lignes directrices du G29 WP248, 4 avr. 2017).

Il a également établi une liste de 9 critères pour aider les responsables de traitement à répondre à l’obligation ou non d’effectuer une AIPD. Si le traitement répond à au moins 2 de ces critères, alors l’AIPD est impérative.

Enfin, plus récemment au niveau national, la CNIL a adopté des lignes directrices pour compléter celles établies par le G29 et a dressé la liste, non-exhaustive, des traitements pour lesquels l’AIPD est requise. Notez qu’en cas de doute, la réalisation de l’AIPD demeure fortement conseillée.

Voir la fiche pratique : Evaluer les risques et établir une analyse d’impact

Le RGPD précise que pour tout traitement, les données doivent être conservées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées (RGPD, art. 5, § 4).

En matière d’utilisation de la carte bancaire lors d’une vente à distance, la CNIL a récemment eu l’occasion de rappeler que les données nécessaires au paiement (numéro de la carte, date de validité et cryptogramme) ne doivent pas être conservées au-delà de la transaction (Délib CNIL n° 2018-303, 6 sept. 2018).

Pour autant, il existe des cas dans lesquels les données bancaires pourront être conservées par défaut, notamment pour faciliter les achats ultérieurs. Dans ce cas, le consentement des personnes doit être recueilli (case à cocher par exemple) et le commerçant doit leur fournir une information claire et complète et leur permettre d’exercer les droits qu’ils détiennent en vertu du RGPD, notamment la suppression de leurs données de carte bancaire.

La CNIL a identifié plusieurs finalités de traitement en fonction desquelles la durée de conservation des données varie :

• Pour les achats ponctuels, les données sont conservées pendant le délai nécessaire à la réalisation de la transaction, augmenté, le cas échéant, du délai de rétractation prévu pour les ventes de biens et fournitures de prestations de services à distance ;
• Pour les paiements échelonnés, la conservation de ses données bancaires est justifiée :
  • jusqu'à la dernière échéance de paiement, si l'abonnement ne prévoit pas de tacite reconduction ;
  • jusqu'à résiliation de l'abonnement en cas de renouvellement par tacite reconduction ;
• Pour la gestion des réclamations, le numéro de carte et la date de validité peuvent être conservées 13 mois suivant la date de débit (jusqu’à 15 mois pour les cartes de paiement à débit différé).
• Si les données sont collectées par un organisme assujetti aux obligations de lutte contre le blanchiment de capitaux pour offrir une solution de paiement à distance, elles peuvent être conservées jusqu'à la clôture du compte ;
• Si le numéro de la carte est utilisé à d'autres fins (simple option visant à faciliter les achats ultérieurs, abonnement donnant accès à des services additionnels ou traitement de lutte contre la fraude), sa durée de conservation ne saurait excéder la durée nécessaire à l'accomplissement de cette finalité.

Enfin, compte tenu du caractère hautement personnel des données bancaires et de la gravité des impacts pour les personnes en cas de violation de leurs données, la CNIL rappelle la nécessité de réaliser une analyse d’impact (AIPD).

Voir la fiche conseils

Le RGPD définit un traitement comme « toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction » (RGPD, art. 4, 2).

Cette définition, extrêmement large, permet de considérer que la majorité des actions effectuées sur des données à caractère personnel, qu'elles soient automatisées ou manuelles, constituent des traitements et entrent, par conséquent, dans le champ d'application du règlement.

Attention, tous les traitements papier ne sont pas pour autant concernés par le RGPD ! Ce dernier s’applique au traitement manuel uniquement si les données figurent dans un fichier (dans le cas d'un traitement automatisé, la présence d'un fichier n'est pas exigée).

Constitue un fichier « tout ensemble structuré de données à caractère personnel accessibles selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique » (RGPD, art. 4, 6). Sont en revanche exclus de cette catégorie « les dossiers ou ensembles de dossiers de même que leurs couvertures, qui ne sont pas structurés selon des critères déterminés » (RGPD, considérant 15).

Pour aller plus loin, consultez notre fiche pratique : Êtes-vous concerné par le RGPD ?

La biométrie fait partie des catégories particulières de données dont le traitement est en principe interdit par l’article 9 du RGPD.

Le 10 janvier 2019, la CNIL a adopté un règlement type relatif à la mise en œuvre de dispositifs ayant pour finalité le contrôle d’accès par authentification biométrique aux locaux, aux appareils et aux applications informatiques sur les lieux de travail.

Ce règlement fixe des exigences spécifiques applicables aux traitements de données biométriques nécessaires au contrôle par les employeurs publics ou privés de l’accès aux lieux de travail ainsi qu’aux appareils et aux applications utilisés dans le cadre des missions confiées aux salariés, aux agents, ou aux prestataires. Pour ce type de traitement, une analyse d’impact préalable est impérative.

Pour rappel, s’entendent comme données biométriques les données à caractère personnel résultant d’un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d’une personne physique, qui permettent ou confirment son identification unique, telles que des images faciales ou des données dactyloscopiques (RGPD, art. 4).

En milieu professionnel, seule l’authentification biométrique basée sur des caractéristiques morphologiques des personnes concernées est autorisée. L’authentification biométrique nécessitant un prélèvement biologique (salive, sang, etc.) est proscrite dans le champ du règlement type de la CNIL.

Le choix du ou des types de biométrie (iris, empreinte digitale, réseau veineux de la main, etc.) doit être justifié et documenté par l’employeur. Il doit notamment démontrer la nécessité de recourir à un tel traitement, en indiquant les raisons pour lesquelles le recours à d’autres dispositifs d’identification (badges, mots de passe, etc.) ou mesures organisationnelles et techniques de protection ne permet pas d’atteindre le niveau de sécurité exigé.

Pour aller plus loin, consultez notre fiche pratique « Connaître les règles applicables au traitement de données sensibles »

Non ! Le moteur de recherche doit faire une appréciation au cas par cas.

La Cour de justice de l'UE a rendu un arrêt le 24 septembre 2019 qui a permis de clarifier la portée du droit au déréférencement, issu de l'article 17 du RGPD (lire notre article sur l'arrêt CJUE, 24 sept. 2019, aff. C-507/17, Google LLC c/ CNIL).

La Cour explique que l'exploitant d'un moteur de recherche doit, sur la base de tous les éléments pertinents du cas d'espèce et compte tenu de la gravité de l'ingérence dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, qui sont des droits fondamentaux de l'UE, vérifier si l'inclusion d'un lien litigieux dans la liste de résultats, affichée à la suite d'une recherche effectuée à partir du nom de la personne, s'avère strictement nécessaire pour protéger la liberté d'information des internautes potentiellement intéressés à avoir accès à cette page web au moyen d'une telle recherche.

Il s'agit donc d’une mise en balance entre d'un côté, l’intérêt du public à avoir accès à l'information et de l'autre côté, le respect des droits et libertés des personnes concernées. Le Conseil d’État, qui a rappelé que le droit au déréférencement n'est pas absolu, a adhéré à la position de la CJUE dans les 13 arrêts qu’il a rendus le 6 décembre 2019.

Bien entendu, plus les données sont considérées comme sensibles, plus le moteur de recherche devra justifier de l'intérêt du public à y avoir un accès strictement nécessaire.

A noter que le Comité européen de protection des données a adopté des lignes directrices sur les critères du droit au déréférencement d'un moteur de recherche, actuellement en consultation publique.

Pour aller plus loin, consultez notre fiche pratique « Gérer une demande de déréférencement » de la Smart Action Protection des données personnelles.

La généralisation du recours au télétravail en raison de la pandémie de Covid-19 impose le respect de certaines règles, afin de protéger les données de l’entreprise mais aussi les données personnelles des salariés. La CNIL a récemment fait le point sur les bonnes pratiques à suivre.

• Sécuriser sa connexion internet (utiliser un wifi sécurisé par un mot de passe complexe)
• Favoriser l’utilisation d’équipements fournis par l’entreprise, et utiliser le VPN (Virtual private network) mis à disposition par l’entreprise
• Ou, en cas d’utilisation d’un équipement personnel, s’assurer qu’il est suffisamment sécurisé (pare-feu, mises à jour des logiciels et du système d’exploitation, sauvegardes, utilisation de mots de passe forts)
  La CNIL propose un outil pour générer des mots de passe suffisamment robustes : https://www.cnil.fr/fr/generer-un-mot-de-passe-solide
• Sécuriser ses communications (activer le code PIN du téléphone personnel s’il est utilisé à des fins professionnelles, chiffrer ses communications, privilégier le recours aux outils de visioconférence protecteurs de la vie privée)
  La Direction interministérielle du numérique propose un tableau comparatif des solutions de visioconférence disponibles sur le marché
• Restez vigilants face aux tentatives de hameçonnage

Du côté de l’employeur, la rédaction d’une charte informatique est fortement recommandée avec les règles de base à respecter par les collaborateurs. La CNIL préconise aussi les mesures suivantes :

• Authentifier les utilisateurs, limiter les tentatives d’accés et imposer un renouvellement du mot de passe
• Equiper tous les postes d’un pare-feu, d’un antivirus et d un outil de blocage d’accès aux sites malveillants
• Utiliser des protocoles garantissant la confidentialité et l’authentification du serveur destinataire (HTTPS, SFTP, …)
• Effectuer les mises à jour de sécurité
• Consulter régulièrement les journaux d’accès pour détecter des comportements suspects

Pour aller plus loin, voir la fiche pratique Maîtriser les outils de travail à distance de la Smart Action Protection des données personnelles.

Oui ! L’article 26 du RGPD impose qu’un accord définisse les obligations respectives de chacun des co-responsables du traitement.

Les responsables conjoints du traitement définissent de manière transparente leurs obligations respectives aux fins d'assurer le respect des exigences du présent règlement, notamment en ce qui concerne l'exercice des droits de la personne concernée, et leurs obligations respectives quant à la communication des informations visées aux articles 13 et 14, par voie d'accord entre eux

Si l’article 26 ne pose aucune exigence formelle quant à l’établissement de l’accord entre les co-responsables, il reste préférable de recourir à un contrat écrit.

En pratique, l’accord entre les responsables conjoints du traitement devra notamment permettre d’apporter les réponses aux questions suivantes :

• Quelle entité procède à la collecte des données ?
• Qui informe les personnes concernées ?
• Qui assure la sécurité des données à caractère personnel ?
• En cas de recours à un sous-traitant, quelles sont les exigences notamment quant à la sous-traitance ultérieure ?
• Comment les droits des personnes sont-ils gérés ?
• En cas de notification d’une violation de données, quelle sera la coopération entre les parties ?
• Quelle coopération dans la documentation de la conformité du traitement conjointement mis en œuvre ?
• Quel mode d’information ou d’alerte sur les risques de non-conformité est mis en œuvre entre les entités ?