Comment se détermine le responsable du traitement ? s’agit-il de l’association gestionnaire, ou par délégation, du directeur d’établissement ou de service dans lequel le traitement est mise en œuvre ?
L'article 4 alinéa 7 du RGPD dispose : « responsable du traitement», la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement ; lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de l'Union ou le droit d'un État membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l'Union ou par le droit d'un État membre ».
Le critère de la nature de la personne responsable est très large. Toutefois le G29 recommande qu'une telle qualification soit plutôt appliquée à une personne morale qu'à une personne physique (par exemple un salarié de l'entreprise). On est donc dans l'ordre de la responsabilité de l'association représentée par son Président et, par délégation, le Directeur Général. On entre là dans le champ du contentieux et comme il est assez constant il est probable que le juge aille chercher la responsabilité "là où est l'argent" (penser à l'indemnisation) mais l'action récursoire de l'employeur envers son salarié est envisageable.
Date de rédaction de cette réponse : novembre 2017.
fr
Concernant la portabilité des données, si la majorité des traitements se font à l'aide d'applications d’éditeurs, devons-nous alors vérifier la capacité de chacune d’elles à extraire à la demande des données individuelles puis nous retourner vers l’éditeur en cas d’impossibilité ?
Le sous-traitant (ici l'éditeur) est conjointement et solidairement responsable. Autrement dit la responsabilité de l'éditeur n'exonère pas celle de son client. Ce dernier doit s'assurer que le sous-traitant présente des garanties suffisantes. La seule exonération de responsabilité du responsable du traitement et du sous-traitant serait liée au fait que le dommage ne leur est pas imputable (ce qu'il faudrait prouver).
 Date de rédaction de cette réponse : décembre 2017.
fr
Concernant la protection (Privacy by design et Privacy by default), existe-t-il un socle de préconisations opposable à un éditeur ou à un développeur ?
Les principes sont clairement posés dans le règlement et peuvent se résumer ainsi : les données sont collectées pour des finalités déterminées, explicites et légitimes, et ne peuvent pas être traitées ultérieurement d'une manière incompatible avec ces finalités :


 	Les données doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités (article 5, alinéa 1).
 	Les données sont traitées de façon à garantir une sécurité appropriée des données à caractère personnel (article 5, alinéa 1).
 	Le responsable du traitement met en œuvre, à la détermination des moyens du traitement et au moment du traitement lui-même, des mesures techniques et organisationnelles appropriées (article 25, alinéa 1).
 	Il met en œuvre les mesures techniques et organisationnelles pour garantir que seules les données nécessaires au regard de chaque finalité sont traitées (article 25, alinéa 2).
 	Le responsable du traitement tient un registre des activités de traitement avec : - le nom et les coordonnées du responsable du traitement, - les finalités du traitement, - une catégorisation des données (article 30, alinéa 1).

Sur les aspects techniques (sécurité, interopérabilité), c'est la référence à l'état de l'art qui fait foi.

Date de rédaction de cette réponse : janvier 2018.
fr
Concernant la responsabilisation et la conformité des traitements, la chose "semble aisée" lorsqu’il s’agit d’applications gérant des données structurées mais qu'en est-il des fichiers Excel ou autres qu’un utilisateur peut se constituer sans pour autant en informer son DSI ?
C'est un point essentiel. Il s'agit bien de traitement tombant dans le champ du RGPD d'où la nécessité de renforcer nos procédures et de former les salariés. Bien sûr il faudra communiquer de manière continue sur le sujet.
Date de rédaction de cette réponse : novembre 2017.
fr
Dans le cadre de la mise en place d’un nouveau logiciel de gestion de la qualité intégrant des données RH (gestion des entrées et sorties, absentéisme, qualification, contrats de travail, etc.). Devons-nous anonymiser ces données (à l'aide d'un numéro de matricule par exemple) ou pouvons-nous intégrer les noms des salariés avec le recensement de leur consentement respectif ?
Même anonymisées de telles données, croisées entre elles, permettent de lever l'anonymat. Il est en effet envisageable d'anonymiser (par exemple avec un numéro d'enregistrement délivré par le système) puisque le nom n'est ici pas nécessaire ; c'est une mesure de protection de base, mais il sera indispensable de requérir le consentement éclairé des salariés en précisant comment seront présentées les données (notamment l'anonymisation). Il faut aussi être attentif au fait que, dans ce logiciel, toutes les données qui ne sont pas de droit dans l'exécution du contrat de travail pourront faire l'objet, de la part des salariés, de demandes de rectification ou d'effacement, en application de l'article 21 du RGPD.
fr
Dans le cadre de notre développement nous envisageons de recruter un analyste décisionnel. Pourrions-nous compléter son temps par la mission de DPO ?
Il y a très peu d'organismes gestionnaires dont la taille justifie un poste de DPO à temps plein, c'est donc une bonne idée de coupler cette mission avec une autre. Néanmoins, dans ce cas précis, il y a un risque fort de conflit d'intérêt (article 38 alinéa 6 du RGPD). Le DPO ne peut en effet pas être "juge et partie" c'est-à-dire déterminer les finalités et les moyens d'un fichier et se prononcer sur la licéité ou l'impact d'un traitement. La mission d'un analyste décisionnel consiste, entre autres, à croiser les fichiers pour en extraire des représentations (indicateurs, tableaux de bord). Le conflit d'intérêt nous semble ici constitué.
fr
Dans le cadre du traitement des données concernant les usagers, est-ce envisageable d'élaborer un document recensant l'ensemble de ces traitements puis de le faire signer aux usagers, qui pourraient par exemple cocher ou non ce qu’ils valident (afin d'éviter de produire plusieurs documents par usager) ?
Oui, c'est envisageable. Il faudra néanmoins s'assurer que le consentement soit explicite et éclairé, donc apporter la preuve que toutes les informations permettant de comprendre, traitement par traitement, à quoi les usagers consentent leur auront été communiquées. Il vous faudra également être attentifs à la vie de ce document dans la durée (par exemple tout nouveau traitement devra faire l'objet d'un nouveau consentement.
fr
D’un point de vue général, certaines des obligations relèvent de résultats, et d’autres de moyens. Faut-il envisager une segmentation sous cet ange ?
Tout à fait. De manière générale, à ce stade c'est l'obligation de moyens qui doit être mise en avant. Cela d'autant plus que les dispositions relatives à l'application du règlement sont, à ce jour, loin d'être toutes publiées. On peut toutefois pointer certaines obligations de résultats : faire droit, dans un délai d'un mois, à toute demande d'une personne, notifier les failles de sécurité, nommer un DPO, etc. La CNIL française a souhaité que, dans la foulée du RGPD, la loi Informatique et Libertés du 6 janvier 1978 soit réécrite. Dans l'immédiat il nous semble surtout nécessaire d'attester que nous nous sommes saisis de la question.
Date de rédaction de cette réponse : novembre 2017.
fr
Est-ce que le carnet d’adresses d'un smartphone est un traitement ?
Selon nous, la réponse est oui. À partir de là, deux cas de figure :


 	S'il s'agit d'un carnet d'adresse personnel, l'article 2 du RGPD exclut du champ d'application du règlement les traitements réalisés « par une personne physique dans le cadre d'une activité strictement personnelle ou domestique ». Le carnet d'adresse personnel d'un smartphone n'entre donc pas dans le cadre du RGPD.
 	S'il s'agit d'un carnet d'adresse de l'association, il est utilisé par différents collaborateurs et/ou à des usages collectifs (par exemple pour du mailing, de la prospection, de la diffusion d'information, etc.). Nous conseillerions alors de recueillir les consentements explicites et de déclarer cette base de données dans le registre des traitements de l'association.
fr
Extrait de casier judiciaire : l'employeur peut-il le demander et le conserver ?
Voici la position de la CNIL :
En l'absence d'un texte spécifique prévoyant la vérification des casiers judiciaires des employés, l'employeur peut demander à un candidat ou à un employé de produire l'extrait de son casier judiciaire (B3) lors d'un entretien, par exemple afin de vérifier ses antécédents judiciaires.
Toutefois, dans ce cas, l'employeur ne peut pas en conserver une copie ni permettre que ces données fassent l'objet d'un traitement spécifique. La mention des vérifications des casiers effectuées dans le fichier de gestion du personnel sous la forme "oui/non" est suffisante.
Pour l'accès à certaines fonctions dites "sensibles", des textes peuvent prévoir la vérification, par l'employeur ou par certaines autorités délivrant des agréments (par exemple pour les agents de sécurité ou les assistantes maternelles), des casiers judiciaires des employés (bulletins B2 ou B3).
Ces textes peuvent prévoir la durée pendant laquelle l'employeur est tenu de conserver l'extrait du casier judiciaire (3 mois est communément retenu, notamment pour les administrations). En l'absence de précisions dans le texte, le document ne doit pas être conservé.
Lorsque la vérification est assurée par une autorité, l'employeur n'a pas besoin de consulter le casier judiciaire puisque les vérifications sont assurées par une autorité habilitée et que la délivrance de l'agrément est en soi suffisante pour s'assurer de la capacité à occuper l'emploi proposé.
A savoir : La seule mention d'une condamnation ne fait pas nécessairement obstacle à l'exercice d'une fonction dans le secteur privé ou l'administration. La seule raison qui autorise un employeur à refuser une embauche du fait de l'existence de condamnations dans le casier judiciaire résulte d'une incompatibilité de celles-ci avec l'emploi auquel prétend la personne.
fr
La désignation d'un DPO est-elle obligatoire pour un IRTS (Institut régional du travail social) ?
Aux termes de l'article 37 du RGPD, le DPO est obligatoire :


 	lorsque « le traitement est effectué par une autorité publique ou un organisme public »
 	lorsque « les activités de base […] consistent en des opérations de traitement qui, du fait de leur nature, de leur portée et/ou de leurs finalités, exigent un suivi régulier et systématique à grande échelle des personnes concernées ».
 	« les activités de base […]consistent en un traitement à grande échelle de catégories particulières de données visées à l'article 9 ».

Éclaircissements :


 	par « grande échelle » on peut entendre le volume, le territoire ou la durée du traitement (cas du parcours d’un usager) ;
 	s'agissant de la notion de suivi systématique et régulier : le Considérant 24 du Règlement dispose que pour déterminer s’il y a suivi, il convient « d’établir si les personnes physiques sont suivies sur Internet, ce qui comprend l’utilisation ultérieure éventuelle de techniques de traitement des données à caractère personnel qui consistent en un profilage d’une personne physique, afin notamment de prendre des décisions la concernant ou d’analyser ou de prédire ses préférences, ses comportements et ses dispositions d’esprit. » ;
 	l'article 9 du RGPD définit la notion « Traitement sur des catégories particulières de données à caractère personnel », il s'agit notamment des données de santé ;
 	la notion de suivi implique toutes les formes de suivi y compris ceux qui ne sont pas effectués en ligne.

Chacun des motifs rendant la désignation obligatoire d’un Délégué à la protection des données personnelles est à considérer isolément.
Commentaire :


 	Les IRTS sont des personnes morales de droit privé poursuivant une mission d’intérêt général et financées principalement sur fonds publics si l'on se réfère à l'Ordonnance du 23/7/2015 et à l'Article L311-1 du CASF).
 	L'activité principale d'un IRTS implique de suivre les étudiants et donc de traiter d'un volume important de données personnelles les concernant.

Pour ces motifs il paraît bien que la désignation d'un Délégué à la protection des données personnelles soit obligatoire dans un IRTS. Ajoutons que dans les missions du DPO figure celles de conseil et d'information permettant de développer une culture de la protection des données personnelles dans l'entreprise ce qui s'agissant du rôle des IRTS dans la formation des travailleurs sociaux constitue un apport indéniable.
fr
La désignation d'un DPO est-elle obligatoire pour un organisme de formation en travail social ?
S'agissant d'un organisme de formation de travailleurs sociaux indiscutablement oui. Des données personnelles sont en effet traitées à grande échelle, de plus le DPO peut aider à promouvoir la culture de la protection des données auprès des étudiants (les personnes formées).
fr
La nomination d'un DPO est-elle obligatoire ?
La désignation d'un Délégué est rendue obligatoire dans les cas suivants :


 	Les autorités et organismes publics (par exemple, les ministères, collectivités territoriales, établissements publics).
 	Les organismes dont les activités de base les amènent à réaliser un suivi régulier et systématique des personnes à grande échelle. Par exemple : les compagnies d'assurance ou les banques pour leurs fichiers clients, les opérateurs téléphoniques ou les fournisseurs d'accès internet.
 	Les organismes dont les activités de base les amènent à traiter à grande échelle des données dites "sensibles" ou relatives à des condamnations pénales et infractions.

La désignation d’un DPO est une obligation dans le secteur social et médico-social.
fr
Le RGPD : pour quels métiers ?
L’ensemble des métiers de l'entreprise sont concernés (et non pas seulement, par exemple, la direction générale, le DSI ou la direction juridique).
fr
Le RGPD qu’est-ce que c’est ?
Un acte juridique européen. Le règlement s’impose à tous les sujets de droit : particuliers, États, institutions. Il s’applique à tous : les acteurs français, les acteurs européens, les acteurs étrangers qui traitent des données d’européens.
fr
Le RGPD, c'est pour quand ?
La date d’entrée en vigueur est le 24 mai 2016 , pour une mise en application à partir du 25 mai 2018.
fr
Le RGPD, comment se mettre en conformité ?
4 grands points sont à prendre en considération :


 	Vous devez, dès à présent, respecter les principes du RGPD. Vous avez de ce point de vue une obligation de moyens renforcés : plus les données sont critiques et plus vous devez prendre des précautions avec les données et avec ceux de vos salariés qui les manipulent.
 	Vous devez obligatoirement nommer un Délégué à la Protection des Données (DPO).
 	Vous devez documenter votre conformité : tenir un registre des activités de traitement, mettre en place des procédures pour l’accès au droit des personnes, etc
 	Vous devez, pour répondre à toutes ces obligations mettre en œuvre un plan d’action.

La mise en conformité avec le RGPD est un processus
Le RGPD concerne 80% de votre activité de traitement de données. Dès lors ce ne sont pas des mesures ponctuelles qui peuvent suffire à vous libérer de vos obligations. Il va être nécessaire que vous lanciez sans tarder votre projet de mise en conformité. Cette démarche peut être longue (fréquemment de 12 à 36 mois), impactante en termes de ressources humaines et de moyens économiques.
Cependant, au-delà des contraintes lourdes que nous venons d’énoncer la mise en œuvre de ce projet peut être aussi l’occasion pour vous de reprendre la main sur la gouvernance de vos données et d’accroître l’efficacité de votre organisation dans ce domaine.
Nous conseillons de phaser ainsi le processus :
fr
Le RGPD, pour quelles catégories d’entreprises ou organisations ?
Ce règlement s'applique à toute structure (qu'elle soit responsable de traitement des données ou sous-traitant) :


 	ayant un établissement dans l'Union européenne ;
 	ou proposant une offre de biens ou de services visant les personnes qui se trouvent sur le territoire de l'Union européenne. Les actions de profilage visant cette cible sont également concernées.

Il n'y a donc pas de critère de taille d'entreprise, de lieu de stockage des données ou encore de secteur d'activité : toute entreprise qui cible le territoire européen et effectue des traitements de données à caractère personnel est concernée par ce règlement.
fr
Le RGPD, quel périmètre ?
Le périmètre est large puisqu’il concerne tous les traitements sur support physique ou informatique de données à caractère personnel, relatives aux usagers, salariés, bénévoles, partenaires, fournisseurs, traitées par l’organisme gestionnaire. Par exemple un fichier Excel ou Word contenant des données à caractère personnel est un traitement, une notification MDPH est un traitement, etc.
Parmi les données à caractère personnel certaines nécessitent une attention particulière : les données de santé, les données d’infraction, etc.
fr
Le RGPD, quels impacts ?
3 impacts au moins :
• financier : des pénalités lourdes (2 à 4% du CA) et l’indemnisation des victimes,
• juridiques : des condamnations pénales peuvent être encourues,
• image : obligation de notifier les failles de sécurité, actions de groupe.
fr
L’obligation d’analyse d’impact s’applique-t-elle aux traitements déjà en cours au 25 mai ?
Voici la position de la CNIL sur la question : cliquer ici pour consulter l'article de la CNIL.
Dans un souci de simplicité et d’accompagnement, la CNIL n’exigera pas la réalisation immédiate d’une analyse d’impact pour les traitements :


 	qui ont régulièrement fait l’objet d’une formalité préalable auprès de la CNIL avant le 25 mai 2018 (récépissé, autorisation, avis de la CNIL),
 	ou qui ont été consignés au registre d’un correspondant informatique et libertés.

De tels traitements ne seront donc pas soumis immédiatement à l’obligation d’analyse d’impact.
Cependant, le RGPD imposant une réévaluation dynamique des risques, une telle analyse d’impact, pour les traitements en cours et qui sont susceptibles de présenter un risque élevé, devra en principe être réalisée dans un délai raisonnable qui peut être estimé à 3 ans à compter du 25 mai 2018.
En revanche, l’analyse d’impact devra être réalisée, sans attendre l’issue de ce délai de trois ans, dans tous les autres cas où un traitement est susceptible de présenter un risque élevé :


 	pour les traitements antérieurs au 25 mai 2018 n’ayant pas fait l’objet de formalités préalables auprès de la CNIL ;
 	pour les traitements, antérieurs au 25 mai 2018 et régulièrement mis en œuvre, mais qui ont fait l’objet d’une modification substantielle depuis l’accomplissement de leur formalité préalable ;
 	pour tout nouveau traitement après le 25 mai 2018.

La CNIL ajoute : en tout état de cause, la réalisation d’une étude d’impact constitue, dans tous les cas, une bonne pratique facilitant la démarche de mise en conformité au RGPD. Pour plus d’informations sur les PIA, et notamment sur les cas dans lesquels une analyse d’impact sera obligatoire.
fr
Notre prestataire de restauration (une société externe) nous demande de renseigner un fichier mentionnant les régimes. Ce fichier est anonymisé, aucune donnée nominative n'y figure mais ce prestataire nous demande aussi, par ailleurs, de lui communiquer (par scan pdf) les ordonnances de prescription de régime établies par le médecin. Y-a-t-il traitement de données personnelles ? Quelle est notre responsabilité ?
Sans se prononcer sur le fait du bien-fondé pour le prestataire de demander des ordonnances, il y a ici traitement de données personnelles. En effet le croisement du fichier des régimes (anonyme) avec les ordonnances (par essence nominatives) présente un risque d'impact fort. Au delà du traitement de données personnelles, ce sont ici des données sensibles (données de santé) qui sont traitées. La responsabilité du prestataire est ici engagée de même que celle de l'organisme gestionnaire. Il y a lieu de procéder à une étude d'impact et de revoir le contrat qui lie l'organisme gestionnaire avec le prestataire pour s'assurer de sa conformité avec le RGPD (cf. articles 26, 28 et considérant 79 du RGPD).
fr
Qu'en est-il du recueil du consentement des salariés et des adhérents ?
Le principe général est le suivant : tout traitement de données à caractère personnel doit reposer sur (au moins) une base légale. Les bases légales pour un traitement de données à caractère personnel sont les suivantes :


 	le consentement,
 	le respect d'une obligation légale,
 	l’exécution d'un contrat auquel la personne concernée est partie,
 	la sauvegarde de la vie de la personne,
 	la réalisation d'une mission de service public,
 	l'intérêt légitime du responsable de traitement.

Dans la plupart des situations, le consentement n'est pas la seule base légale et il peut lui en être substitué une autre. On peut aussi conjuguer plusieurs bases légales pour une même activité de traitement. Par exemple, les données qui constituent le dossier de l'usager relèvent de l'obligation légale qui est faite aux ESMS de disposer d'un tel dossier. Il n'est donc pas pertinent de demander le consentement. Par ailleurs, deux problèmes peuvent se poser :


 	un consentement doit être "éclairé, libre, spécifique et univoque", ce qui peut être compliqué avec des personnes vulnérables,
 	un consentement se donne et se retire ; or, si vous ne disposez pas des données des personnes accompagnées, vous ne pouvez tout simplement pas les accompagner.

Dans le champ des RH, les juristes de la CNIL estiment que la relation de subordination qui définit le contrat de travail rend toute demande de consentement nulle et non avenue. En effet, l'exécution du contrat de travail suppose que l'employeur collecte et traite des données à caractère personnel de ses employés. De ce point de vue, recourir au consentement pour la totalité du traitement des données RH est un non-sens.
Concernant les bénévoles et les administrateurs, le consentement est une base légale intéressante, car les données traitées ne sont en général pas sensibles et les personnes sont volontaires pour participer à la vie associative. Un formulaire ou une clause de recueil de consentement peut être indiqué.
Enfin, ne pas confondre le recueil du consentement (base légale possible mais pas forcément celle que l'on choisit pour tel ou tel traitement) et l'obligation d'informer les personnes concernées du fait que l'on traite leurs données personnelles. Autrement dit, il n'est pas toujours nécessaire de recueillir le consentement, mais il est obligatoire d'informer les personnes. Enfin on aura garde dans le secteur social et médico-social à ne pas confondre le consentement au traitement de données à caractère personnel avec le consentement à rechercher obligatoirement du côté du patient ou de l'usager au sens du Code de l'Action Sociale et des Familles (article L 311-3) et du Code de la Santé Publique (article L1111-4).
fr
Que faire en cas de refus de collecte et conservation de données de la part d'usager à l’admission ?
Alors que le RGPD érige le droit des personnes les données sont traitées à se voir délivrer des informations relatives aux finalités du traitement, à la durée de conservation des données, au responsable du traitement, etc. il ne requiert pas dans tous les cas le consentement de la personne. Ainsi, si le consentement explicite de la personne est requis lorsque le traitement concerne des données sensibles (telles que les données de santé) le RGPD n'autorise pas moins le traitement sans que le consentement soit nécessaire lorsque :


 	le traitement est nécessaire aux fins de l'exécution des obligations et de l'exercice des droits propres au responsable du traitement ou à la personne concernée en matière de droit du travail, de la sécurité sociale et de la protection sociale, dans la mesure où ce traitement est autorisé par le droit de l'Union, par le droit d'un État membre ou par une convention collective […] ; c'est le cas par exemple pour les données personnelles du salarié traitées dans le cadre de l'exécution du contrat de travail ; c'est le cas aussi pour les données relatives au dossier de l'usager dont la tenue obligatoire a été introduite par la Loi du 2 janvier 2002 rénovant le code de l'action sociale et des familles (CASF) ;
 	le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique, dans le cas où la personne concernée se trouve dans l'incapacité physique ou juridique de donner son consentement ;
 	ces données sont traitées par un professionnel de la santé soumis à une obligation de secret professionnel conformément au droit de l'Union, au droit d'un État membre ou aux règles arrêtées par les organismes nationaux compétents, ou sous sa responsabilité, ou par une autre personne également soumise à une obligation de secret conformément au droit de l'Union ou au droit d'un État membre ou aux règles arrêtées par les organismes nationaux compétents ; les données recueillies auprès de l'usager lors de l'admission entrent également de toute évidence dans cette catégorie.

Commentaire :
Pour accomplir leur mission dans l'intérêt de la personne et dans le cadre des obligations règlementaires qui sont les leurs les ESMS sont amenés à recueillir, dès l'admission, des données personnelles auprès de l'usager. Ce recueil ne requiert pas que soit recueilli le consentement de l’intéressé quant à son refus éventuel de voir collectées auprès d'elle des données pour un traitement dont on lui aura expliqué la finalité, la nature, les modalités, le responsable, etc. ainsi que le RGPD en fait obligation, il rendrait impossible la conclusion du contrat de séjour et ipso facto rendrait impossible l'admission de ce même usager au sein de l'ESMS.
fr
Quelles sont les missions du DPO ?
informer, conseiller et accompagner au sein de sa structure ;
 	sensibiliser aux enjeux de la protection des données personnelles les salariés comme les « clients » ;
 	superviser des audits internes sur la protection des données personnelles ;
 	conseiller le responsable sur l'opportunité de réaliser une analyse d'impact vie privée (PIA) et d'en vérifier l'exécution ;
 	recevoir et répondre aux réclamations relatives à la protection des données ;
 	coopérer avec l'autorité de contrôle (en France, la CNIL) et être son point de contact au sein de sa structure.
fr
Quels sont les critères de certification des compétences du DPO (article CNIL) ?
Afin de permettre l’identification des compétences et savoir-faire du délégué à la protection des données (DPO), la CNIL adopte deux référentiels en matière de certification de DPO : Certification des compétences du DPO : la CNIL adopte deux référentiels.
fr
Qui peut être DPO ?
Le DPO peut être interne (salarié de l’association), externe ou mutualisé, il doit posséder des connaissances en matière de protection des données et être à l’abri des conflits d’intérêts (il ne peut être responsable de traitements).
fr
Quid du droit à l'effacement et/ou à la rectification de données personnelles ?
L'article 17 du RGPD répond à cette interrogation lorsqu'il précise que le droit ne s'applique pas dans la mesure où le traitement est nécessaire, notamment dans ces 2 cas :
« b) pour respecter une obligation légale qui requiert le traitement prévue par le droit de l'Union ou par le droit de l'État membre auquel le responsable du traitement est soumis, ou pour exécuter une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement;
c) pour des motifs d'intérêt public dans le domaine de la santé publique, conformément à l'article 9. »
fr
Qu’est-ce qui change avec le RGPD ?
Le principal changement introduit par le RGPD qui est entré en application le 25 mai 2018 est qu’il fait peser l’entière responsabilité de la conformité à la réglementation en matière de protection des données à caractère personnel sur le Responsable du traitement. Le Responsable du traitement est la personne morale (l’organisme gestionnaire) représentée par son dirigeant élu (Président.e) ou salarié (Directeur.trice Général.e). L’impact en cas de non-conformité est lourd : amende administrative pouvant aller jusqu’à 4% du budget de l’organisme, sanctions pénales pouvant aller jusqu’à 300 000 € d’amende et 5 ans d’emprisonnement.
La réglementation à mettre en œuvre comprend, bien sûr, le Règlement Général sur la Protection des Données (RGPD) mais aussi la loi française Informatique et Libertés qui a été modifiée le 20 juin 2018, les décrets d’application (le dernier en date le 1er août 2018), les directives du Comité Européen de la Protection des Données, les référentiels de la CNIL ainsi que la jurisprudence qui est en train de se constituer. Autrement dit c’est un nouveau droit qui apparaît : le droit de la donnée.
fr
Sous forme les entreprises doivent-elles obtenir le consentement des utilisateurs ?
Le texte précise que « le consentement doit être donné par un acte positif clair par lequel la personne concernée manifeste de façon libre, spécifique, éclairée et univoque son accord au traitement des données à caractère personnel la concernant, par exemple au moyen d'une déclaration écrite, y compris par voie électronique, ou d'une déclaration orale ».
Le silence de la personne ne vaut donc en aucun cas consentement. Par ailleurs, ce consentement doit pouvoir être retiré aussi simplement qu'il a été donné et la personne informée de cette possibilité de retrait.
fr
Une notification MDPH étant une donnée sensible, comment la protéger ?
La notification MDPH est un document nominatif (la personne est identifiée par son nom, son prénom, numéro de dossier, etc.) mais elle est aussi par nature un document qui révèle indirectement des informations relatives au handicap. Ce type d'information est considéré comme une donnée de santé (considérants 35, 54 du RGPD).
Il ne faut cependant pas confondre le document et la donnée. La notification est un document, le handicap est la donnée. Dès lors tous les traitements (fichiers Excel et autres) qui feront référence à la notification seront considérés comme des traitements de données contenant des données de santé. Les données de santé sont rangées dans les catégories particulières de données personnelles (article 9 du RGPD) comme telles elles présentent un risque élevé (considérant 76 du RGPD) et leur traitement justifie une analyse d'impact (article 35 du RGPD). Le responsable du traitement doit procéder à cette analyse. Ce n'est qu'au moyen de cette analyse que l'on peut ensuite envisager les mesures à prendre.
Le déplacement du document d'un dossier à l'autre est une mesure parmi d'autres mais il est nécessaire de procéder à une approche globale du risque avant d'envisager la solution. Dans cette approche par le risque il est également nécessaire de prendre en compte l'ensemble du dossier administratif dont il est probable que son examen révèle la présence plus large de données de santé (qui ne se confondent pas avec des données médicales).
C'est la raison pour laquelle nous conseillons de cartographier, de manière exhaustive, tous les traitements puis de les auditer. Les mesures de correction des écarts ne viendront qu'ensuite. C'est en ce sens que la démarche de conformité RGPD est une démarche de projet.
fr