Reconnaître un traitement de données
Un nom, une adresse électronique nominative, une image, un numéro d’identification ou une information de santé peuvent être des données personnelles. La collecte, la consultation, la transmission, l’archivage et la suppression constituent des opérations de traitement. Le responsable du traitement détermine les finalités et les moyens ; le sous-traitant agit pour son compte. [, ]
L’entreprise doit appliquer des finalités déterminées, une collecte proportionnée, une durée adaptée et des mesures de sécurité. L’information des personnes et l’exercice de leurs droits font partie du fonctionnement du traitement. Le consentement n’est pas à utiliser comme justification universelle : la licéité doit être appréciée au regard de la situation et de la loi. []
L’article 14 de la loi n° 2013-450 pose le consentement exprès préalable comme principe. Il prévoit, pour un responsable dûment autorisé, des dérogations de nécessité liées notamment à une obligation légale, une mission d’intérêt public, un contrat ou des mesures précontractuelles demandées, ainsi qu’à la sauvegarde des droits et intérêts fondamentaux de la personne. La justification doit être rattachée au traitement précis. []
Recommandation : commencer l’inventaire par les fichiers RH, la paie, le recrutement, le CRM, les comptes clients, les enregistrements d’appels, les caméras et les outils de prospection. Pour chacun, décrire l’objectif réel avant de lister les données. Une collecte « au cas où » est difficile à justifier.
Déclaration, autorisation et dispenses
L’article 5 de la loi n° 2013-450 pose le principe de la déclaration préalable. Les articles 6 et 8 prévoient des dispenses ou simplifications. L’article 7 soumet certains traitements à autorisation préalable, notamment ceux comportant des données biométriques, certaines données médicales et les transferts vers un pays tiers. Les autres catégories visées par cet article doivent également être examinées. []
Le décret n° 2015-79 du 4 février 2015 précise les modalités des déclarations et demandes d’autorisation. Les informations du dossier comprennent notamment l’identité du responsable, les finalités, les données, les personnes concernées, les destinataires, la conservation, la sécurité et les sous-traitants ou transferts envisagés. []
Recommandation : établir une fiche de décision par traitement avec trois rubriques : formalité retenue, justification et référence du titre obtenu. Toute dispense doit être documentée. La désignation d’un correspondant ne doit pas être interprétée comme une dispense générale de toutes les autorisations.
Organiser les droits des personnes
Les droits comprennent notamment l’information, l’accès, l’opposition, la rectification et, dans les conditions prévues, l’effacement. Une obligation légale de conservation peut justifier le maintien de certaines données malgré une demande de suppression. L’entreprise doit expliquer la réponse et distinguer les données encore nécessaires de celles qui peuvent être effacées. []
Recommandation : ouvrir un canal clairement indiqué dans les notices. Chaque demande reçoit un identifiant, une date, une vérification d’identité proportionnée, une recherche dans les systèmes concernés et une réponse conservée. La vérification d’identité ne doit pas conduire à collecter systématiquement une pièce complète lorsque cela n’est pas nécessaire.
La procédure interne doit associer l’équipe métier, le service juridique et les prestataires concernés. Le client ne devrait pas être renvoyé indéfiniment du responsable vers l’hébergeur. Le contrat du prestataire doit prévoir l’assistance nécessaire pour retrouver, extraire, rectifier et supprimer les informations.
Correspondant et responsabilité interne
L’Autorité de protection décrit les missions du correspondant, son indépendance et la notification de sa désignation. Elle mentionne également la tenue d’une liste des traitements et un rapport annuel. Les conditions de désignation et le profil doivent être examinés avec les textes applicables et les exigences de l’Autorité. []
Recommandation : formaliser une lettre de mission, un accès aux décideurs, des moyens de travail et une procédure d’alerte. Le correspondant conseille et suit la conformité ; la direction demeure responsable des choix et des ressources. Une fonction affichée sans accès aux projets, aux contrats et aux incidents ne permet pas de piloter les risques.
Prouver la conformité dans la durée
Un dossier utile contient l’inventaire, les décisions de formalité, les notices, les contrats, les habilitations, les durées de conservation, les preuves de formation et les demandes des personnes. Le traitement doit être réexaminé en cas de nouvelle finalité, de nouveau destinataire, de transfert ou de modification substantielle.
Exemple d’application : avant de relier un logiciel RH à un outil d’analyse de productivité, l’entreprise doit réexaminer les objectifs, la proportionnalité, les accès, l’information des salariés et les formalités. L’existence d’un traitement RH régulier ne valide pas automatiquement cette nouvelle utilisation.