Je constitue un registre de bénéficiaires d'aides publiques
Quels fondements et quelles catégories de données examiner pour mon registre d’aides publiques ?
Ce qu’il faut retenir
L’article 7 soumet à autorisation préalable les traitements de données personnelles ayant un motif d’intérêt public. Ce motif doit être établi pour le registre concerné.
Le régime du registre dépend aussi de ses données et des opérations réalisées ; l’articulation avec l’article 13 doit être examinée, et non présumée.
Pourquoi cette situation mérite votre attention
Vérifier l’éligibilité, décider d’une aide et suivre son paiement sont des opérations à décrire. Le titre « registre de bénéficiaires » ne détermine pas à lui seul leur qualification.
La situation sociale ne doit pas être assimilée automatiquement à une catégorie de données sensibles de l’article 21. Il faut regarder les informations réellement collectées, notamment d’éventuelles données de santé.
Ce qui peut changer l’analyse
- Quel texte organise l’aide, ses bénéficiaires et les usages du registre ?
- Quels identifiants et quelles informations sociales ou médicales sont collectés ?
- Le registre sert-il à l’éligibilité, au paiement, à des statistiques ou à plusieurs de ces usages ?
Ces questions aident à comprendre votre situation ; leurs réponses ne valent pas décision.
Que pouvez-vous faire ?
- Rassemblez les textes du dispositif et décrivez séparément l’éligibilité, la décision et le paiement.
- Inventoriez les données et identifiants réellement nécessaires, sans qualifier toutes les données sociales de sensibles.
- Faites préciser l’articulation des articles 7, 13 et 21 ainsi que les actes applicables avant la mise en œuvre du traitement.
Ce que prévoit la loi
« Sont soumis à autorisation préalable de l’Autorité de protection avant toute mise en œuvre : - le traitement des données à caractère personnel ayant un motif d’intérêt public notamment à des fins historiques, statistiques ou scientifiques ; »
Ce que ce texte établit. Le cinquième tiret de l’article 7 vise les traitements ayant un motif d’intérêt public ; son chapeau les soumet à autorisation préalable avant toute mise en œuvre.
Pourquoi il concerne votre situation. Si le registre poursuit un motif d’intérêt public établi par son objet et ses textes, cette disposition est pertinente. Elle ne dispense pas d’examiner le régime des opérations publiques et les catégories de données réellement traitées.
Ce qui reste à apprécier
- Le fondement du dispositif et l’articulation de l’article 7 avec l’article 13, notamment pour les opérations de paiement.
- La présence d’identifiants visés à l’article 7 ou de données sensibles relevant de l’article 21.
Autres articles à consulter (2)
- Loi n° 2013-450 — articles 7 intégral et 13Chapeau de l’autorisation préalable, catégories particulières et régime des traitements publics énumérés ; article 13 en page 11.
- Loi n° 2013-450 — article 21Catégories de données sensibles et exceptions ; ne pas étendre cette qualification à toute donnée sociale.