Pourquoi déclarer ses fichiers à la CNIL ?

En vertu de l’article 16 de la loi de 1978, tout fichier nominatif directement ou indirectement doit obligatoirement être déclaré à la CNIL (Article 16 de loi du 6 janvier 1978).

Un fichier est directement nominatif lorsqu’il contient les noms et prénoms de personnes.

Un fichier est indirectement nominatif lorsque ses données permettent d’identifier des personnes par référence à un numéro d’identification ou à un ou plusieurs éléments qui lui sont propres : un N° de téléphone, un email, un N° d’immatriculation, une photo, les initiales du nom et prénom… ou un simple identifiant se rapportant à un listing papier.

Le champ d’application ne s’arrête pas là puisqu’il inclut également les moyens de traitement (collecte, consultation, télétransmission). Un simple fichier d’abonnés à une newsletter peut par exemple entrer dans cette catégorie.

La loi informatique et libertés impose au responsable du traitement une série de principes essentiels sous peine de sanctions pénales.

Principe 1 : la déclaration

Comme nous venons de le voir, les fichiers concernés sont nombreux, quelques exemples relativement commun pour les responsables de sites web :

• fichiers de mailings ou de marketing direct,
• fichiers de clients, s’ils intègrent les coordonnées de personnes physiques,
• statistiques utilisant des informations sur les personnes,
• comptes de messagerie
• abonnés à des publications comme les newsletters

Mais outre le fichier lui-même, c’est surtout ce que vous allez en faire qui importe. La collecte et la finalité du traitement des informations vous indiqueront le type de déclaration à effectuer.

Pour savoir si vos fichiers sont concernés, le plus simple est d’utiliser le formulaire interactif permettant de savoir si vos fichiers sont dispensés de déclaration. Vous êtes dispensés de déclaration notamment si vous avez désigné un Correspondant Informatique & Libertés (CIL) ou si vous êtes un particulier et agissez dans le cadre d’activités personnelles ; si vous représentez une église, un parti politique, un syndicat ou une association ; si vous êtes un artiste.

Puis il faut savoir quel type de déclaration effectuer.

Il est également possible en cas de doute de prendre contact directement avec un conseiller de la CNIL.

Dans la pratique il existe 5 types de déclarations CNIL

• la déclaration normale,
• la déclaration simplifiée (déclaration de conformité à une norme simplifiée),
• la déclaration de modification,
• la déclaration de suppression,
• la déclaration unique,
• et pour les chanceux la dispense de déclaration.

A cela s’ajoutent les autorisations normales, uniques, spécifiques au secteur public, et autres régimes spéciaux comme les traitements de santé ou transferts hors Union Européenne.

Pour ceux qui ne seraient pas concernés par les dispenses, il faut soit s’armer de patience soit faire appel à un Correspondant Informatique et Liberté qui aura en charge la gestion d’un registre des traitements et le respect des dispositions de la loi Informatique et Libertés au sein de l’organisme. Le CIL fait gagner un temps précieux, il est indispensable dans les structures mais peut être externalisé.

L’utilisation des services d’un CIL permet d’être dispensé des déclarations et peut vous aider si vous avez besoin de demande d’autorisations ou d’avis auprès de la CNIL.

2 – les autres principes à respecter

 La loi impose lors de la création des fichiers et leur utilisation les principes suivants :

•  le consentement : la personne concernée doit avoir donné son accord pour que ses données personnelles soient collectées et traitées
• loyauté, et la licéité de la collecte : respect de la personne et de son consentement lors de la collecte, possibilité d’accès et de modification des données collectées.
• finalité : obligation d’informer sur l’utilisation des données avant la collecte, et de ne pas détourner ces données à d’autres fins
•  proportionnalité : les données collectées doivent être en adéquation et pertinente pas rapport à la finalité pour laquelle elles ont été collectées.
•  exactitude et mise à jour : les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées doivent être effacées ou rectifiées.
• temporalité : la conservation des données doit être limitée à la durée nécessaire à la finalité de leur traitement, en quelque sorte le “droit à l’oubli”.
• sécurité : les responsables en charge de la conservation des données doivent en assurer la parfaite sécurité.

Pour aller plus loin, outes vos obligations en un schéma que vous pouvez commander sur le site donneespersonnelles.fr.