Une donnée à caractère personnel
Les grands principesFondamental
Loi informatique et libertés" du Loi 78-17 du 6 janvier 1978 modifiée
Qu'est ce qu'une donnée à caractère personnel ?Définition
Article 2 :
« Constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d'identification ou à un ou plusieurs éléments qui lui sont propres. Pour déterminer si une personne est identifiable, il convient de considérer l'ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accès le responsable du traitement ou toute autre personne. »
Fondamental
Le droit à la protection des données n'est pas un droit absolu. Il peut être contrebalancé par d'autres droits fondamentaux.
Quelques exemples de données à caractère personnelExemple
Sont des données à caractère personnel, relatives à une personne physique.
Nom, Prénom
Adresse IP de l' ordinateur
n° de sécurité sociale
adresse mail
Qu'est ce qu'un fichier de données à caractère personnel ?Fondamental
Article 2 - Loi Informatique et Liberté
« Constitue un fichier de données à caractère personnel tout ensemble structuré et stable de données à caractère personnel accessibles selon des critères déterminés. »
Attention : la loi s'applique aux fichiers informatisés et aux fichiers manuels.
Qu'est ce qu'un traitement de données à caractère personnelle ?Fondamental
Article 2 - Loi Informatique et Liberté
« Constitue un traitement de données à caractère personnel toute opération ou tout ensemble d'opérations portant sur de telles données, quel que soit le procédé utilisé, et notamment la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, ainsi que le verrouillage, l'effacement ou la destruction. »
La notion de "Responsable du traitement"Fondamental
Article 3 -Loi Informatique et Liberté
« Le responsable d'un traitement de données à caractère personnel est, sauf désignation expresse par les dispositions législatives ou réglementaires relatives à ce traitement, la personne, l'autorité publique, le service ou l'organisme qui détermine ses finalités et ses moyens. »
La notion de pseudonymisationFondamental
Ce processus par lequel les données perdent leur caractère nominatif. Les données restent attachées à une personne dans le système informatique mais l'identité de cette dernière ne peut être révélée.
La spécification technique ISO/TS 25237:2008« établit un certain nombre de principes et d'exigences en matière de protection des données à caractère personnel, à l'aide de services de pseudonymisation qui garantissent l'opacité des données d'identification des patients dans les bases de données. »
La notion d'anonymisationFondamental
Ce processus consiste à supprimer les éléments personnels (nom, adresse, numéro carte, etc.) attachés aux données de profil collectées ex. le recensement.
Il n' a plus de possibilité d'établir un lien entre l'individu et les données personnelles objets du traitement.
Le correspondant informatique et libertés (CIL)Fondamental
Article 22 de la Loi Informatique et Liberté
Depuis la réforme législative du 6 août 2004, les entreprises et les organismes publics ont la faculté de désigner officiellement un correspondant « informatique et libertés » (CIL), dont les fonctions sont fixées par la loi. Cette désignation n'est pas obligatoire.
Les missions du CIL :
Veiller au respect de la Loi Informatique et Liberté au sein de sa structure,
Exercer un rôle de conseil auprès du responsable du traitement notamment lors de la mise en oeuvre de nouveaux traitements,
Veiller au respect de l'information et des droits des personnes concernées par les traitements,
Traiter les demandes d'information et/ou réclamations des personnes concernées par le traitement,
Interagir avec la CNIL et le Responsable du Traitement en cas de manquement,
Dresser et tenir à jour la liste des traitements mis en oeuvre par le responsable du traitement. La liste doit être transmise à la CNIL dans les trois mois qui suivent la désignation du CIL,
Tenir à jour la liste des traitements de données à caractère personnel au sein de son entité,
Rédiger un bilan de ses activités à destination du responsable du traitement, ce bilan est mis à la disposition de la CNIL,
Rédiger des documents supports et informationnels ; ex : une charte de bon usage.
Le statut du CIL au sein de l'entité :
Le CIL est indépendant, il ne reçoit aucune instruction pour exercer sa mission,
Il peut exercer des missions autre mais qui ne doivent pas créer un conflit d'intérêt,
Il dispose des compétences nécessaires pour exercer sa mission,
Sa désignation doit être signifiée à la CNIL,
il est révocable par la CNIL.
La désignation d'un CIL, un interlocuteur/une interface pour :
Dispenser l'entité de réaliser les formalités préalables de déclaration auprès de la CNIL pour les déclarations dites ordinaires ou simplifiés,
Centraliser la gestion des fichiers, identifier les mesures pour réduire les risques,
Améliorer le circuit d'information et de formation aux personnes concernées par le traitement des données, aux destinataires des données.
La CNILFondamental
La CNIL une Instance qui a la qualité d'autorité administrative indépendante conformément à la Loi Informatique et Libertés
La CNIL a pour mission de :
Contrôler la conformité des projets de fichiers et traitements de données à caractère personnel au regard de la Loi Informatique et Libertés,
Conseiller et informer les différents acteurs tels le responsable du traitement, le CIL, la personne concernée par le traitement,
Instruire les plaintes,
Réaliser des contrôles in-situe,
Sanctionner.
Règlement européen - Entré en vigueur le 24 mai 2016Fondamental
Adopté le 27 avril 2016
Publié le 4 mai 2016
Entré en vigueur le 24 mai 2016
Applicable à compter du 25 mai 2018
Ce a changé à partir du 25 mai 2018Fondamental
La notion de données à caractère personnel - nouvelle définition - article 4
La notion de profilage - article 4
Le responsable du traitement - article 24
Le sous-traitant - article 28
Le délégué à la protection des données - article 37
L'autorité de contrôle - article 51
