fbpx

Actu RGPD

Une nouvelle version de l’outil de PIA pour la réalisation des analyses d’impact

Une nouvelle version de l’outil de PIA pour la réalisation des analyses d’impact 960 640 Optimex Data

Deux ans après l’entrée en application du RGPD, les analyses d’impact sur la vie privée se sont multipliées au sein des organismes.

A titre de rappel, l’analyse d’impact est obligatoire à partir du moment où le traitement est « susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées ». En effet, soit le traitement envisagé figure dans la liste des types d’opérations de traitement pour lesquelles la CNIL a estimé obligatoire de réaliser une analyse d’impact relative à la protection des données (ex. traitement de données de localisation à large échelle) soit le traitement remplit au moins deux des neuf critères issus des lignes directrices du G29 tels que : la surveillance automatique, la collecte de données sensibles, la collecte de données concernant des personnes vulnérables, etc…

En revanche, la PIA n’est pas nécessaire lorsque le traitement figure dans la liste des exceptions adoptée par la CNIL (ex. traitement mis en œuvre uniquement à des fins de ressources humaines), lorsque le traitement ne présente pas de risque élevé pour les droits et libertés des personnes ou encore lorsque le traitement répond à une obligation légale ou est nécessaire à l’exercice d’une mission de service public.

La CNIL a mis à la disposition des responsables de traitement et leur délégué à la protection des données, un logiciel de PIA pour faciliter la conduite et la formalisation des analyses d’impact telles que prévues par le RGPD.

Cet outil, dans sa version 2.3, s’est enrichi de nouvelles fonctionnalités afin de faciliter la gestion des analyses d’impact et ainsi permettre au responsable de traitement un suivi de l’évolution d’une analyse. Quelques nouveautés :

  • Possibilité de faire des recherches par mots clés pour filtrer les analyses d’impact
  • Possibilité d’archiver les analyses d’impact
  • Possibilité de créer plusieurs versions d’analyse d’impact
  • Possibilité de catégoriser les analyses d’impact
  • Amélioration du pourcentage d’avancement au niveau des analyses d’impact
  • Elargissement des langues notamment avec 20 langues disponibles : allemand, espagnol, anglais, etc…
  • Harmonisation de l’interface graphique
  • Mise à jour des bibliothèques de développement

Rapport d’activité 2019 : rappel des temps forts et enjeux à venir

Rapport d’activité 2019 : rappel des temps forts et enjeux à venir 960 640 Optimex Data

Cette année encore, la CNIL revient sur les temps forts de 2019 et les grands enjeux à venir. Avec ce nouveau rapport d’activité, la CNIL constate des chiffres inédits preuve d’une grande mobilisation des citoyens face aux enjeux de la protection des données.

Cette année aura également été marquée par une sanction record à l’encontre du géant américain Google (50 millions d’euros, sanction confirmée par le Conseil d’Etat) traduisant la mise en place effective des nouveaux plafonds de sanctions prévus par le Règlement.

Le bilan d’activité en quelques chiffres :

8 sanctions ont été prononcées en 2019, dont :

  • 7 amendes d’un montant total de 51 370 000 euros comprenant la plus forte amende prononcée à ce jour par une autorité de protection des données en Europe ;
  • 5 injonctions sous astreinte
  • 42 mises en demeure

Les sanctions concernaient les points suivants : atteintes à la sécurité des données personnelles ; manquements à l’obligation d’information des personnes ; manquements liés aux durées de conservations des données.

A côté de ces chiffres, la CNIL rappelle les enjeux 2020 :

Une recommandation sur les cookies et autres traceurs

La CNIL a proposé un plan d’action le 28 juin 2019 qui se poursuit en 2020. Ce plan d’action a deux objectifs : répondre aux plaintes individuelles et collectives et accompagner les professionnels du secteur du marketing dans leur mise en conformité par rapport aux obligations du RGPD.

Participer aux expérimentations sur la reconnaissance faciale

La reconnaissance faciale est devenue, depuis quelques années, une inquiétude pour les citoyens. Face au développement des portiques de reconnaissances faciale (Nice, Marseille), la CNIL a publié ses objectifs :

  • Présenter techniquement la reconnaissance faciale, et surtout, la diversité des usages possibles ;
  • Mettre en lumière les risques ;
  • Rappeler le cadre s’imposant aux dispositifs pour respecter les droits des personnes ;
  • Préciser le rôle de la CNIL dans les futurs expérimentations ou déploiements de dispositifs de reconnaissance faciale.
Mobiliser face au Coronavirus (COVID-19) :

La CNIL reste également mobilisée face à la pandémie puisqu’elle a publié de nombreux contenus à destination des professionnels mais également des particuliers. Elle s’est mobilisée pour instruire en priorité, dans des délais brefs, les demandes d’autorisation de projets de recherche portant sur le COVID-19, lorsque les traitements ne sont pas conformes aux méthodologies et référence déjà adoptées.

La position du Conseil d’État concernant les lignes directrices de la CNIL en matière de cookies et autres traceurs

La position du Conseil d’État concernant les lignes directrices de la CNIL en matière de cookies et autres traceurs 960 640 Optimex Data

Lors de notre dernière newsletter, nous vous avions fait part des nouvelles recommandations de la CNIL en matière de cookies et autres traceurs.  En effet, la CNIL avait publié ses lignes directrices début juillet pour encadrer le dépôt et la lecture des cookies et autres traceurs lorsque l’internaute se rend sur un site internet.

Le 19 juin 2020, le Conseil d’Etat a validé pour l’essentiel les lignes directrices relatives aux cookies et traceurs adoptées par la CNIL le 4 juillet 2019. L’objectif de ces lignes directrices était d’encadrer juridiquement l’utilisation des cookies et traceurs afin de garantir aux utilisateurs la maitrise de leurs données personnelles.

Toutefois, une pratique a été formellement annulée par le Conseil d’Etat, à savoir le « Cookies Walls ». Les cookie walls sont utilisés par les sites web pour refuser l’accès aux utilisateurs s’ils ne consentent pas à tous les cookies et traceurs présents sur ce site.

Les lignes directrices validées par le Conseil d’Etat

Lors de sa décision, le Conseil d’Etat a validé l’essentiel des interprétations ou recommandations contenues dans les lignes directrices à savoir :

  • Toute personne doit pouvoir refuser de donner son consentement aussi facilement que de l’accorder;
  • Toute personne doit pouvoir retirer son consentement aussi facilement qu’elle ne l’a donné ;
  • Tout consentement doit être donné pour une finalité déterminée ce qui implique une information spécifique pour chaque finalité envisagée ;
  • Toute personne doit être informée de l’identité du/des responsable(s) de traitement qui effectue(nt) le dépôt des cookies
  • Tout responsable de traitement doit être en mesure de démontrer que le consentement recueillis est valide

La censure du Conseil d’Etat

Le Conseil d’Etat a pris la décision de censurer un alinéa par lequel la CNIL estimait qu’un internaute ne devait pas subir d’inconvénients majeurs en cas d’absence ou de retrait du consentement. La CNIL avait précisé dans ses recommandations que l’accès au site internet ne pouvait jamais être interdit si l’utilisateur n’accepte pas les cookies.

Pour prendre une telle décision, la CNIL s’était basée sur la position du CEPD (Comité Européen de Protection des Données personnelles).

Le Conseil d’Etat estime qu’en déduisant cette interdiction générale du RGPD, la CNIL a été au-delà de ce qu’il est légalement possible de faire dans le cadre de lignes directrices.

Et maintenant ?

Pour conclure, et suite à la décision du Conseil d’Etat, les lignes directrices seront ajustées afin de prendre en considération les différents points apportés par le Conseil d’Etat et ainsi être conforme.

Pour rappel, les modalités de recueil du consentement aux cookies seront précisées dans une future recommandation de la CNIL, qui a fait l’objet d’une consultation publique.

L’ajustement des lignes directrices et l’adoption de cette recommandation doit intervenir après la rentrée de septembre 2020.

Focus sur la plateforme des données de santé – PDS ou Health Data Hub

Focus sur la plateforme des données de santé – PDS ou Health Data Hub 960 640 Optimex Data

La CNIL fait un rappel des enjeux pour les libertés individuelles et les règles à suivre concernant la Plateforme des Données de Santé – PDS ayant pour objectif de faciliter le partage des données de santé issues de sources variées afin de favoriser la recherche.

Les missions de la PDS sont prévues par l’article L.1462-1 du Code de la santé publique et consiste par exemple à :

  • Réunir, organiser et mettre à disposition des données, issues notamment du SNDS (Système National des Données de Santé)
  • Informer les patients, promouvoir et faciliter l’exercice des droits ;
  • Contribuer à l’élaboration des référentiels de la CNIL

La CNIL a par ailleurs eu l’occasion de se prononcer à deux reprises et notamment en avril 2020 concernant sa mise en œuvre anticipée pour les besoins de la gestion de l’urgence sanitaire. Dans son avis, la CNIL a attiré l’attention sur les risques liés aux conditions de démarrage anticipé de la solution et les éventuels risques matériels et juridiques en matière d’accès direct par les autorités de pays tiers. Ainsi, la CNIL fait part de ses recommandations et règles à suivre :

Sur la constitution d’un entrepôt de données au sein de la PDS

La constitution de cette base, ne saurait être encadrée que pour la période d’urgence sanitaire déclaré à l’article 4 de la loi du 23 mars 2020. Au-delà, ce traitement ne disposerait plus de base légale.

La centralisation de données au sein du « catalogue » de la PDS, qui constitue un entrepôt de données, devra être soumis à autorisation préalable de la CNIL.

Sur la sécurité globale de la PDS

Sous réserve de la mise en œuvre des mesures prévues dans le plan d’action défini dans l’homologation de la PDS, la CNIL considère que la sécurité des données mises à disposition par la PDS est assurée. Il faut toutefois garder à l’esprit que les mesures de sécurité devront être réévaluées régulièrement pour prendre en compte les évolutions de la plateforme.

La CNIL recommande notamment au niveau des imports/exports, qu’une vigilance particulière soit de mise afin de garantir l’anonymat effectif des exports et qu’une vision plus globale de sécurité soit donnée aux responsables de traitement pour les informer des conditions de sécurité.

Pour tout démarrage anticipé, la CNIL exige que la PDS s’assure que cette mise en œuvre n’engendre pas de risque supplémentaire pour les personnes concernées.

Sur les transferts de données hors Union Européenne (UE)

La CNIL estime que des données personnelles pourront être transférées hors de l’UE et prend acte de la mise en place de clauses contractuelles types pour encadrer ces transferts, conformément aux dispositions du RGPD.

Au regard du caractère sensible et du volume des données ayant vocation à être hébergées au sein de la PDS, la CNIL demande qu’une vigilance particulière soit accordée aux conditions de conservation et aux modalités d’accès aux données.

La CNIL souhaite que son hébergement ainsi que les services liés à sa gestion soient réservés à des entités relevant exclusivement des juridictions de l’Union Européenne.

Et après ?

La CNIL devrait être saisie prochainement pour avis d’un projet de décret modifiant le décret n°2016-1871 du 26 décembre 2016 relatif au traitement de données personnelles dénommé « système national des données de santé ». Ce décret doit préciser la répartition des responsabilités entre PDS et porteurs de projets et les modalités d’information des personnes concernées par le SNDS et d’exercice de leurs droits.

Le nouvel avis de la CNIL sur l’application mobile STOPCOVID

Le nouvel avis de la CNIL sur l’application mobile STOPCOVID 1260 839 Optimex Data

La mise en place par le Gouvernement d’une application mobile intitulé « STOPCOVID » permettant aux utilisateurs d’être informée qu’ils ont été à proximité d’une personne diagnostiquée positive au Covid-19, par le biais d’un système de reconstruction de l’historique des contacts d’une personne contaminée via un traçage des données mobiles, pose de nombreuses interrogations en matière de protection des données personnelles. Après un premier avis rendu par la CNIL le 24 avril 2020, dont nous vous avions parlé en détail lors de notre actualité d’avril 2020, la CNIL vient de rendre un second avis, le 25 mai 2020, après avoir eu plus d’informations sur la mise en application concrète de cette application mobile.

Les principales recommandations émises par la CNIL dans son avis du 24 avril 2020, ont été suivi par le Gouvernement et notamment l’utilisation de l’application sur la base du volontariat, l’absence de conséquence juridique négative en cas de refus de recourir à l’application, l’absence de création d’une liste de personnes contaminées mais seulement d’une liste de contacts ou encore la mise en place de mesures de sécurité afin de garantir la protection des données.

Dans son second avis du 25 mai 2020, la CNIL rappelle que la crise sanitaire actuelle est « de nature à justifier, dans certaines conditions, des atteintes transitoires au droit à la protection de la vie privée et des données à caractère personnel. » Elle considère donc que l’application peut être déployée sous certaines conditions et sous réserve d’une évaluation de la nécessité et/ou utilité de cette application après son lancement.

La CNIL ajoute donc à ces précédentes recommandations, les préconisations suivantes :

  • une meilleure information des utilisateurs notamment quant aux traitements de leurs données personnelles et aux possibilités d’effacement de celles-ci ;
  • la mise en place d’une information particulière pour les mineurs et leurs responsables légaux;
  • l’intégration dans le décret instituant l’application, du droit d’opposition et d’effacement pour les utilisateurs ;
  • l’accès libre des utilisateurs à la structure de programmation de l’application.

La CNIL a rappelé qu’elle opèrera un contrôle régulier de la mise en œuvre pratique de cette application. Nous vous tiendrons informé de ces recommandations et des points d’alerte à observer en cas d’utilisation de cette application.

Déconfinement : l’avis de la CNIL sur le projet de décret encadrant la politique nationale de dépistage

Déconfinement : l’avis de la CNIL sur le projet de décret encadrant la politique nationale de dépistage 1260 840 Optimex Data

À la suite de la crise sanitaire inédite qui nous touche, le Gouvernement a mis en place, à compter du 11 mai, une Politique de déconfinement progressif. Cette Politique s’accompagne de mesures permettant de dépister les malades du Covid-19 et de réaliser des enquêtes sanitaires.

Pour ce faire,  la loi n°2020-546 du 11 mai 2020 prorogeant l’état d’urgence sanitaire a permis la création temporaire de deux fichiers nationaux permettant d’identifier les personnes infectées (« patients 0 »), les personnes susceptibles d’être contaminées par ce patient 0 (« cas contact ») et les chaînes de contamination : le fichier SI-DEP et le fichier Contact Covid.

Afin de garantir la protection des données personnelles des personnes enregistrées dans ces fichiers, la CNIL a émis un avis le 8 mai 2020, avant même l’adoption de la loi prorogeant l’état d’urgence sanitaire, sur le projet de décret encadrant les conditions de mise en œuvre de ces fichiers.

Des fichiers sensibles en matière de protection des données personnelles

Les fichiers SI-DEP et Contact Covid contiennent des données personnelles et de vie personnelle (identité, hébergement, déplacement, participation à des rassemblements, etc.) ainsi que des données sensibles telles que des données de santé. De plus, ces fichiers pourront être consultées par un grand nombre d’acteurs, tels que les enquêteurs sanitaires.

La CNIL a estimé que le dispositif mis en place était « globalement » conforme au RGPD, notamment en raison du caractère nécessaire du traitement de données pour la réalisation de la politique sanitaire de déconfinement. Elle a également relevé que des moyens permettant de garantir la protection des données personnelles étaient mis en œuvre, tels que :

  • le caractère volontaire de la participation aux enquêtes
  • la limitation des données de santé traitée
  • le caractère temporaire du dispositif.
 Les recommandations de la CNIL

Cependant, aux vues du grand nombre de données personnelles collectées et enregistrées, dont sensibles ainsi que de leur grande accessibilité, la CNIL a recommandé que soit mis en œuvre un certain nombre d’éléments permettant de garantir la protection des données personnelles tels que :

  • la limitation des accès des utilisateurs des fichiers en fonction du poste occupé au sein du dispositif sanitaire ;
  • la formation des personnes ayant accès aux fichiers et la mise en place de mesures de traçabilité des consultations ;
  • la limitation des durées de conservation des données dans le système à 3 mois à compter de la collecte ;
  • la garantie des droits d’accès, d’information, de rectification et d’opposition.

Le Gouvernement a pris en compte l’avis de la CNIL puisque le décret, paru le 12 mai a suivi ses recommandations. La CNIL a toutefois précisé qu’elle opérerait des contrôles dans les semaines suivant la mise de place du dispositif, afin de vérifier son application pratique et que la nécessité de réaliser un tel traitement de données serait « régulièrement réévalué ».

Coronavirus : Comment agir face à cette menace sanitaire inédite ?

Coronavirus : Comment agir face à cette menace sanitaire inédite ? 960 640 Optimex Data

Afin de respecter les grands principes du Règlement Général sur la Protection des Données (ci-après « RGPD »), la Commission Nationale de l’Informatique et des Libertés (CNIL) a été amenée à préciser les grands principes en matière de collecte de données sensibles telles que les données de santé.  Ainsi, la CNIL a rappelé ce que l’employeur peut et ne peut pas faire, même dans un contexte de crise sanitaire.

LES RECOMMANDATIONS DE LA CNIL

Ce que l’employeur ne peut pas faire

Les employeurs ne peuvent pas prendre des mesures susceptibles de porter atteinte au respect de la vie privée des personnes concernées, notamment par la collecte de données de santé qui iraient au-delà de la gestion des suspicions d’exposition au virus.

La CNIL ordonne aux employeurs de s’abstenir de collecter de manière systématique et généralisée, ou au travers d’enquêtes et demandes individuelles, des informations relatives à la recherche d’éventuels symptômes présentés par un employé/agent et ses proches. L’employeur ne pourra donc pas mettre en place les procédures suivantes :

  • Des relevés obligatoires des températures corporelles de chaque employé/agent/visiteur à adresser quotidiennement à sa hiérarchie ;
  • La collecte de fiches ou questionnaires médicaux auprès de l’ensemble des employés/agents.
Ce que l’employeur peut faire

L’employeur est responsable de la santé et de la sécurité des salariés/agents conformément à l’article L4121-1 du Code du travail et des textes régissant la fonction publique.

L’employeur peut en revanche :

  • Sensibiliser et inviter ses employés à effectuer des remontées individuelles d’information les concernant en lien avec une éventuelle exposition, auprès de lui ou des autorités sanitaires compétentes ;
  • Faciliter leur transmission par la mise en place, au besoin, de canaux dédiés ;
  • Favoriser les modes de travail à distance et encourager le recours à la médecine du travail.

C’est uniquement en cas de signalement, qu’un employeur pourra consigner la date et l’identité de la personne suspectée d’avoir été exposée et les mesures organisationnelles prises par ce dernier telles que le confinement, le télétravail ou encore l’orientation et prise de contact avec le médecin du travail

L’employeur pourra ainsi communiquer aux autorités sanitaires, sur demande de ces dernières, les éléments liés à la nature de l’exposition, nécessaires à une éventuelle prise en charge sanitaire ou médicale de la personne exposée.

Les entreprises peuvent également établir un « plan de continuité de l’activité » (PCA), qui a pour objectif de maintenir l’activité essentielle de l’organisation. Ce plan devra prévoir toutes les mesures pour protéger la sécurité des employés, identifier les activités essentielles devant être maintenues et également les personnes nécessaires à la continuité du service.

Conformément à l’article L4122-1 du Code du travail, chaque employé/agent doit pour sa part mettre en œuvre tous les moyens afin de préserver la santé et la sécurité d’autrui et de lui-même notamment en informant son employeur en cas de suspicion de contact avec le virus.

Enfin, des données de santé peuvent être collectées uniquement par les autorités sanitaires, qualifiées pour prendre les mesures adaptées à la situation. Par conséquent, l’évaluation et la collecte des informations relatives aux symptômes du coronavirus et des informations sur les mouvements récents de certaines personnes relèvent de la responsabilité de ces autorités publiques.


LES RÈGLES DE SÉCURITÉ EN TÉLÉTRAVAIL

Pour faire face à la crise sanitaire, un grand nombre d’employeur ont favorisé le télétravail mais quelles sont les règles à respecter pour garantir un niveau de sécurité et confidentialité maximum ?

Nos recommandations en sept (7) points :

  1. Equiper les ordinateurs d’un système d’exploitation Les recommandations en termes de système d’exploitation sont : Windows 8.1 ou Windows 10, Mac Ios 10. Si les systèmes d’exploitation ne sont pas conformes, nous vous recommandons d’interdire la connexion et de vous tourner vers votre prestataire informatique afin de mettre à jour le système d’exploitation ;
  1. Garantir que les mises à jour soient activées et gérées par le prestataire informatique. Nous vous conseillons d’informer le prestataire informatique pour tous les accès supplémentaires non identifiés au début de la mise en place des postes. Le risque étant d’infecter le système d’exploitation et de bloquer les accès aux autres employés ;
  2. Maitriser les usages notamment veiller à ce que les enfants n’aient pas accès aux ordinateurs utilisés par vos salariés ;
  3. Vérifier la robustesse des mots de passe d’ouverture des sessions : la CNIL recommande 12 caractères comprenant des minuscules, majuscules, chiffres et caractères spéciaux ;
  4. Equiper les postes d’un anti-virus et vérifier qu’il soit activé. Nous recommandons de faire un scan anti-virus avant tout accès au serveur, cloud, etc…
  5. Sécuriser la connexion entre l’ordinateur et le serveur par un VPN par exemple qui doit garantir la confidentialité des échanges. Nous vous conseillons de faire évoluer les pares-feux pour supporter toutes les connexions.
  6. Informer votre prestataire informatique pour ajouter des postes personnels ou professionnels actuellement non compris dans votre contrat initial afin qu’il puisse assurer une surveillance de ces postes ;
  7. Equiper les postes de travail de sauvegardes en ligne pour se prémunir de la perte de données personnelles.
sécurité des données personnelles

Sécurité des données personnelles

Sécurité des données personnelles 1280 719 Optimex Data

La sécurité des données personnelles constitue un volet essentiel de la conformité. Les obligations se sont renforcées avec l’entrée en application du Règlement Général sur la Protection des Données (RGPD) le 25 mai 2018.

Le RGPD dispose dans son article 32 que « le responsable de traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ».

La confiance passant par la sécurité, la Commission n’hésite plus à sanctionner les organismes lorsqu’il y a une atteinte grave à la sécurité des données des personnes concernées. C’est le cas par exemple pour SERGIC qui a été sanctionnée à 400 000€ d’amende pour atteinte à la sécurité et non-respect des durées de conservation ou encore Active Assurances qui a été condamné à régler la somme de 180 000€ pour atteinte à la sécurité des clients.

UBER a également été condamné à une lourde amende, 400 000€, pour avoir insuffisamment sécurisé les données des utilisateurs de son service VTC.

Afin d’éviter toute sanction relative à la sécurité des données personnelles, vous pouvez vous appuyer sur le guide de la sécurité des données personnelles consultable sur ce lien qui permet d’aider les professionnels dans leur mise en conformité que ce soit à la Loi Informatique et Libertés et au RGPD.

Pour en savoir plus, la CNIL met à disposition une check list permettant d’évaluer le niveau de sécurité des données personnelles de votre organisme, cliquez ici pour la consulter.

videosurveillance

Vidéosurveillance : Comment éviter une mise en demeure de la CNIL ?

Vidéosurveillance : Comment éviter une mise en demeure de la CNIL ? 1280 854 Optimex Data

La vidéosurveillance a fait l’objet, récemment, de nombreuses mises en demeure ou de sanctions de la part de la CNIL. En effet, le 18 juin 2019 UNIONTRAD COMPANY a été condamné à 20 000€ d’amende pour vidéosurveillance excessive des salariés. Le 24 juillet 2019, la CNIL met en demeure l’Institut des Techniques Informatiques et Commerciales (ITIC) pour avoir mis en place un système de vidéosurveillance excessif. Aussi, le 18 décembre 2019, la Présidente de la CNIL a mis en demeure cinq établissements scolaires pour vidéosurveillance excessive.

Alors, quelles sont les règles à respecter pour éviter une mise en demeure ou une sanction de la CNIL ?

Vidéosurveillance au travail 

Avant tout propos, un employeur doit définir un objectif légal et légitime avant toute installation de caméra dans ses locaux. Cet objectif légal et légitime peut être : la sécurité des biens et des personnes, à titre dissuasif ou pour identifier les auteurs de vols, de dégradations ou d’agressions.

Voici les règles à respecter lors de l’installation de dispositif de vidéosurveillance :
  • Les caméras peuvent être installées au niveau des entrées et sorties des bâtiments, des issues de secours et des voies de circulation. Elles peuvent aussi filmer les zones où de la marchandise ou des biens de valeur sont entreposés.
  • Elles ne doivent pas filmer les employés sur leur poste de travail, sauf circonstances particulières tels que les employés manipulant de l’argent par exemple, mais la caméra doit davantage filmer la caisse que le caissier ou encore dans l’entrepôt stockant des biens de valeurs au sein duquel travaillent des manutentionnaires.
  • Les caméras ne doivent pas non plus filmer les zones de pause ou de repos des employés, ni les toilettes.
  • Enfin, elles ne doivent pas filmer les locaux syndicaux ou des représentants du personnel, ni leur accès lorsqu’il ne mène qu’à ces seuls locaux.

Seules les personnes habilitées par l’employeur pourront visionner les images enregistrées.

En cas d’accès aux images à distance, l’employeur est tenu d’en sécuriser les accès notamment via un mot de passe robuste, une connexion sécurisée. Cet accès à distance ne doit jamais être utilisé pour surveiller les employés.

L’employeur devra définir une durée de conservation des images de vidéosurveillance. En principe, cette durée ne doit pas excéder un (1) mois.

Les personnes concernées (employés et visiteurs) devront être informées, au moyen de panneaux affichés en permanence, de façon visible, dans les lieux concernés, qui comportent a minima, outre le pictogramme d’une caméra indiquant que le lieu est placé sous vidéoprotection : les finalités du traitement installé ; la durée de conservation des images ; le nom ou la qualité et le numéro de téléphone du responsable/du délégué à la protection des données (DPO) ; l’existence de droits de la personne concernée.

Quelles sont les formalités à accomplir en amont de l’installation ?

Si les caméras filment un lieu non ouvert au public, aucune formalité n’est exigée auprès de la CNIL. En revanche, si les caméras filment un lieu ouvert au public, le dispositif doit être autorisé par le préfet du département.

Les instances représentatives du personnel devront être informées et consultées avant toute décision d’installation de caméras de vidéosurveillance.

A titre informatif, dès lors qu’un dispositif de vidéosurveillance conduit à la « surveillance systématique à grande échelle d’une zone accessible au public » une analyse d’impact devra être effectuée.

Pour en savoir plus, vous trouverez sur le site de la CNIL toutes les informations relatives à la vidéosurveillance au travail, dans les magasins, sur la voie publique, en cliquant sur ce lien suivant.

renseignements sur les administrés

Communiquer des informations sur les administrés : à qui et dans quelles conditions ?

Communiquer des informations sur les administrés : à qui et dans quelles conditions ? 1280 853 Optimex Data

Principe : Les collectivités territoriales ne sont pas habilitées à communiquer à des tiers les données personnelles qu’elles détiennent.

Exception : Certaines informations doivent être communiquées aux « tiers autorisés » tels que les autorités publiques ou certains auxiliaires de justice.

  1. Conditions de communication des données

La communication à des tiers autorisés n’est possible que lorsqu’elle est expressément autorisée par un texte de loi ou une obligation légale.

Pour chaque demande de communication, vous devez vérifier certains points :

  • La demande doit être écrite et son fondement légal doit être précisé. C’est à la collectivité territoriale de vérifier la conformité du fondement légal au regard des textes invoqués dans la demande de communication ;
  • La demande doit être présentée par une personne ayant qualité pour agir en application du texte fondant le droit de communication. La délivrance d’un document prouvant l’identité de la personne habilitée est facultative mais peut être toutefois exigée par le responsable de traitement ;
  • La fréquence et le périmètre de la demande de communication ne peut pas excéder les limites éventuellement prévues par le texte précité (par exemple, respect du secret médical) ;
  • Les modalités de transmission devront être sécurisées pour assurer la confidentialité des données (ex : remise en main propre, chiffrement des données, etc..) ;
  • Seules les informations strictement nécessaires à la demande doivent être communiquées ;
  • Une traçabilité devra être effectuée afin de prouver la transmission.
  1. Les tiers autorisés

Vous trouverez en suivant ce lien une liste non exhaustive de tiers autorisés à obtenir la communication de données.

  1. Les limites du droit de communications des tiers autorisés

La collectivité territoriale ne peut pas constituer des fichiers spécifiques pour la gestion des demandes, utiliser des fichiers non détenus en propre pour répondre aux demandes et collecter des données sans lien avec la finalité du fichier et permettant uniquement de répondre aux demandes.

  1. Droit de communication des tiers autorisés et droit d’accès aux documents administratifs

Le droit de communication par des tiers autorisés leur permet d’accéder à certaines catégories d’informations dans le cadre d’une procédure légale.

Le droit d’accès aux documents administratifs permet à toute personne d’accéder aux documents détenus par l’administration.

Pour en savoir plus, vous trouverez le guide de sensibilisation au RGPD pour les collectivités territoriales en cliquant ici.