Que dit la Loi ?

Article 2 de la loi 78-17 du 6 janvier 1978 modifiée par la loi 2004-801 du 6 août 2004
La présente loi s'applique aux traitements automatisés de données à caractère personnel, ainsi qu'aux traitements non automatisés de données à caractère personnel contenues ou appelées à figurer dans des fichiers [...]

Constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d'identification ou à un ou plusieurs éléments qui lui sont propres. [...]

Constitue un traitement de données à caractère personnel toute opération ou tout ensemble d'opérations portant sur de telles données, quel que soit le procédé utilisé, et notamment la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, ainsi que le verrouillage, l'effacement ou la destruction.

Constitue un fichier de données à caractère personnel tout ensemble structuré et stable de données à caractère personnel accessibles selon des critères déterminés [...]

Déclaration CNIL

La loi dite Informatique et Libertés (loi 78-17 du 6 janvier 1978 modifiée par la loi 2004-801 du 6 août 2004) impose aux responsables des fichiers et/ou traitements de données à caractère personnel (qu'il soient automatisés ou manuels) de respecter certaines formalités, dont celle de déclarer ces fichiers et traitements auprès de la CNIL.

Certains fichiers et traitements sont dispensés de déclaration. En dehors de ces cas d'exonération, la déclaration est obligatoire.

Déclaration de conformité
Procédure allégée qui convient à certains fichiers ou traitements sous réserve de respecter certaines conditions.

Déclaration de conformité à une norme simplifiée

Déclaration de conformité à une autorisation unique

Déclaration de conformité à un acte réglementaire unique

Déclaration normale
C’est la procédure courante en dehors des déclarations de conformité.

Qui est concerné ?
Tous les organismes :

Sociétés (quelle que soit leur taille)

Associations

Collectivités locales (mairies, ...)

Nos prestations > Déclaration

Information et droit d'accès

L'article 32 de la loi "Informatique et libertés" fait obligation aux responsables des fichiers et/ou traitements de données à caractère personnel d'informer sur plusieurs points la personne auprès de laquelle sont recueillies ces données.

D'un autre côté, chaque personne :

A un droit de regard sur l'utilisation qui est faite des informations la concernant ;

Dispose d'un droit d'accès à ces informations et du droit de les faire modifier (changement de nom, d'adresse, de fonctions, etc.), rectifier (en cas d'erreur) ou supprimer.

Il appartient donc au responsable du traitement d'organiser ce droit d'accès en respectant le cadre défini par la loi.

Lors d'un audit, nous pourrons vérifier que toutes ces obligations sont respectées et, si elles ne le sont pas, un rapport vous indiquera que faire.

Sanctions

Article 226-16 du code pénal
Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi est puni de cinq ans d’emprisonnement et de 300 000 € d’amende. [...]

Articles R. 625-10 du Code pénal
Lorsque cette information est exigée par la loi, est puni de l’amende prévue pour les contraventions de la cinquième classe le fait, pour le responsable d’un traitement automatisé de données à caractère personnel :

De ne pas informer la personne auprès de laquelle sont recueillies des données à caractère personnel la concernant de [...]

Lorsque les données sont recueillies par voie de questionnaire, de ne pas porter sur le questionnaire les informations relatives [...]
[...]

Art. R. 625-11 du Code pénal
Est puni de l’amende prévue pour les contraventions de la cinquième classe le fait, pour le responsable d’un traitement automatisé de données à caractère personnel, de ne pas répondre aux demandes d’une personne physique justifiant de son identité qui ont pour objet [...]
[...]