Archives mensuelles : novembre 2018

Le point sur le Délégué à la protection des données et la CNIL

Le Délégué à la protection des données (DPD)
Le Délégué à la protection des données (DPD, souvent aussi appelé le DPO (Data protection officer) est la personne chargée de vérifier qu’une personne (publique ou privée) respecte les obligations légales en matière de protection des données personnelles. Ce peut être une personne travaillant en interne dans la structure (un salarié de l’entreprise ou un agent public travaillant pour la personne morale de droit public) ou une personne extérieure (agissant dans ce cas dans le cadre d’une prestation de services facturée).1

Le DPD a été institué par le Règlement général sur la protection des données (RGPD)2 : il remplace depuis le 25 mai 2018 l’ancien Correspondant informatique et libertés (CIL).

Alors qu’auparavant la désignation d’un CIL était facultative (dans le secteur public ou dans le secteur privé), il est obligatoire depuis le 25 mai 2018 de nommer un Délégué à la protection des données (DPD) dans chacun des cas suivants :

  • dans tout organisme du secteur public ;
  • dans tout organisme, public ou privé, dont l’activité nécessite d’effectuer un suivi régulier, systématique et à grande échelle de données personnelles ;
  • dans tout organisme, public ou privé, dont l’activité nécessite de traiter, à grande échelle, des données sensibles (aussi appelées « catégories particulières de données ») et des données relatives à des condamnations pénales.

Le DPD est a priori désigné pour exercer ses missions dans un seul établissement public ; toutefois, un DPD peut être mutualisé entre plusieurs établissements publics, si la taille et la structure organisationnelle de ces établissements s’y prêtent.3

Le DPD est nommé par le responsable du traitement (sur la notion de responsable de traitement de données personnelles, voir le billet  « Le point sur les données à caractère personnel« ). La personne pressentie pour cette fonction doit avoir des « connaissances spécialisées du droit et des pratiques en matière de protection des données » et une « capacité à accomplir les missions » d’information, de conseil et de contrôle.4 Que ce soit une personne appartenant à l’effectif de la structure, ou un prestataire extérieur, le DPD ne doit pas exercer par ailleurs une mission qui entrerait en conflit d’intérêt avec sa mission de DPD.

Ce DPD est, en pratique, l’interlocuteur de toute personne ayant besoin d’être informée sur un traitement de données personnelles dans la structure :

  • le DPD conseille le(s) responsable(s) de traitement et les employés, sur les règles à respecter (vérifier la licéité du traitement et respecter les six principes généraux (loyauté, limitation des finalités, minimisation, exactitude, durée de conservation, intégrité et confidentialité : voir le billet  « Le point sur les données à caractère personnel« ) ;
  • le DPD s’assure que les traitements sont effectués en conformité avec le RGPD ; en pratique, c’est souvent le DPD qui établira le registre des traitements effectués dans la structure et qui tiendra à jour ce registre ;
  • le DPD s’assure que le personnel est formé et sensibilisé à la protection des données personnelles ;
  • le DPD évalue quels sont les traitements à risque nécessitant de mener une analyse d’impact relative à la protection des données (AIPD). Si une telle analyse d’impact est nécessaire, c’est le DPD qui la mènera, ou la validera ou participera à sa rédaction ou, au moins, qui donnera son avis sur cette AIPD ;
  • le DPD contrôlera comment sont réparties les responsabilités entre le responsable de traitement et d’éventuels sous-traitants ;
  • le DPD coopère avec la CNIL : il répondra aux demandes de la CNIL, et peut obtenir des conseils de la CNIL ;
  • enfin, le DPD voit ses coordonnées publiées : c’est lui que contactera toute personne concernée souhaitant exercer son droit d’accès, de rectification ou d’opposition.

Le DPD ne peut pas être poursuivi dans le cas où les règles de protection des données personnelles n’auraient pas été respectées par l’établissement : c’est le responsable du traitement qui assume seul cette responsabilité en cas de violation des données personnelles. Par ailleurs, le responsable de traitement ne peut pas pénaliser le DPD ni lui donner des instructions concernant l’exercice de ses missions ; le DPD rend compte « au niveau le plus élevé de la direction du responsable du traitement »5

La CNIL

La Commission nationale Informatique et libertés (CNIL) est l’autorité administrative chargée de vérifier que le RGPD et la loi française du 6 janvier 1978 Informatique et libertés, sont respectées.

Le Délégué à la protection des données n’a pas à informer la CNIL des traitements de données effectués dans la structure. Il peut toutefois être amené à contacter la CNIL :

  • dans tous les cas, s’il a besoin d’un conseil de la CNIL ;
  • si la CNIL le contacte pour avoir une information sur un traitement de données ;
  • si l’analyse d’impact sur la protection des données, qui a été menée en interne, indique qu’il reste un risque élevé d’atteinte aux droits et libertés des personnes6 ;
  • ou si une violation de données personnelles a été constatée (le responsable du traitement en avertit la CNIL dans les meilleurs délais et au plus tard dans les 72 heures)7.

Bibliographie :

Crédit : Source CNIL (graphisme de la page « professionnel » de la https://www.cnil.fr/), licence CC BY NC ND 3.0 FR.


  1. RGPD, article 37. []
  2. Sur les missions et la désignation du DPD, voir les articles 37, 38 et 39 du Règlement général sur la protection des données. []
  3. RGPD, article 37. []
  4. RGPD, article 39. []
  5. RGPD, article 38. []
  6. RGPD, article 36. []
  7. RGPD, article 33. []

Le point sur les données à caractère personnel

»

(Billet mis en ligne le 31 août 2017, mis à jour le 9 novembre 2018)

Les données à caractère personnel sont soumises à un régime juridique qui a changé en France et dans l’Union européenne en mai 2018.

En effet, depuis le 25 mai 2018, le Règlement général sur la protection des données personnelles (RGPD)1 applicable dans tous les pays de l’Union européenne a remplacé l’ancienne directive du 14 octobre 1995 sur la protection des données personnelles. La loi française du 6 janvier 1978 dite « Informatique et libertés » est adaptée en conséquence.

On trouvera ici l’essentiel de ce qu’un.e chercheur.e ou un.e documentaliste doit savoir sur les données personnelles qu’il.elle est amené.e à traiter. Continuer la lecture de Le point sur les données à caractère personnel 

  1. Ce règlement général sur la protection des données personnelles, ou RGPD, a été adopté le 27 avril 2016. Il est entré en vigueur dès le 25 mai 2016, mais les responsables de traitement ont eu jusqu’au 25 mai 2018 pour se mettre en conformité. []

Les délais de consultation des archives publiques

Les archives publiques sont par principe librement consultables par toute personne (Voir le billet « Le chercheur consulte des documents existants (archives) »). Toutefois, dans certains cas, la loi ne permet de consulter des archives publiques, qu’après expiration d’un délai.

On appelle archives publiques, les archives qui sont produites ou reçues par une personne de droit public1. Elles sont communicables de plein droit (Code du patrimoine, art. L213-1).

Toute personne intéressée peut obtenir communication d’un document d’archives publiques dans les conditions suivantes (Code du patrimoine, art. L213-1 et Code des relations entre le public et l’administration-CRPA, art. L311-9) : Continuer la lecture de Les délais de consultation des archives publiques 

  1. Les archives publiques, produites ou reçues par une personne de droit public, s’opposent aux archives privées, produites ou reçues par une personne de droit privé (particulier, association de loi 1901, entreprise… []

Un chercheur peut-il consulter un fonds qui comporte des données personnelles ?

Dès lors qu’un document contient des informations dont la révélation pourrait porter atteinte aux droits d’une personne, la loi encadre les conditions de sa consultation. Consulter un fonds de documents comportant des données personnelles, nécessite de respecter ces conditions.

Rappelons que les données à caractère personnel sont « toute information se rapportant à une personne physique identifiée ou identifiable1 : voir « Le point sur les données à caractère personnel »). Un document contenant des données personnelles est donc un document comportant une ou plusieurs informations telles que : le prénom d’une personne, son patronyme, sa date de naissance, son lieu de naissance, son numéro de téléphone, son adresse mail, son adresse postale, son métier, sa situation matrimoniale, ses habitudes de consommation, une photo de cette personne, un enregistrement sonore sur lequel on reconnaît sa voix, son parcours sur internet… Continuer la lecture de Un chercheur peut-il consulter un fonds qui comporte des données personnelles ? 

  1. Art. 4 du RGPD et art. 2 de la loi du 6 janvier 1978 []