Etes-vous en conformité avec la CNIL?
Le début de l’année a été marqué par une activité inhabituellement intense sur la protection des données personnelles et les données géographiques, résumée ici. A cette occasion, nous avons échangé avec la Direction des affaires juridiques (DAJ) de notre secrétariat général. Les échanges tournaient autour de l’autorisation unique AU-001 évoqué dans ce fil sur Géorezo. Pour résumer la décision 2012-087 de la CNIL, tout traitement SIG réalisé pour des missions liées de près ou de loin à la gestion ou l’économie d’un territoire, au tourisme et à l’aide au personne (ce qui résume l’article 1er) doit être déclaré dans l’AU-001. « Tout autre usage est interdit », c’est-à-dire doit faire l’objet d’une demande d’autorisation.
Seule interrogation : l’ensemble des services déconcentrés exploitant des SIG avaient-ils bien TOUS pensés à accomplir cette démarche de demande d’autorisation unique ?
Je suis sûr que oui : il s’agit d’une obligation légale dont l’absence serait susceptible d’entraîner une responsabilité pénale du responsable du traitement (le chef de l’unité, par exemple), n’est-ce pas? Toutefois, je me suis engagé à diffuser un message pédagogique en interne. Il se pourrait qu’il soit utile également à d’autres : d’où ce billet.
Je vous informe donc qu’une « déclaration de conformité à une autorisation unique » peut se faire :
– soit en ligne sur le site www.cnil.fr→ Rubrique Déclarer (à droite au milieu de l’écran dans le cadre « professionnels »)→ Téléprocédures
Dans cette page, barre de gauche, cliquer sur « Déclaration simplifiée »
la référence à l’AU-001 sera à noter au moment de remplir l’onglet « Finalités ».
C’est franchement simple et, de plus, l’aide téléphonique en ligne est efficace (01.53.73.22.22)
– soit en format papier à l’aide du formulaire disponible dans ce guide.
Quelques compléments apportés par un échange avec une collègue de la DDT 42 :
– le responsable du traitement au sens CNIL est celui qui ordonne ou organise le traitement : ce n’est pas celui qui code la requête, ni le directeur, mais selon le cas plutôt le chef de pôle, de cellule ou de service.
– Vous allez avoir besoin du code NAF (code statistique des domaines économiques) : on le trouve sur les pagesjaunes.fr (par exemple).
– les agences ou sous-organisations disposant d’un SIRET propre ne devront faire l’objet d’une déclaration simplifiée que si des traitements SIG sont accomplis. Si seuls des numérisations et des catalogages sont réalisés, il n’y a rien à faire.
– conservez précieusement le récépissé de votre déclaration à la CNIL, par exemple imprimé et rangé dans un classeur avec copie à votre secrétariat général.