Faut-il encore déclarer ses fichiers à la CNIL ? Registre, DPO et AIPD expliqués aux PME

En bref : non, une PME n’a plus à déclarer ses fichiers à la CNIL. Depuis l’entrée en application du RGPD le 25 mai 2018, les formalités préalables générales ont laissé place à une logique de responsabilité : c’est vous qui documentez vos traitements. Trois outils sont en jeu. Le registre des activités de traitement (article 30) concerne presque toutes les entreprises, y compris celles de moins de 250 salariés, car la dérogation prévue pour elles est étroite. La désignation d’un délégué à la protection des données (DPO, article 37) n’est obligatoire que dans des cas précis. L’analyse d’impact (AIPD, article 35) n’est requise que pour les traitements susceptibles d’engendrer un risque élevé.

Ce qui a changé en 2018

La directive 95/46/CE prévoyait « une obligation générale de notifier les traitements de données à caractère personnel aux autorités de contrôle ». Le considérant 89 du RGPD constate que cette obligation générait une charge administrative et financière sans avoir systématiquement amélioré la protection des données, et prévoit de la remplacer par des mécanismes ciblant les traitements susceptibles d’engendrer un risque élevé.

La CNIL, autorité de contrôle nationale au sens du RGPD (loi Informatique et Libertés, art. 8), résume ce changement : le règlement repose sur « une logique de conformité », et les obligations déclaratives sont supprimées dès lors que les traitements ne constituent pas un risque pour la vie privée des personnes. Elle précise que le régime d’autorisation est maintenu dans certains cas par le droit national, par exemple en matière de santé.

Les démarches qui subsistent auprès de la CNIL sont ciblées : communiquer les coordonnées de votre DPO si vous en désignez un (art. 37, § 7) ; notifier une violation de données dans les meilleurs délais et, si possible, dans les 72 heures, sauf si elle n’est pas susceptible d’engendrer un risque pour les personnes (art. 33, § 1) ; consulter l’autorité avant un traitement dont l’analyse d’impact montre un risque élevé faute de mesures d’atténuation (art. 36, § 1). Pour le reste, l’essentiel se joue dans votre documentation interne, à commencer par le registre.

Le registre des activités de traitement (article 30)

Chaque responsable du traitement tient un registre des activités de traitement effectuées sous sa responsabilité (art. 30, § 1). La CNIL rappelle que l’obligation concerne tous les organismes, publics comme privés et quelle que soit leur taille, dès lors qu’ils traitent des données personnelles. Le registre comporte :

• le nom et les coordonnées du responsable du traitement et, le cas échéant, du responsable conjoint, du représentant et du délégué à la protection des données ;
• les finalités du traitement ;
• une description des catégories de personnes concernées et des catégories de données ;
• les catégories de destinataires, y compris les destinataires dans des pays tiers ;
• le cas échéant, les transferts vers un pays tiers ou une organisation internationale, avec l’identification de ce pays ou de cette organisation ;
• dans la mesure du possible, les délais prévus pour l’effacement des différentes catégories de données ;
• dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles.

Le registre se présente sous une forme écrite, y compris électronique (§ 3), et il est mis à la disposition de l’autorité de contrôle sur demande (§ 4). Pour une entreprise privée, c’est un document interne : la CNIL indique qu’elle n’est pas tenue de le communiquer au public. La CNIL recommande d’identifier les traitements par finalité et non par logiciel, d’établir une fiche par activité, et propose un modèle de registre simplifié destiné notamment aux TPE et PME.

Si vous traitez des données pour le compte de vos clients (agence de communication, prestataire informatique), vous tenez en plus un registre de sous-traitant (§ 2). Pensez enfin aux transferts : un outil qui héberge vos données hors de l’Union européenne doit apparaître dans la rubrique correspondante.

La dérogation « moins de 250 employés » et ses limites

Le considérant 13 explique que, pour tenir compte de la situation particulière des micro, petites et moyennes entreprises, le RGPD prévoit une dérogation en matière de tenue de registres. Elle figure à l’article 30, § 5, dont voici le texte exact :

La dérogation tombe donc dès que l’une de ces conditions est remplie :

• le traitement est susceptible de comporter un risque pour les droits et libertés des personnes ;
• il n’est pas occasionnel ;
• il porte sur des données sensibles (article 9, § 1 : origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques, données biométriques aux fins d’identifier une personne de manière unique, santé, vie sexuelle ou orientation sexuelle) ou sur des données relatives aux condamnations pénales et aux infractions (article 10).

La CNIL en tire une conséquence pratique : les traitements non occasionnels, comme la gestion de la paie, des clients et prospects ou des fournisseurs, doivent être inscrits au registre. Selon elle, la dérogation est « limitée à des cas très particuliers de traitements, mis en œuvre de manière occasionnelle et non routinière », par exemple une campagne de communication à l’occasion de l’ouverture d’un nouvel établissement, sous réserve qu’elle ne soulève aucun risque. En cas de doute, la CNIL recommande d’inscrire le traitement au registre. Une PME de quinze personnes qui gère des salariés, des clients et des prospects tient donc bien un registre.

Faut-il désigner un délégué à la protection des données ? (article 37)

La désignation est obligatoire dans trois cas (art. 37, § 1) :

• le traitement est effectué par une autorité publique ou un organisme public ;
• vos activités de base consistent en des opérations de traitement qui, du fait de leur nature, de leur portée et/ou de leurs finalités, exigent un suivi régulier et systématique à grande échelle des personnes concernées ;
• vos activités de base consistent en un traitement à grande échelle de données sensibles (article 9) ou de données relatives aux condamnations pénales et aux infractions (article 10).

Le critère n’est donc ni la taille de l’entreprise ni le simple fait de traiter des données, mais la nature de l’activité de base. Pour interpréter les notions d’« activités de base », de « grande échelle » et de « suivi régulier et systématique », la CNIL renvoie aux lignes directrices du Comité européen de la protection des données (CEPD). En dehors des cas obligatoires, la désignation reste possible (§ 4) et, selon la CNIL, elle est encouragée par le CEPD.

Si vous désignez un DPO :

• il peut être un membre de votre personnel ou exercer ses missions sur la base d’un contrat de service (§ 6) ; un groupe d’entreprises peut désigner un seul DPO s’il est facilement joignable depuis chaque lieu d’établissement (§ 2) ;
• il est désigné sur la base de ses qualités professionnelles, notamment de ses connaissances spécialisées du droit et des pratiques en matière de protection des données (§ 5) ;
• vous publiez ses coordonnées et les communiquez à l’autorité de contrôle (§ 7) ; la CNIL indique que la désignation se fait exclusivement depuis son téléservice dédié ;
• attention aux conflits d’intérêts : la CNIL cite parmi les fonctions susceptibles d’en créer celles de directeur général, de responsable du département marketing, des ressources humaines ou du service informatique.

Dans une petite structure, confier la fonction au dirigeant ou au responsable informatique mérite donc d’être examiné avec soin.

L’analyse d’impact (AIPD, article 35)

Lorsqu’un type de traitement, en particulier par le recours à de nouvelles technologies, est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes, vous effectuez une analyse d’impact avant de le mettre en œuvre (art. 35, § 1). Le RGPD cite trois cas où elle est en particulier requise (§ 3) :

• l’évaluation systématique et approfondie d’aspects personnels, fondée sur un traitement automatisé, y compris le profilage, sur la base de laquelle sont prises des décisions produisant des effets juridiques ou affectant la personne de manière significative de façon similaire ;
• le traitement à grande échelle de données sensibles ou de données relatives aux condamnations pénales et aux infractions ;
• la surveillance systématique à grande échelle d’une zone accessible au public.

La CNIL a adopté une liste de quatorze types de traitements pour lesquels l’AIPD est obligatoire (délibération n° 2018-327 du 11 octobre 2018). Deux d’entre eux concernent directement les PME : les traitements ayant pour finalité de surveiller de manière constante l’activité des employés (par exemple une vidéosurveillance portant sur des employés manipulant de l’argent) et les traitements établissant des profils de personnes à des fins de gestion des ressources humaines (par exemple un traitement facilitant le recrutement grâce à un algorithme de sélection). Hors de cette liste, la CNIL considère qu’une AIPD est obligatoire si le traitement remplit au moins deux des neuf critères issus des lignes directrices européennes, parmi lesquels l’évaluation ou le scoring, la surveillance systématique, les données sensibles, la collecte à large échelle, le croisement de données et les personnes vulnérables.

L’analyse contient au moins une description systématique du traitement et de ses finalités, une évaluation de sa nécessité et de sa proportionnalité, une évaluation des risques pour les personnes et les mesures envisagées pour y faire face (§ 7). Si vous avez désigné un DPO, vous lui demandez conseil (§ 2). La CNIL met à disposition un logiciel open source, PIA, pour conduire et formaliser l’analyse.

Ce que prévoit le RGPD en cas de manquement

Les obligations des articles 25 à 39, qui couvrent notamment le registre, l’AIPD et le DPO, relèvent de l’article 83, § 4 : leur violation peut faire l’objet d’amendes administratives « pouvant s’élever jusqu’à 10 000 000 EUR ou, dans le cas d’une entreprise, jusqu’à 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu ». Il s’agit de plafonds, non de montants automatiques.

Liste de contrôle pour les PME

• Listez vos activités par finalité : clients et prospects, fournisseurs, paie et gestion du personnel, recrutement, site internet, vidéosurveillance le cas échéant.
• Remplissez une fiche de registre par activité avec les rubriques de l’article 30 ; le modèle simplifié de la CNIL permet de commencer.
• N’écartez un traitement du registre au titre de la dérogation que s’il est occasionnel, sans risque et sans données sensibles ; en cas de doute, inscrivez-le.
• Recensez vos prestataires et le pays où ils hébergent les données ; notez les transferts hors de l’Union européenne.
• Vérifiez si votre activité de base implique un suivi régulier et systématique à grande échelle ou des données sensibles à grande échelle : si oui, désignez un DPO via le téléservice de la CNIL.
• Avant de lancer un dispositif de surveillance des salariés, un profilage RH ou un traitement de données sensibles, consultez la liste AIPD de la CNIL.
• Mettez le registre à jour à chaque changement : nouvelle donnée collectée, nouveau destinataire, durée de conservation allongée.

Le registre sert aussi à rédiger vos mentions d’information : nous détaillons ce qu’elles doivent contenir dans notre article sur l’information des personnes et le consentement.

Cet article est fourni à titre d’information générale et ne constitue pas un conseil juridique.