Votre site est-il en règle vis à vis de la CNIL?
Le saviez-vous? Si votre site internet effectue un traitement de données personnelles (base de données utilisateurs par exemple), vous devez en faire la déclaration à la CNIL.
Tout d’abord, qu’est ce que la CNIL?
La CNIL (Commission Nationale de l’Informatique et des Libertés) est une autorité administrative instituée par la Loi n°78-17 du 6 janvier 1978 relative à l’information, aux fichiers et aux libertés.
Indépendante, elle délibère sur des fichiers de traitement de données personnelles, ainsi que sur les projets de loi et de décret que le gouvernement lui soumet pour avis.
Depuis 2004, elle est également habilitée à prononcer des sanctions à l’encontre des responsables de traitements qui ne respectent pas la loi informatique et libertés.
Vos obligations en tant que responsable du site internet de votre entreprise:
La sécurité des fichiers
» Tout responsable de traitement informatique de données personnelles doit adopter des mesures de sécurité physiques (sécurité des locaux), logiques (sécurité des systèmes d’information) et adaptées à la nature des données et aux risques présentés par le traitement. »
En tant que responsable du site internet de votre société, vous devez mettre en oeuvre la sécurité (mot de passe, sécurité de base de données, confidentialité des identifiants de votre hébergement) des fichiers qui contiennent et qui traitent des données à caractère personnel.
La confidentialité des données
» Seules les personnes autorisées peuvent accéder aux données personnelles contenues dans un fichier. Il s’agit des destinataires explicitement désignés pour en obtenir régulièrement communication et des «tiers autorisés» ayant qualité pour les recevoir de façon ponctuelle et motivée (ex. : la police, le fisc). «
Seules des personnes explicitement désignées dans les mentions légales de votre site peuvent avoir accès aux informations contenues dans ce fichier, (ainsi que la police et le fisc, lors d’enquêtes, ce qui n’est pas à souhaiter).
La durée de conservation des informations
» Les données personnelles ont une date de péremption.
Le responsable d’un fichier fixe une durée de conservation raisonnable en fonction de l’objectif du fichier. «
Vous devez indiquer dans les mentions légales de votre site le temps que seront conservées les données.
Par exemple vous ne conserverez pas plus de deux ans les données relatives aux auteurs des commentaires de votre blog.
L’information des personnes
» Le responsable d’un fichier doit permettre aux personnes concernées par des informations qu’il détient d’exercer pleinement leurs droits. Pour cela, il doit leur communiquer : son identité, la finalité de son traitement, le caractère obligatoire ou facultatif des réponses, les destinataires des informations, l’existence de droits, les transmissions envisagées. «
Dans les mentions légales de votre site doivent se trouver plusieurs informations: l’identité du responsable du site, le fait que des informations sont récoltées, dans quel but, quelles sont les personnes qui y auront accès, si les informations seront cédées ou non à des tiers, le droit d’une personne à avoir accès et rectifier les informations le concernant ect…
L’autorisation de la CNIL
» Les traitements informatiques de données personnelles qui présentent des risques particuliers d’atteinte aux droits et aux libertés doivent, avant leur mise en Å“uvre, être soumis à l’autorisation de la CNIL. «
Par précaution, contacter la CNIL pour déclarer toute base de données contenant des données à caractère personnel. Elle seule pourra décider s’il y a des risques d’atteinte aux libertés, c’est leur boulot!
La finalité des traitements
» Un fichier doit avoir un objectif précis.
Les informations exploitées dans un fichier doivent être cohérentes par rapport à son objectif.
Les informations ne peuvent pas être réutilisées de manière incompatible avec la finalité pour laquelle elles ont été collectées. «
Vous ne collectez pas des données depuis votre site internet pour rien: fichier clients, abonnés à la Newsletter, rédacteurs de contenus… Vous devez indiquer clairement le but de la collecte d’informations, et ne devez pas utiliser ces informations dans un autre but.
Les dispenses de déclaration dont votre site peut bénéficier:
Certains sites qui collectent et utilisent des données personnelles sont dispensés de déclarations à la CNIL:
Les sites ou blogs purement personnels sont dispensés de déclaration.
Les sites vitrines purement institutionnels, non commerciaux sont dispensés de déclaration.
Les sites des association « loi 1901 » qui recueillent et/ou diffusent des données concernant leurs membres et leurs donateurs sont dispensés de déclaration.
Les sites de e-commerce relèvent en général de la norme simplifiée n° 48 relative aux fichiers de clients et de prospects. Il sont soumis à une déclaration simplifiée.
Dans les autres cas, une déclaration normale est requise.
Ces dispenses sont tout de même soumises à certaines obligations que seule la CNIL pourra apprécier. Mieux vaut donc la contacter ou utiliser l’utilitaire de déclaration en ligne.
En clair:
à partir du moment où votre site récolte de quelque manière que ce soit des informations sur les personnes, vous devez vérifier que lesdites informations sont soumises à déclaration, ou non.
vous devez informer l’utilisateur via des mentions légales que des informations sont récoltées, de la manière dont elles sont récoltées, dans quel but, et surtout permettre à chacun l’accès et la rectification des données le concernant.
Il est possible, mais pas obligatoire, d’indiquer dans les mentions légales de votre site le numéro de déclaration à la CNIL de votre fichier
La déclaration à la CNIL de vos fichiers de traitement de données est gratuite, et peut s’effectuer en ligne.
Pour savoir si vos bases de données sont susceptibles d’être déclarées, un utilitaire est fournis par la CNIL
www.cnil.fr/vos-responsabilites/declarer-a-la-cnil
un accueil téléphonique est également disponible au 01.53.73.22.22
Pour en savoir plus:
Toutes les citations sont tirées du site de la CNIL
- La CNIL
www.cnil.fr
www.cnil.fr/vos-responsabilites/vos-obligations
www.cnil.fr/vos-responsabilites/declarer-a-la-cnil
- Texte de la loi dite « Informatique et Libertés » 78-17
www.cnil.fr/en-savoir-plus/textes-fondateurs/loi78-17
- Obligations du Blogueur:
www.cnil.fr/dossiers/internet-telecoms/fiches-pratiques/article/27/les-obligations-du-blogueur
www.presse-citron.net/votre-blog-est-illegal-et-vous-ne-le-savez-pas-voici-pourquoi
