Vous lancez un site avec un formulaire de contact ou un espace membre, et vous cherchez le formulaire de déclaration à la CNIL. Vous ne le trouverez pas.
Il a disparu le 25 mai 2018, date d’entrée en application du RGPD. Mais les obligations, elles, n’ont pas disparu. Elles ont changé de forme, et elles sont même plus exigeantes qu’avant.
Ce qu’était la déclaration à la CNIL
Pendant quarante ans, la loi Informatique et libertés du 6 janvier 1978 a reposé sur un contrôle a priori. Avant de créer un fichier contenant des données à caractère personnel, le responsable devait en informer la CNIL.
Il existait plusieurs niveaux de formalités. La déclaration de conformité à une norme simplifiée couvrait les fichiers courants, la déclaration normale servait pour les autres cas, et les traitements les plus sensibles demandaient une autorisation.
Un site web qui collectait des noms et des adresses e-mail pour un forum ou une newsletter devait donc, en principe, être déclaré. Beaucoup ne l’étaient pas.
Ce qui a changé en 2018 avec le RGPD
Le règlement européen a renversé la logique. Plus de déclaration préalable dans la grande majorité des cas. À la place, un principe de responsabilité : le responsable du traitement doit respecter les règles et être capable de le prouver, à tout moment, en cas de contrôle.
Concrètement, la paperasse ne disparaît pas. Elle reste dans l’entreprise au lieu de partir à la CNIL.
| Avant mai 2018 | Depuis mai 2018 |
|---|---|
| Déclaration préalable du fichier à la CNIL | Registre des activités de traitement tenu en interne |
| Demande d’autorisation pour les traitements sensibles | Analyse d’impact pour les traitements à risque élevé |
| Contrôle surtout au moment de la création du fichier | Obligation de prouver sa conformité pendant toute la durée du traitement |
Les obligations qui remplacent la déclaration
Le registre des activités de traitement
Le registre liste chaque traitement : sa finalité, les catégories de données, les destinataires, la durée de conservation, les mesures de sécurité. Le RGPD prévoit des allègements pour les structures de moins de 250 salariés, mais ils tombent dès que le traitement n’est pas occasionnel. En pratique, presque tout le monde est concerné.
L’information des personnes
Les internautes doivent savoir qui collecte leurs données, pourquoi, combien de temps elles sont gardées et comment exercer leurs droits. Cette information figure en général dans une politique de confidentialité, à côté des mentions obligatoires d’un site internet.
Le respect des droits
Accès, effacement, opposition, droit de rectification : le responsable doit répondre aux demandes, en principe dans un délai d’un mois.
La sécurité et les violations de données
Les données doivent être protégées. Et si une fuite présente un risque pour les personnes, elle doit être notifiée à la CNIL dans les 72 heures après sa découverte.
Ce que cela donne pour un site web
Reprenons le cas de l’ancien texte : un site avec un forum où l’inscription demande un pseudo et une adresse e-mail. Aujourd’hui, son éditeur doit inscrire ce traitement dans son registre, informer les membres, fixer une durée de conservation et sécuriser la base.
Si le site envoie une newsletter, il doit recueillir un consentement opt-in en bonne et due forme. Et s’il dépose des cookies publicitaires ou certains traceurs de mesure d’audience, il doit obtenir l’accord de l’internaute avant leur dépôt.
Et le particulier ? Les traitements réalisés dans un cadre strictement personnel ou domestique échappent au RGPD. Un carnet d’adresses familial, oui. Un blog public qui collecte les e-mails de ses lecteurs, c’est moins sûr. Pour le lancement d’un projet en ligne, notre page sur la création de sites et de blogs fait le tour des autres règles.
Les formalités qui subsistent
La suppression n’est pas totale. Quelques démarches auprès de la CNIL demeurent :
- la notification de la désignation d’un délégué à la protection des données, quand l’organisme en nomme un,
- la notification des violations de données présentant un risque,
- des formalités particulières pour certains traitements de données de santé, notamment en recherche,
- la consultation préalable de la CNIL quand une analyse d’impact révèle un risque élevé que l’organisme ne parvient pas à réduire.
Mon conseil : si vous gérez un petit site, commencez par le registre. Le modèle proposé par la CNIL tient sur un tableur et vous oblige à vous poser les bonnes questions sur chaque donnée collectée.
Ce travail sert aussi la protection de la vie privée de vos visiteurs, ce qui reste le but de toute cette réglementation.
Faut-il désigner un délégué à la protection des données ?
Beaucoup de responsables de sites se posent la question en découvrant la fin de la déclaration. Pour la plupart des petites structures, la réponse est non.
Le RGPD rend la désignation d’un DPO obligatoire dans trois cas :
- le traitement est réalisé par une autorité ou un organisme public
- l’activité principale consiste à suivre de façon régulière et systématique des personnes à grande échelle
- l’activité principale porte à grande échelle sur des données sensibles (santé, opinions, etc.) ou relatives aux condamnations pénales
Un artisan avec un formulaire de contact n’est dans aucune de ces situations. Une plateforme qui profile des millions d’utilisateurs, si. Entre les deux, la frontière se discute, et la CNIL publie des lignes directrices pour aider à trancher.
Rien n’interdit de nommer un DPO sans y être obligé. Mais une fois désigné, il doit disposer des moyens et de l’indépendance prévus par le texte, et sa désignation se notifie à la CNIL.
Les erreurs fréquentes des petits sites
Depuis 2018, les mêmes faiblesses reviennent souvent sur les sites de TPE et de blogueurs.
- Copier la politique de confidentialité d’un autre site. Elle décrit alors des traitements qui ne sont pas les vôtres.
- Demander trop d’informations dans un formulaire. Le RGPD impose de ne collecter que ce qui sert la finalité annoncée. Une date de naissance pour un simple devis, c’est rarement justifié.
- Afficher un bandeau cookies sans bouton pour refuser, ou déposer les traceurs avant le choix de l’internaute.
- Garder les données sans limite de temps, faute d’avoir fixé une durée de conservation.
- Oublier les prestataires. Hébergeur, outil d’e-mailing ou de prise de rendez-vous traitent vos données pour votre compte, et un contrat doit encadrer leur rôle.
Prenons l’exemple d’un photographe qui ajoute un outil de réservation en ligne. Il doit vérifier où cet outil stocke les données, l’inscrire dans son registre et compléter sa politique de confidentialité. Trois gestes, une heure de travail. À mon sens, c’est le bon rythme : traiter chaque nouvel outil au moment où vous l’installez, plutôt que tout reprendre le jour d’une plainte.
Questions fréquentes sur la déclaration CNIL
Faut-il encore déclarer son site internet à la CNIL ?
Non. Depuis le 25 mai 2018, la déclaration préalable a été supprimée pour la grande majorité des traitements. Le responsable du site doit en revanche respecter le RGPD et pouvoir le démontrer à tout moment.
Un blog personnel est-il soumis au RGPD ?
Tout dépend de son usage. Les traitements réalisés dans un cadre strictement personnel ou domestique échappent au RGPD. Un blog ouvert au public qui collecte des adresses e-mail ou utilise des outils de mesure d’audience peut en revanche y être soumis.
Que risque un site qui ne respecte pas le RGPD ?
La CNIL peut adresser une mise en demeure, puis prononcer des sanctions, y compris des amendes administratives. Les personnes concernées peuvent aussi déposer une plainte auprès d’elle ou saisir le juge.
Existe-t-il encore des formalités auprès de la CNIL ?
Oui, dans des cas limités. La désignation d’un délégué à la protection des données doit lui être notifiée, certaines violations de données doivent lui être signalées, et quelques traitements de données de santé restent soumis à des formalités particulières.
