Le dirigeant est responsable de ses #déclarations à la CNIL

Quelles mesures les entreprises doivent-elles prendre pour être en règle avec la CNIL (commission nationale de l’informatique et des libertés), notamment pour le respect des données privées ? 

Les entreprises doivent protéger les données personnelles, selon la loi Informatique et libertés ?

C’est une obligation légale des entreprises : elles doivent protéger les données personnelles de leurs salariés comme de leurs clients. Une donnée personnelle est toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement .

Certaines données peuvent sembler évidentes : nom, prénom, date de naissance, adresse postale, empreinte digitale. D’autres viennent moins spontanément à l’esprit : adresse IP, habitudes de consommation, entourage familial, plaque d’immatriculation.

L’entreprise se doit donc de sécuriser les informations personnelles qui transitent par son site Internet (ne serait-ce qu’à travers un formulaire de contact), par l’enregistrement des appels, la vidéosurveillance, l’annuaire interne, les contrôles d’accès aux locaux, etc.

Que doit faire l’entreprise pour être en conformité avec la loi ?

Informer les instances représentatives et mettre en œuvre une charte informatique ne suffit pas. Le site Internet de l’entreprise doit comporter des mentions légales, elle doit assurer la confidentialité des données, définir une durée de conservation des données, effectuer les déclarations préalables à la mise en place d’un dispositif de collecte auprès de la CNIL, respecter l’objectif de la collecte annoncé, etc.

Le dirigeant de l’entreprise est responsable et doit prendre les mesures nécessaires au traitement des données personnelles. Il est aussi fortement conseillé, dans les entreprises de taille importante, de mettre en place un CIL, un correspondant informatique et libertés, et de sensibiliser les utilisateurs et les salariés aux risques informatiques et à la loi informatique et libertés. Il peut aussi être utile de faire un inventaire des traitements des données à caractère personnel (site Internet, fichiers clients, prospects, fournisseurs, téléphonie, vidéo-surveillance, gestion de la paie, fichiers métiers).

Le coût de la mise en place de ces mesures varie en fonction de la taille de l’entreprise, donc du temps nécessaire à l’analyse des risques.

Quelles sanctions l’entreprise et son dirigeant risquent-ils ?

Au-delà des sanctions légales, c’est la réputation et la crédibilité de l’entreprise qui sont en jeu : son image et son patrimoine sont exposés.

Néanmoins, l’absence de mentions légales peut déboucher sur une amende de 6000 €, la surveillance permanente des zones réservées dans une entreprise ou la collecte de données sur la vitesse d’un véhicule, 5000 € ; le non respect des obligations de sécurisation des données personnelles peut aller jusqu’à 300 000 € d’amendes.
 Toutefois, la CNIL joue pour l’instant avant tout un rôle de prévention plus que de sanction.

Quid de la loi sur le renseignement qui oblige les opérateurs à mettre en place des dispositifs automatiques de collecte des données ?

Ce type de loi ne pose pas de problème dans une démocratie et remplit ses objectifs de sécurité. En revanche, la question se poserait de façon plus grave sous un autre régime.

ATTENTION !

Une déclaration incomplète ou ne correspondant pas à la réalité peut vite se transformer en FAUSSE DECLARATION.