La Cnil a modifi\u00e9 cet \u00e9t\u00e9 sa norme simplifi\u00e9e 48 sur les traitements de donn\u00e9es \u00e0 caract\u00e8re personnel relatifs \u00e0 la gestion de clients et de prospects [1]. Elle vient d\u2019\u00eatre publi\u00e9e au Journal Officiel en date du 16 septembre 2016.<\/p>\n
Pour m\u00e9moire, tout traitement de donn\u00e9es \u00e0 caract\u00e8re personnel doit par principe faire l\u2019objet d\u2019une d\u00e9claration pr\u00e9alable aupr\u00e8s de la Cnil.<\/strong><\/p>\n Les traitements de donn\u00e9es mis en \u0153uvre dans le cadre de la gestion des clients et prospects n\u2019\u00e9chappent pas \u00e0 cette r\u00e8gle (base de donn\u00e9es clients, liste de diffusion d\u2019une newsletter, historique des commandes, suivi des participants \u00e0 un jeu-concours,\u2026).<\/p>\n N\u00e9anmoins, pour les traitements ne pr\u00e9sentant pas de risque particulier pour les droits et libert\u00e9s des personnes, la Cnil peut \u00e9laborer des normes simplifi\u00e9es<\/strong>.<\/p>\n Il s\u2019agit de d\u00e9lib\u00e9rations de la Cnil qui visent \u00e0 permettre aux organismes mettant en place un traitement de donn\u00e9es \u00e0 caract\u00e8re personnel conforme \u00e0 cette norme d\u2019effectuer, non pas une d\u00e9claration normale pour leurs traitements aupr\u00e8s de la Cnil, mais un simple engagement de conformit\u00e9 \u00e0 ladite norme simplifi\u00e9e, aussi d\u00e9sign\u00e9e sous l\u2019appellation \u00ab\u00a0d\u00e9claration simplifi\u00e9e\u00a0\u00bb<\/strong>.<\/p>\n Pour r\u00e9sumer\u00a0: si je mets en place un traitement de donn\u00e9es \u00e0 caract\u00e8re personnel strictement conforme aux pr\u00e9cisions figurant dans une norme simplifi\u00e9e \u00e9labor\u00e9e par la Cnil, alors je peux faire un simple engagement de conformit\u00e9 \u00e0 la norme simplifi\u00e9e en question et je n\u2019ai pas besoin de proc\u00e9der \u00e0 une d\u00e9claration dite \u00ab\u00a0normale\u00a0\u00bb.<\/p>\n La norme simplifi\u00e9e 48 a \u00e9t\u00e9 adopt\u00e9e en 2005 [2], puis modifi\u00e9e en 2012 [3] et vient une fois encore d\u2019\u00eatre actualis\u00e9e afin de tenir compte des \u00e9volutions l\u00e9gislatives et r\u00e9glementaires applicables en mati\u00e8re de gestion des clients et prospects.<\/p>\n Ainsi, \u00e0 ce jour, la norme simplifi\u00e9e 48 vise notamment<\/strong> les traitements de donn\u00e9es personnelles ayant pour finalit\u00e9s :<\/p>\n Sont en revanche exclus du champ de cette norme<\/strong> :<\/p>\n Outre les pr\u00e9cisions relatives \u00e0 son champ d\u2019application, la norme simplifi\u00e9e 48, construite comme toutes les autres normes simplifi\u00e9es de la Cnil, liste\u00a0:<\/p>\n <\/p>\n Par ailleurs, la Cnil profite de cette mise \u00e0 jour de la norme simplifi\u00e9e 48 pour y apporter des pr\u00e9cisions pratiques<\/strong> et des exemples<\/strong> afin de faciliter sa lecture et sa compr\u00e9hension.<\/p>\n Les organismes priv\u00e9s et publics ayant effectu\u00e9 une d\u00e9claration simplifi\u00e9e en r\u00e9f\u00e9rence \u00e0 la norme simplifi\u00e9e 48 qui ne respectent pas les conditions fix\u00e9es par la pr\u00e9sente d\u00e9lib\u00e9ration disposent d’un d\u00e9lai de douze mois<\/strong> \u00e0 compter de la publication de celle-ci (cf. publication au journal officiel en date du 14 septembre 2016) pour mettre leur traitement en conformit\u00e9.<\/strong> Il n’est pas n\u00e9cessaire que ces organismes proc\u00e8dent \u00e0 un nouvel engagement de conformit\u00e9 \u00e0 la pr\u00e9sente norme.<\/p>\n <\/p>\n A l\u2019inverse, les organismes qui ne respectent pas strictement les pr\u00e9cisions figurant dans cette norme simplifi\u00e9e doivent proc\u00e9der \u00e0 une d\u00e9claration normale aupr\u00e8s de la Cnil.<\/strong><\/p>\n Il est tout de m\u00eame pr\u00e9cis\u00e9 que plus un traitement de donn\u00e9es clients \/ prospects sera \u00e9loign\u00e9 de cette norme simplifi\u00e9e (qui en pratique repr\u00e9sente la doctrine de la Cnil sur ce type de traitements)<\/em>, plus il existe un risque que le traitement mis en \u0153uvre soit consid\u00e9r\u00e9 comme non conforme aux principes r\u00e9sultants des dispositions l\u00e9gales et r\u00e9glementaires applicables (cf. dur\u00e9e de conservation proportionn\u00e9e, pertinence, ad\u00e9quation et non excessivit\u00e9 des donn\u00e9es, encadrement des transferts de donn\u00e9es vers l\u2019\u00e9tranger,\u2026).<\/em><\/p>\n <\/p>\n Cette actualisation de la norme simplifi\u00e9e 48 doit ainsi \u00eatre l\u2019occasion pour tout responsable de traitement de se pencher sur ses pratiques en mati\u00e8re de gestion des fichiers clients et prospects<\/strong> afin : —<\/p>\n R\u00e9f\u00e9rences<\/strong><\/p>\n [1] Cnil, D\u00e9lib.2016-264<\/a> du 21-7-2016.<\/p>\n [2] Cnil, D\u00e9lib.2005-112<\/a> du 7-6-2005.<\/p>\n [3] Cnil, D\u00e9lib.2012-209 <\/a>du 21-6-2012.<\/p>\n [4] Cf. liste Opposetel.<\/p>\n CNIL Norme simplifi\u00e9e NS-048<\/a> (d\u00e9clarer un fichier)<\/p>\n <\/p>\nLa d\u00e9claration simplifi\u00e9e de traitement de donn\u00e9es<\/h2>\n
Traitements de donn\u00e9es personnelles concern\u00e9s par la norme simplifi\u00e9e 48 de la CNIL<\/h2>\n
\n
\n
Modalit\u00e9s et exemples concernant les traitements vis\u00e9s par la norme simplifi\u00e9e 48 de la CNIL<\/h2>\n
\n
\n(i) de v\u00e9rifier si ses traitements sont conformes aux recommandations de la Cnil et
\n(ii) d\u2019effectuer les op\u00e9rations de mise en conformit\u00e9 et formalit\u00e9s ad\u00e9quates aupr\u00e8s de la Cnil (engagement de conformit\u00e9 \u00e0 la norme simplifi\u00e9e 48 ou d\u00e9claration normale).<\/p>\n