AgentPublic/cnil huggingface dataset:
Le responsable de traitement qui souhaite avoir recours à un sous-traitant doit veiller à ne faire appel qu'à des organismes présentant des garanties suffisantes. Un contrat définissant les caractéristiques du traitement ainsi que les différentes obligations des parties en matière de protection des données doit être établi entre elles (article 28 du RGPD). Un guide du sous-traitant, édité par la CNIL, précise ces obligations et les clauses à intégrer dans les contrats.
6.1. Les personnes accédant aux données pour le compte de l'employeur
Seules les personnes habilitées au titre de leurs missions ou de leurs fonctions, doivent pouvoir accéder aux données à caractère personnel traitées, et ce, dans la stricte limite de leurs attributions respectives et de l'accomplissement de ces missions et fonctions. Il peut s'agir, par exemple :
des personnes habilitées chargées de la gestion du personnel ou de la gestion de la paie ;
des personnes habilitées chargées d'assurer la sécurité des personnes et des biens, pour les besoins du contrôle d'accès aux locaux et aux outils de travail ;
des supérieurs hiérarchiques des employés concernés, à l'exclusion des données relatives à l'action sociale directement mise en œuvre par l'employeur.
6.2. Les destinataires des données
Le RGPD définit les destinataires comme tout organisme qui reçoit la communication des données .
Dans le cadre de ce référentiel, peuvent notamment être destinataires des données :
les instances représentatives du personnel, pour les données strictement nécessaires à leurs missions dans les conditions fixées par les textes applicables ;
les organismes gérant les différents systèmes d'assurances sociales, d'assurances chômage, de retraite et de prévoyance, les caisses de congés payés, les organismes publics et administrations légalement habilités à les recevoir ;
les entités chargées de l'audit et du contrôle financier de l'organisme employeur ;
les différents prestataires auxquels l'organisme employeur est susceptible de sous-traiter la gestion de certaines activités (restauration collective, vote électronique, archivage des documents, tenue des comptes d'épargne, etc.) ;
les entités en charge de l'action culturelle et sociale telles que les comités sociaux et économiques (CSE), à condition que le bénéficiaire en ait fait la demande.
Pour assurer la continuité de la protection des données à caractère personnel, leur transfert en dehors de l'Union européenne est soumis à des règles particulières. Ainsi, conformément aux dispositions des articles 44 et suivants du RGPD, toute transmission de données hors de l'UE doit :
être fondée sur une décision d'adéquation ;
ou être encadrée par des règles internes d'entreprise ( BCR ), des clauses types de protection des données, un code de conduite ou un mécanisme de certification approuvé par la CNIL ;
ou être encadrée par des clauses contractuelles ad hoc préalablement autorisées par la CNIL ;
ou répondre à une des dérogations prévues à l'article 49 du RGPD.
Pour en savoir plus, consulter la rubrique Transférer des données hors de l’UE  sur le site de la CNIL.
7. Durées de conservation
Conformément à l'article 5-1-e du RGPD, les données à caractère personnel ne doivent être conservées sous une forme permettant l'identification des personnes que le temps strictement nécessaire à la réalisation des finalités poursuivies. C'est donc au regard de la finalité que la durée de conservation sera déterminée.
La durée de conservation de données ou, lorsqu'il est impossible de la fixer, les critères utilisés pour déterminer cette durée, font partie des informations qui doivent être communiquées aux personnes concernées.
Dans ces conditions, il incombe au responsable du traitement de déterminer cette durée en amont de la réalisation du traitement.
Par exemple, de nombreuses données nécessaires à la gestion de la relation contractuelle (contrat de travail) doivent être conservées pendant la durée de la relation de travail, sauf disposition légale ou réglementaire contraire.
Cela ne fait toutefois pas obstacle à leur conservation sous forme d'archives intermédiaires distinctes de la base active, avec accès restreint, dans la mesure où il existerait des dispositions législatives ou réglementaires spécifiques (par exemple, pour répondre à des obligations comptables, sociales ou fiscales, ou encore si ces données présenteraient un intérêt en cas de contentieux, justifiant de les conserver le temps des règles de prescription/forclusion applicables.
Pour en savoir plus, vous pouvez vous référer aux guides de la CNIL :
 Sécurité : Archiver de manière sécurisée  ;
 Limiter la conservation des données .
 
Les données utilisées à des fins statistiques ne sont plus qualifiées de données à caractère personnel dès lors qu'elles auront ont été dûment anonymisées (Voir les lignes directrices du CEPD sur l'anonymisation).
Le tableau suivant contient des illustrations pratiques des durées de conservation pouvant, selon le contexte, être retenues par les organismes concernés :
Activités de traitement
Détails du traitement
Base active
Archivage intermédiaire
Textes de référence
Gestion de la paie
Bulletin de salaire
1 mois
5 ans
L. 3243-4 du code du travail
50 ans en version dématérialisée
D. 3243-8 du code du travail
Eléments nécessaires au calcul de l'assiette
1 mois
6 ans
L. 243-16 du code sécurité sociale
Saisie des données calculées (DSN)
Le temps nécessaire à l'accomplissement de la déclaration
6 ans
L. 243-16 du code sécurité sociale
Ordre de virement pour paiement
Le temps nécessaire à l'émission du bulletin de paie
10 ans à compter de la clôture de l'exercice comptable
L. 123-22 du code du commerce
Registre unique du personnel
La durée pendant laquelle le salarié fait partie des effectifs
5 ans à compter du départ du salarié de l'organisme
R. 1221-26 du code du travail
Gestion des mandats des représentants du personnel
Nature du mandat et syndicat d'appartenance
6 mois après la fin du mandat
6 ans (prescription pénale pour délit)
L. 2411-5 du code du travail
Gestion des mandats des représentants du personnel
Les données relatives aux sujétions particulières ouvrant droit à congés spéciaux ou à crédit d'heures de délégation (ex: exercice d'un mandat électif ou représentatif syndical)
Le temps de la période de sujétion de l'employé concerné
6 ans (prescription pénale pour délit)
L. 2142-1-3 du code du travail
8. Information des personnes
Il incombe au responsable de traitement de s'assurer du respect des principes de transparence et de loyauté à l'égard des personnes dont les données peuvent être traitées dans les conditions prévues par les articles 12, 13 et 14 du RGPD.
Ainsi, dès le stade de la collecte des données personnelles, les personnes concernées doivent être informées de l'existence du traitement, de ses caractéristiques et des droits dont elles disposent en vertu de la réglementation applicable en matière de protection des données à caractère personnel.
Des modèles d'information sont disponibles sur le site de la CNIL et peuvent être consultés dans la rubrique RGPD : exemples de mentions d'information .
Si le RGPD n'impose aucune forme spécifique, une information écrite doit être privilégiée de manière à pouvoir justifier de son contenu, ainsi que du moment où elle a été délivrée.
Par ailleurs dans le cadre d'une relation de travail, le responsable de traitement doit aussi veiller à respecter ses autres obligations de transparence issues de la législation sociale à laquelle il est soumis.
Le code du travail impose ainsi aux employeurs d'informer individuellement leurs salariés dans certaines situations.
De la même manière, il appartient aux responsables de traitement de s'assurer, au regard de la réglementation qui leur est applicable, du respect de l'éventuelle obligation d'informer et/ou de consulter les instances représentatives du personnel compétentes.
9. Droits des personnes
Les personnes concernées disposent des droits suivants, qu’ils exercent dans les conditions prévues par le RGPD (voir la rubrique qui s’intitule Comprendre mes droits  sur le site de la CNIL) :
Le droit de
s’opposer au traitement de leurs données, sous réserve qu’il soit prévu en application des dispositions de l’article 21 du RGPD.
	En ce qui concerne les traitements de gestion du personnel :
Le droit d’opposition n’existe pas lorsque le traitement répond à une obligation légale, s’il est nécessaire à l’exécution d’un contrat ou est, exceptionnellement, fondé sur le consentement du salarié (dans la mesure où, dans ce dernier cas la personne concernée pourra retirer le consentement au traitement de ses données) ;
En revanche, le droit d’opposition pourra être exercé, à charge pour la personne d’invoquer des raisons tenant à sa situation particulière, lorsque le traitement est mis en œuvre sur la base de l’intérêt légitime du responsable de traitement, ou pour l’exécution d’une mission d’intérêt public ou d’une mission relevant de l’exercice de l’autorité publique.
Le droit
d’accès, de rectification et, dans des conditions particulières, d’effacement des données qui les concernent.
Le droit à la
limitation du traitement (par exemple, lorsque la personne conteste l’exactitude de ses données, celle-ci peut demander à l’organisme le gel temporaire du traitement de ses données, le temps que celui-ci procède aux vérifications nécessaires).
Le droit à la portabilité : l’organisme doit permettre à toute personne de recevoir, dans un format structuré et couramment utilisé, l’ensemble des données traitées par des moyens automatisés. La personne concernée peut demander à ce que ses données soient directement transmises par l’organisme initial à un autre organisme.
Ne sont concernées que les données fournies par la personne sur la base de son consentement ou d’un contrat. Il est donc recommandé de préciser aux personnes les traitements concernés par ce droit à la portabilité.
10. Sécurité
L’organisme doit prendre toutes les précautions utiles au regard des risques présentés par son traitement 
pour préserver la sécurité des données à caractère personnel et, notamment au moment de leur collecte, durant leur transmission et leur conservation, empêcher qu’elles soient déformées, endommagées ou que des tiers non autorisés y aient accès. 
En particulier, dans le contexte spécifique du présent référentiel, soit l’organisme adopte les mesures suivantes, soit il justifie de leur équivalence ou du fait de ne pas avoir besoin ou pouvoir y recourir :
Catégories
Mesures
			Sensibiliser les utilisateurs
			Informer et sensibiliser les personnes manipulant les données
			Rédiger une charte informatique et lui donner une force contraignante
			Authentifier les utilisateurs
			Définir un identifiant (login) unique à chaque utilisateur
			Adopter une politique de mot de passe utilisateur conforme aux recommandations de la CNIL
			Obliger l'utilisateur à changer son mot de passe après réinitialisation
			Limiter le nombre de tentatives d'accès à un compte
			Gérer les habilitations
			Définir des profils d'habilitation
			Supprimer les permissions d'accès obsolètes
			Réaliser une revue annuelle des habilitations
Tracer les accès et gérer les incidents
			Prévoir un système de journalisation
			Informer les utilisateurs de la mise en place du système de journalisation
			Protéger les équipements de journalisation et les informations journalisées
			Prévoir les procédures pour les notifications de violation de données à caractère personnel
			Sécuriser les postes de travail
			Prévoir une procédure de verrouillage automatique de session
			Utiliser des antivirus régulièrement mis à jour
			Installer un pare-feu (firewall) logiciel
			Recueillir l'accord de l'utilisateur avant toute intervention sur son poste
			Sécuriser l'informatique mobile
			Prévoir des moyens de chiffrement des équipements mobiles
			Faire des sauvegardes ou des synchronisations régulières des données
			Exiger un secret pour le déverrouillage des smartphones
			Protéger le réseau informatique interne
			Limiter les flux réseau au strict nécessaire
			Sécuriser les accès distants des appareils informatiques nomades par VPN
			Mettre en œuvre le protocole WPA2 ou WPA2-PSK pour les réseaux Wi-Fi
			Sécuriser les serveurs
			Limiter l'accès aux outils et interfaces d'administration aux seules personnes habilitées
			Installer sans délai les mises à jour critiques
			Assurer une disponibilité des données
			Sécuriser les sites web
			Utiliser le protocole TLS et vérifier sa mise en œuvre
			Vérifier qu'aucun mot de passe ou identifiant ne passe dans les url
Contrôler que les entrées des utilisateurs correspondent à ce qui est attendu
			Mettre un bandeau de consentement pour les cookies non nécessaires au service
			Sauvegarder et prévoir la continuité d'activité
			Effectuer des sauvegardes régulières
			Stocker les supports de sauvegarde dans un endroit sûr
			Prévoir des moyens de sécurité pour le convoyage des sauvegardes
			Prévoir et tester régulièrement la continuité d'activité
			Archiver de manière sécurisée
			Mettre en œuvre des modalités d'accès spécifiques aux données archivées
			Détruire les archives obsolètes de manière sécurisée
			Encadrer la maintenance et la destruction des données
			Enregistrer les interventions de maintenance dans une main courante
			Encadrer par un responsable de l'organisme les interventions par des tiers
			Effacer les données de tout matériel avant sa mise au rebut
			Gérer la sous-traitance
			Les relations avec les prestataires qui traitent des données au nom et pour le compte du responsable de traitement (l'organisme employeur) doivent faire l'objet d'un accord écrit.
			Cet accord doit contenir une ou des clauses spécifiques relatives aux obligations respectives des parties résultant du traitement des données à caractère personnel.
			L'accord doit notamment prévoir les conditions de restitution et de destruction des données. Il incombe au responsable de traitement de s'assurer de l'effectivité des garanties prévues (audits de sécurité, visites, etc.).
Pour plus de précisions, vous pouvez vous reporter au guide de la sous-traitance et aux exemples des clauses de sous-traitance.
			Sécuriser les échanges avec d'autres organismes
			Chiffrer les données avant leur envoi
			S'assurer qu'il s'agit du bon destinataire
			Transmettre le secret lors d'un envoi distinct et via un canal différent
			Protéger les locaux
			Restreindre les accès aux locaux au moyen de portes verrouillées
			Installer des alarmes anti-intrusion et les vérifier périodiquement
			Encadrer les développements informatiques
			Proposer des paramètres respectueux de la vie privée aux utilisateurs finaux
			Encadrer de manière stricte les zones de commentaires libres
			Tester sur des données fictives ou anonymisées
			Utiliser des fonctions cryptographiques
			Utiliser des algorithmes, des logiciels et des bibliothèques reconnus
			Conserver les secrets et les clés cryptographiques de manière sécurisée
Pour ce faire, le responsable de traitement pourra utilement se référer au Guide de la sécurité des données personnelles.
11. Analyse d'impact relative à la protection des données (AIPD)
En application des dispositions de l’article 35 du RGPD, 
le responsable de traitement pourrait avoir à réaliser une analyse d’impact
 dès lors que le traitement qu’il met en œuvre est susceptible de présenter un risque élevé pour les droits et les libertés des personnes concernées. 
Il conviendra tout d’abord de se référer:
à la liste des traitements pour lesquels une analyse d’impact n’est pas requise ;
 
Types d'opérations de traitement
Exemples
			Traitements, mis en œuvre uniquement à des fins de ressources humaines et dans les conditions prévues par les textes applicables, pour la seule gestion du personnel des organismes qui emploient moins de 250 personnes, à l'exception du recours au profilage.
			Les traitements permettant :
			- la gestion de la paye, l'émission des bulletins de salaire ;
			- la gestion des formations ;
			- la gestion du restaurant d'entreprise, la délivrance des chèques-repas ;
			- le remboursement des frais professionnels ;
			- le suivi des entretiens annuels d'évaluation ;
			la tenue des registres obligatoires ;
			- l'utilisation des outils de communication (messagerie électronique, téléphonie, vidéoconférences, outils collaboratifs en ligne) sans recours au profilage ni à la biométrie ;
			- le contrôle du temps de travail (sans dispositif biométrique, sans données sensibles ou à caractère hautement personnel) ;
			Traitements mis en œuvre aux seules fins de gestion des contrôles d'accès physiques, en dehors de tout dispositif biométrique.
			A l'exclusion des traitements des données qui révèlent des données sensibles ou à caractère hautement personnel.
			Les traitements ayant pour finalité :
			- la mise en place d'un dispositif par badge sans biométrie pour entrer dans les locaux d'un organisme à des fins de sécurité ;
- la mise en place d'un dispositif de contrôle du temps de travail effectué par les salariés, à l'exclusion de toute autre finalité ;
puis, à la liste des types d’opérations de traitement pour lesquelles une analyse d’impact relative à la protection des données est requise.
Types d'opérations de traitement
Exemples
			Traitements établissant des profils de personnes physiques à des fins de gestion des ressources humaines
			Les traitements ayant pour finalité :
			- traitements visant à proposer des actions de formations personnalisées grâce à un algorithme ;
			- traitement visant détecter et à prévenir les départs de salariés sur la base de corrélations établies entre divers facteurs ;
			Traitements ayant pour finalité de surveiller de manière constante l'activité des employés concernés
			Les traitements ayant pour finalité :
			- l'analyse des flux de courriels sortants afin de détecter d'éventuelles fuites d'information (dispositifs dits de Data Loss Prevention ) ;
			- la vidéosurveillance portant sur les employés manipulant de l'argent ;
			- la vidéosurveillance d'un entrepôt stockant des biens de valeur au sein duquel travaillent des manutentionnaires ;
			- la fonction de chronotachygraphe des véhicules de transport routier.
Si le traitement mis en œuvre n’est pas présent sur l’une de ces listes, il faut alors s’interroger sur la nécessité d’effectuer une AIPD.
Pour ce faire, il convient de s’appuyer sur les critères établis par le Comité européen de la protection des données (CEPD) dans les lignes directrices concernant l’analyse d’impact relative à la protection des données (AIPD).
Conformément à ce texte, la réalisation d’une AIPD est obligatoire dès lors qu’au moins deux des neuf critères sont remplis :
évaluation ou notation d’une personne ;
prise de décision automatisée ; 
surveillance systématique ;
traitement de données sensibles ou à caractère hautement personnel ;
traitement à grande échelle ;
croisement ou combinaison d’ensembles de données ;
données concernant des personnes vulnérables ;
utilisation innovante ou application de nouvelles solutions technologiques ou organisationnelles ;
traitements qui empêchent les personnes d’exercer un droit ou de bénéficier d’un service ou d’un contrat.
A noter : les lignes directrices du CEPD précisent que les employés peuvent être considérés comme des personnes concernées vulnérables en raison du déséquilibre des pouvoirs accru qui existe entre elles et le responsable du traitement (l’employeur). 
 
Pour réaliser une étude d’impact, le responsable de traitement pourra se reporter :
 aux principes contenus dans ce référentiel ;
 aux outils méthodologiques proposés par la CNIL sur son site web.
Si l’organisme en a désigné, le DPO devra être consulté.
Conformément à l'article 36 du RGPD, le responsable de traitement doit consulter la CNIL préalablement à la mise en œuvre du traitement si l'analyse d'impact indique qu'il ne parvient pas à identifier des mesures suffisantes pour réduire les risques à un niveau accept.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD), notamment ses articles 47, 57 et 64 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment son article 73 ;
Sur la proposition de Mme Anne DEBET, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Formule les observations suivantes :
Le 24 mai 2018, les règles d’entreprises contraignantes sous-traitant (BCR) soumises par le groupe GENERAL ELECTRIC INTERNATIONAL INCORPORATION ont été reconnues conformes aux exigences posées par les documents WP195 et WP204 adoptés par le groupe de travail de l’article 29 et, à ce titre, considérées comme apportant un niveau de protection suffisant.
Le 1er février 2022, GENERAL ELECTRIC INTERNATIONAL INCORPORATION a saisi la Commission aux fins de l’informer de la scission du groupe en trois sociétés indépendantes. Cette réorganisation conduit la société GE HEALTHCARE à devenir responsable des BCR.
Décide : 
La Commission prend acte de la transmission des BCR sous-traitant de GENERAL ELECTRIC vers GE HEALTHCARE.
 
La Présidente
 
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l'économie, des finances et de la souveraineté industrielle et numérique d’une demande d’avis concernant le projet de décret relatif aux obligations déclaratives des opérateurs de plateformes de mise en relation par voie électronique ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-4°-a) ;
Vu le code général des impôts, notamment ses articles 1649 ter A à 1649 ter E et l’annexe III à ce code ;
Sur la proposition de M. Philippe-Pierre CABOURDIN, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Émet l’avis suivant :
Le projet de décret soumis pour avis de la Commission définit les modalités d’application des obligations déclaratives des plateformes de mise en relation par voie électronique (ci-après les plateformes ).
Ces obligations déclaratives sont issues de la directive 2021/514 du 22 mars 2021 relative à la coopération fiscale et de sa transposition en droit national aux articles 1649 ter A à E du code général des impôts (CGI). Il est mis en place un dispositif harmonisé de déclaration des revenus générés grâce aux plateformes ainsi que d’échange automatique de ces informations entre États membres.
Sa mise en œuvre implique au moins deux catégories de traitement de données à caractère personnel. Les premiers seraient mis en œuvre au niveau des plateformes pour la collecte et la transmission des informations relatives aux vendeurs ou prestataires-personne physique. Les plateformes auront la qualité de responsable de traitement. Les seconds seraient mis en œuvre au niveau de l’administration fiscale pour l’analyse des déclarations, les échanges éventuels entre administrations fiscales, et la programmation de contrôles.
Le projet de décret n’a pas pour objet de créer des traitements mais s’inscrit dans la poursuite de la transposition de la directive précitée. Il définit ainsi les modalités d’application des principes généraux fixés par la loi, notamment les données à collecter puis à déclarer à l’administration fiscale.