AgentPublic/cnil huggingface dataset:
Les données peuvent en outre être conservées plus longtemps que les durées mentionnées ci-dessus, en archivage intermédiaire, dans certains cas particuliers, par exemple si le responsable du traitement en a l’obligation légale (par exemple, pour répondre à des obligations comptables, sociales ou fiscales) ou s’il a besoin de se constituer une preuve en cas de contentieux et dans la limite du délai de prescription/forclusion applicable (par exemple, en matière de discrimination). La durée de l’archivage intermédiaire doit cependant répondre à une réelle nécessité
, dûment justifiée par le responsable de traitement après une analyse préalable de différents facteurs, notamment le contexte, la nature des données traitées et le niveau de risque d’un éventuel contentieux.
À l’expiration de ces périodes, les données sont détruites de manière sécurisée ou archivées dans des conditions définies en conformité avec les dispositions du code du patrimoine relatives aux obligations d’archivage des informations du secteur public pour les organismes soumis à ces dispositions, d’une part, ou conformément aux dispositions de la délibération de la CNIL portant adoption d’une recommandation concernant les modalités d’archivage électronique de données à caractère personnel pour les organismes relevant du secteur privé, d’autre part.
Le tableau suivant contient des exemples pour lesquels la durée de conservation est en principe adéquate au regard des textes (
liste non-exhaustive
) :
Activités de traitement
			Détails du traitement
			Base active
			Archivage intermédiaire
			Textes de référence
			Instruction gestion et versement des prestations sociales légales
			APA/ASH
			Six ans après la cessation de son droit à la prestation ou après l'intervention d'une décision définitive en cas de contentieux
			A des fins de pilotage départemental concernant la connaissance de la population des demandeurs et bénéficiaires de l'APA et de l'ASH ainsi que pour la constitution d'échantillons statistiquement représentatifs prévue à l'article L. 232-21-2 du CASF, visant à rendre possible l'étude des situations et des parcours des personnes y compris lorsqu'elles changent de département, les données peuvent être conservées au-delà du délai de six ans, liées à un numéro d'anonymat
			Art. R. 232-46 du CASF
			Dans le cadre des échanges de données entre Pôle emploi et le conseil départemental pour l'orientation et l'accompagnement des bénéficiaires du RSA
			Deux mois au maximum à compter de la transmission des informations
			Trois ans à compter de la transmission des informations à Pôle emploi
			Art. R. 262-116-4 du CASF
			Instruction gestion et délivrance de la carte mobilité inclusion
			Carte mobilité inclusion
			Cinq ans à compter de la date d'expiration de validité de la dernière décision intervenue ou pendant laquelle aucune intervention n'a été enregistrée dans le dossier de la personne
Au-delà de cette période, les informations sorties du système de traitement sont archivées sur un support distinct et peuvent être conservées dix ans dans des conditions de sécurité équivalentes à celles des autres données enregistrées dans le traitement
			Art. 241-19-3 du CASF
			Accompagnement médico-social de la personne concernée
			Dossier médical
			Deux ans à compter du dernier contact avec la personne concernée
			Vingt ans à compter de la date du dernier séjour de son titulaire au sein de l'établissement de sa prise en charge
			Si la personne titulaire du dossier décède moins de dix ans après son dernier passage dans l'établissement, le dossier est conservé pendant une durée de dix ans à compter de la date du décès.
			Art. R. 1112-7 du CSP
7.2 La conservation de données anonymisées
La réglementation relative à la protection des données à caractère personnel ne s’applique pas, notamment en ce qui concerne les durées de conservation, aux données anonymisées. Il s’agit des données qui ne peuvent plus, par quiconque, être mises en relation avec la personne physique identifiée à laquelle elles se rapportaient initialement.
L’anonymisation doit être distinguée de la pseudonymisation où il est techniquement possible de retrouver l’identité de la personne concernée grâce à des données tierces. En effet, l’opération de pseudonymisation est réversible, contrairement à l’anonymisation.
Ainsi, le responsable du traitement peut conserver sans limitation de durée les données anonymisées. Dans ce cas, l'organisme concerné doit garantir le caractère anonymisé des données de façon pérenne.
Pour en savoir plus, l’organisme a la possibilité de consulter les guides de la CNIL suivants :
Sécurité : Archiver de manière sécurisée ;
Limiter la conservation des données ;
Guide pratique : les durées de conservation .
L’anonymisation est un traitement qui consiste à utiliser un ensemble de techniques de manière à rendre impossible, en pratique, toute identification de la personne par quelque moyen que ce soit et ce de manière irréversible. Aussi, une fois anonymisées, les données ne peuvent plus être reliées à une personne (Pour en savoir plus, vous pouvez vous référer aux lignes directrices du CEPD sur l’anonymisation).
 
8. Information des personnes
Un traitement de données à caractère personnel doit être mis en œuvre en toute transparence vis-à-vis des personnes concernées.
 
8.1 Contenu de l’information à délivrer
L’information communiquée aux personnes doit se faire dans les conditions prévues par les articles 12, 13 et 14 du RGPD.
Dès le stade de la collecte des données à caractère personnel, les personnes concernées doivent notamment être informées de l’existence du traitement, de ses caractéristiques
essentielles (parmi lesquelles l’identité du responsable du traitement et l’objectif poursuivi) et des droits dont elles disposent.
Des exemples de mentions d’information sont disponibles sur le site de la CNIL et peuvent être consultés dans la rubrique RGPD 
: exemples de mentions d'information .
 
8.2 Les modalités de l’information 
Afin de respecter pleinement les principes de loyauté et de transparence et conformément aux dispositions des articles 13 et 14 du RGPD, les personnes doivent en principe être directement informées au moment où les données sont collectées.
Si le RGPD n’impose aucune forme spécifique, une information écrite doit être privilégiée de manière à pouvoir justifier de son contenu, ainsi que du moment où elle a été délivrée.
Dans le cadre de l’accompagnement social et médico-social des personnes, le responsable de traitement procède à l’information des personnes concernées et, le cas échéant, de leurs représentants légaux par tout moyen approprié (p. ex. : mentions d’informations insérées au sein du livret d’accueil, du contrat de séjour, du DIPEC, du contrat d’hébergement, des formulaires de demandes de prestations sociales, etc.), dans un langage compréhensible et selon des modalités appropriées et adaptées à leur situation (p. ex. : pictogramme, à l’oral, images ludiques notamment lorsque le public concerné est mineur, recours à la méthode Facile à lire et à comprendre dite FALC , etc.) conformément aux dispositions de l’article 12 du RGPD. De manière générale, la Commission recommande une information orale en plus d’une information écrite afin de s’assurer de la bonne compréhension par la personne concernée des informations communiquées.
9. Droits des personnes
Les personnes concernées disposent des droits suivants, qu’elles exercent dans les conditions prévues par le RGPD (pour aller plus loin voir la rubrique qui s’intitule Comprendre mes droits  sur le site de la CNIL) :
le droit
d’accès, permet à la personne concernée de savoir si des données la concernant sont traitées par le responsable de traitement et, dans cette hypothèse, d’obtenir des précisions sur les conditions de ce traitement et, à sa demande, d’obtenir une copie des données la concernant détenues par ce responsable ;
le droit de rectification, permet à la personne concernée de demander la rectification des informations inexactes ou incomplètes la concernant ;
le droit à l’effacement, permet à la personne concernée de demander à un organisme l’effacement de données à caractère personnel la concernant (p. ex. : les données sont effacées par le responsable de traitement pour respecter les délais de conservation fixés par les textes législatifs ou réglementaires, la personne a retiré le consentement sur lequel est fondé le traitement, etc.) ;
le droit à la
limitation du traitement (par exemple, lorsque la personne conteste l’exactitude de ses données, celle-ci peut demander à l’organisme le gel temporaire du traitement de ses données, le temps que celui-ci procède aux vérifications nécessaires) ;
le droit à la portabilité, dans les conditions prévues conformément aux dispositions du RGPD, offre à la personne concernée la possibilité de récupérer une partie des données la concernant dans un format ouvert et lisible par machine afin de les réutiliser à des fins personnelles. Ce droit ne s’applique que si les trois conditions suivantes sont réunies : limitation aux seules données à caractère personnel fournies par la personne concernée ; application uniquement si les données sont traitées de manière automatisée (exclusion des fichiers par voie papier) et sur la base du consentement préalable de la personne concernée ou de l’exécution d’un contrat conclu avec la personne concernée ; respect des droits et libertés de tiers ;
le droit de
s’opposer au traitement de leurs données, sous réserve des conditions d’exercice de ce droit en application des dispositions de l’article 21 du RGPD.
En ce qui concerne les traitements relatifs à l’accompagnement social et/ou médico-social, la personne concernée pourra s’opposer au traitement de ses données, à condition d’invoquer des raisons tenant à sa situation particulière, et uniquement lorsque le traitement est mis en œuvre sur la base légale de l’intérêt légitime du responsable de traitement, ou pour l’exécution d’une mission d’intérêt public ou d’une mission relevant de l’exercice de l’autorité publique (p. ex. : le responsable de traitement peut refuser à la personne concernée l’exercice de son droit d’opposition dès lors que le traitement des informations la concernant repose sur l’obligation légale).
Le responsable du traitement pourra refuser de donner suite à cette demande d’opposition s’il démontre qu’il dispose d’intérêts légitimes et impérieux qui prévalent sur les droits et libertés du demandeur.
Attention
 : Le responsable du traitement doit répondre aux demandes reçues dans les meilleurs délais et dans un délai d’un mois maximum. Si un délai supplémentaire est nécessaire pour traiter la demande (par exemple, en raison de sa complexité), la personne concernée doit en être informée dans ce même délai d’un mois. Dans tous les cas, une réponse doit être apportée dans un délai qui ne peut pas dépasser trois mois.
L’exercice des droits par les personnes doit être facilité par le responsable de traitement et être gratuit. Les personnes concernées doivent être informées de leur possibilité d’adresser une réclamation à la Commission nationale de l’informatique et des libertés si elles ne sont pas satisfaites du traitement de leurs données à caractère personnel.
 
10. Sécurité
L’organisme doit prendre toutes les précautions utiles au regard des risques présentés par son traitement 
pour préserver la sécurité des données à caractère personnel et, notamment au moment de leur collecte, durant leur transmission et leur conservation, empêcher qu’elles soient déformées, endommagées ou que des tiers non autorisés y aient accès.
En particulier, dans le contexte spécifique de ce référentiel, l’organisme est invité à mettre en œuvre les mesures suivantes, ou être en mesure de justifier de la mise en place de mesures équivalentes ou de leur absence de nécessité ou de possibilité (les particuliers traitant un volume faible de données prennent, par exemple, les mesures élémentaires de sécurité pour assurer la sécurité et la confidentialité des données qu’ils traitent) :
			Catégories
			Mesures
			Sensibiliser les utilisateurs
			Informer et sensibiliser les personnes manipulant les données
			Rédiger une charte informatique et lui donner une force contraignante
			Authentifier les utilisateurs
			Définir un identifiant (login) unique à chaque utilisateur
Adopter une politique de mots de passe utilisateur conforme aux recommandations de la CNIL
			Obliger l'utilisateur à changer son mot de passe après réinitialisation
			Limiter le nombre de tentatives d'accès à un compte
			Gérer les habilitations
			Définir des profils d'habilitation
			Supprimer les permissions d'accès obsolètes
			Réaliser une revue annuelle des habilitations
			Tracer les accès et gérer les incidents
			Prévoir un système de journalisation
			Informer les utilisateurs de la mise en place du système de journalisation
			Protéger les équipements de journalisation et les informations journalisées
			Prévoir les procédures pour les notifications de violation de données à caractère personnel
			Sécuriser les postes de travail
			Prévoir une procédure de verrouillage automatique de session
			Utiliser des antivirus régulièrement mis à jour
			Installer un pare-feu (firewall) logiciel
			Recueillir l'accord de l'utilisateur avant toute intervention sur son poste
			Sécuriser l'informatique mobile
			Prévoir des moyens de chiffrement des équipements mobiles
			Faire des sauvegardes ou des synchronisations régulières des données
			Exiger un secret pour le déverrouillage des ordiphones
			Protéger le réseau informatique interne
			Limiter les flux réseau au strict nécessaire
			Sécuriser les accès distants des appareils informatiques nomades par VPN
			Mettre en œuvre le protocole WPA2 ou WPA2-PSK, ou supérieur, pour les réseaux Wi-Fi
			Sécuriser les serveurs
Limiter l'accès aux outils et interfaces d'administration aux seules personnes habilitées
			Installer sans délai les mises à jour critiques
			Assurer une disponibilité des données
			Sécuriser les sites web
			Utiliser le protocole TLS et vérifier sa mise en œuvre
			Vérifier qu'aucun mot de passe ou identifiant n'est encapsulé dans les URL
			Contrôler que les entrées des utilisateurs correspondent à ce qui est attendu
			Mettre un bandeau de consentement pour les cookies et autres traceurs non nécessaires au service
			Sauvegarder et prévoir la continuité d'activité
			Effectuer des sauvegardes régulières
			Stocker les supports de sauvegarde dans un endroit sûr
			Prévoir des moyens de sécurité pour le convoyage des sauvegardes
			Prévoir et tester régulièrement la continuité d'activité
			Archiver de manière sécurisée
			Mettre en œuvre des modalités d'accès spécifiques aux données archivées
			Détruire les archives obsolètes de manière sécurisée
			Encadrer la maintenance et la destruction des données
			Enregistrer les interventions de maintenance dans une main courante
			Encadrer par un responsable de l'organisme les interventions par des tiers
			Effacer les données de tout matériel avant sa mise au rebut
			Gérer la sous-traitance
			Les relations avec les prestataires qui traitent des données au nom et pour le compte du responsable de traitement (l'organisme employeur) doivent faire l'objet d'un accord écrit.
Cet accord doit contenir une ou des clauses spécifiques relatives aux obligations respectives des parties résultant du traitement des données à caractère personnel.
			L'accord doit notamment prévoir les conditions de restitution et de destruction des données. Il incombe au responsable de traitement de s'assurer de l'effectivité des garanties prévues (audits de sécurité, visites, etc.).
			Pour plus de précisions, vous pouvez vous reporter au guide de la sous-traitance et aux exemples des clauses de sous-traitance.
			Sécuriser les échanges avec d'autres organismes
			Ne pas transmettre des fichiers contenant les données à caractère personnel des usagers en clair via des messageries grand public
			Privilégier des moyens de communication autres que les messageries grand public pour communiquer des informations relatives aux personnes accompagnées à d'autres travailleurs sociaux ou organismes (p. ex. : plateformes d'échanges sécurisées, messagerie interne, etc.)
			Chiffrer les pièces sensibles à transmettre, si cette transmission utilise la messagerie électronique
			S'assurer qu'il s'agit du bon destinataire
			Assurer la confidentialité des secrets (clé de chiffrement, mot de passe, etc.) en les transmettant via un canal distinct (par exemple, envoi du fichier chiffré par courriel et transmission du secret par téléphone ou par SMS
			Protéger les locaux et les bureaux physiques
			Restreindre les accès aux locaux au moyen de portes verrouillées
Installer des alarmes anti-intrusion et les vérifier périodiquement
			Ranger tous les documents papiers relatifs aux usagers dans des armoires fermées à clé
			Verrouiller la porte d'accès au bureau en cas d'absence prolongée
			Encadrer les développements informatiques
			Proposer des paramètres respectueux de la vie privée aux utilisateurs finaux
			Encadrer de manière stricte les zones de commentaires libres
			Tester sur des données fictives ou anonymisées
			Utiliser des fonctions cryptographiques
			Utiliser des algorithmes, des logiciels et des bibliothèques reconnus
			Conserver les secrets et les clés cryptographiques de manière sécurisée
			Sécuriser les mots de passe des usagers
			Utiliser un gestionnaire de mots de passe ou un carnet stocké dans un coffre-fort pour enregistrer les mots de passe des usagers accompagnés dans le cadre de l'accompagnement numérique
Pour ce faire, le responsable de traitement pourra utilement se référer au Guide de la sécurité des données personnelles.
Attention :
			En cas d'hébergement des données de santé à caractère personnel réalisé pour le compte des organismes assurant le suivi social ou médico-social par un prestataire informatique, celui-ci doit être agréé ou certifié pour l'hébergement, le stockage, la conservation de données de santé, conformément aux dispositions de l'article L. 1111-8 du code de la santé publique.
 
11. Analyse d’impact relative à la protection des données (AIPD)
Les traitements ayant pour finalité l’accompagnement social et médico-social des personnes figurant dans la liste des types d’opérations de traitement pour lesquelles une AIPD est requise, doivent systématiquement donner lieu à la réalisation préalable d’une AIPD.
			Types d'opérations de traitement
			Exemples
			Traitements de données de santé mis en œuvre par les établissements de santé ou les établissements médico-sociaux pour la prise en charge des personnes
			- Traitement portant sur les dossiers des résidents pris en charge par un centre communal d'action sociale (CCAS) ou par un établissement d'hébergement pour personnes âgées dépendantes (EPHAD).
			Traitements ayant pour finalité l'accompagnement social et/ou médico-social des personnes
			- Traitement mis en œuvre par un établissement ou une association dans le cadre de la prise en charge de personnes en insertion ou réinsertion sociale et professionnelle ;
			- traitement mis en œuvre par les MDPH dans le cadre de l'accueil, l'hébergement, l'accompagnement et le suivi de ces personnes ;
			- traitement mis en œuvre par un centre communal d'action sociale dans le cadre du suivi de personnes atteintes de pathologies chroniques invalidantes en situation de fragilité sociale.
Ce référentiel constitue une aide à la réalisation d’une AIPD. Celle-ci repose, à cet égard, sur deux piliers :
les principes et droits fondamentaux fixés notamment par le RGPD et la loi Informatique et Libertés et devant être respectés quels que soient la nature, la gravité et la vraisemblance des risques encourus ;
la gestion des risques sur la vie privée qui permet de déterminer les mesures techniques et d’organisation appropriées pour protéger les données.
Pour réaliser une étude d’impact, le responsable de traitement pourra également s’appuyer sur :
- les principes contenus dans ce référentiel ;
- ainsi que sur les outils méthodologiques proposés par la CNIL sur son site web.
Si l’organisme en a désigné, le DPD/DPO devra être consulté.
 
Conformément à l’article 36 du RGPD, le responsable de traitement doit consulter la CNIL préalablement à la mise en œuvre du traitement si l’analyse d’impact indique qu’il ne parvient pas à identifier des mesures suffisantes pour réduire les risques à un niveau acceptable.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par le Haut Conseil du Commissariat aux comptes (H3C) d’une demande d’autorisation concernant la mise en œuvre d’un arrangement administratif visant à encadrer les transferts des données à caractère personnel avec son homologue américain, le PCAOB ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, notamment son article 46.3.b ;
Vu l’avis 05/2021 du Comité européen de la protection des données (CEPD) relatif au projet d’arrangement administratif visant à encadrer les transferts des données à caractère personnel entre le H3C et le PCAOB ;
Vu les lignes directrices 02/2020 du CEPD sur les articles 46 (3) (a) et 46 (3) (b) du règlement 2016/679 concernant les transferts de données à caractère personnel entre autorités publiques européennes et non-européennes ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le projet de protocole d’accord portant sur les conditions et modalités de la coopération entre le H3C et son homologue étasunien ;
Sur la proposition de M. Philippe Pierre CABOURDIN, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Considérant ce qui suit :
A la suite des scandales financiers ENRON et WORLDCOM, la loi étasunienne Sarbanes – Oxley (SOX), adoptée en 2002, a réformé les règles applicables, entre autres, au contrôle des comptes des sociétés faisant appel à l’épargne sur les marchés étasuniens.
Au titre de ces nouvelles mesures, la loi SOX a instauré le Public Company Accounting Oversight Board ( PCAOB ), lequel, sous l’autorité de la U.S Securities and Exchange Commission ( SEC ), est chargé de la supervision des commissaires aux comptes ( auditeurs ), étasuniens ou établis à l’étranger qui certifient les comptes de sociétés cotées sur les marchés aux États-Unis.
Le PCAOB exige de pouvoir mener des contrôles conjoints, en lien avec les autorités nationales compétentes responsables des auditeurs étrangers, pour s’assurer de la manière dont ces auditeurs travaillent sur le terrain afin que puisse prévaloir une logique de confiance mutuelle, et le cas échéant de réciprocité.