AgentPublic/cnil huggingface dataset:
=> à ce titre, afin de vérifier si une telle opération s'inscrit dans le cadre des attentes raisonnables des personnes concernées, il incombe notamment au partenaire de s'assurer que les personnes concernées ont reçu une information suffisante lors de la transmission de leurs données (par exemple sur le type de sollicitation, le nombre approximatif de partenaires, les secteurs concernés, et la durée pendant laquelle le responsable de traitement sera autorisé à transmettre les données) ;
 => en tout état de cause, le nombre de sollicitations adressées à une même personne concernée devrait être limité dès lors que les personnes ne s'attendent pas à recevoir des sollicitations multiples qui peuvent constituer une nuisance importante ;
 => le partenaire doit par ailleurs veiller à ce que la demande de consentement envoyée ne soit pas elle-même assimilable à une forme de prospection commerciale, soumise, de par son contenu et son mode de transmission, au régime du consentement préalable prévu par l'article L. 34-5 du CPCE. Dès lors, s'il est envoyé par voie électronique, le message de demande de consentement ne doit pas promouvoir l'image du destinataire ou les biens et services qu'il commercialise.
Dans tous les cas, le consentement des personnes doit être conservé à titre probatoire et le recours à des cases pré-cochées n'est pas admis pour collecter le consentement des personnes concernées.
Enfin, de manière générale :
- les partenaires rendus destinataires des données doivent, lors de la première communication avec les personnes concernées, informer ces dernières de toutes les mentions prévues à l'article 14 du RGPD, telles que la manière d'exercer leurs droits, et notamment le droit d'opposition, ainsi que de la source d'où proviennent les données utilisées ;
- l'organisme transmettant les données est tenu de notifier aux partenaires auxquels les données à caractère personnel ont été communiquées, toute demande d'effacement ou de limitation du traitement exprimée par les personnes concernées.
			Pour assurer la continuité de la protection des données à caractère personnel, les transferts de ces données en dehors de l'Union européenne sont soumis à des règles particulières. Ainsi, toute transmission de données hors de l'UE doit, conformément au RGPD :
			- être fondée sur une décision d'adéquation ; ou
			- être encadrée par des règles internes d'entreprise, des clauses types de protection des données, un code de conduite ou un mécanisme de certification approuvé par la CNIL ; ou
			- être encadrée par des clauses contractuelles ad hoc préalablement autorisées par la CNIL ;
			- ou répondre à l'une des dérogations prévues à l'article 49 du RGPD.
7. Durées de conservation
Une durée de conservation doit être fixée en fonction de chaque finalité. De manière générale, les durées de conservation ne devraient, en principe, pas dépasser les durées de prescriptions légales.
Le référentiel propose des durées de conservation. Un organisme peut faire le choix de s'écarter du référentiel et choisir de conserver les données pour une durée plus longue ; il devra alors s'assurer que cette durée n'excède pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées (article 6 du RGPD).
			Le cryptogramme visuel de la carte bancaire doit être supprimé dès que le règlement de la prestation ou de l'achat est finalisé, d'une part parce qu'il n'est plus nécessaire une fois l'achat finalisé et, d'autre part, parce que sa conservation créée des risques en termes de sécurité. En revanche, le numéro d'une carte de paiement peut être conservé pour permettre des achats ultérieurs dans les conditions posées par la recommandation 
relative au traitement de la carte de paiement en matière de vente de biens ou de fourniture de services à distance (délibération n° 2018-303 du 6 septembre 2018).
Les données nécessaires à l'exécution des contrats sont conservées pendant la durée de la relation contractuelle.
Au terme du contrat, elles doivent être conservées en archivage intermédiaire et pour un délai raisonnable, si le responsable du traitement en a l'obligation légale (par exemple, pour répondre à des obligations comptables ou fiscales) ou s'il souhaite se constituer une preuve en cas de contentieux, et dans la limite du délai de prescription applicable. Il conviendra de prévoir à cet effet une base de données d'archives dédiée ou une séparation logique dans la base de données active, après avoir opéré un tri des données pertinentes à archiver. Dans ces hypothèses, les données sont traitées pour une autre finalité que l'exécution du contrat et doivent, conformément au RGPD, reposer sur une autre base légale, telle que l'intérêt légitime prévu à l'article 6.1.f ou l'obligation légale prévue à l'article 6.1.c.
Les données des clients utilisées à des fins de prospection commerciale peuvent être conservées pendant la relation commerciale, puis pour une durée de trois ans à compter de la fin de la relation commerciale (par exemple, à compter d'un achat, de la date d'expiration d'une garantie, du terme d'un contrat de prestations de services ou du dernier contact émanant du client).
Les données à caractère personnel relatives à un prospect non client peuvent être conservées pendant un délai de trois ans à compter de leur collecte par le responsable de traitement ou du dernier contact émanant du prospect (par exemple, une demande de documentation ou un clic sur un lien hypertexte contenu dans un courriel renvoyant vers le produit promu ; en revanche, la simple ouverture d'un courriel ne devrait pas être considérée comme un contact émanant du prospect).
Au terme de ce délai de trois ans, le responsable de traitement pourra reprendre contact avec la personne concernée afin de savoir si elle souhaite continuer à recevoir des sollicitations commerciales. En l'absence de réponse positive et explicite de la personne, il conviendra de supprimer les données ou de les archiver pour une durée conforme aux dispositions en vigueur.
Pour les activités commerciales qui impliquent la création d'un compte en ligne par les clients (par exemple, les sites de rencontres ou les réseaux sociaux), les données peuvent être conservées jusqu'à la suppression du compte par l'utilisateur. Toutefois, il est fréquent que les utilisateurs n'utilisent plus ces comptes sans pour autant les supprimer, ce qui conduit à faire perdurer ces comptes indéfiniment. Dans ce cas, l'organisme devrait déterminer un délai raisonnable à l'issue duquel le compte sera considéré comme inactif et devra en conséquence être supprimé. A cet égard, un délai de deux ans apparait proportionné. Enfin, les utilisateurs concernés pourront être avertis avant l'échéance de ce délai afin de leur laisser la possibilité d'exprimer leur souhait de maintenir leur compte actif.
Lorsqu'une personne exerce ses droits, les données collectées dans ce cadre, telles que les informations relatives à la demande de la personne concernée, peuvent être conservées jusqu'à ce que le responsable de traitement donne suite à la demande et dans le respect du principe de minimisation prévu à l'article 5.1.c. du RGPD. La réponse apportée pourra être conservée à des fins de preuve, dans la limite du délai de prescription applicable, à compter du moment où le responsable de traitement répond à la demande.
Enfin, la collecte de pièces justificatives d'identité dans le cadre de l'exercice des droits n'est possible que lorsqu'il existe un doute raisonnable quant à l'identité de la personne, conformément à l'article 12.6 du RGPD. En principe, celles-ci doivent être supprimées dès qu'il a été fait droit à la demande de la personne concernée. En effet, la fourniture de tels documents a pour seul but de vérifier l'identité de la personne dont émane la demande et il n'est pas nécessaire de conserver ceux-ci une fois l'identité confirmée. Toutefois, il est possible de conserver ces documents à des fins d'établissement de preuves dans certains cas exceptionnels où le responsable de traitement identifie un risque contentieux fort, selon une analyse au cas par cas et dument documentée. Dans cette hypothèse, la durée de conservation des justificatifs est déterminée conformément aux délais de prescription de l'action publique prévus aux articles 8 et 9 du code de procédure pénale.
Pour en savoir plus, vous pouvez vous référer aux guides de la CNIL :
Sécurité
: Archiver de manière sécurisée " ;
Limiter la conservation des données ".
			Les données utilisées à des fins statistiques ne sont plus qualifiées de données à caractère personnel dès lors qu'elles ont été dûment anonymisées (v
oir les lignes directrices du G29 sur l’anonymisation).
8. Information des personnes
Les traitements de données à caractère personnel doivent être mis en œuvre en toute transparence vis-à-vis des personnes concernées.
Dès le stade de la collecte des données, les personnes doivent être informées des modalités de traitement de leurs données dans les conditions prévues par les dispositions des articles 13 et 14 du RGPD. Voir les modèles de mention d’information sur le site web de la CNIL.
Selon la finalité poursuivie et les données collectées, le consentement des personnes (par exemple : en cas de prospection par voie électronique) ou un moyen de s'opposer à certaines opérations de traitement (par exemple : la prospection pour des produits ou services analogues, la prospection entre professionnels ou encore par voie postale) doivent également être prévus sur le formulaire de collecte des données.
Conformément au RGPD, les personnes concernées doivent également être informées de la manière d'exercer leurs droits.
9. Droits des personnes
Les personnes concernées disposent des droits suivants, qu'elles exercent dans les conditions prévues par le RGPD :
- droit de retirer leur consentement ou de s'opposer au traitement de leurs données ;
- droit d'accès, de rectification et d'effacement des données qui les concernent ;
- droit à la limitation du traitement (par exemple : lorsque la personne conteste l'exactitude de ses données, elle peut demander à l'organisme le gel temporaire du traitement de ses données le temps que celui-ci procède aux vérifications nécessaires) ;
- droit à la portabilité : l'organisme doit permettre à toute personne de recevoir, dans un format structuré et couramment utilisé, l'ensemble des données traitées par des moyens automatisés. La personne concernée peut demander à ce que ses données soient directement transmises par l'organisme initial à un autre organisme. Ne sont concernées que les données fournies par la personne sur la base de son consentement ou d'un contrat. Il est donc recommandé de porter à la connaissance des personnes les traitements visés par ce droit à la portabilité.
Conformément à l'article 21 du RGPD, si la base légale du traitement est l'intérêt légitime, les personnes concernées disposent d'un droit d'opposition, à moins que l'organisme démontre qu'il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l'exercice ou la défense de droits en justice.
La prise en compte de la demande d'opposition dans un tel cas doit toutefois être systématique si elle porte sur des données faisant l'objet d'un traitement de prospection commerciale.
Pour faciliter l'exercice des droits, la CNIL recommande que l'organisme mette, a minima, à la disposition des personnes concernées une adresse de courriel dédiée et/ou les coordonnées du délégué à la protection des données (DPD/DPO) de l'organisation. La mise en place d'un canal dédié à la réception des demandes d'exercice de droits n'exonère pas l'organisme de son obligation de traiter les demandes qui lui sont adressées par d'autres canaux.
Tout organisme voulant mettre en œuvre de la prospection commerciale par voie téléphonique devra retirer de sa liste les personnes inscrites sur la liste d'opposition prévue par les dispositions des articles L. 223-1 et suivants du code de la consommation (liste dite " BLOCTEL "), sans préjudice des exceptions légales.
10. Sécurité
L'organisme doit prendre, conformément au RGPD, toutes les précautions utiles au regard des risques présentés par son traitement pour préserver la sécurité des données à caractère personnel et notamment au moment de leur collecte durant leur transmission et leur conservation, empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés y aient accès.
En particulier, dans le contexte spécifique de ce référentiel, l'organisme est invité à adopter les mesures suivantes, à justifier de leur équivalence ou du fait de ne pas avoir besoin ou de ne pas pouvoir y recourir :
			Catégories
			Mesures
			Sensibiliser les utilisateurs
			Informer et sensibiliser les personnes accédant aux données.
Rédiger une charte informatique et lui donner une force contraignante.
			Authentifier les utilisateurs
			Définir un identifiant (login) propre à chaque utilisateur.
			Adopter une politique de mot de passe utilisateur conforme aux recommandations de la CNIL.
			Obliger l'utilisateur à changer son mot de passe après réinitialisation.
			Ne pas stocker les mots de passe en clair.
			Limiter le nombre de tentatives d'accès à un compte.
			Gérer les habilitations
			Définir des profils d'habilitation.
			Supprimer les permissions d'accès obsolètes.
			Réaliser une revue annuelle des habilitations.
			Tracer les accès et gérer les incidents
			Prévoir un système de journalisation.
			Informer les utilisateurs de la mise en place du système de journalisation.
			Protéger les équipements de journalisation et les informations journalisées.
			Prévoir les procédures pour les notifications de violation de données à caractère personnel.
			Sécuriser les postes de travail
			Prévoir une procédure de verrouillage automatique de session.
			Utiliser des antivirus régulièrement mis à jour.
			Installer un " pare-feu " (" firewall ") logiciel.
			Recueillir l'accord de l'utilisateur avant toute intervention sur son poste.
			Sécuriser l'informatique mobile
			Prévoir des moyens de chiffrement des équipements mobiles.
			Faire des sauvegardes ou des synchronisations régulières des données.
			Exiger un secret pour le déverrouillage des ordiphones.
Protéger le réseau informatique interne
			Limiter les flux réseau au strict nécessaire.
			Sécuriser les accès distants des appareils informatiques nomades par VPN.
			Mettre en œuvre les protocoles WPA2 ou WPA2-PSK pour les réseaux Wi-Fi.
			Sécuriser les serveurs
			Limiter l'accès aux outils et interfaces d'administration aux seules personnes habilitées.
			Installer sans délai les mises à jour critiques.
			Assurer une disponibilité des données.
			Sécuriser les sites web
			Utiliser le protocole TLS et vérifier sa mise en œuvre.
			Vérifier qu'aucun mot de passe ou identifiant n'est incorporé aux URL.
			Contrôler que les entrées des utilisateurs correspondent à ce qui est attendu.
			Recueillir le consentement pour les cookies non nécessaires au service.
			Sauvegarder et prévoir la continuité d'activité
			Effectuer des sauvegardes régulières.
			Stocker les supports de sauvegarde dans un endroit sûr et éloigné du site principal.
			Prévoir des moyens de sécurité pour le convoyage des sauvegardes.
			Prévoir et tester régulièrement la continuité d'activité.
			Archiver de manière sécurisée
			Mettre en œuvre des modalités d'accès spécifiques aux données archivées.
			Détruire les archives obsolètes de manière sécurisée.
			Encadrer la maintenance et la destruction des données
			Enregistrer les interventions de maintenance dans une main courante.
			Encadrer par un responsable de l'organisme les interventions par des tiers.
Effacer les données de tout matériel avant sa mise au rebut.
			Gérer la sous-traitance
			Prévoir des clauses spécifiques dans les contrats des sous-traitants.
			Prévoir les conditions de restitution et de destruction des données.
			S'assurer de l'effectivité des garanties prévues (audits de sécurité, visites, etc.).
			Sécuriser les échanges avec d'autres organismes
			Chiffrer les données avant leur envoi.
			S'assurer qu'il s'agit du bon destinataire.
			Transmettre le secret par un envoi distinct et via un canal différent.
			Protéger les locaux
			Restreindre les accès aux locaux au moyen de portes verrouillées.
			Installer des alarmes anti-intrusion et les vérifier périodiquement.
			Encadrer les développements informatiques
			Proposer par défaut des paramètres respectueux de la vie privée aux utilisateurs finaux.
			Éviter les zones de commentaires libres ou les encadrer strictement.
			Tester sur des données fictives ou anonymisées.
			Utiliser des fonctions cryptographiques
			Utiliser des algorithmes, des logiciels et des bibliothèques reconnus.
			Conserver les secrets et les clés cryptographiques de manière sécurisée.
L'organisme dont le traitement remplit les conditions fixées par le présent référentiel doit s'assurer que le traitement respecte le niveau de sécurité approprié requis par l'article 32 du RGPD, en tenant compte de l'état de la technique, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques posés par le traitement, dont le degré de probabilité et de gravité varient pour les droits et libertés des personnes physiques.
Pour ce faire, l’organisme pourra utilement se référer au Guide de la sécurité des données personnelles.
11. Analyse d'impact relative à la protection des données
En vertu de l'article 35 du RGPD, le responsable de traitement doit réaliser une analyse d'impact relative à la protection des données (AIPD) dès lors que le traitement qu'il met en œuvre est susceptible de présenter un risque élevé pour les droits et les libertés des personnes concernées.
Tout d'abord, il conviendra de se référer aux listes publiées par la CNIL relatives aux traitements susceptibles de faire systématiquement l'objet ou non d'une AIPD, à savoir :
la liste des traitements pour lesquels une analyse d’impact n’est pas requise ; puis
la liste des traitements pour lesquels une analyse d’impact est requise.
Concernant cette dernière, s'y trouve notamment le type d'opérations de traitement suivant :
			Type d'opérations de traitement
			Exemples non exhaustifs
			Traitements de données de localisation à large échelle
- Application mobile permettant de collecter les données de géolocalisation de ses utilisateurs ;
			- fourniture d'un service de géolocalisation de mobilité urbaine utilisé par un grand nombre de personnes ;
			- base de données " clients " des opérateurs de communication électronique.
Si le traitement mis en œuvre n'est pas présent sur l'une de ces listes, le responsable de traitement doit s'interroger sur la nécessité d'effectuer une AIPD. A cette fin, il convient de consulter les critères établis par le Comité européen de la protection des données (CEPD) dans ses lignes directrices. Celles-ci prévoient que la réalisation d'une AIPD est obligatoire dès lors qu'au moins deux des neuf critères ci-dessous sont remplis :
- évaluation ou notation d'une personne ;
- prise de décision automatisée ;
- surveillance systématique ;
- traitement de données sensibles ou à caractère hautement personnel ;
- traitement à grande échelle ;
- croisement ou combinaison d'ensembles de données ;
- données concernant des personnes vulnérables ;
- utilisation innovante ou application de nouvelles solutions technologiques ou organisationnelles ;
- traitements qui empêchent les personnes d'exercer un droit ou de bénéficier d'un service ou d'un contrat.
			Afin de réaliser une AIPD, le responsable de traitement pourra recourir :
			- aux principes contenus dans ce référentiel ;
			- aux outils méthodologiques proposés par la CNIL sur son site web.
Dans le cas où l'organisme a désigné un délégué à la protection des données (DPD/DPO), ce dernier devra être consulté.
Conformément à l'article 36 du RGPD, le responsable de traitement devra consulter la CNIL avant toute mise en œuvre de son traitement si l'analyse d'impact indique qu'il ne parvient pas à identifier des mesures suffisantes pour réduire les risques à un niveau acceptable.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son articles 8 I 2° h) ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment son article 74 ;
Vu la délibération n° 2020-139 du 3 décembre 2020 portant adoption des critères du référentiel de certification des prestataires de formation à la protection des données à caractère personnel ;
Sur la proposition de Mme Anne DEBET, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement ;
Adopte les exigences d’un référentiel relatif à l’agrément des organismes de certification pour la certification des prestataires de formation à la protection des données à caractère personnel.
Cette décision sera publiée au Journal officiel de la République française.
La Présidente
Marie-Laure DENIS
 
RÉFÉRENTIEL RELATIF AUX EXIGENCES D’AGRÉMENT DES ORGANISMES DE CERTIFICATION POUR LA CERTIFICATION DES PRESTATAIRES DE FORMATION À LA PROTECTION DES DONNÉES À CARACTÈRE PERSONNEL
1. À QUI S'ADRESSE CE RÉFÉRENTIEL ?
Ce référentiel s’adresse aux organismes certificateurs mentionnés à l’article 8 de la loi Informatique et Libertés qui souhaitent obtenir un agrément leur permettant de certifier les services des prestataires de formation à la protection des données selon les critères du référentiel de certification approuvés par la CNIL par la délibération n° 2020-139 du 3 décembre 2020.
2. PORTÉE DU RÉFÉRENTIEL
Ce référentiel fixe les exigences que l’organisme certificateur doit respecter pour obtenir, puis conserver, son agrément.
Il a été décidé, conformément à la convention de coopération conclue entre le CNIL et le Comité français d’accréditation (COFRAC), instance nationale d’accréditation, que ce dernier procède à l’agrément des organismes certificateurs. Dans ce cas, l’accréditation délivrée par le COFRAC tient lieu d’agrément au sens de l’article 8 de la loi Informatique et Libertés.
3. MODALITÉS D’ACCRÉDITATION
L’obtention de l’accréditation selon la norme EN ISO/IEC 17065 et le dispositif de la formation professionnelle selon le décret n° 2019-565 du 6 juin 2019 est un prérequis préalable au dépôt d’un dossier auprès de l'instance nationale d’accréditation.
L’organisme de certification candidat dépose un dossier de demande d’accréditation auprès du COFRAC ou de tout autre organisme d’accréditation signataire d’un accord de reconnaissance multilatéral pris dans le cadre de la coordination européenne des organismes d’accréditation (EA).