(saisine 15029728)
La Commission nationale de l'informatique et des libertés,
Saisie par la société DEVOTEAM, le 26 octobre 2015, d’une demande de délivrance de label concernant sa procédure de gouvernance Informatique et Libertés ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11 3°c ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés notamment ses articles 32 et suivants ;
Vu la délibération n° 2014-500 du 11 décembre 2014 portant adoption d’un référentiel pour la délivrance de labels en matière de gouvernance Informatique et Libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-François CARREZ, commissaire, président du Comité de labellisation, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La Commission reconnaît que la procédure de gouvernance Informatique et Libertés présentée est conforme au référentiel auquel il se rapporte, conformément à l’article 37 de son règlement intérieur.

De la délivrance du label CNIL « gouvernance Informatique et Libertés » pour la procédure de gouvernance des données à caractère personnel au sein de la société DEVOTEAM.
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
En cas d’absence de plus d’un mois du correspondant Informatique et Libertés, le titulaire du label s’assure au préalable de la désignation en interne d’une personne destinée à remplacer temporairement le CIL dans ses missions, notamment au regard des exigences du référentiel Gouvernance.
En cas de départ du CIL (démission, décharge…), le titulaire du label prévoit qu’un nouveau CIL succède à l’ancien dans un délai maximum d’un mois et s’assure que le nouveau CIL satisfait, dans ce délai, à l’ensemble des critères qui le concernent dans le référentiel Gouvernance (formation, positionnement, statut, missions…). Pour rappel, l’article 54 du décret du 20 octobre 2005 modifié prévoit que lorsque le correspondant est démissionnaire ou déchargé de ses fonctions, le responsable de traitement en informe la CNIL.
Par ailleurs, l’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
La Présidente
I. FALQUE-PIERROTIN