La Commission nationale de l'informatique et des libertés,
Saisie pour avis par le Conseil Supérieur du Notariat sur les procédures tendant à la protection des personnes à l’égard du traitement de données à caractère personnel mises en œuvre par l’Association pour le Développement du Service Notarial ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 11, 3°, a) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi du 6 janvier 1978 modifiée ;
Après avoir entendu Mme Claire DAVAL, commissaire, en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Emet l’avis suivant :
Le Conseil Supérieur du Notariat (CSN) a saisi pour avis la Commission, sur les procédures tendant à la protection des personnes à l’égard du traitement de données à caractère personnel mises en œuvre par l’Association pour le Développement du Service Notarial (ADSN), dans le cadre de sa fonction de correspondant à la protection des données. En effet, l'ADSN est mandatée depuis 2006 par le CSN pour être, de manière mutualisée, correspondant à la protection des données des études notariales souhaitant assurer la conformité de leurs traitements à la loi du 6 janvier 1978 modifiée.
Sur les procédures mise en œuvre par l’ADSN
La Commission a constaté que l’ADSN a créé un outil d'autodiagnostic qui lui permet, sur la base des informations fournies par les études notariales, de connaître le nombre, la nature et la sensibilité des traitements qu’elles mettent en œuvre. Grâce à cette procédure, l’ADSN évalue également le niveau de conformité des études à la loi du 6 janvier 1978 modifiée, et leur propose, en fonction du résultat obtenu, trois types de prestations différentes. Ces prestations varient en fonction du niveau de risque identifié.
Le premier niveau, qui correspond au degré de risque le plus faible, ne conduit pas à la désignation de l’ADSN comme correspondant. L’ADSN conseille uniquement l'étude concernée sur les formalités préalables à accomplir auprès de la CNIL et lui adresse un guide pratique. Le niveau intermédiaire s'adresse aux études mettant en œuvre des traitements qui, même s’ils ne peuvent être qualifiés de sensibles, sont susceptibles de comporter des risques pour la protection des données à caractère personnel. Il est alors recommandé à l’étude de procéder à la désignation d’un correspondant. Enfin, le dernier niveau concerne les études qui présentent un risque plus élevé en matière de protection des données. Le recours à un correspondant est alors fortement conseillé.
Après que les études notariales entrant dans les catégories de risque intermédiaire et élevé l’ont désignée en tant que correspondant à la protection des données, l’ADSN procède à un audit plus approfondi des traitements. Cet audit est réalisé, par téléphone pour les études ayant un niveau de risque intermédiaire ; sur place pour celles dont le niveau de risque est élevé. Tout au long de cette procédure, qu’elle soit réalisée par téléphone ou sur place, l'auditeur dispense des conseils et des recommandations aux représentants de l’étude concernée. Un rapport détaillant les actions de mise en conformité à entreprendre est ensuite établi. C’est également après ce premier audit que l’ADSN procède à la rédaction de la liste des traitements mis en œuvre par l’étude. De même, chaque année, l'ADSN rédige un bilan annuel d'activité pour chaque étude l’ayant désigné. Ce document est envoyé à l'étude et tenu à la disposition de la CNIL si elle en fait la demande expresse.
Enfin, à l’issue de la troisième année suivant la désignation de l’ADSN en tant que correspondant, un auditeur de l'association se déplace au sein de l'étude afin de faire un audit des modalités de gestion des traitements. L'objectif de cette ultime étape est de s'assurer que les traitements sont toujours mis en œuvre dans de bonnes conditions et que les mesures de sécurité sont toujours adaptées. Là aussi, un rapport d'audit est adressé à l’étude afin qu'elle puisse se mettre en conformité si des manquements à la loi sont constatés.
A ce stade, il convient de préciser que des recommandations et des alertes sont également effectuées en dehors de phases d’audit. En effet, les études peuvent contacter à tout moment l'ADSN concernant des questions en lien avec la protection des données à caractère personnel.
Sur les vérifications effectuées dans le cadre de l’examen de conformité à la loi du 6 janvier 1978 modifiée
A l’appui de sa demande, l’ADSN a communiqué à la CNIL l’ensemble des documents utilisés dans le cadre de son activité de correspondant et notamment, ceux permettant de connaître et comprendre les différentes étapes du processus de mise en conformité du notariat : modèles de courriers, notes internes, tableaux d’audit... La Commission a ainsi été en mesure de procéder à une analyse de ces éléments.
Dans un second temps, il est apparu indispensable de constater de visu les conditions dans lesquelles les audits par téléphone et sur place étaient réalisés. Une délégation de la Commission s’est ainsi déplacée afin d’assister à des audits dans des études de notaire. Elle a également pu assister, dans les locaux de l’ADSN, à un audit par téléphone. Il est à relever que les agents de la Commission présents lors de ces phases avaient un simple statut d’observateur et n’agissaient pas dans le cadre des pouvoirs de contrôle dévolus à la CNIL en application de l’article 44 de la loi 6 janvier 1978 modifiée.
A l’issue de l’analyse des éléments communiqués et des vérifications effectuées sur place, un document comportant des observations et des demandes de compléments a été transmis à l’ADSN. En réponse, celle-ci a adressé un rapport détaillant les modifications apportées aux documents et procédures concernés ainsi que des explications sur les points qui restaient à éclaircir. En outre, chaque fois que cela a été matériellement possible, l’ADSN a communiqué à la CNIL les éléments permettant de prouver que les modifications avaient bien été effectuées. La CNIL a confronté, point par point, les réponses apportées et les documents amendés aux observations qu’elle avait effectuées.
Sur les résultats de l’examen de conformité à la loi du 6 janvier 1978 modifiée
Il résulte de l’examen des procédures mises en œuvre par l’ADSN dans le cadre de son activité de correspondant à la protection des données, qu’elles satisfont aux exigences de la loi du 6 janvier 1978 modifiée ainsi qu’aux dispositions de son décret d’application n°2005-1309 du 20 octobre 2005 qui précise que le correspondant doit :
veiller au respect des obligations prévues par la loi «  informatique et libertés » ;
recenser la liste des traitements mis en œuvre au sein de l’organisme ;
adresser des recommandations au responsable de traitement ;
gérer les demandes et les réclamations des personnes concernées par les traitements ;
informer le responsable des traitements sur les manquements constatés à la loi Informatique et Libertés ;
établir un bilan annuel de ses activités.
En conséquence, la Commission est d’avis que les procédures mises en œuvre par l’ADSN dans le cadre de son activité de correspondant à la protection des données personnelles pour les études notariales l’ayant désignée, sont conformes aux dispositions de la loi du 6 janvier 1978 modifiée.
La Présidente
Isabelle FALQUE-PIERROTIN