Veuillez trouver ci-dessous le replay du webinaire ainsi que les réponses à toutes les questions auxquelles nous n’avons pas pu répondre pendant le webinaire :
1. Quel est le lien entre RGPD et cookies ? Notamment la formule « Continuer sans accepter » des cookies ?
Le RGPD impose pour le traitement de données à caractère personnel de faire reposer ce traitement sur une base légale de traitement (article 6 du RGPD principe de licéité du traitement). Cet article 6 précise que l’une des six bases légales autorisées est le consentement de la personne concernées.
Le traitement de données issues des cookies repose sur le consentement des personnes concernées pour les cookies dits de marketing (ex : cookies Google Analytics).
Vous avez donc la possibilité de consentir ou non à ces cookies lors de votre navigation sur le site web, notamment par le biais de cette formule continuer sans accepter. Si vous refusez le dépôt des cookies, vos données personnelles ne seront pas traitées.
2. La reconnaissance de la qualité de travailleur handicapé (RQTH) est-elle une donnée santé ?
Selon l’article L.114 du code de l’action sociale et des familles le handicap constitue une limitation d’activité ou restriction de participation à la vie en société subie dans son environnement par une personne en raison d’une altération substantielle, durable ou définitive d’une ou plusieurs fonctions physiques, sensorielles, mentales, cognitives ou psychiques, d’un polyhandicap ou d’un trouble de santé invalidant.
La Reconnaissance de la Qualité de Travailleur Handicapé constitue une donnée de santé au sens de la règlementation puisqu’elle est une donnée relative à la santé physique ou mentale, passée, présente ou future, d’une personne physique révélant ainsi des informations sur l’état de santé de cette personne.
La RQTH constitue donc une donnée de santé qui figure parmi la liste des données sensibles au sens de l’article 9 du RGPD.
3. La voix est-elle une donnée personnelle ?
La voix est effectivement une donnée personnelle mais également une donnée sensible au sens de l’article 9 du RGPD. Elle véhicule quatre types d’information de nature personnelle : les mots prononcés, les caractéristiques biométriques de la personne qui les a prononcés (identité, âge, genre…), la façon dont elle les a prononcés (émotions et pathologies se traduisant dans la voix) et l’environnement dans lequel elle les a prononcés (voix et bruits ambiants). Le RGPD catégorise comme des informations de nature sensible les caractéristiques biométriques et les mots trahissant l’orientation sexuelle ou les opinions religieuses par exemple.
4. Et la pseudonymisation dans le cas où on perd la table de correspondance ? C’est de l’anonymisation ? Même si les données ne sont pas agrégées ?
Non, la pseudonymisation dans le cas ou l’on perd la table de correspondance ne constitue pas une anonymisation. L’anonymisation est une mesure de sécurité volontaire qui ne peut être simplement déduite de la perte de la table de correspondance. L’anonymisation doit permettre de rendre impossible la réidentification de la personne, ce qui n’est pas le cas si la table de correspondance peut être retrouvée. L’opération de pseudonymisation est réversible, contrairement à l’anonymisation.
Il s’agit dans ce cas de pseudonymisation (qui vise à ne plus pouvoir attribuer les données relatives à une personne physique sans information supplémentaire).
5. Quels outils pour l’anonymisation, la pseudonymisation, le suivi des demandes d’exercice des droits, la documentation des traitements ?
Il existe plusieurs outils d’anonymisation, de pseudonymisation mais également des outils de suivi de la conformité permettant de créer un registre de traitement et d’assurer le suivi des demandes d’exercice de droits. Ces outils dépendent des activités de traitement et des fonctionnalités recherchées.
Du point de vue de l’anonymisation il faut se fier à trois critères pour s’assurer qu’un jeu de données est anonymisé :
- L’individualisation : il doit être impossible d’isoler un individu dans le jeu de données ;
- La corrélation : il doit être impossible de relire entre eux des ensembles de données sur un même individu ;
- L’inférence : il doit être impossible de déduire de nouvelles informations sur un individu.
La pseudonymisation peut être plus facilement réalisable à l’aide d’une table de correspondance qui doit être stockée séparément de la table pseudonymisée.
Il est possible de remplacer la donnée personnelle par un identifiant (exemple : remplacer Alice P par 124), de transformer un identifiant (Alice P 🡺 e53725) par le biais d’une fonction de hachage ou encore de chiffrer les données personnelles et de conserver la clé au sein d’un service distinct.
Pour la gestion du registre des traitements et le suivi des demandes d’exercice de droit divers outils existent sur le marché permettant de disposer d’un modèle collaboratif.
Le cas échéant les documents (registre des traitements/ registre des demandes d’exercice des droits) peuvent être tenus sous format Excel.
6. Existe-t-il un tableau des durées de conservation des données ?
Il n’existe pas de tableau universel regroupant les durées de conservation des données car les finalités de traitements ne sont pas exhaustives.
Néanmoins, la CNIL produit des guides permettant d’adresser certaines recommandations.
Le plus récent est le guide de conservation des données en matière de ressources humaines : https://www.cnil.fr/fr/referentiel-durees-conservation-donnees-rh.
7. Quels outils pour l’archivage intermédiaire de versions digitales des documents ?
Pour rappel, l’archiavge intermédiaire consiste à archiver les données qui ne sont plus utilisées pour atteindre l’objectif fixé mais qui peuvent présenter un intérêt administratif pour un organisme ou qui doivent être conservées pour répondre à une obligation légale. Ces informations doivent donc être consultées de manière ponctuelle et motivée par des personnes spécifiquement jabilitées. Il doit donc y avoir une séparation physique ou logique avec la base active.
Dans le cadre d’une séparation logique pour la conservation digitale les données doivent être isolées des données en base active par une limitation des habilitations ou en les rendant inaccessible à certaines personnes n’ayant plus d’intérêt à les traiter.
Par exemple : dans le cadre d’un contentieux avec un ancien client la conservation en base intermédiaire consisterait à exporter son dossier client du CRM et à y supprimer ses données afin de ne conserver ses données qu’au sein du service juridique chargé des contentieux dans un dossier chiffré. Ainsi, seuls les personnels chargés du contentieux au sein du service juridique et disposant du mot de passe pour ouvrir le fichier pourraient y accéder.
8. Dans l’exemple de la newsletter, vous mentionnez que la base légale retenue pour les professionnels est l’intérêt légitime. Est-ce que cela signifie que ça nous dispense de recueillir le consentement explicite des professionnels avant de les ajouter à notre liste de diffusion ?
En effet, la base légale de traitement pour l’envoi d’une newsletter, ou de toute opération de prospection commerciale à destination de B2B (professionnels) est l’intérêt légitime. L’objet de la sollicitation doit être en rapport avec la profession de la personne démarchée.
Attention, s’il ne s’agit pas de professionnels mais de particuliers (B2C) le consentement sera nécessaire.
Pour le B2B cela signifie que vous devez, au moment de la collecte de son adresse de messagerie :
- Informer la personne sur le fait que son adresse électronique sera utilisée à des fins de prospection par voie électronique/ afin de lui envoyer la newsletter ;
- Informer la personne sur sa faculté d’opposition (moyen simple d’opposition avec un lien de désinscription à la fin du message) ;
- Si les données sont déjà en possession de la société ou acquises auprès de tiers, il faut s’assurer que la personne concernée a été informée du traitement et est en mesure de s’y opposer.
Ce module a été rédigé par Alice Picard, consultante cybersécurité chez Advens, diplômée en Master droit du numérique et passionnée par l’accompagnement des organisations dans leur mise en conformité.