Home

Guide “Informatique et Libertés” - Délégation Paris B

1. Du fait des dangers potentiels li s l exploitation de ces caract ristiques physiques qui sont propres chaque tre humain et dont certaines empreintes digitales ADN peuvent tre collect es l insu des int ress s les traitements faisant appel un dispositif biom trique sont soumis par la loi un r gime d autorisation pr alable de la CNIL gt Que faire D une mani re g n rale il existe deux types de proc dures pour notifier la CNIL l utilisation d applications biom triques La d termination de la proc dure applicable est essentiellement fonction de la biom trie choisie ainsi que du contexte d utilisation 1 La proc dure d autorisation au cas par cas pour les dispositifs biom triques gt reposant sur un enregistrement de l empreinte digitale dans une base de donn es centrali s e ou dans le lecteur Ils doivent tre justifi s par l existence d un fort imp ratif de s curit Exemple Le contr le de l acc s aux locaux sensibles ou sont conserv s les sujets nationaux d examens et de concours gt Reposant sur des caract ristiques biom triques telles que le visage l iris ou la voix En pratique Comment d clarer Les tablissements y compris ceux ayant d sign un Correspondant Informatique et Libert s doivent adresser la CNIL une demande d autorisation constitu e d un for mulaire de d claration normale d ment rempli accompagn e des annexes S curit s
2. Attention La norme simplifi e n 42 relative la gestion des contr les d acc s aux locaux des horaires et de la restauration n est pas applicable aux applications faisant appel un proc d de reconnaissance biom trique 20 Cette autorisation unique ne s applique pas aux dispositifs qui reposent sur l enregistrement de la donn e biom trique dans une base de donn es qu elle soit stock e sur le terminal de lecture comparaison ou sur un serveur 21 Voir le tableau synth tique figurant en annexe n 1 CPU AMUE CNIL 2007 AOUNSL Dispositifs de vid osurveillance gt De quoi s agit il La vid osurveillance consiste a placer des cam ras de surveillance dans un lieu public ou priv pour pr venir des actes de malveillance Elles peuvent tre fixes ou mobiles automatiques ou t l command es gt En quoi mes libert s sont elles concern es Les syst mes de vid osurveillance peuvent intrins quement porter atteinte aux libert s indivi duelles par exemple la libert d aller et venir Il est d s lors n cessaire d accompagner leur mise en uvre d un certain nombre de garanties gt Que faire 1 Une r flexion pr alable indispensable Une r flexion pr alable la d cision d utiliser un syst me de vid osurveillance comportant notamment une analyse pr cise des risques tenant compte des incidents survenus dans l enceinte de l tablissement devrait tre men e de fa on ide
3. gt Pour les recherches dans le domaine biom dical en r f rence l engagement de conformit une m thodologie de r f rence n MR 001 D claration normale gt Suivi de cohortes gt Traitement de donn es sensibles vis es l article 8 de la loi Informatique et Libert s ex mesure de la diversit si consente ment Demande gt Traitement de donn es sensibles vis es l article 8 de la loi d autorisation Informatique et Libert s ex mesure de la diversit si int r t public ou anonymisation bref d lai gt Recherches m dicales men es en partenariat avec d autres orga nismes INSERM CNRS pour les recherches dans le domaine de la sant ex recherches pid miologiques CPU AMUE CNIL 2007 Ame Mod les de clauses ou de mentions d information Mod les de note d information indication de l identit du responsable du trai tement Les informations recueillies font l objet d un traitement informatique destin a pr ciser la finalit Les destinataires des donn es sont pr cisez Conform ment la loi Informatique et Libert s vous b n ficiez d un droit d acc s et de rectification aux informations qui vous concernent Si vous souhaitez exercer ce droit et obtenir communication des informations vous concernant veuil lez vous adresser pr ciser le service vous pouvez galement pour des motifs l gitimes vous opposer au traitement des
4. de l tablissement ou une personne externe comme par exem ple un consultant un avocat La loi a fix des seuils pour d terminer les cas dans lesquels il est possible de choisir un CIL interne ou externe l tablissement Ainsi il existe une libert de choix lorsque moins de 50 personnes sont charg es de la mise en uvre des traitements ou qui y ont directement acc s Le choix est limit lorsque plus de 50 personnes sont charg es de la mise en uvre des traitements ou y ont directement acc s CPU AMUE CNIL 2007 En pratique pour conna tre le seuil applicable il convient de d terminer le nombre de person nels qui sont charg s e du d veloppement et de la maintenance des applications tel que par exemple le service informatique de la saisie des donn es ou de la consultation ex service juridique comptable ou des ressources humaines Le nombre de 50 personnes est appr ci au regard de l ensemble des applications informa tiques mises en uvre par l universit ou l tablissement Exemple Il est possible de d signer un CIL pour plusieurs tablissements dans lesquels plus de 50 personnes sont charg es de la mise en ceuvre des traitements ou y ont directe ment acc s Dans ce cas le CIL doit tre une personne mandat e par un organisme repr sentant les universit s Cette d signation pourrait ainsi tre faite au niveau d un P le de Recherche et d Enseignement Sup rieur PRES La plup
5. gt Gestion du fichier des tudiants application APOGEE normalement d clar par le Minist re de l ducation nationale arr t du 26 janvier 1996 gt Gestion des personnels des enseignants chercheurs application GESUP d claration du Minist re de l ducation nationale arr t du 6 juillet 1994 gt Les sites web vitrines ou institutionnels permettant par exemple l envoi de lettre d information condition de respecter la dispense n 7 gt Les sites web personnels sites diffusant ou collectant des donn es caract re personnel mis en uvre par des particuliers dans le cadre d activit s exclusivement personnelles tels que les blogs condition de respecter la dispense n 6 gt Les sites web portail dans le cadre des espaces num riques de travail ENT Engagement de conformit l arr t ENT du 30 novem bre 2006 pris par le Minist re de l ducation nationale acte r glementaire unique n 003 gt Gestion des bourses par les centres r gionaux des uvres universi taires et scolaires CROUS application nationale SAGA Engagement de conformit avec l autorisation unique n 002 adopt e par la CNIL par une d lib ration n 2005 233 du 18 octobre 2005 D claration normale Gestion du fichier de m decine pr ventive Demande d avis T l service de l admi nistration lectronique Autre Le principe est celui d une d claration normale mais il existe des exceptions Pour
6. de l tudiant qui ach te des logiciels La f d ration d identit s permet cette attestation sans d livrer de liste d tudiants aux diteurs D un point de vue plus technique lorsqu un utilisateur acc de une ressource avec son navi gateur web et seulement ce moment le fournisseur de cette ressource peut interroger le fournisseur d identit de l utilisateur pour obtenir des informations concernant celui ci Ces informations sont destin es r aliser le contr le de l acc s au service et ou le personnaliser en fonction du profil de l utilisateur 11 La f d ration d identit s la plus fr quemment utilis e dans la communaut de l enseignement sup rieur est Shibboleth 12 Cette d marche s inscrit notamment dans le cadre de la r forme LMD Licence Master Doctorat qui permet de compl ter par exem ple ses modules de cours aupr s d autres tablissements La mise en place de f d ration d identit s r pond au besoin de partage d applications entre institutions et de s affranchir de la multiplication de comptes utilisateurs CPU AMUE CNIL 2007 Un fournisseur d identit savoir l universit ou l tablissement d cide par avance des infor mations qu il s autorise diffuser aux ressources ext rieures d sign comme le fournisseur de service Il diffuse telle ou telle information en fonction des besoins fonctionnels de chaque ressource apr s s tre mis d accord avec le partenaire op rant
7. es ou publiques physiques ou morales gt prendre toutes mesures permettant d viter toute utilisation d tourn e ou frau duleuse des fichiers informatiques en cours d ex cution du contrat gt prendre toutes mesures notamment de s curit mat rielle pour assurer la conser vation des documents et informations trait s tout au long de la dur e du pr sent contrat et en fin de contrat gt proc der la destruction de tous fichiers manuels ou informatis s stockant les informations saisies OU a gt restituer int gralement les supports d informations selon les modalit s pr vues au pr sent contrat ce titre galement la soci t ne pourra sous traiter l ex cution des prestations une autre soci t ni proc der une cession de march Les supports d informations qui lui seront remis devront tre trait s sur le territoire fran ais m tropolitain L tablissement se r serve le droit de proc der toute v rification qui lui paraitrait utile pour constater le respect des obligations pr cit es par la soci t 0e Il est rappel que en cas de non respect des dispositions pr cit es la responsabilit du titulaire peut galement tre engag e sur la base des dispositions des articles 226 17 et 226 5 du code p nal L tablissement pourra prononcer la r siliation imm diate du contrat sans indem nit en faveur du titulaire en cas de violation du secr
8. es par des personnes habilit es a utiliser de la base de gestion des tudiants gt une information sur l enqu te devra tre pr sent e r guli rement au fil de l eau jour nal de l tablissement pr sentation des r sultats lors des journ es scolarit des r unions d accueil des tudiants Se reporter l annexe 1 Mode d emploi comment d clarer qui pr cise les cas dans lesquels ces traitements rel vent du r gime de la d claration normale ou de la demande d autorisation CPU AMUE CNIL 2007 LL tudes men es au sein de l enseignement sup rieur afin de mesurer la diversit des origines des tudiants et les pratiques discriminatoires gt De quoi s agit il Les universit s peuvent tre int ress es tudier la diversit des tudiants qu elles accueillent et notamment la diversit g ographique religieuse et sociale De m me ces tudes peuvent avoir pour objectif de constater le niveau d impact des origines sur les parcours des personnes inscrites dans l enseignement sup rieur afin d valuer la pr sence ventuelle de pratiques discri minatoires p En quoi mes libert s sont elles concern es Ce type d tude peut entra ner la collecte et l exploitation des donn es dites sensibles savoir des donn es caract re personnel qui font appara tre directement ou indirectement les origines raciales ou ethniques les opinions politiques philoso
9. rappelons que la dur e de conservation ne peut exc der celle strictement n cessaire aux finalit s du traitement En pratique Les donn es devraient tre supprim es l issue de l envoi des actes du colloque sauf si les participants ont accept d tre inform s par la suite de la tenue de nouveaux colloques CPU AMUE CNIL 2007 LE TE Mode d emploi comment d clarer La d claration est une obligation l gale dont le non respect est p nalement sanctionn Tout fichier ou traitement informatis comportant des donn es personnelles doit donc tre d clar la CNIL pr alablement sa mise en uvre sauf s il est express ment exon r de d cla ration Cette proc dure de d claration peut prendre plusieurs formes selon le fichier concern Dans tous les cas la d signation d un Correspondant Informatique et Libert s dispense l organisme concern de l accomplissement des formalit s relatives aux fichiers relevant de la d claration simplifi e et de la d claration normale Les dispenses de d claration Un certain nombre de traitements d crits dans le tableau r capitulatif figurant ci apr s sont dispens s de d claration par une d cision de la CNIL ex site web institutionnel sites web personnels Par ailleurs les fichiers de gestion des tudiants et des personnels des tablissements de l enseignement sup rieur n ont pas en principe tre d clar s aupr s de la CNIL dans
10. s a y acc der en raison de leurs fonctions Exemple gt Le responsable du traitement doit prendre toutes mesures pour emp cher que les donn es soient d form es endommag es ou que des tiers non autoris s y aient acc s Exemple gt Les mesures de s curit tant physique que logique doivent tre prises 4 La dur e de conservation d clar e dans le dossier de formalit adress la CNIL ou dans le registre du CIL doit correspondre la p riode durant laquelle les donn es restent accessibles ou consultables directement par le personnel par opposition avec la p riode d archivage des donn es pendant laquelle celles ci ne sont plus destin es tre utilis es des fins de gestion et sont de ce fait conserv es sur un support distinct au sein d un service d archives Se reporter l instruction minist rielle sur l archivage r f rence DAF DPACI RES 2005 003 du 22 f vrier 2005 5 Voir annexe 2 mod le de clause de confidentialit dans le cadre d un march ou d un contrat de sous traitance CPU AMUE CNIL 2007 13 Fiches th matiques A 14 gt Les mesures de s curit doivent tre adapt es a la nature des donn es et aux risques pr sent s par le traitement EX Le principe du respect du droit des personnes 5 1 Informer les int ress s Lors de l informatisation de tel ou tel service ou lorsque des donn es sont recueillies par exem ple par voie de questionnaires les usag
11. 17 du 6 janvier 1978 s exerce aupr s du service Article 5 le cas ch ant le droit d opposition pr vu au titre de l article 38 de la loi du 6 janvier 1978 ne s applique pas au pr sent traitement Article 6 le 37 est charg de l ex cution du pr sent pr ciser arr t d lib ration d cision qui sera affich en et ou publi au 28 33 Selon la nature juridique de l organisme l acte r glementaire pourra prendre la forme suivante d cision du conseil d administration arr t minist riel 34 Ce visa devra tre compl t lors de la r ception de l avis de la CNIL par la mention de la date figurant dans le courrier de la CNIL notifiant l avis au d clarant 35 Pour compl ter les articles 1 2 3 et 4 il convient de reprendre les informations indiqu es dans le formulaire de d claration 36 Article faire figurer dans la mesure o le traitement pr sente un caract re obligatoire 37 Indiquer la fonction de la personne charg e de l ex cution de l acte r glementaire 38 Les actes r glementaires quel qu en soit l auteur sont soumis la publication celle ci est la condition n cessaire leur entr e en vigueur et donc leur opposabilit Le plus souvent la publication consiste en une insertion de l acte r glementaire dans un recueil officiel Mais elle peut prendre d autres formes ex a
12. Cour de cassation Chambre sociale Arr t du 27 juin 2007 Oce Business services Michel B CPU AMUE CNIL 2007 43 Fiches pratiques g Fichenn Cr ation de sites internet site web blog 44 De quoi s agit il Des sites web peuvent tre cr s dans le cadre d activit s professionnelles ex site web de l universit site d un enseignant chercheur pr sentant ses travaux syndicales politiques ou associatives Les sites personnels par ailleurs plus connus sous le nom de blog ont pour vocation la diffusion d informations destination du cercle familial ou des proches la mise en ligne d un journal personnel blocs notes ou blog ou la pr sentation de sujets d int r t personnel loisirs sport culture diffusion d id es etc gt En quoi mes libert s sont elles concern es Du fait de sa mise en ligne sur le r seau internet un site web constitue un espace ouvert au public Aussi la diffusion de donn es caract re personnel sur ces sites est elle susceptible de porter atteinte la vie priv e des personnes d s lors qu elles n ont pas t pr alablement infor m es d une telle diffusion De plus l existence de moteurs de recherche de plus en plus performants multiplie les risques en mati re d atteinte la vie priv e En effet l utilisation des moteurs de recherche partir du nom d une personne permet d acc der l ensemble des pages web o est diffus ce nom poss
13. de d sinscription Si ce courrier revient en NPAI N habite Plus A l Adresse Indiqu e toutes les donn es relatives ce dipl m sont supprim es CPU AMUE CNIL 2007 23 Fiches pratiques g 24 L autre cas de suppression des donn es correspond a une d sinscription explicite de la part du dipl m Il est important galement de veiller ins rer une mention l gale sur l annuaire qui pr cise qu en aucun cas les donn es qu il contient ne peuvent tre exploit es a des fins commerciales ou politiques sauf indication explicite en sens contraire de la personne concern e En pratique CPU AMUE CNIL 2007 ich Diffusion des r sultats d examen et des notes sur internet gt De quoi s agit il Comme le pr cise une circulaire minist rielle les r sultats des examens sont port s la connais sance des tudiants par voie d affichage Traditionnellement cette proclamation des r sultats est r alis e par le biais d un affichage dans les locaux de l universit ou de l tablissement Cette publicit ne s applique pas aux notes obtenues qui sont communiqu es individuellement chaque tudiant ll est d sormais fr quent que les universit s permettent leurs tudiants d acc der leurs r sul tats d examen et leurs notes via internet p En quoi mes libert s sont elles concern es La diffusion des r sultats d examen et des notes des tudiants via internet est susc
14. de veiller au respect des principes de la protection des donn es personnelles gt d informer les personnes au sujet de l existence de leurs droits d acc s de recti fication et d opposition gt de d signer le cas ch ant un Correspondant Informatique et Libert s gt de proc der l accomplissement des formalit s aupr s de la CNIL sauf en cas de d signation d un Correspondant Informatique et Libert s gt Le responsable du traitement doit tre distingu des personnes qui interviennent dans le cadre de sa mise en uvre du traitement tels que par exemple les sous traitants Le sous traitant est un ex cutant ext rieur Il ne peut agir que sous l autorit du responsable du traitement et sur instruction de celui ci Toute personne traitant des donn es carac t re personnel pour le compte du responsable du traitement est consid r e comme un sous traitant au sens de la loi La sous traitance ne d charge pas le responsable du traite ment de sa responsabilit Exemple Dans le cas d un h bergement externe de l un des sites web de l universit l h bergeur est consid r comme le sous traitant 2 Dans le cas de demande d avis ou de demande d autorisation les formalit s d claratives aupr s de la CNIL subsistent 3 Se reporter l annexe 2 mod le de clause de confidentialit dans le cadre d un march ou d un contrat de sous traitance CPU AMUE CNIL 2007 gt En dehors du cas o un te
15. des ressources num riques qui leur sont r serv es par des entit s publiques ou priv es Il pourra s agir de l acc s des cours en ligne des services ou produits aux tarifs pr f rentiels pour des tudiants ou de la docu mentation num rique En ce qu elle permet de certifier des qualit s d termin es de telle ou telle personne Mme X est bien tudiante en licence de droit si cette information est requise pour acc der au service ou M Y est bien tudiant l universit U si cette information est suffisante le d ploiement d une f d ration d identit s s curise l acc s ces ressources Il simplifie galement l acc s ou la mise disposition de ces ressources dans la mesure o il sera possible de partager une application entre plusieurs partenaires sans devoir r enregistrer tous les nouveaux utilisateurs de cette application ou encore de contr ler la diffusion d informations concernant ses utilisateurs des partenaires ext rieurs Exemples gt Un tudiant acc de une plate forme d enseignement distance sur le th me de la biologie Cette derni re peut interroger son universit d appartenance pour conna tre sa fili re d enseignement S il s agit de la biologie l tudiant est auto ris acc der aux ressources de cette plate forme sinon l acc s lui est refus gt Des diteurs de logiciels souhaitant proposer des tarifs tr s bas aux tudiants doivent s assurer de la qualit
16. diffusion et la collecte de donn es caract re personnel op r es a partir d un site web dans le cadre d activit s professionnelles poli tiques ou associatives restent soumises l accomplissement des for malit s pr alables pr vues par la loi gt il est recommand lors de la mise en uvre de blog ede pr voir un acc s restreint au b n fice des seules personnes identifi es par le responsable du site Lorsqu un particulier souhaite cr er un site au b n fice de ses proches aux fins de diffusion par exemple de photographies d un v ne ment mariage anniversaire etc il est important au regard de la nature du r seau internet que soient mis en place des dispositifs permettant de limiter cette diffusion aux seules personnes concern es ede recueillir le consentement pr alable des personnes dont les donn es sont diffus es sur le site ede ne pas diffuser des donn es dites sensibles ex opinion politique qui n ont pas vocation tre diffus es partir d un site internet ouvert au public ede pr voir pour toute personne dont les donn es caract re personnel sont diffus es partir d un site web la facult de s opposer tout moment cette diffusion En ce qui concerne les sites web qui ne seraient pas cr s dans le cadre d une activit exclusi vement personnelle tel que par exemple le site institutionnel de l universit ils sont galement soumis aux dispositions de la loi Infor
17. doit s op rer dans le respect du principe consacr l article 8 de la Convention europ enne des droits de l homme selon lequel Le salari a droit m me au temps et lieu de travail au respect de l intimit de sa vie priv e 14 Ce contr le est notamment r alis partir de la conservation de donn es techniques appel es donn es de connexion ou donn es relatives au trafic ex adresses URL visit es adresse IP On sait qu il se pose la question de savoir si les universit s et les tablisse ments de l enseignement sup rieur offrant un acc s Internet leurs tudiants sont soumis aux dispositions de l article L 34 1 du code des postes et des communications lectroniques Selon cet article les personnes dont l activit est d offrir un acc s des ser vices de communication au public en ligne ont l obligation de conserver les donn es de connexion des personnes utilisatrices de leurs services En tout tat de cause il convient de rappeler que cette disposition n impose pas d identifier les tudiants par la tenue par exemple d un fichier des utilisateurs Par ailleurs afin de faciliter le travail de mise en uvre d une politique de gestion des traces au sein des tablissements d enseignement sup rieur le Comit de R seaux des Universit s a labor sur la base de travaux du CNRS un document Politique type de gestion des journaux informatiques CPU AMUE CNIL 2007 Que faire C est la j
18. en uvre d un ENT au sein de son tablissement Attention Cette formalit subsiste quand bien m me un Correspondant Informatique et Libert s a t d sign 2 2 Comment d clarer Les ENT sont consid r s comme des t l services de l administration lectronique Par cons quent le traitement rel ve du r gime de la demande d avis Une proc dure de d claration simplifi e est pr vue condition que le dispositif ENT respecte le cadre fix par l arr t du 30 novembre 2006 pris apr s avis de la CNIL savoir notamment les finalit s les droits des personnes et les mesures de s curit n cessaires la protection des donn es caract re personnel 13 cf D lib ration n 2006 104 adopt e par la CNIL le 27 avril 2006 portant avis sur la mise en place des espaces num riques de tra vail ENT au sein des tablissements scolaires et universitaires CPU AMUE CNIL 2007 39 Fiches pratiques g LEE Contr le de l utilisation des moyens 40 informatiques Afin d assurer la s curit de leur r seau et ou de leurs ressources informatiques les tablisse ments peuvent tre conduits mettre en place des outils visant contr ler l utilisation des outils informatiques mis disposition de leurs tudiants et de leurs personnels Ce contr le est l gitime d s lors qu il est r alis de mani re transparente savoir avec une parfaite information des utilisateurs La r dactio
19. en outre comporter l indication et la date laquelle les instances repr sentatives du personnel ont t consult es sur de tels dispositifs En pratique L utilisation par les organisations syndicales de l intranet et de la messagerie lec tronique de l universit ou l tablissement d enseignement Les universit s ou les tablissements devraient n gocier les conditions dans les quelles leur messagerie et ou leur intranet peuvent tre utilis s par les instances repr sentatives du personnel ou pour l exercice d un mandat syndical titre indi catif la Cour de cassation a consid r en juin 2007 qu en l absence d accord et dans la mesure o l employeur a d j tol r une utilisation de l intranet des fins syndi cales par le pass une telle utilisation ne constituerait pas une faute pour le salari A priori les adresses de messagerie lectronique des employ s peuvent tre utilis es par les organisations syndicales pour la mise disposition de publications et tracts de nature syndicale condition que les employ s en soient inform s pour pouvoir s opposer au pr alable l envoi de tout message des fins de prospection syndicale sur leur messagerie professionnelle Lorsque les instances repr sentatives du per sonnel disposent d un compte de messagerie d di des mesures de s curit parti culi res devraient tre mises en uvre afin d assurer la confidentialit des informa tions chang es 17
20. il est compos d une cha ne de caract res qui permettent de d terminer le sexe le mois et l ann e de naissance et dans la majorit des cas le d partement et la commune de naissance en France ou l indication d une naissance l tranger gt unique et p renne un seul num ro est attribu chaque individu d s sa naissance La loi Informatique et Libert s a toujours soumis des exigences proc durales particuli res l utilisation du NIR ou ce qui a t consid r comme revenant au m me le recours au RNIPP En effet les craintes suscit es par la g n ralisation d un identifiant national et unique qui rendrait plus ais es les possibilit s de rapprochements de fichiers ont conduit le l gislateur encadrer strictement l utilisation de ce num ro gt Que faire Lorsqu un tablissement envisage l enregistrement et ou l utilisation du NIR il doit tout d abord s assurer du fait que cette utilisation est l gale En effet l enregistrement du num ro de s curit sociale dans un traitement est notamment autoris gt dans les fichiers de paie et de gestion du personnel pour l tablissement des bulletins de paie et des diff rentes d clarations sociales obligatoires d cret n 91 1404 du 27 d cem bre 1991 gt dans le cadre de la prise en charge des frais de maladie articles R 115 1 et R 115 2 du code de la s curit sociale Exemple L immatriculation des tudiants la s curit socia
21. la ressource dans leur cadre contractuel classique La f d ration d identit s est un dispositif technique permettant d acc der sous une nouvelle forme des informations d un annuaire avec une s lection stricte des informations divulgu es Pour ces acc s il est possible de consulter une entr e de l annuaire mais jamais de lister le contenu de l ensemble de l annuaire Dans le cas o les informations divulgu es n ont pas besoin d tre nominatives la cl de consultation n est pas le nom d une personne mais un iden tifiant qui est utilis une seule fois Sch ma de fonctionnement de la f d ration d identit s Fournisseurs de services ext rieurs Universit A Plate forme Emilie Durand Fournisseurs d identit s Biologie BCE Wu distance Annuaire Emilie Durand Etudiante Biologie Revues Etudiante lectroniques en ligne Enfin il est noter qu un dispositif de f d ration d identit s peut s articuler avec les fonction nalit s d un espace num rique de travail ENT En effet l ENT est une offre de services purement interne l tablissement d enseignement avec o sans sous traitance pour tout ou partie des services Le fournisseur d identit est une extension de l ENT qui permet l acc s des services ext rieurs l universit op r s par des fournisseurs de services Exemples acc s un cours en ligne op r par une autre universit et r serv une cer
22. le cadre fix par l autorisation d livr e par la CNIL 4 2 La proc dure de demande d avis art 27 concerne principalement les traitements comportant le num ro de s curit sociale NIR ou n cessitant une interrogation du r pertoire national d identification des personnes physiques RNIPP et les t l services de l administration lectronique comportant un identifiant La demande d avis doit tre accompagn e d un projet d arr t ou de d cision de l organe d li b rant destin autoriser le traitement une fois l avis de la CNIL rendu EX Une fois le dossier compl t gt dans le cas d une t l d claration la CNIL adresse imm diatement apr s envoi un accus de r ception lectronique gt dans le cas d une d claration au moyen du formulaire papier cette derni re doit tre adres s e par envoi recommand avec demande d avis de r ception postal la CNIL 8 rue Vivienne CS 30223 75083 Paris Cedex 02 ou d pos aupr s de la CNIL contre re u La CNIL d livre ensuite par voie postale ou lectronique un r c piss de d claration indiquant le num ro sous lequel le traitement d clar est enregistr Pour les proc dures particuli res d autorisation ou d avis la CNIL adresse au d clarant une noti fication de l autorisation ou de l avis qu elle a rendu La plupart des formalit s pr alables peuvent tre effectu es en ligne partir du site web de la CNIL www cnil fr 26 Le
23. les conna tre consulterle site de la CNIL Les fichiers mis en uvre dans le cadre d op rations de vote lectroni ques ex lections des tudiants au sein du Conseil d administration d une universit cf recommandation n 03 036 du ler juillet 2003 sur la s curit des syst mes de vote lectronique Tout autre traitement automatis d s lors qu il n est pas conforme aux normes labor es par la Commission notamment gt suivi de cohortes d tudiants gt annuaire des anciens l ves gt gestion des stagiaires gt Junior entreprises gt vid osurveillance gt sites internet sauf ceux qui rel vent des dispenses gt autres 29 Par contre les demandes d autorisation ou d avis la CNIL subsistent 30 En mati re de donn es de sant rappelons que celles ci sont couvertes par le secret m dical et d s lors seuls les professionnels de sant peuvent y acc der En aucun cas le responsable d tablissement ni m me le Correspondant Informatique et Libert s ne sont habilit s obtenir communication de ces donn es CPU AMUE CNIL 2007 63 Annexes E 64 Traitements statistiques tudes recherches D clarations cHoetier Finalit des traitements D claration simplifi e gt Enqu tes par sondage int ressant des personnes physiques effec tu es par l tat et les tablissements publics caract re administratif en r f rence la norme simplifi e n 19
24. s se reporter la fiche n 4 du guide Afin de promouvoir cette nouvelle fonction de Correspondant Informatique et Libert s CIL au sein de l enseignement sup rieur la CNIL et la CPU ont sign en 2007 une convention de partenariat A Le r le de conseil et d information De m me la CNIL conseille et renseigne les personnes et les organismes qui envisagent de mettre en uvre des fichiers informatiques que ce soit au t l phone par courrier ou par ses publications Elle s est dot e d un Service d Orientation et de Renseignement du Public SORP afin d apporter une r ponse rapide aux requ tes des particuliers comme des profession nels relative l application de la loi Lorsque de nouvelles technologies apparaissent la CNIL proc de des tudes labore en concertation avec les milieux concern s des recommandations le cas ch ant propose des mesures l gislatives Ces activit s peuvent galement tre men es avec ses homologues en particulier europ ens 6 Les textes cit s en r f rence la loi informatique et Libert s normes simplifi es applicables d lib rations et guides sont disponi bles le site web de la CNIL http Awww cnil fr CPU AMUE CNIL 2007 15 Fiches th matiques A 16 EX Linstruction des plaintes La CNIL re oit les plaintes concernant le non respect de la loi Selon la nature et l importance des manquements elle proc de au r glement des plaintes soit par voie
25. sp ciale de quiconque que l acc s en soit permanent et inconditionnel ou subordonn certaines conditions par exem ple acquittement d un droit d entr e Voir ce propos le jugement du tribunal de grande instance de Paris du 23 octobre 1986 Gazette du Palais du 8 janvier 1987 confirm par l arr t de la cour d appel de Paris du 19 novembre 1986 23 Se reporter la fiche 17 sur la biom trie CPU AMUE CNIL 2007 55 Fiches pratiques g LEE Mise en place d une carte tudiante multiservices 56 gt De quoi s agit il La carte multiservices est un outil multi partenaires de l Universit et du CROUS La carte a trois grandes fonctions gt identifier l tudiant par les inscriptions visibles sur la carte nom pr nom photo code d identifiant national tudiant INE identifiant num rique acc s r seau et code APOGEE local chiffre et code barre ainsi que par des informations plus compl tes embarqu es dans une puce reprises du logiciel APOGEE Cette identification permet d offrir une ventuelle base des volutions pour des usages internes acc s sportif vote tudiant et externes acc s aux mus es transports gt permettre un contr le d acc s gr ce la puce qui contient les informations pr c dentes qui ouvrirait droit des contr les d acc s divers biblioth que gt servir de porte monnaie lectronique en assurant les paiements avec authentif
26. tels que par exemple les agendas lectroniques les r pertoires d adresses les sites internet familiaux en acc s restreint Traitement de donn es caract re personnel Constitue un traitement de donn es caract re personnel toute op ration ou tout ensemble d op rations portant sur de telles donn es quel que soit le proc d utilis et notamment la collecte l enregistrement l organisation la conservation l adaptation ou la modification l extraction la consultation l utilisation la communication par transmission diffusion ou toute autre forme de mise disposition le rapprochement ou l interconnexion ainsi que le verrouil lage l effacement ou la destruction Exemples Fichiers de gestion des tudiants et des personnels Annuaire en ligne des anciens dipl m s Espaces num riques de travail MEM Donn e caract re personnel Des donn es sont consid r es comme caract re personnel d s lors qu elles permettent d identifier directement ou indirectement des personnes physiques ex nom n d imma triculation n de t l phone photographie l ments biom triques tels que l empreinte digitale ADN num ro d identification Nationale tudiant INE ensemble d informations permettant de discriminer une personne au sein d une population certains fichiers statistiques tels que par exemple le lieu de r sidence et profession et sexe et age Il peut en effet s agir d informations qui ne s
27. ENT il peut tre d clar sous une forme simplifi e condition que le dispositif ENT respecte le cadre fix par l arr t du 30 novembre 2006 8 Circulaire minist rielle n 2000 033 du 1 mars 2000 9 Cf Annexe 1 Comment d clarer et Fiche 12 du guide sur les Espaces Num riques de Travail CPU AMUE CNIL 2007 25 Fiches pratiques g Utilisation de la photographie d une personne 26 De quoi s agit il L utilisation de la photographie d une personne ou d un groupe de personnes est devenue une pratique courante au sein de l enseignement sup rieur Elle est par exemple appos e sur la carte de l tudiant sur des fiches d inscription des travaux dirig s et ou pratiques sur des articles publi s dans une revue ou un journal d cole ou de laboratoire sur un site internet sur un r pertoire de chercheurs ou encore sur un trombinoscope gt En quoi mes libert s sont elles concern es L image d une personne est consid r e comme un attribut de sa personnalit ou encore comme un l ment de l intimit de sa vie priv e et elle est prot g e au titre du droit au respect de la vie priv e Son utilisation en est d s lors strictement encadr e en effet toute personne dispose sur son image et sur l utilisation qui en est faite d un droit exclusif et peut s opposer sa repro duction et diffusion d s lors qu elle n y a pas pr alablement consenti gt Que faire 1 Recueillir l accor
28. Guide Informatique et Libert s pour l enseignement sup rieur et la recherche DES PRESIDENTS Agence de Mutualisation des Universit s et Etablissemer Gommission Nationale de Hatorimatique et des Libert s D UNIVERSITE E AS DN Avant propos L volution croissante des technologies de l information et de la communication et de leurs usages exige que chacun de nous s approprie les principes du droit fondamental la protection des donn es person nelles dans ses deux volets droits individuels et obligations C est ce prix que nos soci t s innoveront et se d velopperont dans le respect de la vie priv e et des libert s des personnes La loi Informatique et Libert s du 6 janvier 1978 modifi e par la loi du 6 ao t 2004 d finit les principes respecter lors de la collecte du traite ment et de la conservation des donn es personnelles Elle renforce les droits des personnes sur leurs donn es pr voit une simplification des formalit s administratives d claratives et pr cise les pouvoirs de contr le et de sanction de la CNIL Afin de faciliter l appropriation de ce droit et son application effective au sein des tablissements de l enseignement sup rieur la Conf rence des Pr sidents d Universit CPU et la Commission Nationale de l Infor matique et des Libert s CNIL ont concr tis le 25 janvier 2007 leur par tenariat en signant une convention qui vise notamment promouvoir la nouvel
29. NIL 2007 3 D clarer aupr s de la CNIL Si le traitement est susceptible de faire appara tre les origines suppos es ou r elles des tudiants ou leur confession de fa on directement ou indirectement nominative il est n cessaire de proc der une d claration de ce traitement la CNIL Se reporter l annexe 1 Mode d emploi comment d clarer qui pr cise les cas dans lesquels ces traitements rel vent du r gime de la d claration normale ou de la demande d autorisation Si les enqu tes sont anonymes celles ci ne sont pas soumises la loi Informatique et Libert s et n ont pas tre d clar es la CNIL En pratique Pour en savoir plus consulter le rapport du 15 mai 2007 de la CNIL Mesure de la diversit et protection des donn es personnelles ainsi que Les dix recommanda tions de la CNIL CPU AMUE CNIL 2007 31 Fiches pratiques g LE Mise disposition ou acc s des ressources 32 num riques via des dispositifs de f d ration d identit s A noter Cette fiche s adresse plus particuli rement au service informatique de l universit ou de l tablissement mp De quoi s agit il Certains tablissements de l enseignement sup rieur ou universit s ont choisi d utiliser des m canismes dits de f d ration d identit s afin d assurer aupr s de leurs tudiants cher cheurs et personnels la mise disposition ou l acc s simplifi
30. ONT membre du Comit e Roger NEGARET responsable de la s curit des syst mes d information universit de Rennes 1 39 Au titre de sa contribution au document Politique type de gestion des journaux informatiques port par le CRU mentionn a la fiche n 13 CPU AMUE CNIL 2007 Agence de mutualisation des universit s et tablissements Amue e Simon LARGER charg de domaine finances d partement Services Commission Nationale de l Informatique et des Libert s CNIL e Marie GEORGES conseiller du pr sident pour la prospective et le d veloppement e Leslie BASSE juriste aupr s de la direction des affaires juridiques internationales et de l expertise Conf rence des Pr sidents d Universit CPU e Florence BENOIT ROHMER pr sidente de la commission du r glement et de la l gislation et de l universit Robert Schuman Strasbourg 3 e Claire SOURBES charg e de mission aupr s de la commission du r glement et de la l gislation CPU AMUE CNIL 2007 75
31. aissance faciale il devrait alors faire l objet d une demande d autorisation la CNIL dans la mesure o il fait appel une technique biom trique Exemple d information diffuser tablissement sous vid osurveillance Nous vous informons que cet tablissement est plac sous vid osurveillance pour des raisons de indiquer les finalit s poursuivies Pour tout renseignement s adresser au service ou identifier la personne ou le service comp tent aupr s duquel vous pouvez galement exercer votre droit d acc s conform ment la loi Informatique et Libert s 22 Pour savoir si le dispositif est consid r comme install sur la voie publique et donc soumis autorisation pr fectorale l arr t pris le cas ch ant par le recteur chancelier des universit s qui d limite les enceintes et locaux affect s titre principal un tablisse ment peut tre pris en consid ration Par ailleurs pour savoir s il est install dans un lieu ouvert au public il appartiendra chaque tablissement de le d terminer en fonction des d limitations physiques ou mat rielles cl tures contr les d acc s Sur ce point pr cis la circulaire du 22 octobre 1996 relative l application de l article 10 de la loi n 95 73 du 21 janvier 1995 d orientation et de programmation relative la s curit indique que selon la jurisprudence un lieu public est un lieu accessible tous sans auto risation
32. amiable soit par la mise en uvre de son pouvoir de sanction soit en d non ant les faits au procureur EX Le pouvoir de v rification sur place La CNIL dispose d un pouvoir de contr le qui permet ses membres et ses agents d acc der tous les locaux professionnels Sur place ses membres et agents peuvent demander commu nication de tout document n cessaire et en prendre copie recueillir tout renseignement utile et acc der aux programmes informatiques et aux donn es EX Le pouvoir de sanction Au titre de son pouvoir de sanction la CNIL peut gt adresser des avertissements et des mises en demeure de faire cesser un manquement la loi gt prononcer une injonction de cesser le traitement ou un retrait de l autorisation et en cas d urgence d cider l interruption du traitement ou le verrouillage des donn es gt prononcer des sanctions p cuniaires pouvant aller jusqu 300 000 en cas de r it ration gt d noncer au parquet les infractions la loi dont elle a connaissance EX La CNIL dans le monde De mani re g n rale la CNIL peut tre associ e la demande du premier ministre aux n go ciations internationales dans son domaine de comp tence Elle exerce par ailleurs des missions particuli res li es la mise en uvre d instruments euro p ens et d veloppe une politique de coop ration en direction des pays non encore dot s d une l gislation Au niveau europ en L Union europ e
33. ant Informatique et Libert s e Pour le fournisseur de ressources savoir l entit qui va mettre disposition des ressources num riques ex diteur priv de logiciels tablissement public g rant une plate forme d enseignement distance diteur priv de p riodiques num riques les d marches accomplir aupr s de la CNIL seront fonction de leur statut juridique o s il s agit d un organisme public le traitement sera soumis demande d avis aupr s de la CNIL t l service de l administration lectronique CPU AMUE CNIL 2007 o si l organisme est une personne de droit priv le traitement sera soumis un r gime de d claration normale 2 Information pr alable des utilisateurs Les utilisateurs tudiants chercheurs et personnels doivent tre pr alablement inform s des informations susceptibles d tre chang es via la f d ration d identit s Cette information pr alable doit tre assur e lors de la collecte des donn es ex lors de l inscription des tudiants ou d faut avant de proc der la transmission des informations L utilisateur doit galement tre inform de l existence de ses droits au regard de la loi Informatique et Libert s au moment o il acc de la ressource num rique ex mention Informatique et Libert s sur la page d accueil du site web de l diteur A noter Au cas o le destinataire des donn es caract re personnel savoir l
34. aract re personnel sans qu aient t respect es les formalit s pr alables leur mise en uvre pr vues par la loi est puni de cing ans d emprisonnement et de 300 000 d amende 25 Le r gime d claratif des principaux fichiers mis en uvre par les tablissements de l enseignement sup rieur est indiqu dans le tableau r capitulatif figurant ci apr s CPU AMUE CNIL 2007 61 Annexes Ei 62 4 1 La proc dure d autorisation concerne art 25 gt les traitements qui comportent des donn es dites sensibles f gt les traitements qui comportent des donn es relatives aux infractions ou condamnations gt les traitements qui proc dent l interconnexion de fichiers dont les finalit s correspondent des int r ts publics diff rents gt les traitements de donn es comportant des appr ciations sur les difficult s sociales des personnes Exemple d lib ration n 2005 233 du 18 octobre 2005 portant autorisation unique de mise en uvre par le centre national des uvres universitaires et scolaires CROUS d un traitement automatis de donn es caract re personnel ayant pour finalit la gestion des aides ponctuelles allou es aux tudiants dans le cadre de l action sociale et le suivi statistique de l activit de services sociaux des centres r gionaux des uvres universitaires et scolaires gt les traitements qui utilisent des donn es biom triques Le traitement devra respecter en tous points
35. art des correspondants ont une formation informatique mais ce n est pas une obliga tion l gale L important est qu il puisse si n cessaire b n ficier d une formation tant technique que juridique qui soit adapt e la taille de l tablissement S il n est pas pr vu d agr ment par la CNIL celle ci doit n anmoins enregistrer la d signation et notifier celle ci au responsable du traitement Quel que soit le choix fait l essentiel est qu il y ait une tr s bonne collaboration entre le CIL le RSSI Responsable de la S curit des Syst mes d Information le CRI Centre de Ressources Informatiques et le service juridique de l tablissement Enfin pour s acquitter de sa t che le Correspondant Informatique et Libert s doit disposer de la libert d action et des moyens qui lui permettront de recommander des solutions organisa tionnelles ou techniques adapt es Il doit pouvoir exercer pleinement ses missions en dehors de toute pression et jouer son r le aupr s du responsable du traitement gt Qui peut d signer un Correspondant Informatique et Libert s Il appartient au responsable du traitement d exercer un choix Ainsi dans le secteur public les collectivit s territoriales les administrations de l Etat les tablis sements publics etc peuvent faire le choix de d signer un correspondant Il en va de m me des PME des entreprises multinationales des associations La d signation d un correspondant est facultativ
36. autorit administrative ind pendante charg e d assurer le respect des dispositions de la loi informatique et Libert s a cet gard deux missions principales gt informer les personnes concern es de leurs droits et les responsables de traitements de leurs obligations gt veiller ce que les traitements de donn es caract re personnel soient mis en uvre conform ment aux dispositions de la loi Informatique et Libert s Le contr le de la conformit la loi des projets de fichiers et traitements C est au titre de ses missions que la CNIL v rifie lors de l instruction des d clarations de fichiers qui lui sont adress es que les caract ristiques des traitements concern s sont bien conformes la loi et autorise la mise en uvre des traitements qui aux termes de la loi n cessitent une attention particuli re du fait de leur contenu de leur finalit ou de leur structure C est galement ce titre que la Commission peut simplifier les formalit s d claratives voire exon rer de d claration certains fichiers Afin de pr senter de mani re synth tique les diff rentes formalit s respecter en la mati re le Guide fait figurer en annexe 1 un mode d emploi d taillant les proc dures existantes La modification de la loi introduite en 2004 a galement pr vu une autre source de simplifica tion des formalit s pr alables d s lors qu un organisme a d sign un Correspondant Informatique et Libert
37. c code de d verrouillage et de pr identifier les appels a caract re personnel gt dans le cas o l employeur constate une utilisation manifestement anormale au regard de l utilisation moyenne constat e des services de t l phonie au sein de l tablissement un relev justificatif complet des num ros de t l phone appel s ou des services de t l phonie utilis s peut tre tabli de fa on contradictoire avec l employ concern 2 D clarer aupr s de la CNIL Si le dispositif rentre dans le cadre de la norme simplifi e n 47 adopt e par la CNIL relative l utilisation de services de t l phonie fixe et mobile sur les lieux de travail il peut tre d clar en ligne sous une forme simplifi e En cas de d signation d un CIL le responsable du traite ment est dispens de d claration aupr s de la CNIL A noter L utilisation de t l phones mobiles est galement concern e Attention Le cas particulier des salari s prot g s En aucun cas des informations concernant leurs activit s syndicales ou de repr sen tation du personnel ne peuvent tre collect es ce titre une ligne d connect e de l autocommutateur devra tre mise leur disposition CPU AMUE CNIL 2007 37 Fiches pratiques g LE Mise en place des espaces num riques de 38 travail ENT gt De quoi s agit il Prolongements num riques de l universit les Espaces Num riques de Travail ENT sont des si
38. d des personnes photographi es La prise de photographies et leur diffusion doivent s effectuer dans le respect des r gles rela tives au droit l image Toute personne pouvant s opposer la reproduction de son image sur quelque support que ce soit diffusion de son image sur un intranet sur internet etc la prise d une photographie et sa diffusion doivent faire l objet d un accord crit de la personne concern e si elle est majeure ou de ses repr sentants l gaux s il s agit d un tudiant mineur Il appartient donc au responsable d obtenir toutes les autorisations utiles pr alablement l utilisation de photographies Pour autant lorsque la capture de l image d une personne a t accomplie au vu et au su de l int ress e sans qu elle s y soit oppos e alors qu elle tait en mesure de le faire son consen tement est pr sum 2 D clarer aupr s de la CNIL D s lors qu elle se rapporte a une personne identifi e ou identifiable l image d une personne est une donn e caract re personnel Le traitement informatique de cette donn e num risa tion diffusion partir d un site web etc doit s effectuer dans le respect de la loi Informatique et Libert s et donc ainsi tre d clar aupr s de la CNIL sauf en cas de d signation d un Correspondant Informatique et Libert s CPU AMUE CNIL 2007 Enqu tes statistiques portant sur le devenir professionnel et le suivi de cohortes d tudiants
39. dical CPU AMUE CNIL 2007 53 Fiches pratiques g 54 3 Lobligation d information Il ne doit pas y avoir de surveillance l insu des personnes concern es savoir des enseignants des tudiants des personnels et des visiteurs L existence de syst me de vid osurveillance doit tre port e la connaissance de toute personne film e ou susceptible de l tre de fa on claire et permanente par exemple au moyen de panon ceaux appos s l entr e des locaux exemple fourni ci dessous Les instances repr sentatives du personnel doivent tre consult es avant toute mise en uvre d un syst me de vid osurveillance et pr cis ment inform es des fonctionnalit s envisag es 4 L laboration d un document de r f rence Il est recommand d tablir un document identifiant clairement les objectifs et les modalit s d utilisation du syst me de vid osurveillance les personnes habilit es et form es visionner les images la dur e maximale de conservation et les modalit s d exercice du droit d acc s aux images 5 Une visualisation des images restreinte aux seuls destinataires habilit s Les images enregistr es ne peuvent tre visionn es que par les seules personnes d ment habi lit es cet effet dans le cadre de leurs attributions respectives par exemple le responsable de la s curit de l organisme Ces personnes devraient tre particuli rement form es et avoir t sensibilis es aux r g
40. disponibles sur le site de la CNIL e tout l ment justifiant la mise en place d un dispositif biom trique e toute documentation technique relative au dispositif utilis 19 Elle repose plus pr cis ment sur le traitement du gabarit de la caract ristique physique concern e Ce gabarit constitue un iden tifiant unique calcul sur la base des points propres la caract ristique physique utilis e Ce n est donc pas une image photogra phie de la donn e qui est trait e mais sa retranscription au format num rique grace a un algorithme formule math matique CPU AMUE CNIL 2007 51 Fiches pratiques g 52 2 La proc dure d engagement de conformit a une autorisation unique adopt e par la CNIL pour les dispositifs biom triques reposant sur gt le contour de la main pour contr ler l acc s et la gestion des horaires et de la restauration sur les lieux de travail gt l empreinte digitale exclusivement enregistr e sur un support individuel carte puce cl USB d tenu par la personne concern e pour contr ler l acc s aux locaux professionnels En pratique Comment d clarer Si le traitement est strictement conforme l une de ces autorisations uniques une simple d claration de conformit suffit Elle peut tre effectu e en ligne partir du site web de la CNIL Cette formalit est requise y compris si l tablissement a d si gn un Correspondant Informatique et Libert s
41. don n es vous concernant Exemple de note d information utiliser sur le dossier d inscription des tudiants Les informations recueillies par pr ciser ici l identit du responsable du traite ment en l esp ce l universit XX ou l tablissement XX font l objet d un traite ment informatique destin assurer la gestion administrative et p dagogique des tudiants tablir des statistiques par le Minist re de l ducation nationale et le rectorat et permettre des enqu tes sur les conditions de vie des tudiants par l Observatoire de la vie tudiante Les organismes de s curit sociale et les mutuelles tudiantes ainsi que le CROUS sont galement destinataires d informations n cessaires accomplissement de leurs missions Conform ment la loi Informatique et Libert s vous b n ficiez d un droit d acc s et de rectifica tion aux informations qui vous concernent Si vous souhaitez exercer ce droit et obtenir communication des informations vous concernant veuillez vous adresser ee Pr ciser le service charg du droit d acc s en principe il doit pouvoir s exercer aupr s du responsable d tablissement dans lequel l tudiant est inscrit 31 ne pas faire figurer si le traitement pr sente un caract re obligatoire CPU AMUE CNIL 2007 tre affich e Mod le de note d information susceptible d 32 A ne pas faire figurer si le traitement pr sen
42. e et traduit l engagement du responsable du traitement respecter les dispositions l gales En pratique Pour toute information compl mentaire sur le correspondant sa d signation et ses missions consulter le dossier Correspondant ou le Guide du Correspondant Informatique et Libert s sur le site internet de la CNIL Vous pouvez galement contacter le service de la CNIL en charge des correspondants CPU AMUE CNIL 2007 19 Fiches th matiques A 2 Fiches pratiques Fichen S Mise en place d un annuaire des dipl m s De quoi s agit il La mise en place par une association d anciens tudiants ou par l tablissement lui m me d un annuaire des dipl m s est une pratique courante gt En quoi mes libert s sont elles concern es La cr ation d un annuaire d anciens dipl m s peut en pratique soulever des difficult s au regard des principes Informatique et Libert s s agissant plus particuli rement des conditions dans lesquelles il a t constitu et des modalit s de sa diffusion papier internet En effet la divulgation sur internet du nom et de l adresse personnelle des anciens tudiants sans qu ils en aient t pr alablement inform s et en mesure de s y opposer peut comporter un risque pour leur vie priv e Ces informations peuvent par exemple tre collect es leur insu notamment des fins de sollicitations commerciales gt Que faire Tout nouveau di
43. e fournisseur de la ressource est tabli en dehors de l Union Europ enne des d marches sp ci fiques existent Pour toute information compl mentaire sur ces questions consulter le dossier International ou le Guide sur les transferts de donn es caract re personnel vers des pays non membre de l Union europ enne sur le site internet de la CNIL CPU AMUE CNIL 2007 35 Fiches pratiques g LE Utilisation du t l phone sur le lieu de travail 36 gt De quoi s agit il Les autocommutateurs sont des standards t l phoniques permettant d orienter l ensemble des appels t l phoniques entrants et sortants Ils enregistrent ainsi les num ros d appels compo s s ou re us par les personnels ainsi que la date heure de d but de fin et la dur e de la communication Ils sont notamment utilis s pour gt g rer les co ts de communication laboration de statistiques sur les dur es moyennes d appel et sur leur r partition g ographique gt permettre le cas ch ant la facturation des appels personnels pass s depuis le poste profes sionnel p En quoi mes libert s sont elles concern es L usage personnel du t l phone est possible condition qu une telle utilisation demeure raison nable et ne soit pas pr judiciable l employeur Il est ainsi l gitime qu un employeur s assure du caract re non abusif de cette utilisation Ce contr le doit toutefois s op rer dans des condi tion
44. e la protection des donn es 12 personnelles Les informations que les universit s et les tablissements de l enseignement sup rieur traitent informatiquement pour remplir leurs missions de service public doivent tre prot g es parce qu elles rel vent de la vie priv e et parce que leur divulgation est susceptible de porter atteinte aux droits et libert s des personnes concern es La loi Informatique et Libert s a d fini les principes respecter lors de la collecte du traite ment et de la conservation de ces donn es La loi pr voit galement un certain nombre de droits pour les personnes dont les donn es personnelles ont t recueillies Le respect par les universit s et les tablissements de l enseignement sup rieur des r gles de protection des donn es caract re personnel est un facteur de transparence et de confiance l gard des personnes tudiants personnels C est aussi un gage de s curit juridique pour les pr sidents d universit et directeurs d tablissement qui responsables des fichiers mis en uvre doivent veiller ce que la finalit de chaque traitement informatique et les ventuelles transmissions d informations soient clairement d finies les dispositifs de s curit informatique pr cis ment d termin s et les mesures d information des usagers appliqu es Le principe de finalit une utilisation encadr e des fichiers Les donn es caract re personnel ne peuvent tre r
45. ecueillies et trait es que pour un usage d termin et l gitime correspondant aux missions de l tablissement responsable du traite ment C est au pr sident d universit ou au directeur d tablissement qu il appartient de fixer la finalit des traitements mis en uvre pour le compte de son universit ou de son tablisse ment et de la faire respecter Tout d tournement de finalit est passible de sanctions p nales Exemple BA Le principe de proportionnalit Seules doivent tre enregistr es les informations pertinentes et n cessaires pour assurer la gestion des services universitaires Exemple CPU AMUE CNIL 2007 BEM Le principe de dur e limit e de conservation des donn es le droit l oubli Les informations ne peuvent tre conserv es de fa on ind finie dans les fichiers informatiques Une dur e de conservation doit tre tablie en fonction de la finalit de chaque fichier Exemples Au del les donn es peuvent tre archiv es sur un support distinct EX Le principe de s curit et de confidentialit Le pr sident d universit ou le directeur d tablissement en tant que responsable du traite ment est astreint a une obligation de s curit il doit faire prendre les mesures n cessaires pour garantir la confidentialit des donn es et viter leur divulgation gt Les donn es contenues dans les fichiers ne peuvent tre consult es que par les services habilit
46. en cat gories potentiellement discriminant non discriminant eles fichiers de gestion fichiers de personnel fichiers d l ves d tudiants les annuaires professionnels et d anciens l ves ne peuvent tre utilis s qu des fins statistiques de suivi des trajectoires et d valuation des politiques de lutte contre les discriminations e des mesures doivent tre prises pour assurer la confidentialit des donn es trait es garan tir l anonymat des r sultats et informer les personnes concern es de la finalit de l tude des conditions de sa r alisation et de leur droit de s opposer au traitement de leurs donn es 1 3 Mesurer la diversit par le biais d enqu tes sur le ressenti des discriminations Ces enqu tes doivent tre bas es sur le volontariat et l auto d claration Les enqu tes anonymes pourraient pour certaines reposer sur la constitution de panels permettant ainsi de suivre les trajectoires des personnes 2 Informer les personnes concern es L information des personnes est essentielle Chaque responsable d tablissement se doit d informer les tudiants de leurs droits au regard de la loi Informatique et Libert s En pratique Le dossier d inscription dans les universit s et les tablissements d enseignement sup rieur doit comporter une mention tr s explicite relatives aux tudes statistiques men es au sein des ces universit s et tablissements CPU AMUE C
47. entiels Les modalit s selon lesquelles les tiers peuvent avoir acc s aux donn es enregistr es sur la carte doivent tre tablies au pr alable pour chacune des finalit s sp cifiques pour lesquels la carte est utilis e Lors de l mission d une carte le porteur devrait tre d ment inform de la mani re d utiliser sa carte ainsi que des mesures prendre en cas de fraude ou de divulga tion non autoris e CPU AMUE CNIL 2007 57 Fiches pratiques g 58 Tenue de listes de contacts pour un colloque scienti fique organis par une Unit Mixte de Recherche De quoi s agit il Une Unit Mixte de Recherche UMR souhaite organiser un colloque scientifique Pour ce faire une proc dure d inscription en ligne et ou hors ligne est pr vue afin d organiser cette mani festation Un fichier comportant des informations personnelles sur les participants a ce colloque est ainsi cr au sein de l UMR gt En quoi mes libert s sont elles concern es Ce cas aborde la question de la d termination du responsable du traitement dans le cadre de la mixit de certaines unit s des universit s La difficult identifier pr cis ment ce responsa ble fait courir un risque de non respect des formalit s par l un et l autre des tablissements ce qui nuirait tant aux tablissements qu au respect des droits des participants d claration exer cice du droits d acc s de rectification et d opposition notammen
48. eptible de porter atteinte la vie priv e des personnes compte tenu des caract ristiques propres au r seau internet qui est par principe un r seau ouvert au public En effet ces informations sont suscep tibles d tre capt es et utilis es par des tiers d s lors qu elles sont diffus es sur le r seau gt Que faire 1 Informer les tudiants de la diffusion sur internet S agissant de la publicit des r sultats d examen admis ajourn sur internet et en l absence de r gles d finissant les modalit s de diffusion des r sultats des examens il est recommand que les tudiants aient t pr alablement inform s d une telle diffusion et mis en mesure de s y opposer Cette information peut par exemple tre pr vue sur le dossier d inscription de l tudiant S agissant de la mise en ligne des notes d examen chaque personne concern e doit disposer d un code d acc s et d un mot de passe acc s restreint pour les obtenir L acc s aux notes qui sont des donn es personnelles est en effet strictement personnel Le plus souvent cet acc s est r alis via le compte ENT de l tudiant 2 D clarer aupr s de la CNIL L acc s aux r sultats d examen et aux notes via internet par le biais d identifiants de connexion doit tre consid r comme un t l service de l administration lectronique Sa mise en uvre est par cons quent soumise avis pr alable de la CNIL Si cet acc s est envisag dans le cadre d un
49. ers concern s et le personnel de l organisme doivent tre inform s de la finalit du traitement du caract re obligatoire ou facultatif du recueil des destinataires des donn es et des modalit s d exercice des droits qui leur sont ouverts au titre de la loi Informatique et Libert s droit d acc s et de rectification mais aussi droit de s opposer sous certaines conditions l utilisation de leurs donn es Cette information doit tre diffus e par exemple au moyen d affiches appos es dans les services recevant du public et port e sur les formulaires tablis par l tablissement ainsi que sur les courriers adress s aux personnes dont les donn es sont collect es En pratique s_ Des mod les de mentions d information sont disponibles en annexe 2 5 2 Les droits d acc s et de rectification Toute personne tudiant personnel peut demander communication de toutes les informa tions la concernant contenues dans un fichier d tenu par l tablissement et a le droit de faire rectifier ou supprimer les informations erron es 5 3 Le droit d opposition Toute personne a le droit de s opposer pour des motifs l gitimes a ce que des donn es la concernant soient enregistr es dans un fichier informatique sauf si celui ci pr sente un carac t re obligatoire Exemple CPU AMUE CNIL 2007 LT R le de la CNIL pour d fendre ces principes La Commission nationale de l informatique et des libert s
50. es de l Union tels que la Principaut d Andorre les les anglo normandes la Croatie Gibraltar l ex R publique yougoslave de Mac doine Monaco et la Suisse De m me elle coop re avec des autorit s non europ ennes tablies sur d autres continents dans des pays tels que le Canada l Argentine l Australie la Nouvelle Z lande et le Burkina Faso dot s d une loi et d une autorit ind pendante de contr le Avec d autres pays la coop ration est plus limit e lorsque ceux ci ont fait le choix d adopter une l gislation applicable au seul secteur public ou certaines activit s du secteur priv USA Cor e du Sud par exemple Etant donn l acc l ration des transferts de donn es sur le plan mondial et le faible nombre de pays dot s d une loi informatique et libert s notamment au Sud 4 5 des pays au monde ne sont pas encore dot s d une telle l gislation l ensemble des CNIL ont lanc un appel en 2005 en faveur d un instrument contraignant de port e mondiale d claration de Montreux Dans l attente d un tel instrument la CNIL apporte son expertise notamment aupr s de pays francophones souhaitant mettre en place une l gislation informatique et libert s et a suscit en 2007 la cr ation d une association des CNIL francophones Une politique analogue est mise en uvre par l autorit espagnole en direction des pays d Am rique latine Enfin lors de la Conf rence internationale de novembre 2006
51. es fins autres que celle d un suivi de cohorte tant toujours possible une attention particuli re doit tre apport e aux mesures prises pour assurer la s curit et la confidentialit de ces traitements et notamment garantir l anonymat des r ponses gt Que faire Les responsables de ces tudes doivent veiller la mise en place des mesures suivantes gt une information pr alable des tudiants relative la mise en place de ce type d tudes au sein de l tablissement doit tre pr vue Celle ci peut par exemple tre r alis e au moment de l inscription de l tudiant gt le questionnaire d enqu te adress aux anciens tudiants doit e rappeler les mentions de la loi Informatique et Libert s celles ci doivent galement figu rer sur la lettre d accompagnement e indiquer qu il reste facultatif et est confidentiel e comporter des questions qui restent pertinentes et adapt es au regard de la finalit de l enqu te gt une fois l enqu te consid r e comme termin e les informations personnelles d tenues par le responsable de l enqu te doivent tre d truites ou archiv es seuls les r sultats statistiques peuvent tre conserv s CPU AMUE CNIL 2007 27 Fiches pratiques g 28 gt un pilotage rigoureux et officiel de cette tude est assur par exemple par le vice pr sident CEVU Conseil des Etudes et de la Vie Universitaire gt les statistiques n cessaires seront r alis
52. ession des h ritiers articles L 815 12 et L 815 15 du code de la s curit sociale Aucun fondement l gislatif n autorise par principe la communication d informations aux particuliers ou des soci t s priv es De fa on g n rale l tablissement ne peut sauf cas des tiers autoris s pr vus par la loi communiquer des tiers des informations nominatives relatives ses personnels et ou ses tudiants que dans la mesure o ces derniers en ont t pr alablement infor m s et ne s y sont pas oppos s En outre il s assurera de la mise jour de sa d claration aupr s de la CNIL car il s agira a priori d un destinataire qui n a pas t indiqu initialement dans le dossier de d claration Une notification doit donc tre adress e gt soit au Correspondant la protection des donn es de l tablissement afin qu il proc de la mise jour de son registre des traitements gt soit la CNIL CPU AMUE CNIL 2007 49 Fiches pratiques g 50 CPU AMUE CNIL 2007 ATEN re Utilisation de la biom trie gt De quoi s agit il Cette technique consiste appliquer des traitements informatiques aux caract ristiques physiques contours ou forme de la main ou du visage dessins de l iris empreinte digitale ou palmaire etc des personnes Elle est principalement utilis e pour renforcer la s curit des acc s des locaux gt En quoi mes libert s sont elles concern es
53. et professionnel ou de non respect des dispositions pr cit es CPU AMUE CNIL 2007 67 LEE TE Mod le de projet d acte r glementaire 68 En cas de demande d avis aupr s de la CNIL ex pour la mise en place d un t l service de l administration lectronique il convient de joindre au dossier de formalit s d claratives un projet d acte r glementaire portant cr ation du traitement Il doit tre adapt et compl t en fonction des caract ristiques du traitement POT AE saine mnt 3 relatif l informatisation de pr ciser le service Vu la loi n 78 17 du 6 janvier 1978 relative l informatique aux fichiers et aux libert s modi fi e notamment ses articles 27 et 29 Vu l avis de la Commission Nationale de l Informatique et des Libert s en date du xxx Arr te ou d cide Article 1 il est cr par un traitement automatis de donn es caract re personnel d nomm dont l objet est de pr ciser la finalit Article 2 les cat gories de donn es caract re personnel enregistr es sont les suivantes Article 3 les destinataires ou cat gories de destinataires habilit s recevoir communication de ces donn es sont raison de leurs attributions respectives Article 4 le droit d acc s et de rectification pr vu par les articles 39 et suivants de la loi n 78
54. ffichage dans les locaux diffusion sur le site internet de l organisme publica tion dans un journal sp cialis d annonces l gales dans la presse locale L avis de la CNIL devra galement tre publi CPU AMUE CNIL 2007 Les r f rences l gislatives et r glementaires Textes internationaux et europ ens e Convention du Conseil de l Europe du 28 janvier 1981 pour la protection des personnes l gard du traitement automatis des donn es l gard du traitement automatis des donn es caract re personnel e Convention europ enne de sauvegarde des Droits de l Homme et des Libert s fondamen tales de 1950 e Directive 95 46 CE du Parlement europ en et du conseil du 24 octobre 1995 relative la protection des personnes physiques l gard du traitement des donn es caract re person nel et a la libre circulation de ces donn es e Directive 2002 58 CE du Parlement europ en et du Conseil du 12 juillet 2002 concernant le traitement des donn es a caract re personnel et la protection des la vie priv e dans le secteur des t l communications Textes en droit frangais e Loi n 78 17 du 6 janvier 1978 modifi e relative l informatique aux fichiers et aux libert s e D cret n 2005 1309 du 20 octobre 2005 modifi pris pour l application de la loi n 78 17 du 6 janvier 1978 relative l informatique aux fichiers et aux libert s e Loi n 78 735 du 17 juillet 1978 modifi e portant diverses mesu
55. gt De quoi s agit il La mise en place des indicateurs de performances dans le cadre de la LOLF et la n cessit d adapter au mieux l offre de formation contribuent au d veloppement d enqu tes de suivi de cohorte d tudiants En effet suivre le parcours des tudiants dans le cadre d un suivi de cohorte est l occasion d observer dans la dur e le devenir des dipl m s et de mieux comprendre leur orientation Le plus souvent les informations caract re personnel n cessaires la r alisation de ce suivi seront extraites de la base de gestion des tudiants et peuvent tre compl t es par des enqu tes aupr s d tudiants ex conna tre pour chaque dipl m sortant de l Universit pour entrer sur le march du travail son devenir professionnel 18 mois et 3 ans apr s l obtention du dipl me Les informations recueillies sont ensuite utilis es et analys es dans un but statistique Dans la plupart des cas ces tudes sont men es par les Observatoires de la Vie tudiante struc tures charg es au sein des universit s d laborer des outils d analyse et d aide la d cision gt En quoi mes libert s sont elles concern es Si la l gitimit de ce type d tudes ne saurait tre remise en question elles doivent cependant tre r alis es dans le respect des droits des personnes information pr alable droit d acc s de rectification et d opposition En outre le risque d une exploitation des donn es d
56. harger des logiciels de se connecter un forum ou d utiliser le chat d acc der une bo te aux lettres personnelle par internet compte tenu des risques de virus 2 Informer les personnes Les modalit s d un tel contr le de l usage d internet doivent faire l objet d une consultation des instances repr sentatives du personnel et d une information des utilisateurs y compris lorsque le contr le est d pourvu d un caract re directement nominatif 3 D clarer aupr s de la CNIL Un contr le a posteriori des donn es de connexion internet restitu de fa on globale par exemple au niveau de l organisme ou d un service d termin devrait dans la plupart des cas tre suffisant sans qu il soit n cessaire de proc der un contr le individualis des sites visit s par un employ d termin Toutefois si l tablissement met en place un dispositif de contr le individuel des employ s destin produire poste par poste un relev des dur es de connexion ou des sites visit s le traitement automatis de donn es caract re personnel ainsi mis en uvre doit tre d clar la CNIL sauf d signation d un Correspondant Informatique et Libert s La dur e pendant laquelle les relev s ainsi tablis sont conserv s doit tre pr cis e Une dur e de conservation de l ordre de six mois devrait tre suffisante dans la plupart des cas pour dissuader tout usage abusif d internet Le dossier de d claration doit
57. ibilit de reconstituer une biographie virtuelle des personnes utilisation par des employeurs par exemple dans le cadre d une embauche Exemple La CNIL a ainsi veill ce que certaines sanctions disciplinaires du minist re de l ducation nationale ne soient accessibles qu aux seules personnes qui y sont habi lit es et non plus diffus es partir des sites web des minist res concern s auxquels chacun peut avoir acc s gt Que faire La mise en ligne d un site web que celle ci soit effectu e dans un cadre priv ou profession nel doit s effectuer dans le respect d un certain nombre de r gles Un site web ne doit pas tre consid r comme une zone de non droit Ainsi par exemple la diffusion de propos diffamatoires d injures ou propos racistes sur un site peut tre p nalement sanctionn e Des sanctions disciplinaires pourraient galement tre prononc es l encontre d un tudiant qui aurait tenu sur son blog des propos calomnieux ou injurieux l gard du corps enseignant et administratif de son tablissement Enfin d s lors qu un site web diffuse ou collecte des donn es caract re personnel celui ci est soumis au respect des dispositions de la loi Informatique et Libert s CPU AMUE CNIL 2007 En pratique Les sites web personnels blog gt Ces sites n ont pas a tre d clar s aupr s de la CNIL dispense adopt e par la CNIL en 2005 Attention La
58. ication du droit et du tarif d acc s aux Restaurants Universitaires Les deux premi res applications sont g r es par l Universit et la troisi me est une demande du CROUS dans le cadre d une d marche nationale Les donn es visuelles sont tr s limit es mais suffisantes une reconnaissance du porteur Les donn es num riques embarqu es ne sont lisibles qu partir de lecteurs sp cifiques services de la scolarit et restaurants universitaires dont l utilisation n cessite des autorisations pr cises identifiant et mot de passe d livr s par les responsables de la mise en place de la carte En quoi mes libert s sont elles concern es Une carte tudiant multiservices contient de nombreuses informations destin es des entit s externes l tablissement et est susceptible d exiger des interconnexions entre syst mes Dans ce contexte il est important de limiter la diffusion des informations aux seules entit s qui en ont besoin dans leur relation avec les tudiants gt Que faire Au pr alable il existe un certain nombre de questions techniques se poser afin notamment d identifier les formalit s accomplir gt Quelle est l architecture technique du projet et plus particuli rement quelles sont les flux d informations entre les diff rents intervenants lors de la cr ation du compte et de son utili sation par les diff rents services gt Le dispositif suppose t il l interconnexion de fichiers exi
59. if fondant ce droit de communication ainsi que les cat gories d informations sollicit es L tablissement saisi de la requ te doit s assurer de sa conformit aux textes invoqu s et peut toujours en cas de doute interroger la CNIL 2 Quels sont les tiers autoris s obtenir ponctuellement des informa tions personnelles d tenues par les tablissements 2 1 L administration fiscale gt Le Tr sor public direction g n rale de la comptabilit publique uniquement dans les condi tions fix es par les articles L 81 L 95 du Livre des Proc dures fiscales pour le recouvrement de cr ances fiscales ou des amendes et condamnations p cuniaires gt La direction g n rale des imp ts ou la direction g n rale des douanes en vue de l tablissement de l assiette du contr le du recouvrement des imp ts articles L 81 L 95 du Livre des proc dures fiscales CPU AMUE CNIL 2007 2 2 Les organismes sociaux gt Les organismes d biteurs de prestations familiales ou en charge du versement du RMI dans les conditions pr vues par l article L 583 3 du code de la s curit sociale gt Les organismes d biteurs de prestations familiales ou les huissiers de justice au titre de leur mission de recouvrement des cr ances alimentaires impay es article 7 de la loi 73 5 du 2 janvier 1973 2 3 Les administrations de la justice de la police et de la gendarmerie gt Les magistrats dans le cadre des dispositions des code
60. is s par l employeur des fins de contr le de l activit de ses personnels CPU AMUE CNIL 2007 41 Fiches pratiques g 42 gt Obligations l acc s aux donn es enregistr es par les employ s dont les correspondances personnelles ne peut tre justifi que dans le cas d un dysfonctionnement important obli gation de confidentialit rappeler dans leur contrat et dans la charte d utilisation des ressources informatiques Respect de la dur e de conservation des donn es indiqu e dans le dossier de d claration CNIL ou dans le registre du CIL en l esp ce une dur e de 6 mois 1 an para t raisonnable et suffisante Les usagers doivent tre inform s des pr rogatives des administrateurs du r seau 4 D clarer la CNIL La mise en place d un contr le de la messagerie nombre de mails entrants et sortants par employ identification de l metteur et des destinataires des envois de mails taille des fichiers transmis en pi ces jointes outil d archivage des messages chang s constitue un traitement de donn es caract re personnel et doit par cons quence tre d clar la CNIL sauf en cas de d signation d un CIL A noter Acc s aux donn es informatiques en cas d absence d un employ L obligation de loyaut impose l employ absent de son poste de travail de com muniquer l employeur qui en fait la demande tout document n cessaire la pour suite de l activit de l tablisseme
61. la mesure o ils ont fait l objet d une d claration par le Minist re de l ducation nationale ex applica tion APOGEE pour la gestion du fichier des tudiants application GESUP pour la gestion des personnels des enseignants chercheurs BEA La d claration normale Le r gime de droit commun est la d claration normale lorsque le fichier ne rel ve pas d une proc dure particuli re art 22 de la loi Informatique et Libert s Le traitement peut tre mis en uvre d s r ception du r c piss d livr par la CNIL Le r c piss atteste de l accomplissement des formalit s de d claration mais n exon re pas le responsable du traitement des autres obligations pr vues par la loi respect de la finalit du fichier s curit et confidentialit respect des droits des personnes BEM La d claration simplifi e Certains des fichiers des tablissements de l enseignement sup rieur et de la recherche peuvent faire l objet de d clarations simplifi es EX Les formalit s particuli res Certains traitements des tablissements d enseignement peuvent relever d un r gime d autorisation ou de demande d avis I s agit de r gimes plus protecteurs qui s appliquent aux fichiers consid r s comme sensibles ou comportant des risques pour la vie priv e ou les libert s 24 Article 226 16 du code p nal Le fait y compris par n gligence de proc der ou de faire proc der des traitements de donn es c
62. lace en 2003 par le Minist re de la jeunesse de l ducation nationale et de la recherche d un traitement d informations individuelles d nomm Syst me d Information sur le Suivi de l tudiant SISE qui inclut notamment la nationa lit Cette donn e donne lieu la production de tableaux statistiques anonymes permettant de conna tre la r partition des effec tifs des tudiants selon leur nationalit CPU AMUE CNIL 2007 29 Fiches pratiques g peut constituer un indicateur int ressant sur le plan statistique d s lors que les conditions suivantes sont r unies gt l analyse de ce seul crit re ne saurait tre suffisante pour appr cier la discrimination il convient de proc der une analyse r ellement objective multi crit res des parcours o des trajec toires de vie prenant en compte l ensemble des autres facteurs discriminants ex sexe ge lieu de r sidence cat gorie socio professionnelle ou susceptibles d expliquer la diff rence de parcours ex dipl mes comp tences anciennet et exp rience professionnelle gt le recours au pr nom et au nom de famille peut constituer un rep re pour tudier les trajec toires de populations issues de l immigration quand il n existe pas d autre source disponible gt de telles tudes doivent tre conduites selon une m thodologie rigoureuse el analyse des noms et des pr noms doit seulement permettre un classement de ces donn es
63. le fonction de Correspondant Informatique et Libert s CIL C est dans ce cadre que ce guide pratique a t r dig Notre souhait est qu il puisse apporter une r ponse concr te a vos questions lors par exemple de la mise en place au sein de vos tablissements d un annuaire des anciens dipl m s ou d un espace num rique de travail CPU AMUE CNIL 2007 Nous esp rons que ce guide permettra ainsi de contribuer au respect et a l application de la loi et la diffusion de la culture informatique et libert s au sein de vos tablissements De m me vous pourrez trouver une aide pr cieuse aupr s du correspondant informatique et libert s de votre tablissement ou vous rendre sur le site de la CNIL a partir duquel vous pourrez vous abonner sa lettre d information www cnil fr ou consulter la rubrique des actualit s Bien videmment ce guide ne comporte que quelques exemples rencon tr s par les Correspondants Informatiques et Libert s nouvellement d sign s dans les tablissements Mais nous pensons que par vos remarques ventuelles son contenu ne pourra qu tre enrichi La r alisation de ce guide a t rendue possible gr ce un travail d quipe entre des repr sentants de la CNIL de l Amue du CRU de la CPU et de CIL universitaires Jean Pierre FINANCE Michel LUSSAULT Alex T RK Pr sident Pr sident Pr sident de la CPU de l Amue de la CNIL Le guide est mis en ligne sur les sites de la CPU w
64. le lors de l inscription dans l tablissement 46 CPU AMUE CNIL 2007 Les tats produits et les documents dit s ne peuvent donc porter mention de ce num ro que dans le cadre des op rations pr cit es Cette r gle s applique m me dans le cas de logiciels int gr s de gestion et de paie qui doivent tre param tr s pour limiter l utilisation du num ro de s curit sociale aux seules op rations pr c demment d crites En particulier le num ro de s curit sociale ne fait pas partie de la liste des informations qui doivent figurer dans le registre unique du personnel fix e par les articles L 620 3 et R 620 3 du code du travail et ne doit donc pas tre enregistr dans ce cadre Le num ro de s curit sociale d un employ ne peut donc pas tre utilis comme num ro de matricule unique pour l identifier dans tous les fichiers de gestion des ressources humaines de son entreprise ou de son administration En dehors des cas vis s ci dessus l utilisation du num ro de s curit sociale ne peut tre auto ris e que dans le cadre d un d cret en Conseil d tat ou arr t pris apr s avis de la CNIL CPU AMUE CNIL 2007 47 Fiches pratiques g Fiche Communication des tiers autoris s 48 d informations relatives aux personnels et aux tudiants gt De quoi s agit il la loi permet des autorit s publiques de se faire communiquer dans le cadre de leurs missions et sous certaines co
65. le pr sident de la CNIL a propos ses coll gues une initiative dite de Londres Il s agit de faire face au double d fi actuel qui fragilise et menace le droit la vie priv e et la protection des donn es qui est d une part l acc l ration et la mondialisation des nouvelles technologies et d autre part la vague norma tive li e aux nouvelles l gislations de lutte antiterroriste Le programme d activit s communes adopt vise le renforcement des capacit s d expertise de prospective et d intervention dans le domaine des nouvelles technologies l valuation des missions et pouvoirs en particulier en mati re d investigation l intensification de la sensibilisation des acteurs notamment des jeunes et des lus nationaux et locaux la coordination de la communication 7 http ec europa eu justice_home fsj privacy index_fr htm CPU AMUE CNIL 2007 17 Fiches th matiques A Fiche nea Correspondant Informatique et Libert s 18 Institu l occasion de la refonte de la loi Informatique et Libert s le Correspondant Informatique et Libert s est un acteur et un relais incontournable de la culture Informatique et Libert s gt Qu est ce que le Correspondant Informatique et Libert s Le Correspondant Informatique et Libert s CIL a vocation tre un interlocuteur sp cialis en mati re de protection de donn es caract re personnel tant pour le pr sident d universit o directeur d tabli
66. les encadrant la mise en uvre d un syst me de vid osurveillance 6 Une dur e de conservation des images limit e Sauf enqu te ou information judiciaire la dur e de conservation des images enregistr es l aide d un dispositif de vid osurveillance ne devrait pas exc der quelques jours et les enregis trements doivent tre d truits par la suite Cette dur e ne peut en tout tat de cause s tendre au dela d un mois 7 La n cessit d accomplir certaines formalit s pr alables Un syst me de vid osurveillance num rique mis en place dans les enceintes et locaux affect s titre principal l tablissement ne peut tre install que s il a pr alablement fait l objet d une d claration aupr s de la CNIL Celle ci pr cisera notamment les justifications particuli res qui ont conduit l installation d un dispositif de vid osurveillance Le traitement est toutefois dispens de d claration en cas de d signation d un Correspondant Informatique et Libert s CPU AMUE CNIL 2007 Attention L installation d un syst me de vid osurveillance sur la voie publique ou dans un lieu ouvert au public est subordonn e l obtention d une autorisation pr fectorale Exemple Le syst me est implant sur la voie publique pour filmer les abords de l universit ou les parties du domaine universitaire qui sont ouvertes au public Attention Si le syst me pr vu devait s accompagner d un dispositif de reconn
67. matique et Libert s Ainsi par exemple gt lors de la collecte de donn es caract re personnel ex abonnement la lettre d information les personnes aupr s desquelles sont recueillies les informations doivent tre inform es de la finalit de cette collecte des destinataires ou cat gories de destinataires des donn es et de l existence d un droit d acc s de rectification et d opposition se reporter l annexe 1 pour un mod le de mention d information gt la diffusion de la photographie des tudiants et des personnels sur ce site est subordonn e au recueil du consentement des personnes concern es 18 Cf d lib ration n 2005 285 adopt e par la CNIL le 22 novembre 2005 portant recommandation sur la mise en uvre par des parti culiers de sites web diffusant ou collectant des donn es caract re personnel dans le cadre d une activit exclusivement personnelle CPU AMUE CNIL 2007 45 Fiches pratiques El LE Enregistrement et utilisation du num ro de s curit sociale mp De quoi s agit il Le NIR num ro d inscription au R pertoire National d Identification des Personnes Physiques RNIPP commun ment appel num ro de s curit sociale est un l ment d identification des personnes physiques La gestion du NIR est confi e l INSEE En quoi mes libert s sont concern es Le NIR n est pas un num ro comme les autres Il est particulier car il est gt signifiant
68. mentaires de s curit telles que la confidentialit de leur identifiant de connexion leur compte ENT gt Que faire 1 L information des personnes est essentielle Chaque responsable d tablissement se doit d informer les utilisateurs des ENT de leurs droits au regard de la loi Informatique et Libert s En pratique Cette information doit tre pr vue sur la page d accueil du portail ENT et lors de la phase de cr ation d un compte ENT CPU AMUE CNIL 2007 Mod le de mention d information Cet espace num rique de travail ENT a pour objet de proposer la communaut universitaire des contenus vocation p dagogique et de diffuser des informations administratives ou relatives la vie universitaire Chaque cat gorie d utilisateur ne peut acc der qu aux seules informations auxquelles il a besoin d acc der dans l exercice de ses fonctions au sein de l universit Conform ment la loi Informatique et Libert s vous disposez d un droit d acc s de rectification et d opposition aux informations qui vous concer nent Si vous souhaitez exercer ce droit et obtenir communication des informations vous concernant veuillez vous adresser indiquez ici le service Pr ciser adresse postale et adresse lectronique 2 Les formalit s aupr s de la CNIL 2 1 Qui doit d clarer Le pr sident d universit ou le directeur de l tablissement d enseignement sup rieur qui a d cid de la mise
69. n d une Charte d utilisation des outils informa tiques est particuli rement utile pour rappeler les obligations mutuelles de l tablissement et de l utilisateur d finir les modalit s de contr le qui peuvent tre effectu s et les sanctions auxquelles s expose l utilisateur s il ne respecte pas les r gles d utilisation La pr sente fiche se propose d aborder plus particuli rement les questions relatives l utilisation de la messagerie lectronique et de l internet sur le lieu de travail Pour toute information compl mentaire sur ce sujet consulter le Guide pratique pour les employeurs sur le site internet de la CNIL HW Le contr le de l utilisation de la messagerie lectronique professionnelle gt De quoi s agit il L utilisation de la messagerie lectronique professionnelle pour envoyer ou recevoir dans des proportions raisonnables des messages caract re personnel correspond un usage g n ra lement et socialement admis Il est possible de l interdire mais m me dans un tel cas la nature d une correspondance priv e est prot g e par le secret des correspondances dans le respect de la loi et de l tat actuel de la jurisprudence gt En quoi mes libert s sont elles concern es La surveillance des courriers d un agent par sa direction doit respecter les principes issus du droit la vie priv e m me dans le cadre de la vie professionnelle En effet la mise en uvre d outils de contr le
70. nditions des informations issues de fichiers il sagit du cas des tiers autoris s gt En quoi mes libert s sont elles concern es Certaines administrations sont autoris es par la loi se faire communiquer ponctuellement des informations afin d assurer leurs missions d int r t g n ral Afin de prot ger les libert s il reviendra aux responsables de cette communication de s assurer que le demandeur correspond bien l un de ceux qui sont autoris s Le fait pour un responsable du traitement de porter la connaissance d un tiers qui n a pas qualit pour les recevoir des donn es caract re personnel dont la divulgation aurait pour effet de porter atteinte la consid ration de l int ress ou l intimit de sa vie priv e constitue une infraction p nale punie de cinq ans d emprisonnement et de 300 000 euros d amende gt Que faire 1 Dans quelles conditions un tablissement peut il communiquer a des tiers autoris s des renseignements sur ses personnels et ses tudiants Cette communication ne peut tre effectu e que sur demande ponctuelle crite visant des personnes nomm ment d sign es identifi es directement ou indirectement Il est exclu qu elle porte sur l int gralit d un fichier L tablissement n est pas tenu de r pondre une simple demande t l phonique qui ne lui permettra pas de s assurer de la qualit de son interlocuteur La demande doit pr ciser le texte l gislat
71. nn es notamment des interconnexions Transfert de donn es Toute communication copie ou d placement de donn es personnelles ayant vocation tre trait es dans un pays tiers a l Union europ enne CPU AMUE CNIL 2007 CPU AMUE CNIL 2007 73 74 Remerciements Cet outil a t r alis grace au concours du groupe projet guide Informatique et Libert s et nous les en remercions tout particuli rement Les Correspondants Informatique et Libert s universitaires e Guy BISIAUX ing nieur r seau syst me CIL de l universit Valenciennes et du Hainaut Cambresis e Solenn HOUSSAY charg e de la s curit des syst mes d information CIL de l universit de Lyon 3 Jean Moulin e Myriam RAVALET GUILLET responsable des affaires juridiques CIL de l universit de Rennes 1 e Claire RUBAT du MERAC coordination de la s curit des syst mes d information CIL mutualis e pour les universit s de Grenoble 1 Joseph Fourier Grenoble 2 Pierre Mend s France Grenoble 3 Stendhal l INP de Grenoble et l universit de Savoie Chamb ry e Yves SENDRA responsable de la s curit des syst mes d information CIL de l universit de Nice Sophia Antipolis e Jean Luc TESSIER responsable du service informatique des services centraux CIL de l universit de Lille 2 e Thierry VALET professeur agr g conomie gestion CIL de l universit d Avignon Comit R seaux des Universit s CRU e Serge AUM
72. nne a adopt le 24 octobre 1995 une directive destin e assurer une protec tion quivalente en son sein quelque soit le lieu o sont op r s les traitements de donn es caract re personnel au moyen d une harmonisation des l gislations des Etats membres 27 ce jour auxquels s ajoutent les pays de l Espace Economique Europ en Islande Liechtenstein Norv ge Cette harmonisation comporte galement une approche commune visant la protec tion des personnes dont les donn es sont susceptibles d tre transf r es vers des pays hors Union europ enne Les autorit s ind pendantes de ces pays se r unissent r guli rement Bruxelles pour conseil ler la Commission europ enne sur ses initiatives l gislatives et pour harmoniser leurs interpr tations des textes et leurs pratiques ou recommandations destin es aux concepteurs et aux utilisateurs des technologies de l information CPU AMUE CNIL 2007 Ces CNIL europ ennes r unies au sein du groupe de l article 29 par r f rence l article de la directive qui l institue se prononcent par des avis ou recommandations qui sont rendus publics Dans ce cadre elles d terminent galement des programmes de contr le communs notamment de nature sectorielle Au niveau international La CNIL est amen e coop rer galement notamment dans le cadre de r glement de plaintes avec les autorit s de m me nature institu es dans d autres pays europ ens non membr
73. nt Pour autant les modalit s d acc s de l employeur aux donn es stock es sur l environnement informatique d un employ absent messagerie fichiers supports de stockage devraient tre pr alablement d finies en concertation et diffus es aupr s de l ensemble des employ s suscepti bles d tre concern s via une charte par exemple EX Le contr le de l utilisation de l internet De quoi s agit il Une interdiction g n rale et absolue de toute utilisation d internet des fins autres que profes sionnelles ne para t pas r aliste dans une soci t de l information et de la communication et semble de plus disproportionn e au regard des textes applicables et de leur interpr tation par la jurisprudence Un usage raisonnable du personnel non susceptible d amoindrir les conditions d acc s profes sionnel au r seau ne mettant pas en cause la productivit est g n ralement et socialement admis par la plupart des entreprises ou administrations gt Que faire 1 R diger une charte d utilisation d internet au sein de l tablissement Celle ci peut notamment pr voir gt la mise en place de dispositifs de filtrage de sites non autoris s associ s au pare feu sites diffusant des produits caract re pornographiques p dophiles incitation la haine raciale r visionnistes etc comme une mesure de pr vention CPU AMUE CNIL 2007 gt aux fins de s curit l interdiction de t l c
74. ntifier les solutions alternatives permettant d atteindre l objectif poursuivi sans recourir ce moyen une s curisation des acc s aux moyens de badges magn tiques surveillance renforc e par les personnels une modification des heures d ouvertures de certaines issues peuvent par exemple constituer des r ponses efficaces et adap t es un objectif particulier de s curisation 2 Le n cessaire respect du principe de proportionnalit Si le d ploiement de tels dispositifs r pond g n ralement un objectif s curitaire contr le des acc s aux locaux il ne peut avoir pour objectif la mise sous surveillance sp cifique d un employ d termin ou d un groupe particulier de personnes Le nombre l emplacement l orientation les fonctionnalit s et les p riodes de fonctionnement des cam ras ou la nature des t ches accomplies par les personnes devant tre soumises la vid osurveillance sont autant d l ments devant notamment entrer en ligne de compte lors de l valuation du caract re proportionn du syst me Exemples Certains syst mes de vid osurveillance sont susceptibles de pr senter un caract re ill gal e un syst me qui serait install dans un lieu susceptible de porter atteinte l intimit de la vie priv e des personnes vestiaires douches toilettes e un syst me qui serait install de fa on enregistrer de fa on sp cifique les all es et venues des personnes se rendant dans un local syn
75. ont pas associ es au nom d une personne mais qui permettent ais ment de l identifier et de conna tre ses habitudes ou ses go ts Exemples Le propri taire du v hicule 3636AB75 est abonn telle revue ou encore l assur social 1600530189196 va chez le m decin plus d une fois par mois CPU AMUE CNIL 2007 Fiches th matiques A 10 A noter La loi Informatique et Libert s ne s applique pas aux personnes morales ex fichier de noms de soci t s Cependant si ce fichier d entreprises contient des noms de personnes physiques ex nom du responsable commercial la loi Informatique et Libert s est applicable BEM Responsable du traitement gt Est consid r comme le responsable du traitement la personne physique ou morale qui d termine les finalit s et les moyens de toute op ration collecte enregistrement modifi cation appliqu e a des donn es a caract re personnel Le responsable du traitement est la personne pour le compte de laquelle est r alis le traitement Afin de d terminer l identit du responsable du traitement il est possible de faire appel aux crit res suivants e celui de la ma trise d ouvrage du traitement quoi servira t il et comment fonction nera t il e celui de la mise en uvre du traitement qui d cide de s en servir et qui s en sert En pratique Le responsable du traitement sera notamment la personne en charge gt
76. phiques ou religieuses ou l appartenance syndicale des personnes ou qui sont relatives la sant ou la vie sexuelle de celles ci art 8 de la loi Informatique et Libert s Ces donn es touchent ainsi l essence m me de ce qui fait notre identit la fa on dont on se per oit et dont on est per u par les autres C est pourquoi leur traitement fait l objet d une attention toute particuli re gt Que faire 1 D terminer une m thodologie d tude Trois proc d s peuvent notamment tre envisag s afin de mesurer la diversit des origines ou les pratiques discriminatoires 1 1 Utiliser des donn es sur la nationalit Faisant partie de l tat civil cette donn e n est pas consid r e comme sensible Ainsi elle peut tre utilis e afin d tablir des statistiques par pays d origine des tudiants inscrits l universit 1 2 Utiliser les noms et les pr noms La CNIL estime que l analyse des noms et pr noms aux fins de classement dans des cat gories ethno raciales n est pas pertinente en raison du manque de fiabilit de cette m thode et du risque de stigmatisation qui pourrait en d couler En revanche elle consid re que le recours au pr nom ainsi que le cas ch ant au nom de famille pour d tecter d ventuelles pratiques discriminatoires dans le parcours universitaire l exclusion de tout classement dans des cat gories ethno raciales 10 est noter la mise en p
77. pl m se voit proposer par l tablissement un formulaire d inscription l annuaire Celui ci devra notamment pr ciser la finalit de la collecte savoir la mise en place d un annuaire des dipl m s de l tablissement son caract re facultatif les destinataires des donn es et les modalit s d exercice des droits d acc s de rectification et d opposition aux donn es Dans l hypoth se o l annuaire serait accessible sur internet les anciens l ves doivent en tre pr alablement inform s et mis en mesure de s opposer la diffusion de leurs coordonn es Il est recommand que l acc s l annuaire via internet soit strictement r serv aux anciens tudiants exemple attribution de code d acc s ll est galement souhaitable que le formulaire d inscription puisse permettre au dipl m d indiquer les informations qu il souhaite ne pas voir diffuser ex son adresse personnelle tant sur la version web que sur la version papier de l annuaire Ces donn es ne restent alors accessibles qu au service charg de la tenue de l annuaire Un ancien dipl m qui aura t recontact individuellement lors d un v nement profession nel par exemple pourra se voir proposer le formulaire d inscription l annuaire Chaque ann e un courrier lectronique ou postal doit tre envoy chacun des dipl m s inscrits sur l annuaire leur rappelant les modalit s de mise jour de leurs donn es personnelles ainsi que celles
78. res d am lioration des rela tions entre l administration et le public CADA CPU AMUE CNIL 2007 69 Annexes Ei LE TE Lexique Informatique et libert s CNIL Autorit administrative ind pendante compos e d un coll ge pluraliste de 17 commissaires provenant d horizons divers 4 parlementaires 2 membres du Conseil conomique et social 6 repr sentants des hautes juridictions 5 personnalit s qualifi es d sign es par le pr sident de l Assembl e nationale 1 par le pr sident du S nat 1 par le conseil des ministres 3 Le mandat de ses membres est de 5 ans Le pr sident est lu par ses pairs Correspondant Informatique et Libert s Cr en 2004 le correspondant informatique et libert s CIL est charg d assurer de mani re ind pendante le respect des obligations pr vues par la loi Informatique et Libert s en contre partie de sa d signation les traitements de donn es personnelles les plus courants sont exon r s de d clarations aupr s de la CNIL Destinataire Personne habilit e obtenir communication de donn es enregistr es dans un fichier ou un trai tement en raison de ses fonctions Donn e biom trique Caract ristique physique ou biologique permettant d identifier une personne ADN contour de la main empreintes digitales Donn e personnelle Toute information identifiant directement ou indirectement une personne physique ex nom n d immatricula
79. rvices sont dans ces cas totalement anonymes et il convient d s lors de s interroger au pr alable sur le caract re n cessaire de l change de donn es carac t re personnel Que faire 1 D clarer aupr s de la CNIL La f d ration d identit s fait appel deux types d acteurs gt le fournisseur d identit qui est l universit ou l tablissement de rattachement de l utilisateur gt les fournisseurs de services qui offrent l acc s aux ressources Les d marches aupr s de la CNIL doivent tre r alis es tant par le fournisseur d identit qui collecte les donn es personnelles que par le fournisseur de service susceptible de les traiter ePour le fournisseur d identit savoir l universit ou l tablissement de l enseignement sup rieur il appartiendra de d terminer si la diffusion de donn es caract re personnel rel ve de la gestion administrative et p dagogique des tudiants Dans l affirmative il convient de proc der la modification de la d claration de son fichier de gestion administrative et p dagogique des tudiants Si l acc s la ressource num rique n entre pas dans ce cadre par exemple l acc s des services commerciaux en ligne desti n s aux tudiants et qu ils souscrivent titre personnel l tablissement devra proc der une d claration de ce traitement Dans tous les cas de figure l tablissement est exon r de ces formalit s d s lors qu il a d sign un Correspond
80. s de proc dure p nale et de proc dure civile notamment les articles 56 57 92 97 du code de proc dure p nale gt Le procureur de la R publique la demande de l huissier de justice porteur d un titre ex cu toire et au vu d un relev certifi sinc re des recherches infructueuses qu il a tent es pour l ex cution article 40 de la loi n 91 650 du 9 juillet 1991 gt Les officiers de police judiciaire de la police et de la gendarmerie nationales agissant en flagrant d lit sur commission rogatoire ou dans le cadre d une enqu te pr liminaire arti cles 57 1 60 1 et 76 3 du code de proc dure p nale y compris par voie informatique ou t l matique article 60 2 du m me code gt Les bureaux d aide judiciaire afin de demander la v rification des ressources en vue de l attribution de l aide judiciaire loi n 72 11 du 3 janvier 1972 modifi e par la loi du 31 d cembre 1982 relative l aide judiciaire 2 4 Les autres administrations b n ficiant d un droit de communication gt Les services d concentr s du travail et de l emploi dans le cadre du contr le de la recherche d emploi ordonnance n 86 1286 du 20 d cembre 1986 articles L 351 1 et R 351 32 du code du travail gt Les services en charge de la gestion des allocations suppl mentaires pr vues aux articles L 815 2 et 3 du code de la s curit sociale fonds de solidarit vieillesse et fonds sp cial d invalidit pour le recouvrement sur la succ
81. s donn es dites sensibles sont celles qui font appara tre directement ou indirectement les origines raciales o ethniques les opinions politiques philosophiques ou religieuses ou l appartenance syndicale des personnes ou qui sont relatives la sant ou la vie sexuelle des personnes article 8 de la loi Informatique et Libert s 27 Toutefois la CNIL n applique pas la proc dure d autorisation pour les traitements destin s g rer les demandes d aides l gales ou facultatives qui ne comportent pas l valuation de la situation sociale du demandeur conduite par un travailleur social et se limitent l enregistrement des donn es objectives n cessaires l attribution de l aide en fonction de certains objectifs et de bar mes r sul tant de l application des dispositions du code de l action sociale et des familles 28 Ne pas confondre l accus de r ception d un dossier de d claration adress la CNIL avec le r c piss de d claration d livr par la CNIL qui constitue le seul feu vert pour la mise en uvre d un fichier ou d un traitement de donn es personnelles CPU AMUE CNIL 2007 Tableau r capitulatif Dois je d clarer mon fichier a la CNIL Comment Rappel les traitements n ont pas faire l objet de d claration lorsqu un Correspondant Informatique et Libert s a t d sign D clarations effectuer Pas de d claration D claration simplifi e Finalit des traitements
82. s propres garantir le respect de la vie priv e et des libert s des personnels sur leur lieu de travail En effet un autocommutateur permet la collecte syst matique de donn es relatives l identification de l appelant gt Que faire 1 Encadrer l utilisation des relev s justificatifs des num ros de t l phone appel s ou des services de t l phonie utilis s 1 1 Principe Lorsque des relev s justificatifs des num ros de t l phone appel s sont tablis les quatre derniers chiffres de ces num ros sont occult s 1 2 Exceptions L universit ou l tablissement peut diter soit par l interm diaire de l autocommutateur qu il aura mis en place soit par l interm diaire de l op rateur aupr s duquel elle ou il est client e l int gralit des num ros de t l phone appel s ou le d tail des services de t l phonie utilis s dans les deux cas suivants gt dans le cas o un remboursement est demand aux employ s pour les services de t l pho nie utilis s titre priv lorsque le montant demand est contest par l employ auquel il se rapporte un relev justificatif complet des donn es relatives l utilisation des services de t l phonie comprenant l int gralit des num ros de t l phone appel s peut tre tabli des fins de preuves CPU AMUE CNIL 2007 Par ailleurs il est recommand de mettre en ceuvre les mesures techniques permettant de s curiser les postes postes ave
83. ssant directement ceux qui les d tiennent et en obtenir une copie dont le co t ne peut d passer celui de la reproduction Droit d acc s indirect Toute personne peut demander que la CNIL v rifie les renseignements qui peuvent la concer ner dans les fichiers int ressant la s ret de l tat la D fense et la S curit publique Droit d opposition Toute personne a la possibilit de s opposer pour des motifs l gitimes figurer dans un fichier et peut refuser sans avoir se justifier que les donn es qui la concernent soient utilis es des fins de prospection notamment commerciale Droit de rectification Toute personne peut faire rectifier compl ter actualiser verrouiller ou effacer des informations la concernant lorsqu ont t d cel es des erreurs des inexactitudes ou la pr sence de donn es dont la collecte l utilisation la communication ou la conservation est interdite Fichier des fichiers Liste des fichiers d clar s la CNIL ainsi que leurs caract ristiques Finalit d un traitement Objectif principal d une application informatique de donn es personnelles Exemples de finalit gestion des recrutements gestion des clients enqu te de satisfaction surveillance des locaux etc Formalit s pr alables Ensemble des formalit s d claratives effectuer aupr s de la CNIL avant la mise en uvre d un traitement de donn es personnelles selon les cas il peut s agir d une d clara
84. ssement que dans les rapports de ce dernier avec la CNIL Le CIL occupe ainsi une place centrale dans le d veloppement ma tris des nouvelles technologies de l information et de la communication Cette fonction existe d j chez plusieurs de nos voisins europ ens Allemagne Pays Bas Su de Luxembourg gt Pourquoi d signer un Correspondant Informatique et Libert s La fonction de correspondant r pond un double objectif e Elle emporte un all gement consid rable des formalit s aupr s de la CNIL Sa d signa tion permet en effet d tre exon r de l obligation de d claration pr alable des traite ments ordinaires et courants Seuls les traitements identifi s comme sensibles dans la loi demeurent soumis autorisations et continuent faire l objet de formalit s e Le Correspondant Informatique et Libert s apporte une aide pr cieuse au pr sident d universit ou directeur d tablissement Il contribue une meilleure application de la loi et r duit ainsi les risques juridiques pesant sur l organisme concern lla un r le de conseil de veille et d alerte en mati re de d ploiement des projets informatiques au sein de l organisme Il joue galement un r le essentiel dans la formation et la sensibilisa tion des personnels de l tablissement aux principes Informatique et Libert s gt Quelles sont les comp tences requises pour tre Correspondant Informatique et Libert s Le CIL peut tre un employ
85. stants avec le dispositif de gestion de la Carte Multiservices ou fonctionne t il de fa on ind pendante des applications m tiers des partenaires concern s gt Quelles sont les informations mutualis es Et entre quels intervenants le sont elles tous ou seulement ceux concern s par les activit s choisies par une personne d termin e CPU AMUE CNIL 2007 gt Comment se fait l identification des titulaires de carte Cette identification est elle commune l ensemble du dispositif ou y a t il autant d identifiants qu il y a de cartes associ es un compte donn Quelles sont les modalit s d identification des usagers gt Est ce que le dispositif repose sur la mise en place d un t l service de l administration lec tronique ex l tudiant pourra acc der au compte de sa carte via Internet partir d identifiants de connexion qui lui sont propres Dans ce cas de figure le traitement est soumis au r gime de la demande d avis cf article 27 Il 4 de la loi Par ailleurs il faudra veiller au respect des principes fondamentaux de la protection des donn es personnelles finalit s proportionnalit information des personnes droit l oubli etc Attention Les cartes devront offrir un niveau de s curit appropri compte tenu de l tat de la technologie de la nature sensible ou non des donn es enregistr es du nombre et du type d applications pr vues et de l valuation des risques pot
86. t d indiquer dans l objet du message la mention personnel 2 Informer les personnes ll est recommand que la direction de l tablissement informe ses personnels au sujet gt de l existence de proc dures de contr les quant a l utilisation de la messagerie lectronique cette information peut tre assur e par l envoi a chaque agent d un courrier lectronique dans lequel doivent tre rappel es les mentions Informatique et Libert s Cette informa tion peut tre utilement compl t e par voie d affichage gt des proc dures de surveillance et d archivage mises en uvre pour des raisons de s curit des syst mes d information ex encombrement du r seau gt de la dur e de conservation des donn es dans le cas de mesures d archivage gt de l existence et la date de la consultation pr alable des instances repr sentatives du personnel 3 Rappeler les pr rogatives et les obligations des administrateurs r seaux gt Pr rogatives acc s l ensemble des donn es y compris celles qui sont sur le disque dur du poste de travail pour pouvoir travailler efficacement utilisation de logiciels de t l main tenance d tection de pannes ou prise de contr le distance 15 COUR DE CASSATION Chambre sociale 17 mai 2005 Philippe X Soci t Cathnet Science N 03 40 017 arr t n 1089 Cassation 16 Les logiciels de t l maintenance ou de prise de main distance ne peuvent tre util
87. t en cas de cession des donn es des partenaires du colloque gt Que faire Le responsable du traitement est le directeur de l UMR organisatrice du colloque Cependant le Directeur en question peut relever administrativement de l organisme de recherche ou de l universit personnel chercheur ou enseignant chercheur Ainsi se pose la question de la personne morale qui devra proc der la d claration ce sujet l organisme d clarant peut tre indiff remment l universit ou l organisme puisque les deux assument la tutelle de l unit Il leur reviendra donc afin d assurer la plus grande s cu rit juridique de d finir dans les conventions qui les lient celui d entre eux qui aura cette responsabilit unit par unit cf fiche n 1 sur la notion de responsable du traitement Par ailleurs les donn es ne peuvent tre transmises aux partenaires du colloque que si une mention a t express ment port e la connaissance des participants au moment de leur inscription et leur accord recueilli Dans l hypoth se o l UMR envisage d utiliser sa base de donn es en vue d un nouveau colloque elle ne pourra le faire qu la condition que les personnes aient t mises en mesure de s y opposer lors de la collecte initiale de ces donn es 1 re inscription Dans le cas d une inscription payante en ligne l UMR devra s assurer que la transaction est s curis e exemple utilisation du protocole SSL Enfin
88. t susceptible d apparaitre dans le cadre des p les de recherche et d enseignement sup rieur PRES dans la mesure o certains mutuali seront des applications informatiques Dans ce cas il faudra explicitement d terminer si la responsabilit du traitement incombe chaque tablissement ou au PRES gt Le responsable du traitement est tabli sur le territoire fran ais installation stable quelle que soit sa forme juridique filiale succursale et le traitement est r alis enti rement sur le territoire de l Union europ enne Si le responsable du traitement tabli en France transf re des donn es dans un pays hors de l Union europ enne ex h bergeur du site internet enqu tes r alis es en commun avec des laboratoires de recherche tablis hors Union europ enne il devra s assurer que dans ce pays le niveau de protection des donn es personnelles est consid r comme suffisant La liste des pays assurant un niveau de protection suffisant est rendue publique sur le site de la CNIL Dans le cas contraire le responsable du traitement devra prendre des mesures particuli res Pour toute information compl mentaire sur ces questions consulter le dossier International ou le Guide sur les transferts de donn es caract re personnel vers des pays non membres de l Union europ enne sur le site internet de la CNIL CPU AMUE CNIL 2007 11 Fiches th matiques A EN ER _ ees LE Principes d
89. taine cat gorie d tudiants acc s des ressources documentaires propos es sur le site internet d un diteur priv CPU AMUE CNIL 2007 33 Fiches pratiques g 34 gt En quoi mes libert s sont concern es Des informations caract re personnel par exemple le nom l adresse de courrier lectronique etc peuvent tre chang es entre les entit s participant au syst me de f d ration Ces infor mations peuvent tout d abord tre excessives vis vis de la finalit recherch e du service fourni de plus elles doivent tre chang es avec une s curit ad quate afin de pr venir tout risque d interception par des tiers ne faisant pas partie du syst me de f d ration L enjeu est de garan tir l utilisateur la confidentialit de ses donn es personnelles ll est essentiel que des relations de confiance existent entre les diff rents participants au syst me de f d ration que chaque traitement soit clairement identifi et soit tra able et qu il soit s cu ris de mani re ad quate De plus des informations caract re personnel n ont pas syst matiquement besoin d tre chang es Par exemple pour certaines applications les informations chang es peuvent concer ner uniquement des informations g n riques par exemple le statut de la personne tudiant chercheur enseignant personnel ou sa fili re d enseignement Ainsi les informations auxquelles acc dent les fournisseurs de se
90. te un caract re obligatoire 66 CPU AMUE CNIL 2007 Les supports informatiques fournis par l tablissement et tous documents de quelque nature qu ils soient r sultant de leur traitement par la soci t 000n10000 restent la propri t de l tablissement Les donn es contenues dans ces supports et documents sont strictement couvertes par le secret professionnel article 226 13 du code p nal Conform ment l article 34 de la loi n 78 17 du 6 janvier 1978 modifi e relative l informatique aux fichiers et aux libert s la soci t 0 ceeceeeeeeees s engage prendre toutes pr cau tions utiles afin de pr server la s curit des informations et notamment d emp cher qu elles ne soient d form es endommag es ou communiqu es des personnes non autoris es la soci t ee s engage donc respecter de fa on absolue les obligations suivantes et les faire respecter par son personnel c est dire notamment gt ne prendre aucune copie des documents et supports d informations confi s par la soci t 7 et utilis s par la soci t l exception de celles n ces saires pour les besoins de l ex cution de sa prestation objet du pr sent contrat gt ne pas utiliser les documents et informations trait s des fins autres que celles sp cifi es au pr sent contrat gt ne pas divulguer ces documents ou informations d autres personnes qu il s agisse de personnes priv
91. tes web portail permettant aux tudiants aux enseignants aux personnels administratifs et plus g n ralement tous les membres de la communaut de l enseignement sup rieur d acc der via un point d entr e unique et s curis un bouquet de services num riques gt Un acc s via internet de son domicile ou partir des points d acc s disponibles dans chaque tablissement gt Un acc s des contenus vocation p dagogique et ducative une diffusion d informations administratives ou relatives au fonctionnement de l tablissement une messa gerie lectronique des forums de discussion etc gt En quoi mes libert s sont elle concern es Une attention particuli re doit tre port e aux mesures prises pour assurer la s curit du dispositif En pratique Elles doivent notamment garantir que chaque titulaire d un compte ENT ne puisse acc der qu aux seules informations le concernant Exemple un tudiant ne peut pas avoir acc s aux notes des autres tudiants de sa promotion Il convient de r f rer aux annexes S curit s du Sch ma Directeur des Espaces Num riques de Travail du Minist re en particulier l annexe Authentification Autorisation SSO qui pr cise les obligations respecter en ce qui concerne la poli tique de gestion des mots de passe mots de passe non stock s en clair etc Les responsables d tablissement veillent sensibiliser les utilisateurs des ENT aux mesures l
92. tion n de t l phone photographie date de naissance commune de r si dence empreinte digitale Donn e sensible Information concernant l origine raciale ou ethnique les opinions politiques philosophiques ou religieuses l appartenance syndicale la sant ou la vie sexuelle En principe les donn es sensi bles ne peuvent tre recueillies et exploit es qu avec le consentement explicite des personnes Droit la protection des donn es personnelles Le droit la protection des donn es caract re personnel est inscrit dans la charte des droits fondamentaux de l Union europ enne au titre des libert s fondamentales telles que la libert de pens e de conscience et de religion la libert d expression et d information ou le respect de la vie priv e et familiale etc 70 CPU AMUE CNIL 2007 Droit l information Toute personne a un droit de regard sur ses propres donn es par cons quent quiconque met en uvre un fichier ou un traitement de donn es personnelles est oblig d informer les personnes fich es de son identit de l objectif de la collecte d informations et de son caract re obliga toire ou facultatif des destinataires des informations des droits reconnus la personne des ventuels transferts de donn es vers un pays hors de l Union Europ enne Droit d acc s direct Toute personne peut prendre connaissance de l int gralit des donn es la concernant dans un fichier en s adre
93. tion ou d une demande d autorisation CPU AMUE CNIL 2007 71 Annexes Ei 72 Formation restreinte Pour prendre des mesures l encontre des responsables de traitement qui ne respectent pas la loi informatique et libert s la CNIL si ge dans une formation sp cifique compos e de six membres appel e formation restreinte l issue d une proc dure contradictoire cette forma tion peut notamment d cider de prononcer des sanctions p cuniaires pouvant atteindre 300 000 Listes d opposition Les listes d opposition recensent les personnes qui ont fait conna tre leur opposition tre pros pect es dans le cadre d op rations de marketing NIR Le Num ro d inscription au R pertoire ou num ro de s curit sociale est attribu chaque personne sa naissance sur la base d l ments d tat civil transmis par les mairies l INSEE Responsable du traitement Personne qui d cide de la cr ation d un fichier ou d un traitement de donn es personnelles qui d termine quoi il va servir et selon quelles modalit s S ance pl ni re C est la formation qui r unit les 17 membres de la CNIL pour se prononcer sur des traitements ou des fichiers et examiner des projets de loi ou de d crets soumis pour avis par le Gouvernement Traitement de donn es Collecte enregistrement utilisation transmission ou communication d informations person nelles ainsi que toute exploitation de fichiers ou bases de do
94. tr le de l utilisation des moyens informatiques Cr ation de sites internet site web blog Enregistrement et utilisation du num ro de s curit sociale Communication des tiers autoris s d informations relatives aux personnels et aux tudiants Utilisation de la biom trie Dispositifs de vid osurveillance Mise en place d une carte tudiante multiservices Tenue de listes de contacts pour un colloque scienti fique organis par une Unit Mixte de Recherche PARTIE 3 Annexes Mode d emploi comment d clarer Mod les de clauses ou de mentions d information Mod les de note d information Mod le de clause de confidentialit dans le cadre d un march ou d un contrat de sous traitance Mod le de projet d acte r glementaire Les r f rences l gislatives et r glementaires Lexique CPU AMUE CNIL 2007 40 44 46 48 5 53 56 58 61 65 66 67 68 69 70 Fiches th matiques f Fiches D finitions des notions cl s de la loi Informatique et Libert s La loi Informatique et Libert s du 6 janvier 1978 modifi e est applicable d s lors qu il existe un traitement automatis ou un fichier manuel c est dire un fichier informatique ou un fichier papier contenant des informations personnelles relatives des personnes physiques A noter Ne sont pas soumis la loi les traitements mis en uvre pour l exercice d activit s exclusivement personnelles
95. urisprudence qui a d fini les conditions dans lesquelles un employeur peut contr ler l utilisation de la messagerie professionnelle de ses employ s Ainsi un arr t de la Cour de cassation de 2001 a consacr le droit des salari s au respect de l intimit de leur vie priv e avec une interdiction pour l employeur de prendre connaissance du contenu des correspondances qui rel veraient de la vie priv e des personnes via la messagerie lectronique professionnelle Toutefois en 2005 la Cour de cassation a reconnu l employeur le droit dans certains cas d acc der aux fichiers personnels d un salari enregistr s sur le disque dur de son poste de travail Elle pose le principe que d sormais la nature personnelle d un fichier ne suffit plus le soustraire un contr le de l employeur mais d finit troitement les conditions d un tel contr le Ainsi gt par principe l acc s l espace r serv l employ n cessite la pr vision d un tel acc s dans le r glement int rieur ainsi que l information pr alable du salari qui doit tre pr sent ou au moins tre pr venu gt par exception le contr le de l espace r serv est possible sans inscription au r glement int rieur et sans information pr alable en cas de risque ou d v nement particulier 1 Identifier ses messages personnels Il appartient l employ gt de classer syst matiquement le message dans un dossier personnel g
96. ww cpu fr de l AMUE www amue fr et de la CNIL www cnil fr 1 Le texte de la loi Informatique et Libert s utilise l expression de correspondant la protection des donn es L usage a retenu l expression de Correspondant Informatique et Libert s on ae nous utiliserons dans le pr sent guide f CPU AMUE CNIL 2007 l OSS AN At a ommaire g n ral PARTIE 1 Fiches th matiques 1 D finitions des notions cl s de la loi Informatique et Libert s 2 Principes de la protection des donn es personnelles 3 Role de la CNIL pour d fendre ces principes 4 Correspondant Informatique et Libert s PARTIE 2 Fiches pratiques 5 Mise en place d un annuaire des dipl m s 6 Diffusion des r sultats d examen et des notes sur internet 7 Utilisation de la photographie d une personne 8 Enqu tes statistiques portant sur le devenir profes sionnel et le suivi de cohortes d tudiants 9 tudes men es au sein de l enseignement sup rieur afin de mesurer la diversit des origines des tudiants et les pratiques discriminatoires 10 Mise disposition ou acc s des ressources num riques via des dispositifs de f d ration d identit s 11 Utilisation du t l phone sur le lieu de travail 12 Mise en place des espaces num riques de travail ENT 4 CPU AMUE CNIL 2007 12 15 18 23 25 26 27 29 32 36 38 13 14 15 16 17 18 19 20 A Con
97. xte sp cifique en dispose autrement le responsable du traite ment est le repr sentant l gal de l organisme ex pr sident d universit directeur d tablissement En pratique D termination du responsable du traitement dans les Unit s Mixtes de Recherche UMR Les responsables du traitement sont d une part l universit et d autre part l organisme de recherche puisque les deux assument la tutelle de l unit Cependant afin d assurer la coh rence des politiques men es il leur reviendra de d finir dans les conventions qui les lient celui d entre eux qui aura s assurer de la bonne application des dispo sitions Informatique et Libert s et donc remplir le r le de responsable pilote de traitement unit par unit Ainsi par exemple la d marche actuelle du CNRS visant d ployer sa politique de s curit dans chaque laboratoire au niveau r gional peut tre utile puisqu elle implique la d signation de la tutelle pilote en mati re de s curit des syst mes d information pour chaque UMR Selon le CNRS ce choix devrait figurer dans le contrat quadriennal Toutefois dans l attente de la reconduction de ce contrat il est propos que cette d signation soit formalis e dans le cadre d une convention entre l universit et le CNRS Cette m me d marche pourrait inclure la d finition de la tutelle charg e de l application de la loi Informatique et Libert s au sein de l UMR Une probl matique analogue es

Guide “Informatique et Libertés” - Délégation Paris B

Contents

Download Pdf Manuals

Related Search

Related Contents

Guide &ldquo;Informatique et Libert&eacute;s&rdquo; - D&eacute;l&eacute;gation Paris B

Contents

Download Pdf Manuals

Related Search

Related Contents

Guide “Informatique et Libertés” - Délégation Paris B