Récépissé de la déclaration de conformité CNIL : ce qu’il faut savoir aujourd’hui

La démarche de conformité RGPD ne doit pas être perçue que comme une contrainte technique ou juridique. C’est avant tout l’occasion de faire le point sur l’utilisation des services numériques dans la collectivité et de s’assurer que la protection des données personnelles a bien été prise en compte.

La déclaration CNIL n’existe plus depuis le 25 mai 2018. Le RGPD a supprimé le régime des formalités préalables (déclaration, autorisation, récépissé) et l’a remplacé par un principe de responsabilité : vous ne demandez plus l’autorisation de la CNIL avant de traiter des données, mais vous devez pouvoir démontrer votre conformité à tout moment.

Si vous cherchez « comment déclarer un fichier à la CNIL » ou « faire une déclaration CNIL en 2026 », arrêtez-vous : cette démarche n’existe plus. Elle a été abolie il y a plus de sept ans par le Règlement général sur la protection des données (RGPD).

Beaucoup d’entreprises l’ignorent encore et cherchent un formulaire qui a disparu, tandis que d’autres croient, à tort, qu’ayant obtenu jadis un récépissé de la CNIL, elles seraient « en règle pour toujours ».

Cet article fait le point complet : ce qu’était l’ancien régime déclaratif (1), ce qui l’a remplacé - le principe de responsabilité et les trois registres RGPD (2 à 4), les rares formalités qui subsistent encore en France (5), et enfin un plan d’action pour vous mettre en conformité (6).

1. Avant le 25 mai 2018, la loi Informatique et Libertés du 6 janvier 1978 organisait un régime de formalités préalables. Autrement dit, avant de mettre en œuvre un traitement de données personnelles, une entreprise ou une administration devait, selon les cas, accomplir une démarche auprès de la CNIL.

Ce système présentait deux défauts majeurs. D’abord, le récépissé de déclaration ne valait pas certificat de conformité : la CNIL délivrait un simple accusé de réception, sans contrôler le fond. Une entreprise pouvait donc détenir un récépissé tout en étant parfaitement non conforme.

Le RGPD a balayé cette architecture. Depuis le 25 mai 2018, il n’y a plus, en principe, de déclaration, plus de récépissé, plus d’autorisation préalable pour l’immense majorité des traitements.

2. L’esprit du RGPD tient en un basculement : on passe d’un contrôle a priori (la CNIL vérifie avant) à un contrôle a posteriori fondé sur la responsabilité (l’organisation s’auto-organise et rend des comptes en cas de contrôle).

« Le responsable du traitement met en œuvre des mesures techniques et organisationnelles appropriées pour s’assurer et être en mesure de démontrer que le traitement est effectué conformément au présent règlement. »

Deux mots comptent : « s’assurer » et « démontrer ». Vous ne demandez plus la permission, mais vous devez, à tout instant, être capable de prouver que vos traitements respectent la loi.

La pièce centrale de cette démonstration, c’est le registre des activités de traitement. Il ne remplace pas une déclaration adressée à la CNIL : il constitue votre documentation interne, que vous conservez chez vous et que vous produisez uniquement si l’autorité vous le demande.

Au total, le RGPD impose de tenir trois registres.

3. Le registre des traitements (art.

Le registre des traitements recense chacune des activités de traitement mises en œuvre par votre organisation en tant que responsable de traitement : gestion de la paie, fichier clients, prospection, vidéosurveillance, recrutement, etc.

e) le cas échéant, les transferts vers un pays tiers ou une organisation internationale, avec l’identification des garanties appropriées (art.

g) dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles (art.

En pratique, on ajoute utilement à ce socle minimal la base légale de chaque traitement (article 6 du RGPD : consentement, contrat, obligation légale, intérêt légitime…), car c’est l’une des premières choses que la CNIL vérifie.

Pour voir à quoi ressemble un registre complété ligne par ligne, consultez notre exemple de registre RGPD rempli.

« Les obligations visées aux paragraphes 1 et 2 ne s’appliquent pas à une entreprise ou à une organisation comptant moins de 250 employés, sauf si le traitement qu’elles effectuent est susceptible de comporter un risque pour les droits et libertés des personnes concernées, s’il n’est pas occasionnel ou s’il porte […] sur les catégories particulières de données visées à l’article 9.

Cette exception est en réalité quasiment inopérante. Il suffit que l’une des trois conditions soit remplie pour que l’obligation renaisse. Or, dès qu’une entreprise gère la paie de ses salariés ou un fichier clients, elle réalise des traitements non occasionnels (ils sont réguliers et permanents). La condition d’exclusion tombe.

La CNIL retient d’ailleurs une lecture stricte : dans son modèle de registre destiné aux TPE/PME, elle recommande à toutes les structures d’en tenir un. À cela s’ajoute l’article 24 déjà cité : impossible de « démontrer » la conformité de traitements que l’on n’a même pas recensés.

4. Le registre du sous-traitant (art. 30.2) et le registre des violations (art.

Si votre entreprise traite des données pour le compte d’un client - hébergeur, prestataire informatique, agence marketing, cabinet de paie, éditeur SaaS -, elle agit comme sous-traitant au sens du RGPD. Elle doit alors tenir un second registre, celui des activités de sous-traitance (art. 30.2), qui recense les traitements effectués pour le compte de tiers.

d) dans la mesure du possible, une description générale des mesures de sécurité (art.

Ce registre s’articule directement avec le contrat de sous-traitance imposé par l’article 28 du RGPD, qui doit encadrer chaque relation client.

Beaucoup d’entreprises portent d’ailleurs les deux « casquettes » : responsable de traitement pour leurs propres fichiers (RH, comptabilité), et sous-traitant pour les prestations vendues à leurs clients.

Enfin, l’article 33.5 impose un troisième registre, souvent oublié : le registre interne des violations de données personnelles. Vous devez y consigner tous les incidents (fuite, perte, accès non autorisé, rançongiciel…), y compris ceux que vous décidez de ne pas notifier à la CNIL. Ce registre documente pour chaque incident : les faits, ses effets et les mesures prises. Il permet à l’autorité de vérifier, en cas de contrôle, que vous avez correctement qualifié chaque événement.

5. Dire que « toute déclaration a disparu » serait inexact. Le droit français a conservé, sur le fondement des articles 31 et 32 de la loi Informatique et Libertés modifiée, un petit nombre de formalités préalables résiduelles, essentiellement pour des traitements particulièrement sensibles ou régaliens.

Pour l’écrasante majorité des entreprises privées - commerce, services, industrie, professions libérales - aucune de ces formalités ne s’applique. Le réflexe correct n’est donc plus « déclarer », mais « documenter » : inscrire le traitement au registre, définir sa base légale, et, si le traitement présente un risque élevé, réaliser une analyse d’impact (AIPD) avant sa mise en œuvre.

L’AIPD est, en un sens, le seul véritable « garde-fou préalable » qui subsiste dans le régime RGPD - mais elle reste interne : vous ne consultez la CNIL que si le risque résiduel demeure élevé malgré les mesures prévues (art.

6. Cartographiez vos traitements. Faites le tour des services (RH, commercial, marketing, comptabilité, IT) et listez tout ce qui manipule des données personnelles. Créez votre registre des traitements (art. 30.1) en reprenant les rubriques a) à g), enrichies de la base légale. Ouvrez un registre de sous-traitance (art. Mettez en place le registre des violations (art. Traitez les données sensibles à part. Actualisez régulièrement.

L’ensemble de cette documentation ne s’envoie à personne tant que la CNIL ne la réclame pas. Mais le jour d’un contrôle - ou d’une plainte -, c’est précisément ce que l’autorité examinera en premier.

Ne pas tenir de registre, ou tenir un registre lacunaire, constitue un manquement autonome à l’article 30, passible d’une amende pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial (art. 83.4).

Non. La déclaration préalable des fichiers a été supprimée par le RGPD le 25 mai 2018. Pour l’immense majorité des traitements, vous n’avez plus aucune démarche à accomplir auprès de la CNIL avant de traiter des données. Vous devez en revanche inscrire chaque traitement à votre registre interne et être en mesure de démontrer sa conformité en cas de contrôle.

Non, un récépissé délivré avant 2018 n’a plus aucune portée juridique et ne vous protège pas. Il n’a d’ailleurs jamais valu certificat de conformité : la CNIL délivrait un simple accusé de réception sans contrôler le fond.

Oui. L’exception de l’article 30.5 pour les organisations de moins de 250 salariés est en réalité inopérante dès qu’un traitement est régulier (paie, fichier clients, adhérents…). La CNIL recommande à toutes les structures, même les plus petites, de tenir un registre, et fournit un modèle simplifié.

Le registre des traitements (art. 30.1) recense les traitements que vous menez pour votre propre compte, en tant que responsable de traitement. Le registre de sous-traitance (art. 30.2) recense les traitements que vous réalisez pour le compte de vos clients, en tant que sous-traitant.

L’absence de registre est un manquement autonome à l’article 30, sanctionnable même en l’absence de tout incident. Il relève du plafond de l’article 83.4 : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial.

Non. Aucun envoi périodique n’est prévu. Le registre est un document interne que vous tenez à jour en permanence et que vous ne communiquez qu’à la demande de la CNIL, typiquement dans le cadre d’un contrôle sur place, en ligne ou sur pièces.

En résumé : la « déclaration CNIL » appartient au passé. Le régime actuel repose sur votre responsabilité et sur trois registres que vous tenez chez vous.

Situations concrètes où la protection des données doit être pensée avec rigueur

Le RGPD impose de tenir un registre listant les traitements de données. La tenue du registre est l’occasion de sensibiliser les services aux enjeux de la protection des données.

Lors d’une inscription scolaire, il n’est en revanche pas pertinent de demander le numéro de sécurité sociale du ou des représentants légaux ou encore la copie de leur carte Vitale.

Pour la gestion de la cantine scolaire, il suffit d’enregistrer uniquement les informations relatives au régime alimentaire et aux aliments à proscrire pour un élève plutôt que d’inscrire son état de santé (ex.

Exemple de mesure de sécurité : les établissements scolaires et périscolaires sont amenés à collecter des données relatives à la santé des mineurs qu’ils accueillent dans le cadre des projets d’accueil individualisé (PAI).

Exemple de durée de conservation : dans le cadre d’un de prévention de la délinquance mis en oeuvre par une mairie, les données sur une personne peuvent être conservées pendant le temps du suivi. Les données peuvent ensuite être conservées en archive durant 3 ans après la fin du suivi.

Le nombre toujours croissant de plaintes reçues par la CNIL témoigne de la sensibilité accrue des personnes concernant la protection de leurs données personnelles.

Ces droits comprennent chacun des exceptions et des limitations spécifiques, en fonction de la du traitement ou de son contexte.

Si vous disposez d’un site web, prévoyez un formulaire de contact spécifique, un numéro de téléphone ou une adresse de messagerie dédiée.

Vous devez mettre en place des mesures techniques et organisationnelles pour garantir la sécurité des données.

Trois types de risques sont ainsi à considérer : l’accès illégitime à des données, leur modification non désirée et leur disparition.

Ces risques ne sont pas théoriques. Tous les jours, la CNIL reçoit des notifications de qui témoignent des faiblesses de la sécurisation de nombreux systèmes d’information.

Les agents disposent d’un identifiant propre avec un mot de passe personnel, complexe, et régulièrement mis à jour. Leurs accès aux fichiers sont définis en fonction de leurs besoins réels en lien avec l’exercice de leur mission et leurs comptes informatiques sont clos à la fin de leur contrat.

Les armoires sont fermées à clé.

les comptes utilisateurs sont-ils protégés par des mots de passe d’une complexité suffisante ? des mobiles multifonctions (smartphone), ordinateurs portables ou clé USB sont-ils utilisés ? Des données personnelles ont été, de manière accidentelle ou illicite, détruites, perdues, altérées, divulguées (courriels transmis à des mauvais destinataires, équipement perdu ou volé, publication involontaire de données sur internet, etc.) ? Si cette violation est susceptible de représenter un risque pour les droits et libertés des personnes concernées, vous devez la signaler à la CNIL dans les 72 heures.

Vous êtes victime de cybermalveillance ?

Exemples de traitements et formalités résiduelles

1. RU-075 : Traitements Algorithmiques sur les Images de Vidéoprotection et Caméras sur Aéronefs

Pourquoi la déclaration ? La surveillance algorithmique pose des enjeux majeurs en termes de respect de la vie privée et de la protection des données personnelles. La déclaration garantit que ces pratiques respectent les normes du RGPD.

Exemple Pratique : Prenons l’exemple d’une ville équipant ses drones de caméras pour la surveillance urbaine. La déclaration auprès de la CNIL permettrait de s’assurer que les algorithmes analysant les images collectées respectent les droits des individus filmés, en termes de conservation des données et de leur utilisation.

2. RU-072 : Captation et Traitements d’Images par des Aéronefs de la Police et Gendarmerie

Pourquoi la déclaration ? Cette mesure vise à encadrer l’utilisation des technologies de surveillance par les forces de l’ordre, afin de maintenir un équilibre entre sécurité et respect de la vie privée.

Exemple Pratique : L’utilisation de drones par la gendarmerie pour surveiller des zones sensibles doit être déclarée pour s’assurer de la conformité des pratiques de collecte et d’analyse d’images avec les directives du RGPD.

3. RU-071 : Vidéosurveillance et Contrôle des Accès des Locaux du Ministère des Armées

Pourquoi la déclaration ? La déclaration assure que la surveillance et le contrôle d’accès dans les zones sensibles respectent les principes de proportionnalité et de nécessité en matière de traitement des données personnelles.

Exemple Pratique : L’installation de systèmes de vidéosurveillance dans une base militaire doit faire l’objet d’une déclaration pour vérifier que les données collectées ne sont pas utilisées au-delà du strict nécessaire pour la sécurité des lieux.

4. RU-070 : Gestion des Traces des Systèmes d’Information du Ministère de la Défense

Pourquoi la déclaration ? La gestion des traces numériques est cruciale pour la sécurité nationale, mais doit également respecter les droits individuels à la protection des données.

Exemple Pratique : Le traitement des logs et autres traces laissées par les utilisateurs des systèmes d’information du Ministère de la Défense nécessite une déclaration pour s’assurer de la conformité de leur conservation et de leur analyse.

5. RU-069 : Caméras Mobiles des Gardes Champêtres

Pourquoi la déclaration ? L’usage de caméras mobiles par les gardes champêtres engage des questions de surveillance dans l’espace public, nécessitant un cadre légal strict pour leur utilisation.

Exemple Pratique : Si un garde champêtre utilise une caméra mobile durant ses patrouilles, la déclaration auprès de la CNIL permet de s’assurer que les enregistrements sont utilisés conformément aux réglementations sur la vie privée.

6. RU-068 : Système de Signalement de Drones (SSD)

Pourquoi la déclaration ? Le signalement et la surveillance des drones impliquent la collecte de données personnelles sensibles, notamment sur les opérateurs de drones. La déclaration assure la conformité de ces pratiques avec le RGPD.

Exemple Pratique : La mise en place d’un système de surveillance des drones dans une ville pour des raisons de sécurité nécessiterait une déclaration pour contrôler et limiter la collecte de données personnelles des opérateurs.

7. RU-067 : Captation et Traitements d’Images par des Aéronefs de la Sécurité Civile

Pourquoi la déclaration ? Ce traitement concerne l’utilisation d’images capturées par des aéronefs pour la gestion des urgences et des catastrophes, nécessitant un encadrement strict pour protéger la vie privée des personnes filmées.

Exemple Pratique : Lors d’une catastrophe naturelle, des drones de la sécurité civile captent des images pour coordonner les secours. La déclaration CNIL est cruciale pour s’assurer que ces images ne sont pas exploitées au-delà de l’urgence immédiate.

8. RU-066 : Caméras Mobiles des Sapeurs-Pompiers

Pourquoi la déclaration ? L’utilisation de caméras par les sapeurs-pompiers durant leurs interventions soulève des questions de confidentialité et de respect de l’intimité des personnes secourues.

Exemple Pratique : L’emploi de caméras corporelles par les pompiers lors d’interventions nécessite une déclaration pour s’assurer que les enregistrements sont traités de manière appropriée, respectant la vie privée des individus aidés.

9. RU-065 : Caméras Mobiles des Agents de Police Municipale

Pourquoi la déclaration ? La surveillance par les caméras mobiles de la police municipale doit être strictement réglementée pour éviter les abus et garantir le respect des droits fondamentaux des citoyens.

Exemple Pratique : Dans une commune équipant sa police municipale de caméras corporelles, la déclaration auprès de la CNIL est indispensable pour veiller à ce que ces outils ne soient utilisés qu’en conformité avec les principes de proportionnalité et de nécessité.

10. RU-058 : Caméras Mobiles des Agents de la Police Nationale et des Militaires de la Gendarmerie Nationale

Pourquoi la déclaration ? Les enjeux de respect de la vie privée et de la protection des données sont particulièrement prégnants dans le cadre de l’utilisation des caméras par les forces de l’ordre.

Exemple Pratique : L’adoption de caméras individuelles par les agents de police et les gendarmes, par exemple lors de manifestations, requiert une déclaration pour s’assurer que les enregistrements ne violent pas les droits des citoyens à la vie privée.

Ces exemples illustrent la nécessité de la déclaration de conformité auprès de la CNIL pour une variété de traitements. Elle constitue une garantie essentielle que les mesures de surveillance et de traitement des données sont mises en œuvre dans le respect des normes de protection de la vie privée et des données personnelles.

11. RU-054 : Vidéosurveillance dans les Locaux des Ministères de l’Environnement, de l’Énergie et de la Mer, du Logement et de l’Habitat Durable

Pourquoi la déclaration ? L’installation de systèmes de vidéosurveillance dans les locaux gouvernementaux sensibles exige un strict respect des normes de protection des données pour éviter toute utilisation abusive ou inappropriée des images capturées.

Exemple Pratique : La mise en place de caméras de surveillance dans les bureaux d’un ministère requiert une déclaration pour s’assurer que l’enregistrement et l’utilisation des images sont strictement limités aux objectifs de sécurité et ne portent pas atteinte à la vie privée des employés et visiteurs.

12. RS-04 Référentiel « Accès Compassionnel »

Pourquoi la déclaration ? Ce référentiel concerne le traitement des données personnelles dans le cadre de l’accès compassionnel à des médicaments. La déclaration garantit le respect de la confidentialité et de la sécurité des données des patients concernés.

Exemple Pratique : Un laboratoire pharmaceutique gérant un programme d’accès compassionnel doit déclarer ses processus de traitement des données des patients pour assurer la conformité avec les normes de protection des données du RGPD.

13. RU-039 : Dépistage de la Rétinopathie Diabétique

Pourquoi la déclaration ? Les données collectées lors du dépistage de maladies comme la rétinopathie diabétique sont extrêmement sensibles. La déclaration auprès de la CNIL assure que ces données sont traitées de manière sécurisée et confidentielle.

Exemple Pratique : Lors de campagnes de dépistage organisées par des institutions de santé, la collecte et le traitement des données médicales des patients doivent être déclarés pour garantir leur protection et leur confidentialité.

14. RU-036 : Vidéoprotection et Sécurisation des Locaux du Ministère de l’Intérieur

Pourquoi la déclaration ? La mise en œuvre de systèmes de vidéosurveillance au sein des institutions gouvernementales sensibles, comme le Ministère de l’Intérieur, exige une vigilance accrue pour assurer la protection des données personnelles.

Exemple Pratique : L’installation de caméras dans les locaux du Ministère de l’Intérieur doit faire l’objet d’une déclaration pour contrôler l’usage et la conservation des images, assurant ainsi la protection de la vie privée des individus filmés.

15. RU-031 : Vidéosurveillance dans les Établissements Pénitentiaires

Pourquoi la déclaration ? La surveillance dans les environnements pénitentiaires soulève des questions complexes de protection de la vie privée et des droits des détenus.

Exemple Pratique : L’emploi de systèmes de vidéosurveillance dans une prison nécessite une déclaration pour veiller à ce que les enregistrements ne soient pas utilisés à des fins autres que la sécurité et la gestion de l’établissement.

16. RS-03 Référentiel « Accès Précoce »

Pourquoi la déclaration ? Ce référentiel traite des données personnelles dans le cadre de l’autorisation d’accès précoce à des médicaments, nécessitant une gestion minutieuse des informations des patients.

Exemple Pratique : Un programme d’accès précoce à un nouveau traitement médical doit déclarer ses méthodes de traitement des données patients pour assurer la conformité avec les règlementations en vigueur en matière de protection des données.

17. RU-025 : Outils de Recherche de Contamination ADN (ORCA)

Pourquoi la déclaration ? Les traitements relatifs à la contamination ADN impliquent la gestion de données extrêmement sensibles. La déclaration assure une manipulation et une protection appropriées de ces informations.

Exemple Pratique : L’utilisation d’outils de recherche de contamination ADN par les autorités judiciaires doit être déclarée pour garantir la conformité avec les normes de confidentialité et de sécurité des données personnelles.

18. RU-024 : Bases d’Analyse Sérielles de Police Judiciaire

Pourquoi la déclaration ? Les bases d’analyse sérielle permettent de rassembler et d’analyser de grandes quantités de données dans le cadre d’enquêtes judiciaires. La déclaration garantit que ces pratiques respectent les normes de confidentialité et de protection des données personnelles.

Exemple Pratique : Lorsqu’une unité de police crée une base de données pour l’analyse de séries de crimes, elle doit déclarer ce traitement à la CNIL pour s’assurer que les données personnelles des suspects ou des victimes sont traitées de manière éthique et légale.

19. RU-018 : ANACRIM - Logiciel de Rapprochement Judiciaire à des Fins d’Analyse Criminelle

Pourquoi la déclaration ? ANACRIM est un outil puissant pour l’analyse criminelle. La déclaration de conformité sert à vérifier que le traitement des données dans ce cadre respecte les droits des personnes concernées et suit les lignes directrices du RGPD.

Exemple Pratique : L’utilisation d’ANACRIM par la police pour relier des données de différentes affaires doit être déclarée pour garantir que les informations personnelles sont utilisées dans le strict cadre de l’enquête et protégées adéquatement.

20. RU-016 : Gestion des Habilitations « Secret Défense »

Pourquoi la déclaration ? La gestion des habilitations au secret de la défense nationale implique des données personnelles sensibles. La déclaration auprès de la CNIL assure que ces données sont traitées avec le plus haut niveau de sécurité et de confidentialité.

Exemple Pratique : Lors de la mise en place d’un système pour gérer les habilitations « Secret Défense » au sein d’une agence gouvernementale, la déclaration est essentielle pour confirmer la conformité du traitement des données personnelles des individus habilités, en accord avec les normes de protection des données.

21. RU-015 : Fichiers des Résidents des Zones de Sécurité

Pourquoi la déclaration ? La création de fichiers contenant des données personnelles des résidents dans des zones de sécurité lors d’événements majeurs nécessite un strict respect des normes de confidentialité et de protection des données.

Exemple Pratique : Lors d’un grand événement public, la collecte de données sur les résidents pour des raisons de sécurité doit être déclarée à la CNIL pour s’assurer que ces informations sont utilisées de manière éthique et légale.

22. RU-012 : BIOAP - Identification des Personnes Écrouées

Pourquoi la déclaration ? Les traitements automatisés relatifs à l’identification des personnes incarcérées impliquent des données sensibles. La déclaration garantit le respect des droits des détenus en matière de protection des données personnelles.

Exemple Pratique : L’utilisation d’un système automatisé pour l’identification biométrique dans une prison doit être déclarée pour veiller à la conformité avec les normes de protection des données et le respect de la vie privée des détenus.

23. RU-010 : Lecture Automatisée des Plaques d’Immatriculation (LAPI)

Pourquoi la déclaration ? La LAPI permet le suivi et le contrôle des véhicules et engage des données personnelles. Une déclaration est requise pour assurer la légalité et la proportionnalité de ces pratiques.

Exemple Pratique : L’installation de caméras LAPI dans une ville pour la gestion du trafic et la surveillance doit être déclarée à la CNIL pour contrôler l’utilisation et la conservation des données collectées.

24. RS-01 : Gestion des Vigilances Sanitaires

Pourquoi la déclaration ? Les traitements relatifs à la gestion des vigilances sanitaires comprennent des données de santé, requérant une attention particulière en matière de confidentialité et de sécurité.

Exemple Pratique : Le suivi des effets secondaires des médicaments par une agence de santé doit être déclaré pour garantir que les données des patients sont traitées de manière sécurisée et confidentielle.

25. RU-009 : Communes - Gestion des Infractions Pénales

Pourquoi la déclaration ? Les traitements automatisés mis en œuvre par les communes pour la recherche et la constatation des infractions pénales doivent respecter les droits à la vie privée des individus concernés.

Exemple Pratique : Un système de surveillance municipale utilisé pour détecter les infractions doit être déclaré pour s’assurer que les données collectées ne sont pas abusées ou utilisées au-delà de leur but initial.

26. RU-008 : Numérisation des Procédures Pénales

Pourquoi la déclaration ? La numérisation des procédures pénales comprend des données personnelles sensibles relatives à des affaires judiciaires. La déclaration assure une gestion appropriée et sécurisée de ces données.

Exemple Pratique : L’adoption d’un système numérique pour le traitement des dossiers judiciaires doit faire l’objet d’une déclaration pour confirmer que les données sont traitées conformément aux normes de protection des données.

27. MR-008 : Accès aux Données du SNDS par les Organismes pour leurs Intérêts Légitimes

Pourquoi la déclaration ? L’accès aux données de la base principale du SNDS par des organismes pour des études ou évaluations nécessite une gestion minutieuse pour protéger les données personnelle...

Villiers-le-Bel| Action publiée depuis le05/10/2014| Actualisée le02/11/2021| statut :réaliséeprévueen coursréalisée

Synthèse La ville avait missionné dès 2013 deux agents référents pour assurer le recensement régulier des applications et/ou procédures occasionnant la création de fichiers devant faire l'objet d'une déclaration à la CNIL. Les déclarations sont effectuées dès la mise en place desdites applications et/ou fichiers. Les référents tiennent à jour la liste des déclarations effectuées et représentent en interne des personnes ressources pour répondre aux interrogations des collègues quant au cadre juridique établi par la CNIL concernant l’enregistrement et l'usage de données numériques en particulier à caractère nominatif.

Depuis 2018 et les mesures appelées et encadrées par le RGPD, la Ville a traduit cette volonté et démarche de sécurisation du traitement des données personnelles des administrés en initiant et développant une démarche de mise en conformité qui va de la nomination d'un délégué à la protection des données, en passant par la réalisation d'un audit des traitement de données personnelles, l'établissement du registre de traitements pour en venir à l'analyse d'impact actuellement réalisée en interne grâce à la mission confiée en l'occurrence au CIG.

ActionsDéclaration systématique des fichiers relevant de la loi "Informatique et Libertés" Sensibilisation des services municipaux à la nécessité de protéger les données individuelles collectées et traitées dans le cadre de leur mission. Sensibilisation également au cadre réglementaire fixé par le RGPD au décours de l'audit réalisé en 2018-2019 par le délégué à la protection des données nommé par la Collectivité. Diffusion enfin de "bonnes pratiques" en interne en matière de protection de ces données.

RésultatsTous les fichiers et ou base de données et tous les traitements et usages de ces données induisant une déclaration à la CNIL font l'objet d'une déclaration effective. Suite au RGPD applicable depuis 2018, le registre de traitement des données personnelles requis par le règlement a été constitué et est actualisé.

tags: #recepisse #de #la #declaration #de #conformite