Clôture d’une mise en demeure Informatique et Libertés après mise en conformité

La clôture d’une mise en demeure peut intervenir lorsque l’organisme contrôlé justifie de mesures correctrices jugées satisfaisantes : dépôt des demandes d’autorisation, purge ou modération des commentaires, restriction des habilitations, traçabilité des données sensibles et archivage conforme à la loi du 6 janvier 1978 modifiée.

Cette clôture ne préjuge toutefois ni de l’issue des demandes d’autorisation encore instruites, ni de contrôles ultérieurs. Le maintien des accès restreints constitue une condition de conformité expressément rappelée. Toute modification de ces habilitations doit être soumise à la Commission.

La désignation d’un correspondant Informatique et Libertés est présentée comme un moyen de veiller à l’application de la loi et dispense l’organisme de l’obligation de déclaration de ses fichiers. Le courrier peut faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.

⬇️Télécharger la décision version officielle

L’organisme a déposé deux demandes d’autorisation, réduit les zones de commentaires et instauré une modération automatique et manuelle. Il a aussi restreint les accès aux applications techniques, renforcé la traçabilité des données sensibles et organisé leur archivage. La Commission a clôturé le dossier, la procédure de contrôle et les saisines associées, sans préjuger de l’examen des demandes ni d’éventuelles vérifications ultérieures.

À la suite d’une mise en demeure, l’organisme contrôlé a adressé à la Commission deux courriers décrivant les mesures adoptées pour se mettre en conformité.

Il a déposé deux demandes d’autorisation, supprimé la majorité des zones de commentaires et mis en place une modération automatique et manuelle. Il a également restreint l’accès des gardiens aux applications de gestion technique, déployé des mesures de traçabilité des données sensibles et instauré un archivage papier et électronique jugé satisfaisant.

La Commission clôt le dossier, la procédure de contrôle et les saisines associées. Elle précise que cette clôture ne préjuge pas de l’examen des demandes d’autorisation ni d’éventuelles vérifications ultérieures. Elle relève enfin la désignation d’un correspondant Informatique et Libertés et rappelle le délai de recours de deux mois.

• Déposer les demandes d’autorisation relatives aux traitements concernés
• Purger les commentaires excessifs et les données de santé
• Maintenir une modération automatique et manuelle des observations conservées
• Limiter les habilitations des gardiens aux applications nécessaires
• Assurer la traçabilité des consultations et écritures de données sensibles
• Mettre en place un archivage papier et électronique satisfaisant

• Courriers de réponse reçus par la Commission les 27 mars et 25 mai 2012
• Dépôt des demandes d’autorisation n°1578186 et n°1585283
• Suppression des zones commentaires et dispositifs de modération
• Restriction documentée des accès des gardiens
• Calendrier de déploiement de la traçabilité des données sensibles
• Modalités d’archivage papier et électronique mises en œuvre

L’organisme contrôlé bénéficie de la clôture de la mise en demeure, du contrôle et des saisines, mais reste exposé à l’examen des autorisations et à de nouveaux contrôles. Il doit maintenir les mesures annoncées et respecter le délai de recours de deux mois.

• Maintien des accès restreints des gardiens
• Soumission de toute modification d’habilitation à la Commission
• Poursuite de la traçabilité des données sensibles
• Conservation des modalités d’archivage conformes
• Suivi des demandes d’autorisation en cours
• Exercice éventuel du recours dans les deux mois

À faire

• Maintenir les habilitations limitées des gardiens
• Soumettre toute modification d’accès à la Commission
• Poursuivre la modération des commentaires conservés
• Déployer la traçabilité selon le calendrier communiqué
• Suivre les demandes d’autorisation et le délai de recours

À éviter

• Rétablir des accès élargis sans validation
• Conserver des commentaires excessifs ou des données de santé
• Modifier les habilitations sans en informer la Commission
• Négliger la traçabilité des consultations et écritures
• Considérer la clôture comme définitive face aux contrôles ultérieurs

La clôture d’une mise en demeure

La clôture est justifiée par la mise en œuvre de mesures correctrices jugées satisfaisantes : formalités d’autorisation, modération des commentaires, restriction des accès, traçabilité des données sensibles et archivage conforme à la loi du 6 janvier 1978 modifiée. Elle ne préjuge ni de l’instruction des demandes d’autorisation ni de contrôles ultérieurs.

Le maintien des habilitations d’accès restreintes

La conformité de l’organisme contrôlé est subordonnée au maintien de l’accès limité des gardiens aux applications de gestion technique. Toute modification de cette habilitation doit être soumise à la Commission, qui indique qu’une évolution des besoins professionnels fera l’objet d’un examen spécifique.

La désignation d’un correspondant Informatique et Libertés

La Commission présente le correspondant Informatique et Libertés comme un moyen de veiller à la bonne application de la loi. Elle précise que cette désignation exonère l’organisme qui s’en est doté de l’obligation de déclaration de ses fichiers.

Loi du 6 janvier 1978 modifiée