Protection des données personnelles sur les sites web privés : consentement, information et dispense de déclaration

L’article 24 de cette loi permet une dispense de déclaration pour les sites mis en œuvre par des particuliers dans le cadre d’une activité exclusivement privée, diffusant ou collectant des données personnelles. Cette dispense ne supprime pas les autres obligations applicables, notamment celles issues de la loi du 21 juin 2004 pour la confiance dans l’économie numérique, de la loi du 29 juillet 1881 sur la liberté de la presse et de l’article 9 du code civil.

La diffusion d’un nom, d’une photographie ou d’une autre donnée identifiante suppose le consentement préalable de la personne concernée. Pour un mineur, l’accord du mineur et l’autorisation expresse des parents ou du responsable légal sont requis. L’information doit porter sur le responsable, la finalité de diffusion, ses conséquences, l’objet du site et les droits d’accès, de rectification et d’opposition. La personne peut s’opposer à tout moment, sauf lorsque les données ont été rendues publiques par elle-même.

Les données relatives aux infractions, condamnations et mesures de sûreté concernant des tiers ne peuvent être diffusées. La CNIL recommande également de ne pas publier les données révélant les origines raciales ou ethniques, les opinions, l’appartenance syndicale, la santé ou la vie sexuelle. Pour la collecte, l’information doit préciser la finalité, les destinataires et les droits, tandis que la conservation doit rester limitée et la transmission à des tiers être précédée d’une information et d’une possibilité d’opposition.

⬇️Télécharger la décision version officielle

Ces sites peuvent être créés et administrés directement par un particulier ou avec l’intervention d’un prestataire. Ils peuvent diffuser des données personnelles, telles que des noms ou des images, ou collecter des informations concernant les visiteurs, comme leur nom ou leur adresse électronique.

La Commission rappelle que ces opérations constituent des traitements automatisés soumis à la loi informatique et libertés. Elle précise l’identité du responsable du traitement, les conditions de diffusion et de collecte, les droits des personnes ainsi que les limites applicables aux données sensibles, aux données relatives aux infractions et aux informations concernant les mineurs. Elle rappelle également la dispense de déclaration applicable aux activités exclusivement privées.

• Initiative de création du site par le responsable du traitement
• Activité exclusivement privée pour bénéficier de la dispense de déclaration
• Consentement préalable à la diffusion des données personnelles
• Information sur le responsable, la finalité et les droits
• Autorisation expresse des parents pour les données des mineurs
• Durée de conservation limitée à l’objet du site
• Information et possibilité d’opposition avant toute transmission

• Nom, photographie ou élément permettant d’identifier une personne
• Informations collectées auprès des visiteurs du site
• Consentement préalable de la personne concernée
• Autorisation expresse des parents ou du responsable légal
• Information relative à la finalité et aux destinataires

• Limiter l’accès aux proches identifiés
• Recueillir le consentement avant toute diffusion
• Obtenir l’autorisation parentale pour les mineurs
• Informer sur la finalité, les destinataires et les droits
• Supprimer ou ne pas diffuser les données interdites ou sensibles
• Limiter la conservation et permettre l’opposition

À faire

• Identifier le responsable de la création du site
• Informer les personnes sur la finalité du traitement
• Recueillir le consentement préalable à la diffusion
• Obtenir l’autorisation parentale pour les mineurs
• Limiter conservation, accès et transmissions

À éviter

• Diffuser des données pénales concernant des tiers
• Publier des données sensibles sur un site personnel
• Omettre les droits d’accès, rectification et opposition
• Transmettre des données sans information préalable
• Rendre accessibles les données à un public non identifié

La qualification des sites web personnels comme traitements automatisés

La diffusion ou la collecte de données à caractère personnel depuis un site web constitue un traitement automatisé soumis à la loi n° 78-17 du 6 janvier 1978. L’article 3 désigne comme responsable la personne qui prend l’initiative de créer le site, même si un prestataire en assure la gestion technique. L’article 24 permet une dispense de déclaration pour les activités exclusivement privées.

Le consentement et l’information des personnes concernées

La diffusion de données personnelles suppose le consentement préalable des personnes concernées. Les intéressés doivent être informés de l’identité du responsable, de la finalité, des conséquences de la diffusion, de l’objet du site et des droits d’accès, de rectification et d’opposition. Pour les mineurs, l’accord du mineur et l’autorisation expresse des parents ou du responsable légal sont requis.

Les restrictions applicables aux données diffusées ou collectées

Les sites personnels ne peuvent diffuser les données concernant les infractions, condamnations et mesures de sûreté de tiers. La CNIL recommande de ne pas diffuser les données révélant les origines raciales ou ethniques, les opinions, l’appartenance syndicale, la santé ou la vie sexuelle. Les données collectées doivent être conservées pendant une durée limitée et leur transmission à des tiers suppose information et possibilité d’opposition.