Traitements de données nominatives : l’obligation d’avis ou de déclaration préalable malgré la qualification d’essai

La délibération distingue la procédure de conseil de la procédure légale applicable aux traitements automatisés d’informations nominatives. Dès lors que des personnes physiques sont identifiables directement ou indirectement, toute création ou modification d’un traitement, même limitée dans le temps ou géographiquement et même précédée d’un conseil de la Commission, doit faire l’objet d’une demande d’avis ou d’une déclaration préalable avant sa mise en œuvre. Le détenteur reste soumis aux autres obligations prévues par la loi n° 78-17 du 6 janvier 1978, notamment celles résultant des articles 4 et 6 ainsi que du chapitre III relatif aux formalités préalables.

La procédure de conseil prévue par l’article 1er, alinéa 3, du décret n° 78-774 du 17 juillet 1978 est réservée aux projets antérieurs à la mise en œuvre des traitements, aux projets de modification de systèmes existants avant leur réalisation, et aux essais portant sur des personnes non identifiables mais susceptibles d’aboutir à un traitement d’informations nominatives. La qualification d’essai ou d’expérience ne suffit donc pas à écarter les formalités légales.

⬇️Télécharger la décision version officielle

La CNIL distingue la procédure de conseil des formalités préalables applicables aux traitements automatisés d’informations nominatives. Les applications concernant des personnes identifiables restent soumises à une demande d’avis ou à une déclaration, même lorsqu’elles sont temporaires ou limitées géographiquement. La procédure de conseil concerne certains projets antérieurs à leur mise en œuvre ou des essais portant sur des personnes non identifiables, susceptibles d’aboutir ultérieurement à un traitement nominatif.

La Commission Nationale de l’Informatique et des Libertés a été saisie de demandes de conseil concernant des applications ou projets informatiques présentés comme des essais ou des expériences. La diversité des critères utilisés pour cette qualification l’a conduite à préciser la distinction entre la procédure de conseil et les formalités préalables applicables aux traitements automatisés d’informations nominatives.

Elle rappelle que les applications concernant des personnes physiques identifiables directement ou indirectement restent soumises à une demande d’avis ou à une déclaration préalable, même lorsqu’elles sont limitées dans le temps ou leur ressort géographique. La procédure de conseil concerne uniquement certains projets antérieurs à leur mise en œuvre ou des essais portant sur des personnes non identifiables susceptibles d’aboutir ultérieurement à un traitement nominatif.

• Identifier directement ou indirectement les personnes physiques concernées
• Vérifier la création ou la modification d’un traitement automatisé
• Accomplir la demande d’avis ou la déclaration avant la mise en œuvre
• Réserver le conseil aux projets antérieurs à leur réalisation
• Constater l’absence d’identifiabilité pour les essais relevant du conseil
• Maintenir les autres obligations prévues par la loi n° 78-17

• La qualification déclarée d’essai ou d’expérience
• La possibilité d’identification directe des personnes physiques
• La possibilité d’identification indirecte des personnes physiques
• La limitation éventuelle de la durée ou du ressort géographique
• Le stade du projet avant création, modification ou mise en œuvre

La qualification d’essai ou d’expérience ne neutralise pas les formalités applicables lorsque des personnes physiques sont identifiables. Le responsable du traitement doit distinguer le conseil préalable des obligations d’avis ou de déclaration et conserver les autres garanties prévues par la loi.n

• Déterminer l’identifiabilité directe ou indirecte des personnes
• Déposer une demande d’avis ou une déclaration préalable
• Vérifier le stade de création ou de modification du projet
• Ne pas invoquer une limitation géographique ou temporelle comme dispense
• Maintenir l’ensemble des obligations légales du détenteur

À faire

• Qualifier les personnes comme identifiables ou non
• Décrire précisément le traitement envisagé
• Vérifier s’il s’agit d’une création ou modification
• Effectuer l’avis ou la déclaration avant mise en œuvre
• Contrôler les obligations légales complémentaires

À éviter

• Assimiler un essai à une dispense automatique
• Commencer le traitement avant la formalité requise
• Négliger l’identification indirecte des personnes
• Se fonder uniquement sur une durée limitée
• Considérer un conseil antérieur comme une autorisation

Les formalités préalables des traitements nominatifs

nDès lors qu’une application concerne des personnes physiques identifiables directement ou indirectement, sa création ou sa modification est soumise à une demande d’avis ou à une déclaration préalable avant sa mise en œuvre. La limitation de la durée ou du ressort géographique, ainsi qu’un conseil antérieur de la Commission, ne dispense pas de cette procédure ni des autres obligations légales.n

La procédure de conseil des projets informatiques

nLa procédure prévue par l’article 1er, alinéa 3, du décret du 17 juillet 1978 vise exclusivement les projets de création de systèmes avant la mise en œuvre des traitements, les projets de modification avant leur réalisation et certains essais portant sur des personnes non identifiables.n

Le critère d’identifiabilité des personnes

nL’identifiabilité directe ou indirecte des personnes exclut la procédure de conseil comme substitut aux formalités légales. Seuls les essais portant sur des personnes non identifiables peuvent relever du conseil lorsqu’ils sont susceptibles d’aboutir à un traitement d’informations nominatives.

Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, Article 4 de la loi n° 78-17 du 6 janvier 1978, Article 6 de la loi n° 78-17 du 6 janvier 1978, Article 1er alinéa 3 du décret n° 78-774 du 17 juillet 1978