Déclaration ou autorisation CNIL ?

Types de déclarations CNIL

Les obligations déclaratives en matière de traitements de données personnelles peuvent être classées en cinq catégories : i) les traitements bénéficiant d’une norme simplifiée (simple déclaration CNIL), ii) les traitements interdits, iii) les traitements de l’Etat et des services publics (déclaration et procédure spécifique), iv) les traitements normaux (procédure de déclaration CNIL normale), v) les traitements donnant lieu à une autorisation préalable de la CNIL.

Régime de l’autorisation CNIL préalable

En application de l’article 25 de la loi n° 78-17 du 6 janvier 1978 certains traitements doivent donner lieu à une autorisation préalable de la CNIL. Il s’agit des 9 familles de traitements de données personnelles suivants :

1° Les traitements statistiques, automatisés ou non, de l’INSEE

2° Les traitements de donnée personnelles anonymisées à brefs délais (procédé d’anonymisation préalablement reconnu conforme par la CNIL) qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l’appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci

3° Les traitements automatisés portant sur des données génétiques, à l’exception de ceux d’entre eux qui sont mis en oeuvre par des médecins ou des biologistes et qui sont nécessaires aux fins de la médecine préventive, des diagnostics médicaux ou de l’administration de soins ou de traitements ;

4° Les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté, sauf ceux qui sont mis en oeuvre par des auxiliaires de justice pour les besoins de leurs missions de défense des personnes concernées ;

5° Les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire (exemple : listes noires des mauvais payeurs, listes noires des locataires défaillants tenues par les agences immobilières …) ;

6° Les traitements automatisés ayant pour objet : i) l’interconnexion de fichiers relevant d’une ou de plusieurs personnes morales gérant un service public et dont les finalités correspondent à des intérêts publics différents ; ii) l’interconnexion de fichiers relevant d’autres personnes et dont les finalités principales sont différentes.

7° Les traitements portant sur des données parmi lesquelles figure le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (RNIPP) et ceux qui requièrent une consultation de ce répertoire sans inclure le numéro d’inscription à celui-ci des personnes. Le RNIPP est tenu par l’Insee depuis 1946 (image des registres d’état civil). Il est mis à jour très régulièrement grâce aux bulletins statistiques de l’état civil établis et adressés à l’Insee par les communes à la suite de naissances, décès, reconnaissances, et mentions portées en marge des actes de naissance pour les personnes nées en France métropolitaine et dans les départements d’outre-mer (DOM).

Dans ce répertoire figurent des informations sur l’état-civil : le nom de famille et parfois le nom d’usage (ou nom marital), les prénoms, le sexe, la date et le lieu de naissance, la date et le lieu de décès pour les personnes décédées, le numéro de l’acte de naissance (et de décès)… ainsi que le numéro d’inscription au répertoire (NIR).

8° Les traitements automatisés de données comportant des appréciations sur les difficultés sociales des personnes ;

9° Les traitements automatisés comportant des données biométriques nécessaires au contrôle de l’identité des personnes.

Procédure CNIL

En matière d’autorisation préalable, le CNIL se prononce dans un délai de deux mois à compter de la réception de la demande. Toutefois, ce délai peut être renouvelé une fois sur décision motivée du président de la CNIL. Lorsque la CNIL ne s’est pas prononcée dans ces délais, la demande d’autorisation est réputée rejetée.