Site Web Obligation légale et Dispenses de déclaration auprès de la CNIL

Les notions de « données à caractère personnel » et « données à caractère nominatif » sont synonymes.

Article 1^er de la Loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques précise qu’une donnée à caractère personnel est une information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d’identification ou à un ou plusieurs éléments qui lui sont propres.

Dans le cas d’un site Web, sont considérés comme traitement de données à caractère personnel, la collecte d’adresses mail ou un formulaire en ligne.

Pour les sites utilisant de tels traitements, l’éditeur du site doit respecter les dispositions légales en matière de protection des données

La déclaration à la CNIL va donc dépendre de l’objet des traitements de données à caractère personnel contenu opérés à partir du site Web, intégrés au site ou issus de celui-ci.

Cependant, trois types de sites Web sont dispensés de déclaration préalable :

• Les sites de particuliers dans le cadre d’une activité exclusivement personnelle : blogs
• Les sites institutionnels, sans finalité commerciale, dont les traitements ont pour finalité l’information ou la communication externe : statistiques de fréquentation, newsletters, …
• Les sites d’associations à but non lucratif régis par la Loi de 1901, dont les traitements sont relatifs à la gestion de leurs membres et donateurs

En dehors de ces trois dispenses, une déclaration simplifiée préalable auprès de la CNIL est généralement suffisante où il suffit de préciser la finalité des traitements à caractère personnel, lorsqu’il y en a.

C’est la cas des sites marchands, appelés aussi site de e-commerce, ou de ventes en ligne.

Dans les autres cas, l’éditeur du site doit déposer une déclaration normale auprès de la CNIL.

ATTENTION :

Article 226-16 alinéa 1^er du Code pénal : « Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en œuvre prévues par la Loi est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende »

Philippe Garin, plus de 20 ans de management en entreprise

Pour plus de conseils, contactez-moi : phgarin@gmail.com

Pour en savoir plus :

Inscrivez-moi à la Newsletter (recommandé)

Nom Prénom(obligatoire)

Email(obligatoire)

Soumettre

Δ

En complément :

Nom de domaine Réservation Disponibilité
Principe de l’« opt-in » ou règle du consentement préalable
Exceptions au principe du consentement préalable

Identification Exigence de conservation des données
Données de trafic de télécommunication Exigence de conservation des opérateurs
Hadopi : Liste des sites de téléchargement légal

Autres Juridique :

Récapitulatif 5 Juridique

Conséquences de l’absence de déclaration à la CNIL d’un système de badgeage

Certaines entreprises « omettent » de déclarer à la CNIL les systèmes de badges électroniques et les traitements nominatifs associés, dont elles se servent.

Voici un arrêt de la cour de cassation sur l’absence de déclaration à la CNIL qui devrait les faire réfléchir :

29/04/2004 – Arrêt de la cour de cassation

Par son arrêt du 6 avril 2004 (n°944), la Cour de cassation a précisé les conséquences qu’entraînent, pour un employeur, l’absence de déclaration auprès de la CNIL de la mise en œuvre d’un système de contrôle automatisé des entrées et sorties des salariés au moyen de badges.
Une telle omission a pour conséquence, alors même que le règlement intérieur de la société fait obligation au personnel d’utiliser un tel système et que l’existence de celui-ci a été portée à la connaissance préalable des employés, d’interdire à l’employeur de sanctionner le salarié refusant de s’y plier.

Le règlement intérieur de la société en cause, affiché dans les locaux et contresigné par chaque salarié, comportait l’obligation pour le personnel de se soumettre, lors de l’entrée et de la sortie des locaux, à l’utilisation du système de badges mis en place aux fins de permettre la gestion des temps de travail ainsi que l’identification et le dénombrement des personnes présentes dans l’entreprise pour des impératifs de sécurité.

Un salarié de la société ayant, à dix-neuf reprises, refusé d’utiliser son badge à la sortie de l’entreprise, a été licencié en avril 1998 pour fautes simples, notamment pour non-respect de l’obligation de badger et violation réitérée du règlement intérieur.

Le système de badges n’a fait l’objet d’une déclaration auprès de la CNIL qu’en juillet 2000.

La Cour d’appel de Nancy ayant, par un arrêt du 25 juin 2001, déclaré le licenciement sans cause réelle et sérieuse, la société a formé un pourvoi en cassation.

Il s’agissait donc de déterminer si le refus pour le salarié licencié de badger, comme le lui imposait le règlement intérieur qu’il connaissait, constituait une faute disciplinaire constitutive d’une cause réelle et sérieuse de licenciement, alors que le système n’était pas déclaré à la CNIL.

La Chambre sociale de la Cour de cassation rejette le pourvoi, estimant qu’:« à défaut de déclaration à la CNIL d’un traitement automatisé d’informations nominatives concernant un salarié, son refus de déférer à une exigence de son employeur impliquant la mise en œuvre d’un tel traitement ne peut lui être reproché ».

En d’autres termes, l’absence de déclaration d’un système de contrôle par badges des entrées et sorties du personnel a pour conséquence, sur le plan civil, d’interdire à l’employeur de sanctionner le salarié refusant d’utiliser un tel système, alors même que le règlement intérieur de la société en fait l’obligation au personnel et que l’existence de celui-ci a été portée à la connaissance préalable des salariés.

La Cour de cassation fait ainsi une application combinée des articles de la loi informatique et libertés relatifs à l’obligation de déclaration préalable par les organismes privés, à l’obligation d’information préalable des personnes concernées et au droit d’accès, du Code pénal (article 226-16, sur la sanction pénale de la non-déclaration), ainsi que du Code du travail (articles L. 121-8 et L. 432-2-1 sur l’obligation d’information préalable des salariés).

Philippe Garin, plus de 20 ans de management en entreprise

Pour plus de conseils, contactez-moi : phgarin@gmail.com

Pour en savoir plus :

Inscrivez-moi à la Newsletter (recommandé)

Nom Prénom(obligatoire)

Email(obligatoire)

Soumettre

Δ

En complément :

Mention « personnel » contre « caractère professionnel » des documents en entreprise
Test congés payés à l’usage des employeurs
Géolocalisation par GPS à déclarer à la CNIL

CNIL et données personnelles
Conseil de prud’hommes Art. L 512-1 et L 512-8 du Code du travail
La charte informatique

Autres Juridique :

Récapitulatif 1 Juridique
Récapitulatif 5 Juridique