Tribunes

Le Correspondant Informatique et Libertés (CIL)

Troisième épisode d'une série sur les droits et obligations de l'entreprise en matière de données personnelles.

PublicitéDepuis la loi du 6 août 2004, modifiant la loi du 6 janvier 1978, tous les organismes, qu'ils soient publics ou privés, qu'il s'agisse d'associations, d'entreprises, d'administrations ou de collectivités locales..., ont la faculté de désigner un Correspondant Informatique et Libertés (CIL). L'allègement des formalités déclaratives Cette désignation présente, pour l'essentiel, l'avantage d'alléger les formalités déclaratives. En effet, en présence d'un CIL, le responsable des traitements est dispensé de l'accomplissement de tout ou partie des formalités préalables au traitement de données à caractère personnel. Les traitements soumis à exonération sont ainsi référencés dans une liste qui est tenue à jour, localement, par le CIL. Cette exonération ne concerne cependant que les traitements courants et ordinaires. En effet, seuls les traitements soumis à autorisation ou avis préalable de la CNIL, c'est-à-dire les traitements dits sensibles, ou encore les traitements dont l'objet est le transfert de données en dehors de l'Union Européenne, doivent être déclarés auprès des services de la commission. Enfin, on précisera que la désignation d'un CIL n'a pas pour fonction d'exonérer le responsable de traitement de sa responsabilité civile et pénale. S'il est un interlocuteur privilégié de la Cnil, il doit cependant veiller à ce que l'ensemble des traitements de données personnelles soit exécuté dans le respect de la loi Informatique et Libertés. Les missions du CIL Le CIL a vocation à être un conseiller spécialisé en matière de protection des données à caractère personnel à l'égard du responsable de traitement. Il doit s'assurer que les droits des personnes concernées par ce traitement sont respectés : droit d'accès, droit de rectification et de radiation, droit d'opposition.... Il est notamment tenu de les informer des traitements mis en oeuvre les concernant, ainsi que de veiller à ce que ces traitements n'excèdent pas les finalités pour lesquelles ils sont prévus. Il doit également vérifier que les règles de sécurité pour préserver la confidentialité des données sont bien mises en oeuvre. Il reçoit les demandes et réclamations émanant des individus concernés par les traitements pour lesquels il a été désigné, et doit s'assurer de la transmission de ces requêtes aux services de l'organisme compétents. Il conseille ces derniers dans le cadre de la réponse à apporter au requérant. A cet effet, le CIL exerce une fonction de médiateur entre l'organisme procédant au traitement de données personnelles et les individus sujets à de tels traitements. Le CIL doit répondre aux demandes spécifiques du responsable de traitement et faire à ce dernier toute préconisation sur les solutions organisationnelles ou technologiques les mieux adaptées aux besoins de la structure. Plus généralement, il se caractérise, selon la Cnil, comme étant « un outil privilégié de diffusion de la culture informatique et libertés au sein des organismes traitant des données à caractère personnel ». Pour mener à bien cette mission, le CIL doit collaborer étroitement avec, d'une part, le responsable du traitement, d'autre part, la Cnil. Cette dernière organise à cet effet une série de réunions d'information qui ont pour objectif de contribuer au développement des connaissances et des qualifications des CIL, sur l'application de la loi « informatique et libertés ». Le CIL doit établir et actualiser régulièrement la liste des traitements automatisés mis en oeuvre au sein de l'établissement auprès duquel il a été désigné. Il doit, en outre, être consulté préalablement à la mise en oeuvre de nouveaux traitements automatisés, lesquels ont vocation à figurer sur ladite liste. En cas de manquement par le responsable de traitement à l'une des obligations légales lui incombant, le CIL doit informer ce dernier de sa découverte, avant de procéder à une saisine de la Cnil. Il doit également le conseiller dans les démarches à suivre aux fins de remédier à de telles lacunes. Enfin, le CIL doit rédiger un bilan annuel faisant état de son action au sein de l'organisme, le présenter devant le responsable des traitements et en informer la Cnil en dernier ressort. D'autres missions peuvent être confiées au CIL, telles que l'élaboration des dossiers de formalités auprès de la CNIL pour les traitements ne bénéficiant pas de cette dispense, la mise en oeuvre de mesures de formation et de sensibilisation des employés chargés du traitement de données personnelles ou ayant un accès direct à celles-ci, quant aux obligations légales relatives à la protection des données personnelles, etc. Les modalités d'exercice du CIL Le CIL peut être un employé de l'entreprise, c'est à dire un correspondant « interne ». Il peut n'avoir aucun lien avec l'organisme qui fait appel à lui. Il s'agit dans ce cas, d'un CIL « externe ». Le recours à l'une ou l'autre catégorie de correspondant présente des intérêts différents. Toutefois, ce choix n'est pas toujours ouvert au responsable de traitement, le décret 2005-1309 du 20 octobre 2005 fixant le seuil au-delà duquel ce choix est restreint. En effet, lorsque la structure chargée de la mise en oeuvre de traitement ou y ayant directement accès comprend plus de cinquante (50) employés, le choix du recours à un correspondant interne ou externe est limité. En effet, ne peuvent être désignés comme CIL qu'un employé de l'organisme, un employé de l'une des entités du groupe auquel appartient l'organisme, un employé du groupement d'intérêt économique dont est membre l'organisme, une personne mandatée à cet effet par un organisme professionnel, ou une personne mandatée à cet effet par un organisme regroupant les responsables de traitement d'un même secteur d'activité. Cette restriction vise à faire en sorte que le CIL, désigné parmi les catégories de personnes susvisées, connaisse au mieux les intérêts de l'organisme en question et soit à même d'assurer ces missions, en considération des besoins spécifiques de l'organisme. A contrario, le choix du CIL est ouvert lorsqu'il s'agit d'une petite structure comprenant moins de cinquante (50) employés, le responsable des traitements pouvant opter indifféremment pour le CIL interne ou externe. Cette souplesse vise à inciter les petites structures à recourir à un correspondant et, par conséquent, à bénéficier des avantages octroyés par une telle désignation. Dans tous les cas, le CIL doit être une personne qualifiée, disposant de compétences adaptées à la taille et à l'activité du responsable du traitement. Il doit exercer ses missions de manière indépendante. Ainsi, il doit être protégé de tout conflit d'intérêt et ne peut donc se voir attribuer d'autres fonctions qui seraient incompatibles avec sa mission de CIL. A ce titre, le responsable du traitement ne peut être désigné comme CIL. Le CIL bénéficie, en outre, d'un statut privilégié en ce sens qu'il est protégé des sanctions de l'employeur. Ce dernier ne peut, en effet, ni modifier les fonctions du correspondant, ni y mettre fin, sans en avertir la Cnil et lui fournir les raisons de ce changement. Perte du bénéfice de la dispense des formalités déclaratives Le responsable du traitement peut perdre le bénéfice de la dispense des formalités déclaratives dans deux situations : - lorsque la mission du CIL arrive à son terme et que son remplacement n'est pas prévu. Le responsable des traitements doit alors, dans un délai d'un mois à compter de la notification de la décision mettant un terme à la mission du CIL, accomplir les formalités prévues aux articles 23 et 24 de la loi du 6 janvier 1978 à l'égard des traitements faisant l'objet de l'exonération du fait de la désignation du CIL. - en cas de manquement à l'une des obligations légales, auquel cas le régime de droit commun s'impose, ipso facto. Cas particulier : le correspondant de presse pour les traitements mis en oeuvre à des fins de journalisme Un régime d'exonération est prévu au bénéfice des entreprises de presse, visant à concilier la liberté de presse avec la protection des données à caractère personnel (L. inf. et lib., art. 67). Ainsi, pour les traitements mis en oeuvre à des fins de journalisme professionnel, les responsables de ceux-ci n'ont pas à les déclarer ou à requérir une autorisation formelle, sous réserve de désigner un correspondant à la protection des données. A l'occasion de l'avis qu'elle a rendu le 24 mars 2005, sur le projet de décret d'application de la loi du 6 août 2004, la Cnil s'est prononcée sur la portée de l'obligation d'une telle désignation d'un correspondant de presse. Elle estime que seuls les organismes de presse sont tenus par une telle obligation. De facto, tout journaliste bénéficie, sans condition, de cette dispense à l'égard de l'ensemble de ses fichiers, s'il exerce de manière indépendante, ou à l'égard des fichiers dont il est le seul responsable, s'il exerce dans le cadre d'un organisme de presse. C'est dire que, pour ces fichiers dont le journaliste est seul responsable, ce dernier bénéficie de la dispense de formalités, alors même qu'il n'aurait pas désigné un correspondant à la protection des données à caractère personnel. En d'autres termes, la Cnil considère que seuls les organismes de presse sont concernés par la désignation d'un correspondant, aux fins de bénéficier de l'exonération légale prévue. Au sein de tels organismes, le correspondant de presse a pour mission de tenir à jour une liste de traitements mis en oeuvre par la rédaction et de veiller à la bonne application de la loi informatique et libertés. Mais il n'a pas à se soumettre à certaines contraintes et obligations prévues pour le CIL (D. n°2005-1309 20 oct. 2005, art. 56 pris pour l'application de L. n°78-17 du 6 janvier 1978). Plus précisément, la désignation d'un correspondant presse n'a pas à être portée à la connaissance de l'instance représentative du personnel, au sein de l'organisme, préalablement à la notification de cette désignation auprès de la Cnil. En outre, la liste que le correspondant de presse doit établir dans les trois mois de sa nomination n'a pas à faire mention de « la fonction de la personne ou le service auprès duquel s'exerce le droit d'accès et de rectification ainsi que leurs coordonnées », et « de la durée de conservation des données traitées ». Le correspondant n'a pas non plus à veiller à ce que les demandes de communication de cette liste soient effectuées.

Article rédigé par

Christiane Féral-Schuhl, cofondatrice du cabinet FÉRAL
Christiane Féral-Schuhl est avocate associée du cabinet FÉRAL. Depuis plus de 35 ans, elle exerce dans le secteur du droit du numérique, des données personnelles et de la propriété intellectuelle. Elle est également inscrite sur la liste des médiateurs auprès de différents organismes (OMPI, CMAP, Equanim) ainsi que sur la liste des médiateurs de la Cour d'Appel de Paris et du Barreau du Québec (en matière civile, commerciale et travail). Elle a été nommée seconde vice-présidente du Conseil national de la Médiation (2023-2026).

Elle a publié plusieurs ouvrages et de nombreux articles dans ses domaines d'expertise. Dont, tout récemment, « Adélaïde, lorsque l'intelligence artificielle casse les codes » (1ère BD Dalloz, 16 mai 2024) avec l'illustratrice Tiphaine Mary, également avocate.

Elle a présidé le Conseil National des Barreaux (2018-2020) et le Barreau de Paris (2012- 2013). Elle a également co-présidé avec le député Christian Paul la Commission parlementaire sur le droit et les libertés à l'âge du numérique et a siégé au Haut Conseil à l'égalité entre les femmes et les hommes (2013-2015) et au Conseil Supérieur des tribunaux administratifs et des cours d'appel administratives (CSTA CAA -2015-2017).
Suivez l'auteur sur Linked In, Twitter