Les données personnelles et les préconisations Abes - 2 octobre 2014 à la BULAC

Autorités
et
Données personnelles
Journée des Correspondants Autorités
2 octobre 2014

Cadre réglementaire
2Journée des Correspondants Autorités – 2 octobre 2014

• La loi N° 78-17 du 6 janvier 1978, relative à
l’informatique et aux libertés.
• Modifiée le 6 août 2004 :
 Renforcement des pouvoirs a posteriori de la
Commission Nationale Informatique et Libertés
(CNIL).
 Création de la fonction de Correspondant
Informatique et Libertés (CIL) (décret 2005).

Les missions de la CNIL
• Recenser les traitements déclarés.
• Informer et conseiller les autorités, les
professionnels et le grand public (site internet,
guides, permanence téléphonique, etc.).
• Réglementer (normes, dispenses, autorisations
uniques, etc.).
• Contrôler l’application de la loi au sein des
organismes.
• Sanctionner en cas de non respect de la loi.
• Garantir le droit d’accès indirect aux traitements
intéressant la sûreté de l’Etat, la défense et la
sécurité publique.

Notions générales

Notions générales
Qu’est-ce qu’une donnée personnelle ?
(ou donnée à caractère personnel)
Toute donnée permettant d’identifier une
personne physique, quel que soit le moyen utilisé,
directement, indirectement ou par recoupement
d’informations anonymes.

• Données directement identifiantes
nom, prénom, nom et prénom, nom et prénom et date de
naissance, photographie, e-mail nominatif.
Dépend de la taille et de la diversité de l’échantillon.
• Données indirectement identifiantes
NIR (n° sécurité sociale), adresse IP, téléphone, plaque
d’immatriculation, n° dossier client, RIB, n° carte bancaire,
empreintes digitales.
 Nécessite l’accès à un autre fichier pour faire le lien avec la
personne.
• Recoupement d’informations anonymes
Le fils du notaire habitant au 11 bd Raspail à Paris.
=> Prises séparément, les informations ne permettent pas de
remonter à une personne, leur combinaison oui.
Notions générales

Notions générales
Qu’est-ce qu’un traitement ?
Toute opération portant sur des données à
caractère personnel et répondant à des finalités
précises.
Ex : Calames, IdRef, Star, Step, Sudoc, etc.

Notions générales
Qui est le responsable de traitement ?
La personne qui détermine la finalité et les
moyens du traitement mis en œuvre,
en pratique et en général la personne morale
incarnée par son représentant légal.
Ex : Le directeur de l’ABES dans le cadre de tous
les traitements mis en œuvre par l’ABES.

Notions générales
Cas du sous-traitant
Le sous-traitant traite des données
personnelles pour le compte et sous la
responsabilité du responsable de traitement.
Ex : Via la convention qu’ils passent avec
l’ABES, les établissements des réseaux
pourraient être considérés comme des sous-
traitants.

Notions générales
En résumé, en présence de :
• Données à caractère personnel (DCP).
• Traitements automatisés de DCP.
• Traitements non automatisés de DCP contenues
dans des fichiers structurés selon des critères
déterminés.
Application de la loi Informatique et Libertés
(sans formalités préalables pour les fichiers
papier).

Notions générales
Les 5 règles d’or pour la protection
des données
1. Finalité du traitement.
2. Pertinence des données.
3. Conservation limitée des données.
4. Obligation de sécurité et de confidentialité.
5. Respect des droits des personnes :
– Droit à l’information.
– Droit d’accès, de rectification et d’opposition.

Données d’autorité
et Loi
Informatique & Libertés

Données d’autorité et Loi Informatique & Libertés
Quelles données personnelles dans les autorités ?
 Nom et prénom, date de naissance.
Qui est le responsable du traitement des autorités ?
 Le directeur de l’ABES.
Quelle est la finalité du traitement des autorités ?
 Attribuer les bons documents aux bons auteurs.
 Enrichir et normaliser l’indexation d’un document pour une meilleure
visibilité.
Comment évaluer la pertinence des données collectées ?
 Se baser sur la finalité définie (ex : date de naissance et homonymie).
Quelle durée de conservation pour les données d’autorité ?
 Durée de vie des applications dans lesquelles ces autorités apparaissent.
Quelles obligations de sécurité et de confidentialité ?
 Bases de données sécurisées par les équipes de l’ABES et du CINES.
 Gestion rigoureuse des habilitations et droits d’accès.
Qui doit permettre l’exercice des droits des personnes ?
 L’ABES ainsi que les correspondants dans les établissements.

Correspondant Autorités
et Loi
Informatique & Libertés

Correspondant Autorités et Loi Informatique & Libertés
Les deux règles à appliquer
• Obligation de sécurité et de confidentialité.
• Respect des droits des personnes :
– Droit à l’information.
– Droit d’accès, de rectification et d’opposition.

Obligation de sécurité et de confidentialité
• Ne pas transmettre ses identifiants (login, mot de
passe) à un tiers.
• Ne pas partager un identifiant entre plusieurs
utilisateurs.
• Choisir un mot de passe comportant un minimum
de caractères et combinant lettres, chiffres et
caractères spéciaux.
• Modifier son mot de passe tous les 3 à 6 mois.
• Verrouiller sa session de travail en quittant son
poste.

Droit à l’information
• Toute collecte de données personnelles doit
s’accompagner d’une information claire et
précise, par tout moyen approprié, à
l’intention de la personne concernée.
• Tous les points suivants doivent être
précisés.

Droit à l’information
• La finalité du traitement
 Attribuer les bons documents aux bons auteurs.
 Enrichir et normaliser l’indexation d’un document pour une meilleure visibilité.
• L’identité du responsable de traitement
 Le directeur de l’ABES.
• Les destinataires des données
 Organismes extérieurs (Les personnes traitant des données personnelles dans le
cadre de leurs fonctions ne sont pas considérées comme des destinataires).
• Les droits (accès, rectification, opposition)
 Services ou personnes auprès de qui ces droits doivent s’exercer.
• Le cas échéant, les transferts de données hors Union
Européenne.
 Perspective d’un hébergement des données dans un Cloud hors Union
Européenne par exemple.

Droit d’accès
• Toute personne peut, directement auprès de
l’ABES ou des établissements, avoir accès à
l’ensemble des informations le concernant et en
obtenir la copie.
• Deux formes pour la demande :
Par écrit (courrier ou courriel)
Sur place
• Pas besoin de motiver sa demande.
• Nécessité de justifier de son identité.
• Délai de 2 mois pour répondre à la demande.

Droit de rectification
• Lorsque les données personnelles d’une
personne sont inexactes, incomplètes, périmées,
cette personne a le droit d’exiger que ces données
soient rectifiées, complétées, mises à jour.
Sur place
• Pas besoin de motiver sa demande.
• Nécessité de justifier de la nouvelle valeur.

Droit d’opposition
• Toute personne a le droit de s’opposer, pour des
motifs légitimes, au traitement de ses données,
sauf si le traitement répond à une obligation
légale (Ex : Star).
Sur place
• Nécessité de motiver sa demande.
• Contestation possible de la légitimité du motif
par l’ABES ou les établissements.

Préconisations ABES et droit d’opposition
• Nom et prénom
Difficile de justifier leur suppression dans le cadre d’un
catalogue bibliographique dont la qualité dépend aussi de la
qualité des autorités.
Refuser d’accéder à cette demande en expliquant la raison.
• Date de naissance
Sa présence permet de gérer les problèmes d’homonymie et
donc d’améliorer la qualité du catalogue.
Dans un 1er temps, refuser d’accéder à cette demande en
expliquant la raison.
Dans un 2nd temps, si la personne insiste, masquer la date
de naissance tout en la conservant dans le catalogue, mais
en informer clairement la personne.

Préconisations ABES et zones de texte libre
• Ne pas inscrire de commentaires sensibles dans
les zones de texte libre.
• Ne pas utiliser les zones de texte libre pour y noter
des données personnelles telles que nom, prénom
et date de naissance.

En résumé, pour le traitement des demandes :
• Demander la pièce d’identité officielle (carte d’identité ou
passeport).
• Si droit de rectification, demander le justificatif de la nouvelle
valeur.
• Si droit d’opposition, faire préciser le motif de la demande.
• Traiter la demande à l’aide de messages et formules types
fournis par l’ABES (formations à distance, documents disponibles)
En cas de problème, ne pas hésiter à s’adresser au CIL ABES.
• Respecter le délai de traitement de 2 mois, à compter de la
réception de toutes les informations nécessaires.
• Après traitement de la demande :
– Supprimer tous les justificatifs.
– Informer le CIL ABES de la nature de la demande, du traitement
effectué ainsi que du délai, selon une procédure à venir (début 2015).
Coordonnées du CIL ABES : cilabes@abes.fr

Démarche de l’ABES
auprès de la CNIL

Démarche de l’ABES auprès de la CNIL
Objectif : obtenir une position de principe de la CNIL
• Diffusion de l’Information Scientifique et Technique
L’ABES pourrait-elle appliquer pour ses catalogues le même principe que
pour les thèses qui bénéficient d’une obligation légale de signalement ?
 Permettrait de refuser systématiquement la suppression d’une notice
bibliographique.
• Qualité des catalogues
L’ABES pourrait-elle systématiquement refuser la suppression de la date
de naissance dans les notices d’autorité ?
 Permettrait de s’en tenir à la 1ère solution évoquée précédemment et
d’avoir une cohérence dans les notices d’autorité.
• Licence Etalab et réutilisation des données publiques
Les données personnelles telles que nom, prénom et date de naissance
des auteurs ne pourraient-elles pas être considérées comme des
données « dites » publiques ?
 Permettrait de ne pas avoir à demander le consentement
systématique des personnes concernées.

Démarche de l’ABES auprès de la CNIL
La licence ETALAB
«…Ne sont également pas des informations publiques
susceptibles d’être réutilisées celles qui
contiennent des données à caractère personnel,
sauf lorsque les personnes intéressées y ont
consenti, ou lorsqu’elles ont fait l’objet d’une
anonymisation par l’administration, ou lorsqu’une
disposition légale ou réglementaire le permet
(dans ces trois cas, la réutilisation est subordonnée
au respect de la loi n°78-17 du 6 janvier 1978). »

Merci
de votre attention !

Les données personnelles et les préconisations Abes - 2 octobre 2014 à la BULAC

Recommandé

Recommandé

Contenu connexe

Similaire à Les données personnelles et les préconisations Abes - 2 octobre 2014 à la BULAC

Similaire à Les données personnelles et les préconisations Abes - 2 octobre 2014 à la BULAC (20)

Plus de ABES

Plus de ABES (20)

Dernier

Dernier (20)

Les données personnelles et les préconisations Abes - 2 octobre 2014 à la BULAC