nos newsletters
Abonnez-vous à Micro Hebdo : 4,90 €/mois
Abonnez-vous à l'Ordinateur Individuel : 3 €/mois
Abonnez-vous à SVM mac : 4 €/mois
Abonnez-vous à 01 Informatique : 19 €/mois
260 correspondants de la Cnil, seulement !
Un an après l'instauration des CIL, le bilan est mitigé. Et il semble plus facile d'exercer cette mission dans l'informatique ou la sécurité des SI.
Un dispositif pourtant intéressant dans les PME
La démarche à suivre
Désignation du CIL en interne par le responsable du traitement (responsable légal de l'entreprise).
Information des représentants du personnel Ppar lettre recommandée avec avis de réception.
Notification à la Cnil, en remplissant le formulaire, téléchargeable sur le site de la commission
(www.cnil.fr). Pour le moment, ce formulaire est envoyé sous la forme de courrier papier à la Cnil et contient deux signatures. Celle du CIL, qui doit accepter ses missions, et celle du
responsable du traitement qui s'engage ainsi à lui donner les moyens de les remplir. La Cnil ne porte pas de jugement sur cette désignation, mais elle vérifie qu'il n'y ait pas d'incompatibilité de fonctions (directement ou par délégation) ou des
conflits d'intérêts. Par exemple, le responsable légal ne peut pas être désigné comme correspondant.
Dans les trois mois de sa désignation, le correspondant doit dresser la liste des traitements de l'entreprise. Une liste qu'il devra ensuite tenir à jour.
Le témoignage de Jacques Parent , CIL au port autonome de Marseille
Ma nomination en tant que correspondant informatique et libertés n'a pas véritablement augmenté ma charge de travail. Certes, je dois désormais tenir à jour le registre des traitements nominatifs de l'établissement. Mais j'y avais déjà accès. En effet, en tant qu'autorité qualifiée en sécurité des systèmes d'information (AQSSI), depuis 2000, je dois donner mon visa avant la mise en service de l'ensemble des traitements. J'établis des recommandations en matière de sécurité, celles-ci sont ensuite mises en ?"uvre par le DSI et le RSSI. Et concernant les traitements sensibles, j'instruisais déjà les dossiers de demandes d'autorisation que je transmettais à la Cnil.
En tant que gardien interne de l'application de la loi Informatique et liberté, mes interlocuteurs privilégiés sont la vingtaine de responsables des traitements que sont les directeurs des différents services du port. Je les informe sur les dispositions de la loi et joue un rôle de conseil. Ainsi, je leur fais des recommandations, mais je vérifie aussi sur le terrain si elles sont bien appliquées. Je m'appuie sur la DRH pour les actions de sensibilisation. En cas de problème, j'informe la direction générale des risques qu'elle prend. Mon pouvoir s'arrête là.
Un dirigeant d'entreprise ne doit pas désigner un CIL uniquement pour s'exonérer de formalités administratives. Il doit nommer avant tout un médiateur. La position indépendante que j'occupe dans l'établissement et ma connaissance de l'organisation facilite ce rôle de médiateur. Toutefois, si le correspondant est mal intentionné, il peut se servir de sa fonction pour entraver l'activité de son entreprise.
Parcours
Le point de vue du juriste : Ariane Mole (avocate au cabinet Bird&Bird)
Associée chargée des questions Informatique et libertés au sein de ce cabinet, elle accompagne, notamment, les entreprises avant la désignation de leur CIL. Ariane Mole propose ensuite une méthodologie de travail aux correspondants.
' Analyser préalablement les avantages et inconvénients '
' La mise en place d'un CIL présente de nombreux avantages, mais il faut préalablement définir ce que l'entreprise recherche : une mise en conformité par rapport à la loi Informatique et Libertés ? Une image de
marque vis-à-vis du public ou vis-à-vis de la Cnil ? L'allégement des processus déclaratifs ? Un bilan sur les avantages et les inconvénients s'avère nécessaire. Le choix doit être fait en connaissance de cause. '
' Un choix dont il faut maîtriser les conséquences '
' La désignation d'un correspondant Cnil n'exonère pas le responsable légal de l'entreprise de sa responsabilité pénale en tant que responsable de traitements, en cas de violation de la loi Informatique et Libertés. Et
une fois le correspondant désigné, il sera difficile de faire machine arrière. En effet, il faut un avis préalable de la Cnil pour mettre fin aux fonctions du CIL. Et cela risque de ternir l'image de marque de l'entreprise. '
' Tester le futur correspondant '
' Une fois désigné, celui-ci ne disposera que de trois mois pour constituer le registre des traitements nominatifs de l'entreprise. C'est un gros travail si rien n'a été réalisé auparavant. C'est pourquoi, il peut être
préférable pour le CIL pressenti de constituer le registre préalablement à sa désignation officielle, ce qui permettra également à la direction générale de le tester et de vérifier quelle a fait un bon choix. '
