Un an apr\u00e8s l\u2019entr\u00e9e en vigueur du R\u00e8glement g\u00e9n\u00e9ral de l\u2019Union europ\u00e9enne sur la protection des donn\u00e9es (lire\u00a0Maire info<\/em><\/a>\u00a0du 25 mai 2018), un texte red\u00e9finissant les obligations des entreprises mais aussi des collectivit\u00e9s en mati\u00e8re de donn\u00e9es personnelles, l\u2019heure est au premier bilan. Marie-Laure Denis, pr\u00e9sidente de la Commission nationale de l\u2019informatique et des libert\u00e9s (Cnil), charg\u00e9e de veiller au respect du RGPD, r\u00e9pond aux questions de\u00a0Maire info<\/em>.<\/p>\n

Un an apr\u00e8s l\u2019entr\u00e9e en vigueur du RGPD, o\u00f9 en est-on des d\u00e9signations de d\u00e9l\u00e9gu\u00e9s \u00e0 la protection des donn\u00e9es ?<\/strong>
\nUn tiers des communes a d\u00e9j\u00e0 d\u00e9sign\u00e9 un d\u00e9l\u00e9gu\u00e9 \u00e0 la protection des donn\u00e9es. Rappelons que cette d\u00e9signation est obligatoire pour le secteur public. La Cnil est consciente que les plus petites collectivit\u00e9s se heurtent \u00e0 des probl\u00e8mes de ressources humaines et financi\u00e8res ; c\u2019est pourquoi nous leurs conseillons de mutualiser cette d\u00e9signation. La mutualisation peut \u00eatre envisag\u00e9e \u00e0 diff\u00e9rents niveaux : celui de l\u2019EPCI, du centre de gestion de la FPT ou d\u2019un syndicat mixte.
\nLa Cnil s\u2019est rapproch\u00e9e des diff\u00e9rentes \u00ab\u00a0t\u00eates de r\u00e9seaux\u00a0\u00bb pour les sensibiliser \u00e0 cette nouvelle obligation et aux moyens de mise en \u0153uvre les plus adapt\u00e9s aux collectivit\u00e9s.<\/p>\n

Comment la Cnil a-t-elle accompagn\u00e9 les collectivit\u00e9s dans la mise en conformit\u00e9 avec le RGPD et quelles sont les actions pr\u00e9vues en 2019 ?<\/strong>
\nLa Cnil a mis en ligne de nombreux contenus ou outils expliquant les principes du RGPD et les diff\u00e9rentes \u00e9tapes d\u2019un plan d\u2019action pour se mettre en conformit\u00e9. Le site de la Cnil a propos\u00e9 sur son site un contenu d\u00e9di\u00e9 aux collectivit\u00e9s plusieurs mois avant l\u2019entr\u00e9e en application du RGPD.
\nEn 2019, la Cnil d\u00e9veloppera de nombreuses actions de sensibilisation \u00e0 destination des collectivit\u00e9s territoriales et tout particuli\u00e8rement des petites communes. Elle proposera tr\u00e8s prochainement un guide pratique actuellement \u00ab\u00a0test\u00e9\u00a0\u00bb par les associations et les t\u00eates de r\u00e9seau, une rubrique d\u00e9di\u00e9e sur son site avec des fiches th\u00e9matiques permettant d\u2019aller plus loin dans sa conformit\u00e9.<\/p>\n

La Cnil a re\u00e7u un record de plaintes depuis mai 2018 (plus de 11 900). Quel part concernait les collectivit\u00e9s ?<\/strong>
\nSeulement 5\u00a0% des plaintes re\u00e7ues concernent le secteur public. Ces plaintes ont surtout trait \u00e0 la vid\u00e9oprotection et la collecte excessive de donn\u00e9es par les collectivit\u00e9s dans le cadre de d\u00e9marches administratives. Or le RGPD impose notamment un principe de minimisation et de proportionnalit\u00e9 des donn\u00e9es demand\u00e9es.<\/p>\n

En pr\u00e9ambule de la saison 2 du RGPD, vous assuriez que la Cnil ferait preuve d\u00e9sormais de \u00ab\u00a0plus de fermet\u00e9\u00a0\u00bb. Les collectivit\u00e9s risquent-elles des sanctions ?<\/strong>
\nEn 2019, la Cnil articulera son action autour de deux axes principaux : la p\u00e9dagogie et la dissuasion. En effet, la r\u00e9ussite de la mise en \u0153uvre du RGPD par les professionnels passe par une amplification des actions d\u2019accompagnement qui leur sont d\u00e9di\u00e9es. Les collectivit\u00e9s constituent une priorit\u00e9 pour la Cnil en 2019, comme les TPE et les PME l\u2019ont \u00e9t\u00e9 en 2018.
\nS\u2019agissant de la doctrine \u00ab\u00a0r\u00e9pressive\u00a0\u00bb de la Cnil, l\u2019ann\u00e9e 2018 a constitu\u00e9 une ann\u00e9e de transition destin\u00e9e \u00e0 permettre aux responsables de traitement de comprendre et d’assimiler les exigences du RGPD adopt\u00e9 en 2016. L\u2019ann\u00e9e 2019 marque l\u2019ach\u00e8vement de cette phase de transition entre l\u2019ancienne l\u00e9gislation et le RGPD.
\nLa Cnil v\u00e9rifiera ainsi pleinement le respect des nouvelles obligations et nouveaux droits issus du cadre europ\u00e9en (analyse d\u2019impact, portabilit\u00e9 des donn\u00e9es, tenue d\u2019un registre des traitements et des violations) et fera preuve de discernement dans le choix des mesures correctrices. Les textes pr\u00e9voient toute une palette de r\u00e9ponses : cl\u00f4ture avec observations, mise en demeure, rappel \u00e0 l\u2019ordre, injonction sous astreinte, sanction p\u00e9cuniaire. Pour choisir la r\u00e9ponse appropri\u00e9e, la Cnil tiendra ainsi compte de la gravit\u00e9 des manquements, de l\u2019activit\u00e9 et de la taille de l\u2019organisme concern\u00e9, de sa coop\u00e9ration et de sa bonne foi.<\/p>\n

Quels sont les droits et les obligations cr\u00e9\u00e9s par le RGPD cette ann\u00e9e ?<\/strong>
\nLe RGPD a introduit trois nouveaut\u00e9s : le droit \u00e0 la portabilit\u00e9 offre la possibilit\u00e9 de r\u00e9cup\u00e9rer une partie de ses donn\u00e9es dans un format lisible par une machine. Les personnes peuvent ensuite stocker ailleurs ces donn\u00e9es portables ou les transmettre facilement d\u2019un syst\u00e8me \u00e0 un autre, en vue d\u2019une r\u00e9utilisation \u00e0 d\u2019autres fins.
\nAussi, le RGPD impose la tenue d\u2019un registre, quelle que soit la taille de la collectivit\u00e9, d\u00e8s lors qu\u2019elle traite des donn\u00e9es personnelles. Il s\u2019agit un outil de recensement et d\u2019analyse qui permet d\u2019avoir une vision claire et globale des activit\u00e9s de la collectivit\u00e9 qui n\u00e9cessitent la collecte et le traitement de donn\u00e9es personnelles. La Cnil met \u00e0 disposition sur son site un mod\u00e8le de registre. Dans les collectivit\u00e9s, ce registre est g\u00e9n\u00e9ralement tenu par le d\u00e9l\u00e9gu\u00e9 \u00e0 la protection des donn\u00e9es (DPO). Il constitue l\u2019un des outils lui permettant d\u2019exercer ses missions de contr\u00f4le du respect du RGPD ainsi que d\u2019information et de conseil du responsable du traitement ou du sous-traitant.
\nLe RGPD impose enfin aux responsables de traitement de documenter, en interne, les violations de donn\u00e9es personnelles et de notifier les violations pr\u00e9sentant un risque pour les droits et libert\u00e9s des personnes \u00e0 la Cnil et, dans certains cas, lorsque le risque est \u00e9lev\u00e9, aux personnes concern\u00e9es.<\/p>\n

Le RGPD va-t-il modifier les r\u00e8gles de la communication politique des \u00e9lections municipales ?<\/strong>
\nLe RGPD n\u2019a pas entra\u00een\u00e9 de changement quant \u00e0 la qualification des opinions politiques comme des donn\u00e9es sensibles et au principe d\u2019interdiction de collecter et de traiter de telles donn\u00e9es, ainsi qu\u2019aux exceptions pr\u00e9vues. N\u00e9anmoins, en raison de la disparition des formalit\u00e9s pr\u00e9alables et de la cr\u00e9ation de nouveaux droits et obligations pour les acteurs de la vie politique, la Cnil a entam\u00e9 une analyse approfondie qui la conduira \u00e0 adapter prochainement ses recommandations de 2012.
\nElle poursuivra aussi ses travaux s\u2019agissant des nouveaux outils et usages mobilis\u00e9s \u00e0 des fins de communication politique dans le but d\u2019affiner et d\u2019asseoir sa doctrine.
\n\u00c0 l\u2019occasion des \u00e9lections europ\u00e9ennes, la Cnil a publi\u00e9 trois fiches th\u00e9matiques relatives aux droits des \u00e9lecteurs, \u00e0 la communication politique par courrier \u00e9lectronique et \u00e0 la communication politique par t\u00e9l\u00e9phone.<\/p>\n