Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia - 225

contact), sans qu'aucune trace ne
soit conservée, ni qu'aucune autre
opération ne soit effectuée (relevés
de ces températures, remontées
d'informations...).
Concernant le projet d'application « Stop Covid », la présidente de
la Cnil indiquait lors de son audition
du 2 avril 2020 que « la proportionnalité pourra aussi être évaluée au
regard du caractère temporaire,
uniquement lié à la gestion de crise,
de tout dispositif envisagé. C'est
un point essentiel, et il ne signifie
pas seulement que l'application ne
sera utilisée que pendant la crise : la
durée de conservation des données
est une garantie très importante.
Après la crise, les données devront
en principe être détruites, ou sinon
conservées un temps limité et de
façon protégée, pour ne servir qu'à
des finalités complémentaires de
recherche ou de gestion d'éventuels
contentieux ».
A la sortie de la crise, tout
responsable de traitement devra
porter une attention particulière
aux données de santé collectées
à cette occasion, dans le cadre de
ses processus de purge.

Règle n°6 : Pensez encore
et toujours à la sécurité de
votre traitement
Aux termes de l'article 4 6° de la
loi «  Informatique et libertés  », les
données personnelles doivent être
traitées «  de façon à garantir une
sécurité appropriée des données à
caractère personnel, y compris la
protection contre le traitement non
autorisé ou illicite et contre la perte,
la destruction ou les dégâts d'origine
accidentelle, ou l'accès par des
personnes non autorisées, à l'aide
de mesures techniques ou organisationnelles appropriées ».
L'article 32 du RGPD dispose ainsi
que des mesures techniques et
organisationnelles
appropriées
doivent être mises en œuvre afin
de garantir un niveau de sécurité
adapté au risque, y compris par le
biais de procédés de chiffrement ou
de pseudonymisation.

Dans un contexte de crise sanitaire
et au regard de la nature sensible
des données collectées, l'enjeu de
la sécurité semble d'autant plus
important pour les responsables de
traitement et leurs sous-traitants,
qui doivent s'assurer de l'effectivité
des mesures de sécurité mises en
œuvre. A ce propos, le recours à
un hébergeur certifié voire agréé
peut être obligatoire pour certains
traitements, aux termes de l'article
L.1111-8 du code de la santé
publique.
Le CEPD rappelait ainsi le 20 mars
dernier qu'il était essentiel d'adopter
de telles mesures, qu'elles relèvent
de la sécurité logique ou physique,
en sus d'une politique de confidentialité afin que les données de santé
ne soient pas divulguées à des
personnes non autorisées.

Règle n°7 : N'oubliez pas de
mettre à jour vos registres
Conformément à l'article 30
du RGPD et à l'article 57 de la
loi «  Informatique et libertés  »,
tout responsable de traitement et
tout sous-traitant doivent tenir un
registre des activités de traitement
effectuées sous leur responsabilité
ou pour le compte d'un responsable
de traitement.
Cette obligation ne s'applique pas à
une entreprise ou à une organisation
comptant moins de 250  employés,
sauf si le traitement est susceptible
de comporter un risque pour les
droits et des libertés des personnes
concernées, s'il n'est pas occasionnel ou s'il porte notamment sur
des données sensibles ou sur des
données personnelles relatives à
des condamnations pénales et à des
infractions.
Aussi est-il essentiel pour chaque
responsable de traitement et
sous-traitant collectant des données
de santé au cours de cette crise
sanitaire de réactualiser son registre
afin d'intégrer ce nouveau traitement lié à la santé. Cela sera l'occasion pour chacun de procéder à la
vérification des mesures et garanties
mises en place.
EXPERTISES Juin 2020

Règle n°8 : N'oubliez pas
de procéder à une analyse
d'impact lorsqu'elle est
nécessaire
Une analyse d'impact (ou « AIPD »)
telle que prévue par l'article 35
du RGPD et les articles 62 et
suivants de la loi «  Informatique et
libertés » pourrait s'avérer nécessaire
quand le traitement est « susceptible
d'engendrer un risque élevé pour
les droits et libertés des personnes
concernées ».
Ainsi l'AIPD doit-elle être obligatoirement menée dans deux
hypothèses :
■	 lorsque le traitement envisagé
figure parmi les opérations de
traitement pour lesquelles la
Cnil a estimé obligatoire, dans sa
publication du 6 novembre 2018,
de réaliser une AIPD15. En l'occurrence, parmi cette liste, se
trouvent notamment les traitements de données de santé mis
en œuvre par les établissements
de santé ou les établissements
médicosociaux pour la prise
en charge des personnes mais
également les traitements utilisés
par une agence sanitaire pour la
gestion d'une crise sanitaire ou
d'une alerte sanitaire;
■	 lorsque le traitement remplit au
moins deux des neuf critères
issus des lignes directrices du
G29 16  : évaluation/scoring (y
compris le profilage) ; décision
automatique avec effet juridique
ou similaire ; surveillance systématique ; collecte de données
sensibles ou données à caractère
hautement personnel ; collecte
de données personnelles à large
échelle ; croisement de données ;
personnes vulnérables (patients,
personnes âgées, enfants, etc.) ;
usage innovant (utilisation d'une
nouvelle technologie) ; exclusion
du bénéfice d'un droit/contrat.
Avant de mettre en œuvre son traitement, tout responsable de traitement devra vérifier si ce dernier est
éligible à une AIPD et ainsi procéder
aux formalités requises, y compris le
cas échéant à la communication de
cette analyse à la Cnil.

225
Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia
