Protéger votre entreprise face aux nouvelles technologies — la loi Informatique et Libertés

Objectifs professionnels

• Distinguer ce que la loi n° 78-17 énonce par elle-même, en droit français interne, de ce qu'elle renvoie au règlement (UE) 2016/679 sans en reproduire le contenu.
• Identifier les six qualités cumulatives que doit présenter toute donnée traitée selon l'article 4 de la loi 78-17, et les six conditions alternatives de licéité d'un traitement posées par l'article 5.
• Reconnaître l'interdiction de principe de l'article 6 portant sur les données révélant l'origine, les opinions, les convictions ou l'appartenance syndicale, ainsi que les données génétiques, biométriques, de santé ou relatives à la vie sexuelle, et situer ses trois régimes d'exception.
• Appliquer à un projet de contrôle d'accès biométrique en entreprise le triple critère de l'article 44 — règlement type de la Commission, nature biométrique de la donnée, stricte nécessité au contrôle d'accès aux lieux de travail, aux appareils ou aux applications.
• Situer le rôle, la composition et les principales missions de la Commission nationale de l'informatique et des libertés, en distinguant ce qui relève de la version stable de l'article 9 de ce qui relève de la fenêtre temporelle particulière de l'article 8.
• Distinguer les régimes d'autorisation préalable applicables aux traitements mis en œuvre pour le compte de l'État selon qu'ils portent ou non sur des données mentionnées à l'article 6, et le régime autonome des données génétiques et biométriques d'authentification de l'article 32.
• Appliquer l'interdiction des décisions entièrement automatisées et du profilage de l'article 47 à un outil de scoring ou d'aide à la décision utilisé par l'entreprise, en identifiant le critère du « seul fondement ».
• Identifier les circonstances qui déclenchent une analyse d'impact relative à la protection des données et, le cas échéant, une consultation préalable de la Commission, en particulier le critère de nouveauté du mécanisme ou de la technologie posé par l'article 90.
• Articuler l'obligation de connaissance préalable du dispositif de collecte, issue du Code du travail, avec le cadre de licéité posé par la loi 78-17, et distinguer les deux régimes d'intervention du comité social et économique prévus par l'article L2312-38.
• Circonscrire la portée réellement étroite de l'obligation de notification de violation de données de l'article 83 de la loi 78-17, réservée aux fournisseurs de services de communications électroniques accessibles au public, et ne pas la confondre avec un régime général de notification.