La géolocalisation à des fins publicitaires

II. LA DECLARATION DES TRAITEMENTS

Pour comprendre ce que doit déclarer le responsable de traitement, il convient d'analyser le principe de déclaration préalable (A) avant d'en étudier le contenu dans le cadre d'un traitement de données à des fins publicitaires (B).

A. LE PRINCIPEDE LA DECLARATION PREALABLE

68. Principe - Tous les responsables de traitement qui collectent des données personnelles par des dispositifs basés sur le territoire français doivent se conformer à l'article 22 de la loi n°78-17 et doivent préalablement à la mise en oeuvre d'un traitement de données à caractère personnel faire une déclaration auprès de la CNIL. Lorsque le traitement est un traitement courant, la CNIL a généralement édicté une norme simplifiée pour faciliter la déclaration. Si le traitement est plus spécifique, le responsable de traitement devra faire une déclaration normale, plus lourde et circonstanciée. En matière de traitements mis en place pour effectuer des opérations relatives à la prospection et collectant des « données relatives à la sélection de personnes pour réaliser des actions de fidélisation, de prospection, de sondage, de test produit et de promotion »^35(*)c'est la norme simplifiée n°48 qui doit être remplie.

69. La dérogation : l'existence d'un CIL au sein de l'organisme - Lorsqu'un Correspondant à la protection des données à caractère personnel (autrement appelé Correspondant informatique et libertés - CIL) au sein d'un organisme, ce dernier est dispensé des déclarations normales et simplifiées à la CNIL. En effet, il appartient au CIL de tenir les registres de tous les traitements réalisés par l'organisme comme en dispose l'article 22 de la loi n°78-17.

B. LE CONTENUDE LA DECLARATION

70. Contenu de la déclaration - L'article 30 de la loi n°78-17 dispose que les traitements soumis à déclaration préalable doivent comporter les éléments suivants :

· identité et adresse du responsable du traitement ;

· finalité(s) du traitement ;

· interconnexion ou mise en relation avec d'autres traitements (le cas échéant) ;

· données à caractère personnel traitées ;

· catégories de personnes concernées par le traitement ;

· durée de conservation des informations traitées ;

· service(s) chargé(s) de la mise en oeuvre du traitement ;

· destinataires des données ;

· personne ou service auprès duquel s'exerce le droit d'accès ;

· mesures prises pour l'exercice de ce droit ;

· dispositions prises pour assurer la sécurité des traitements et des données.

71. Contenu de la déclaration simplifiée - Dans le cadre de la déclaration simplifiée n°48, le responsable de traitement doit déclarer les éléments suivants :

· Organisme déclarant (n° SIREN, code NAF/APE, nom/raison sociale, adresse, téléphone, adresse e-mail)

· Finalité du traitement (jusqu'à 5 choix dans une liste de finalité prédéfinie)

· Contact (personne à contacter pour obtenir des informations complémentaires)

· Identification du responsable (personne responsable de l'organisme déclarant)

Une fois les données collectées dans le respect des grands principes étudiés au point A et la déclaration effectuée auprès de la CNIL, les obligations du responsable de traitement ne s'arrêtent pas là puisqu'il se doit de respecter les règles en matière de conservation des données.

* ³⁵ Norme simplifiée n° 48 : Délibération n° 2012-209 portant création d'une norme simplifiée concernant les traitements automatisés de données à caractère personnel relatifs à la gestion de clients et de prospects, 21 juin 2012