Chapitre 2 - Des procédures de déclaration ou d’octroi des autorisations
Art. 2
Peuvent faire l’objet d’une déclaration simplifiée, les traitements de données à caractère personnel mis en œuvre :
- 1° par les organismes publics et privés pour la gestion de leurs personnels ;
- 2° sur les lieux de travail pour la gestion des contrôles d’accès aux locaux, des horaires et de la restauration ;
- 3° dans le cadre de l’utilisation de service de téléphonie fixe et mobile sur les lieux de travail.
Art. 3
La Haute Autorité de Protection des Données à caractère Personnel (HAPDP) définit les modèles de formulaires simplifiés pour les demandes d’avis, d’homologation des chartes d’utilisation, de déclaration et d’autorisation, assortis, au besoin, d’annexes destinées à compléter les informations.
Sauf dispositions contraires, les formulaires peuvent être retirés gratuitement auprès de la HAPDP.
Art. 4
Les demandes d’autorisation, présentées en application des articles 7 et 9 de la loi n° 2017-28 du 03 mai 2017, relative à la protection des données à caractère personnel, modifiée et complétée par la loi n° 2019-71 du 24 décembre 2019 doivent comporter, le cas échéant, en annexe, l’acte réglementaire autorisant le traitement envisagé.
Ces demandes d’autorisations sont renouvelées chaque année.
Art. 5
Lorsque la déclaration satisfait aux prescriptions de la loi sur les données à caractère personnel, la HAPDP délivre un récépissé.
Les formalités déclaratives sont réputées accomplies à compter de la délivrance du récépissé visé à l’alinéa précédent du présent article. Le traitement peut alors être mis en œuvre par le déclarant sous sa responsabilité.
Art. 6
Une charte d’utilisation des données peut être élaborée entre les acteurs intervenant dans l’utilisation et le traitement des données à caractère personnel et homologuée par la HAPDP.
Les demandes d’homologation des chartes d’utilisation sont présentées par le représentant des parties à la charte.
La charte d’utilisation accompagne, le cas échéant, le dossier de demande d’avis.
Art. 7
Lorsque le responsable du traitement est une personne physique agissant pour le compte d’une personne morale, l’autorité dont il relève doit être mentionnée.
Art. 8
Les déclarations et les demandes d’avis, d’homologation des chartes d’utilisation, sont adressées à la HAPDP, soit par lettre recommandée avec accusé de réception, soit par voie électronique avec accusé de réception.
Les demandes de déclaration peuvent également être déposées directement auprès de la HAPDP contre décharge.
La date de l’accusé de réception ou de la décharge constitue le point de départ du délai dont dispose la HAPDP pour notifier ses avis et ses autorisations.
Art. 9
La HAPDP se prononce dans un délai maximum d’un mois à compter de la réception de la déclaration, de la demande d’avis, d’homologation ou d’autorisation.
Toutefois, ce délai peut être prorogé d’un mois supplémentaire par une décision motivée de la HAPDP.
En cas de prorogation de ce délai, la HAPDP le notifie aux responsables du traitement concernés.
L’absence de réponse de la HAPDP dans le délai imparti équivaut à un rejet de la déclaration ou de la demande. Dans ce cas, le responsable du traitement peut exercer un recours devant le Conseil d’Etat.
Art. 10
Lors de l’examen des déclarations ou des demandes d’autorisation, la HAPDP s’assure que :
- le traitement des données à caractère personnel envisagé est licite et loyal ;
- les données à caractère personnel sont collectées pour des finalités déterminées, explicites et légitimes, et ne seront pas traitées ultérieurement de manière incompatible avec ces finalités ;
- les données à traiter sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles leur traitement est envisagé ;
- la durée de conservation des données à caractère personnel n’excède pas la période nécessaire aux finalités pour lesquelles leur traitement est envisagé ;
- la personne responsable du traitement s’engage à fournir aux personnes concernées, une information obligatoire et claire sur les données à collecter et à garantir le respect de leurs droits ;
- le traitement des données à caractère personnel est confidentiel et protégé, notamment lorsque le traitement de ces données comporte des transmissions de données sur un réseau de communications électroniques ;
- lorsque le traitement des données à caractère personnel est mis en œuvre pour le compte du responsable du traitement, celui-ci choisit un sous-traitant qui apporte des garanties suffisantes pour la protection et la confidentialité de ces données ;
- les données à caractère personnel traitées sont exploitables quel que soit le support technique utilisé par le responsable du traitement.
Art. 11
Les décisions de la HAPDP sont notifiées au responsable du traitement concerné ainsi qu’à toutes les autres personnes concernées.
Elles sont publiées au Journal Officiel ou dans tout autre moyen légal de publication et sur le site web de la HAPDP.
Art. 12
Le responsable du traitement informe la HAPDP dans un délai maximum d’un mois et selon les modalités définies à l’article 8 du présent décret de toute suppression du traitement.
En cas de modification des informations prévues à l’article 9 de la loi sur les données à caractère personnel, le responsable du traitement informe la HAPDP dans un délai de quinze jours ouvrables.
Art. 13
Le responsable du traitement a l’obligation d’effectuer une déclaration conforme à la réalité du traitement envisagé.
Art. 14
La dispense de formalités de déclaration préalable prévue par l’article 6 de la loi sur la protection des données à caractère personnel n’exonère pas le responsable du traitement des autres formalités prévues par la même loi.
