Politique complète

1          Champ d'application

1.1          A qui s’adresse cette Politique ?

La présente Politique s’adresse à tous les salariés, intérimaires et bénévoles d’APF France handicap, qui traitent des données à caractère personnel dans le cadre de leurs missions.

 

1.2          Données à caractère personnel et traitements concernés par la Politique

La Politique vise les données à caractère personnel telles que définies au 5.2, présentes sur tout support papier ou numérique notamment un serveur, un « data center », un « cloud », un poste de travail ou un “smartphone”.

 

1.2.1          Elle concerne tous les traitements portant sur les données à caractère personnel des personnes visées au 1.1, collectées, utilisées ou transférées par APF France handicap.

 

2          Pilotage

APF France handicap met tout en œuvre afin que les données soient traitées dans le cadre d’une organisation interne relative au RGPD. Toutefois, il est précisé que la Politique ne porte que sur les traitements dont elle est responsable de traitement. Ces traitements peuvent être gérés directement par elle ou par le biais d’un ou des sous-traitant(s) désigné(s) par elle.  

Chaque collaborateur d’APF France handicap doit se conformer à la présente Politique. 

Le délégué à la protection des données à caractère personnel d’APF France handicap met en œuvre la gouvernance visant à décliner les mesures organisationnelles prévues par le RGPD et à permettre un déploiement efficace de la Politique.

 

2.1          Le responsable de traitement

Le Responsable de traitement est la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement.

APF France handicap, représentée par son directeur général, est le Responsable de traitement. Il décide des traitements de données à caractère personnel mis en œuvre au sein de l’Association.

 

2.2          Délégué à la protection des données d’APF France handicap

Le Délégué à la Protection des Données d’APF France handicap est chargé de veiller à la bonne application des règles de protection des données. Il est l’interlocuteur privilégié de la Commission Nationale de l’Informatique et des Libertés (CNIL) et de toutes personnes concernées par une collecte ou un traitement de données à caractère personnel.

Ses principales missions sont celles prévues par l’article 39 du RGPD au titre desquelles, le DPO est chargé de :

·       Informer et de conseiller le responsable de traitement ou le sous-traitant, ainsi que leurs employés ;

·       Participer à la conformité des traitements et veiller, en toute indépendance, au respect de la loi ;

·       Contrôler le respect du règlement et du droit national en matière de protection des données ;

·       Conseiller l’Association sur la réalisation d’une analyse d’impact relative à la protection des données et d’en vérifier l’exécution ;

·       Coopérer avec l’autorité de contrôle et d’être le point de contact de celle-ci.

Les missions du délégué couvrent l’ensemble des traitements mis en œuvre par l’Association.

2.3          Les instances de pilotage d’APF France handicap

Le Comité de Direction Générale, le Comité de Direction Opérationnel et les groupes de suivi Opérationnel RGPD constituent les instances de pilotage de la conformité. 

 

2.3.1          Le Comité de Direction Générale

Le Comité de Direction Générale statue sur les moyens à mettre en œuvre, notamment le budget de mise en œuvre de la conformité.

Le Comité de Direction Générale arbitre sur les divergences d’appréciation des risques et opportunités des analyses d’impact ainsi que sur le coût des solutions proposées en couverture de ces risques, et fixe les priorités.

 

2.3.2          Le Comité de Direction Opérationnel

Le Comité de Direction Opérationnel assure un suivi périodique de la mise en place de la conformité RGPD dans les structures à travers l’information qui lui est fournie par le DPO et les référents RGPD en structure.

2.3.3          Les revues périodiques de traitements

Les revues de traitements planifient et suivent la bonne réalisation du plan d’actions de conformité avec les Directions métiers, les chefs de projet de la DSI, les éditeurs de logiciels et autres prestataires. Ce travail se fait dans le cadre des revues périodiques des traitements de données à caractère personnel où sont ré-examinés les plans d’action et les éventuelles modifications intervenues sur les traitements, à commencer par les finalités, les objectifs ou encore les données collectées.

2.4          Les responsables de la mise en œuvre

Chaque direction, agissant comme « responsable interne » de traitement (cf. 2.1), est chargée de mettre en œuvre les traitements de données à caractère personnel effectués dans le cadre de ses missions. A cet effet, elle détermine les moyens et les finalités de chaque traitement.

Le ou la directeur(rice) est ainsi responsable de la mise en œuvre et de la bonne application de la Politique par ses collaborateurs.  

Il (ou elle), définit les finalités, les objectifs, les catégories de données traitées, la base légale du traitement, le cadre des éventuels transferts de données en dehors de l’Union Européenne, le cadre contractuel avec les éventuels prestataires qui ont accès aux données, les mesures techniques et organisationnelles de sécurisation des données, les modalités d’information des personnes concernées et de recueil de leur consentement si celui-ci est requis.

Le DPO et/ou le référent apporte appui et conseils aux responsables de la mise en œuvre des traitements qui l’interrogent ou qui lui font part de leurs préoccupations en matière de protection des données à caractère personnel. Ils veillent à ce qu’ils adoptent, ainsi que leurs collaborateurs, des pratiques conformes à la Politique et au RGPD.

Les directions d’APF France handicap sont chargées de documenter les traitements dans le registre que le Responsable de traitement est tenu d’établir au titre de l’article 30 du RGPD. Elles mettent en place les plans d’actions décidés avec le DPO en lien notamment avec la Direction des Systèmes d’Information (DSI) et les directions.

 

2.5          Le référent RGPD en structure(s)

Des référents RGPD en structure(s) sont désignés sous la responsabilité des directeurs de structure auxquels ils sont hiérarchiquement rattachés. Ils sont en lien fonctionnel avec le DPO.

Le référent RGPD en structure(s) a pour missions notamment de :

·       Analyser, de documenter et de contrôler les traitements relevant de son périmètre ;

·       Assurer la médiation avec les personnes concernées ;

·       Alerter son directeur sur les non-conformités ;

·       Informer, sensibiliser et diffuser une culture « Informatique et Libertés ».

 

2.6          Les sous-traitants

Le sous-traitant désigne toute personne, physique ou morale, ou tout autre organisme qui traite des données à caractère personnel pour le compte d’APF France handicap. 

Quand l’Association confie la collecte, l’utilisation ou le traitement de données personnelles à un sous-traitant, elle demeure responsable de la protection de ces données. APF France handicap veille à ce que le sous-traitant offre des garanties suffisantes au regard de la présente Politique et du RGPD. Tout contrat conclu avec un sous-traitant doit définir ses obligations, y compris les mesures de sécurité et de confidentialité, conformément aux exigences du RGPD.

Le modèle d’avenant RGPD proposé par le DPO peut servir de support aux clauses générales de protection des données confiées au sous-traitant (voir lien en annexe).

 

3 Les principes généraux et les règles applicables à la collecte et au traitement des données à caractère personnel

APF France handicap s’engage à protéger la vie privée des personnes concernées en assurant la protection, la confidentialité et la sécurité des données à caractère personnel les concernant dans le respect des principes de la protection des données décrits ci-après.

3.1          Principe de responsabilité (Accountability)

En vertu du principe de responsabilité prévu par le RGPD, APF France handicap se donne les moyens de :

Etre en mesure de démontrer, à tout moment, le respect des règles relatives à la protection des données. 

Ce principe est mis en œuvre à travers les mesures suivantes, APF France handicap :

o   a désigné un DPD et mis en place un réseau de référents RGPD en structures ; 

o  tient un registre des activités de traitements des données à caractère personnel ;

o   tient également un registre du sous-traitant pour ses activités notamment d’APF Entreprises ;

o   s’efforce de prendre en compte systématiquement les règles relatives à la protection des données personnelles, au stade de la conception et par défaut, de tout nouveau projet de traitement ;

o   met en œuvre les mesures techniques et organisationnelles appropriées conformément à sa politique de sécurité des systèmes d’information (cf. lien en annexe).

Les documents, attestant du respect des règles décrites dans la Politique, peuvent être immédiatement présentés à la CNIL en cas de contrôle.

3.2          Principes de “Privacy by design” et “Privacy by default”

Les collaborateurs d’APF France handicap prennent en compte les règles relatives à la protection des données à caractère personnel, dès le stade de conception de tout nouveau projet, en vertu du principe de « Privacy by design ». Ce principe s’applique à chaque étape de la collecte et du traitement des données. A cet effet, APF France handicap veillera à ce que les principes fondamentaux de la protection de la vie privée soient intégrés le plus en amont possible dans le processus de gestion des projets.

APF France handicap assure aux personnes concernées la protection optimale de leurs données, par défaut. Par exemple, limiter l’accès des données à un nombre déterminé de personnes habilitées sans que la personne concernée n’ait à intervenir pour le demander.

 

3.3          Licéité, loyauté et transparence

Chaque responsable de la mise en œuvre, tel que défini ci-dessus, collecte et traite les données à caractère personnel de manière licite, loyale et transparente à l’égard des personnes concernées. Il doit veiller à les informer au moyen des mentions exigées par le RGPD, sur tout support permettant une communication concise, transparente, intelligible et aisément accessible.

L’information des personnes concernées porte notamment sur l’utilisation qui sera faite de leurs données, la base juridique du traitement, la finalité poursuivie par le responsable du traitement, les tiers qui y auront accès, la durée de conservation des données, ainsi que sur l’exercice de leurs droits.

Lorsque la collecte est effectuée directement auprès de la personne concernée, l’information doit intervenir au moment où les données personnelles sont obtenues.

Lorsque la collecte est effectuée de manière indirecte, l’information des personnes doit être effectuée dans un délai raisonnable ne dépassant pas un mois à compter de la collecte et, dans tous les cas, au plus tard lors de la première communication avec la personne concernée ou avant toute communication à un tiers.

Pour être licite, un traitement de données à caractère personnel doit reposer sur l’un des fondements légaux. Pour le cas d’APF France handicap, les bases légales les plus souvent utilisées sont :

·       Le contrat ou les mesures pré-contractuelles : le traitement est nécessaire à l’exécution ou à la préparation d'un contrat entre la personne concernée et l'organisme mettant en place le traitement. Par exemple, l’établissement d’un devis en vue de la vente de produits ou de prestations de services ou le recueil des CV lors d’un recrutement ;

·       L’intérêt légitime : l'organisme mettant en place le traitement poursuit un intérêt légitime à mettre en place le traitement et celui-ci n'est pas susceptible d'affecter les droits et libertés des personnes concernées. Par exemple, la gestion de la formation des salariés ou des dotations individuelles en fournitures, équipements, véhicules et cartes de paiement ou encore la mise à disposition du personnel d’outils informatiques ;

·       Le consentement : la personne concernée a explicitement consenti au traitement. Par exemple, la gestion de la relation avec les donateurs ;

·       L’obligation légale : le traitement est imposé par des textes réglementaires. Par exemple, la gestion de la paie du personnel.

Il existe d’autres bases légales :

·       La mission d’intérêt public ;

·       La sauvegarde des intérêts vitaux.

 

3.4          Finalités déterminées, explicites et légitimes

Les données à caractère personnel doivent être collectées pour des finalités déterminées (le traitement doit avoir un but précis), explicites (claires et compréhensibles par tous) et légitimes (compatibles avec l’activité de l’association). Elles ne peuvent pas être traitées ultérieurement de manière incompatible avec les finalités d’origine. Toutefois, une réutilisation des données à des fins archivistiques dans l’intérêt public, à des fins statistiques ou à des fins de recherche scientifique ou historique sera présumée compatible avec les finalités initiales sous certaines conditions précisées par le RGPD.

Chaque responsable de la mise en œuvre doit porter une attention particulière au traitement des catégories particulières de données à caractère personnel (données dites « sensibles ») qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, les données génétiques ou biométriques, les données concernant la santé, la vie ou l’orientation sexuelle d’une personne. Ce type de données ne peut être traité qu’avec le consentement explicite de la personne concernée ou dans les cas expressément autorisés par les législations nationales et le RGPD.

3.5          Pertinence, proportionnalité et minimisation des données personnelles collectées

Les données à caractère personnel collectées doivent être adéquates, pertinentes et limitées à ce qui est strictement nécessaire au regard des finalités pour lesquelles elles sont traitées. Le principe de proportionnalité ou de minimisation des données conduit ainsi les responsables de la mise en œuvre à faire preuve de modération dans la nature et la quantité de données qu’ils sont susceptibles de collecter par rapport à l’objectif poursuivi.

Les données doivent également être exactes et, si nécessaire, tenues à jour.

3.6          Durée de conservation limitée

Chaque responsable de la mise en œuvre s’assure que les durées de conservation n’excèdent pas celles nécessaires à l’atteinte des finalités pour lesquelles ces données sont traitées.

Lorsque les données à caractère personnel ne sont plus nécessaires aux finalités légitimant leur traitement, elles doivent être effacées ou rendues anonymes.

3.7          Sécurité et confidentialité 

Chaque responsable de la mise en œuvre doit prendre les mesures nécessaires en fonction de la nature des données à caractère personnel, du contexte et des finalités du traitement de données personnelles, de façon à garantir un niveau de sécurité adapté aux risques identifiés.

Le niveau de sécurité doit permettre de garantir la confidentialité, l’intégrité et la disponibilité des données à caractère personnel et de limiter tout risque de destruction, de perte, d’altération, de divulgation et d’accès non autorisé à ces données.

Les données à caractère personnel traitées doivent être protégées conformément à la Politique de Sécurité des Systèmes d’Information (PSSI) d’APF France handicap en vigueur, consultable sur son site intranet.

APF France handicap s’efforce sans relâche à renforcer la sécurité de son patrimoine informationnel et à protéger par conséquent les données à caractère personnel qui lui sont confiées.

3.8          Le respect des droits des personnes

Les personnes concernées par les traitements de données à caractère personnel bénéficient de certains droits et APF France handicap doit s’assurer qu’elles peuvent exercer ces droits.

APF France handicap répondra, aux personnes exerçant leurs droits, dans un délai d’un mois à compter de la réception de la demande. Ce délai peut être prolongé jusqu’à trois mois en cas de demande complexe ou s’il existe un grand nombre de demandes en cours. Les personnes concernées seront informées des raisons de l’éventuelle prolongation du délai. Pour les données de santé, le délai de réponse est de huit jours maximum.

 

3.8.1          Droit d’information 

Les personnes concernées reçoivent des informations concernant le traitement de leurs données à caractère personnel au moyen de mentions exigées par le RGPD, sur tout support permettant une communication concise, transparente, intelligible et aisément accessible.

3.8.2          Droit d’accès 

Les personnes concernées ont le droit d’interroger APF France handicap pour savoir si elle traite des données à caractère personnel les concernant et d’en obtenir la communication dans des termes compréhensibles, c’est-à-dire de la manière la plus claire et précise possible. Par exemple, en cas de codes ou d’abréviations dans l’information fournie, ils doivent être explicités.

Elles peuvent exercer ce droit à tout moment :

·       auprès du directeur de la structure ;

·       en utilisant le formulaire de contact accessible sur son site internet : https://www.apf-francehandicap.org/formulaire/contacter-le-dpo-delegue-la-protection-des-donnees-23728

·       par courrier postal à l'adresse suivante : APF France handicap Direction de la Communication - 17, boulevard Auguste Blanqui - 75013 Paris

·       par mail à l’adresse du délégué à la protection des données dpo@apf.asso.fr.

3.8.3          Droit de rectification

Les personnes concernées ont le droit d’obtenir que leurs données à caractère personnel soient modifiées, si elles considèrent qu’elles sont inexactes ou incomplètes, ou d’en obtenir la suppression dans les limites précisées par le RGPD.

3.8.4           Droit à l’effacement

La personne concernée a le droit d’obtenir l’effacement des données à caractère personnel la concernant qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l’utilisation, la communication ou la conservation sont interdites.

3.8.5          Droit à la limitation

Dans certains cas, les personnes concernées ont le droit de demander de geler temporairement l’utilisation de certaines données, dans le but de limiter leur traitement dans le futur.

Lorsque le traitement a été restreint, ces données sont uniquement traitées soit avec le consentement des personnes concernées soit pour la constatation, l’exercice ou la défense de de droits en justice, soit pour la protection des droits d’une autre personne physique ou morale ou soit pour des raisons d’intérêt public.

3.8.6          Droit à la portabilité des données :

Les personnes concernées ont le droit de demander à récupérer les données qu’elles ont fournies grâce à l’utilisation d’un service ou d’un dispositif soit pour leur usage personnel ou pour les transférer à un tiers. Ce droit ne doit pas porter atteinte aux droits et libertés d’autrui.

L’exercice de ce droit ne peut porter que sur des traitements automatisés reposant sur le consentement de la personne concernée ou nécessaire à l’exécution d’un contrat ou de mesures pré-contractuelles.

3.8.7          Droit d’opposition :

Les personnes concernées ont le droit de s’opposer à tout moment, pour des motifs tenant à sa situation particulière, au traitement des données à caractère personnel les concernant. 

Un refus à la demande d’exercice de ce droit doit être motivé par APF France handicap. Ce peut être :

o   une obligation légale

o   des motifs légitimes et impérieux imposant de continuer à traiter les dites données 

o   ou pour la constatation, l'exercice ou la défense de droits en justice.

3.8.8          Droit de saisir l’autorité de contrôle.

Les personnes concernées par le traitement de leurs données à caractère personnel sont informées de leur droit d’introduire une plainte auprès de la CNIL, si elles estiment que le traitement des données à caractère personnel les concernant n'est pas conforme au RGPD.

 

3.8.9          Utilisation des cookies

Les sites internet d’APF France handicap, y compris celles de ses structures, qui utilisent des cookies (cf 5.5) doivent :

o   Informer l’utilisateur (internaute) de l’ensemble des finalités d’usage liés aux cookies ou traceurs déposés sur son appareil (ordinateur, téléphone …) au moment de faire son choix ;

o   Informer l’internaute de la liste des responsables de traitement de ces traceurs ;

o   Permettre à l’utilisateur de consentir aux cookies par un acte positif clair ;

o   Permettre à l’utilisateur de faire un choix par finalité ;

o   Permettre à l’utilisateur de revenir sur sa décision à tout moment.

Il est recommandé de conserver durant 6 mois le choix de l’utilisateur, que ce soit une acceptation ou un refus, avant de le solliciter à nouveau, lors de sa navigation sur le site.

Les « bandeaux de cookies » doivent respecter les recommandations de la CNIL.

3.9          Analyse d’impact relative à la protection des données

Chaque direction concernée procède à une analyse d’impact relative à la protection des données personnelles (AIPD) avant la mise en œuvre de tout nouveau traitement de données personnelles, lorsque les critères prévus par le RGPD sont réunis. C’est notamment le cas lorsqu’un traitement de données à caractère personnel est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, en particulier par le recours à de nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement.

La Direction qui mène une AIPD peut solliciter l’avis du DPO.

3.10      Transferts de données hors Union Européenne

Dans l’hypothèse de transferts de données à caractère personnel vers des pays situés hors de l’Union Européenne, APF France handicap s’engage à respecter les conditions exigées par le RGPD notamment celle d’assurer un niveau de protection des données suffisant et approprié en utilisant les différents outils juridiques définis par le RGPD et les législations nationales et européennes.

 

4          Mise en œuvre opérationnelle

Pour la mise en œuvre de la Politique, les actions suivantes sont mises en œuvre par APF France handicap en prenant en compte la protection de la vie privée des personnes concernées dans le respect des principes de Privacy by design et de Privacy by default.

4.1          Sensibilisation et formation

Des actions de sensibilisation à la protection des données à caractère personnel et à la sécurité des systèmes d’information du personnel concerné sont organisées afin de lui donner les connaissances suffisantes pour remplir ses obligations au titre du RGPD et de la réglementation applicable, en fonction de leur degré d’implication dans les traitements de données à caractère personnel.

4.2          Traduction de la Politique dans un corpus documentaire

La Politique se décline notamment par l’intermédiaire de procédures et modes opératoires lesquels sont mis à disposition sur le site intranet d’APF France handicap.

APF France handicap publie régulièrement sur son intranet des chroniques thématiques destinées à diffuser les bonnes pratiques et à permettre le déploiement opérationnel des objectifs visés par le RGPD.

4.3          Gestion des violations de données personnelles

En cas de violation des données à caractère personnel, chaque responsable de mise en œuvre doit suivre la démarche décrite dans la procédure adéquate en vigueur.

Le DPO est informé sans délai de toute violation de données à caractère personnel.

Si la violation constatée est susceptible de porter sérieusement atteinte aux droits et libertés des personnes concernées, il avise l’autorité de contrôle compétente (et, si nécessaire, les personnes concernées) dans les meilleurs délais (si possible, 72 heures après en avoir pris connaissance).

 

4.4          Revue des traitements et du plan de conformité

Les mesures techniques et organisationnelles appropriées de mise en conformité des traitements de données à caractère personnel sont mises en place afin d’assurer un niveau de protection optimal des données traitées.

Des revues internes de conformité des traitements sont réalisées régulièrement par le Délégué à la Protection des Données afin de mettre à jour les traitements, d’intégrer les nouveaux traitements et de détecter les pistes d’amélioration de la protection de la vie privée. Les résultats de ces revues sont mis à disposition de l’autorité de contrôle compétente, conformément au RGPD.

Les mesures correctives, adoptées en cas d’insuffisances constatées lors des revues de conformité, sont documentées et mises à jour régulièrement.

Les sous-traitants doivent communiquer les informations nécessaires à la démonstration du respect de leurs obligations légales.

 

5          Les définitions

5.1          Règlement Général sur la Protection des Données

Le « Règlement Général sur la Protection des Données » (RGPD) n°2016/679 du Parlement européen et du Conseil du 27/04/2016 relatif à la protection des personnes physiques à l’égard du traitement de leurs données personnelles et à la libre circulation de ces données est entré en vigueur le 25 mai 2018.

Il s’applique aux organismes établis sur le territoire de l’UE ou mettant en œuvre des activités de traitement de données à caractère personnel de personnes situées dans l’UE telles qu’une offre de biens ou de services ou le suivi de leur comportement.

 

5.2          Données à caractère personnel

La « donnée à caractère personnel » désigne toute information relative à une personne physique identifiée ou identifiable, soit directement (par exemple : nom et prénom) soit indirectement. Par exemple : les données relatives à la gestion du personnel, une donnée biométrique ou de localisation la voix ou les codes de connexion (login).

La personne physique peut être identifiée à partir d’une seule donnée (une adresse e-mail telle « prenom.nom@apf.asso.fr » ou un numéro de sécurité sociale) ou à partir d’un croisement d’un ensemble de données (numéro de téléphone et nom).

5.3          Traitement de données à caractère personnel

Le « traitement de données à caractère personnel » désigne toute opération ou tout ensemble d'opérations, effectuée ou non à l'aide de procédés automatisés et appliquée à des données ou des ensembles de données à caractère personnel, tel que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction. Ils peuvent constituer des fichiers papiers ou numériques.

5.4          Destinataires

Les « destinataires » sont les personnes habilitées à obtenir communication de données enregistrées dans un fichier ou un traitement en raison de leurs fonctions. APF France handicap s’assure que les données ne soient accessibles qu’à des destinataires internes ou externes habilités (par exemple les établissements bancaires et fiscaux ou la sécurité sociale).

5.5          Cookie

Un « Cookie » est cookie est un petit fichier informatique, un traceur, déposé et lu par exemple lors de la consultation d'un site internet, de la lecture d'un courrier électronique, de l'installation ou de l'utilisation d'un logiciel ou d'une application mobile, quel que soit le type de terminal utilisé (ordinateur, smartphone etc.). Il peut recouvrir par exemple, les cookies http, les cookies "flash" ou tout autre identifiant généré par un logiciel ou un système d'exploitation.

 

5.6          Violation de données à caractère personnel

Une « violation de données à caractère personnel » est une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données.