Dernière mise à jour : 15/11/2017
La Commission Nationale de l’Informatique et des Libertés
La CNIL, autorité administrative indépendante, est chargée de veiller au respect des dispositions de la loi. A ce titre, elle assure des missions d’information, de conseil, d’expertise et de veille technologique.
La CNIL dispose de pouvoirs particuliers pour faire respecter la loi : elle contrôle la mise en œuvre des chiers informatiques et peut également procéder à des vérifications sur place. La CNIL peut également dénoncer pénalement les infractions à la loi dont elle a connaissance au Procureur de la République.
Anonymisation
On distingue les concepts d’anonymisation irréversible et d’anonymisation réversible, cette dernière étant parfois dénommée pseudonymisation.
- L’anonymisation irréversible consiste à supprimer tout caractère identifiant à un ensemble de données. Concrètement, cela signifie que toutes les informations directement et indirectement identifiantes sont supprimées et à rendre impossible toute ré-identification des personnes.
- L’anonymisation réversible est une technique qui consiste à remplacer un identifiant (ou plus généralement des données à caractère personnel) par un pseudonyme. Cette technique permet la levée de l’anonymat ou l’étude de corrélations en cas de besoin.
Archivage
On distingue habituellement trois catégories d’archives :
- Les bases actives ou archives courantes : il s’agit des données d’utilisation courante par les services en charge de la mise en œuvre du traitement ;
- Les archives intermédiaires : il s’agit des données qui ne sont plus utilisées mais qui présentent encore un intérêt administratif pour l’organisme. Les données sont conservées sur support distinct et sont consultées de manière ponctuelle et motivée ;
- Les archives définitives : il s’agit des données présentant un intérêt historique, scienti que ou statistique justi ant qu’elles ne fassent l’objet d’aucune destruction. Elles sont alors régies par le livre II du Code du patrimoine et non par la loi «informatique et libertés».
Les archives doivent être sécurisées et chiffrées si les données archivées sont des données sensibles ou jugées con dentielles par l’entreprise.
Authentification
«L’authentification a pour but de vérifier l’identité dont une entité se réclame. Généralement l’authentification est précédée d’une identification qui permet à cette entité de se faire reconnaître du système par un élément dont on l’a doté. En résumé, s’identifier c’est communiquer son identité, s’authentifier c’est apporter la preuve de son identité.» (ANSSI Agence Nationale de la Sécurité des Systèmes d’Information).
Chiffrement
Le chiffrement, parfois improprement appelé cryptage, est un procédé cryptographique permettant de garantir la confidentialité d’une information. Les mécanismes cryptographiques permettent également d’assurer l’intégrité d’une information, ainsi que l’authenticité d’un message en le signant.
On distingue deux familles cryptographiques permettant de chiffrer, la cryptographie symétrique et la cryptographie asymétrique :
- la cryptographie symétrique comprend les mécanismes pour lesquels la même clé sert à chiffrer et à déchiffrer
- la cryptographie asymétrique comprend les mécanismes pour lesquels la clé servant à chiffrer, appelée clé publique, est différente de la clé servant à déchiffrer, appelée clé privée. On parle de paire de clés.
Destinataire des données
«Toute personne habilitée à recevoir communication des données autre que celle de la personne concernée, le responsable du traitement, le sous-traitant et les personnes qui, en raison de leurs fonctions, sont chargées de traiter les données» (Art. 3 loi I&L).
Donnée à caractère personnel
«Toute information relative à une personne physique identifée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d’identification ou à un ou plusieurs éléments qui lui sont propres. Pour déterminer si une personne est identifiable, il convient de considérer l’ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accès le responsable du traitement ou toute autre personne» (Art. 2 loi I&L).
Données sensibles
Les «données à caractère personnel qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l’appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci» (Art. 8 loi I&L).
Journalisation
L’enregistrement des actions de chaque utilisateur sur le système pendant une durée définie.
Responsable de traitement
«La personne, l’autorité publique, le service ou l’organisme qui détermine les finalités et les moyens dudit traitement, sauf désignation expresse par des dispositions législatives ou réglementaires relatives à ce traitement» (Art. 3 loi I&L).
Tiers
La personne physique ou morale, l’autorité publique, le service ou tout autre organisme autre que la personne concernée, le responsable du traitement, le sous-traitant et les personnes qui, placées sous l’autorité directe du responsable du traitement ou du sous-traitant, sont habilitées à traiter les données (directive 95/46/CE).
Traitement des données à caractère personnel
«Toute opération ou tout ensemble d’opérations portant sur de telles données, quel que soit le procédé utilisé, et notamment la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction» (Art. 2 loi I&L).
