2. L'ENCADREMENT PAR LES POUVOIRS REGLEMENTAIRES
75. Les décrets de
sécurité - Pour encadrer encore plus cette obligation de
sécurité, le législateur a prévu la
possibilité de préciser les exigences en matière de
sécurité par décret. Mais ces décrets ne concernent
que des cas particulièrement à risque qui n'intéressent
pas l'objet de notre étude.
76. Le pouvoir règlementaire de la
CNIL - Au-delà des règles de sécurité
imposées par l'article 34 de la loi n°78-17, la loi autorise
également la CNIL a édicter des règlement types de
sécurité en son article 11 qui dispose que la CNIL «
établit et publie (...) des règlements types en vue d'assurer la
sécurité des systèmes » et « propose au
Gouvernement les mesures législatives ou réglementaires
d'adaptation de la protection des libertés à l'évolution
des procédés et techniques informatiques ». A ce jour, la
CNIL n'a exercé qu'à une seule reprise ce droit dans le cadre de
la délibération n°81-094 du 21 juillet 1981. Dans cette
délibération la CNIL recommande aux responsables de traitement de
réaliser une évaluation des risques systématique et
récurrente, de mettre en oeuvre des mesures de sensibilisation, de
formaliser les mesures de sécurité mises en oeuvre dans un
document, de définir les responsabilités du personnel et de
préciser les garanties de sécurité.
3. LE CAS DE LA SOUS TRAITANCE
77. Cas particulier de la sous-traitance -
L'article 35 de la loi n°78-17 régit également les rapports
entre le responsable de traitement et ses potentiels sous-traitants en imposant
plusieurs obligations. Ainsi, un sous-traitant ne doit pouvoir intervenir sur
les données à caractère personnel que sur instruction du
responsable de traitement et il doit présenter « des garanties
suffisantes pour assurer la mise en oeuvre des règles des mesures de
sécurité et de confidentialité ». Ces garanties sont
les mêmes que celles édictées pour le responsable de
traitement. L'article impose que le respect de ces obligations doit être
formalisé dans un contrat liant le sous-traitant au responsable de
traitement.
Bien que le responsable de traitement conserve les
données de manière sécurisée, il ne peut pas les
conserver pendant une durée indéterminée. En effet, la
durée de conservation doit être limitée dans le temps.
| 
