Non. Le CERN n'applique pas le Règlement général sur la protection des données 2016/679 (RGPD), ni la loi suisse sur la protection des données (LPD), ni aucune autre loi nationale sur la protection des données. Le CERN en tant qu'organisation intergouvernementale applique uniquement son propre cadre interne de protection des données, la Circulaire Opérationnelle no. 11 "Traitement des données à caractère personnel au CERN" (CO 11.

L’anonymisation des données est un processus irréversible par lequel toutes les données pouvant permettre l’identification de la personne concernée sont supprimées de l’ensemble de données afin de rendre l’individu non identifiable.

Il existe plusieurs techniques d’anonymisation, et votre choix dépendra du contexte. Comme le résultat du processus d’anonymisation doit être aussi permanent que la destruction, nous vous conseillons de procéder à une vérification de la fiabilité de la technique choisie en vous basant sur trois critères :

1. Est-il toujours possible de distinguer un individu ?
2. Est-il toujours possible de relier les informations à un individu ?
3. Peut-on déduire des informations concernant un individu ?

Lorsque vous pouvez répondre par la négative aux trois questions ci-dessus, la technique choisie est fiable et vous amènera à une anonymisation complète des données. En cas de doute ou lorsque le processus choisi ne remplis pas tous les critères il faudra procéder à une analyse approfondie des risques potentiels et consulter le ODP.

Oui, selon la définition de la CO 11, les données personnelles comprennent également "les identifiants en ligne et les identifiants d'appareils électroniques".

Voici quelques exemples de ces identifiants :

• les adresses de protocole Internet (IP)
• les identificateurs de cookies ; et
• d'autres identifiants tels que les étiquettes d'identification par radiofréquence (RFID).

Ces identifiants renvoient à des informations liées aux outils, applications ou appareils d'une personne, comme son ordinateur ou son smartphone. La liste ci-dessus n'est en aucun cas exhaustive. Toute information permettant d'identifier un appareil spécifique, comme son empreinte digitale, est un identifiant.

Ces identifiants peuvent laisser des traces qui peuvent être utilisées pour créer un profil de l'utilisateur et son identification, en particulier s'ils sont combinés avec des identifiants uniques et d'autres informations reçues par les serveurs.

Par conséquent, les adresses IP dynamiques et statiques sont considérées comme des données personnelles, car elles permettent d'identifier directement ou indirectement la personne qui utilise l'appareil correspondant.

Le Bureau de la protection des données (ODP) joue un rôle consultatif au CERN. Il fournit des conseils d'experts afin d'aider les services à mettre en œuvre correctement leurs obligations en matière de protection des données, conformément aux règles internes du CERN. Toutefois, l'ODP n'a pas le pouvoir de donner des instructions contraignantes ni de prendre des décisions au nom d'un service.

En fin de compte, chaque service responsable reste pleinement responsable de ses propres activités de traitement et des décisions qu'il prend dans ce contexte. Bien que les recommandations de l'ODP ne soient pas obligatoires, elles reflètent les meilleures pratiques et visent à favoriser un traitement conforme, efficace et conscient des risques. Leur mise en œuvre est donc fortement encouragée afin de garantir la conformité avec le cadre de protection des données du CERN.

L'application de la CO 11 ne dépend pas de la date à laquelle les données ont été collectées.

Elle s'applique à tous les traitements effectués depuis l'introduction de la CO 11 au 1.1.2019, y compris les droits de la personne concernée qui sont également valables pour les «anciennes» données.

Qu'est-ce que cela signifie en pratique?

Cela signifie que tout ce que vous faites aujourd'hui avec les données (même si elles ont été collectées il y a des années) doit être conforme. Ce «tout» comprend tout type de traitement, y compris le stockage.

Exemples:

• Des données personnelles ont été collectées en 2010 lors de l'embauche d'un nouveau membre du personnel.
  La collecte n'était pas soumise à l'OC 11, cependant, si les données sont toujours présentes aujourd'hui et qu'il s'avère qu'il n'y a pas de base légale et de finalité pour les conserver, vous devez les supprimer (OC 11 oblige!).

• Un transfert de ces données à une entité externe effectué en mars 2018 n'était pas soumis à l'OC 11.
  Cependant, lorsque la personne concernée soumet aujourd'hui une demande de correction des données, le CERN doit se conformer à la CO 11 et informer cette entité externe et lui demander de mettre également à jour les données.

Lorsque quelqu’un poste des informations personnelles sur un réseau social, ces dernières sont publiques et je peux les utiliser, n’est-ce pas?

Non, pas exactement. Même si ces données sont désormais publiquement disponibles, elles ne pourront être traitées qu’aux même fins que celles qui ont fait qu’elles ont été rendues publiques à l’origine.

L’individu reste toujours le propriétaire de ses données personnelles, peu importe qu’elles soient publiquement accessibles ou pas.

Par conséquent, ce qui est posté sur un réseau social ne pourra pas être utilisé dans le cadre de l’évaluation de l’employé par exemple.

 L'Organisation européenne pour la recherche nucléaire (CERN) est une organisation intergouvernementale dont le siège se trouve à Genève, en Suisse. En raison de son statut juridique particulier, le CERN bénéficie de privilèges et d'immunités en vertu du droit international. Par conséquent, le CERN n'est pas soumis aux législations nationales ou supranationales en matière de protection des données, y compris au règlement général sur la protection des données (RGPD) de l'Union européenne.

Le Comité européen de la protection des données (EDPB), dans ses lignes directrices n° 3/2018 relatives au champ d'application territorial du RGPD (article 3), précise également que le RGPD n'affecte pas l'application du droit international, y compris les dispositions régissant les privilèges et immunités des organisations internationales.

En outre, en ce qui concerne les transferts de données de l’Union européenne vers le CERN, l’Organisation — en vertu de son statut intergouvernemental et des privilèges et immunités qui y sont associés — n’est pas soumise aux clauses contractuelles types (SCC). Cette interprétation est confirmée par la Commission européenne dans sa foire aux questions sur les SCC (Question 25).

Le CERN traite les données à caractère personnel exclusivement conformément à sa propre législation interne. Son cadre de protection des données repose sur les principes établis dans ses États membres et, plus largement, au sein de l'Union européenne, et est mis en œuvre au moyen de mesures techniques et organisationnelles appropriées. Le CERN traitera toute demande conformément à ses procédures internes.

Le CERN a nommé un conseiller en protection des données (DPA), qui fait office de point de référence central pour toutes les questions relatives à la protection des données au sein de l’Organisation. Le CERN n’étant pas soumis aux juridictions nationales, tout litige lié au traitement des données à caractère personnel est traité conformément à ses règles internes ou, si nécessaire, par voie d’arbitrage.

De plus amples informations sur l’approche du CERN en matière de protection des données sont disponibles dans sa Politique de protection des données à caractère personnel.

Non. Le cadre juridique pour la protection des données au CERN permet le traitement de données personnelles uniquement lorsque cela est nécessaire au bon fonctionnement de l’Organisation (voir § 3 CO 11).

Le partage de données à caractère personnel avec des personnes physiques à des fins privées n’en fait pas partie.

Cela couvre également les situations où vous considérez avoir un intérêt justifié, comme le recouvrement d'une dette impayée d'un ancien collègue qui a quitté le CERN sans vous laisser sa nouvelle adresse.

Pour répondre à cette question, il faut d'abord vérifier les dispositions applicables de la Circulaire opérationnelle n° 11 (CO 11):

Comme le partage de données personnelles entre deux services du CERN est autorisé par la CO 11 si cela est dans l'intérêt du CERN et si le Bureau de la protection des données (ODP) a été consulté avant le transfert, on pourrait supposer que l'accès au dossier personnel devrait être possible dans ce cas précis.

L'ODP considère que l'objectif de publier une notice nécrologique pour un membre du personnel, décédé pendant ou après son contrat avec le CERN, écrite par le CERN est légitime. En règle générale, l'ODP n'émet aucune réserve quant à ces transferts, à condition que le plus proche parent du défunt consente au transfert.

Notre réponse est donc la suivante :

Si les proches de la personne décédée sont d'accord avec l'édition et la publication d'une notice nécrologique, votre accès au dossier personnel de cette personne serait conforme à la CO 11.

Si la personne décédée était un membre actif du personnel, le Service des affaires sociales du CERN coordonne la procédure à suivre après le décès d'un membre du personnel et assure la communication entre la famille, les autorités extérieures et les services internes du CERN. Par conséquent, vous devez vous adresser au Service des affaires sociales pour savoir si une notice nécrologique est souhaitée.

Dans le cas où la personne décédée était un retraité du CERN, étant donné que le service de la Caisse des pensions ne s'occupera pas de ces demandes ni de la publication des nécrologies, il est suggéré de contacter directement les proches pour demander leur consentement.

La CO 11 définit “entité extérieure” et le “transfert de données” comme suit:

• “§ 8. Entité extérieure : toute personne physique ou morale exerçant ses activités en dehors de la structure de l’Organisation.”
• “§ 22. Transfert : divulgation, diffusion ou toute autre mise à disposition, y compris par l’octroi d’un accès, de données à caractère personnel à un ou plusieurs services ou entités extérieures.”

En jurisprudence, une personne physique est une personne (au sens juridique, c'est-à-dire une personne qui a sa propre personnalité juridique) qui est un être humain individuel, par opposition à une personne morale, qui peut être une organisation privée (c'est-à-dire une entité commerciale ou une organisation non gouvernementale) ou publique (c'est-à-dire un gouvernement).

Les personnes qui ne sont pas membres du personnel mais qui ont un contrat de travailleur temporaire, de consultant ou autre avec le CERN sont des personnes physiques qui excercent leurs activités au sein du CERN, et ne sont donc pas considérées comme des entités extérieures.
En conséquence, elles peuvent traiter des données à caractère personnel au CERN dans le cadre de leur mission et cette activité ne sera pas considérée comme un transfert de données.

Les entreprises sont en général des personnes morales et lorsqu'elles traitent des données à caractère personnel pour le compte du CERN, elles le font souvent dans le cadre d'un contrat de service qui les oblige à envoyer leur personnel sur place.
Dans ce cas, nous ferons la distinction entre le personnel du contractant et son employeur :

• Le personnel ne serait pas considéré comme une entité extérieure tant qu'il effectue son travail au sein de la structure du CERN (en étant rattaché à une unité organique, avec un bureau, un numéro de téléphone, une adresse électronique, etc.), qu'il traite des données à caractère personnel au sein des systèmes du CERN et qu'il ne partage pas les données à caractère personnel du CERN avec son employeur ou toute autre entité extérieure.
• Leurs employeurs, en revanche, seraient considérés comme des entités externes puisqu'ils ne travaillent pas au sein de la structure du CERN.
• Si le personnel du contractant partage des données à caractère personnel du CERN avec son employeur ou toute autre entité extérieure, ou s'il traite des données à caractère personnel en dehors des systèmes du CERN, nous considérerons, dans ce cas, tant le premier que le second comme des entités extérieures.

Non, pas sans le consentement de la personne concernée.

L'accès à ce type d'informations et leur partage relèveraient du traitement de données à caractère personnel. Conformément aux règles du CERN en matière de protection des données (OC 11), cela nécessite une base juridique valable. Dans ce cas précis, la seule base juridique appropriée serait le consentement de la collègue.

Par conséquent, sans son accord explicite, le Bureau des archives — en tant que responsable du traitement des dossiers personnels — ne peut vous accorder l'accès à son dossier.

Autres considérations

Même en cas d’intérêt légitime, la consultation d’un dossier personnel complet serait :

• Très intrusive pour la vie privée, car il contient une grande quantité de données personnelles (et potentiellement sensibles)
• Disproportionnée par rapport à l’objectif de préparation d’un discours d’adieu
• Techniquement irréalisable, car l’extraction d’informations pertinentes à partir de dossiers (souvent au format PDF) peut s’avérer difficile

Alternatives suggérées

Vous pouvez atteindre votre objectif par des moyens plus appropriés :

• Demandez directement à votre collègue
  L'option la plus simple et la plus respectueuse consiste à lui parler et à recueillir les informations dont vous avez besoin.
• Demandez-lui l'autorisation de partager des informations spécifiques issues de son dossier personnel
  Si elle accepte, elle peut exercer son droit d'accès et obtenir une copie de ses données personnelles via le formulaire en ligne officiel, puis choisir ce qu'elle souhaite partager avec vous
• Demandez à d'autres collègues
  Vous pouvez recueillir des informations pertinentes en discutant avec des collègues qui ont travaillé en étroite collaboration avec elle.

En résumé

• Vous ne pouvez pas consulter le dossier personnel d'un collègue sans son consentement.
• Privilégiez plutôt la communication directe, le consentement et des sources moins intrusives.

Il existe de nombreux types de services cloud, partant d’applications que vous pouvez utiliser au stockage en ligne basique, de solutions internes à des solutions externes.

Dans tous les cas, vous devez faire attention à ne pas conserver dans le cloud des données personnelles d’autres personnes sans mesures de protection adéquates. Vous devez donc être très prudent lorsque vous utilisez un service cloud dans le contexte professionnel du CERN. Voici quelques lignes directrices à prendre en considération:

• Savez-vous comment le fournisseur du cloud traite les données que vous y stockez? Avez-vous contrôlé? Est-ce que le fournisseur offre un niveau de protection suffisant?
• Avez-vous informé votre hiérarchie de votre utilisation du service cloud dans le contexte professionnel et a-t-elle approuvé cet usage?
• Est-ce que ce traitement de données à caractère personnel est compatible avec l’avis de confidentialité du service?

De plus amples informations concernant l’usage de Services cloud peuvent être obtenues via le Cloud Licence Office (CLO).

Les affirmations de « conformité au RGPD » faites par les fournisseurs d’outils informatiques doivent être prises avec des pincettes.

Tout d’abord, le terme « conformité au RGPD » ne constitue pas une garantie légale contraignante, et chacun peut l’interpréter à sa guise. En général, ces affirmations ne reposent pas sur un audit formel, sur l’adhésion à un code de conduite officiel ou à une norme certifiée, mais plutôt sur des auto-évaluations faites par l’entreprise. À ce titre, elles doivent être considérées davantage comme de la publicité que comme la preuve d’une réelle conformité juridique.

La conformité au RGPD n’est pas un simple avantage – c’est une obligation légale. Tout fournisseur établi dans l’UE ou traitant les données personnelles de citoyens de l’UE est tenu de respecter le RGPD. Mettre en avant la conformité avec des exigences légales n’est guère convaincant – cela souligne seulement le fait que l’entreprise respecte la loi, ce qui devrait être une évidence.

Pour illustrer cela : imaginez un service de transport en commun faisant la promotion du fait que ses conducteurs possèdent un permis de conduire valide – vous sentiriez-vous vraiment plus rassuré et penseriez-vous que cela rend leur service plus fiable ?

Le fait qu’un outil ou un fournisseur respecte les exigences de protection des données du CERN – telles que celles définies dans la CO 11 – ne dépend pas d’une déclaration de conformité au RGPD. Il faut procéder à une évaluation rigoureuse basée sur des éléments concrets : les finalités prévues du traitement des données, les fonctionnalités de l’outil, les garanties et services du fournisseur, les termes contractuels et si le fournisseur utilise les données personnelles du CERN à ses propres fins.

Enfin, le RGPD ne s’applique pas au CERN. Par conséquent, la « conformité au RGPD » – quelle que soit sa définition – n’est pas pertinente.

En résumé, il ne faut pas se fier à ces affirmations et il convient de faire preuve de diligence raisonnable pour évaluer si l’outil et le fournisseur remplissent les conditions requises pour un traitement de données personnelles conforme à la CO 11.

En principe, non.

Les conditions contractuelles types du CERN exigent que les données à caractère personnel traitées pour son compte restent sur le territoire des États membres du CERN. Cela garantit que les données bénéficient du cadre juridique du CERN, y compris de ses privilèges et immunités, qui offrent un niveau de protection supplémentaire.

Par conséquent, l’utilisation de services cloud qui stockent ou traitent des données à caractère personnel en dehors des États membres du CERN (y compris aux États-Unis) n’est généralement pas autorisée, que ce soit par le personnel du CERN ou par ses fournisseurs.

Précision importante

Certains pays, dont les États-Unis, sont reconnus (dans certains cadres) comme offrant des niveaux adéquats de protection des données comparables aux normes européennes.

Toutefois, pour le CERN – qui n’applique pas le RGPD – cela ne suffit pas à lui seul. Les exigences contractuelles et institutionnelles du CERN vont au-delà des règles générales d’adéquation en matière de protection des données.

Ce que cela signifie en pratique

• Vous ne devez utiliser que des solutions cloud qui conservent les données à caractère personnel au sein des États membres du CERN
• Les transferts en dehors de ces pays nécessitent une évaluation préalable et une autorisation explicite du CERN
• Vous ne devez pas supposer qu’un service est acceptable simplement parce qu’il est conforme aux règles de l’UE en matière de protection des données

Ce sujet est vaste et de nombreux problèmes dépendront du cas particulier de chaque service cloud. Voici néanmoins quelques points principaux à prendre en considération:

• Quand vous téléchargez des informations personnelles sur le cloud, y compris lorsque vous les entrez dans un document Google, vous traitez des données à caractère personnel.
• Lorsque quelqu’un lit les données que vous avez entrées, cette personne traite également des données à caractère personnel.
• Avez-vous pris en compte le droit à la vie privée des individus et le contenu des données à caractère personnel que vous êtes en train de télécharger?
• L’objectif est-il spécifique et est-ce la meilleure méthode pour atteindre cet objectif?
• Avez-vous obtenu le consentement approprié des individus ou pouvez-vous justifier le traitement que vous effectuez par une base juridique?
• Comprenez-vous la relation contractuelle que vous avez avec le fournisseur de cloud? Quels droits ont-ils sur le contenu? Quels engagements ont-ils pris pour protéger les données personnelles? Sont-ils suffisants?
• Avez-vous protégé l’accès au contenu de manière adéquate?

Vous êtes responsable du traitement des données à caractère personnel et la règle générale est que si vous pouvez l’éviter, vous devriez!

Si Newdle est un super outil pour organiser des réunions, il existe des mesures de sécurité que vous pouvez (et devriez) prendre afin d’éviter que tous les participants ne voient tous les autres participants. Astuce: Cochez la fonctionnalité « Keep list of participants private » dans les options avancées.

Pour donner un exemple, imaginez que vous souhaitez organiser une réunion pour rassembler toutes les personnes au sein du CERN ayant des enfants et que vous créez accidentellement une liste publique des personnes, contenant leur profil (avoir des enfants) et leur présence à un lieu et une heure donnés. Comme il n’est pas possible de s’assurer que l’URL que vous donnez aux participants va rester protégé, cette liste sera donc accessible et visible par toute personne, qu’elle ait été invitée par vous ou pas.

Créer et publier une liste profilant des individus sans prendre de mesures appropriées pour protéger leur vie privée est une violation du droit au respect à la vie privée.

Faites donc attention et utilisez toutes les mesures de sécurité à votre disposition.

Les doléances et les rapports de traitement non-conformes sont suivis par le Bureau de la protection des données (ODP) de la manière suivante :

1. Établissement des faits
   Tout d'abord, l'ODP établit les faits relatifs au traitement des données personnelles concernées. Cela se fait généralement en collaboration avec les services concernés, pour savoir ce qui a été fait par qui, quand et pourquoi. Mais l'étude des documentations, règlements, etc. applicables fait également partie de l'établissement des faits.

2. Classification
   Sur la base faits établis, l'ODP vérifie si le signalement a été correctement classé comme «traitement non-conforme» ou comme «doléance». Un cas n'est considéré comme une doléance que si le traitement non-conforme allégué affecte directement la personne qui l'a signalée. Dans tous les autres cas, il est classé comme «traitement non-conforme».

3. Contrôle de conformité
   Ensuite, l'ODP évalue si le traitement était/est conforme à la Circulaire opérationnelle n°. 11 (CO 11). L'ODP vérifie si les principes essentiels du traitement sont respectés, si une base légale existe, si les droits des personnes concernées sont respectés, etc.

4. Recommandations
   En outre, le cas échéant, l'ODP tente d'identifier les moyens de mettre le traitement en conformité et recommande aux services concernés des mesures spécifiques pour y parvenir. Il peut s'agir par exemple de : "Veuillez publier un avis de confidentialité", ou "Supprimez les données qui ne sont plus nécessaires", ou "Réalisez une Analyse d'impact relative à la protection des données pour étuder les risques et identifier les mesures d'atténuation appropriées."

5. Suivi
   Enfin, en tant qu'"étape supplémentaire" non définie dans la CO 11, l'ODP donne aux services concernés la possibilité de réagir aux recommandations, par exemple en s'engageant à les mettre en œuvre dans un certain délai.

   La raison pour laquelle l'ODP a ajouté cette étape supplémentaire est que la CO 11 ne prévoit pas de suivi des recommandations, tout en accordant aux personnes concernées le droit de déposer une plainte en cas de mécontentement, à condition que leurs rapports aient été classifiés comme «doléance». Ainsi, les personnes concernées disposent de suffisamment d'éléments leur permettant de décider si elles souhaitent déposer une plainte officielle auprès de la Commission de protection des données.

6. Documentation
   Les étapes ci-dessus sont documentées dans un rapport d'évaluation qui est partagé avec le plaignant et les services concernés. Une copie est également envoyée à la Commission de protection des données pour information.

En principe, l'ODP traite les rapports de manière confidentielle en ne divulguant pas l'identité du plaignant aux services concernés. Toutefois, cela n'est pas toujours possible, en particulier lorsque les données personnelles du plaignant sont concernées.

La CO 11 ne définit pas de délai pour le traitement des doléances et les rapports de traitement non-conforme. L'ODP essaie de faire de son mieux pour enquêter, évaluer et recommander rapidement. Malheureusement, l'ODP est souvent confronté à une charge de travail importante, ce qui génère certains retards.

Contrairement à la législation européenne en matière de protection des données, la protection accordée par l'OC 11 ne prend pas fin avec le décès de la personne concernée. En cas de décès, les droits du défunt peuvent être exercés par son successeur légal. Cela signifie que le successeur légal peut, par exemple, accéder aux données personnelles du défunt, demander des modifications et/ou des corrections, ou signaler un traitement incorrect des données personnelles du défunt.

Pour ce faire, le demandeur doit prouver à la fois son identité et son statut de successeur légal du défunt.

La succession légale doit être prouvée par des documents publics ou certifiés conformes, tels qu'un certificat d'héritier ou un Certificat successoral européen.

Cas particulier : communauté d'héritiers

Si le document présenté indique que le défunt a plusieurs successeurs légaux, c'est-à-dire une communauté d'héritiers, l'exercice des droits devient un peu plus compliqué.

En règle générale, une communauté d'héritiers ne peut exercer les droits de la personne décédée que conjointement. Une exception s'applique aux demandes d'accès ou de copies des données personnelles du défunt : dans ce cas, chaque héritier peut soumettre une demande individuelle, qui sera traitée et répondue individuellement.

Tous les autres droits doivent être exercés conjointement, soit par :

• le demandeur qui présente le consentement écrit de tous les autres héritiers accompagné de leur preuves d'identité, soit
• un représentant légal (par exemple un notaire) agissant au nom de l'ensemble de la communauté des héritiers, muni des procurations de chaque héritier.

Lorsque vous êtes membre du personnel du CERN et que vous souhaitez accéder aux données contenues dans vos fichiers administratifs personnels (dossiers personnels, MERIT, dossiers médicaux et de la Caisse de pensions) ou en obtenir une copie, vous avez le choix d'exercer ce droit:

1. soit en se référant au § 9 de la Circulaire administrative no. 10 (CA 10): chaque membre du personnel a le droit de consulter son dossier personnel, en présence d'un conseiller en relations humaines (HRA).
   Un délai pour exercer ce droit n'est pas précisé dans la CA 10 et les dossiers sont à consulter en général soit dans les locaux du Bureau des dossiers, soit via le HRA ou dans son bureau. Ils peuvent également vous faire des copies de documents, le cas échéant. Si vous souhaitez procéder de cette manière, veuillez contacter directement votre HRA ou le Bureau des dossiers, et ne soumettez pas de demande de droit de la personne concernée.

2. ou en se référant à la CO 11, qui définit un délai de 90 jours pour l'octroi de l'accès. Si vous préférez procéder ainsi, vous trouverez les informations correspondantes sur l'exercice de vos droits d'accès sur ce site.

La responsabilité de la protection des données au CERN est décentralisée et organisée d'une manière particulière : Les services responsables sont responsables de leurs activités de traitement. Par conséquent, les droits des personnes concernées doivent être exercés en ce qui concerne les données à caractère personnel détenues par un service responsable spécifique.

Il n'est pas possible de satisfaire une demande générale couvrant "toutes les informations que le CERN détient sur moi". Sachant que le catalogue de services du CERN contient actuellement plus de 600 services actifs, répondre à une telle demande impliquerait un effort disproportionné.

Vous devez donc identifier les services responsables concernés, afin de formuler la demande d'accès aux données personnelles souhaitée.

L'avis de confidentialité central du CERN (aussi appelé "Layered Privacy Notice") contient la liste des services responsables qui ont publié leur avis de confidentialité, ce qui vous permet de comprendre quelles données personnelles ils traitent.

Si vous n'êtes pas sûr du service responsable de l'activité de traitement qui vous intéresse, le Bureau de la protection des données est à votre disposition pour vous conseiller.

En cas de prise de décision automatisée ayant des effets juridiques ou des conséquences tout aussi importantes pour les personnes concernées, celles-ci ont le droit d'exprimer leur point de vue et de voir celui-ci pris en considération lorsque ces décisions automatisées les concernent.

Des effets juridiques surviennent lorsque des décisions automatisées ont un impact direct sur les droits ou le statut juridique d'une personne. Il s'agit notamment :

• Droits et avantages : décisions affectant la liberté d'association, le droit de vote ou le droit d'intenter une action en justice
• Conséquences contractuelles : résiliation d'un contrat ou refus de conclure un contrat
• Prestations et services : refus d'octroi ou modification des conditions d'éligibilité aux prestations sociales
• Immigration et citoyenneté : refus d'entrée sur le territoire d'un pays ou refus d'octroi de la citoyenneté

Les conséquences non juridiques sont tout aussi significatives lorsqu’elles sont suffisamment graves ou importantes pour justifier les mêmes protections que les conséquences juridiques. En voici quelques exemples :

• Conséquences financières : refus automatique d’une demande de crédit en ligne, décisions affectant la situation financière d’une personne ou son éligibilité à un crédit
• Conséquences en matière d’emploi : refus d’opportunités d’emploi ou décisions qui placent une personne dans une situation de grave désavantage lors du recrutement (pratiques de recrutement en ligne sans intervention humaine)
• Accès aux soins de santé : décisions refusant à une personne l'accès aux services de santé
• Accès à l'éducation : décisions affectant l'admission à l'université ou d'autres opportunités éducatives
• Influence sur le comportement : traitement influençant la situation personnelle, le comportement ou les choix d'une personne

Si les personnes figurant sur la photo font partie d'une foule et ne peuvent être identifiées individuellement, vous pouvez publier la photo.

Dans le cas contraire, le but de l'image plutôt que l'image elle-même doit être votre point de départ.

Si vous avez l'intention d'utiliser l'image pour fournir des informations sur un certain aspect des activités du CERN, et que les personnes photographiées sont essentielles, vous n'avez pas besoin de leur consentement écrit.
Ce pourrait être le cas pour des photos mettant en scène des personnes ayant acquis une certaine notoriété, par exemple un chef d'État, un acteur célèbre, lors de leur visite au CERN ; ou pour la photo de la Directrice générale du CERN lors d'un événement officiel de l'Organisation.

Si les personnes sont interchangeables et que la photo est utilisée comme image de genre, vous êtes tenu d'obtenir le consentement écrit de la personne concernée.

À des fins telles que l'illustration de sites web (par exemple, pour montrer l'ambiance pendant les conférences, la diversité des participants, etc. afin d'attirer davantage de candidats), la photo d'une personne n'est pas essentielle, mais plutôt un "plus". Par conséquent, vous ne seriez pas en mesure de démontrer un intérêt légitime.

En conclusion, le consentement serait la base légale la plus appropriée.

Veuillez noter que pour être valable, le consentement doit être donné librement, être clair, sans ambiguïté et distinct des autres conditions. Vous devez informer les personnes de la finalité du traitement (c'est-à-dire : que fera-t-on de la photo ? Qui y a accès ? Quand sera-t-elle supprimée ?) lorsque vous leur demandez leur consentement. Les personnes doivent donner leur consentement de manière active en cochant une case, en signant un document, en donnant une réponse affirmative à une déclaration verbale, etc. La preuve du consentement doit être enregistrée (quand, où et comment il a été donné).
Et : Le consentement doit être aussi facile à retirer qu'à donner !

Et n'oubliez pas qu'en tant que service responsable, vous devez documenter vos opérations de traitement dans un RoPO !

Créer des listes de personnes en fonction d’informations personnelles spécifiques, p.ex. la nationalité, est en effet du traitement de donnees personnelles. Et peut conduire au profilage involontaire de groupes de personnes.

La création de listes doit être faite à des fins claires, identifiables et justifiables. La meilleure manière de gérer ces listes est au travers l’auto-inscription, permettant aux utilisateurs de s’ajouter ou se supprimer par eux-mêmes.

Les listes dynamiques doivent être traitées très prudemment, car leur contenu peut être utilisé afin de profiler des segments de la population. Assurez-vous donc que l’accès aux membres de la liste est protégé de façon adéquate.

Dans la plupart des cas, vous ne devez pas transférer la liste en dehors du CERN, que ce soit à d’autres Organisations ou à des personnes.

Les courriers électroniques génèrent nécessairement plusieurs copies dans plusieurs emplacements, et un certain nombre de personnes ont accès à ces systèmes de messagerie. Nous conseillons de privilégier des mécanismes permettant de contrôler l’accès aux données à caractère personnel ainsi que de détruire celles-ci lorsque le but de traitement a expiré.

• La communication de données à caractère personnel par e-mail doit être évitée autant que possible.
• S’il est justifié d’envoyer ces informations par courrier électronique, les pièces jointes contenant des informations personnelles doivent toujours être chiffrées.
• Il est préférable de favoriser les espaces de collaboration sécurisés.

Bien qu’il puisse sembler normal de contacter des personnes par le biais de listes de diffusion, voici ce que vous devez prendre en considération lorsque vous décidez de le faire:

• Est-ce que les personnes concernées peuvent raisonnablement s’attendre à être sur une liste de diffusion et à être contacté?
• Est-ce que le but original pour lequel la liste de diffusion a été créée prévoit qu’elle peut aussi être utilisée ultérieurement à des fins de communications?
• Est-ce que les individus peuvent facilement se retirer par eux-mêmes de la liste de diffusion?

En cas de doute, vous devez toujours vous assurez que vous avez obtenu le consentement de l’individu à recevoir des informations supplémentaires par le biais d’une case à cocher.

Un exemple est celui d’évènements impliquant des personnes externes à l’Organisation. Alors qu’il semble raisonnable de s’attendre à des communications après s’être inscrit pour assister à l’évènement, ces communications ne peuvent être faite que jusqu’au moment où l’évènement a lieu. Toute communication ultérieure n’est possible qu’avec le consentement de la personne concernée, qui doit avoir été récolté lors de l’inscription. De plus, une option de retrait ultérieur doit être présentée dans toutes les communications futures avec l’individu.

Un autre exemple est celui des listes de diffusion de collaborateurs. Il est raisonnable de s’attendre à ce que les individus puissent être contactés durant la durée du projet, mais à la fin dudit projet, les personnes concernées devront consentir via un mécanisme de case à cocher s’ils souhaitent continuer à recevoir des informations. De plus, une option de retrait ultérieur doit être présentée dans toutes les communications futures avec les individus.

Lorsque vous envoyez un e-mail, il peut être tentant de mettre plusieurs destinataires dans la liste TO:. Dans de nombreuses situations, cela est normal (notamment afin de contacter des collègues spécifiques). Néanmoins, en présumant qu’il existe une raison justifiable d’envoyer cet e-mail, vous ne devriez pas, en général, révéler la liste des noms à tout le monde car vous exposez publiquement des informations personnelles et cela peut impacter de manière négative les attentes des personnes concernées vis-à-vis du respect de leur vie privée.

Afin d’éviter cette situation, vous devriez utiliser le mécanisme BCC (Blind Carbon Copy) des clients de messagerie, et non TO: ou CC:, pour envoyer des messages à une liste de destinataire, de façon à ce que personne d’autre ne puisse voir qui a reçu le message.

Non. Si l'imprimante est facilement accessible par d'autres personnes, la confidentialité des informations contenues dans le document peut être compromise. Il s'agirait alors d'une violation de données.

Les documents contenant des données personnelles ne doivent pas être accessibles aux regards indiscrets et ne doivent pas être pris par erreur par quelqu'un d'autre.

C'est pourquoi vous devez activer l'option Secure Print pour toutes vos impressions au CERN, en suivant ces instructions simples.

Vous trouverez d'autres recommandations sur le traitement sécurisé des documents papier dans nos lignes directrices correspondantes.

Si des services externes sont intégrés dans un site web, par exemple une vidéo externe ou une publication dans les médias sociaux, ces services externes déploieront leurs propres cookies sur l'appareil du visiteur du site web. Le consentement doit donc toujours être recueilli avant que ces cookies puissent être déployés.

En outre, il convient de noter que certains services externes peuvent fournir un mode de confidentialité renforcée pour l'intégration de leur contenu dans les sites web. Il convient donc de toujours vérifier si cette option est disponible.

Les cookies analytiques nécessitent généralement un consentement car ils ne sont pas strictement nécessaires et ne sont pas utilisés uniquement pour transmettre des communications sur des réseaux électroniques. Cela signifie que les utilisateurs doivent être informés du déploiement des cookies analytiques et que leur consentement doit être obtenu en conséquence.

Il est important de noter que les outils d'analyse web tels que Google Analytics ne sont jamais considérés comme nécessaires. Par conséquent, le consentement est requis avant leur utilisation. En outre, l'utilisation de Google Analytics devrait être évitée en raison du traitement sous-jacent des données personnelles qui n'est pas conforme à la CO 11.

L'exigence selon laquelle le consentement à un cookie doit être donné librement signifie que l'accès à un site web et à ses fonctionnalités ne doit pas être subordonné au consentement d'un visiteur à stocker des informations sur son appareil ou à y accéder.

Toutefois, dans certains cas, certaines fonctionnalités dépendent de l'utilisation de cookies, c'est-à-dire qu'elles ne peuvent pas être fournies sans utilisation de cookies. Par exemple, si un site web incorpore un contenu externe dont l'affichage nécessite des cookies de tiers - comme des vidéos intégrées ou des messages sur les médias sociaux - ces fonctionnalités doivent être désactivées si le visiteur refuse les cookies en question. Concrètement, cela signifie que ces contenus intégrés ne peuvent pas être affichés si l'utilisateur refuse les cookies de ces services.

En vertu du droit de l'Union européenne (UE), la directive « ePrivacy » complète le RGPD et définit des droits et obligations spécifiques en matière de protection de données dans le domaine des communications électroniques. L'objectif de la directive « ePrivacy » - également connue sous le nom de « la loi cookies de l’UE » - est de protéger les personnes contre l'installation ou l'accès à des informations sur leurs appareils susceptibles d'interférer avec la confidentialité de leurs communications, et donc de porter atteinte à leur droit à la vie privée. Cette directive considère les identificateurs de cookies comme des données personnelles potentielles, soulignant la nécessité d'un consentement clair de l'utilisateur et d'une protection rigoureuse de la vie privée, indépendamment du fait que des données personnelles soient concernées ou non.

Cependant, il est important de souligner que le CERN, en tant qu'organisation internationale, n'est pas soumis à la législation nationale ou européenne, y compris à la directive « ePrivacy ».

Néanmoins, l'analyse des principaux principes et exigences de la directive « ePrivacy » est jugée pertinente pour évaluer les meilleures pratiques. Les recommandations énoncées dans le Guide des cookies reflètent ce point de vue.