Le Département des Ardennes s’est engagé depuis la nomination, à titre volontaire, le 29 octobre 2009, d’un correspondant informatique et libertés dans une démarche continue de protection des données personnelles de ses usagers, agents et élus en conformité avec la Loi Informatique et Libertés n° 78-17 du 6 janvier 1978 modifiée par la loi n° 2018-493 du 20 juin 2018 et en conformité avec le Règlement général sur la protection des données (RGPD) du 27 avril 2016, entré en vigueur le 25 mai 2018.
Le Département des Ardennes dispose d’une commission interne dédiée à la protection des données personnelles associant de manière transversale les différents métiers concernés.
Cette politique s’inscrit aussi dans la volonté du Département des Ardennes de développer des échanges numériques et de promouvoir de nouveaux outils digitalisés dans un cadre loyal et transparent, au service des élus, des agents et des usagers.
Le Département met en œuvre les moyens nécessaires à la protection physique et informatique des systèmes de traitement des données à caractère personnel pour éviter toute intrusion malveillante et prévenir toute perte, altération ou divulgation de données à des personnes non autorisées.
Le Département des Ardennes forme ses services aux principes applicables en matière de gestion des données à caractère personnel et promeut les bonnes pratiques.
Les principes suivants constituent la politique de gestion des données à caractère personnel du Département des Ardennes. Ces principes s’appliquent aux traitements informatisés et aux traitements non informatisés.
Principe 1 - Responsabilité
Le Département des Ardennes est responsable des traitements de données à caractère personnel qu’il met en œuvre directement ou indirectement en France et à l’étranger. Aussi doit-il se conformer strictement à la loi sur la protection des données personnelles, mais également au RGPD.
Conformément aux exigences légales, le Département doit accomplir toutes les formalités nécessaires à la mise en œuvre des traitements de données à caractère personnel, que ces données concernent ses élus, ses usagers ou ses agents
Principe 2 – Détermination des finalités de la collecte des données personnelles
Le Département détermine les finalités pour lesquelles il recueille des données à caractère personnel. Les données sont collectées pour des finalités déterminées, explicites et légitimes et ne peuvent pas être traitées ultérieurement d’une manière incompatible avec ces finalités.
Le traitement ultérieur à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques n’est pas considéré, conformément à l’article 89 du RGPD, paragraphe 1, comme incompatible avec les finalités initiales.
Principe 3 - Modalités de la collecte des données personnelles
Les données collectées doivent être exactes et, si nécessaire, le Département des Ardennes mettra en œuvre toutes les mesures nécessaires et raisonnables pour les mettre à jour.
Le Département des Ardennes ne collecte pas de données à caractère personnel à l’insu des personnes concernées. Les données sont collectées de manière licite, conformément à l’article 6 du RGPD. Le Département ne collecte pas des données à caractère personnel lorsque les personnes concernées s’y opposent légitimement.
Le Département fournit aux personnes concernées auprès desquelles il recueille leurs données à caractère personnel les informations sur la finalité du traitement, l’identité du responsable du traitement, la base légale du traitement, la durée de conservation et l’étendue de leurs droits conformément aux articles 13 et 14 du R.G.P.D.
Les données sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Les durées de conservation ne doivent pas excéder celles nécessaires à l’atteinte des finalités visées.
Le Département exige de ses sous-traitants et de ses partenaires qu’ils présentent des garanties suffisantes pour assurer la sécurité et la confidentialité des données à caractère personnel.
Principe 4 - Destinataires des données personnelles
Les destinataires sont, dans la limite de leurs attributions respectives et suivant les finalités : le personnel du Département et, le cas échéant, ses sous-traitants ou les élus du Département. Seuls les destinataires dûment habilités peuvent accéder aux informations nécessaires à leur activité. Les données personnelles des personnes ne sont pas transmises à des acteurs commerciaux ou publicitaires.
Dans le cadre de demandes du Département de prestations d’accompagnement par des partenaires extérieurs de personnes en difficulté confiées à la collectivité, le Département des Ardennes peut échanger avec les travailleurs sociaux de ces organismes, soumis au secret professionnel. La personne bénéficiaire de ces prestations est alors personnellement informée de la démarche.
Avec le consentement du bénéficiaire, le détail des prestations est transmis au correspondant de la structure employeur adhérente, le bénéficiaire pouvant à tout moment réviser sa position concernant ce consentement en adressant un mail via l’adresse dpd@cd08.fr ou s’ il existe depuis son espace personnel (lien accessible après connexion à l'espace Bénéficiaire selon le traitement).
Les données strictement nécessaires transmises aux partenaires d’offres de prestations indirectes sont destinées à vérifier l’éligibilité des bénéficiaires aux offres demandées par le Département des Ardennes. Ce cadre d’échange n’est appliqué que sur l’initiative des bénéficiaires pour une demande de prestation, chez un partenaire identifié.
Principe 5 - Droits des personnes
Le Département met en œuvre les moyens nécessaires pour informer toute personne qui en fait la demande de l’existence de données à caractère personnel qui la concernent et de l’usage qui en est fait. Chaque traitement fait l’objet d’une information complète de l’usager, de l’élu ou de l’agent. Le Département prend toute mesure pour rectifier ou supprimer les informations erronées. Le Département met en œuvre les moyens nécessaires pour garantir aux personnes concernées l’accès aux données à caractère personnel qui les concernent lorsqu’elles en font la demande.
Conformément à la réglementation européenne en vigueur, les personnes disposent des droits suivants : droit d'accès, de rectification, droit d’effacement, droit à la limitation du traitement, droit d’opposition au traitement, droit à la portabilité des données.
Le Département des Ardennes a désigné un Délégué à la Protection des Données (DPD) qui veille au respect des règles en matière de collecte et de traitement des données à caractère personnel énoncées dans le présent règlement.
Si le bénéficiaire souhaite contacter le Département des Ardennes pour des questions ou réclamations concernant la protection des données personnelles ou pour faire valoir ses droits relatifs à ses données personnelles, il peut le faire par écrit à l’adresse suivante :
Hôtel du Département, DPD, CS 20001, 08011 Charleville-Mézières Cedex
ou par email à : dpd@cd08.fr
Depuis l’entrée en vigueur du RGPD, tout usager a le droit de s’opposer au profilage, de demander la limitation du traitement et d’introduire une réclamation auprès de l’autorité de contrôle, représentée en France par la CNIL. Ils peuvent contacter cette dernière à l’adresse suivant : CNIL, 3 Place Fontenoy, TSA 80715, 75334 PARIS Cedex 07
Principe 6 - Violation de données à caractère personnel
En cas de violation de données à caractère personnel, le Département des Ardennes prévient l’autorité de contrôle dans les meilleurs délais, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. Le Département documente tous les éléments relatifs à la violation.
Lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable du traitement communique l’information à la personne concernée dans les meilleurs délais. (Article 33 du RGPD : notification à l’autorité de contrôle d’une violation de données à caractère personnel et Article 34 du RGPD : communication à la personne concernée d’une violation de données à caractère personnel).
Principe 7 - Pérennité de la politique de gestion des données à caractère personnel
Le Département des Ardennes s’assure régulièrement de l’adéquation de ses principes aux évolutions des technologies, du droit et des besoins des usagers et des tiers.