Collecte de données : passage par la case Cnil obligatoire

Vous avez l'habitude de recueillir les coordonnées de vos clients, afin de les informer régulièrement de votre actualité via une news- letter... Un acte apparemment anodin, mais qui requiert néanmoins une déclaration préalable à la Commission nationale de l'informatique et des libertés (Cnil), La marche à suivre dépend de la nature de votre fichier. S'il s'agit d'une base de données consacrée à vos clients, contenant uniquement leurs coordonnées: une déclaration simplifiée, dite norme 48, suffit. Rendez-vous sur le site Cnil.fr pour remplir le formulaire. Vous devez alors vous identifier à l'aide de votre numéro Siren et de vos coordonnées, puis valider le formulaire. La création du fichier est autorisée à partir de la date de récépissé, soit 48 heures après la déclaration. Si la durée pour garder un fichier n'est pas précisée, ce sont néanmoins des données qui deviennent rapidement obsolètes. Il est donc vivement conseillé de rafraîchir régulièrement les données auprès de vos clients, en leur demandant à chaque fois leur consentement.

A fichier plus complet, formulaire plus détaillé

Si vous souhaitez disposer d'un fichier plus complet sur vos clients et prospects, en ayant des informations comme la liste et la date des travaux effectués, par exemple, il faut cette fois remplir un formulaire plus complet, en répondant à plusieurs questions précises: qui gère le fichier (un prestataire ou vous-même), quelles données souhaitez-vous collecter et par quel moyen, dans quel but, quelle est la durée de conservation souhaitée? Mais aussi: à qui les données sont-elles transmises, quelles sont les mesures envisagées pour les sécuriser et enfin comment les personnes figurant dans votre fichier en sont informées? Une fois ces informations transmises par Internet, la Cnil les examine dans un délai moyen de quatre semaines, avant de vous donner le feu vert. Ce qui ne vous dispense nullement de demander l'autorisation pour envoyer promotions, newsletters et autres informations à vos clients. Ils doivent aussi avoir la possibilité de modifier et de supprimer leurs données de votre fichier. La règle est la même sur Internet: vos newsletters doivent inclure un lien permettant le désabonnement. Il est également interdit de qualifier votre base de données avec des éléments personnels ou discriminatoires, voire des commentaires abusifs («mauvais payeur» «client de mauvaise foi», etc.).

De lourdes sanctions

«Si vous utilisez actuellement desjichiers non déclares, n'hésitez pas à vous mettre dès à présent en conformité avec la loi, conseille Emilie Passemard, chef de service d'orientation et de renseignement du public à la Cnil. Il ne vous en sera pas tenu rigueur et vous échapperez alors aux sanctions.» Soit jusqu'à 300 000 euros d'amende et 5 ans d'emprisonnement.

Autre élément qu'il faut impérativement signaler à la Cnil: les équipements de vidéosurveillance, si vous enregistrez ces données sur un support numérique. S'agissant d'un lieu privé où seuls vos salariés ont accès, comme un atelier, vous devez alors vous engager à respecter le code du travail, qui encadre cette utilisation de la vidéosurveillance. Lbrganisme vous délivre alors ses préconisations, comme l'affichage d'un message informant vos salariés qu'ils sont filmés et l'absence de caméra dans des lieux d'intimité comme les vestiaires.