Blog Données personnelles
Tiers autorisés : la CNIL publie un guide pratique et un recueil de procédures
Evoqués par l’article 4, 9 du RGPD relatif à la notion de « destinataire » sous le terme d’autorités publiques, les tiers autorisés sont des autorités susceptibles de recevoir communication de données « dans le cadre d’une mission d’enquête particulière conformément au droit de l’Union ou au droit d’un État membre ».
Afin d’aider les professionnels visés par ce type de demande, la CNIL publie un guide pratique et un recueil des procédures les plus courantes. Ce guide pratique vient mettre à jour la précédente fiche pratique de la CNIL sur le sujet qui datait de juillet 2014.
Il n’est en effet pas toujours facile de déterminer la bonne façon de répondre à des demandes émanant d’autorités. Pour qu’une autorité soit qualifiée de tiers autorisé elle doit formuler sa demande par écrit en précisant le texte législatif fondant sa demande, sa demande doit viser des personnes identifiées ou identifiables, elle doit être ponctuelle et préciser les catégories de données auxquelles il souhaite accéder.
Le guide pratique « tiers autorisés »
Ce guide pratique contient les points à vérifier avant toute réponse à une demande d’un tiers autorisé, notamment :
- l’identification d’une demande « tiers autorisé » et notamment la qualité du tiers à l’origine de la demande ainsi que son fondement légal ;
- la vérification de la source et du périmètre de la demande en accord avec le fondement légal de la demande (notamment lorsque celles-ci écartent ou rappellent l’obligation de respect d’un secret professionnel) ;
- l’application de mesures de confidentialité afin de sécuriser l’échange ;
- la conservation d’une traçabilité des échanges et des vérifications réalisées.
Ce guide fournit également des tests, ainsi qu’une panoplie de sources juridiques et d’outils utiles.
Le recueil des principaux acteurs et procédures
La seconde publication effectuée par la CNIL concerne un recueil d’une centaine de procédures susceptibles d’être mises en œuvre par les tiers autorisés. Ces informations ont fait l’objet d’échanges avec les différents autorités et organismes concernés. Cependant, la CNIL rappelle qu’au regard de l’évolution de la législation, les textes en vigueur au moment de la demande devront faire l’objet d’une vérification.