Données personnelles - Réclamations au titre du Décret-loi 14086 étatsunien

Le traitement a pour objet de :

• Analyser la recevabilité des réclamations reçues dans le cadre du mécanisme de recours dans le domaine de la sécurité nationale (prévu par le Décret-Loi 14086¹ étatsunien) ;
• En cas de recevabilité, orienter les réclamations vers le Secrétariat du Comité européen de la protection des données (CEPD) et les autorités étasuniennes compétentes ;
• Suivre les actions réalisées par les autorités compétentes sur les réclamations transmises ;
• Informer les personnes concernées des suites données aux réclamations ;
• Permettre l’historisation des réclamations reçues ;
• Permettre l’élaboration de statistiques et de comptes-rendus d’activité.

Base légale

Article 6 (1) e du Règlement général sur la protection des données – RGPD

Ce traitement de données relève de l'exercice de l'autorité publique dont est investie la CNIL en application du règlement général sur la protection des données et de la loi Informatique et Libertés modifiée.

Catégories de personnes concernées

• Auteurs des réclamations
• Membres et personnels de la CNIL concernés
• Membres et personnels du CEPD concernés
• Membres et personnels des autorités étasuniennes compétentes

Catégories de données traitées

• Auteurs des réclamations : Identité et coordonnées (si nécessaire), objet de la demande, références, date et état des demandes, détails sur le contenu de la demande. Le cas échéant (si nécessaire, en fonction de l’objet de la demande transmise) : données relatives à la vie personnelle ou professionnelle, données d’ordre économique et financier, données relatives à la vie numérique, données sensibles au sens des articles 9 et 10 du RGPD, échanges entre l’auteur de la réclamation et la CNIL
• Membres et personnels de la CNIL : identité, données de connexion, coordonnées internes, demandes reçues et traitées, échanges relatifs aux réclamations instruites, historique des demandes traitées
• Membres et personnels du CEPD et des autorités étasuniennes compétentes : identité, coordonnées professionnelles, échanges relatifs aux réclamations, historique des demandes traitées

Source des données

• Données fournies par l’auteur de la réclamation et les autorités étasuniennes compétentes, ou générées lors du traitement de la réclamation.          

Caractère obligatoire du recueil des données

L’identification de l’auteur de la réclamation, la description de l’objet de sa réclamation et, le cas échéant, la fourniture de pièces justificatives sont nécessaires au traitement de son dossier. 

Le traitement ne prévoit pas de prise de décision automatisée.

Catégories de destinataires

Sont destinataires de tout ou partie des données :

• les auteurs des réclamations ;
• les personnels de la CNIL en charge du traitement des réclamations ;     
• les personnels du Secrétariat du CEPD en charge du traitement des réclamations ;
• les personnels des autorités étasuniennes compétentes en charge du traitement des réclamations.

Transferts des données hors UE

Si celle-ci est recevable, la CNIL pourra transférer la réclamation au secrétariat du Comité européen de la protection des données, qui transfèrera celle-ci aux autorités étatsuniennes compétentes. Le transfert, prévu par le décret-loi étasunien 14086 et la décision d’adéquation de la Commission Européenne concernant le cadre de protection des données UE-Etats-Unis² est fondé sur la dérogation prévue par l’article 49.1(d) du RGPD.

Dans son périmètre de compétence, les données sont conservées par la CNIL pour une durée de 25 ans à compter de la date de la réception de la réclamation.

Conformément à ce que prévoit le Décret-Loi 14086³ étatsunien, cette durée de conservation correspond à la durée maximale durant laquelle des informations peuvent bénéficier du statut d’informations « classifiées » en droit étatsunien : le Ministère du Commerce étatsunien peut transmettre à la CNIL, à tout moment durant cette période, des informations sur la déclassification d'une réclamation, en particulier le fait que les informations relatives à l’auteur de la réclamation peuvent être mises à sa disposition en vertu du droit étatsunien applicable.

³ Décret-loi du 7 octobre 2022 sur le renforcement des garanties pour les activités de renseignement d'origine électromagnétique des États-Unis et Décision d’exécution (UE) 2023/1795 de la Commission UE du 10 juillet 2023 constatant, conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil, le niveau de protection adéquat des données à caractère personnel assuré par le cadre de protection des données UE - États-Unis (considérant 177).

Pour les traitements relevant de la responsabilité de la CNIL, les mesures de sécurité sont mises en œuvre conformément à la politique de sécurité des systèmes d’information (PSSI) de la CNIL, issue de la PSSI de l’État.

Exercer vos droits

Le délégué à la protection des données (DPO/DPD) de la CNIL est votre interlocuteur pour toute demande d'exercice de vos droits sur ce traitement.

> Contacter le DPO/DPD par voie électronique  

> Contacter le DPO/DPD par courrier postal :

Le délégué à la protection des données CNIL

3 Place de Fontenoy TSA 80715

75334 PARIS CEDEX 07