CERFA 13786-02 : Autorisation pour la mise en oeuvre de traitements automatisés de données à caractères personnels

Le CERFA 13786,03, une demande d’autorisation préalable auprès de la CNIL

Le CERFA 13786,03 correspond à la demande d’autorisation préalable à la mise en œuvre de traitements automatisés de données à caractère personnel. Il s’adresse aux professionnels, qu’il s’agisse d’une personne morale ou d’une personne physique agissant dans le cadre de son activité.

Ce formulaire est rattaché à la CNIL et à l’article 25 de la loi n° 78-17 du 6 janvier 1978 modifiée. Son objet est précis : permettre à l’organisme déclarant de présenter un traitement de données personnelles dont la mise en œuvre nécessite une autorisation préalable.

Le document officiel demande un niveau d’information élevé. Il ne s’agit pas d’un simple formulaire d’identité. Le déclarant doit détailler la finalité du traitement, les catégories de données collectées, les personnes concernées, les destinataires, les éventuels transferts hors de l’Union européenne, les interconnexions de fichiers, ainsi que l’architecture informatique et les mesures de sécurité mises en place.

Ce CERFA s’inscrit donc dans une logique de conformité des traitements de données personnelles. Il concerne en pratique des dispositifs ou traitements considérés comme particulièrement sensibles, par exemple lorsqu’ils portent sur des données biométriques, des données de santé, le numéro de sécurité sociale, la géolocalisation ou d’autres données sensibles strictement encadrées.

Qui peut être concerné

Le formulaire vise les structures qui mettent en œuvre, directement ou par l’intermédiaire d’un prestataire, un traitement automatisé de données à caractère personnel entrant dans le champ d’une autorisation préalable. Il peut s’agir notamment :

• d’entreprises,
• d’associations,
• d’établissements de santé,
• d’organismes de formation,
• de professionnels libéraux,
• de structures dotées d’un système de contrôle d’accès, d’identification ou de suivi reposant sur des données sensibles.

Le formulaire distingue clairement le déclarant et le service chargé de la mise en œuvre du traitement. Cette distinction est importante lorsqu’un sous-traitant, un prestataire technique, un hébergeur ou un service interne différent de l’entité déclarant le dossier intervient concrètement sur le traitement.

Pourquoi une autorisation préalable peut être exigée

Certaines opérations sur des données personnelles présentent un niveau de sensibilité tel que la simple information des personnes concernées ou la seule tenue d’une documentation interne ne suffisent pas. Le formulaire permet alors à la CNIL d’examiner :

• la nécessité réelle du traitement,
• son fondement juridique,
• la proportionnalité des données collectées,
• les conditions de conservation,
• les garanties de sécurité et de confidentialité,
• le respect des droits des personnes.

Le traitement doit être expliqué de manière concrète. Une formulation trop générale, par exemple « gestion des usagers » ou « sécurité », serait souvent insuffisante si elle ne décrit pas l’objectif précis, les modalités techniques et les catégories exactes de données utilisées.

Comment remplir le CERFA 13786,03 sans négliger les points sensibles

Le formulaire est dense. Il doit être rempli avec rigueur, car les différentes rubriques se répondent entre elles. La finalité annoncée doit être cohérente avec les données collectées, la durée de conservation, les destinataires et les mesures de sécurité.

Identifier correctement le déclarant et le responsable opérationnel

Les premières pages demandent les informations d’identification du déclarant : nom ou raison sociale, service, adresse, coordonnées, numéro SIRET, code APE, téléphone, adresse électronique. Il faut également désigner la personne à contacter pour tout complément d’information et destinataire de l’autorisation.

Si le traitement est mis en œuvre par un tiers ou par un autre service que celui du déclarant, il convient de le préciser sans ambiguïté. Cette partie permet à la CNIL de savoir qui porte juridiquement la demande et qui exécute techniquement le traitement.

Décrire la finalité avec précision

La rubrique relative à la finalité est centrale. Elle demande :

• l’objectif exact du traitement,
• le fondement juridique du traitement,
• le nom du logiciel utilisé,
• les personnes concernées,
• la technologie éventuellement employée.

Il faut rédiger cette partie de façon concrète. Si le traitement concerne un dispositif biométrique de contrôle d’accès, il faut l’indiquer expressément. S’il s’agit d’un système de vidéosurveillance couplé à de l’identification, d’un traitement de santé, d’un suivi de localisation ou d’une collecte de données de connexion, la description doit le refléter clairement.

Les personnes concernées peuvent être des salariés, des clients, des patients, des visiteurs, des élèves, des adhérents ou d’autres catégories. Il est utile de ne retenir que les catégories réellement visées par le dispositif.

Vérifier la question des transferts de données hors de l’Union européenne

Le formulaire demande si tout ou partie des données est transmis vers un pays situé hors de l’Union européenne et n’assurant pas un niveau de protection suffisant. Si tel est le cas, une annexe dédiée doit être complétée.

Cette question doit être examinée avec attention, notamment en présence :

• d’un hébergement externalisé,
• d’un prestataire informatique international,
• d’un service en ligne utilisant des serveurs situés à l’étranger,
• d’outils de maintenance ou d’assistance à distance.

Une réponse imprécise sur ce point fragilise le dossier. Il faut donc vérifier la chaîne technique réelle du traitement, et pas seulement le siège social du prestataire.

Renseigner les catégories de données traitées

Le formulaire distingue de nombreuses catégories de données. Pour chacune, il faut préciser le détail des informations traitées, leur origine, leur durée de conservation et leurs destinataires.

Parmi les catégories visées figurent notamment :

• l’état civil et les données d’identification,
• la vie personnelle,
• la vie professionnelle,
• les informations économiques et financières,
• les données de connexion,
• les données de localisation,
• le numéro de sécurité sociale,
• les données biométriques,
• les données génétiques,
• les données sensibles, comme les données de santé, les opinions, l’appartenance syndicale ou les données relatives aux infractions.

Il ne faut cocher ou détailler que ce qui correspond réellement au traitement. Une surdéclaration peut rendre l’analyse confuse. À l’inverse, une omission sur une donnée sensible ou sur un identifiant particulier peut conduire à un dossier incomplet.

Origine, durée de conservation et destinataires

Trois sous-rubriques sont souvent sous-estimées :

• L’origine des données, il faut indiquer si elles sont collectées directement auprès de la personne concernée ou indirectement, et dans ce cas par quel canal.
• La durée de conservation, elle doit être justifiée au regard de la finalité. Une durée standard appliquée à toutes les données sans distinction est rarement pertinente.
• Les destinataires, il convient d’identifier les services internes, sous-traitants, partenaires ou organismes tiers ayant accès aux données.

Signaler les interconnexions de fichiers

Le CERFA demande si le traitement implique des interconnexions de fichiers ayant des finalités différentes ou poursuivant un intérêt public différent. En cas de réponse positive, il faut détailler les fichiers concernés, leur finalité et, le cas échéant, leur numéro de déclaration à la CNIL.

Cette partie vise les échanges de données entre fichiers ou systèmes distincts. Elle suppose de cartographier le parcours de la donnée, depuis sa collecte jusqu’à son éventuelle réutilisation dans un autre outil, un autre service ou un autre objectif.

Informer les personnes de leur droit d’accès

Le formulaire impose d’indiquer comment les personnes concernées sont informées de leur droit d’accès. Plusieurs modalités sont prévues, comme les mentions légales sur un formulaire, les mentions sur un site internet, l’affichage ou l’envoi d’un courrier personnalisé.

Il faut aussi identifier le service chargé de répondre aux demandes. Ce point est essentiel car le respect des droits des personnes ne dépend pas seulement d’une mention théorique. L’organisme doit être capable de traiter concrètement une demande d’accès, de rectification ou, selon le cadre applicable, d’opposition.

Sécurité informatique, un volet déterminant du dossier

Une grande partie du CERFA est consacrée à la sécurité et à l’architecture informatique. Ce n’est pas une formalité secondaire. La CNIL attend une vision concrète du dispositif technique.

Éléments techniques à détailler

Le formulaire demande notamment :

• les systèmes d’exploitation impliqués,
• la composition du système informatique, postes, terminaux, serveurs, hébergement interne ou externalisé,
• le logiciel d’application et, le cas échéant, la base de données ou l’outil d’analyse,
• la nature des réseaux utilisés, réseau local, réseaux interconnectés, réseau externalisé, internet, wifi,
• les échanges avec des utilisateurs, partenaires, clients, hébergeurs ou tiers, y compris à l’étranger,
• les protocoles et mécanismes cryptographiques employés,
• la sécurité physique des locaux et des équipements,
• les modalités de sauvegarde,
• les protections contre les intrusions,
• les mesures de confidentialité en développement et en maintenance,
• les conditions d’authentification et d’habilitation des personnes autorisées.

Cette description doit rester fidèle au système réellement utilisé. Il est préférable d’associer à la préparation du dossier les équipes informatiques, le prestataire technique ou le référent protection des données lorsque l’organisme en dispose.

Quand le temps manque pour structurer correctement un dossier aussi détaillé, Startdoc permet de partir d’un formulaire déjà organisé, ce qui aide les professionnels à ne pas oublier les rubriques les plus techniques du CERFA 13786,03.

Annexes et pièces à prévoir

Le formulaire officiel mentionne au moins certaines annexes selon la nature du traitement. C’est le cas notamment :

• de l’annexe relative au transfert de données hors de l’Union européenne,
• de l’annexe relative aux dispositifs biométriques.

D’autres pièces explicatives peuvent être utiles pour sécuriser la compréhension du dossier, par exemple une note décrivant l’architecture du système, les mesures de sécurité, la logique du traitement, l’organisation des habilitations ou les modalités d’information des personnes concernées. Il convient toutefois de rester cohérent avec les demandes exactes du formulaire et, en cas d’incertitude, de vérifier les indications disponibles sur Service-Public.fr ou auprès de la CNIL.

Les erreurs les plus fréquentes à éviter avant l’envoi

Le CERFA 13786,03 exige de la cohérence. Les erreurs les plus courantes ne tiennent pas seulement à des oublis administratifs, mais à des contradictions entre les rubriques.

Déclarer une finalité trop large

Une finalité mal définie entraîne souvent des difficultés sur tout le reste du dossier. Si l’objectif n’est pas clairement circonscrit, il devient impossible de justifier les données collectées, leur conservation et les accès autorisés.

Sous-estimer la sensibilité des données

Le formulaire attire expressément l’attention sur les données sensibles. Il faut être particulièrement vigilant dès lors que le traitement concerne la santé, la biométrie, le NIR, la géolocalisation, les infractions ou d’autres informations sensibles. Leur traitement doit apparaître comme strictement nécessaire.

Oublier les destinataires réels

Beaucoup de dossiers mentionnent uniquement le service principal, en oubliant les prestataires techniques, l’hébergeur, le mainteneur, l’éditeur logiciel ou les services internes ayant un accès indirect. Or la transparence sur les destinataires fait partie de l’analyse de conformité.

Répondre trop vite à la rubrique sécurité

Cocher des cases sans pouvoir décrire les mesures concrètes en cas de demande complémentaire peut poser problème. Il faut pouvoir expliquer les mécanismes d’authentification, de filtrage réseau, de sauvegarde, de journalisation et de maintenance.

Négliger les droits des personnes

Le droit d’accès n’est pas un point accessoire. Le formulaire demande comment les personnes sont informées et quel service répond à leurs demandes. Un dossier solide prévoit un circuit de réponse clair et identifié.

Avant de transmettre la demande

Une relecture croisée est vivement conseillée. Elle permet de vérifier :

• que toutes les rubriques obligatoires sont renseignées,
• que les coordonnées sont exactes,
• que la finalité correspond réellement aux données listées,
• que les durées de conservation sont indiquées,
• que les destinataires sont correctement recensés,
• que les annexes nécessaires sont jointes,
• que la partie sécurité reflète l’environnement informatique réel.

Le CERFA 13786,03 traite d’un sujet sensible, la mise en œuvre de traitements automatisés de données à caractère personnel soumis à autorisation préalable. Plus le dossier est précis, plus l’instruction peut se faire sur une base claire. En cas de doute sur l’actualité du régime applicable ou sur les exigences administratives en vigueur, il reste prudent de consulter la fiche officielle Service-Public.fr associée au formulaire.