Traitements de données personnelles déclarés à la CNIL depuis le 25 mai 2018

Depuis l’entrée en application du règlement général sur la protection des données (RGPD), le 25 mai 2018, seuls les traitements numériques de données personnelles les plus sensibles doivent faire l'objet de formalités préalables auprès de la CNIL.

Ces formalités peuvent revêtir la forme de déclarations simplifiées (déclarations de conformité à un cadre de référence proposé par la CNIL), de demandes d'avis (pour les activités régaliennes de l’État) ou de demandes d’autorisation (dans le domaine de la santé). Pour en savoir plus : cnil.fr.

Conformément à la loi Informatique et Libertés modifiée (article 36), la CNIL tient à la disposition du public la liste de ces formalités dans un format ouvert et aisément réutilisable, dite "Liste article 36".

Avertissements :

1/ Les données publiées sont issues des formalités préalables accomplies, depuis le 25 mai 2018, par les responsables de traitements de données à caractère personnel auprès de la CNIL, via ses téléservices dédiés. La CNIL ne peut être tenue pour responsable de leur contenu. Les formalités reçues mais annulées, sans suite (dossiers incomplets, type de formalité non adapté, demandes retirées par le responsable du traitement) ou en cours d’instruction n’apparaissent pas dans cette liste.

2/ Des traitements mis en œuvre pour le compte de l’État peuvent ne pas apparaître dans le jeu de données, les formalités ayant été accomplies sous forme de demandes d’avis sur un projet d’acte réglementaire (décret ou arrêté) non soumises via les téléservices mentionnés. L’information relative à ces traitements est disponible sur Legifrance, l’avis de la CNIL étant publié avec l’acte autorisant le traitement (pour accéder aux délibérations de la CNIL : https://www.legifrance.gouv.fr/initRechExpCnil.do). Par ailleurs, certains traitements importants font l’objet de fiches sur le site de la CNIL.

3/ Les traitements exceptionnellement dispensés de la publication de l’acte réglementaire qui les autorise (décret ou arrêté) ne figurent pas dans jeu de données publié, conformément à l’article 36 de la loi Informatique et Libertés modifiée. Les traitements mentionnés au I et au II de l’article 30 peuvent être dispensés, par décret en Conseil d’État, de la publication de l'acte réglementaire qui les autorise. Ces traitements sont mentionnés dans le décret n°2007-914 du 15 mai 2007.