Données personnelles - Réclamations au titre du DPF

Le traitement a pour objet de :

• Analyser la recevabilité des réclamations reçues dans le cadre du mécanisme de recours dans le domaine commercial (prévu par le Cadre de Protection des Données à caractère personnel UE-Etats-Unis (en anglais « Data Privacy Framework » ou DPF)) ;
• Instruire et suivre les actions réalisées par les autorités impliquées dans le panel informel des autorités de protection des données de l’UE désigné aux fins de coopération et, le cas échéant, les autorités étasuniennes compétentes ;
• Informer les personnes concernées des suites données aux réclamations ;
• Permettre l’historisation des requêtes reçues ;
• Permettre l’élaboration de statistiques et de comptes-rendus d’activité.

Base légale

Article 6 (1) e du Règlement général sur la protection des données – RGPD

Ce traitement de données relève de l'exercice de l'autorité publique dont est investie la CNIL en application du règlement général sur la protection des données et de la loi Informatique et Libertés modifiée.

Catégories de personnes concernées

• Auteurs des réclamations
• Membres et personnels de la CNIL concernés
• Membres et personnels des autres autorités impliquées dans le panel informel des autorités de protection des données de l’UE désigné aux fins de coopération
• Membres et personnels des autorités étasuniennes compétentes, le cas échéant
• Membre et personnels des organismes certifiés concernés par les réclamations

Catégories de données traitées

• Auteurs des réclamations : Identité et coordonnées (si nécessaire), objet de la demande, références, date et état des demandes, détails sur le contenu de la demande. Le cas échéant (si nécessaire, en fonction de l’objet de la demande transmise) : données relatives à la vie personnelle ou professionnelle, données d’ordre économique et financier, données relatives à la vie numérique, données sensibles au sens des articles 9 et 10 du RGPD, échanges entre l’auteur de la réclamation et la CNIL
• Membres et personnels de la CNIL : identité, données de connexion, coordonnées internes, demandes reçues et traitées, échanges relatifs aux réclamations instruites, historique des demandes traitées
• Membres et personnels des organismes certifiés concernés par les réclamations, des autres autorités impliquées dans le panel informel et des autorités étasuniennes : identité, coordonnées professionnelles, échanges relatifs aux réclamations, historique des demandes traitées

Source des données

• Données fournies par l’auteur de la réclamation, l’organisme certifié impliqué par la réclamation, les autres autorités impliquées dans le panel informel et les autorités étasuniennes ou générées lors du traitement de la réclamation. 

Caractère obligatoire du recueil des données

L’identification de l’auteur de la réclamation, la description de l’objet de sa réclamation et, le cas échéant, la fourniture de pièces justificatives sont nécessaires au traitement de son dossier. 

Le traitement ne prévoit pas de prise de décision automatisée.

Catégories de destinataires

Sont destinataires de tout ou partie des données :

• les auteurs des réclamations ;
• l’organisme certifié concerné par la réclamation ;
• les personnels de la CNIL en charge du traitement des réclamations ;     
• les personnels des autres autorités de protection des données européennes membres du panel en charge du traitement des réclamations ;
• si nécessaire, les personnels des autorités étasuniennes compétentes en charge du traitement des réclamations.

Transferts des données hors UE

Après traitement de la réclamation par le panel informel des autorités de protection des données européennes, en cas de non-respect par l’organisme certifié concerné de l’avis contraignant formulé par le panel, conformément au DPF (Annexe III.5.c.ii), la CNIL pourra transférer vos données personnelles aux autorités étasuniennes compétentes (Ministère du Commerce des États-Unis - DoC, Commission fédérale du commerce des États-Unis - FTC, Administration fédérale des transports des États-Unis - FTA). Ces données personnelles peuvent inclure votre nom, tout autre identifiant que vous avez utilisé pour communiquer avec l’entreprise étatsunienne ou toute autre information personnelle qui a été traitée par cette entreprise et qui fait partie de votre réclamation.

Si un tel transfert s'avère nécessaire pour traiter votre réclamation, vous en serez spécifiquement informé avant le transfert des données et vous aurez la possibilité de décider si vous souhaitez poursuivre vos démarches.

Si vous décidez de poursuivre vos démarches, le transfert sera  fondé sur la dérogation prévue par l’article 49.1(d) du RGPD.

Dans son périmètre de compétence, les données sont conservées par la CNIL pour une durée de cinq ans à compter de la clôture de la réclamation. Cette conservation est étendue à dix ans en cas d’adoption d’un avis incluant des mesures correctrices. Elle peut également être étendue à la durée de conservation d’un autre dossier de réclamation portant sur le même objet nécessitant la conservation des échanges antérieurs.

Pour les traitements relevant de la responsabilité de la CNIL, les mesures de sécurité sont mises en œuvre conformément à la politique de sécurité des systèmes d’information (PSSI) de la CNIL, issue de la PSSI de l’État.

Exercer vos droits

Le délégué à la protection des données (DPO/DPD) de la CNIL est votre interlocuteur pour toute demande d'exercice de vos droits sur ce traitement.

> Contacter le DPO/DPD par voie électronique  

> Contacter le DPO/DPD par courrier postal :

Le délégué à la protection des données CNIL

3 Place de Fontenoy TSA 80715

75334 PARIS CEDEX 07