Article R5151-10 of the French Labour Code

I.-Legal persons governed by public law and legal persons governed by private law entrusted with a public service mission who develop and make available the online services mentioned in 3° of II of article L. 5151-6 are authorised to create the necessary personal data processing under the conditions defined in this article.

The legal person who develops and makes available the online service is responsible for the corresponding personal data processing.

The processing of personal data must have received the consent of the holder of the personal activity account.

In accordance with IV of article 26 of the aforementioned Act of 6 January 1978, the implementation of each processing operation is subject to the prior submission to the Commission nationale de l’informatique et des libertés of an undertaking to comply with the provisions of this article. This undertaking shall be accompanied by a summary technical file describing the processing carried out and the measures taken to ensure its security.

II.-Insofar as they are strictly necessary for the provision of the online service, the data mentioned in article R. 5151-4 , with the exception of the following data:

1° Data relating to exposure to occupational risk factors mentioned in 3° to 6° of I of Article 2 of the Decree of 11 August 2016 authorising the creation of a personal data processing operation called the Professional Prevention Account;

2° Data relating to voluntary or volunteer activities recorded pursuant to Article L. 5151-8 , when it falls within the scope of the data listed in article 8 of the aforementioned law of 6 January 1978.

III.-An order of the Minister for Employment, issued after receiving the reasoned and published opinion of the Commission Nationale de l’Informatique et des Libertés, specifies the technical conditions for access to the data.

IV.Employees and agents of the bodies mentioned in I of the same nature as those mentioned in articles R. 5151-5 and R. 5151-6 may be recipients of the data mentioned in II, provided they have been specifically authorised for this purpose .

V.- Each data controller keeps the data mentioned in II for the duration of the operations required to provide the online service. This period may not exceed one month after completion of the operations.

VI.-In accordance with the provisions of I of article 32 of the aforementioned Act of 6 January 1978, each data controller shall inform individuals of the online service. This information shall mention in particular the identity of the data controller, the purpose of the processing, the recipients of the data and the procedures for exercising the rights of individuals.

The rights of opposition, access and rectification are exercised, in accordance with articles 38 to 40 of the same law, by the departments designated by the data controller in the commitment to compliance mentioned in I.

Original in French 🇫🇷

Article R5151-10

I.-Les personnes morales de droit public et les personnes morales de droit privé chargées d’une mission de service public qui développent et mettent à disposition les services en ligne mentionnés au 3° du II de l’article L. 5151-6 sont autorisées à créer les traitements de données à caractère personnel nécessaires dans les conditions définies au présent article.

La personne morale qui développe et met à disposition le service en ligne est responsable du traitement de données à caractère personnel correspondant.

Le traitement de données à caractère personnel doit avoir reçu le consentement du titulaire du compte personnel d’activité.

Conformément au IV de l’article 26 de la loi du 6 janvier 1978 précitée, la mise en œuvre de chaque traitement est subordonnée à l’envoi préalable à la Commission nationale de l’informatique et des libertés, d’un engagement de conformité aux dispositions du présent article. Cet engagement est accompagné d’un dossier technique sommaire décrivant le traitement mis en œuvre et les mesures prises pour en assurer la sécurité.

II.-Dans la mesure où elles sont strictement nécessaires à la fourniture du service en ligne, peuvent être collectées, traitées et conservées les données mentionnées à l’article R. 5151-4 , à l’exception des données suivantes :

1° Les données relatives à l’exposition aux facteurs de risques professionnels mentionnées aux 3° à 6° du I de l’article 2 du décret du 11 août 2016 autorisant la création d’un traitement de données à caractère personnel dénommé compte professionnel de prévention ;

2° Les données relatives aux activités bénévoles ou de volontariat enregistrées en application de l’article L. 5151-8 , lorsqu’elles relèvent des données énumérées par l’ article 8 de la loi du 6 janvier 1978 précitée .

III.-Un arrêté du ministre chargé de l’emploi, pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés, précise les conditions techniques d’accès aux données.

IV.-Peuvent être destinataires des données mentionnées au II, à condition d’avoir été spécifiquement habilités à cette fin, les employés et agents des organismes mentionnés au I de même nature que ceux mentionnés aux articles R. 5151-5 et R. 5151-6 .

V.-Chaque responsable de traitement conserve les données mentionnées au II pour la durée des opérations requises par la fourniture du service en ligne. Cette durée ne peut excéder un mois après l’achèvement des opérations.

VI.-Chaque responsable du traitement procède, conformément aux dispositions du I de l’article 32 de la loi du 6 janvier 1978 précitée , à l’information des personnes dans le cadre du service en ligne. Cette information mentionne notamment l’identité du responsable de traitement, la finalité poursuivie par le traitement, les destinataires des données et les modalités d’exercice des droits des personnes.

Les droits d’opposition, d’accès et de rectification s’exercent, conformément aux articles 38 à 40 de la même loi, auprès des services désignés par le responsable de traitement dans l’engagement de conformité mentionné au I.