Article R5151-10
I.-Les personnes morales de droit public et les personnes morales de droit privé chargées d'une mission de service public qui développent et mettent à disposition les services en ligne mentionnés au 3° du II de l'article L. 5151-6 sont autorisées à créer les traitements de données à caractère personnel nécessaires dans les conditions définies au présent article.
La personne morale qui développe et met à disposition le service en ligne est responsable du traitement de données à caractère personnel correspondant.
Le traitement de données à caractère personnel doit avoir reçu le consentement du titulaire du compte personnel d'activité.
Conformément au IV de l'article 26 de la loi du 6 janvier 1978 précitée, la mise en œuvre de chaque traitement est subordonnée à l'envoi préalable à la Commission nationale de l'informatique et des libertés, d'un engagement de conformité aux dispositions du présent article. Cet engagement est accompagné d'un dossier technique sommaire décrivant le traitement mis en œuvre et les mesures prises pour en assurer la sécurité.
II.-Dans la mesure où elles sont strictement nécessaires à la fourniture du service en ligne, peuvent être collectées, traitées et conservées les données mentionnées à l'article R. 5151-4 , à l'exception des données suivantes :
1° Les données relatives à l'exposition aux facteurs de risques professionnels mentionnées aux 3° à 6° du I de l'article 2 du décret du 11 août 2016 autorisant la création d'un traitement de données à caractère personnel dénommé compte professionnel de prévention ;
2° Les données relatives aux activités bénévoles ou de volontariat enregistrées en application de l'article L. 5151-8 , lorsqu'elles relèvent des données énumérées par l' article 8 de la loi du 6 janvier 1978 précitée .
III.-Un arrêté du ministre chargé de l'emploi, pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés, précise les conditions techniques d'accès aux données.
IV.-Peuvent être destinataires des données mentionnées au II, à condition d'avoir été spécifiquement habilités à cette fin, les employés et agents des organismes mentionnés au I de même nature que ceux mentionnés aux articles R. 5151-5 et R. 5151-6 .
V.-Chaque responsable de traitement conserve les données mentionnées au II pour la durée des opérations requises par la fourniture du service en ligne. Cette durée ne peut excéder un mois après l'achèvement des opérations.
VI.-Chaque responsable du traitement procède, conformément aux dispositions du I de l'article 32 de la loi du 6 janvier 1978 précitée , à l'information des personnes dans le cadre du service en ligne. Cette information mentionne notamment l'identité du responsable de traitement, la finalité poursuivie par le traitement, les destinataires des données et les modalités d'exercice des droits des personnes.
Les droits d'opposition, d'accès et de rectification s'exercent, conformément aux articles 38 à 40 de la même loi, auprès des services désignés par le responsable de traitement dans l'engagement de conformité mentionné au I.