Respecter les obligations en matière de formalités préalables au traitement des Données. Déclarer le traitement auprès de la CNIL préalablement à la mise en oeuvre du traitement. Vérifier que celui-ci est effectivement conforme à la finalité déclarée. Réaliser une étude d'impact sur la vie privée (EIVP ou PIA) et le faire valider.
Etre conforme à l'article 6 du RGPD : La personne concernée a consenti au traitement de ses données pour une plusieurs finalités spécifiques; Le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée; Le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée; Le traitement est nécessaire au respect d'une obligation légale.
Etre conforme à l'article 6 de la loi I&L et à l'article 5.1(b) du RGPD
Disposer d'une organisation apte à diriger et contrôler la protection des données à caractères personnels (désigner un CIL/DPO, créer un comité de suivi…)
Maîtriser les risques que les traitements de l'Entreprise font peser sur les droits et libertés des personnes concernées (recensement des traitements de données à caractère personnel, des données, des supports, appréciation des risques, déterminer les mesures existantes ou prévues, etc.).
Nom et Fonction de l'Application
Définition des données personnelles utilisées pour ce traitement (Exemple : Données Civil, Données Fiscale, Données de Santé…)
Complément: Donner le descriptif des données
Les Données Sensibles sont une notion clairement définie par la CNIL. Il existe les données perçues comme sensibles : Données de Sécurité Sociale, Données Biométriques, Données Bancaires. Il existe les données sensibles au sens de la loi : Opinions Philosophiques, Opinions Politiques, Opinions Religieuses, Opinions Syndicales, Vie sexuelle, Données de Santé, Origines raciales ou Ethniques.
Etre conforme à l'article 7 de la loi I&L et les articles 7 et 8 du RGPD. Permettre un choix libre, spécifique et éclairé; Vérifier que le traitement ne repose pas sur une autre base légale que le consentement; S'assurer que le traitement ne puisse pas être mis en oeuvre sans consentement. Spécificités pour les données sensibles, la collecte via Internet, cookies, objets connectés.
Etre conforme à l'article 40 de la loi I&L et les articles 16, 17 et 19 du RGPD; garantir aux personnes la possibilité de rectifier, compléter, mettre à jour, verrouiller ou supprimer des données à caractère personnel qui les concernent.
Etre conforme à l'article 39 de la loi I&L et les articles 15 et 20 du RGPD. Permettre à l'utilisateur de récupérer, sous une forme aisément réutilisable, les données personnelles qu'il a fournies au traitement afin de les transférer vers un autre service.
Complément: SPECIFICITE POUR LES DOSSIERS MEDICAUX
Etre conforme à l'article 38 de la loi I&L et les articles 18 et 21 du RGPD : garantir aux personnes la possibilité de s'opposer à l'utilisation de données à caractère personnel qui les concernent; permettre à l'utilisateur d'exiger le gel du traitement de ses données.
Complément: Spécificités pour téléphone, formulaire, courrier électronique, objet connecté
Etre conforme à l'article 32 de la loi I&L et aux articles 12, 13 et 14 du RGPD. Garantir l'information des personnes et donc éviter la collecte de données à leur insu; S'assurer que l'information sera réalisée de manière complète, claire et adaptée au public visé.
Complément: Salariés, site Internet, objet connecté, téléphone, formulaire, publicité ciblée
Etre conforme à l'article 6 de la loi I&L et l'article 5.1(c) du RGPD : Réduire la gravité des risques en limitant la collecte des données à caractère personnel au strict nécessaire au regard d'une finalité définie.
Réduire la gravité des risques en minimisant les données elles-mêmes, par des mesures destinées à réduire leur sensibilité. Filtrer et retirer les données inutiles, Réduire la sensibilité par transformation, Réduire le caractère identifiant des données.
Complément: Voir rubrique Anonymisation
Objectif : Faire perdre le caractère identifiant des données à caractère personnel. Déterminer ce qui doit être anonymisé selon le contexte, la forme de stockage des données et les risques identifiés. Anonymiser de manière irréversible ce qui doit l'être.
Choisir le type de chiffrement (symétrique ou asymétrique) selon le contexte et les risques identifiés. Recourir à des solutions de chiffrement basées sur des algorithmes publics réputés.
Exactitude et Mise à jour : Etre conforme à l'article 6 de la loi informatique et libertés et l'article 5.1(d) du RGPD; maintenir la qualité des données. Durée de Conservation : être conforme aux articles 6 et 36 de la loi I&L et l'article 5.1(e) du RGPD.
Etre alerté en cas de modification non désirée ou de disparition de données à caractère personnel (fonction de hachage, code d'authentification de message, signature électronique, prévenir les injections SQL, etc.).
Assurer l'enregistrement et l'imputabilité des consultations et des opérations sur les données à caractère personnel.
Disposer de sauvegardes des données à caractère personnel et des moyens de restauration associés.
Définir et appliquer une politique de mots de passe robuste (complexité, renouvellement, non-réutilisation, etc.).
Mettre en place une authentification forte pour les accès sensibles.
Sécuriser les réseaux internes et externes, les outils de prise de main à distance, les postes nomades, les interfaces sans fil, la navigation Internet, le transfert de fichiers.
Limiter les risques que des personnes non autorisées accèdent aux documents papiers contenant des données à caractère personnel.
Complément: Classification, procédés d'impression, limitation diffusion
Diminuer la possibilité que les caractéristiques des matériels (serveurs, postes, périphériques, supports amovibles) soient exploitées pour porter atteinte aux données.
Complément: Inventaire, cloisonnement, limitation accès
Diminuer la possibilité que les caractéristiques des sites web soient exploitées pour porter atteinte aux données (chiffrement TLS, politique cookies, audits).
Complément: Conformité RGS pour téléservices
Réduire la possibilité de corréler des données à caractère personnel et de provoquer une violation de l'ensemble des données.
Limiter les risques que des personnes non autorisées n'accèdent physiquement aux données à caractère personnel.
Complément: Liste personnes autorisées, authentification, trace accès
Limiter les risques que des personnes non autorisées accèdent aux données à caractère personnel par voie électronique.
Complément: Gestion profils, authentification, politique mots de passe
Diminuer la possibilité que les caractéristiques des personnes (employés, stagiaires) soient exploitées pour porter atteinte aux données.
Disposer d'une vision globale et à jour de l'état de protection des données et de la conformité à la loi informatique et libertés.
Etre capable de détecter les incidents concernant des données à caractère personnel de façon précoce. Gérer les incidents et les violations de données.
Complément: Documentation des violations de données
Protéger les accès vers des réseaux publics (Internet) ou non maîtrisés, ainsi que les postes de travail et les serveurs contre les codes malveillants.
Complément: Antivirus, firewall, proxy, anti-spyware
Réduire ou éviter les risques liés à des sources humaines ou non humaines qui pourraient affecter la sécurité des données.
Complément: Sources humaines internes/externes, sources non humaines
Eviter que des sources de risques, humaines ou non humaines, portent atteinte aux données à caractère personnel.
Complément: Produits dangereux, zones géographiques, transfert hors UE
Réduire les risques que les accès légitimes aux données par des tiers peuvent faire peser sur les libertés et la vie privée.
Complément: Prestataires, destinataires, tiers autorisés
Etre conforme aux articles 68 et 69 de la loi I&L et les articles 44 à 50 du RGPD. Détailler le lieu géographique de stockage des différentes données du traitement.
Complément: Justifier hébergement éloigné, vérifier règles sécurité fournisseur
Disposer d'une base documentaire formalisant les objectifs et les règles à appliquer dans le domaine Informatique et libertés.
Complément: Charte usagers, plan d'action, contrats sous-traitance
Etablir une documentation des incidents, des changements de paramétrage, des violations de données, de la traçabilité des accès.
Etre conforme à l'article 28 du RGPD / Encadrer la sous-traitance. Un contrat de sous-traitance doit être conclu avec chacun des sous-traitants.
Complément: Spécificités sous-traitants, fournisseurs Cloud
Le RGPD prévoit un allègement des obligations en matière de formalités préalables. La logique de formalités préalables laisse la place à celle de responsabilisation des acteurs.
Complément: Responsabilisation, accountability