AgentPublic/service-public huggingface dataset:
Obligations en matière de protection des données personnelles (RGPD)
Tenir un registre des traitements
Que doit contenir le registre ?

Le registre doit recenser l'ensemble des traitements mis en œuvre par l'entreprise. En pratique, une fiche de registre doit être établie pour chaque traitement. Chaque fiche de registre doit contenir les éléments suivants :
- Identité du responsable de traitement, du délégué à la protection des données et des sous-traitants
- Catégories de personnes concernées (ex : client, prospect, employé)
- Catégories de données traitées (ex : identité, situation familiale, économique ou financière, données bancaires, données de connexion, donnés de localisation)
- Finalités du traitement, c'est-à-dire l’objectif en vue duquel ces données ont été collectées
- Destinataires des données, c'est-à-dire ceux à qui les données ont été ou seront communiquées, y compris les sous-traitants
- Durée de conservation des données, ou à défaut les critères permettant de la déterminer
- Description générale des mesures de sécurité des données
- Le cas échéant, transfert des données vers un pays hors de l' UE .
Obligations en matière de protection des données personnelles (RGPD)
Tenir un registre des traitements
Quelle forme doit prendre le registre ?

Le RGPD impose uniquement que le registre se présente sous une forme écrite. Le format du registre est libre et peut être constitué au format papier ou électronique. La CNIL met à disposition des modèles de registre de traitement.
Obligations en matière de protection des données personnelles (RGPD)
Assurer la sécurité des données personnelles

Toute entreprise doit assurer la sécurité des données personnelles qu'elle a collectées (données de clients, de fournisseurs, d'employés, etc.). Pour garantir un niveau de sécurité adapté au risque, de nombreuses mesures techniques et organisationnelles sont nécessaires. (À savoir: La Cnil met à disposition un guide pratique sur la sécurisation des données.)
Obligations en matière de protection des données personnelles (RGPD)
Assurer la sécurité des données personnelles
Recenser les traitements de données

Le responsable du traitement doit recenser les traitements de données personnelles (automatisés ou non) et les supports sur lesquels ces traitements reposent, c'est-à-dire :
- les matériels (ex. : serveurs, ordinateurs portables, disques durs)
- les logiciels (ex. : systèmes d’exploitation, logiciels métier)
- les canaux de communication logiques ou physiques (ex. : fibre optique, Wi-Fi, Internet, échanges verbaux, coursiers)
- les supports papier (ex. : documents imprimés, photocopies)
- les locaux et installations physiques où se situent les éléments précédemment cités (ex. : locaux informatiques, bureaux).
Obligations en matière de protection des données personnelles (RGPD)
Assurer la sécurité des données personnelles
Apprécier les risques liés à chaque traitement

Ce recensement permet d' apprécier les risques engendrés par chaque traitement, notamment :
- Accès illégitime à des données (ex : usurpation d’identité consécutive à la divulgation des fiches de paie de l’ensemble des salariés d’une entreprise)
- Modification non désirée de données (ex : accusation à tort d’une personne d’une faute ou d’un délit suite à la modification de journaux d’accès)
- Disparition de données (ex : non-détection d’une interaction médicamenteuse du fait de l’impossibilité d’accéder au dossier électronique du patient).
Le responsable du traitement doit identifier les sources de risques en prenant en compte des sources humaines (ex : administrateur informatique, utilisateur, attaquant externe, concurrent) et non humaines (ex : eau, épidémie, matériaux dangereux, virus informatique non ciblé). Il doit également estimer la gravité et la vraisemblance des risques (exemple d’échelle utilisable pour l’estimation : négligeable, modérée, importante, maximale) pour ainsi déterminer les mesures à même de traiter chaque risque (ex : contrôle d’accès, sauvegardes, traçabilité, sécurité des locaux, chiffrement, anonymisation).
Obligations en matière de protection des données personnelles (RGPD)
Assurer la sécurité des données personnelles
Authentifier les utilisateurs

Pour assurer qu’un utilisateur accède uniquement aux données dont il a besoin, il doit être doté d’un identifiant qui lui est propre et doit s’authentifier avant toute utilisation des moyens informatiques. Une précaution indispensable consiste à définir un identifiant unique par utilisateur et interdire les comptes partagés entre plusieurs utilisateurs. Dans le cas où l’utilisation d’identifiants génériques ou partagés est incontournable, il est nécessaire de mettre œuvre les mesures suviantes :
- Exiger une validation de la hiérarchie
- Mettre en œuvre des moyens pour tracer les actions associées à ces identifiants
- Renouveler le mot de passe dès qu’une personne n’a plus besoin d’accéder au compte.
(À noter: En cas d'authentification des utilisateurs basée sur des mots de passe, il est conseillé de suivre les recommandations de la Cnil .)
Obligations en matière de protection des données personnelles (RGPD)
Assurer la sécurité des données personnelles
Gérer l'habilitation des utilisateurs

Le responsable du traitement doit gérer l'habilitation des utilisateurs afin de limiter leur accès aux seules données dont ils ont besoin pour l’accomplissement de leurs missions. Le responsable est d'abord amené à définir des profils d’habilitation dans les systèmes en séparant les tâches et les domaines de responsabilité et faire valider toute demande d’habilitation par un responsable (ex : supérieur hiérarchique, chef de projet). Il est impératif de supprimer les permissions d’accès des utilisateurs dès qu’ils ne sont plus habilités à accéder à un local ou à une ressource informatique (ex : changement de mission ou de poste), ainsi qu’à la fin de leur contrat. (À noter: Il est recommandé de réaliser une revue régulière des habilitations (au moins une fois par an) pour identifier et supprimer les comptes non utilisés et réaligner les droits accordés sur les fonctions de chaque utilisateur.)
Obligations en matière de protection des données personnelles (RGPD)
Assurer la sécurité des données personnelles
Tracer les opérations

Le responsable du traitement doit également tracer les opérations afin de pouvoir réagir en cas de violation de données (atteinte à la confidentialité, l’intégrité ou la disponibilité). Pour ce faire, il est nécessaire de mettre en place un système de journalisation, c’est-à-dire un enregistrement des activités métier des utilisateurs, des interventions techniques (y compris par les administrateurs), des anomalies et des événements liés à la sécurité. Le responsable du traitement doit s’assurer que les gestionnaires de l'enregistrement des opérations lui notifient toute anomalie ou tout incident de sécurité, dans les plus brefs délais. (À noter: L' Anssi met à disposition un guide des bonnes pratiques pour établir un système de journalisation efficace et sécurisé.)
Obligations en matière de protection des données personnelles (RGPD)
Assurer la sécurité des données personnelles
Sécuriser les postes de travail et l'informatique mobile

Les risques d’intrusion dans les systèmes informatiques sont importants. Le responsable du traitement doit protéger les postes de travail qui constituent un des principaux points d’entrée. Afin de prévenir les accès frauduleux, l’exécution de virus ou les prises de contrôle malveillantes à distance, le responsable du traitement doit prendre les précautions suivantes :
- Prévoir un mécanisme de verrouillage automatique de session en cas de non-utilisation du poste pendant un temps donné
- Installer un « pare-feu » (« firewall ») logiciel sur le poste et limiter l’ouverture des ports de communication à ceux strictement nécessaires au bon fonctionnement des applications installées sur le poste de travail
- Utiliser des antivirus régulièrement mis à jour et prévoir une politique de mise à jour régulière des logiciels
- Effacer de façon sécurisée les données présentes sur un poste avant sa réaffectation à une autre personne.
(À noter: Le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (CERT-FR) détaille les bons réflexes à adopter en cas d’intrusion sur un système d’information.)
Les pratiques de travail hors des locaux (ex : déplacements, télétravail) comportent des risques spécifiques liés à l’usage d’ordinateurs portables, de clés USB ou encore de smartphones. Il est donc indispensable d'anticiper l’atteinte à la sécurité des données à l'extérieur des locaux. Le responsable du traitement doit sensibiliser les utilisateurs aux risques spécifiques liés à l’utilisation d’outils informatiques mobiles (ex : vol de matériel, risques liés à la connexion aux réseaux publics) et imposer l'utilisation d'un VPN à authentification forte. Il est également recommandé de prévoir des moyens de chiffrement des postes nomades et des supports de stockage mobiles (ex : ordinateur portable, clés USB, disque dur externes, CD-R, DVD-RW), tels que :
- Le chiffrement du disque dur (de nombreux systèmes d'exploitation intègrent une telle fonctionnalité)
- Le chiffrement fichier par fichier
- La création de conteneurs (fichier susceptible de contenir plusieurs fichiers) chiffrés.
(À noter: La CNIL rappelle les grands principes de la cryptologie (chiffrement, hachage, signature).)
Obligations en matière de protection des données personnelles (RGPD)
Assurer la sécurité des données personnelles
Sauvegarder et archiver les données

Le responsable du traitement doit effectuer des sauvegardes régulières pour limiter l’impact d’une disparition ou d'une altération non désirée de données. Il est également recommandé de stocker au moins une sauvegarde sur un site extérieur et d'isoler une sauvegarde hors ligne, déconnectée du réseau de l'entreprise. Par ailleurs, le responsable doit archiver les données qui ne sont plus utilisées au quotidien mais qui n’ont pas encore atteint leur durée limite de conservation, par exemple parce qu’elles sont conservées afin d’être utilisées en cas de litige. Pour ce faire, il doit définir un processus de gestion des archives qui appelent plusieurs questions, notamment :
- Quelles données doivent être archivées ?
- Comment et où sont-elles stockées ?
- Quelles sont les modalités d’accès spécifiques aux données archivées ? (l’utilisation d’une archive doit intervenir de manière ponctuelle et exceptionnelle)
- S’agissant de la destruction des archives, quel mode opératoire faut-il choisir pour garantir que l’intégralité d’une archive a été détruite ?
(À noter: La CNIL a établi une liste de recommandations concernant les modalités d'archivage électronique.)
Obligations en matière de protection des données personnelles (RGPD)
Assurer la sécurité des données personnelles
Gérer la sous-traitance

Les traitements de données réalisés par un sous-traitant pour le compte du responsable de traitement doivent bénéficier de garanties suffisantes, notamment en matière de sécurité. Il est impératif de faire appel uniquement à des sous-traitants présentant des garanties suffisantes, notamment en termes de connaissances spécialisées, de fiabilité et de ressources. Le responsable doit exiger la communication par le prestataire de sa politique de sécurité des systèmes d’information et de ses éventuelles certifications. Un contrat de sous-traitance doit définir l’objet, la durée, la finalité du traitement ainsi que les obligations des parties, notamment en termes de sécurité des traitements. Il doit contenir des dispositions fixant les éléments suivants :
- Répartition des responsabilités et des obligations en matière de confidentialité des données personnelles confiées
- Contraintes minimales en matière d’authentification des utilisateurs
- Conditions de restitution et de destruction des données en fin du contrat
- Règles de gestion et de notification des incidents . Celles-ci doit comprendre une information du responsable de traitement en cas de découverte de faille de sécurité ou d’incident de sécurité.
(À noter: La CNIL a publié un guide pour accompagner les sous-traitants dans la mise en oeuvre concrète de leurs obligations.)
Obligations en matière de protection des données personnelles (RGPD)
Assurer la sécurité des données personnelles
Évaluer la sécurité des données

Les mesures permettant de garantir la sécurité des données étant nombreuses, il est opportun d' évaluer le niveau de sécurité des données personnelles de l'entreprise. La CNIL met à disposition une grille d'évaluation. Les mesures techniques et organisationnelles mises en œuvre par le responsable de traitement doivent être appropriées, compte tenu de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques (dont le degré de probabilité et de gravité varie) pour les droits et libertés des personnes. En cas de violation de données (ex : divulgation non autorisée, accès irrégulier), le responsable de traitement doit être en mesure de prouver qu'il a pris les mesures de sécurité adéquates.
Obligations en matière de protection des données personnelles (RGPD)
Encadrer la sous-traitance

Le responsable de traitement peut recourir à un sous-traitant chargé de traiter les données personnelles pour son compte. Il peut s'agir d'un prestataire de service informatique (ex : hébergement, maintenance), d'une entreprise de sécurité informatique voire d'une agence de marketing ou de communication traitant les données personnelles pour le compte du responsable de traitement. Pour encadrer leur relation, le responsable de traitement et son sous-traitant doivent conclure un contrat de sous-traitance.
Obligations en matière de protection des données personnelles (RGPD)
Encadrer la sous-traitance
Quelles mentions doivent figurer dans le contrat ?

Le responsable de traitement et le sous-traitant doivent conclure un contrat incluant les mentions obligatoires suivantes :
- Objet du contrat, c'est-à-dire l'activité du sous-traitant (ex : hébergement de données, routage d'emails, maintenance)
- Nature, finalité et durée du traitement
- Type de données personnelles collectées et catégories de personnes concernées
- Obligations et droits du responsable du traitement
- Obligations et droits du sous-traitant.
Pour faciliter la rédaction de ce contrat, les parties peuvent y insérer certaines clauses contractuelles types (CCT) rédigées par la Commission européenne. Elles fournissent un support utile pour encadrer la sous-traitance conformément aux exigences du RGPD. (À noter: Toute opération de traitement non prévue dans le contrat doit, en principe, faire l’objet d’une renégociation préalable entre les parties ou au moins d’instructions écrites du responsable de traitement.)
Obligations en matière de protection des données personnelles (RGPD)
Encadrer la sous-traitance
Quelles sont les obligations du sous-traitant ?

Le sous-traitant doit respecter les obligations suivantes :
- Assurer un niveau de sécurité suffisant au regard de la nature des données traitées
- Conseiller le responsable de traitement (ex : l'alerter s’il estime qu’une instruction qu’il reçoit constitue une violation de la réglementation applicable)
- Aider le responsable de traitement à garantir les droits des personnes (accès, rectification, effacement, portabilité)
- Formaliser à l'écrit les instructions délivrées par le responsable de traitement
- Tenir un registre des activités de traitement effectuées pour le compte du responsable de traitement
- Tenir à disposition du responsable de traitement toutes les informations nécessaires pour démontrer le respect de ses obligations et permettre la réalisation d’audits
- Veiller à ce que les personnes autorisées à traiter les données personnelles s'engagent à respecter la confidentialité.
Registre tenu par le sous-traitant: Le sous-traitant doit tenir son propre registre, recensant toutes les catégories d'activité de traitement effectuées pour le compte de ses clients (ex : hébergement de données, maintenance informatique, service d’envoi de messages de prospection commerciale). En pratique, une fiche de registre doit être établie pour chacune de ces catégories d’activités. Chaque fiche de registre doit contenir les éléments suivants :
- Identité du sous-traitant, de son représentant en cas d'établissement hors UE, de son délégué à la protection de données ainsi que les sous-traitants auxquels il a lui-même recours
- Catégories de traitements effectués pour le compte de chacun de ses clients, c’est-à-dire les opérations effectivement réalisées pour leur compte. Par exemple, pour la catégorie « service d’envoi de messages de prospection », il peut s’agir de la collecte des adresses mails, de l’envoi sécurisé des messages, de la gestion des désabonnements, etc.)
- Description générale des mesures de sécurité des données
- Le cas échéant, transfert des données vers un pays hors de l' UE .
(À noter: La CNIL met à disposition un guide pratique à destination des sous-traitants.)
Obligations en matière de protection des données personnelles (RGPD)
Encadrer la sous-traitance
Le sous-traitant peut-il recourir lui-même à un sous-traitant ?

Le sous-traitant doit obtenir l'autorisation écrite du responsable de traitement avant de recruter un autre sous-traitant. Cette autorisation peut être donnée au sous-traitant au cas par cas pour chaque nouveau sous-traitant, ou avoir une portée générale. La CNIL recommande de préciser dans le contrat laquelle de ces 2 modalités d’autorisation est choisie par les parties. Si l’autorisation a une portée générale, le sous-traitant doit communiquer au responsable de traitement de la liste de ses sous-traitants ultérieurs, ainsi que tout ajout ou remplacement dans cette liste pour lui permettre de s'y opposer s’il le souhaite. Dans ce cas, la Cnil recommande de formaliser les modalités d’information du responsable de traitement et, éventuellement, les critères du choix de ces sous-traitants. (À noter: Le sous-traitant doit tenir à jour, dans son registre, une liste des sous-traitants auxquels il recourt.)
Obligations en matière de protection des données personnelles (RGPD)
Désigner un délégué à la protection des données (DPO)

Les entreprises réalisant des traitement de données à grande échelle doivent désigner un délégué à la protection des données, appelé le plus souvent « data protection officer (DPO) » en anglais. Le DPO est chargé d' assurer la protection des données personnelles collectées et traitées par l'entreprise qui l'emploie. (À noter: La CNIL met à disposition un guide pratique du DPO .)
Obligations en matière de protection des données personnelles (RGPD)
Désigner un délégué à la protection des données (DPO)
La désignation d'un DPO est-elle obligatoire ?

La désignation d’un DPO par l'entreprise est obligatoire dans les 2 cas suivants :
- Les activités principales de l'entreprise ou du sous-traitant impliquent un suivi régulier et systématique à grande échelle des personnes concernées par les opérations de traitement (ex : géolocalisation, vidéosurveillance, traitement des échanges bancaires).
- Les activités principales de l'entreprise ou du sous-traitant impliquent un traitement à grande échelle de données sensibles ou relatives à des condamnations pénales.
La notion de traitement « à grande échelle » s'analyse au cas par cas, en fonction du nombre de personnes concernées, du volume et de l'éventail des différentes données collectées, de la durée de l'activité de traitement et de la répartition géographique de l'activité de traitement. Exemple: Quelques exemples de traitements à grande échelle :
- le traitement à des fins statistiques de données de localisation actuelles de clients d'une chaîne de restauration rapide internationale par un sous-traitant spécialisé dans ces services
- le traitement de données de clients dans le cadre des activités courantes d'une compagnie d'assurance ou d'une banque
- le traitement de données personnelles par un moteur de recherche en vue de l'affichage de publicités sur la base du comportement de navigation
- le traitement de données personnelles (contenu, flux des données, localisation) par des fournisseurs de services de téléphonie et d'Internet.
À l'inverse, des exemples de traitements qui ne sont pas considérés comme des traitements à grande échelle :
- le traitement de données de patients par un médecin indépendant
- le traitement de données personnelles relatives à des condamnations par un avocat.
(À noter: En dehors des cas de désignation obligatoire, la désignation d’un délégué à la protection des données est encouragée .)
Obligations en matière de protection des données personnelles (RGPD)
Désigner un délégué à la protection des données (DPO)
Quelles sont les missions du DPO ?

Les missions du délégué à la protection des données sont les suivantes :
- Informer et conseiller le responsable du traitement ou le sous-traitant ainsi que les employés qui procèdent au traitement sur les obligations qui leur incombent
- Contrôler le respect du RGPD et des règles internes du responsable du traitement ou du sous-traitant en matière de protection des données, y compris en ce qui concerne la répartition des responsabilités, la sensibilisation et la formation du personnel participant aux opérations de traitement
- Dispenser des conseils et recommandations , sur demande, sur un sujet précis en lien avec le traitement des données personnelles
- Coopérer avec la Cnil et faire office de point de contact sur les questions relatives au traitement.
(À noter: Le délégué à la protection des données est soumis à une obligation de confidentialité en ce qui concerne l'exercice de ses missions.)
Obligations en matière de protection des données personnelles (RGPD)
Désigner un délégué à la protection des données (DPO)
Comment choisir et désigner le DPO ?

Le responsable de traitement peut désigner un DPO en interne ou un prestataire externe proposant ses services de DPO. Il doit s’assurer que le DPO dispose de connaissances spécialisées du droit et des pratiques en matière de protection des données. Il doit prendre en compte les formations suivies par la personne pressentie, ainsi que son expérience et sa connaissance du secteur. La Cnil a mis en place une procédure de certification des compétences du DPO. La procédure n'est pas obligatoire mais permet au DPO l'ayant suivie de justifier qu'il répond aux exigences de compétences. Les certifications sont délivrées par des organismes certificateurs agréés par la CNIL. (À noter: Pour vérifier qu’un DPO est véritablement certifié, le responsable de traitement peut contacter l’organisme ayant attribué la certification. La CNIL publie une liste des organismes de certification agréés .)
Lorsqu'il a choisi le DPO de l'entreprise, le responsable de traitement doit remplir le formulaire de désignation en ligne pour en informer la CNIL.
Obligations en matière de protection des données personnelles (RGPD)
Désigner un délégué à la protection des données (DPO)
Quelles sont les conditions d'exercice de la fonction de DPO ?

Le responsable du traitement doit permettre au DPO d’exercer ses missions de contrôle, de conseil et de point de contact en toute indépendance. L'indépendance doit être garantie de la manière suivante :
- Le DPO ne doit pas être en situation de conflit d’intérêts en cas de cumul de sa fonction de DPO avec une autre fonction. Par exemple, il y a conflit d'intérêts lorsque le DPO se voit confier des missions dans lesquelles il détermine les finalités et les moyens du traitement.
- Le DPO doit pouvoir rendre compte de son action au plus haut niveau de la direction de l'entreprise
- Le DPO ne pas être sanctionné pour l'exercice de ses missions de DPO
- Le DPO ne doit pas recevoir d’instruction dans le cadre de l’exercice de ses missions de DPO.
De plus, le DPO doit disposer du temps suffisant ainsi que des moyens matériels et humains adéquats pour exercer sa mission. Il doit bénéficier du soutien actif de la direction et être associé en amont à tous les projets impliquant des données personnelles. (À noter: Le DPO peut exercer sa fonction de délégué à temps partiel , en complément d’autres activités pour l’organisme (en interne) ou pour d’autres clients (en externe).)