Guide_Securite_PEC_022024.pdf — page 13

13
POLE D'EXCELLENCE CYBER
Avant de recueillir des données sensibles, la collectivité doit s’assurer qu’elle rentre bien dans l’un des cas légitimes suivants  R1  :
• La personne concernée a donné par écrit son consentement explicite ;
• Les données sont rendues publiques par la personne concernée ;
• Les données doivent servir pour des recherches médicales ou à la sauvegarde de la vie humaine ;
• L’utilisation des données est justifiée par l’intérêt publique et autorisée par la CNIL ;
• Les données appartiennent à des membres d’une association ou d'une organisation politique, religieuse, philosophique, politique 
ou syndicale.
Les étapes à suivre pour se mettre en conformité au RGPD : 
Chaque collectivité doit apporter la preuve1 de sa conformité au règlement auprès de l'autorité de contrôle (CNIL). Les étapes 
suivantes permettront aux collectivités de se mettre en conformité au RGPD :
• Désignez une personne déléguée à la protection des données (DPO) et notifiez-le à la CNIL  R2  : il peut s’agir d’une personne 
physique ou morale, interne à la collectivité ou externe. Il est également possible de mutualiser cette fonction de délégué entre 
plusieurs institutions. Dans ce cas, les collectivités ont l’obligation de conclure une convention de mutualisation. Enfin, le délégué doit 
être en mesure d’exercer ses fonctions et missions en toute indépendance (ne pas être juge et partie). Par exemple, les conseillers 
municipaux (dont le maire) ne peuvent pas être désignés délégués, car ils prennent directement part au processus de décision 
concernant les fichiers mis en œuvre dans leur collectivité.
Vous devez obligatoirement notifier à la CNIL la désignation de votre délégué en utilisant le téléservice https://www.cnil.fr/designation-dpo
Constituez et maintenez à jour les registres exigés par le RGPD  R3  :
a. Le registre listant les traitements de données : ce registre permet d’avoir une vision claire et globale des activités de la collectivité 
qui nécessitent la collecte et le traitement de données personnelles. Appuyez-vous sur le modèle de registre proposée par la CNIL2  ;
b. Le registre des violations de données à caractère personnel : la collectivité doit recenser l’ensemble des éléments relatifs aux 
violations3 , par exemple la perte d’une clé USB non chiffrée contenant des données personnelles, l'envoi accidentel d’un courriel 
contenant des informations qui concernent une autre personne, l'accès malveillant à une base de données. Notez que l’historique 
des violations de données peut être consigné dans le registre listant les traitements de données.
La collectivité est dans l’obligation d’informer la CNIL dans les 72 heures après un incident de violation des données personnelles, 
voire la personne concernée si cette violation entraîne un risque élevé. Cette notification s’effectue en ligne sur le site de la CNIL4 .
Faites le tri dans vos données  R4 . Pour chaque fiche du registre listant les traitements de données, vérifiez :
a. La pertinence et la nécessité des données traitées : par exemple, si vous n’offrez aucun service ou aucune rémunération attachés 
au fait que vos salariés aient des enfants, cette donnée ne vous est pas utile ;
b. La nature des données traitées : le RGPD interdit le recueil et l’exploitation des données sensibles. Si la collectivité recueille de 
telles données, elle doit s’assurer d’en avoir le droit (voire la recommandation  R1 ) ;
c. Les accès aux données : seuls les agents habilités peuvent avoir accès aux données. Ces accès doivent correspondre à un besoin 
réel et être en lien avec l’exercice de leurs missions ;
d. La durée de conservation et d’archivage des données : la CNIL et le Service Interministériel des Archives de France (SIAF) ont 
élaboré des outils d’aide à l’identification des durées applicables à la conservation des données, ainsi qu’un guide pour faciliter la 
mise en œuvre de ce principe5 .
1 https://www.cnil.fr/fr/documenter-la-conformite
2 https://www.cnil.fr/fr/RGDP-le-registre-des-activites-de-traitement
3 https://www.cnil.fr/fr/les-violations-de-donnees-personnelles
4 https://notifications.cnil.fr/notifications/index
5 https://www.cnil.fr/fr/les-durees-de-conservation-des-donnees