Guide_Securite_PEC_022024.pdf — page 14

14
POLE D'EXCELLENCE CYBER
Respectez le principe de transparence et les droits des administrés  R5  :
a. Chaque fois que des données personnelles sont recueillies, la collectivité doit informer en toute transparence les personnes 
concernées des conditions d’utilisation de leurs données et de leurs droits. Pour cela, les supports utilisés (formulaire, questionnaire, 
site Internet, etc.) doivent comporter des mentions d’information. Appuyez-vous sur les exemples de mentions1  qui sont proposés 
par la CNIL ;
b. Donnez les moyens effectifs d’exercer effectivement leurs droits aux administrés, par exemple, prévoyez un formulaire de contact 
spécifique, un numéro de téléphone ou une adresse de messagerie dédiée sur votre site Internet. La collectivité doit répondre dans 
les meilleurs délais (1 mois au maximum) aux demandes de consultation, de rectification ou de suppression des données2 .
Sécurisez les données  R6  : contre les accès non autorisés, contre les modifications non désirées, contre le vol ou la destruction. 
La collectivité est tenue à une obligation légale d’assurer la sécurité des données personnelles qu’elle détient. Toutes les mesures 
pouvant permettre de mener à bien cette mission doivent être prises :
a. La sécurité physique : sécurisation du site, des locaux, des armoires, etc. ;
b. La sécurité informatique : poste du travail, applications, supports amovibles, droits d’accès informatiques (les agents doivent 
disposer d’un identifiant individuel et d'un mot de passe personnel, complexe, et régulièrement mis à jour), etc.
Appuyez-vous sur l'ensemble des mesures et recommandations listées dans les différentes fiches de ce Guide, en vous aidant aussi 
des tutoriels et des vidéos qui sont à votre disposition. 
Encadrez la sous-traitance  R7  : la collectivité peut confier le traitement des données à caractère personnel qu’elle détient à des 
prestataires. Dans ce cas, elle doit s’assurer du bon traitement de ses données par ses sous-traitants, dans le strict cadre du règlement 
RGPD. Le contrat avec la société sous-traitante doit inclure plusieurs mentions particulières obligatoires3 . Vous trouverez aussi des 
clauses supplémentaires à inclure dans le contrat de sous-traitance dans la fiche 12 « Externalisation ».
Le RGPD consacre une logique de responsabilisation de tous les acteurs impliqués dans un traitement de données personnelles en 
y incluant les sous-traitants. Ils doivent donc aussi participer à la mise en conformité des collectivités territoriales, en les aidant, sous 
peine de sanctions s'ils le refusent, à satisfaire aux exigences du RGPD.
Réalisez une analyse d'impact relative à la protection des données (AIPD)  R8  : mener une AIPD est obligatoire pour tout 
traitement susceptible d'engendrer des risques élevés pour les droits et libertés des personnes concernées. Des critères précis 
existent, vous les trouverez sur le site de la CNIL4, ils permettent de déterminer si votre traitement est susceptible d’engendrer des 
risques élevés. La CNIL a également élaboré une méthode, un catalogue de bonnes pratiques et un outil, PIA, qui vous aideront à 
mener une AIPD5  et à déterminer les mesures proportionnelles aux risques identifiés qui doivent être prises.
Protégez-vous contre les pratiques abusives liées à la mise en conformité au RGPD (R9) : certaines sociétés démarchent les professionnels, 
parfois de manière agressive, afin de vendre un service d’assistance à la mise en conformité au RGPD.  Dans certains cas, il peut même 
s’agir de manœuvres pour collecter des informations sur la collectivité en vue d’une escroquerie ou d’une attaque informatique. Au 
regard de pratiques commerciales trompeuses constatées, la DGCCRF et la CNIL ont formulé plusieurs recommandations que vous 
pouvez consulter en ligne . La DGSI, le CISSE ou la Gendarmerie peuvent aussi vous éclairer sur la réputation de ces acteurs.
1 https://www.cnil.fr/fr/rgpd-exemples-de-mentions-dinformation
2 https://www.cnil.fr/fr/respecter-les-droits-des-personnes
3 https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article28
4 https://www.cnil.fr/fr/gerer-les-risques
5 https://www.cnil.fr/fr/RGPD-analyse-impact-protection-des-donnees-aipd