# data[].attributes.attachment_link.readable_text
Les données personnelles ne peuvent être conservées indéfiniment : une durée de conservation doit être déterminée par le responsable de traitement en fonction de l'objectif ayant conduit à la collecte de ces données. Ce principe de conservation limitée des données personnelles est prévu par le RGPD et la loi Informatique et Libertés.

Le cycle de vie de la donnée

Pour un même traitement, les données personnelles poursuivent des phases successives. On parle de " cycle de vie " de la donnée personnelle .

Ce cycle connaît trois phases :

Il s'agit de la durée nécessaire à la réalisation de l'objectif (finalité du traitement) ayant justifié la collecte/enregistrement des données. Par exemple, dans une entreprise, les données d'un candidat non retenu seront conservées pendant 2 ans maximum (sauf s'il en demande l'effacement) par le service des ressources humaines.

En pratique, les données seront alors facilement accessibles dans l'environnement de travail immédiat pour les services opérationnels qui sont en charge de ce traitement (ex : le service des ressources humaines pour les opérations de recrutement) ;

Les données personnelles ne sont plus utilisées pour atteindre l'objectif fixé (" dossiers clos ") mais présentent encore un intérêt administratif pour l'organisme (ex : gestion d'un éventuel contentieux, etc.) ou doivent être conservées pour répondre à une obligation légale (par exemple, les données de facturation doivent être conservées dix ans en application du Code de commerce, même si la personne concernée n'est plus cliente). Les données peuvent alors être consultées de manière ponctuelle et motivée par des personnes spécifiquement habilitées ;

En raison de leur " valeur " et intérêt, certaines informations sont archivées de manière définitive et pérenne.

À la différence de la conservation en base active, les deux dernières étapes ne sont pas systématiquement mises en place. Leur nécessité doit être évaluée pour chaque traitement, et, pour chacune de ces phases, un tri sera opéré entre les données.

L'identification de la durée de conservation des traitements

La définition de la durée de conservation relève de l'analyse de conformité que le responsable doit mener pour son traitement.

Dans certains cas, la durée de conservation est fixée par la règlementation (par exemple, l'article L3243-4 du Code du travail impose à l'employeur de conserver un double du bulletin de paie du salarié pendant 5 ans).

Toutefois, pour de nombreux traitements de données, la durée de conservation n'est pas fixée par un texte. Il appartient alors au responsable du fichier de la déterminer en fonction de la finalité du traitement.

Les outils pour aider à définir les durées

Dans le cadre de sa mission d'accompagnement des professionnels, la CNIL a élaboré des outils d'aide à l'identification des durées applicables à la conservation des données, ainsi qu'un guide pour faciliter la mise en œuvre de ce principe.

Ces outils sont destinés à tout professionnel, quel que soit son secteur (public ou privé) et quelle que soit la taille de sa structure.

Le guide pratique des durées de conservation répond aux questions que se posent fréquemment les professionnels, tant sur le principe de la limitation de la conservation des durées que sur sa mise en pratique.

Il présente également l'outil " référentiel durées de conservation ", du point de vue contenu et utilisation.

Élaboré en partenariat avec le service interministériel des archives de France (SIAF), ce guide pratique explicite comment articuler les obligations du RGPD et celles imposées par le Code du patrimoine.

Consulter le guide pratique sur les durées de conservation

Des référentiels de durées de conservation

L'objectif de ces référentiels est de faciliter la recherche de la durée pertinente, effectuée par le responsable de traitement .

Sous forme de tableaux, ils présentent, pour les traitements les plus récurrents dans le secteur concerné, les étapes de la vie des données (base active, voire archivage intermédiaire).

Les durées mentionnées pour chacune des phases de la vie de la donnée sont :

soit obligatoires, car imposées par un texte législatif ou réglementaire ;

soit recommandées au regard de la doctrine de la CNIL (anciennes normes simplifiées ou autorisations uniques, référentiels sectoriels, recommandations...), elles constituent alors un point de repère dont le responsable de traitement peut s'éloigner sous réserve de documenter son choix.

Cet outil a été conçu comme une base de travail, à partir de laquelle le responsable du traitement peut mener sa propre analyse, selon les spécificités du traitement concerné et du contexte spécifique de la structure.

Les premiers référentiels adoptés concernent le domaine de la santé (hors recherche), celui de la recherche en santé, ainsi que le secteur social et médico-social.

Les bonnes questions à se poser

Jusqu'à quand ai-je vraiment besoin des données pour atteindre l'objectif fixé ?

Ai-je des obligations légales de conserver les données pendant un certain temps ?

Dois-je conserver certaines données en vue de me protéger contre un éventuel contentieux ? Lesquelles ?

Jusqu'à quand puis-je faire valoir ce recours en justice ?

Quelles informations doivent être archivées ? Pendant combien de temps ?

Quelles sont les règles de suppression des données.

Quelles sont les règles d'archivage des données ?

# data[].attributes.attachment_link.description
Les données personnelles ne peuvent être conservées indéfiniment : une durée de conservation doit être déterminée par le responsable de traitement en fonction de l'objectif ayant conduit à la collecte de ces données. Ce principe de conservation limitée des données personnelles est prévu par le RGPD et la loi Informatique et Libertés.

# data[].attributes.headline
Guide : La sécurité des données personnelles

# data[].attributes.subject
Guide : La sécurité des données personnelles

# data[].attributes.body
La gestion des risques permet de déterminer les précautions à prendre « au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données » (article 34 de la loi du 6 janvier 1978 modifiée, dite loi Informatique et Libertés). Le règlement européen 2016/679 du 27 avril 2016 (dit « règlement général sur la protection des données » ou RGPD) précise que la protection des données personnelles nécessite de prendre des « mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque » (article 32). Une telle approche permet en effet une prise de décision objective et la détermination de mesures strictement nécessaires et adaptées au contexte. Il est cependant parfois difficile, lorsque l’on n’est pas familier de ces méthodes, de mettre en œuvre une telle démarche et de s’assurer que le minimum a bien été mis en œuvre. Pour vous aider dans votre mise en conformité, ce guide rappelle ces précautions élémentaires qui devraient être mises en œuvre de façon systématique.

# data[].attributes.body
Durée de conservation des éléments de preuve du service fait (Émargement, certificat de réalisation, programme, convention de formation) > 3 ans
Cette durée est prolongée à 10 ans pour le FNE

Les organismes de formation doivent être en mesure de présenter l’ensemble des documents et pièces
justificatives de leur activité de formation professionnelle.
Articles L. 6362-5 et L. 6362-6 du Code du Travail.
Et notamment :
• les livres comptables et pièces annexes ;
• les contrats de travail et les doubles des bulletins de paie des formateurs ;
• la comptabilité distincte de l’activité de formation en cas d’activités multiples ;
• le rapport du commissaire aux comptes le cas échéant ;
• le règlement intérieur applicable aux stagiaires ;
• les conventions et contrats de formation professionnelle ;
• les contrats de sous-traitance ;
• les éléments de suivi administratif des conventions et contrats, et ce, pour chaque action de formation:
tout élément probant (programmes, fiches d’émargement des stagiaires, attestations, factures, bons de
commande etc).

# data[].attributes.headline
FICHE : PROTÉGEZ LES DONNÉES DE VOS COLLABORATEURS

# data[].attributes.subject
FICHE : PROTÉGEZ LES DONNÉES DE VOS COLLABORATEURS

# data[].attributes.headline
Règlement européen sur la protection des données personnelles se préparer en 6 étapes

# data[].attributes.subject
Règlement européen sur la protection des données personnelles se préparer en 6 étapes

# data[].attributes.headline
RGPD & Paie des salariés : Quelles obligations à la charge des services RH ?

# data[].attributes.subject
RGPD & Paie des salariés : Quelles obligations à la charge des services RH ?

# data[].attributes.attachment_link.readable_text
En matière de RGPD, il est parfois difficile de s'y retrouver. En effet, naturellement, nous avons tendance à nous dire qu'il est préférable de collecter trop d'informations que pas assez ! Et pourtant, comme dans l'ensemble des domaines RH, la paie répond à des règles strictes en ce qui concerne le RGPD. Mais quelles sont-elles ? Nous vous disons tout !

Dans notre série d'articles relatifs aux obligations des services des Ressources humaines en matière de traitement des données personnelles, nous avons abordé plusieurs points ; mettant en exergue les obligations RH sur le sujet.

En effet, nous avons évoqué la question des données des candidats postulant à une offre d'emploi ainsi que les traitements des données des nouveaux employés. Mais les obligations des RH quant au respect de la législation applicable sur les données personnelles vont plus loin encore !

Dans ce nouvel article, nous continuerons cet apprentissage en nous penchant sur la question du lien entre paie et données personnelles.
Bien que sur les bulletins de paie ne figure aucune mention relative au RGPD, ce dernier n'a-t-il pour autant aucun impact sur le système de paie dans une entreprise ?
Nous tâcherons d'y répondre dans cet article !

À titre préliminaire : la nécessité du traitement des données personnelles au moment de la paie

Pour un service de ressource humaine, la gestion de la paie consiste en plusieurs actions :

Calculer le montant de la paie due à un salarié.

Émettre une fiche de paie.

S'assurer du versement de la paie par l'organisme bancaire de la société au salarié.

Effectuer les déclarations afférentes aux organismes sociaux.

La première action ne nécessite, a priori, aucun traitement de données personnelles, simplement de savoir manier des chiffres. Nous pouvons donc l'écarter.

En revanche, les actions suivantes nécessitent la collecte, l'utilisation et le traitement de certaines données personnelles. Pouvez-vous pour autant collecter n'importe quelles données ? La réponse est non.

En effet, rappelons-le, en matière de traitement des données personnelles, chaque traitement doit être justifié par deux éléments :

Une finalité : Pourquoi ai-je besoin de cette donnée ? À quoi va-t-elle me servir ?

Une base légale : Parmi les bases légales énumérées par la RGPD, laquelle m'autorise à traiter ces données ?

La réponse à ces questions doit être inscrite dans votre registre de traitement. Et en matière de paie, les finalités sont les suivantes :

Établir les rémunérations et les bulletins de paie.

Mettre les bulletins de paie à disposition des employés.

Faire les déclarations sociales relatives.

Et les bases légales sont :

L'exécution d'un contrat, puisqu'un contrat de travail lie votre entreprise à votre salarié.

La réponse à une obligation légale, puisque vous êtes tenu, par la loi, d'effectuer les déclarations nécessaires auprès des organismes sociaux.

Vous ne pouvez donc collecter des données qui vous permettront de répondre à ces finalités et dans le respect de ces bases légales. Quelles données pouvez-vous donc collecter au moment de la paie ?

Quelles données puis-je traiter ?

Au moment de l'établissement du bulletin de paie, vous allez forcément collecter certaines données personnelles, que vous pouvez classer en plusieurs catégories.

Les données relatives à l'identité du salarié

Il s'agit de son nom, prénom, adresse, date de naissance, son poste, son numéro de sécurité sociale ( dans les conditions fixées par le décret n° 91-1404 du 27 décembre 1991 ou par l'article L. 444-5 du Code du travail).

À lire également :

Les données relatives à la rémunération du salarié

Il s'agit de ses primes, de ses congés payés, de son taux d'imposition relatif au prélèvement à la source, de ses absences ou arrêts maladie, de ses avantages, de ses frais professionnels, etc.

Que dois-je faire pour veiller au respect du RGPD ?

Nous l'avons dit en amont, lors de l'établissement du bulletin de paie, le RGPD n'impose ( pour le moment !) aucune mention ou indication spécifique. Vous pouvez donc utiliser les bulletins de paie sous la forme que vous avez toujours utilisée jusqu'ici ( cela ne vous dédouane pas de veiller à ce que le bulletin de paie respecte bien d'autres obligations de conformité, en dehors du RGPD !).

Vos obligations en matière de données personnelles viendront ailleurs, de façon indirecte.

La protection du bulletin de paie

Le bulletin de paie comporte nombre de données personnelles de vos salariés. À ce titre, vous devez donc veiller, comme pour n'importe quel autre support contenant des données personnelles, à sa protection, en prenant les mesures applicables. En effet, les sanctions liés aux manquements de l'employeur en cas de non respect du RGPD peuvent avoir de lourdes répercussions sur les entreprises.

Pour exemple, pensez à prévoir des habilitations pour les accès informatiques aux dossiers numérisés comprenant les bulletins de paie de vos employés, pour garder une traçabilité des passages sur lesdits dossiers.

À lire également :

La durée de conservation du bulletin de paie

Un bulletin de paie ne peut pas être conservé indéfiniment. Il obéit à la même logique de respect des durées de conservation des données personnelles. Un bulletin de paie ne doit être conservé que cinq ans après le départ du salarié de l'entreprise !

L'accès aux bulletins de paie

Ce ne sont pas tous les employés d'une société ou tous tiers qui peuvent avoir accès aux données des salariés et encore moins à leur bulletin de paie. Il s'agit d'une information confidentielle, pouvant toucher au respect de la vie privée du salarié.

Veillez donc bien à encadrer et limiter l'accessibilité aux bulletins de paie qu'aux seuls membres habilités de votre entreprise ; donc exclusivement les services des ressources humaines, ainsi que, le cas échéant, tout organisme social auprès de qui vous effectuez les déclarations relatives à la rémunération de vos employés.

Notez le

Rated 4.5 / 5 based on 267 reviews

# data[].attributes.attachment_link.title
RGPD & Paie, quelles sont les obligations de l'employeur ?

# data[].attributes.attachment_link.description
En matière de RGPD, il est parfois difficile de s'y retrouver. En effet, naturellement, nous avons tendance à nous dire qu'il est préférable de collecter trop d'informations que pas assez ! Et pourtant, comme dans l'ensemble des domaines RH, la paie répond à des règles strictes en ce qui concerne le RGPD.

# data[].attributes.headline
GUIDE DE SENSIBILISATION AU RGPD POUR LES PETITES ET MOYENNES ENTREPRISES

# data[].attributes.subject
GUIDE DE SENSIBILISATION AU RGPD POUR LES PETITES ET MOYENNES ENTREPRISES

# data[].attributes.attachment_link.description
Depuis son entrée en application en 2018, le RGPD est un sujet qui revient souvent dans les différents formations que j’ai l’occasion de faire, au titre de l’Établi Numérique ou pas.

# data[].attributes.headline
Le guide du délégué à la protection des données

# data[].attributes.subject
Le guide du délégué à la protection des données

# data[].attributes.body
Le guide du DPO regroupe les principales connaissances utiles et bonnes pratiques pour aider les organismes publics ou privés dans leur réflexion sur la désignation et accompagner les DPO déjà en poste.

# data[].attributes.headline
Guide de sensibilisation au RGPD pour les associations

# data[].attributes.subject
Guide de sensibilisation au RGPD pour les associations

# data[].attributes.body
Le guide de sensibilisation au RGPD pour les associations comprend quatre chapitres clés :

1. une présentation des principales notions à connaître ;

2. une présentation des grands principes à respecter ;

3. un plan d’action présentant les grandes étapes de la mise en conformité ;

4. une foire aux questions.

Chaque chapitre est illustré par des exemples pratiques, qui permettent de faciliter la compréhension des grands principes Informatique et Libertés par les structures associatives des différents secteurs (sport, social et médico-social, politique, etc.).

# data[].attributes.headline
Le droit d’accès des salariés à leurs données et aux courriels professionnels

# data[].attributes.subject
Le droit d’accès des salariés à leurs données et aux courriels professionnels

# data[].attributes.body
Toute personne peut demander à un organisme la communication des données qu’il détient sur elle et en obtenir une copie. Un salarié peut ainsi demander à son employeur l’accès et la communication des données personnelles qu’il a en sa possession.

# data[].attributes.attachment_link.readable_text
1. Accueil

2. Le droit d'accès des salariés à leurs données et aux courriels professionnels

Toute personne peut demander à un organisme la communication des données qu'il détient sur elle et en obtenir une copie. Un salarié peut ainsi demander à son employeur l'accès et la communication des données personnelles qu'il a en sa possession.

À quoi sert le droit d'accès ?

L'exercice du droit d'accès permet à une personne de savoir si des données qui la concernent sont traitées puis d'en obtenir, si elle le souhaite, la communication dans un format compréhensible. Cette démarche permet notamment de contrôler l'exactitude des données et, au besoin, de les faire rectifier ou effacer.

L'organisme auprès duquel une personne souhaite exercer son droit d'accès doit également être en mesure de lui fournir divers renseignements, par exemple les objectifs poursuivis par l'utilisation des données, les catégories de données traitées, les autres organismes ayant obtenu la communication des données, etc.

Rappel : Les principes relatifs à la protection des données s'appliquent à toutes les données personnelles collectées par un organisme, même dans un contexte professionnel : un salarié peut donc exercer son droit d'accès auprès de son employeur.

Les règles du droit d'accès

L'organisme doit s'assurer de l'identité du demandeur

Si l'organisme a des doutes raisonnables sur l'identité de la personne souhaitant exercer son droit, il peut demander certaines informations pour prouver son identité. Il ne peut pas, en revanche, demander des pièces justificatives qui seraient abusives, non pertinentes et disproportionnées par rapport à la demande.
Exemples :

si un salarié demande à son employeur l'accès et la communication des données personnelles qu'il détient sur lui via sa messagerie électronique professionnelle ou l'intranet de l'entreprise, la présentation d'une carte nationale d'identité ou d'un passeport n'est à priori pas nécessaire pour s'assurer de l'identité du demandeur.

De la même manière, un ancien salarié souhaitant exercer son droit d'accès pourra, en principe, prouver son identité en fournissant son ancien identifiant professionnel.

L'organisme doit répondre gratuitement à la demande

Les personnes concernées doivent pouvoir exercer le droit d'accès gratuitement. Toutefois, dans certaines situations exceptionnelles, notamment en cas de demande d'une copie supplémentaire, des frais raisonnables liés au traitement du dossier pourront être demandés.

Le droit d'accès porte sur des données personnelles et non sur des documents

Le droit d'accès porte uniquement sur les données personnelles et non pas sur des documents. Cependant, l'organisme ne doit pas faire preuve de formalisme dans l'expression de la demande. Ainsi :

lorsqu'un régime spécifique d'accès aux documents s'applique (par exemple pour les administrations publiques), la personne doit spécifier s'il demande un accès à des documents ou à des données personnelles ;

dans les autres cas, l'organisme doit donner un effet utile à la demande : si celle-ci fait référence à des documents concernant le demandeur, il doit l'interpréter comme une volonté d'exercer un droit d'accès aux données personnelles. Un rejet de la demande au seul motif que le demandeur utilise le mot " document " peut s'avérer fautif.

Si " document " et " donnée personnelle " sont deux notions différentes, il n'est pas interdit à l'organisme de communiquer les documents contenant les données plutôt que les seules données, si rien n'y fait obstacle et si c'est plus pratique.

Exemple : lorsqu'une personne concernée souhaite exercer son droit d'accès à des courriels, l'employeur doit fournir tant les métadonnées (horodatage, destinataires...) que le contenu des courriels. Dans cette situation, la communication d'une copie des courriels apparaît comme la solution la plus aisée pour que l'organisme puisse satisfaire la demande mais n'est pas obligatoire.

L'exercice du droit d'accès ne doit pas porter atteinte aux droits des tiers

Facteur de transparence, le droit d'accès est un droit important donné par le RGPD à l'ensemble des individus. Cependant, l'exercice de ce droit ne peut pas se faire au détriment des autres personnes dont les données sont traitées.

Ainsi, l'organisme doit permettre un accès aux seules données dont la communication ne porte pas une atteinte disproportionnée aux droits d'autrui, sans toutefois refuser de satisfaire à la demande de manière générale.

Les droits des tiers (secret des affaires et à la propriété intellectuelle, droit à la vie privée, secret des correspondances, etc.) peuvent donc venir restreindre l'éventail des données accessibles ou communicables.

Exemple : en matière de droit d'accès à des données contenues dans des courriels professionnels, le respect du droit à la vie privée, le secret des affaires et le secret des correspondances sont régulièrement invoqués par les employeurs pour refuser de répondre favorablement à des salariés.

Comment répondre à un salarié qui souhaite accéder ou obtenir la copie de courriels professionnels ?

Lorsqu'il répond à une demande de droit d'accès d'un salarié à des courriels professionnels, l'employeur doit apprécier l'atteinte au droit des tiers que représenterait cette communication : il va ainsi devoir faire un tri entre les messages communicables et ceux qui ne le sont pas.

Pour cela, l'employeur doit distinguer deux situations, selon que le salarié demandeur est :

l'expéditeur ou le destinataire des courriels ;

ou seulement mentionné dans le contenu des courriels.

Lorsque le salarié a déjà eu, ou est supposé avoir eu connaissance des informations contenues dans les messages visés par la demande, la communication des courriels est présumée respectueuse des droits des tiers.

Dans ce contexte, l'anonymisation ou la pseudonymisation des données relatives aux tiers constitue une bonne pratique, et non une condition préalable à la transmission des courriels.

Toutefois, dans des cas exceptionnels, l'accès ou la communication de courriels pourtant connus du demandeur peut représenter un risque pour les droits des tiers, par exemple du fait de la nature des données susceptibles d'être communiquées. Il appartient alors à l'employeur de :

dans un premier temps, essayer de supprimer, anonymiser ou pseudonymiser les données concernant des tiers ou portant atteinte à un secret pour pouvoir faire droit à la demande ;

puis, seulement si ces mesures s'avèrent insuffisantes, refuser de faire droit à la demande d'accès, en motivant et justifiant sa décision auprès de la personne concernée.

Exemple : un employeur pourra refuser de faire droit à une demande de communication de courriels contenant des informations qui porteraient atteinte à la sécurité nationale ou à un secret industriel. Ces arguments ne pourront pas être invoqués par l'employeur sans justification étayée auprès du demandeur.

Lorsqu'un salarié souhaite obtenir la communication de données contenues dans des courriels dans lesquels il est mentionné, l'employeur doit trouver un équilibre entre la satisfaction du droit d'accès du salarié et le respect des droits et libertés des autres salariés, notamment le secret des correspondances.

Pour cela, l'employeur peut procéder en deux temps :

Il s'assure d'abord que les moyens à mettre en œuvre pour identifier les courriels demandés n'entraînent pas d'atteinte disproportionnée aux droits de l'ensemble des salariés de l'organisme.

Lorsque l'identification des courriels visés par la demande suppose la mise en œuvre de moyens particulièrement intrusifs tels que le scan de l'ensemble des messageries des salariés de l'organisme, le demandeur doit être invité à préciser sa demande. Si ce dernier s'y oppose, l'employeur peut invoquer dans une telle situation, le respect les droits des tiers pour refuser de lui répondre favorablement.

En revanche, si les indications fournies par le demandeur permettent d'identifier les courriels demandés sans emporter d'atteinte disproportionnée au secret de la correspondance des salariés, le responsable de traitement doit procéder à la deuxième étape du raisonnement.

Il étudie ensuite le contenu des courriels demandés et apprécie la portée de l'atteinte aux droits des tiers que représenterait leur communication, notamment au regard du secret de la correspondance et de la vie privée de l'émetteur et des destinataires. Cette étape suppose une analyse au cas par cas, l'issue dépendant de la nature des informations contenues dans les courriels.

Exemple : un employeur pourra refuser de donner suite à une demande de communication de courriels portant sur une enquête disciplinaire et dont le contenu, même caviardé, pourrait permettre au demandeur l'identification de personnes dont il ne devrait pas avoir connaissance.

Rappel : Le droit d'accès ne doit pas être confondu avec les autres règles de communication de documents ou de pièces dans le cadre d'une procédure judiciaire ou d'une demande de document administratif (CADA).

L'exercice du droit d'accès n'est pas conditionné. Cela signifie qu'une personne n'a pas à motiver sa demande et qu'elle peut exercer son droit d'accès en parallèle d'une procédure contentieuse (devant le conseil de prud'hommes par exemple) ou administrative en cours, sous réserve de ne pas porter atteinte au droit des tiers. Le refus de communication sur ce fondement ne serait pas valable.

Ainsi, même si l'employeur refuse de faire suite à la demande de droit d'accès d'un salarié, celui-ci pourra toujours obtenir d'un juge la production des courriels litigieux dans le cadre d'un contentieux, sous réserve que cette production soit nécessaire et que l'atteinte soit proportionnée au but poursuivi.

Le cas particulier des courriels personnels

Les courriels identifiés comme étant personnels ou dont le contenu s'avère être privé malgré l'absence de la mention du caractère personnel, font l'objet d'une protection particulière, l'employeur n'étant pas autorisé à y accéder.

Pour ces courriels, l'employeur ne pourra pas prendre connaissance du contenu même en vue d'occulter des informations et devra fournir au demandeur le courriel en l'état, à condition que ce dernier soit l'expéditeur ou le destinataire .

Ceci peut également vous intéresser ...

# data[].attributes.attachment_link.title
Le droit d'accès des salariés à leurs données et aux courriels professionnels

# data[].attributes.attachment_link.description
À quoi sert le droit d'accès ? L'exercice du droit d'accès permet à une personne de savoir si des données qui la concernent sont traitées puis d'en obtenir, si elle le souhaite, la communication dans un format compréhensible.

# data[].attributes.headline
Modèle de registre de traitement des données personnelles CNIL

# data[].attributes.subject
Modèle de registre de traitement des données personnelles CNIL

# data[].attributes.body
Pour faciliter la tenue du registre, la CNIL propose un modèle de registre de base destiné à répondre aux besoins les plus courants en matière de traitements de données, en particulier des petites structures. Ce document vise à recenser les traitements de données personnelles mis en œuvre dans votre organisme en tant que responsable de traitement. Centralisé et régulièrement mis à jour, il vous permet de répondre à l’obligation de tenir un registre prévue par le RGPD.

# data[].attributes.headline
Guide pratique : Les durées de conservation

# data[].attributes.subject
Guide pratique : Les durées de conservation

# data[].attributes.body
Elaboré en partenariat avec le Service interministériel des archives de France (SIAF), ce guide pratique apporte une aide aux professionnels dans la définition pertinente des durées de conservation de leurs traitements de données personnelles ; il permet ainsi de les accompagner dans la déclinaison opérationnelle d’un des grands principes de la protection des données personnelles et de contribuer à la conformité de leur structure.

# data[].attributes.body
Applicable à partir du 25 mai 2018 à l’ensemble de l’Union européenne, le règlement européen sur la protection des données (RGPD) renforce les droits des résidents européens sur leurs données et responsabilise l’ensemble des acteurs traitant ces données (responsables de traitement et sous-traitants) qu’ils soient ou non établis au sein de l’Union européenne. Le règlement impose des obligations spécifiques aux sous-traitants dont la responsabilité est susceptible d’être engagée en cas de manquement. Ce guide a pour objectif de vous accompagner, en tant que sous-traitant, dans la mise en œuvre de ces nouvelles obligations. Il pourra être enrichi de toutes les bonnes pratiques remontées par les professionnels.

# data[].attributes.headline
L'analyse d’impact relative à la protection des données (AIPD)

# data[].attributes.subject
L'analyse d’impact relative à la protection des données (AIPD)

# data[].attributes.body
L’AIPD est un outil qui permet de construire un traitement conforme au RGPD et respectueux de la vie privée. Elle concerne les traitements de données personnelles qui sont susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes concernées.

# data[].attributes.attachment_link.readable_text
L'AIPD est un outil qui permet de construire un traitement conforme au RGPD et respectueux de la vie privée. Elle concerne les traitements de données personnelles qui sont susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes concernées.

Les mots clés associés à cette thématique

# data[].attributes.attachment_link.title
L'analyse d'impact relative à la protection des données (AIPD)

# data[].attributes.attachment_link.description
L'AIPD est un outil qui permet de construire un traitement conforme au RGPD et respectueux de la vie privée. Elle concerne les traitements de données personnelles qui sont susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes concernées.

# data[].attributes.headline
VIDÉOSURVEILLANCE - VIDÉOPROTECTION : LES COMMERCES

# data[].attributes.subject
VIDÉOSURVEILLANCE - VIDÉOPROTECTION : LES COMMERCES

# data[].attributes.attachment_link.readable_text
> La vidéosurveillance dans les commerces

Les commerçants ont recours à des caméras pour lutter contre les vols de marchandises par les clients ou les employés.

Ces dispositifs sont soumis à différentes règles selon la zone surveillée. Quelles sont ces règles ? Quelles précautions prendre ? Quels sont les droits des personnes filmées ?

Des caméras peuvent être installées dans les grandes surfaces, les bijouteries, les boulangeries, les salons de coiffure, les pharmacies, etc. Elles sont installées à des fins de sécurité des biens et des personnes, à titre dissuasif, ou pour identifier les auteurs de vols ou d'agressions.

Quelles précautions prendre lors de l'installation du dispositif ?

Si des caméras peuvent filmer les zones de circulation et les zones marchandes à des fins de sécurité, elles ne doivent pas porter atteinte à la vie privée des clients. Il est interdit d'installer des caméras à l'intérieur des cabines d'essayage ou dans les toilettes.

Le système ne doit pas être utilisé pour s'assurer que le personnel fait correctement son travail. Il peut toutefois être utilisé pour démasquer un employé qui volerait dans la caisse. Lorsqu'un employé manipule de l'argent, la caméra doit cependant davantage filmer la caisse que le caissier.

Qui peut consulter les images ?

Les images enregistrées ne doivent pas être librement accessibles à l'ensemble des employés ou des clients. Seuls les responsables de la sécurité, les agents de sécurité ou la direction du magasin doivent pouvoir les visualiser. Il est cependant possible d'installer des caméras filmant la zone marchande avec un écran de visualisation des images en direct disposé à l'entrée du commerce et visible de tous les clients.

Pendant combien de temps conserver les images ?

Le responsable du dispositif doit définir la durée de conservation des images issues des caméras. Cette durée doit être en lien avec l'objectif poursuivi par les caméras.

En principe, cette durée n'excède pas un mois. En règle générale, conserver les images quelques jours suffit à effectuer les vérifications nécessaires en cas d'incident et permet d'enclencher d'éventuelles procédures pénales. Si de telles procédures sont engagées, les images sont alors extraites du dispositif (après consignation de cette opération dans un cahier spécifique) et conservées pour la durée de la procédure.

La durée maximale de conservation des images ne doit pas être fixée en fonction de la seule capacité technique de stockage de l'enregistreur.

Quelle information ?

Les clients doivent être informés, au moyen de panneaux affichés en permanence, de façon visible, dans les lieux concernés, et comportant a minima, outre le pictogramme d'une caméra indiquant que le lieu est placé sous vidéoprotection :

les finalités du traitement installé ;

la durée de conservation des images ;

le nom ou la qualité et le numéro de téléphone du responsable/du délégué à la protection des données (DPO) ;

l'existence de droits " Informatique et Libertés " ;

le droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), en précisant ses coordonnées.

Afin que les panneaux affichés restent lisibles, l'intégralité des informations qui doit être portée à la connaissance du public peut l'être par d'autres moyens, notamment par le biais d'un site internet. Ces autres informations sont, notamment :

la base légale du traitement ;

les destinataires des données personnelles, y compris ceux établis en dehors de l'UE ;

enfin, s'il y en a, les informations complémentaires qui doivent être portées à l'attention de la personne (prise de décision automatisée, profilage, etc.).

Ces informations sont prévues par l' article 13 du RGPD et l' article 104 de la loi " Informatique et Libertés ".

Quelles formalités ?

Les formalités à accomplir peuvent varier en fonction des lieux qui sont filmés.

Lieux non ouverts au public

Si les caméras filment des lieux non ouverts au public (lieux de stockage, réserves, zones dédiées au personnel comme le fournil d'une boulangerie) aucune formalité auprès de la CNIL n'est nécessaire.

Si l'organisme qui a mis en place des caméras a désigné un Délégué à la protection des données (DPO), ce dernier doit être associé à la mise en oeuvre des caméras.

Le commerçant doit inscrire ce dispositif de vidéosurveillance dans le registre des traitements de données qu'il doit tenir.

Si les caméras filment des lieux ouverts au public (espaces d'entrée et de sortie du public, zones marchandes, comptoirs, caisses), le dispositif doit être autorisé par le préfet du département (le préfet de police à Paris).

Le formulaire peut être retiré auprès des services de la préfecture du département ou téléchargé sur le site internet du ministère de l'Intérieur. Il peut également être rempli en ligne.

En outre, dès lors que la mise en œuvre d'un dispositif de vidéoprotection est susceptible de conduire à la " la surveillance systématique à grande échelle d'une zone accessible au public " (cf. art. 35-1 du RGPD), il est recommandé de s'interroger sur la nécessité d'effectuer une AIPD, qui permettra d'évaluer la proportionnalité du dispositif envisagé, au regard des finalités poursuivies.

Auprès des instances représentatives du personnel

Les instances représentatives du personnel doivent être informées et consultées avant toute décision d'installer des caméras sur un lieu de travail.

Quels recours ?

Si un dispositif de vidéosurveillance ne respecte pas ces règles, vous pouvez saisir :

le service des plaintes de la Commission nationale de l'informatique et des libertés. La CNIL peut contrôler tous les dispositifs installés sur le territoire national, qu'ils filment des lieux fermés ou ouverts au public ;

les services de la préfecture, si les caméras filment les abords de l'établissement ;

les services de police ou de gendarmerie ;

le procureur de la République ;

les services de l'inspection du travail.

Les mots clés associés à cet article

Ceci peut également vous intéresser ...

# data[].attributes.attachment_link.description
Des caméras peuvent être installées dans les grandes surfaces, les bijouteries, les boulangeries, les salons de coiffure, les pharmacies, etc. Elles sont installées à des fins de sécurité des biens et des personnes, à titre dissuasif, ou pour identifier les auteurs de vols ou d'agressions.

# data[].attributes.headline
Exemple - REGISTRE DES ACTIVITÉS DE TRAITEMENTDE LA CNIL

# data[].attributes.subject
Exemple - REGISTRE DES ACTIVITÉS DE TRAITEMENTDE LA CNIL

# data[].attributes.headline
Respecter la vie privée : par où commencer ? - La check-list pour les TPE/PME

# data[].attributes.subject
Respecter la vie privée : par où commencer ? - La check-list pour les TPE/PME

# data[].attributes.headline
Outil PIA : téléchargez et installez le logiciel de la CNIL

# data[].attributes.subject
Outil PIA : téléchargez et installez le logiciel de la CNIL

# data[].attributes.body
Le logiciel open source PIA facilite la conduite et la formalisation d’analyses d’impact relatives à la protection des données (AIPD) telles que prévues par le RGPD.

# data[].attributes.attachment_link.readable_text
Le logiciel PIA s'inscrit dans une démarche d'accompagnement des responsables de traitement dans la mise en œuvre des obligations du RGPD. Disponible en 20 langues, il facilite et accompagne la conduite d'une analyse d'impact relative à la protection des données (AIPD), qui est obligatoire pour certains traitements. Cet outil vise aussi à faciliter l'appropriation des guides AIPD de la CNIL.

À qui s'adresse l'outil PIA ?

L'outil s'adresse principalement aux responsables de traitement n'étant pas ou peu familiers avec la démarche d'analyse d'impact relative à la protection des données (AIPD). Il s'agit d'une version " prête à l'emploi ", se lançant facilement sur un poste de travail.

Il est aussi possible de déployer l'outil sur des serveurs afin de l'intégrer dans les outils déjà déployés en interne dans une entreprise.

Qu'est-ce que l'outil PIA ?

L'outil PIA s'articule autour de trois axes afin de vous aider à suivre la méthode AIPD développée par la CNIL :

Cette FAQ recouvre les questions fréquemment posées. Nous vous invitons à également lire l'aide disponible dans le logiciel dans le cas où vous rencontrez un problème lors de son utilisation.

Installation et mise à jour du logiciel
Sur quel serveur puis-je installer la version serveur de l'outil ?
L'outil PIA peut être déployé sur n'importe quel type de serveur. Les configurations requises optimales sont les suivantes :

CPU : i5 ;

RAM : 4 Go ;

Espace disque : 20 Go ;

Système d'exploitation : de préférence Linux mais la version peut être déployée sur d'autres systèmes d'exploitation.

Pour la procédure d'installation, nous vous invitons à lire la page GitHub pia-back. Un runbook d'installation spécifique au serveur Ubuntu 17.10 est également disponible.
Je rencontre des problèmes lors de l'installation de la version serveur
Veuillez d'abord consulter les pages d'aide GitHub pour la version et . Si vous ne trouvez pas de réponse au problème spécifique que vous rencontrez, vous pouvez le signaler dans la section issue des pages susmentionnées.
Comment paramétrer le serveur distant dans l'outil ?
Pour paramétrer l'adresse url du server dans l'outil, cliquez sur le lien " Configuration URL serveur " accessible dans le menu déroulant " Paramètres " visible de la barre de menu bleue de l'outil. Entrez, dans le champ qui apparaît, l'URL du serveur que vous souhaitez utiliser.
Comment mettre à jour l'outil PIA ?
La mise à jour de l'outil diffère en fonction de la version utilisée (web ou locale).

Si vous utilisez la version web, la mise à jour doit être faite manuellement.

Si vous utilisez la version locale, l'outil vérifie automatiquement si une nouvelle version est disponible sur GitHub. Vous pouvez accepter ou refuser la mise à jour proposée par l'outil. Il est par ailleurs toujours possible de faire une mise à jour manuelle.

Quelle est la fréquence des mises à jour de l'outil ?
Une nouvelle version de l'outil PIA apparaît tous les 4 à 6 mois.

Utilisation du logiciel
Un logiciel tiers bloque la version portable de l'outil PIA
Veuillez contacter votre service informatique ou-vous référer à la documentation et l'aide du logiciel tiers que vous utilisez pour autoriser l'exécution de l'outil PIA.
Je n'arrive pas à demander l'évaluation d'une partie
Pour demander l'évaluation d'une partie, tous ses champs doivent être remplis. Veuillez vérifier que cela est le cas. Lors de l'édition d'un risque, il est obligatoire d'indiquer au moins une mesure technique ou organisationnelle traitant les risques.
Je ne peux pas accéder à la page d'avis du DPO
La page d'avis du DPO est accessible une fois que l'ensemble des parties de l'AIPD ont été évaluées et que la demande de validation a été faite pour chacune d'entre elles.
Je souhaite revenir en arrière après une demande d'évaluation ou de validation
Plusieurs possibilités s'offrent à vous pour annuler une demande d'évaluation ou de validation. Un encart, en haut de page présente un lien d'annulation de la demande lorsque celle-ci vient d'être faite. Si la partie est déjà en cours d'évaluation, utiliser l'évaluation " à corriger " qui renverra la partie en édition une fois l'évaluation terminée.
Où sont stockées les données de la version portable de l'outil ?
Les données sont stockées dans les dossiers suivants en fonction de votre système d'exploitation :

Windows : "C:\Users\Username\AppData\Roaming\PIA"

MacOS : "/Users/username/Library/Application Support/PIA"

Linux : "~/.config/$YOUR_APP_NAME"

Contribution à l'outil
Je souhaite traduire l'outil dans une autre langue
Si vous souhaitez traduire l'outil dans une autre langue, veuillez suivre le tutoriel de traduction du logiciel. Le logiciel est actuellement disponible en 20 langues : français, anglais, tchèque, allemand, néerlandais, danois, grec, espagnol, estonien, finlandais, hongrois, croate, italien, lituanien, norvégien, polonais, portugais, roumain, slovène, suédois.

Si vous rencontrez d'autres problèmes ou si vous avez des suggestions d'amélioration, vous pouvez nous les faire remonter via ce formulaire ou bien les proposer directement sur GitHub.

Bugs connus
Je rencontre des problèmes d'export au format PDF du rapport de l'analyse
En fonction de la version de l'outil que vous utilisez (portable ou web), la génération du PDF est faite au travers de votre navigateur ou de votre système d'exploitation. Les résultats de ces exports peuvent grandement varier d'un environnement à un autre. Si vous rencontrez des problèmes d'export du format PDF, nous vous conseillons de faire un export au format texte, également disponible au niveau de la page d'affichage du rapport.
Je rencontre des problèmes d'import d'analyse au format JSON
Des problèmes d'import d'analyse ont été identifiés dans la version 2.2.0 de l'outil. Ceux-ci sont liés à un problème d'encodage des caractères accentués lors de l'export de l'analyse dans ces versions. Ce bug a été corrigé dans la version 2.2.1 de l'outil. Nous vous conseillons de mettre à jour l'outil vers cette version ou une version ultérieure, après sauvegarde de la base de données.

Si vous rencontrez d'autres problèmes ou si vous avez des suggestions d'amélioration, vous pouvez nous les faire remonter via ce formulaire ou bien les proposer directement sur les dépôts GitHub correpondants.

# data[].attributes.attachment_link.title
Outil PIA : téléchargez et installez le logiciel de la CNIL

# data[].attributes.attachment_link.description
Le logiciel PIA s'inscrit dans une démarche d'accompagnement des responsables de traitement dans la mise en œuvre des obligations du RGPD. Disponible en 20 langues, il facilite et accompagne la conduite d'une analyse d'impact relative à la protection des données (AIPD), qui est obligatoire pour certains traitements.

# data[].attributes.body
Le registre des activités de traitement permet de recenser vos traitements de données et de disposer d’une vue d’ensemble de ce que vous faites avec les données personnelles.

# data[].attributes.attachment_link.readable_text
1. Accueil

2. Le registre des activités de traitement

Le registre des activités de traitement permet de recenser vos traitements de données et de disposer d'une vue d'ensemble de ce que vous faites avec les données personnelles.

Le registre est prévu par l'article 30 du RGPD. Il participe à la documentation de la conformité.

Document de recensement et d'analyse, il doit refléter la réalité de vos traitements de données personnelles et vous permet d'identifier précisément :

les parties prenantes (représentant, sous-traitants, co-responsables, etc.) qui interviennent dans le traitement des données,

les catégories de données traitées,

à quoi servent ces données (ce que vous en faites), qui accède aux données et à qui elles sont communiquées,

combien de temps vous les conservez,

comment elles sont sécurisées.

Au-delà de la réponse à l'obligation prévue par l'article 30 du RGPD, le registre est un outil de pilotage et de démonstration de votre conformité au RGPD. Il vous permet de documenter vos traitements de données et de vous poser les bonnes questions : ai-je vraiment besoin de cette donnée dans le cadre de mon traitement ? Est-il pertinent de conserver toutes les données aussi longtemps ? Les données sont-elles suffisamment protégées ? Etc.

Sa création et sa mise à jour sont ainsi l'occasion d'identifier et de hiérarchiser les risques au regard du RGPD. Cette étape essentielle vous permettra d'en déduire un plan d'action de mise en conformité de vos traitements aux règles de protection des données.

La CNIL présente ici les éléments essentiels relatifs au registre et propose également un modèle de base répondant aux conditions posées par le RGPD.

Qui est concerné ?

L'obligation de tenir un registre des traitements concerne tous les organismes, publics comme privés et quelle que soit leur taille, dès lors qu'ils traitent des données personnelles.

Dispositions pour les organismes de moins de 250 salariés

Un registre spécifique pour les activités de sous-traitance des données personnelles

Que contient le registre ?

L'article 30 du RGPD prévoit des obligations spécifiques pour le registre du responsable de traitement de données personnelles et pour le registre du sous-traitant . Si votre organisme agit à la fois en tant que sous-traitant et responsable de traitement, votre registre doit donc clairement distinguer les deux catégories d'activités.
En pratique, dans cette hypothèse, la CNIL vous recommande de tenir 2 registres :

1. un pour les traitements de données personnelles dont vous êtes vous-même responsable,

2. un autre pour les traitements que vous opérez, en tant que sous-traitant, pour le compte de vos clients.

Le registre du responsable de traitement doit recenser l'ensemble des traitements mis en œuvre par votre organisme.

En pratique, une fiche de registre doit donc être établie pour chacune de ces activités.

Ce registre doit comporter le nom et les coordonnées de votre organisme ainsi que, le cas échéant, de votre représentant, si votre organisme n'est pas établi dans l'Union européenne, et de votre délégué à la protection des données si vous en disposez.

En outre, pour chaque activité de traitement, la fiche de registre doit comporter au moins les éléments suivants :

1. le cas échéant, le nom et les coordonnées du responsable conjoint du traitement mis en œuvre

2. les finalités du traitement, l'objectif en vue duquel vous avez collecté ces données

3. les catégories de personnes concernées (client, prospect, employé, etc.)

4. les catégories de données personnelles (exemples : identité, situation familiale, économique ou financière, données bancaires, données de connexion, donnés de localisation, etc.)

5. les catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, y compris les sous-traitants auxquels vous recourez

6. les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale et, dans certains cas très particuliers, les garanties prévues pour ces transferts ;

7. les délais prévus pour l'effacement des différentes catégories de données, c'est-à-dire la durée de conservation, ou à défaut les critères permettant de la déterminer

8. dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles que vous mettez en œuvre

Le registre du sous-traitant doit recenser toutes les catégories d'activités de traitement effectuées pour le compte de vos clients.

En pratique, une fiche de registre doit donc être établie pour chacune de ces catégories d'activités (hébergement de données, maintenance informatique, service d'envoi de messages de prospection commerciale, etc.).

Ce registre doit comporter le nom et les coordonnées de votre organisme ainsi que, le cas échéant, de votre représentant, si votre organisme n'est pas établi dans l'Union européenne, et de votre délégué à la protection des données si vous en disposez.

Pour chaque catégorie d'activité effectuée pour le compte de clients, il doit contenir les éléments minimaux suivants :

1. le nom et les coordonnées de chaque client, responsable de traitement , pour le compte duquel vous traitez les données et, le cas échéant, le nom et les coordonnées de leur représentant

2. le nom et les coordonnées des sous-traitants auxquels vous-même faites appel dans le cadre de cette activité

3. les catégories de traitements effectués pour le compte de chacun de vos clients, c'est-à-dire les opérations effectivement réalisées pour leur compte (par exemple : pour la catégorie " service d'envoi de messages de prospection ", il peut s'agir de la collecte des adresses mails, de l'envoi sécurisé des messages, de la gestion des désabonnements, etc.)

4. les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale. Dans les cas très particuliers mentionnés au 2ème alinéa de l'article 49.1 (absence de décision d'adéquation en vertu de l'article 45 du RGPD, absence des garanties appropriées prévues à l'article 46 du RGPD et inapplicabilité des exceptions prévues au 1er alinéa de l'article 49.1), les garanties prévues pour encadrer les transferts doivent être mentionnées.

5. dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles que vous mettez en œuvre.

Quelle forme doit prendre le registre ?

Le RGPD impose uniquement que le registre se présente sous une forme écrite. Le format du registre est libre et peut être constitué au format papier ou électronique.

Modèle de registre

Pour faciliter la tenue de ce registre, la CNIL propose un modèle de registre de base (format ODS) destiné à répondre aux besoins les plus courants en matière de traitements de données, en particulier des petites structures (TPE-PME, associations, petites collectivités, etc.).

Il permet de satisfaire au socle d'exigences posées par l'article 30 du RGPD.

La CNIL recommande, dans la mesure du possible, d'enrichir le registre de mentions complémentaires afin d'en faire un outil plus global de pilotage de la conformité.

Anciens modèles de registre

Ces modèles de registre ne sont plus mis à jour et sont présentés ici de manière indicative. Il est conseillé d'utiliser le registre au format ODS disponible plus haut.

Qui doit tenir le registre ?

Le registre doit être tenu par les responsables de traitement ou les sous-traitants eux-mêmes. Ils peuvent ainsi disposer d'une vue d'ensemble de toutes les activités de traitement de données à caractère personnel qu'ils effectuent.

Une personne au sein de l'organisme peut être spécifiquement chargée de la tenue du registre. Dans le cas où l'organisme a désigné un délégué à la protection des données (DPD), interne ou externe, celui-ci peut être chargé de la tenue du registre. Le registre pourra ainsi constituer l'un des outils permettant au délégué à la protection des données (DPO) d'exercer ses missions de contrôle du respect du RGPD ainsi que d'information et de conseil du responsable du traitement ou du sous-traitant .

Rassembler les informations disponibles

Identifier et rencontrer les responsables opérationnels des différents services susceptibles de traiter des données personnelles.

Si l'organisme dispose d'un site internet, l'analyser et identifier les données collectées dans les formulaires en ligne (questionnaire, formulaire de contact, création d'un compte, etc.), les mentions d'information " protection des données ", l'utilisation de cookies, etc.

Pour vous aider, s'appuyer sur la liste des traitements déclarés à la CNIL.

Elaborer la liste des traitements

Lister dans un tableau de suivi les différentes activités de l'organisme nécessitant le traitement de données personnelles . Les traitements de données doivent être identifiés par finalité et non par logiciel utilisé, car un même logiciel peut être utilisé pour différents traitements et inversement.

Sur la base des informations collectées lors des entretiens, remplir une fiche de registre par activité.

Affiner / préciser

Sur la base de ce registre, identifier et analyser les risques qui peuvent peser sur les traitements de données mis en œuvre et élaborer un plan d'action de mise en conformité au RGPD.

A quelle fréquence faut-il mettre à jour le registre ?

Le registre doit être mise à jour régulièrement au gré des évolutions fonctionnelles et techniques des traitements de données. En pratique, toute modification apportée aux conditions de mise en œuvre de chaque traitement inscrit au registre (nouvelle donnée collectée, allongement de la durée de conservation, nouveau destinataire du traitement, etc.) doit être portée au registre.

A qui communiquer le registre ?

Par nature, le registre est un document interne et évolutif, qui doit avant tout aider l'organisme à piloter sa conformité.

Le registre doit toutefois pouvoir être communiqué à la CNIL lorsqu'elle le demande. Elle pourra en particulier l'utiliser dans le cadre de sa mission de contrôle des traitements de données.

Les organismes du secteur public sont tenus de communiquer le registre à toute personne qui en fait la demande, car il s'agit d'un document administratif, communicable à tous, au sens du code des relations entre le public et l'administration. Toutefois, le registre communiqué doit être occulté de toute information dont la divulgation pourrait en particulier porter atteinte aux secrets protégés par la loi, et notamment à la sécurité des systèmes d'information.

Les organismes privés (non chargés d'une mission de service public) ne sont pas tenus de communiquer le registre au public. Néanmoins, ils peuvent, s'ils l'estiment opportun, le communiquer aux personnes qui en font la demande.

Bonnes pratiques

En enrichissant le registre avec des informations complémentaires, vous pouvez faire du registre un véritable outil de pilotage de votre conformité au RGPD. En effet, les obligations de documentation prévues par le RGPD ne se limitent pas à l'obligation de tenir un registre, prévue à l'article 30 du RGPD. Disposer, dans un même document, de toutes les informations relatives aux traitements que vous mettez en œuvre et exigées par le RGPD vous permettra de vous assurer, à chaque instant, de votre conformité aux règles de protection des données ou d'identifier les actions que vous devez mener pour atteindre cet objectif.

Ce registre pourra également être utilisé par votre délégué à la protection des données pour accomplir l'ensemble de ses missions, voire être consulté par tout collaborateur de l'organisme ayant vocation à mettre en œuvre des traitements de données.

Par exemple, en ajoutant à votre registre les informations nécessaires pour informer les personnes (base légale du traitement, et selon le cas, fondement juridique du transfert de données vers des pays tiers, droits qui s'appliquent au traitement, existence ou non d'une décision automatisée, origine des données, etc.) vous pourrez vous appuyer sur votre registre pour rédiger vos mentions d'information.

Vous pouvez également consigner dans le registre un historique des violations de données et recenser tous les documents liés aux transferts de données hors de l'Union européenne (clauses contractuelles, BCR, etc.) et aux sous-traitants auxquels vous recourez (contrats de sous-traitance)

Ceci peut également vous intéresser ...

# data[].attributes.attachment_link.description
Le registre est prévu par l'article 30 du RGPD. Il participe à la documentation de la conformité. Document de recensement et d'analyse, il doit refléter la réalité de vos traitements de données personnelles et vous permet d'identifier précisément :

# data[].attributes.headline
Le délégué à la protection des données (DPO)

# data[].attributes.subject
Le délégué à la protection des données (DPO)

# data[].attributes.body
Avec une fonction située au cœur de la conformité au règlement européen sur la protection des données (RGPD), le délégué à la protection des données (DPO) conseille et accompagne les organismes qui le désignent.

# data[].attributes.attachment_link.readable_text
Avec une fonction située au cœur de la conformité au règlement européen sur la protection des données (RGPD), le délégué à la protection des données (DPO) conseille et accompagne les organismes qui le désignent.

# data[].attributes.attachment_link.title
Le délégué à la protection des données (DPO)

# data[].attributes.attachment_link.description
Avec une fonction située au cœur de la conformité au règlement européen sur la protection des données (RGPD), le délégué à la protection des données (DPO) conseille et accompagne les organismes qui le désignent.

# data[].attributes.body
Tous les organismes qui traitent des données personnelles doivent mettre en place des mesures pour prévenir les violations de données et réagir de manière appropriée en cas d'incident. Les obligations prévues par le RGPD visent à éviter qu’une violation cause des dommages ou des préjudices aux organismes comme aux personnes concernées.

# data[].attributes.attachment_link.readable_text
Tous les organismes qui traitent des données personnelles doivent mettre en place des mesures pour prévenir les violations de données et réagir de manière appropriée en cas d'incident. Les obligations prévues par le RGPD visent à éviter qu'une violation cause des dommages ou des préjudices aux organismes comme aux personnes concernées.

Les nouvelles obligations concernant les violations de données sont prévues par les articles 33 et 34 du RGPD. Elles précisent l'obligation générale de sécurité que doivent respecter les organismes qui traitent des données à caractère personnel.

Au titre de ce principe essentiel, ces organismes doivent mettre en place des mesures visant à :

prévenir toute violation de données

réagir de manière appropriée en cas de violation, c'est-à-dire mettre fin à la violation et minimiser ses effets.

Ces dispositions visent à préserver à la fois :

les responsables du traitement : afin de protéger leur patrimoine informationnel, en leur permettant notamment de sécuriser leurs données ;

les personnes affectées par la violation : afin d'éviter qu'elle ne leur cause des dommages ou préjudices, en leur permettant notamment de prendre les précautions qui s'imposent en cas d'incident.

Il est dès lors recommandé que les organismes qui traitent des données personnelles (responsable du traitement ou sous-traitant) prévoient et mettent en place des procédures globales en matière de violation de données personnelles. Ces procédures doivent concerner l'ensemble du processus : la mise en place de mesures visant à détecter immédiatement une violation, à l'endiguer rapidement, à analyser les risques engendrés par l'incident et à déterminer s'il convient de notifier l'autorité de contrôle, voire les personnes concernées. Ces procédures participent ainsi à la documentation de la conformité au RGPD.

Que doit contenir le " registre des violations de données " ?

La documentation doit consigner les faits concernant la violation de données à caractère personnel, ses effets et les mesures prises pour y remédier. Elle peut être contrôlée par la CNIL dans l'objectif de vérifier le respect des obligations en matière de violations.

En pratique, il est conseillé aux responsables du traitement de recenser l'ensemble des éléments relatifs aux violations et de s'appuyer sur le formulaire de notification mis en ligne par la CNIL. Ce formulaire peut en effet servir de canevas pour la documentation interne, qui peut ainsi constituer un outil unique de gestion de la conformité au RGPD en matière de violations.

Le registre des violations devrait notamment contenir les éléments suivants :

la nature de la violation ;

les catégories et le nombre approximatif des personnes concernées ;

les catégories et le nombre approximatif d'enregistrements concernés ;

les conséquences probables de la violation ;

les mesures prises pour remédier à la violation et, le cas échéant, pour limiter les conséquences négatives de la violation ;

le cas échéant, la justification de l'absence de notification auprès de la CNIL ou d'information aux personnes concernées.

Que faut-il communiquer aux personnes concernées ?

La notification aux personnes concernées doit a minima contenir et exposer, en des termes clairs et précis, les éléments suivants :

la nature de la violation ;

les conséquences probables de la violation ;

les coordonnées de la personne à contacter (DPO ou autre) ;

les mesures prises pour remédier à la violation et, le cas échéant, pour limiter les conséquences négatives de la violation.

Elle doit être complétée, dès lors que cela est nécessaire, de recommandations à destination des personnes pour atténuer les effets négatifs potentiels de la violation et leur permettre de prendre les précautions qui s'imposent

Exemples de recommandations : changement de mot de passe des utilisateurs d'un service, vérification de l'intégrité des données de leur compte en ligne, sauvegarde de ces données sur un support personnel

Cas particulier : les violations touchant un traitement transfrontalier

Pour un traitement transfrontalier, l'autorité " chef de file " constitue l'unique interlocuteur du responsable du traitement. C'est donc auprès de cette autorité que la notification d'une violation doit être réalisée. Cette autorité n'est pas nécessairement la CNIL, y compris si la violation affecte des personnes résidant en France et y compris si elle s'est produite sur le territoire français.

En pratique, le téléservice de la CNIL prévoit que le responsable du traitement doit indiquer si la violation touche un traitement transfrontalier et, en cas de réponse positive, d'indiquer quels sont les autres États membres de l'Union concernés par le traitement. La CNIL se charge ensuite d'informer les autres autorités.

Les lignes directrices du CEPD

Ceci peut également vous intéresser ...

# data[].attributes.attachment_link.description
Les nouvelles obligations concernant les violations de données sont prévues par les articles 33 et 34 du RGPD. Elles précisent l'obligation générale de sécurité que doivent respecter les organismes qui traitent des données à caractère personnel.

# data[].attributes.headline
COMMERCE ET DONNÉES PERSONNELLES : PARRAINAGE ET JEUX CONCOURS

# data[].attributes.subject
COMMERCE ET DONNÉES PERSONNELLES : PARRAINAGE ET JEUX CONCOURS

# data[].attributes.headline
Liste des types d’opérations de traitement pour lesquelles une analyse d’impact relative à la protection des données est requise

# data[].attributes.subject
Liste des types d’opérations de traitement pour lesquelles une analyse d’impact relative à la protection des données est requise

# data[].attributes.headline
FICHE : VOTRE ENTREPRISE COMMUNIQUE ET/OU VEND EN LIGNE

# data[].attributes.subject
FICHE : VOTRE ENTREPRISE COMMUNIQUE ET/OU VEND EN LIGNE

# data[].attributes.attachment_link.readable_text
La CNIL publie un guide RGPD pour les développeuses et développeurs

Afin de vous accompagner dans la mise en conformité de vos développements projet web ou applicatif, la CNIL a élaboré un guide de bonnes pratiques des développements en open source.

Ce guide est publié sous licence GPLv3 et sous licence ouverte 2.0 (explicitement compatible avec CC-BY 4.0 FR). Vous pouvez donc librement contribuer à son enrichissement.

Ce guide s'adresse-t-il uniquement aux développeuses et développeurs ?

Que vous travailliez seul(e) ou en équipe au développement d'un projet, que vous soyez amené(e) à gérer une équipe de développement, que vous soyez un prestataire, ou simplement curieux, ce guide contient une première approche des grands principes du RGPD et des différents points d'attention à prendre en compte dans le déploiement d'applications respectueuse de la vie privée de ses utilisateurs.

Il propose des conseils et des bonnes pratiques, et offre ainsi des clés de compréhension du RGPD utiles pour tous les acteurs, quelle que soit la taille de leur structure. Il peut également faire l'objet d'échanges au sein des services et dans la relation avec vos clients.

Que contient le guide ?

Ce guide est découpé en 18 fiches thématiques et complété par des exemples de codes qui couvrent la plupart des besoins des développeuses et développeurs pour les accompagner à chaque étape de leur projet, de la préparation du développement au déploiement de nouveaux services.

Le règlement général sur la protection des données (ou RGPD) précise que la protection des droits et libertés des personnes physiques exige de prendre des " mesures techniques et organisationnelles appropriées afin de garantir que les exigences du présent règlement sont respectées " (considérant 78).

La détermination de ces mesures est forcément liée au contexte des traitements mis en place, et le responsable de traitement (l'entité publique ou privée qui traite des données personnelles) doit à ce titre assurer la sécurité des données qu'il est amené à traiter.

Les bonnes pratiques de ce guide n'ont donc pas vocation à couvrir l'ensemble des exigences des règlementations ni à être à prescriptives, elles apportent un premier niveau de mesures permettant de prendre en compte les problématiques de protection de la vie privée dans les développements informatiques qui ont vocation à être appliquées à tous les projets traitant des données. En fonction de la nature des traitements opérés, des mesures complémentaires devront être mises en œuvre dans certains cas afin de respecter pleinement la réglementation.

Tables des matières

1. Développer en conformité avec le RGPD

2. Identifier les données à caractère personnel

3. Préparer son développement

4. Sécuriser son environnement de développement

5. Faire un choix éclairé de son architecture

6. Sécuriser vos sites web, vos applications et vos serveurs

7. Minimiser les données collectées

8. Gérer les profils utilisateurs

9. Maîtriser vos bibliothèques et vos SDK

10. Veiller à la qualité de votre code et sa documentation

11. Tester vos applications

12. Informer les utilisateurs

13. Préparer l'exercice des droits des personnes

14. Gérer la durée de conservation des données

15. Prendre en compte les bases légales dans l'implémentation technique

16. Analyser les pratiques en matière de traceurs sur vos sites et vos applications

17. Mesurer la fréquentation de vos sites web et de vos applications

18. Se prémunir contre les attaques informatiques

Ce guide est disponible en deux versions :

La contribution se fait en quelques étapes :

Inscrivez-vous sur la plateforme Github ;

Rendez-vous sur la page du projet ;

Vous pouvez :

Utiliser l'onglet "Issue" pour ouvrir des commentaires ou participer à la discussion

Utiliser l'option "Fork" pour faire vos propres modifications et proposer leur inclusion via le bouton "Pull Requests"

Votre proposition de contribution sera examinée par la CNIL avant sa publication. La version web du guide RGPD de l'équipe de développement sera régulièrement mise à jour.

Usage

Pour faire vous-même une " release " de ce repository, vous pouvez utiliser l'outil Pandoc. Cet outil vous permettra de convertir les fiches en un fichier docx ou bien un document HTML.

Vous pouvez retrouver les instructions pour installer cet outil ici

Pour générer un fichier .docx :

pandoc -s --toc --toc-depth=1 -o Guide_RGPD_developpeur.docx [0-9][0-9]*.md

Pour générer un fichier .html :

pandoc -s --template="templates/mytemplate.html" -H templates/pandoc.css -o index.html README.md [0-9][0-9]*.md

Que vous travailliez seul⋅e ou en équipe au développement d'un projet, que vous soyez amené⋅e à gérer une équipe de développement, ou que vous soyez un prestataire réalisant des développements pour des tiers, il est indispensable de s'assurer durant toute la vie du projet que les données de vos utilisateurs ainsi que toutes les opérations effectuées sur celles-ci soient protégées en permanence.

Les étapes suivantes vous aideront dans le développement d'applications ou de sites web respectueux de la vie privée :

1. Priorisez les actions à mener. Sur la base du registre des activités de traitement, identifiez en amont du développement les actions à mener pour vous conformer aux obligations du RGPD et priorisez les points d'attention au regard des risques pour les personnes concernées par la collecte de données. Ces points d'attention concernent notamment la nécessité et les types de données collectées et traitées par votre programme, la base légale sur laquelle se fonde vos traitements de données, les mentions d'information de votre programme ou de votre application, les clauses contractuelles vous liant à vos sous-traitants, les modalités d' exercice des droits, les mesures mises en place pour sécuriser vos traitements.

2. Gérez les risques. Lorsque vous identifiez que des traitements de données personnelles sont susceptibles d'engendrer des risques élevés pour les personnes concernées, assurez-vous que vous gérez ces risques de façon appropriée au regard du contexte. Une analyse d'impact relative à la protection des données (AIPD) peut vous accompagner dans la maîtrise de ces risques. La CNIL a élaboré une méthode, des modèles de documents et un outil qui vous aideront à identifier ces risques ainsi qu'un catalogue de bonnes pratiques qui vous accompagnera dans la mise en place de mesures permettant de traiter les risques identifiés. Par ailleurs, la réalisation d'une analyse d'impact relative à la protection des données est obligatoire pour tous les traitements susceptibles d'engendrer des risques élevés pour les droits et libertés des personnes concernées. La CNIL propose, sur son site web, une liste des types d'opérations de traitement pour lesquelles une AIPD est requise ou, au contraire, non requise.

Le site de la CNIL fournit de nombreuses fiches pratiques qui vous accompagneront dans la mise en place de traitements respectueux de la loi suivant votre secteur d'activité.

Comprendre les notions de " données personnelles ", de " finalité " et de " traitement " est indispensable pour le développement d'une application respectueuse de la loi et des données des utilisateurs. Attention, à ne pas confondre " anonymisation " et " pseudonymisation " qui ont des définitions précises dans le RGPD.

Définition

Toute opération sur ce type de données (collecte, enregistrement, transmission, modification, diffusion, etc.) constitue un traitement au sens du RGPD et doit donc répondre aux exigences fixées par ce règlement. Ces traitements doivent être licites et avoir un objectif (une " finalité ") déterminée. Les données personnelles collectées et traitées doivent être pertinentes et limitées à ce qui est strictement nécessaire pour atteindre la finalité.

Exemples de données à caractère personnel

Lorsqu'elles sont relatives à des personnes physiques, les données suivantes sont des données à caractère personnel :

nom, prénom, pseudonyme, date de naissance ;

photos, enregistrements sonores de voix ;

numéro de téléphone fixe ou portable, adresse postale, adresse e-mail ;

adresse IP, identifiant de connexion informatique ou identifiant de cookie ;

empreinte digitale, réseau veineux ou palmaire de la main, empreinte rétinienne ;

numéro de plaque d'immatriculation, numéro de sécurité sociale, numéro d'une pièce d'identité ;

données d'usage d'une application, des commentaires, etc.

L'identification des personnes physiques peut se réaliser :

à partir d'une seule donnée (exemples : nom et prénom) ;

à partir du croisement d'un ensemble de données (exemple : une femme vivant à telle adresse, née tel jour et membre de telle association).

Certaines données sont considérées comme particulièrement sensibles. Le RGPD interdit de recueillir ou d'utiliser ces données, sauf, notamment, si la personne concernée a donné son consentement exprès (démarche active, explicite et de préférence écrite, qui doit être libre, spécifique, et informée).

Ces exigences concernent les données suivantes :

les données relatives à la santé des individus ;

les données concernant la vie sexuelle ou l'orientation sexuelle ;

les données qui révèlent une prétendue origine raciale ou ethnique ;

les opinions politiques, les convictions religieuses, philosophiques ou l'appartenance syndicale ;

les données génétiques et biométriques utilisées aux fins d'identifier une personne de manière unique.

L'anonymisation des données à caractère personnel

Un processus d'anonymisation de données à caractère personnel vise à rendre impossible toute identification des individus au sein de jeux de données. Il s'agit donc d'un processus irréversible. Lorsque cette anonymisation est effective, les données ne sont plus considérées comme des données personnelles et les exigences du RGPD ne sont plus applicables.

Par défaut, nous vous recommandons de ne jamais considérer des jeux de données brutes comme anonymes. Un jeu de données anonyme doit nécessairement résulter d'un processus d'anonymisation qui éliminera toute possibilité de ré-identification des individus, que ce soit par :

individualisation : il n'est pas possible d'isoler une partie ou la totalité des enregistrements relatifs à un individu ;

corrélation : le jeu de données ne permet pas de relier deux enregistrements se rapportant à une même personne ou à un groupe de personnes ;

inférence : il est impossible de déduire la valeur d'un attribut d'une personne depuis des informations internes ou externes au jeu de données.

Le projet CabAnon, développé par le Laboratoire d'Innovation Numérique de la CNIL en 2017, évalue les performances de différentes techniques d'anonymisation sur des trajets des taxis tels que rendus publics par la New-York TLC. Ce projet présente différents scénarios d'usages pour lesquels les techniques d'anonymisation utilisées n'altèrent pas significativement la qualité du résultat final. Le code utilisé pour anonymiser ces données est également publié sous licence libre.

La pseudonymisation des données à caractère personnel

La pseudonymisation constitue un compromis entre la conservation de données brutes et la production de jeux de données anonymisées.

Elle se réfère à un traitement de données personnelles réalisé de manière à ce qu' on ne puisse plus attribuer les données relatives à une personne physique sans avoir recours à des informations supplémentaires. Le RGPD insiste sur le fait que ces informations supplémentaires doivent être conservées séparément et être soumises à des mesures techniques et organisationnelles afin d'éviter la ré-identification des personnes concernées. Contrairement à l'anonymisation, la pseudonymisation est un processus réversible.

Les données résultant d'une pseudonymisation sont considérées comme des données à caractère personnel et restent donc soumises aux obligations du RGPD. Toutefois, le règlement européen encourage l'utilisation de la pseudonymisation dans le cadre du traitement des données à caractère personnel. Par ailleurs le RGPD considère que la pseudonymisation permet de réduire les risques pour les personnes concernées et de contribuer à la mise en conformité au règlement.

Les principes de la protection des données à caractère personnel doivent être intégrés aux développements informatiques dès les phases de conception afin de protéger la vie privée des personnes dont vous allez traiter les données, et de leur offrir une meilleure maîtrise de leurs données et de limiter les erreurs, pertes, modifications non autorisées, ou mauvais usages de celles-ci dans les applications.

Choix méthodologiques

Pour tout développement à destination du grand public, menez une réflexion sur les paramètres relatifs à la vie privée, et notamment sur le paramétrage par défaut, par exemple les caractéristiques et les contenus des utilisateurs visibles par défaut.

Choix technologiques

Architecture et fonctionnalités

Gardez la maîtrise de votre système. Il est important de garder la maîtrise de votre système, autant afin d'en assurer le bon fonctionnement que de garantir un haut niveau de sécurité. Garder un système simple permet d'en comprendre précisément les rouages et d'identifier ses points de fragilité. Dans le cas où une certaine complexité est nécessaire, il est conseillé de démarrer d'un système simple, correctement conçu et sécurisé. Ensuite, il est possible d'en augmenter la complexité petit à petit, tout en continuant de sécuriser les nouveautés qui s'ajoutent.

Ne vous reposez pas sur une seule ligne de défense. Malgré toutes les dispositions prises pour concevoir un système sécurisé, il peut arriver que certains composants rajoutés ultérieurement ne soient pas suffisamment sécurisés. Pour minimiser les risques sur les utilisateurs finaux, il est conseillé de défendre le système en profondeur. Exemple : contrôler les données entrées dans un formulaire en ligne fait partie des défenses de périphérie. Dans le cas où cette défense est détournée, une protection des requêtes en base de données pourra prendre le relais.

Outils et pratiques

Utilisez des normes de programmation prenant en compte la sécurité. Souvent, des listes de normes, bonnes pratiques ou guides de codage améliorant la sécurité de vos développements sont déjà disponibles. Des outils annexes peuvent également être intégrés dans vos environnements de développement intégrés (" IDE " en anglais) afin de vérifier automatiquement que votre code respecte les différentes règles faisant partie de ces normes ou bonnes pratiques. Vous trouverez facilement sur internet des listes de bonnes pratiques pour votre langage de programmation favori. Par exemple ici pour C, C++ ou Java. Pour le développement d'application web, des guides de bonnes pratiques spécifiques existent, tels que ceux publiés par l'OWASP.

Le choix des technologies utilisées est crucial. Un certain nombre de points sont à prendre en compte :

En fonction du domaine d'application ou de la fonctionnalité développée, un langage ou une technologie peut être plus approprié qu'une autre.

Les langages et technologies éprouvés sont plus sûrs. Ils ont fait, en général, l'objet d'audits afin de corriger les vulnérabilités les plus connues. Il faut cependant faire attention à utiliser les dernières versions de chacune des briques technologiques que vous utiliserez.

Il faut à tout prix éviter de coder sa solution définitive dans un langage tout juste appris et pas encore maîtrisé. Dans le cas contraire, vous vous exposez à un risque accru de faille de sécurité du fait du manque d'expérience.

La sécurité des serveurs de production, de développement, d'intégration continue ainsi que les postes de travail des développeuses et développeurs doit être une priorité car ils centralisent l'accès à un grand nombre de données.

Évaluez vos risques et adoptez les mesures de sécurité adéquates

Évaluez les risques dans les outils et les processus utilisés pour vos développements. Recensez vos mesures de sécurité existantes et définissez un plan d'action permettant d'améliorer la couverture de vos risques. Désignez une personne responsable de sa mise en œuvre.

Pensez à prendre compte les risques sur tous les outils que vous utilisez, notamment les risques liés aux outils SaaS ( Software as a Service) et collaboratifs dans le cloud (type Slack, Trello, GitHub, etc.).

Sécurisez vos serveurs et vos postes de travail d'une façon homogène et reproductible

Des listes de recommandations concernant la sécurisation des serveurs, postes de travail et réseaux internes sont disponibles dans les fiches n°5 à 8 du guide sécurité des données personnelles de la CNIL.

Rédigez un document regroupant ces mesures et expliquant leur configuration : il permet de s'assurer d'une mise en place homogène des mesures de sécurité sur les serveurs et les postes de travail. Afin de réduire la charge de travail, des outils de gestion de configuration, tels qu' Ansible, Puppet ou Chef, peuvent être utilisés.

Mettez à jour les serveurs et postes de travail, si possible de manière automatique. Vous pouvez vous constituer une liste de veille recensant les vulnérabilités les plus importantes, par exemple les alertes de sécurité, avis de sécurité et les bulletins d'actualité du CERT-FR.

Maîtrisez vos accès et tracez les opérations

Documentez la gestion de vos clés SSH (utilisation d'algorithmes de cryptographie et de longueur de clés à l'état de l'art, protection des clés privées par une passphrase, rotation des clés). Pour des exemples de bonnes pratiques, consulter le document sur l'usage sécurisé d'(open)SSH.

Si vous devez vous connecter à un service en ligne ou à l'un de vos serveurs, faites le choix d'algorithme asymétriques, ECDSA ou bien RSA.

Par exemple en utilisant l'outil ssh-keygen (disponible sous linux et OSX), utiliser les commandes :

Cette commande va créer ou utiliser votre répertoire de clés SSH, par exemple sur Linux /home/username/.ssh/), et y écrire deux éléments : une clé privée et une clé publique.

Vous pouvez alors soit envoyer la clé publique au serveur pour le configurer (si vous avez un moyen d'authentification préexistant), soit la copier dans votre presse-papier pour la fournir au service que vous souhaitez utiliser :

#Pour envoyer : ssh-copy-id -i ~/.ssh/key.pub user@host #Pour copier sur des systèmes Debian ou Ubuntu: sudo apt install xclip xclip -sel clip < ~/.ssh/key.pub

La clé privée ne doit jamais être envoyée ou partagée avec un tiers. Pour plus d'info sur les mesures organisationnelles à mettre en place pour une bonne gestion des clés, voir la norme NISTIR 7966.

Favorisez une authentification forte sur les services utilisés par l'équipe de développement.

La plupart des services centralisés (Gitlab ou Jenkins par exemple) nécessite la création de jetons individuels pour authentifier les requêtes ("Webhook"). Il est recommandé d'associer une durée de vie limitée à ces jetons et de les révoquer lorsqu'ils ne sont plus utilisés.

Quelle que soit l'ampleur de votre projet, il est très fortement recommandé d'utiliser un outil de gestion de code source pour suivre dans le temps ses différentes versions.

Paramétrez efficacement votre gestionnaire de code source, en pensant à sa sécurité

Par ailleurs, attribuez aux utilisateurs de votre gestionnaire de code source des niveaux d'accès à votre projet et définissez pour chacun des niveaux les permissions correspondantes (par exemple, un niveau " invité " avec des droits limités en lecture, un niveau " équipe de développement " avec des droits en écriture, etc.).

Faites des sauvegardes régulières de votre système de gestion de code source. En particulier, pensez à sauvegarder votre serveur principal où toutes les modifications sont enregistrées.

Mettez en place des procédures de développement pour travailler efficacement même si plusieurs personnes développent en même temps. Par exemple, vous pouvez décider de ne pas travailler sur la même branche ( master ou main), mais de mettre en place des branches par fonctionnalité, qui seront fusionnées dans la branche principale au fur et à mesure du développement. De telles stratégies de développement sont déjà bien documentées, par exemple dans Git Flow. Par ailleurs, certains gestionnaires de code source proposent de configurer des branches protégées qui empêchent des modifications non autorisées sur les fichiers contenus dans ces branches.

Soyez vigilant sur le contenu de votre code source

Mettez en œuvre des outils de métriques de qualité de code qui scanneront votre code dès son commit pour vérifier sa bonne qualité. Vous pouvez également ajouter des scripts de contrôle de ces métriques dans la configuration du gestionnaire de code source : le commit sera alors annulé si le code source n'est pas d'une qualité suffisante.

Conservez vos secrets et mots de passe en dehors de votre dépôt de code source :

dans des fichiers à part, qui n'ont pas fait l'objet d'un commit. Pensez à utiliser les fichiers spéciaux de votre gestionnaire de code source (tels que .gitignore pour Git) afin de ne pas commiter les fichiers sensibles par erreur.

dans des variables d'environnement, en prenant soin de vérifier que les variables d'environnement ne sont pas accidentellement écrites dans des logs ou affichées lors d'une erreur de l'application.

en les stockant dans des enclaves sécurisées ou des dépots séparés avec accès restreint que vous pourrez appeler comme dépendance externe de votre projet.

en utilisant des logiciels spécifiques de gestion de secrets ou de gestion de configuration (par exemple Vault de la société HashiCorp, Keywhiz de la société Square ou Knox de la société Pinterest).

Enfin, si vous devez inclure de telles données dans votre dépôt, pensez à chiffrer/déchiffrer automatiquement les fichiers en utilisant un greffon de votre gestionnaire de code source (par exemple ).

Après un commit qui contient des données personnelles ou d'autres données critiques, n'oubliez pas de purger complètement le dépôt de code source : même après modification, les données peuvent rester disponibles dans l'historique de votre dépôt.

Exemples d'outils

À l'inverse d'outils tels que Subversion, qui ont besoin d'un serveur central pour fonctionner, les principaux gestionnaires de code source ( Git, Mercurial par exemple) sont décentralisés.

Lors de la conception de l'architecture de votre application, vous devez identifier les données personnelles qui seront collectées et définir un parcours et un cycle de vie pour chacune d'entre elles. Le choix des supports de données (stockage local, serveur, service cloud) est une étape cruciale, qui doit être adaptée à vos besoins, mais aussi à vos connaissances techniques. Le registre des activités de traitement et une analyse d'impact peuvent vous accompagner dans ce choix.

Étudier le parcours de ses données

Les packs de conformité sectoriels sur les compteurs communicants, les véhicules connectés et la silver économie, ainsi que le livre blanc sur les assistants vocaux peuvent vous accompagner dans l'identification des parcours de données de votre produit.

Chaque cas d'usage met ainsi en œuvre des parcours distincts pour lesquels la création d'un compte et l'intervention d'un ou plusieurs acteurs externes peuvent être nécessaires.

La conformité de ces parcours est étudiée suivant 3 étapes :

l'identification du traitement, du responsable et de sa base légale,

l'identification des données collectées ainsi que de leur durée de conservation,

l'information et la garantie des droits des personnes concernées.

Ces analyses peuvent vous accompagner dans l'identification des développements à prévoir, suivant les caractéristiques du traitement, la base juridique applicable et l'identification des données qui nécessitent une attention particulière du fait de leur caractère sensible.

En cas de recours à un prestataire pour l'hébergement

Les autres points de vigilance sont notamment :

l'existence d'une politique de sécurité accessible ;

les mesures de sécurité et sûreté physique sur le site d'hébergement ;

le chiffrement des données et les autres procédés garantissant que le prestataire n'a pas accès aux données qui lui sont confiées ;

la gestion des mises à jour, la gestion des habilitations, l'authentification des personnels et la sécurité des développements applicatifs ;

la réversibilité/portabilité aisée des données dans un format structuré et couramment utilisé, sur demande et à tout moment.

Tout site web, application ou serveur doit intégrer les règles élémentaires de sécurité à l'état de l'art, tant sur les communications que sur les authentifications ou son infrastructure.

Sécuriser les communications

Mettez en œuvre le protocole TLS version 1.2 ou 1.3 (en remplacement de SSL) sur tous les sites web et pour les transmissions de données de vos applications mobiles en utilisant uniquement les versions les plus récentes et en vérifiant sa bonne mise en œuvre.

Rendez l'utilisation de TLS obligatoire pour toutes les pages de votre site et pour vos applications mobiles.

Limitez les ports de communication strictement nécessaires au bon fonctionnement des applications installées. Si l'accès à un serveur web n'est possible qu'à l'aide du protocole HTTPS, seul le ports 443 de ce serveur, et éventuellement le port 80 afin de rediriger vers le protocole HTTPS, doit être accessible sur Internet. Les autres ports doivent alors être bloqués au niveau du pare-feu.

La sécurisation des communications des sites et applications mobiles nécessite d'utiliser le protocole "TLS". La combinaison de ce protocole avec le protocole "HTTP" permet un échange par "HTTPS". Certains algorithmes cryptographiques employés dans TLS, et ses versions précédentes "SSL", sont réputées vulnérables à différentes attaques. Vous pouvez vous faire accompagner dans le choix de ces algorithmes au moyen de générateurs de configuration TLS. Celui de Mozilla supporte par exemple de très nombreux serveurs.

Deux exemples de configuration Apache et Nginx commentés sont disponibles en annexe de ce guide. Vous pouvez vous référer au Wiki Mozilla pour plus de détails.

Sécuriser les authentifications

Dans sa délibération du 10 janvier 2017 portant adoption d'une recommandation relative aux mots de passe, la CNIL spécifie que si le mot de passe n'est pas utilisé en conjonction avec un second facteur, et sans blocage de fréquence ("frequency capping"), un mot de passe devrait être constitué de 12 caractères et comprendre majuscule, minuscule, chiffres et caractères spéciaux.

En conséquence, pour vérifier l'adhérence à ces règles, le code suivant est adéquat :

Cela doit également s'accompagner d'une vérification backend de la force du mot de passe.

Ne stockez jamais les mots de passe en clair. Stockez-les sous forme de hachage (hash) au moyen d'une librairie éprouvée, comme Argon2, yescrypt, scrypt, balloon, bcrypt et, dans une moindre mesure, PBKDF2.

Il ne faut jamais stocker les mots de passe des utilisateurs en clair dans vos bases de données, il faut systématiquement les hasher, avec un sel specifique. En pratique, bcrypt est sans doute la solution la plus simple d'utilisation. Elle utilise un sel aléatoire pour chaque hash et l'inclue dans le hash résultant pour la vérification d'un mot de passe.

Par exemple en node.js :

#Pour installer: npm install bcrypt #Pour utiliser: const bcrypt = require('bcrypt'); const saltRounds = 10; // Niveau de difficulté de bcrypt #Enregistrer un mot de passe en DB const passwordAStocker = '*********'; bcrypt.genSalt(saltRounds, function(err, salt) { bcrypt.hash(passwordAStocker, salt, function(err, hash) { // stockez le résultat 'hash' en DB }); }); #Verifier un mot de passe const passwordAVerifier = '*********'; bcrypt.compare(passwordAVerifier, hash, function(err, result) { // 'result' vaut true si le mot de passe est le bon });

Les fonctions de hachage permettent d'assurer l'intégrité des données. Elles doivent reposer sur un algorithme reconnu et sûr. La famille de fonctions SHA-2 (par exemple SHA-256 et SHA-512) comporte des fonctions de hachage génériques qu'il ne faut pas utiliser directement pour certaines tâches spécifiques.En revanche, elles sont tout à fait acceptables comme fonction de base pour des fonctions de hachage spécialisées. Par exemple, la fonction HMAC utilisée avec SHA-256 ou SHA-512 est adaptée à la signature numérique.

Pour stocker les mots de passe, les fonctions adaptées sont les suivantes : Argon2, yescrypt, scrypt, balloon, bcrypt et, dans une moindre mesure, PBKDF2. À noter que les fonctions balloon et PBKDF2 peuvent êtres utilisées avec plusieurs fonctions de hachage sous-jacentes, le choix devant donc être fait sur une fonction reconnue (par exemple une fonction des familles SHA-2, SHA-3, Blake2 ou Blake3).

N'utilisez jamais d'algorithmes obsolètes, comme les chiffrements DES et 3DES ou les fonctions de hachage MD5 et SHA1. Leur utilisation peut permettre à un attaquant ayant connaissance du mot de passe haché de déchiffrer celui-ci sans difficulté et en un temps très court.

Les fonctions de hachage à clé permettent de rendre le calcul de l'empreinte différent en fonction de la clé utilisée. Pour deux clés différentes l'empreinte obtenue sur un même message sera différente.

Utilisez des tailles de clés suffisantes, au minimum de 128 bits suivant l'algorithme utilisé. Protégez ces clés secrètes, au minimum par la mise en œuvre de droits d'accès restrictifs et d' un mot de passe sûr.

Rédiger une procédure indiquant la manière dont les clés vont être gérés en prenant en compte les cas d'oubli de mot de passe de déverrouillage.

import bcrypt #importation de la bibliothèque bcrypt sel = bcrypt.gensalt() #Génération d'un sel aléatoire à conserver de manière sécurisée hache_du_mot_de_passe = bcrypt.hashpw(mot_de_passe, sel) #Génération du hachage du mot de passe avec le sel généré mot_de_passe_valide = bcrypt.checkpw(mot_de_passe, hache_du_mot_de_passe) #Test de la validité du mot de passe depuis son haché

Dans le cas où des cookies sont utilisés pour permettre l'authentification, il est recommandé :

de protéger les cookies contre des lectures via des canaux de non chiffrées, en forcant l'utilisation d'HTTPS via l' HSTS, ainsi que par l'utilisation des indicateurs Secure et HttpOnly ;

d'utiliser des protections contre des injections de requêtes illégitimes par rebond (cross-site request forgery ou CSRF) en utilisant des mesures de protection comme le CSRF Token et l'indicateur SameOrigin sur les requêtes. L'indicateur SameSite des cookies doit avoir la valeur Strict lorsque c'est possible ;

d'utiliser un sous-domaine spécifique pour déposer le token d'authentification avec l'indicateur domain des cookies laissés vides pour exclure les domaines tiers dans le cas où de la délégation de sous-domaine est utilisée (par exemple à travers l'usage de CNAME), ou bien des serveurs avec un faible niveau de sécurité sont destinataires des requêtes HTTP sur le domaine principal.

Adoptez une politique spécifique de mots de passe pour les administrateurs. Changez les mots de passe, au moins, lors de chaque départ d'un administrateur et en cas de suspicion de compromission. Favorisez l'authentification forte lorsque c'est possible.

Limitez l'accès aux outils et interfaces d'administration aux seules personnes habilitées. Favoriser l'usage des comptes de moindres privilèges pour les opérations courantes.

L'accès depuis Internet aux interfaces d'administration doit faire l'objet de mesures de sécurité renforcées. Par exemple, pour les serveurs internes, la mise en œuvre d'un VPN avec authentification forte de l'utilisateur ainsi que du poste qu'il utilise peut être une bonne solution.

Limiter la divulgation d'information sur les comptes existants

Concevoir les processus d'authentification, de réinitialisation des mots de passe et de création de compte de manière à ce qu'un attaquant ne puisse savoir si une adresse mail spécifique possède un compte utilisateur.

Généraliser les messages d'erreurs d'authentification pour ne pas divulguer d'information sur l'existence d'un compte : "ce couple identifiant/mot de passe est inconnu".

Ne pas confirmer l'existence d'un compte utilisateur en cas d'utilisation de la fonctionnalité de réinitialisation des mots de passe : "Si un compte existe avec cette adresse un mail de réinitialisation lui a été envoyé"

Faire valider l'adresse mail du compte utilisateur en tant que première étape de la création d'un compte utilisateur avant toute collecte d'autres données personnelles, et envoyer soit un mail de validation de l'adresse si celle-ci ne dispose pas encore d'un compte, soit un mail de réinitialisation du mot de passe si l'adresse existe, en n'affichant qu'un message générique sur le service : "un mail de validation de votre adresse ou de réinitialisation de votre mot de passe vous a été envoyé"

Sécuriser les infrastructures

Effectuez des sauvegardes, si possible chiffrées et vérifiées régulièrement. C'est particulièrement utile en cas d'attaque d'un rançongiciel sur vos systèmes, le fait de disposer de sauvegardes pour tous vos systèmes sera la seule mesure qui pourra vous permettre de remettre en état vos systèmes.

Limitez le nombre de composants mis en œuvre, et pour chacun de ces composants :

Utilisez des outils de détection des vulnérabilités pour les traitements les plus critiques afin de détecter d'éventuelles failles de sécurité. Des systèmes de détection et prévention des attaques sur des systèmes ou serveurs critiques peuvent aussi être utilisés. Ces tests doivent être menés régulièrement et avant toute mise en production d'une nouvelle version logicielle.

Les outils de détection des vulnérabilités, comme OpenVAS et Metasploit, permettent d'identifier certaines vulnérabilités connus au sein d'applications. Certaines solutions se spécialisent sur des services particuliers, par exemple Wordpress ou Joomla.

Il est recommandé de vérifier l'état et la fraicheur des bases de données des vulnérabilités. Ces analyses peuvent également nuire au bon fonctionnement des serveurs, elles sont donc plutôt à réaliser sur des environnements en préproduction.

Restreignez ou interdisez l'accès physique et logique aux ports de diagnostic et de configuration à distance. Vous pouvez par exemple lister l'ensemble des ports ouverts au moyen de l'outil .

La commande netstat permet de lister les ports TCP ou UDP ouverts sur un serveur. Sur l'exemple suivant, les ports standards HTTP, HTTPS et SSH d'un serveur sont ouverts vers l'extérieur, un serveur de base de données (MariaDB) est en écoute local et des tentatives connexions sont en cours sur les ports SSH et HTTPS :

$ netstat -alpe --ip Active Internet connections (servers and established) Proto Recv-Q Send-Q Local Address Foreign Address State User Inode PID/Program name tcp 0 0 localhost:mysql 0.0.0.0:* LISTEN mysql 14492 - tcp 0 0 0.0.0.0:http 0.0.0.0:* LISTEN root 50278 - tcp 0 0 0.0.0.0:ssh 0.0.0.0:* LISTEN root 12948 - tcp 0 0 0.0.0.0:https 0.0.0.0:* LISTEN root 50280 - tcp 0 0 mon-serveur.fr:https adresse1.fr:38056 TIME_WAIT root 0 - tcp 0 0 mon-serveur.fr:ssh adresse2.com:45302 TIME_WAIT root 0 - tcp 0 0 mon-serveur.fr.:https adresse3.eu:56277 FIN_WAIT2 root 0 - tcp 0 0 mon-serveur.fr:https adresse4.be:56306 ESTABLISHED www-data 380689 - tcp 0 524 mon-serveur.fr:ssh adresse1.fr:65137 ESTABLISHED root 382490 -

Le logiciel Nmap permet de réaliser cette analyse depuis un réseau de communication. Sur l'exemple suivant, le protocole d'administration SSH du serveur est accessible sur Internet.

$ nmap mon-serveur.fr Starting Nmap 7.80 ( https://nmap.org ) at 2020-06-11 18:13 CEST Nmap scan report for mon-serveur.fr Host is up (0.011s latency). Not shown: 997 filtered ports PORT STATE SERVICE 22/tcp open ssh 80/tcp open http 443/tcp open https Nmap done: 1 IP address (1 host up) scanned in 4.99 seconds

Il nécessite donc une attention particulière, comme l'utilisation d'une authentification forte et/ou d'un filtrage par IP.

Protégez les bases de données que vous rendez accessibles sur Internet, au moins en restreignant au maximum les accès (par exemple par filtrage IP) et en changeant le mot de passe par défaut du compte administrateur.

En matière de gestion de bases de données, les bonnes pratiques sont notamment de :

utiliser des comptes nominatifs pour l'accès aux bases de données et créer des comptes spécifiques à chaque application ;

révoquer les privilèges d'administration des comptes nominatifs ou applicatifs pour empêcher la modification de la structure de la base de données des applications (tables, vues, procédures, etc.) ;

mettre en œuvre des mesures contre les attaques par injection de code SQL, de scripts, etc. ;

favoriser le chiffrement des données sur les disques de stockage et dans les bases de données.

Compartimentez vos différents environnements d'exécution afin d'être en mesure d'appliquer le principe de moindre privilège sur chaque sous-partie des ces environnements.

Vous ne devez collecter que les données personnelles qui sont adéquates, pertinentes et nécessaires au regard des finalités de votre traitement telles que définies au moment de la collecte.

Avant la collecte, pensez aux différents types de données que vous devez collecter et essayez de restreindre votre collecte au strict nécessaire

Si des données spécifiques ne sont pas nécessaires pour une certaine catégorie de personnes, ne les collectez pas.

Traitez et stockez les données de façon à réduire leur précision (à l'instar de la pseudonymisation). Par exemple, stockez seulement l'année de naissance au lieu d'une date de naissance complète si l'application n'a besoin que de l'année.

En cas de collecte de données particulièrement sensibles, par exemple celles relatives à la santé ou à des condamnations pénales, veillez bien à ne collecter que le minimum requis. En raison de ces contraintes réglementaires, le plus simple est encore de ne pas les collecter si vous pouvez vous en passer.

Minimisez la quantité de données collectées également dans les données de journalisation et n'y stockez pas de données sensibles ou critiques (données de santé, mots de passe, etc.).

Pensez à associer des durées de conservation pour chaque catégorie de données, en fonction de la finalité du traitement et des obligations légales ou réglementaires relative à leur conservation. Les journaux doivent également avoir une durée de conservation. Documentez les durées de conservation définies. Vous devrez être en mesure de les justifier.

Une fois les données collectées, mettez en place des mécanismes d'effacement automatique

Mettez en œuvre un système de purge automatique à l'expiration de la durée de conservation. Vous pouvez également mettre en place des revues manuelles des données stockées de façon périodique.

En MySQL, l' event scheduler permet de supprimer les données périmées automatiquement. Par exemple :

CREATE EVENT e_mensuel ON SCHEDULE EVERY 30 DAY COMMENT 'supprime automatiquement les lignes inscrites de plus d un an' DO BEGIN DELETE from votreTable WHERE datediff(now(), votreTable.votreColonneDate) > 365; END

Son pré-requis est d'associer une date d'inscription à chacune des lignes de la base de données afin de permettre le calcul de sa date de péremption.

Afin de garantir un effacement complet, effacez physiquement toutes les données qui ne sont plus nécessaires grâce à des outils spécialisés ou en détruisant les supports physiques.

Si les données sont encore utiles, vous pouvez réduire leur sensibilité en les pseudonymisant, voire en les anonymisant. En cas de pseudonymisation, ces données restent soumises à la réglementation sur les données personnelles ( voir la fiche 1).

La manière de gérer les profils de vos collaborateurs et de vos utilisateurs finaux doit être pensée en amont de vos développements. Elle consiste à définir différents profils d'accès et d'habilitation afin que chaque personne ne puisse accéder qu'aux seules données dont il a effectivement besoin.

Les bonnes pratiques de gestion des utilisateurs

Tout commence par l' utilisation d'identifiants uniques et propres à chaque individu, qu'ils soient utilisateurs de votre application ou collaborateurs dans le développement.

La gestion des profils utilisateurs peut s'accompagner d' un système de journalisation (c'est-à-dire un enregistrement dans des " fichiers journaux " ou " logs ") afin de tracer les activités, et détecter toutes anomalies ou évènements liés à la sécurité, comme les accès frauduleux et les utilisations abusives de données personnelles. L'utilisation de ces dispositifs ne doit en aucun cas servir à d'autres fins que celles de garantir le bon usage du système informatique et les logs ne doivent pas être conservés plus longtemps que nécessaire. Ces systèmes de journalisation ne doivent pas amener à stocker des données au-delà de leur durée de conservation. De manière générale, une durée de six mois est adéquate. Assurez-vous enfin que ces traces ne comportent aucune donnée sensible.

Vous pouvez également prévoir des audits de code ou des tests d'intrusion au sein de votre environnement de développement afin de vous assurer de la robustesse de votre système de gestion des profils.

Fluidifier la gestion des profils d'habilitation

La gestion de vos utilisateurs et collaborateurs implique une revue régulière des droits accordés suivant l'évolution des usages et des mouvements organisationnels au sein de votre projet. L'utilisation de services d'annuaire, comme Lightweight Directory Access Protocol ( LDAP), vous aidera à suivre ces évolutions et vous permettra d'affiner vos stratégies d'accès, par exemple en attribuant des rôles suivant les profils d'usage. Cela vous permet de mieux respecter le principe de moindre privilège.

L'utilisation de compte "suprême" (type root, administrateur, etc.) est à proscrire pour les opérations conventionnelles, car elle constitue la clé de voute de votre système et une cible privilégiée pour un éventuel attaquant externe. Nous vous recommandons d'y associer une politique de mot de passe fort (suite de 10 à 20 caractères ou multifacteur) et de limiter à son plus strict nécessaire le nombre de personnes ayant connaissance de celui-ci.

Favorisez l'usage d'un gestionnaire de mots de passe au sein de votre projet et privilégiez le passage à une authentification forte lorsque c'est possible. Évitez également les comptes génériques partagés entre plusieurs personnes.

Les gestionnaires de mots de passe permettent de centraliser l'ensemble des identifiants et des mots de passe dans une base de données unique. Certains d'entres permettent également de tester la robustesse des mots de passe et d'en générer automatiquement et de manière aléatoire tout en répondant aux contraintes imposées par les systèmes. Assurez-vous avant tout usage que les mots de passes conservées par le logiciel sont chiffrés et protégés par un mot de passe suffisamment robuste.

Le gestionnaire de mots de passe libre KeePass, dans sa en version 2.10, a obtenu la Certification de Sécurité de Premier Niveau (CSPN) de l'ANSSI.

Ressources utiles

Vous utilisez des bibliothèques, kits de développement (" SDK " en anglais), ou d'autres composants logiciels écrits par des tiers ? Voici quelques conseils pour intégrer ces outils tout en gardant la maîtrise de vos développements.

Faire un choix éclairé

Évaluez l'intérêt de l'ajout de chaque dépendance. Certaines briques logicielles couramment utilisées ne font que quelques lignes. Cependant chaque élément rajouté est une augmentation de la surface d'attaque de vos systèmes. Dans le cas où une seule bibliothèque propose plusieurs fonctionnalités, n'intégrez que les fonctionnalités dont vous avez effectivement besoin : en activant le minimum de fonctionnalités, vous réduisez le nombre de bugs potentiels qui pourraient survenir.

Choisissez des logiciels, bibliothèques et SDK maintenus :

Si vous souhaitez utiliser du logiciel libre ou open source, essayez de choisir des projets ou des solutions avec une communauté active, des mises à jour régulières et une bonne documentation ;

Si vous utilisez d'autres types de solutions avec un support commercial, assurez-vous contractuellement que le code sera maintenu et mis à jour pendant toute la durée de vie de votre projet.

Prenez en compte la question de la vie privée. Certains SDK et certaines bibliothèques collectent des données personnelles depuis les applications et les sites sur lesquels ils sont intégrés. Vérifiez les engagements pris par le fournisseur de ces solutions, les directives mise en œuvre fournies. Assurez-vous enfin que l'intégration respecte les conditions suivantes :

l'utilisateur final est informé de ces opérations de traitements ;

un mécanisme est prévu pour recueillir le consentement des utilisateurs lorsqu'une collecte de données non strictement nécessaires pour la fourniture du service est mis en œuvre depuis son terminal ;

les éventuels transferts de données hors de l'union européenne sont correctement encadrés ;

la relation avec le tiers est encadré par un contrat de sous-traitance conforme à l'article 28 du RGPD.

Ces obligations s'appliquent particulièrement aux " SDK " permettant d'afficher de la publicité ciblée sur les terminaux. Ils s'appliquent également à certains outils de sécurisation des terminaux et des sites web, tel que le système de détection d'utilisateurs reCAPTCHA de Google, qui indique dans ses conditions d'utilisation qu'en raison des traitements mise en œuvre, son usage est soumis au consentement des utilisateurs.

Si vous utilisez des mécanismes cryptographiques, il est fortement déconseillé d'implémenter des algorithmes ou des protocoles cryptographiques vous-mêmes. Essayez plutôt de choisir des bibliothèques cryptographiques maintenues, reconnues et faciles d'utilisation.

Évaluer les éléments choisis

Lisez leur documentation et changez leur configuration par défaut. Il est important de connaître le fonctionnement de vos dépendances. Les bibliothèques et SDK tiers sont souvent fournis avec des fichiers de configuration par défaut, qui ne sont que trop rarement modifiés par manque de temps, ce qui provoque de nombreuses failles de sécurité ;

Auditez vos bibliothèques et SDK. Savez-vous vraiment ce que font toutes les bibliothèques et SDK que vous intégrez ? Quelles sont les données qui sont envoyées à travers ces dépendances et quelles sont les destinataires de ces données ? Cet audit vous permettra de déterminer les obligations à respecter en matière de protection des données et d'établir la responsabilité des acteurs ;

Cartographiez vos dépendances. Les bibliothèques et SDK tiers peuvent également intégrer d'autres composants : auditer leur code vous permettra de mieux cartographier toutes vos dépendances et de mieux agir si un problème affecte l'une d'elles. Il est aussi recommandé de faire des audits sécurité de vos composants tiers et d'effectuer une veille sur ceux-ci ;

Les gestionnaires de dépendances intègrent des fonctionnalités de suivi et d'audit. A titre d'exemple, la commande npm audit affiche un rapport des vulnérabilités connues de chaque dépendance d'un projet node.js.

La visualisation des dépendances des applications compilées, ou "packagées", nécessitent des outils plus élaborés. En voici quelques exemples :

L' association Exodus Privacy met librement à disposition la plateforme d'analyse des applications Android εxodus.

L'outil otool liste les dépendances des bibliothèques d'applications macOS et iOS.

L'outil dependency-cruiser affiche sous forme de graphique les dépendances de projet javascript.

Faites attention aux tentatives de typosquattage et autres techniques malveillantes. Vérifiez les noms des dépendances, ainsi que de leurs propres dépendances pour éviter des attaques. Ne copiez-collez pas de lignes de commandes depuis des sites inconnus.

Maintenir les bibliothèques et SDK

Utilisez des systèmes de gestion de dépendances (tels que yum, apt, maven, pip, etc.) afin de maintenir une liste à jour de vos dépendances.

Gérez les mises à jour de vos dépendances, particulièrement dans le cas de mises à jour de sécurité qui corrigent des vulnérabilités. Vous devez mettre en place une procédure documentée pour les gérer et les déployer le plus vite possible ;

Faites attention aux versions des bibliothèques et SDK en fin de support qui ne seront plus maintenues : essayez de trouver une autre solution (choisir une nouvelle bibliothèque, renouveler un support commercial) ;

Surveillez les statuts des projets open-source, notamment le changement de propriétaire du domaine ou du package, certaines attaques utilisant des mises à jour malicieuses de dépendances populaires.

Ressources utiles

Il est indispensable d'adopter au plus tôt une bonne hygiène d'écriture de code. Une bonne lisibilité de votre code permettra de réduire l'effort de maintenance, d'audit et de corrections des bogues dans le temps, que vous, vos collaborateurs ou vos futurs contributeurs devront fournir.

Documentez le code et l'architecture

La documentation est parfois laissée de côté au moment du développement, par manque de temps ou de visibilité sur l'ensemble du projet. Elle est pourtant cruciale pour la maintenabilité de votre projet : elle permet de comprendre globalement le fonctionnement du code, et de savoir quelles parties du code sont affectées par une modification.

Documentez l'architecture, pas uniquement le code : vous devez être en capacité de garder une vision d'ensemble lorsque vous écrivez votre documentation et d'aider les développeuses et développeurs à comprendre de manière globale le fonctionnement de tous vos composants. En conséquence, privilégiez les schémas et des explications claires lorsque vous documentez votre projet.

Maintenez la documentation en même temps que le code : la meilleure façon d'avoir une documentation à jour est de la modifier au fil de l'eau en même temps que le code.

" Versionnez " la documentation avec le code : si vous utilisez un gestionnaire de code source vous pouvez pour chaque " commit " modifiant votre code inclure également les changements de documentation (voir notamment la fiche " Gérer son code source ").

Certains systèmes de documentation utilisent le code lui-même comme support. La documentation est ainsi écrite directement dans les commentaires du programme.

Doxygen, par exemple, offre une syntaxe permettant de générer de la documentation, qui est compatible avec les langages de programmation les plus utilisés. L'exemple suivant est une classe C++ commentée suivant son paradigme :

//! Une classe d'exemple /*! Description plus approfondie de la classe. (Et n'oubliez pas de documenter sans mettre de descriptions génériques dans votre projet.) */ class Example { public: //! Le constructeur de la classe /*! Description plus approfondie du constructeur. */ Example(); //! Le destructeur de la classe. /*! Description plus approfondie du destructeur. */ virtual ~Example(); //! Une méthode qui fait quelque chose /*! \param param1 un paramètre important \param param2 un deuxième paramètre aussi important \return le résultat qui dépend des deux paramètres et de l'état interne de l'instance */ int doSomething(int param1, const char *param2); //! Une variable membre publique /*! Description plus approfondie de la variable membre. */ int attr_; };

Certains langages de programmation supportent également nativement l'utilisation des commentaires pour documenter du code. Par exemple, les "docstrings" en Python :

class Example: """Une classe d'exemple Description plus approfondie de la classe. """ def __init__(self): """Le constructeur de la classe Description plus approfondie du constructeur. """ self.attr = None def do_something(self, param1, param2): """Une méthode qui fait quelque chose param1: un paramètre important param2: un deuxième paramètre aussi important return: le résultat qui dépend des deux paramètres et de l'état interne de l'instance """ [...] return result help(Example) # affiche la documentation complète de la classe, qui est générée en partie à partir des docstrings help(Example.do_something) # affiche uniquement la documentation de la méthode

Pensez à aborder la sécurité dans votre documentation : n'oubliez pas d'envisager la dimension sécurité dans la documentation utilisateur ou développeur. Vous pouvez notamment documenter les différents choix de configuration de votre application, et expliquer quels sont les réglages les plus sécurisés.

Contrôlez la qualité de votre code et de sa documentation

Un code de qualité passe par l' adoption de bonnes pratiques et de conventions de codage appliquées de manière cohérente sur l'ensemble de votre programme. Pour choisir votre convention de codage, le mieux est de se référer à des conventions existantes. Voici quelques exemples de bonnes pratiques supplémentaires :

Des outils peuvent vous aider à contrôler la qualité de votre code. Une fois correctement paramétrés, ils éviteront de relire le code pour vérifier la bonne mise en place des conventions de codage. En voici quelques exemples :

les environnements de développement intégrés (" IDE "), éventuellement à l'aide de greffons (" plugins "), peuvent être configurés pour respecter les règles d'indentation du code, les sauts de ligne entre les différentes portions de code ou encore la position des accolades et autres parenthèses ;

les logiciels de mesure de la qualité du code source peuvent signaler les duplications de code, le respect des règles de programmation ou des bugs potentiels.

Certains langages de programmation disposent d'un style de programmation standard, par exemple PEP8 pour le langage Python. Des outils automatiques peuvent contrôler le respect de ces styles, par exemple pep8.py pour la PEP8. Pour les langages ne disposant pas de styles de programmation standard, différents styles ont été créés, avec des outils automatiques permettant de les vérifier, par exemple SonarQube ou checkstyle pour Java.

Des outils de qualité de code plus généraux peuvent détecter un certain nombre de problèmes : variables non utilisées ou non définies, duplication de code, etc. Par exemple ESLint pour Javascript ou Clippy pour Rust.

Enfin, des outils d'analyse statique permettent une analyse plus fine du code, afin d'évaluer son comportement sans pour autant exécuter le programme, par exemple SpotBugs pour Java ou Frama-C pour le C.

Tester son produit permet de vérifier son bon fonctionnement, de s'assurer d'une bonne expérience utilisateur ainsi que de trouver et prévenir des défauts avant sa mise en production. Tester son produit permet également de réduire les risques d'atteinte aux données personnelles.

Automatisez les tests

Les tests de développement (unitaires, fonctionnels, etc.) vont vérifier l'adéquation entre les spécifications et le fonctionnement du produit. Les tests de sécurité (tests à données aléatoires aussi appelés " fuzzing ", scan de vulnérabilités, etc.), vont vérifier que le produit continue d'avoir un fonctionnement acceptable quand on s'éloigne de son utilisation normale et qu'il ne présente pas de vulnérabilité qui pourrait permettre à des tiers de compromettre sa sécurité. Ces deux types de tests sont importants pour le bon fonctionnement de votre application.

Mettez en place un système d'intégration continue afin de lancer les tests automatiquement après chaque modification dans votre code source.

Les logiciels d'intégration continue permettent d'automatiser les vérifications de code et d'y associer des métriques à chaque modification de code source. Cette pratique vise à détecter les problèmes d'intégration au plus tôt dans le stade de développement comme des modifications à la mise en production.

Des solutions propriétaires et libres existent pour interfacer cette automatisation avec les outils de gestion de code source, entre autres Jenkins et GitLab CI/CD.

Une attention particulière doit être portée sur la sécurisation de ce type de solution. Veillez notamment à ce que la solution dispose pas d'accès privilégiés au gestionnaire de code source ou aux systèmes les hébergeant.

Intégrez les tests dans votre stratégie d'entreprise

Dans la mise en place de l'environnement de tests dans la stratégie de l'entreprise, les métriques acceptables doivent être définies conjointement par toutes les parties avant le développement.

Les métriques auxquelles il faut réfléchir sont par exemple :

Attention aux données de test !

Lors du développement de votre service, il est toujours préférable d'utiliser des données fictives. A défaut, les environnement des tests doivent faire l'objet des mêmes mesures de sécurité que l'environnement de production.

La génération de données fictives peut se faire au travers d'outils construits pour tester vos services en générant des données variées et parfois inattendues. Par exemple, en python, la librairie Faker permet simplement de générer de nombreux types de données :

from faker import Faker # Définit une instance localisée en France fake = Faker("fr_FR") # Numéro de téléphone fake.phone_number() # '+33 3 38 24 21 94' # Adresse email fake.ascii_email() # 'lorraineboutin@live.com' # Numéro de carte de crédit fake.credit_card_number() # '180009753513939' # IBAN fake.iban() # 'FR05660487647593824219489241'

Si vous avez besoin d'importer des configurations existantes depuis la production dans vos scénarios de test, pensez à anonymiser les données personnelles qui peuvent être présentes.

Le principe de transparence du RGPD exige que toute information ou communication relative au traitement de données à caractère personnel soit concise, transparente, compréhensible et aisément accessible en des termes simples et clairs.

Qui informer et quand le faire ?

Quelles informations dois-je donner ?

Dans tous les cas, il faut préciser :

l'identité et les coordonnées de l'organisme qui collecte les données (qui traite les données ?) ;

les finalités (à quoi vont servir les données collectées ?) ;

la base légale sur laquelle repose le traitement des données (retrouvez toutes les informations sur les bases légales) ;

le caractère obligatoire ou facultatif du recueil des données (ce qui suppose une réflexion en amont sur l'utilité de collecter ces données au vu de l'objectif poursuivi - principe de " minimisation " des données) et les conséquences pour la personne en cas de non-fourniture des données ;

les destinataires ou catégories de destinataires des données (qui a besoin d'y accéder ou de les recevoir au vu des finalités définies, y compris les sous-traitants ?) ;

la durée de conservation des données (ou critères permettant de la déterminer) ;

l'existence des droits des personnes concernées ainsi que les moyens de les exercer ( les droits d'accès, de rectification, d'effacement et à la limitation sont applicables pour tous les traitements) ;

les coordonnées du délégué à la protection des données de l'organisme, s'il a été désigné, ou d'un point de contact sur les questions de protection des données personnelles ;

le droit d'introduire une réclamation auprès de la CNIL.

Dans certains cas particuliers, il faut fournir des informations supplémentaires, comme dans le cas de transferts de données hors UE, de prise de décision entièrement automatisée ou de profilage, ou encore lorsque la base légale du traitement est l'intérêt légitime poursuivi par l'organisme qui collecte les données ( voir le site de la CNIL pour en savoir plus).

En cas de collecte indirecte, il faut ajouter :

Sous quelle forme dois-je fournir ces informations ?

L'information doit être facile d'accès : l'utilisateur doit la trouver sans difficultés.

Elle doit être fournie de manière claire et compréhensible, c'est-à-dire avec un vocabulaire simple (phrases courtes, sans termes juridiques ou techniques, sans ambiguïtés) et une information adaptée au public visé (avec une attention particulière à l'égard des enfants et personnes vulnérables).

Elle doit être écrite de manière concise. Afin d'éviter l'écueil du déluge d'informations noyant l'utilisateur, il faut amener les informations les plus pertinentes au bon moment. Vous pouvez adopter une approche à plusieurs niveaux, en veillant à ce que les personnes bénéficient d'un aperçu clair des informations qui leur sont accessibles sur le traitement de ses données à caractère personnel et du moyen de trouver les informations détaillées.

Elle doit être adaptée au support d'usage. Par exemple, pour des dispositifs sans écran comme des enceintes connectées, vous pouvez vous reposer sur un dispositif externe ("application compagnon") pour délivrer une information exhaustive aux utilisateurs. Un premier niveau d'information doit également être accessible par l'interface d'usage du dispositif.

Les informations en rapport avec la protection des données doivent pouvoir être distinguées de celles qui ne sont pas spécifiquement liées à la vie privée (comme les clauses contractuelles ou les conditions générales d'utilisation).

Les méthodes et techniques choisies pour rendre l'information accessible peuvent varier en fonction du contexte et des modalités d'interaction avec les personnes : pop-in, bulles, pages dédiées, QR code, messages audio, vidéos, panneaux d'affichage, documentation papier, campagne d'information, etc.

De plus, le moment de présentation de l'information est crucial : il faut veiller à faire en sorte qu'elle soit délivrée " à froid " pour que la personne en prenne pleinement connaissance. Une information claire donnée en amont d'un acte d'achat ou de souscription et, à l'inverse, en aval après un temps d'appropriation du service sont ainsi généralement plus accessibles et mieux prises en compte qu'une information placée au moment où la personne vient de décider d'acheter ou de souscrire car elle est généralement soumise à un biais de confirmation à ce moment-là.

Le site Données & Design développe ces concepts et fournit des exemples d'interfaces et d'informations permettant de faciliter la compréhension du traitement. Le site de la CNIL comprend également des exemples de notices d'information à plusieurs niveaux d'information à adapter ou à adapter suivant le contexte de votre traitement.

Quelle communication effectuer lorsque la sécurité des données est compromise ?

Si ces risques sont élevés, l'organisme doit également en informer les personnes concernées le plus rapidement possible et leur adresser des conseils pour protéger leurs données (ex. annulation d'une carte bancaire compromise, modification d'un mot de passe, modification des paramétrages vie privée...).

La notification de la violation à la CNIL doit se faire via le site web de la CNIL. La fiche 18 Se prémunir contre les attaques informatiques donne quelques exemples d'attaques qui peuvent conduire à devoir notifier la CNIL et, le cas échéant, les personnes concernées.

Ressources utiles

Les personnes dont vous traitez les données ont des droits sur ces données : droit d'accès, de rectification, d'opposition, d'effacement, à la portabilité et à la limitation du traitement. Vous devez leur donner les moyens d'exercer effectivement leurs droits et prévoir dans vos systèmes informatiques les outils techniques qui permettront la bonne prise en compte de leurs droits.

Les mesures minimales à mettre en place

Tous les organismes qui utilisent des données personnelles ont l'obligation d'indiquer où et comment les personnes peuvent exercer leurs droits relatifs à ces données. Vous pouvez par exemple mentionner une adresse e-mail ou un formulaire web au moment de l'information des personnes, ainsi que dans votre politique de vie privée.

Voici quelques exemples de droits et leur possible implémentation

Droit à l'effacement : les personnes ont le droit de demander l'effacement de l'intégralité des données que vous détenez sur elles.
Possibles implémentations :

1. Prévoyez une fonctionnalité permettant d'effacer toutes les données relatives à une personne.

2. Prévoyez aussi une notification automatique des sous-traitants afin qu'ils effacent eux aussi les données relatives à cette personne.

3. Prévoyez un effacement des données également dans les sauvegardes, ou une autre solution permettant de ne pas restaurer les données effacées relatives à cette personne.

L'exercice d'un droit peut constituer un événement exceptionnel dans le parcours utilisateur classique d'un service. De fait, il est d'autant plus important de bien la guider dans cette démarche qui peut paraître intimidante : proposer des étapes simples pour formuler une demande, rappeler l' utilité des droits et des résultats attendus, mettre à disposition des modèles de demande pour faciliter les démarches.

L'exercice d'un droit peut s'effectuer par différentes modalités et différents formats: formulaire, mail, comptes en ligne, courrier. Le site Données & Design fournit des exemples d'interfaces pour faciliter les exercices de droits.

Tout au long du processus d'exercice des droits, il est important de veiller à ce que la personne soit informée de l'évolution de sa demande. Lui faire des retours régulièrement, pour attester de la bonne réception de sa demande ou encore pour lui faire des retours sur les décisions prises suite à celle-ci, dans un format accessible et correspondant à celui avec lequel elle vous a contacté est donc nécessaire.

Afin d'assurer à la personne une bonne continuité dans sa démarche d'exercice de droit, ou en cas de contestation de sa part de la décision que vous prenez auprès d'une autorité de protection, il est recommandé de permettre à la personne de pouvoir garder facilement une trace de sa démarche. Un système d'impression de demandes, d'archivage ou de téléchargements des échanges, etc. peuvent ainsi être mis en place.

En conclusion

Le site Données & Design développé par le Laboratoire d'Innovation Numérique de la CNIL (LINC).

Enfin, soyez inventifs ! (En cas de doute, demandez conseil à la CNIL.)

Les données personnelles ne peuvent pas être conservées pour une durée indéfinie : celle-ci doit être définie en fonction des objectifs poursuivis par le traitement. Une fois cet objectif atteint, ces données devraient être archivées, supprimées ou anonymisées (par exemple afin de produire des statistiques).

Les cycles de conservation des données

Le cycle de conservation des données à caractère personnel peut être divisé en trois phases successives distinctes :

Les mécanismes de suppression de données personnelles des bases actives permettent de garantir que les données sont conservées et accessibles par les services opérationnels uniquement le temps nécessaire à l'accomplissement de l'objectif poursuivi par le traitement.

Veillez également à prévoir des modalités d'accès spécifiques aux données archivées du fait que l'utilisation d'une archive doit intervenir de manière ponctuelle et exceptionnelle.

Si possible, utilisez la même implémentation lors de la mise en œuvre de la purge ou l'anonymisation des données que celle gérant le droit à l'effacement (cf. fiche sur l'exercice des droits), afin de garantir un fonctionnement homogène de votre système.

Quelques exemples de durée de conservation

Les données relatives à la gestion de la paie ou au contrôle des horaires des salariés peuvent être conservées pendant 5 ans.

Les données figurant dans un dossier médical doivent être conservées 20 ans.

Les coordonnées d'un prospect ne répondant à aucune sollicitation peuvent être conservées pendant 3 ans.

Les données de journalisation peuvent être conservées entre 6 mois et un an. Cette durée peut être allongée dans des cas spécifiques, lorsque la loi l'impose sur certaines catégories de traitements et suivant le risque de détournement de la finalité de l'utilisation des données.

Pour pouvoir être mis en œuvre, les traitements de données personnelles doivent se fonder sur l'une des " bases légales " mentionnées à l'article 6 du RGPD. La base légale d'un traitement est en quelque sorte la justification de l'existence même du traitement. Le choix d'une base légale va directement impacter les conditions de mise en œuvre du traitement et les droits des personnes. Ainsi, prévoir en amont d'un développement les bases légales des traitements prévus dans le projet vous permettra d'intégrer au mieux les fonctions nécessaires à la conformité à la loi de ces traitements et au respect des droits des personnes.

Définition des bases légales prévues par le RGPD

Dans le cadre d'un développement pour un organisme privé (entreprises, associations, etc.), les bases légales les plus souvent utilisées sont :

Si vous êtes une autorité publique ou un organisme poursuivant des missions d'intérêt public, d'autres bases légales peuvent également être utilisées :

Vous trouverez sur le site de la CNIL un ensemble de fiches pratiques qui vous permettra de vous accompagner dans le choix des bases légales les plus adaptées à vos traitements.

Enfin, dans des cas très spécifiques, la sauvegarde des intérêts vitaux peut être retenue comme base légale, par exemple lorsque le traitement est nécessaire pour suivre la propagation d'épidémies ou dans les cas d'urgence humanitaire.

Choisir la base légale adéquate

Une seule base légale doit être choisie pour une finalité donnée. Les bases légales ne peuvent être cumulées pour une même finalité. Un même traitement de données peut poursuivre plusieurs finalités, c'est-à-dire plusieurs objectifs, et une base légale devra alors être définie pour chacune d'elles.

Comme évoqué ci-dessus, si vous êtes un organisme public, l'obligation légale et la mission d'intérêt public seront les plus pertinentes dans la majorité des cas.

Si votre traitement s'inscrit dans une relation contractuelle et que sa finalité est objectivement et strictement nécessaire à la fourniture du service de l'utilisateur (par exemple, le nom, le prénom et l'adresse pour créer un compte sur un site de e-commerce) alors la base légale du contrat devrait être appropriée.

Si votre traitement ne s'inscrit pas dans une relation contractuelle avec l'utilisateur, alors les bases légales du consentement ou de l'intérêt légitime peuvent être mobilisées. Si votre traitement est potentiellement intrusif (profilage, collecte de données de géolocalisation, etc.), le consentement est susceptible d'être la base légale appropriée.

Les bases légales utilisées doivent toujours figurer dans les informations transmises à la personne.

Il est recommandé de documenter le choix de vos bases légales. Ces choix peuvent par exemple être indiqués dans une cartographie des traitements ou associés à votre documentation technique.

Le tableau suivant récapitule les exercices des droits à prévoir suivant les bases légales choisies :

* Lorsque votre traitement est fondé sur l'intérêt légitime, vous devrez également indiquer les intérêts légitimes poursuivis (lutte contre la fraude, sécurité du système, etc.)

** Lorsque votre traitement est fondé sur l'obligation légale, le droit à l'effacement peut s'appliquer si le traitement répond aux conditions suivantes :

1. les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d'une autre manière; ou

2. les données à caractère personnel ont fait l'objet d'un traitement illicite; ou

3. les données à caractère personnel doivent être effacées pour respecter une obligation légale qui est prévue par le droit de l'Union ou par le droit de l'État membre auquel le responsable du traitement est soumis.

La directive européenne ePrivacy requiert le consentement de l'utilisateur avant toute action visant à stocker des informations - via des cookies, identifiants ou autres traceurs (empreintes logiciels, pixels) - ou à accéder à des informations stockées dans l'équipement terminal de l'utilisateur. Afin de se conformer à ses obligations, tout éditeur de site ou d'application doit analyser ses pratiques en terme d'usage des traceurs selon les principes présentés ci-après.

Les traceurs visés par l'obligation du recueil du consentement préalablement à leur usage

Cette obligation s'applique à toutes les solutions techniques reposant sur des opérations de lecture ou écriture dans le terminal et désignées par la CNIL sous le terme de " traceur ". Elles s'appliquent notamment aux cookies, mais aussi aux " local shared objects " appelés parfois les " cookies Flash ", le " local storage " mis en œuvre au sein du standard HTML 5, les identifications par calcul d'empreinte du terminal ou " fingerprinting ", les identifiants générés par les systèmes d'exploitation (qu'ils soient publicitaires ou non : IDFA, IDFV, Android ID, etc.) ou les navigateurs (identifiants de cohorte,etc.), les identifiants matériels (adresse MAC, numéro de série ou tout autre identifiant d'un appareil), etc.

La CNIL a identifié cinq catégories de finalité qui nécessitent obligatoirement un consentement préalable de l'utilisateur avant leur dépôt:

la publicité personnalisée ;

la mesure de la publicité (non ciblée) ;

la publicité geolocalisée ;

la personnalisation du contenu (éditorial ou en termes de produits) ;

le partage sur les réseaux sociaux.

Les traceurs qui ne sont pas visés par ces obligations

Certains traceurs peuvent être exemptés du recueil de consentement : les traceurs destinés à l'authentification auprès d'un service, ceux destinés à garder en mémoire le contenu d'un panier d'achat sur un site marchand, certains traceurs visant à générer des statistiques de fréquentation, ou encore ceux permettant aux sites payants de limiter l'accès gratuit à un échantillon de contenu demandé par les utilisateurs.

Le fait d'utiliser un seul traceur pour de multiples finalités n'exonère pas de recueillir le consentement pour chacune des finalités qui le nécessite. Par exemple, si un cookie d'authentification est également utilisé à des fins de ciblage publicitaire, le consentement de l'internaute devra être recueilli pour cette dernière finalité, de la même manière que pour un site non " loggué ".

Sous certaines conditions, les cookies relatifs à la mesure d'audience peuvent être exempté du recueil de consentement. La CNIL a mis en place un programme permettant de connaître les configurations à suivre pour différents outils.

Le chargement de ressources statiques sans traceurs, c'est-à-dire les images, les scripts et les feuilles de styles, n'est pas considéré en tant que tel comme un accès ou une inscription de données dans le terminal d'utilisateur au sens de ePrivacy, et n'est pas soumis à des obligations spécifiques à ce titre.

En pratique

Si vous utilisez des traceurs visées par ces obligations, il vous faut suivre les étapes suivantes :

1- Lister les traceurs utilisés (tous les types de traceurs) et les classer par finalité en fonction des catégories identifiées.

2- Lister les tiers qui déposent ces traceurs.

3- Mettre en place un blocage des scripts ou appels HTTP déposant et accédant aux traceurs nécessitant le consentement afin de s'assurer de l'absence d'opération avant tout consentement ou bien mettre en place une solution technique permettant de garantir l'absence d'opération de lecture ou écriture tant que l'utilisateur n'a pas consenti..

4- Mettre en place une interface qui propose à l'utilisateur de consentir au dépôt de ces traceurs.

5- Sur chaque page, intégrer une icône ou lien pour faire réapparaitre l'interface afin de permettre le retrait du consentement.

6- Régulièrement, tester votre site ou votre application pour bien s'assurer qu'aucun traceur non nécessaire n'est déposé sans consentement et documentez votre conformité.

Les finalités choisies doivent être formulées de manière intelligible et dans un langage adapté et suffisamment clair pour permettre aux utilisateurs de comprendre précisément ce à quoi ils consentent.

Il est fortement recommandé de hiérarchiser les informations délivrées à l'utilisateur sur plusieurs niveaux pour plus de clarté.

Le premier niveau de l'interface doit comprendre :

une liste des finalités poursuivies,

un lien vers la liste les tiers,

une explication des conséquences qui s'attachent à une acceptation ou un refus,

un bouton pour accepter et refuser (refuser les traceurs devant être aussi aisé que de les accepter).

Le second niveau d'interface doit permettre à l'utilisateur de faire un choix sur la finalité de traceurs:

D'autres exemples d'interface, notamment pour les applications, sont disponibles dans la recommandation de la CNIL proposant des modalités pratiques de mise en conformité en cas de recours aux "cookies et autres traceurs".

Des sociétés proposent également des outils de Consent Management Platform (CMP) ou des Tag Managers pour faciliter la mise en conformité des sites.

La gestion d'un site web ou d'une application mobile requiert généralement l'utilisation de statistiques de fréquentation ou de performance. Utilisant des cookies ou d'autres traceurs, ils peuvent être exemptés de consentement sous certaines conditions.

Bénéficier de l'exemption de consentement

Pour bénéficier de l'exemption de consentement sur les traceurs de mesure d'audience, et afin de limiter à ce qui est strictement nécessaire à la fourniture du service, la CNIL demande de respecter les conditions suivantes :

La CNIL recommande par ailleurs que :

Il est par ailleurs possible pour un sous-traitant de fournir un service de mesure d'audience comparatif à de multiples éditeurs, sous réserve que les données soient collectées, traitées et stockées de manière indépendante pour chaque éditeur et que les traceurs soient indépendants les uns des autres.

En pratique

La destruction, la perte, l'altération, ou la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées par un organisme constituent une violation de données personnelles. En tant que développeuse ou développeur, vous êtes tenu*e*s de mettre en œuvre toutes les mesures nécessaires dans vos applications pour prévenir les attaques ou les négligences pouvant entrainer de telles violations.

Cette fiche dresse une liste non-exhaustive de vulnérabilités ayant conduit à des violations de données notifiées à la CNIL. Elle liste des exemples de mesures qui auraient permis de les éviter.

Manipulation d'URL

La manipulation d'URL consiste à modifier les éléments d'une URL dans le navigateur en vue d'accéder à une ressource non ou mal sécurisée et auquel l'internaute ne devrait normalement pas avoir accès (page web, document accessible en ligne...).

Différents modes opératoires existent :

Des mesures permettent de limiter ce risque :

Ressources :

Bourrage d'identifiants ("Credential stuffing")

Le bourrage d'identifiants (" credential stuffing ") consiste à réaliser des tentatives d'authentification massives sur des sites et services web à partir de couples identifiants/mots de passe. Il est le plus souvent la conséquence de violations de données ayant préalablement affecté d'autres sites web, par le biais desquelles des listes de couples d'identifiants/mots de passe sont alors disponibles en très grande quantité au sein du web caché (" dark web ").

Il est rendu possible par la réutilisation par les utilisateurs de couples d'identifiants/mots de passe communs pour des services en ligne différents, et permet aux attaquants de prendre le contrôle de comptes utilisateurs parfois sensibles (emails, banque, réseaux sociaux)

Des mesures permettent de limiter ce risque :

Ressources :

Attaques par force brute et par dictionnaire

Ressources :

Injection de code indirecte ("Cross-Site Scripting"/XSS)

Les attaques par " injection de code indirecte " (de l'anglais Cross-Site Scripting, abrégé XSS) consistent à insérer un contenu malveillant dans une page d'un serveur de confiance afin qu'il soit affiché sur le navigateur de la victime.

Ces injections peuvent permettrent l'exécution de scripts malveillants sur le navigateur de l'internaute. Elle peuvent notamment donner lieu : à l'affichage d'une fausse fenêtre d'authentification afin de dérober les identifiants et le mot de passe de l'utilisateur, à l'exécution de commandes système, à la redirection vers un site malveillant, à la récupération des cookies présents sur la machine (ex : cookie d'authentification), au téléchargement de programmes malveillants ou encore à l'enregistrement des frappes clavier (key logging), etc.

Ces injections peuvent prendre plusieurs formes :

le contenu malveillant peut être injecté directement sur le site par l'attaquant, par exemple dans ses champs de commentaires ;

le contenu malveillant peut être inclus dans les paramètres des requêtes envoyées aux serveurs afin d'exploiter ses vulnérabilités, par exemple pour obtenir un accès complet à sa base de données ;

le contenu malveillant peut être injecté dans les paramètres d'une URL et affiché sur le navigateur de l'utilisateur comme un contenu "légitime" du site.

Des mesures permettent de limiter ces risques :

mettre à jour les composants logiciels régulièrement ;

diligenter des audits de sécurité (tests de pénétration) de façon périodique et après chaque mise à jour significative ;

neutraliser les caractères utilisés pour l'insertion de script (> < /) lorsque c'est possible (cf. nettoyage " HTML escape ") ;

vérifier les éléments récupérés en paramètre et rejeter tous ceux qui ne sont pas attendus par l'application ;

vérifier que les téléversements (upload) légitimes (photos de profil, par exemple) sur le serveur soient au format attendu et placés dans un répertoire ne permettant pas leur exécution ;

exécuter des outils automatisés de détection de failles et de flux " anormaux " (présence de scripts dans les journaux et requêtes serveurs).

Ressources :

Injection SQL (SQLi)

L'injection SQL est une technique permettant d'injecter du code de type SQL (langage utilisé pour manipuler certaines bases de données) dans les données envoyées au serveur web au lieu de données valides. Par exemple, un attaquant peut injecter du code SQL dans les champs des formulaires HTML ou dans les URL des pages web.

De cette façon, les attaquants outrepassent les contrôles de sécurité et peuvent consulter ou modifier des éléments présents dans une base de données. D'autres types d'injection de code sont également possibles (par exemple : les injections LDAP, si le serveur web contacte un annuaire via une requête LDAP, ou du code bash si le serveur appelle une commande externe en passant les paramètres à un shell).

Des mesures permettent de limiter ce risque :

utiliser des requêtes préparées ( Prepared Statements) exclusivement, lorsque cela est possible ;

échapper les caractères susceptibles de provoquer une injection, en utilisant des fonctions spécialisées ;

restreindre et contrôler les entrées externes autant que possible. Par exemple, si l'identifiant est un chiffre, n'accepter que des chiffres ;

vérifier les données externes (notamment lorsqu'il est impossible de les restreindre ou lorsque certains caractères spéciaux utilisés en SQL sont des données acceptables en entrée) ;

mettre en œuvre une gestion fine des droits d'accès à la base de données. Par exemple, il est inutile d'accorder un accès total en lecture et écriture à un service qui ne fait que lire des données. Il est également possible de restreindre les droits de l'utilisateur à une seule table ou une seule base de données ;

neutraliser les messages d'erreur afin d'éviter la divulgation d'informations techniques recherchées par les attaquants (en affichant un message de type " erreur 403 ", par exemple).

Ressources :

Les programmes malveillants et les rançongiciels

Ainsi, tout téléchargement ne provenant pas d'une source fiable est potentiellement un programme malveillant. Dans la majorité des cas, il est téléchargé en :

ouvrant la pièce jointe d'un email provenant d'une source inconnue ;

ou en téléchargeant un logiciel mis à disposition sur un site inconnu (ou n'étant pas de confiance) ;

ou en téléchargeant des logiciels associés à un logiciel connu ou provenant d'une source non fiable ;

ou en visitant un site web malveillant.

Le rançongiciel ( ransomware, cryptolocker) se transmet souvent via une pièce jointe de courriel ou via des liens permettant le téléchargement de logiciels ou de contenus. Une fois présent sur son hôte, ce programme va progressivement chiffrer tous les fichiers qui lui sont accessibles afin de les rendre illisibles par les utilisateurs. Dans le cas d'un réseau d'entreprise, le logiciel va chercher à se propager sur les ressources accessibles via le réseau en utilisant des failles connues, des mots de passe faibles ou réutilisés. L'attaquant demande alors une rançon à la personne ou à l'organisme victime en échange de la clé permettant de déchiffrer les fichiers.

Le rançongiciel est un malware très répandu car très rentable pour les attaquants. En effet, celui-ci exige une rançon rapide et le plus souvent en cryptomonnaie. Si ce type d'attaque est parfois opportuniste, pour des rançons correspondant généralement à quelques centaines d'Euros, certains attaquants ciblent également depuis plusieurs années des entités de tailles importantes (grandes entreprises, collectivités, etc.) pour des montants pouvant atteindre plusieurs dizaines de millions d'Euros.

Les mesures à mettre en œuvre afin de réduire le risque d'attaque sont surtout d'ordre organisationnel :

maintenir à jour ses systèmes et logiciels (antivirus, équipements pare-feu, etc.) ;

faire des sauvegardes régulières des données, les tester régulièrement et en conserver au moins une copie hors du réseau de l'organisme ;

sensibiliser les utilisateurs aux risques et aux bonnes pratiques : ne pas ouvrir les pièces jointes, ni cliquer sur les liens présents dans les courriels dont la provenance n'est pas fiable (surtout lorsque les pièces jointes ont une extension suspecte), ne pas installer d'application ou de programme dont l'origine n'est pas de confiance, éviter les sites non sûrs ou illicites ;

ne pas utiliser de compte ayant des droits " administrateur " pour l'usage quotidien (le recours aux droits " administrateur " doit être limité aux seules actions le nécessitant) ;

ne pas installer de logiciels piratés ou issus de sources non fiables ;

cloisonner son réseau interne, notamment au moyen de VLAN afin de limiter la propagation de l'attaquant, le cas échéant ;

utiliser un proxy web permettant de bloquer les sites pouvant diffuser de tels logiciels.

Ressources :

# data[].attributes.attachment_link.title
Fiche n°18 : Se prémunir contre les attaques informatiques

# data[].attributes.attachment_link.description
La CNIL publie un guide RGPD pour les développeuses et développeurs Afin de vous accompagner dans la mise en conformité de vos développements projet web ou applicatif, la CNIL a élaboré un guide de bonnes pratiques des développements en open source. Ce guide est publié sous licence GPLv3 et sous licence ouverte 2.0 (explicitement compatible avec CC-BY 4.0 FR).

# data[].attributes.headline
ANALYSE D'IMPACT RELATIVE À LA PROTECTION DES DONNÉES (AIPD) 1 : LA MÉTHODE

# data[].attributes.subject
ANALYSE D'IMPACT RELATIVE À LA PROTECTION DES DONNÉES (AIPD) 1 : LA MÉTHODE

# data[].attributes.headline
ANALYSE D'IMPACT RELATIVE À LA PROTECTION DES DONNÉES (AIPD) 2 : LES MODÈLES

# data[].attributes.subject
ANALYSE D'IMPACT RELATIVE À LA PROTECTION DES DONNÉES (AIPD) 2 : LES MODÈLES

# data[].attributes.headline
ANALYSE D'IMPACT RELATIVE À LA PROTECTION DES DONNÉES (AIPD) 3 : LES BASES DE CONNAISSANCES

# data[].attributes.subject
ANALYSE D'IMPACT RELATIVE À LA PROTECTION DES DONNÉES (AIPD) 3 : LES BASES DE CONNAISSANCES

# data[].attributes.headline
La charte d’accompagnement des professionnels

# data[].attributes.subject
La charte d’accompagnement des professionnels

# data[].attributes.body
Pourquoi cette charte ? Avec le RGPD, le premier acteur de la conformité à la réglementation relative à la protection des données est le professionnel lui-même, les traitements de données (sauf pour certaines données sensibles) n’étant plus soumis à autorisation ou déclaration mais au contrôle a posteriori de la CNIL. Pour autant, l’accompagnement des professionnels est l’une des missions essentielles de la CNIL ; l’article 8 de la loi « informatique et Libertés » précise ainsi que la CNIL « conseille les personnes et organismes qui mettent en œuvre ou envisagent de mettre en œuvre des traitements automatisés de données à caractère personnel ». Dans ce cadre, la CNIL se doit d’apporter une doctrine précise et de la sécurité juridique aux acteurs. Dans une logique de transparence, et dans la mesure où cette mission s’exerce dans un contexte où ses ressources sont limitées, la CNIL a décidé d’afficher sa politique en la matière à travers cette charte. A qui s’adresse-t-elle? La présente charte d’accompagnement s’adresse au public « professionnel » de la CNIL, à savoir : les responsables de traitement ou leurs sous-traitants, ainsi qu’aux associations professionnelles qui les représentent, soumis aux réglementations en matière de données personnelles, qu’ils soient publics ou privés ; les fournisseurs de solutions techniques, technologiques ou méthodologiques dont les produits et services sont utilisés pour traiter des données, sans qu’ils soient eux-mêmes soumis directement aux réglementations. Son but est d’exposer les grands principes guidant l’action d’accompagnement de la CNIL, sa méthode, mais aussi ses limites. Les citoyens dont les données sont traitées peuvent utiliser le service Besoin d’aide de la CNIL, contacter la permanence juridique voire déposer une plainte auprès d’elle.

# data[].attributes.body
Elaborés en concertation avec les acteurs d'un secteur d'activité, les packs représentent un nouveau mode de régulation pour la CNIL. Ils visent à définir et diffuser les bonnes pratiques pour un secteur, tout en simplifiant les formalités administratives des acteurs qui s'y conforment. Ils peuvent ainsi contenir des mesures de simplification des formalités, des guides pratiques et pédagogiques, des tests de vérification de conformité à la loi.

# data[].attributes.attachment_link.title
Les packs de conformité sectoriels | CNIL

# data[].attributes.attachment_link.description
Elaborés en concertation avec les acteurs d’un secteur d’activité, les packs représentent un nouveau mode de régulation pour la CNIL. Ils visent à définir et diffuser les bonnes pratiques pour un secteur, tout en simplifiant les formalités administratives des acteurs qui s’y conforment. Ils peuvent…

# data[].attributes.headline
Certification des prestataires de formation à la protection des données : la CNIL publie un référentiel de critères

# data[].attributes.subject
Certification des prestataires de formation à la protection des données : la CNIL publie un référentiel de critères

# data[].attributes.body
Afin d’apporter des garanties sur la qualité des formations délivrées en matière de protection des données, les prestataires devront respecter un référentiel de critères avant d’obtenir une certification auprès des organismes agréés par la CNIL.

# data[].attributes.attachment_link.readable_text
Quand est-il possible de demander une certification ?

La publication des critères de certification constitue la première étape du lancement de la certification des prestataires de formation à la protection des données. Ainsi, les prestataires de formation, qui souhaitent obtenir leur certification au plus tôt, disposent d'une période d'environ 10 mois pour se mettre en conformité avec les critères du référentiel et préparer leur candidature.

À l'issue de cette période préparatoire, les prestataires de formation pourront se porter candidat à la certification auprès d'un des organismes certificateurs agréés et référencés sur le site web de la CNIL.

S'agissant des organismes certificateurs, ceux-ci devront faire une demande d'accréditation auprès du Comité français d'accréditation (Cofrac) et pourront recevoir les premiers dossiers des candidats à la certification fin 2021.

Le contenu du référentiel

Le référentiel comporte près d'une trentaine de critères ayant pour objectif de démontrer la qualification du prestataire de formation à la protection des données. Ces exigences sont divisées en thématiques :

les exigences générales ;

l'information du public sur les formations proposées ;

l'identification des besoins et des objectifs de formation ;

la conception des formations ;

la préparation et à l'adaptation des formations aux apprenants ;

les conditions de réalisation des formations ;

les compétences des intervenants ;

le recueil des appréciations et la prise en compte des réclamations.

Il est accompagné d'un référentiel général d'aptitudes et de connaissances (les notions clés à maîtriser, les principes de la protection des données, les responsabilités des acteurs, le délégué à la protection des données et la mise en place de sources de veille).

Un guide de lecture accompagne également le référentiel afin de faciliter l'accès à la certification, notamment à partir d'exemples et de situations pratiques. Ce guide sera enrichi à partir du retour d'expérience des premières évaluations qui seront réalisées.

# data[].attributes.attachment_link.title
Certification des prestataires de formation à la protection des données : la CNIL publie un référentiel de critères

# data[].attributes.attachment_link.description
La publication des critères de certification constitue la première étape du lancement de la certification des prestataires de formation à la protection des données. Ainsi, les prestataires de formation, qui souhaitent obtenir leur certification au plus tôt, disposent d'une période d'environ 10 mois pour se mettre en conformité avec les critères du référentiel et préparer leur candidature.

# data[].attributes.headline
Référentiel - Certification des prestataires de formation à la protection des données personnelles

# data[].attributes.subject
Référentiel - Certification des prestataires de formation à la protection des données personnelles

# data[].attributes.headline
Annexe : guide de lecture des critères du référentiel de certification des prestataires de formation à la protection des données personnelles

# data[].attributes.subject
Annexe : guide de lecture des critères du référentiel de certification des prestataires de formation à la protection des données personnelles

# data[].attributes.headline
Référentiel - Agrément des organismes pour la certification des prestataires de formation à la protection des données

# data[].attributes.subject
Référentiel - Agrément des organismes pour la certification des prestataires de formation à la protection des données

# data[].attributes.headline
Liste des organismes agréés à former les DPO

# data[].attributes.subject
Liste des organismes agréés à former les DPO

# data[].attributes.attachment_link.description
Protéger les données personnelles, accompagner l'innovation, préserver les libertés individuelles

# data[].attributes.headline
Le règlement général sur la protection des données - RGPD

# data[].attributes.subject
Le règlement général sur la protection des données - RGPD

# data[].attributes.attachment_link.title
Le règlement général sur la protection des données - RGPD

# data[].attributes.attachment_link.description
Modifié par Rectificatif au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) JOUE L127 2 du 23/05/2018

# data[].attributes.headline
Professionnels du secteur social : comment mieux protéger les données de vos usagers dans le cadre des démarches en ligne ?

# data[].attributes.subject
Professionnels du secteur social : comment mieux protéger les données de vos usagers dans le cadre des démarches en ligne ?

# data[].attributes.attachment_link.readable_text
Les intervenants du secteur social (bénévoles, salariés, etc.) et de la médiation numérique accompagnent quotidiennement les usagers dans leurs démarches en ligne. La CNIL propose à ces professionnels un " kit " d'information pour améliorer la protection des données de leurs publics.

Les professionnels du secteur social et de la médiation numérique accompagnent leurs publics dans le cadre de :

formations à la maîtrise des outils numériques (" je forme ") ;

l'aide apportée aux personnes dans la réalisation de leurs démarches en ligne, que ce soit en leur présence (" j'accompagne ") ou en leur absence (" je fais ").

Voici les bonnes pratiques à mettre en œuvre selon les différents contextes d'accompagnement.

" Quand je le forme ... "

Je l'informe

Avant de prendre les commandes de son poste, l'usager ne sait peut-être pas que les actions qu'il effectue sur un poste public (logs, heure de connexion, sites consultés etc.) sont enregistrées dans un journal pour des raisons de sécurité. Il est donc essentiel de l'en informer notamment si l'écran de l'utilisateur est déporté sur le poste du formateur pour le suivi pédagogique.

Je sensibilise

Si vous connaissez des outils plus respectueux des données personnelles et de la vie privée, encouragez vos usagers à les utiliser.

Je lui demande le moins d'informations possible

Ne collectez que les données nécessaires à l'inscription. N'enregistrez pas les informations relatives à la situation personnelle de l'usager (vie familiale, difficultés sociales, etc.). Si l'usager s'entraine à utiliser un service en ligne, n'hésitez pas à lui conseiller de privilégier l'usage de " données fictives ".

Je l'incite à effacer les traces

Au moment de la déconnexion, veillez à ce que l'usager supprime les traces de sa navigation sur son bureau et dans son navigateur. Le raccourci clavier (ctrl+maj+supp) mène à l'effacement des mots de passe, des cookies, de l'historique internet, du dossier de téléchargements, etc. Une fois ces tâches effectuées, assurez-vous que l'usager passe bien par les boutons de déconnexion pour sortir de sa session.

Enfin, un dernier tour sur le poste de travail et près de la photocopieuse vous permettra de vérifier qu'aucun document n'a été oublié par erreur ...

J'évite les fuites

La confidentialité, c'est important : au moment d'envoyer un message de remerciement aux participants, pensez à bien mettre leur adresse électronique en copie cachée (" Cci "). Cette précaution vous évite de divulguer leurs nom et adresse électronique (adresse e-mail) aux autres participants.

" Quand je l'accompagne... " (en sa présence)

Je reste discret

En tant qu'accompagnateur vous êtes soumis à une obligation de confidentialité, notamment envers les informations fournies par l'usager (vie personnelle, identifiants de connexion, etc.).

Je ne conserve pas ses informations

Je n'ai pas à conserver les informations de l'usager à la fin de la session, et notamment ses identifiants et mots de passe.

J'informe en toute transparence

Aux côtés de l'usager, informez-le de votre rôle et n'hésitez pas à évoquer avec lui quelques bonnes pratiques pour limiter ses traces, exercer ses droits Informatique et Libertés, etc.

Je reste vigilant sur les traces

A la fin de la session, veillez à ne rien conserver : ni les identifiants, ni les mots de passe. Appelez l'attention de l'usager lors des moments qui nécessitent une vigilance particulière, par exemple lors de la déconnexion de session ou une fois la démarche en ligne effectuée.

" Quand je fais à sa place... " (en son absence)

Je lui demande son accord

Dans certaines situations, la personne accompagnée ne peut pas être physiquement présente : pour pouvoir l'accompagner, il faudra alors recourir au mécanisme du mandat (ex. : personnes en situation de handicap et/ou personnes âgées qui ne sont pas en mesure de se déplacer au sein d'un espace public numérique et qui n'ont pas de qualification numérique, etc.).

Le mandat est un contrat par lequel une personne donne à une autre, le pouvoir de faire des actes juridiques en son nom et pour son compte. Ce contrat va ainsi permettre de recueillir l'accord de l'usager pour bénéficier de cet accompagnement.

Le mandat permet à la fois à la personne concernée de contrôler les usages qui sont faits de ses données et à l'organisme de poser clairement le cadre et les règles de l'accompagnement qu'il propose.

Pour garantir la validité du mandat, vous devez expliquer à l'usager :

l'objet de votre intervention ;

la raison pour laquelle ses informations sont collectées ;

la possibilité pour l'usager de révoquer à tout moment le mandat.

La CNIL recommande que le mandat soit effectué par écrit avant le début de la prestation, afin de faciliter la preuve de l'accord.

Elle propose à cet égard un modèle de mandat, adaptable selon le niveau d'accompagnement proposé au bénéficiaire, permettant d'encadrer l'utilisation des données de l'usager par le professionnel.

Le mandat, signé par le bénéficiaire (le mandant) et par vous-même (le mandataire), précise votre champ d'action et les tâches que vous allez être amené à effectuer à la place et en l'absence de l'usager.

Le mandat oral : quelles garanties à apporter ?

Je fais preuve de transparence

Même avec un mandat et un accord, veillez à ne collecter que les informations nécessaires aux tâches prévues.

Les données collectées le sont uniquement pour accomplir une tâche prévue dans le mandat. Impossible d'utiliser les données de l'usager dans d'autres circonstances sans son accord et sans mettre à jour le mandat.

Si vous supprimez ou mettez à jour les données de l'usager à sa demande, n'oubliez pas de l'informer des modifications effectuées.

Pour chacun des usagers que vous accompagnez, utilisez bien un compte de messagerie dédié aux démarches administratives. Si l'usager n'a pas d'adresse électronique, proposez-lui de lui en créer une mais toujours dans le cadre de votre mandat. En fonction des besoins liés à son suivi, il est possible de rediriger tout ou partie des courriers électroniques de l'usager vers votre compte de messagerie professionnelle. Dans ce cas, précisez-le explicitement dans le mandat et n'oubliez pas de supprimer ces courriers électroniques (e-mails) dès la fin de l'accompagnement social.

Je veille à la confidentialité de ses données

L'enregistrement des mots de passe de l'usager dans le navigateur est une pratique à prohiber. Si le mandat le prévoit, seules deux techniques permettent de conserver ses mots de passe : un gestionnaire de mots de passe ou un carnet stocké dans un coffre-fort.

A la fin de chaque session, pensez à bien déconnecter les comptes de l'usager !

Les données de l'usager ne doivent surtout pas être communiquées à des tiers non autorisés.

Un collègue de travail ne peut avoir accès aux données de l'usager qu'en cas de nécessité - par exemple pour assurer la continuité d'un accompagnement en cas de congés - et à la condition d'une part, d'en informer la personne concernée et d'autre part, d'obtenir son accord.

FOCUS | A quelle condition puis-je demander le mot de passe d'un usager ?
Le professionnel ne peut demander communication des identifiants et mots de passe de l'espace personnel d'un usager que si celui-ci n'est pas en capacité de se connecter seul (situations n° 2 " j'accompagne " et n°3 : " je fais "). Il doit s'agir de situations exceptionnelles. Dans tous les cas, le professionnel devra inciter la personne à se connecter seule. Retrouvez les conseils de la CNIL pour " un mot de passe sécurisé ".

Comment mieux sensibiliser vos publics ?

# data[].attributes.attachment_link.title
Professionnels du secteur social : comment mieux protéger les données de vos usagers dans le cadre des démarches en ligne ?

# data[].attributes.attachment_link.description
Les professionnels du secteur social et de la médiation numérique accompagnent leurs publics dans le cadre de : formations à la maîtrise des outils numériques (" je forme ") ; l'aide apportée aux personnes dans la réalisation de leurs démarches en ligne, que ce soit en leur présence (" j'accompagne ") ou en leur absence (" je fais ").

# data[].attributes.headline
FICHE : AMÉLIOREZ ET MAÎTRISEZ VOTRE RELATION CLIENT

# data[].attributes.subject
FICHE : AMÉLIOREZ ET MAÎTRISEZ VOTRE RELATION CLIENT

# data[].attributes.body
Un certain nombre d’autorités ont, en vertu de dispositions législatives et plus rarement réglementaires, le pouvoir d’exiger la transmission de documents ou de renseignements. De telles demandes impliquent fréquemment la transmission de données à caractère personnel par le responsable de traitement sollicité. C’est le 9) de l’article 4 du RGPD relatif à la notion de « destinataire » qui mentionne l’existence de cette catégorie d’acteurs susceptibles de recevoir communication de données « dans le cadre d'une mission d'enquête particulière conformément au droit de l'Union ou au droit d'un État membre ». Ces acteurs sont communément appelés « tiers autorisés » en raison de leur pouvoir leur permettant de prendre connaissance, et au besoin copie ou saisie, d’informations et de documents détenus par des organismes de toute nature (de mettre en œuvre, en d’autres termes, un droit de communication). Concrètement, les tiers autorisés sont l'ensemble des autorités et organismes (publics le plus souvent) disposant, en vertu de l’intérêt public qui s'attache à l'accomplissement de leur mission, du pouvoir de solliciter l'obtention de données à caractère personnel issues de fichiers détenus par des personnes ou organismes publics et privés. Pour cette raison, les « tiers autorisés » sont à distinguer des différents acteurs susceptibles de recevoir communication d’informations en dehors des missions d’enquête précitées (par exemple, accès d’un usager aux documents administratifs, échanges légalement prévus entre administrations, droit d’accès d’une personne concernée). Le pouvoir d’un tiers autorisé s’appuie systématiquement sur un cadre juridique prévoyant ses modalités de mise en œuvre : organismes concernés, objet de la demande d’accès ou de la copie, nature des informations et documents concernés.

# data[].attributes.headline
GUIDE PRATIQUE DE LA PUBLICATION ET DE LA RÉUTILISATION DES DONNÉES PUBLIQUES - OPEN DATA

# data[].attributes.subject
GUIDE PRATIQUE DE LA PUBLICATION ET DE LA RÉUTILISATION DES DONNÉES PUBLIQUES - OPEN DATA

# data[].attributes.body
Le présent guide porte exclusivement sur les modalités de mise en ligne et de réutilisation des documents administratifs et données publiques relevant d’une logique de droit d’accès. Communément qualifiées sous l’appellation générique anglaise d’« open data », ces modalités visent des données librement accessibles, mises à disposition dans un format ouvert et réutilisable par toute personne.

# data[].attributes.body
Les collectivités territoriales traitent de nombreuses données personnelles, que ce soit pour assurer la gestion des services publics dont elles ont la charge (état civil, inscriptions scolaires, listes électorales, etc.), la gestion des ressources humaines, la sécurisation de leurs locaux (contrôle d’accès par badge, vidéosurveillance) ou encore leur site web.

# data[].attributes.headline
RGPD et professionnels de santé libéraux : ce que vous devez savoir

# data[].attributes.subject
RGPD et professionnels de santé libéraux : ce que vous devez savoir

# data[].attributes.attachment_link.readable_text
> RGPD et professionnels de santé libéraux : ce que vous devez savoir

Depuis l'entrée en application du règlement général sur la protection des données, la CNIL reçoit de nombreuses demandes de la part des professionnels de santé libéraux pour comprendre ce qui change ou non. La CNIL propose donc de répondre aux questions les plus fréquemment posées, en attendant la parution prochaine d'un guide pratique en partenariat avec le CNOM.

A retenir

1. Le RGPD s'applique aux traitements informatiques et aussi aux dossiers papier

2. La transmission des données de santé de vos patients doit être limitée aux seules personnes qui sont autorisées à y accéder au regard de leurs missions

3. Les données de vos patients ne peuvent être gardées indéfiniment

4. Les patients doivent être informés du traitement de leurs données mais vous n'avez pas à recueillir leur consentement

5. Il n'y a plus de déclaration à faire auprès de la CNIL mais vous devez tenir un registre des traitements

A noter : ces principes ne se limitent pas aux traitements de données de santé dans le cadre de la prise en charge de vos patients mais s'appliquent à l'ensemble de vos traitements (ex : gestion des rémunérations de vos collaborateurs, gestion des fournisseurs, etc.).

Pour approfondir

Les mots clés associés à cet article

Ceci peut également vous intéresser ...

# data[].attributes.attachment_link.title
RGPD et professionnels de santé libéraux : ce que vous devez savoir

# data[].attributes.attachment_link.description
RGPD et professionnels de santé libéraux : ce que vous devez savoir Depuis l'entrée en application du règlement général sur la protection des données, la CNIL reçoit de nombreuses demandes de la part des professionnels de santé libéraux pour comprendre ce qui change ou non.

# data[].attributes.headline
RÉFÉRENTIEL RELATIF AUX TRAITEMENT DE DONNÉES PERSONNELLES POUR LES CABINETS MÉDICAUX ET PARAMÉDICAUX

# data[].attributes.subject
RÉFÉRENTIEL RELATIF AUX TRAITEMENT DE DONNÉES PERSONNELLES POUR LES CABINETS MÉDICAUX ET PARAMÉDICAUX

# data[].attributes.headline
La CNIL publie un guide pour les services de prévention et de santé au travail (SPST)

# data[].attributes.subject
La CNIL publie un guide pour les services de prévention et de santé au travail (SPST)

# data[].attributes.attachment_link.readable_text
Afin d'accompagner les services de prévention et de santé au travail (SPST) dans leur mise en conformité, la CNIL a élaboré un guide de sensibilisation au règlement général sur la protection des données (RGPD).

Régulièrement interrogée par des employeurs et des services de prévention et de santé au travail (SPST), la CNIL a engagé des travaux destinés à accompagner les professionnels du secteur dans leur démarche de mise en conformité au RGPD.

Jusqu'à présent, les SPST ne disposaient pas d'outil permettant de les guider dans la mise en conformité de leurs pratiques alors qu'ils collectent de nombreuses données personnelles particulièrement sensibles, notamment avec la constitution du dossier médical en santé au travail (DMST).

C'est pourquoi la CNIL a décidé d'élaborer un guide qui leur est dédié afin de rappeler le cadre juridique de la protection des données, et de fournir aux SPST des repères pour la mise en œuvre de leurs traitements. À l'issue d'une concertation sur une première version, les contributions reçues ont permis de renforcer et de clarifier certains points du guide final.

Ce guide est composé :

d'un rappel des notions clés ;

de neuf fiches thématiques examinant les principes Informatique et Libertés communs aux différents fichiers constitués par les SPST (DMST, fichiers des adhérents des SPST interentreprises, fichiers des fournisseurs, etc.) ;

de quatre fiches thématiques spécialement dédiées au DMST, aux recherches, études, évaluations et enquêtes menées par les SPST et à la télésanté ;

de diverses annexes, notamment des modèles de fiches de registre des activités de traitement , un modèle de notice d'information à utiliser pour la gestion du DMST ainsi qu'un cahier des charges pour évaluer la conformité du DMST au RGPD.

Les fiches thématiques sont illustrées d' exemples pratiques issus de situations concrètes rencontrées par les SPST. Elles proposent des contenus pouvant être directement utilisés dans le cadre de leurs activités.

# data[].attributes.attachment_link.title
La CNIL publie un guide pour les services de prévention et de santé au travail (SPST)

# data[].attributes.attachment_link.description
Régulièrement interrogée par des employeurs et des services de prévention et de santé au travail (SPST), la CNIL a engagé des travaux destinés à accompagner les professionnels du secteur dans leur démarche de mise en conformité au RGPD.

# data[].attributes.headline
GUIDE PRATIQUE POUR LES MÉDECINS PAR LE CNOM ET LA CNIL

# data[].attributes.subject
GUIDE PRATIQUE POUR LES MÉDECINS PAR LE CNOM ET LA CNIL

# data[].attributes.body
Le présent guide pratique a pour ambition d’orienter les médecins, en exercice libéral, dans la mise en œuvre des obligations prévues par la nouvelle réglementation sur la protection des données personnelles. En complément de ce guide, la CNIL vient de mettre en ligne une fiche thématique : « RGPD et professionnels de santé libéraux : ce que vous devez savoir » (https://www.cnil.fr/fr/rgpd-et-professionnels-de-sante-liberauxce-que-vous-devez-savoir). Elle propose d’autres fiches thématiques dédiées aux problématiques de santé (télémédecine, application mobile, etc.) que vous pouvez consulter sur : https://www.cnil.fr/fr/sante. Si vous exercez au sein d’un établissement de santé, d’un EHPAD, ou encore d’un centre de santé, vous pouvez vous rapprocher de la direction, ou de toute personne susceptible de gérer la question des données personnelles. Si votre structure a désigné un délégué à la protection des données (DPO), ce dernier est l’interlocuteur privilégié pour vous renseigner sur l’état de conformité de votre structure au RGPD ou répondre à toutes vos questions.

# data[].attributes.headline
RÉFÉRENTIEL DES DURÉES DE CONSERVATION DANS LE DOMAINE DE LA SANTÉ HORS RECHERCHE

# data[].attributes.subject
RÉFÉRENTIEL DES DURÉES DE CONSERVATION DANS LE DOMAINE DE LA SANTÉ HORS RECHERCHE

# data[].attributes.headline
RÉFÉRENTIEL DES DURÉES DE CONSERVATION DANS LE DOMAINE DE LA RECHERCHE EN SANTÉ

# data[].attributes.subject
RÉFÉRENTIEL DES DURÉES DE CONSERVATION DANS LE DOMAINE DE LA RECHERCHE EN SANTÉ

# data[].attributes.headline
Guide pratique : le pharmacien d'officine et la protection des données personnelles

# data[].attributes.subject
Guide pratique : le pharmacien d'officine et la protection des données personnelles

# data[].attributes.headline
RÉFÉRENTIEL RELATIF AUX TRAITEMENTS DE DONNÉES A CARACTÈRE PERSONNEL MIS EN ŒUVRE PAR LE LABORATOIRE TITULAIRE DES DROITS D’EXPLOITATION D’UN MÉDICAMENT BÉNÉFICIANT D’UNE AUTORISATION D’ACCÈS COMPASSIONNEL

# data[].attributes.subject
RÉFÉRENTIEL RELATIF AUX TRAITEMENTS DE DONNÉES A CARACTÈRE PERSONNEL MIS EN ŒUVRE PAR LE LABORATOIRE TITULAIRE DES DROITS D’EXPLOITATION D’UN MÉDICAMENT BÉNÉFICIANT D’UNE AUTORISATION D’ACCÈS COMPASSIONNEL

# data[].attributes.headline
RÉFÉRENTIELRELATIF AUX TRAITEMENTS DE DONNÉES À CARACTÈRE PERSONNEL MIS EN ŒUVRE PAR LE LABORATOIRE TITULAIRE DES DROITS D'EXPLOITATION D'UN MÉDICAMENT BÉNÉFICIANT D'UNE AUTORISATION D'ACCÈS PRÉCOCE

# data[].attributes.subject
RÉFÉRENTIELRELATIF AUX TRAITEMENTS DE DONNÉES À CARACTÈRE PERSONNEL MIS EN ŒUVRE PAR LE LABORATOIRE TITULAIRE DES DROITS D'EXPLOITATION D'UN MÉDICAMENT BÉNÉFICIANT D'UNE AUTORISATION D'ACCÈS PRÉCOCE

# data[].attributes.attachment_link.readable_text
Le référentiel " accès précoce " RS-003 encadre le traitement de données à caractère personnel mis en œuvre dans le cadre d'un accès précoce. Ce référentiel s'adresse à tous les laboratoires pharmaceutiques exploitant un médicament qui a obtenu une autorisation d'accès précoce. Les traitements de données personnelles mis en œuvre par les laboratoires permettront le suivi des patients, la mise à disposition du médicament et la gestion des relations avec les prescripteurs et les dispensateurs. Seul le laboratoire pharmaceutique exploitant peut effectuer une déclaration de conformité au référentiel " accès précoce ".

Texte officiel

# data[].attributes.attachment_link.description
Le référentiel " accès précoce " RS-003 encadre le traitement de données à caractère personnel mis en œuvre dans le cadre d'un accès précoce. Ce référentiel s'adresse à tous les laboratoires pharmaceutiques exploitant un médicament qui a obtenu une autorisation d'accès précoce.

# data[].attributes.headline
TRAVAIL ET DONNÉES PERSONNELLES : LE RECRUTEMENT ET LA GESTION DU PERSONNEL

# data[].attributes.subject
TRAVAIL ET DONNÉES PERSONNELLES : LE RECRUTEMENT ET LA GESTION DU PERSONNEL

# data[].attributes.headline
RECHERCHE (hors santé) : Les principales références juridiques

# data[].attributes.subject
RECHERCHE (hors santé) : Les principales références juridiques

# data[].attributes.headline
Intelligence artificielle : la CNIL publie un ensemble de ressources pour le grand public et les professionnels

# data[].attributes.subject
Intelligence artificielle : la CNIL publie un ensemble de ressources pour le grand public et les professionnels

# data[].attributes.attachment_link.title
Intelligence artificielle : la CNIL publie un ensemble de ressources pour le grand public et les professionnels | CNIL

# data[].attributes.attachment_link.description
Pourquoi la CNIL souhaite-t-elle communiquer sur l’IA ?

# data[].attributes.headline
Guide d'auto-évaluation pour les systèmes d'intelligence artificielle (IA)

# data[].attributes.subject
Guide d'auto-évaluation pour les systèmes d'intelligence artificielle (IA)

# data[].attributes.body
La CNIL propose une grille d'analyse afin de permettre aux organismes d'évaluer par eux-mêmes la maturité de leurs systèmes d'intelligence artificielle au regard du RGPD. Elle présente également des bonnes pratiques.

# data[].attributes.attachment_link.title
Guide d’auto-évaluation pour les systèmes d’intelligence artificielle (IA) | CNIL

# data[].attributes.attachment_link.description
> Principes clés > Guide d’auto-évaluation pour les systèmes d’intelligence artificielle (IA)

# data[].attributes.headline
AUTOÉVALUATION DE MATURITÉ EN GESTION DE LA PROTECTION DES DONNÉES

# data[].attributes.subject
AUTOÉVALUATION DE MATURITÉ EN GESTION DE LA PROTECTION DES DONNÉES

# data[].attributes.headline
CAHIER DE RAPPEL - EXEMPLE DE FORMULAIRE À UTILISER POUR LES BARS, RESTAURANTS ET SALLES DE SPORT

# data[].attributes.subject
CAHIER DE RAPPEL - EXEMPLE DE FORMULAIRE À UTILISER POUR LES BARS, RESTAURANTS ET SALLES DE SPORT

# data[].attributes.headline
RÉFÉRENTIEL RELATIF AUX TRAITEMENTS DE DONNÉES PERSONNELLES MIS EN OEUVRE DANS LE CADRE DE LA GESTION LOCATIVE

# data[].attributes.subject
RÉFÉRENTIEL RELATIF AUX TRAITEMENTS DE DONNÉES PERSONNELLES MIS EN OEUVRE DANS LE CADRE DE LA GESTION LOCATIVE

# data[].attributes.headline
TRAVAIL ET DONNÉES PERSONNELLES : LES OUTILS INFORMATIQUES AU TRAVAIL

# data[].attributes.subject
TRAVAIL ET DONNÉES PERSONNELLES : LES OUTILS INFORMATIQUES AU TRAVAIL

# data[].attributes.attachment_link.description
Le contrôle de l’utilisation d’Internet et de la messagerie : dans quel but ? L’employeur peut contrôler et limiter l’utilisation d’internet (dispositifs de filtrage de sites, détection de virus…) et de la messagerie (outils de mesure de la fréquence des envois et/ou de la taille des messages, filtr…

# data[].attributes.headline
TRAVAIL ET DONNÉES PERSONNELLES : LA GÉOLOCALISATION DES VÉHICULES

# data[].attributes.subject
TRAVAIL ET DONNÉES PERSONNELLES : LA GÉOLOCALISATION DES VÉHICULES

# data[].attributes.attachment_link.readable_text
Parce qu'ils coûtent peu cher et peuvent s'avérer très utiles, les dispositifs de géolocalisation sont fréquents dans le monde du travail. Attention toutefois, de nombreuses règles encadrent l'utilisation de ces outils afin que la vie privée des employés soit respectée.
Cette fiche est en cours de mise à jour.
Dans quels buts ?

Des dispositifs de géolocalisation peuvent être installés dans des véhicules utilisés par des employés pour:

Suivre, justifier et facturer une prestation de trans port de personnes, de marchandises ou de services directement liée à l'utilisation du véhicule. Par exemple : les ambulances dans le cadre de la dématérialisation de la facturation de l'assurance maladie.

Assurer la sécurité de l'employé, des marchandises ou des véhicules dont il a la charge, et notamment retrouver le véhicule en cas de vol (par exemple, avec un dispositif inerte activable à distance à compter du signalement du vol).

Mieux allouer des moyens pour des prestations à accomplir en des lieux dispersés, notamment pour des interventions d'urgence. Par exemple : identifier l'employé le plus proche d'une panne d'ascenseur ou l'ambulance la plus proche d'un accident.

Accessoirement, suivre le temps de travail, lorsque cela ne peut être réalisé par un autre moyen.

Respecter une obligation légale ou réglementaire imposant la mise en œuvre d'un dispositif de géolocalisation en raison du type de transport ou de la nature des biens transportés.

Contrôler le respect des règles d'utilisation du véhicule.

À savoir
Les kilomètres parcourus pendant une période durant laquelle le véhicule ne doit pas être utilisé sont suffisants pour caractériser un abus et sa gravité, sans qu'il soit nécessaire de connaître le trajet effectué.

Les utilisations à exclure

Un dispositif de géolocalisation installé dans un véhicule mis à la disposition d'un employé ne peut pas être utilisé :

pour contrôler le respect des limitations de vitesse.

pour contrôler un employé en permanence.

en particulier, il ne peut pas être utilisé :

dans le véhicule d'un employé disposant d'une liberté dans l'organisation de ses déplacements (par exemple : VRP) ;

pour suivre les déplacements des représentants du personnel dans le cadre de leur mandat ;

pour collecter la localisation en dehors du temps de travail (trajet domicile travail, temps de pause,etc.), y compris pour lutter contre le vol ou vérifier le respect des conditions d'utilisation du véhicule ;

pour calculer le temps de travail des employés alors qu'un autre dispositif existe déjà.

Quelles garanties pour la vie privée ?

Les employés peuvent s'opposer à l'installation d'un dispositif de géolocalisation dans leur véhicule professionnel, dès lors que ce dispositif ne respecte pas les conditions légales posées par la CNIL ou d'autres textes. Les employés doivent être informés de l'installation de ce dispositif. A leur demande, ils doivent pouvoir accéder aux données les concernant enregistrées par l'outil (dates et heures de circulation, trajets effectués, etc.). Les employés doivent pouvoir désactiver la collecte ou la transmission de la localisation géographique en dehors du temps de travail.

À savoir
L'employeur peut contrôler le nombre ou la durée des désactivations et, le cas échéant, demander des explications au conducteur et sanctionner les éventuels abus.

L'accès aux informations du dispositif de géolocalisation doit être limité au personnel habilité des services concernés, à l'employeur et au personnel habilité d'un client ou donneur d'ordre auprès duquel une prestation est justifiée.

Attention : le nom du conducteur ne doit pas être communiqué à un client ou à un donneur d'ordre, puisque cette information ne présente pas d'intérêt pour ces personnes, sauf si cette information présente un intérêt particulier et indispensable.

Exemple : un salarié d'une société souhaitait obtenir de son employeur les relevés du dispositif de géolocalisation installé dans son véhicule à la suite d'un accident de la circulation. La société refusait que les salariés obtiennent une copie de ces documents. Saisie d'une plainte par le salarié, et après plusieurs courriers restés sans réponse, la société a été mise en demeure de fournir au salarié la copie de ses données. Faute de réponse satisfaisante de l'employeur, la CNIL a prononcé une de 10 000 euros à son encontre.

Pour éviter notamment que des personnes non autorisées accèdent aux informations du dispositif, il est impératif de prendre des mesures de sécurité. Par exemple, l'accès au dispositif de suivi en temps réel sur un site web doit se faire avec un identifiant et un mot de passe.

Il faut également impérativement prévoir :

une politique d'habilitation,

une sécurisation des échanges,

une journalisation des accès aux données et des opérations effectuées.

Une étude des risques sur la sécurité des données est également souhaitable afin de définir les mesures les mieux adaptées.

Les outils ou logiciels développés par des prestataires restent sous la responsabilité de l'employeur qui doit vérifier que ces outils ou logiciels respectent les obligations de la loi, en particulier les mesures de sécurité (clause contractuelle sur les obligations du sous-traitant en matière de sécurité et de confidentialité des données).

En principe, les informations obtenues par la géolocalisation ne doivent pas être conservées plus de deux mois. Toutefois, elles peuvent être conservées un an lorsqu'elles sont utilisées pour optimiser les tournées ou à des fins de preuve des interventions effectuées, lorsqu'il n'est pas possible de rapporter cette preuve par un autre moyen. Enfin, elles peuvent être conservées cinq ans lorsqu'elles sont utilisées pour le suivi du temps de travail.

L'information des employés

Les instances représentatives du personnel doivent être informées ou consultées avant toute décision d'installer un dispositif de géolocalisation dans les véhicules mis à la disposition des employés.

Chaque employé doit être par ailleurs informé :

de l'identité du responsable de traitement ;

des finalités (objectifs) poursuivies ;

de la base légale du dispositif (par exemple : obligation issue du code du travail, ou intérêt légitime de l'employeur) ;

des destinataires des données issues du dispositif de géolocalisation ;

de son droit d'opposition pour motif légitime ;

de la durée de conservation des données ;

de ses droits d'accès et de rectification ;

de la possibilité d'introduire une réclamation auprès de la CNIL.

Cette information peut se faire au moyen d'un avenant au contrat de travail ou d'une note de service, par exemple.

Quelle formalité CNIL ?

Si l'employeur a désigné un délégué à la protection des données (DPO), il doit être associé à la mise en œuvre du dispositif.

Le système de géolocalisation doit être inscrit au registre des activités de traitement tenu par l'employeur.

Quels recours ?

Si un dispositif de géolocalisation ne respecte pas ces règles, vous pouvez saisir :

# data[].attributes.attachment_link.title
La géolocalisation des véhicules des salariés

# data[].attributes.attachment_link.description
Cette fiche est en cours de mise à jour. Dans quels buts ? Des dispositifs de géolocalisation peuvent être installés dans des véhicules utilisés par des employés pour:

# data[].attributes.headline
TRAVAIL ET DONNÉES PERSONNELLES : VIDÉOSURVEILLANCE-VIDÉOPROTECTION AU TRAVAIL

# data[].attributes.subject
TRAVAIL ET DONNÉES PERSONNELLES : VIDÉOSURVEILLANCE-VIDÉOPROTECTION AU TRAVAIL

# data[].attributes.headline
TRAVAIL ET DONNÉES PERSONNELLES : L'ÉCOUTE ET L'ENREGISTREMENT DES APPELS

# data[].attributes.subject
TRAVAIL ET DONNÉES PERSONNELLES : L'ÉCOUTE ET L'ENREGISTREMENT DES APPELS

# data[].attributes.attachment_link.readable_text
Quelles utilisations possibles ?

L'écoute en temps réel et l'enregistrement sonore des ap- pels sur le lieu de travail peuvent être réalisés en cas de nécessité reconnue et doivent être proportionnés aux objectifs poursuivis.

Ainsi, l'employeur peut installer un dispositif d'écoute et/ ou d'enregistrement ponctuel des conversations téléphoniques pour :

former ses salariés (par exemple, réutiliser des enregis- trements comme support afin d'illustrer son propos lors de formations),

les évaluer,

améliorer la qualité du service (par exemple, en étudiant le type de réponse apporté au client),

dans certains cas limités prévus par un texte légal, les appels peuvent servir de preuves à l'établissement d'un contrat ou à l'accomplissement d'une transaction.

Des documents d'analyse (comptes-rendus ou grilles d'analyse) peuvent être rédigés sur la base des écoutes et enregistrements dès lors qu'ils s'inscrivent dans ces objectifs.

À cette occasion, l'employeur ne doit collecter et traiter que des informations nécessaires au but poursuivi (données d'identification du salarié et de l'évaluateur, informations techniques relatives à l'appel, évaluation professionnelle de l'employé).

Quelles limites à ces dispositifs ?

L'employeur ne peut pas mettre en place un dispositif d'écoute ou d'enregistrement permanent ou systématique, sauf texte légal (par exemple, pour les services d'urgence).

L'employeur ne peut pas non plus enregistrer tous les appels pour lutter contre les incivilités. Il doit choisir un moyen moins intrusif (par exemple opter pour un système permettant au salarié de déclencher l'enregistrement en cas de problème).

À noter

L'enregistrement des appels ne peut être couplé à un système de captures d'écran du poste informatique des salariés. Un tel système serait disproportionné et de nature à porter atteinte aux droits et libertés des salariés.

Cette pratique, très intrusive, pourrait en effet conduire l'employeur à visualiser des informations qu'il n'a pas à connaître (par exemple : des courriels personnels, ou liés à l'activité syndicale de représentants du personnel...).

Quelles garanties pour la vie privée ?

Les droits des employés

L'employeur doit mettre à disposition des salariés des lignes téléphoniques non reliées au système d'enregistrement, ou un dispositif technique leur permettant de couper l'enregistrement, pour les appels personnels. Il en va de même pour les appels passés par les représentants du personnel dans le cadre de l'exercice de leurs mandats.

Les personnes habilitées à écouter et accéder aux données

L'accès aux informations doit être limité aux services concernés par l'objectif poursuivi. Par exemple, si l'enregistrement est mis en oeuvre à des fins de formation, seules pourront accéder aux données les personnes chargées de cette mission.

La sécurité

Pour éviter notamment que des personnes non autorisées n'accèdent aux informations qu'elles n'ont pas à connaître, il est impératif de prendre des mesures de sécurité. Ainsi, l'employeur doit notamment mettre en place des habilita- tions pour les accès informatiques aux enregistrements, avec une traçabilité des actions effectuées (savoir qui se connecte à quoi, quand et pour quoi faire).

Des durées de conservation limitées

Sauf texte imposant une durée spécifique ou justification particulière, les enregistrements peuvent être conservés jusqu'à six mois au maximum. Les documents d'analyse peuvent quant à eux être conservés jusqu'à un an.

Une bonne pratique : les enregistrements " tampon "

Cette pratique consiste pour l'employeur, ou la personne habilitée, à écouter les enregistrements dans les jours suivant leur réalisation et à rédiger le(s) document(s) d'analyse nécessaire(s). Les enregistrements sont ensuite supprimés à bref délai, l'employeur ne conservant que les documents d'analyse.

L'information des personnes

Les instances représentatives du personnel doivent être informées et consultées avant toute décision d'installer un dispositif d'écoute ou d'enregistrement des appels.

Les salariés ainsi que les interlocuteurs (clients, par exemple) doivent être notamment informés :

de l'existence du dispositif,

de l'identité du responsable de traitement,

des finalités poursuivies,

de la base légale du dispositif (obligation issue d'un texte légal par exemple, ou intérêt légitime de l'employeur),

des destinataires des données issues du dispositif,

de la durée de conservation des données,

de leur droit d'opposition pour motif légitime,

de leurs droits d'accès et de rectification,

de la possibilité d'introduire une réclamation auprès de la CNIL.

Les interlocuteurs doivent être informés de leur droit d'op- position avant la fin de la conversation téléphonique, afin d'être en mesure d'exercer ce droit.

L'information des interlocuteurs s'effectue en deux temps :

mention orale en début de conversation sur l'existence du dispositif, la finalité poursuivie, la possibilité de s'y opposer,

renvoi vers un site Internet (et un onglet " mentions légales " par exemple) ou une touche " mentions légales " sur le téléphone pour obtenir une information exhaustive.

Au regard de la jurisprudence de la Cour de cassation en matière sociale, les salariés doivent être informés des périodes pendant lesquelles ils sont susceptibles d'être écoutés ou enregistrés.

Quelle formalité ?

Si l'employeur a désigné un Délégué à la protection des données (DPO), il doit être associé à la mise en oeuvre des écoutes ou des enregistrements des appels.

Le dispositif d'enregistrement ou d'écoute doit être inscrit au registre des activités de traitement tenu par l'employeur.

Quels recours ?
Si un dispositif d'écoute ou d'enregistrement ne respecte pas ces règles, vous pouvez saisir :
Texte de référence
Le code civil :

Article 9 (protection de l'intimité de la vie privée)
Le code du travail :  Le code pénal : Délibérations de la CNIL : Réglement européen sur la protection des données

# data[].attributes.attachment_link.title
L'écoute et l'enregistrement des appels sur le lieu de travail

# data[].attributes.attachment_link.description
Quelles utilisations possibles ? L'écoute en temps réel et l'enregistrement sonore des ap- pels sur le lieu de travail peuvent être réalisés en cas de nécessité reconnue et doivent être proportionnés aux objectifs poursuivis. Ainsi, l'employeur peut installer un dispositif d'écoute et/ ou d'enregistrement ponctuel des conversations téléphoniques pour :

# data[].attributes.headline
RÉFÉRENTIEL RELATIF AUX TRAITEMENTS DE DONNÉES À CARACTÈRE PERSONNEL MIS EN OEUVRE AUX FINS DE GESTION DU PERSONNEL

# data[].attributes.subject
RÉFÉRENTIEL RELATIF AUX TRAITEMENTS DE DONNÉES À CARACTÈRE PERSONNEL MIS EN OEUVRE AUX FINS DE GESTION DU PERSONNEL

# data[].attributes.headline
RGPD & Onboarding, quelles données pouvez-vous collecter ?

# data[].attributes.subject
RGPD & Onboarding, quelles données pouvez-vous collecter ?

# data[].attributes.attachment_link.readable_text
Après un long processus de recrutement, de multiples entretiens et de longs débats entre managers, vous avez retenu un heureux élu et vous voilà devant votre bureau prêt à préparer son contrat de travail et à débuter toutes les formalités d'embauche.

Seulement voilà, vous vous posez de nombreuses questions, quant à la collecte des données personnelles, auxquelles nous allons tenter d'apporter une réponse.

Comment encadrer la collecte de données du nouvel employé ?

Pouvez-vous lui demander son numéro de sécurité sociale par exemple ? Des informations sur son précédent emploi ? Ou alors, êtes-vous en droit de lui demander des informations plus personnelles, comme ses orientations religieuses ? Ou politique ? Son dossier de suivi médical ?

Pour savoir quelles sont les données personnelles que vous pouvez collecter et traiter, vous devez vous poser une série de questions.

Pourquoi ai-je besoin de cette donnée ?

Tout d'abord, vous devez déterminer la finalité du traitement. Pourquoi avez-vous besoin de cette donnée personnelle ? À quoi va-t-elle vous servir ? En effet, on ne peut pas collecter à tout va n'importe quelle donnée sans avancer de motif valable.

Dans le cas d'espèce, la réponse est simple ; vous avez besoin des données personnelles du candidat à des fins de recrutement.

À lire également :

Ai-je le droit de la collecter ?

Ensuite, il faut déterminer la base légale du traitement. À la différence de la finalité des traitements qui indique l'objectif du traitement, la base légale est le support juridique, la raison autorisant votre service à collecter et traiter ces données.

Les bases légales énumérées par le RGPD sont les suivantes :

Consentement de la personne concernée.

Exécution d'un contrat.

Respect d'une obligation légale à laquelle le responsable du traitement est soumis.

Sauvegarde des intérêts vitaux de la personne concernée.

Exécution d'une mission d'intérêt public.

Aux fins des intérêts légitimes poursuivis par le responsable de traitement.

Dans le cadre d'un recrutement, toutes ces bases légales ne sont pas valables. La Commission Nationale Informatique et Libertés (ci-après la " CNIL ") a rappelé que les traitements effectués dans le cadre des opérations de recrutement ne peuvent pas être fondés sur la base légale suivante : " consentement de la personne concernée ".

En effet, le candidat retenu est plus ou moins obligé de vous fournir ses données personnelles s'il veut pouvoir obtenir l'emploi que vous proposez. On imagine mal un nouveau salarié dans l'entreprise, ne fournir ni son nom, ni son prénom ou son numéro de téléphone... Le consentement est donc vicié.

Toutefois, plusieurs autres bases légales sont applicables :

L'obligation légale : vous êtes obligé de traiter ces données personnelles pour pouvoir faire une déclaration préalable à l'embauche auprès des organismes compétents.

Mesures précontractuelles : pour pouvoir établir le contrat de travail.

Quelles données puis-je collecter ?

Enfin, la troisième question que vous devez vous poser, et peut-être la plus évidente, est la suivante : quelles données puis-je collecter ?

Veillez à ne collecter que les données dont vous avez strictement besoin en matière de gestion des ressources humaines. On évitera donc la collecte de données à des fins de nourrir la curiosité. On privilégiera la collecte de données suivantes :

Les données d'identification du candidat : nom, prénom, e-mail, n° de téléphone, adresse postale, date de naissance, sexe, n° de passeport ou de carte d'identité, situation familiale et/ou matrimoniale.

Les données relatives à un permis de travail.

Les données relatives à ses compétences et à son passif professionnel, et ce dans le respect des obligations légales.

Le numéro de sécurité sociale en vue d'exécuter les formalités déclaratives.

Certaines données sont un peu plus sensibles et requièrent une vigilance particulière.

Pour certains emplois ( agents de sécurité, assistance maternelle, etc.), vous devrez être amené à collecter des informations sur les condamnations pénales et infractions du candidat (ex : casier judiciaire B3).

Sachez que bien que vous soyez autorisé à le consulter lors du recrutement, vous ne devez en aucun cas en conserver une copie, sauf si un texte de loi vous y autorise (relatif à un emploi particulier) en indiquant la durée pour laquelle vous avez le droit de le conserver.

Concernant les données sensibles ( article 9 du RGPD, Articles 6 et 44 de La Loi Informatiques et Libertés), c'est-à-dire les données liées à l'origine ethnique ou prétendument raciale, les opinions politiques, les convictions religieuses, l'appartenance syndicale, l'orientation sexuelle, les données biométriques, les données sur l'état de santé du candidat, vous ne pouvez les collecter que dans des cas très limités et si, et seulement si, un texte de loi vous y autorise.

À lire également :

La rédaction du Contrat de travail

Vous avez répondu à ces questions et avez délimité un cadre conforme de traitement des données du candidat. Vous avez effectué les déclarations préalables à l'embauche également, et vous vous retrouvez devant la dernière étape du processus de recrutement : la signature du contrat de travail.

En le relisant, vous vérifiez que toutes les clauses classiques y sont : l'intitulé du poste, le temps de travail, la rémunération, l'indication relative aux congés payés, etc.

Et en matière de données personnelles ? Devez-vous rajouter quelque chose ? La réponse est oui !

Tous les contrats de travail de vos employés ou les conventions de stage, doivent obligatoirement comporter une cause relative au traitement et à la protection des données personnelles de l'employé. Cette clause doit comporter :

La liste des finalités pour lesquelles les données sont collectées par le service de RH ainsi que la liste des traitements effectués sur les données personnelles.

Exemple : " Les données personnelles de Monsieur Martin sont collectées afin d'assurer le suivi de sa carrière, d'établir la paye et de permettre à notre Société de remplir ses obligations légales en matière de gestion des ressources humaines ".

La durée de conservation des données.

Exemple : " Les données de gestion de carrière seront conservées pendant toute la durée d'exécution du contrat de travail et seront détruites 5 ans après la fin de celui-ci. "

Les droits du salarié et la procédure pour les exercer.

Exemple : " Monsieur Martin dispose d'un droit d'accès, de rectification, d'effacement, d'opposition et de limitation de ses données personnelles. Il peut les exercer à tout moment en adressant un mail à :contact@entreprise.com et nous lui répondrons sous le délai légal d'un mois. "

Les mesures de sécurité prises pour protéger les données personnelles du salarié.

Exemple : " La Société enregistre les données personnelles du salarié dans un logiciel sécurisé, accessible uniquement par nos services de ressources humaines ".

Si vous voulez être sûr que cette clause remplie toutes les obligations légales, pensez à la faire rédiger par votre Délégué à la Protection des Données (DPD) si vous en avez un ou alors par un avocat spécialisé.

Avec cette dernière étape, votre recrutement est conforme aux obligations du RGPD. Bien sûr, se posent toute une série de questions sous-jacentes : que faire ensuite des données personnelles ? Comment être bien sûr de les sécuriser ? Quels sont les autres traitements que je peux effectuer durant l'exécution du contrat de travail ? etc.

Nous y répondrons dans la suite de nos articles dédiés à la RGPD !

Notez le

Rated 4.3 / 5 based on 200 reviews

# data[].attributes.attachment_link.title
RGPD & Onboarding, quelles données pouvez-vous collecter ?

# data[].attributes.attachment_link.description
Après un long processus de recrutement, de multiples entretiens et de longs débats entre managers, vous avez retenu un heureux élu et vous voilà devant votre bureau prêt à préparer son contrat de travail et à débuter toutes les formalités d'embauche.

# data[].attributes.headline
Comment mener une campagne de recrutement en respectant le RGPD?

# data[].attributes.subject
Comment mener une campagne de recrutement en respectant le RGPD?

# data[].attributes.attachment_link.readable_text
L'entrée en vigueur du RGPD est venue apporter un cadre aux recruteurs dans leurs pratiques, et a permis de consacrer une meilleure protection de la vie privée des candidats. Quels sont les points clés permettant de mener à bien votre campagne de recrutement ? et comment s'inscrire dans une démarche respectueuse du RGPD et de la vie privée des candidats.

Respecter la minimisation lors de la collecte des données

L'article 5.1.c du RGPD consacre le principe selon lequel : " Les données à caractère personnel [...] doivent être adéquats, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ". Le principe de minimisation, lors de la collecte, impose à tous les responsables de traitement de ne collecter que les données strictement nécessaires à la bonne réalisation de la finalité pour laquelle le traitement est réalisé. En matière de recrutement, ce principe est également consacré dans le Code du travail qui dispose que " les informations demandées, sous quelque forme que ce soit, au candidat à un emploi ne peuvent avoir comme finalité que d'apprécier sa capacité à occuper l'emploi proposé ou ses aptitudes professionnelles. Ces informations doivent présenter un lien direct et nécessaire avec l'emploi proposé ou avec l'évaluation des aptitudes professionnelles" [1]. En pratique, cela implique que ne peuvent être demandées aux candidats que des informations qui permettent l'évaluation de ce dernier à occuper le poste proposé. Des lors, en tant que recruteur, il vous est possible de demander aux candidats des informations quant à leurs qualifications, leurs expériences passées et leurs compétences.

Lorsque cela s'avère nécessaire au regard du poste proposé, certaines informations supplémentaires peuvent être également collectées. Par exemple, pour un poste nécessitant des déplacements fréquents, un recruteur aura la possibilité de demander si le candidat possède le permis de conduire. Il est donc impératif d'écarter toute question qui sortirait de la sphère purement professionnelle. Sont donc proscrites toutes les questions qui porteraient sur la vie privée d'un candidat, par exemple sa situation familiale, sa volonté ou non d'avoir des enfants.

Fixer une durée de conservation limitée

Les recruteurs ont la possibilité de conserver les données personnelles de candidats dont les processus de recrutements n'auraient pas été concluants. Cette possibilité s'explique par le fait qu'un besoin de recrutement peut s'exprimer après avoir donné une réponse négative à un candidat. Cependant, la durée maximale de conservation des données dans le cadre d'un recrutement est fixée à deux ans. De plus, afin de garantir la conformité du processus, le responsable de traitement doit impérativement s'assurer du respect de deux éléments :

· Le candidat doit être mis en mesure de retirer son consentement à tout moment : dans le courriel l'informant de la conservation de ses données, il est impératif de formuler la possibilité pour lui de retirer son consentement.

· Si le candidat ne demande pas que ses données soient supprimées, une procédure automatique de suppression doit être mise en place en interne au bout de deux ans.

Bien entendu, afin de garantir votre conformité au RGPD, vous pouvez également fixer une durée de conservation inférieure à deux ans, par exemple une durée de 18 mois.

Choisir la base légale adéquate

Tout traitement de données personnelles doit se fonder, selon l'article 6 du RGPD, sur une ou plusieurs bases légales : il est important de choisir la base légale qui convient à la finalité pour laquelle vous collectez la donnée. Lorsque la finalité d'un traitement est le recrutement de candidats, le responsable de traitement peut choisir les bases légales suivantes :

· L' intérêt légitime, qui peut justifier la constitution d'une CV-thèque. Cette base légale s'explique par l'intérêt, pour le responsable de traitement, de disposer d'une base de données de CV qu'il peut utiliser lorsqu'un besoin de recrutement s'exprime ;

· L' exécution d'une mesure précontractuelle : Cette base légale concerne notamment les traitements relatifs au suivi des candidatures et à la formalisation du contrat de travail lorsque le processus de recrutement d'un candidat a été concluant ;

· L' obligation légale : cette base légale peut se justifier, par exemple, par l'obligation qu'ont les recruteurs de vérifier les titres de séjours lorsqu'ils embauchent des salariés étrangers.

Veiller à la bonne information des candidats

L' obligation d'information qui incombe aux recruteurs permet aux candidats de connaître, à la fois la raison de la collecte des différentes informations personnelles (par exemple, l'évaluation des aptitudes professionnelles) et de comprendre l'usage qui en sera fait et d'assurer la maîtrise de leurs données en facilitant l'exercice de droits. Le recruteur doit donc informer les candidats dès lors qu'il traite des données à caractère personnel, peu importe la manière dont ces données ont été collectées. Les modalités d'informations diffèrent selon que les données aient été recueillies : soit directement auprès du candidat qui transmet son CV dans le cadre d'une candidature ; soit indirectement, par exemple via des réseaux sociaux professionnels.

Dès lors, les informations qui doivent être communiquées aux candidats sont les suivantes[2] :

· L'identité et les coordonnées du responsable de traitement ;

· La finalité du traitement ;

· La base légale du traitement ;

· Le(s) destinataire(s) des informations recueillies ;

· La durée de conservation des informations ;

· Le cas échéant, l'existence d'un éventuel transfert de données vers un pays tiers;

· L'existence et les conditions d'exercice de droit applicable.

En plus de ces informations, lorsque les données personnelles des candidats ont été recueillies de manière indirecte, le recruteur doit également informer le candidat sur les catégories de données personnelles collectées et la source de provenance de ces données.

Respecter les droits des candidats

L'entrée en vigueur du RGPD a permis aux candidats concernés d'exercer davantage de contrôle sur leurs données personnelles. Dès lors, les candidats disposent des six droits suivants :

· Droit d'accès : Les candidats peuvent - à tout moment - demander à être informés de la façon dont leurs données sont traitées ;

· Droit à l'effacement : Bien que la durée de conservation en matière de recrutement soit fixée à deux ans, les candidats gardent la possibilité de demander à tout moment à ce que leurs données personnelles soient supprimées ;

· Droit de rectification : Les candidats peuvent, à tout moment, demander que les données collectées soient mises à jour ou corrigées ;

· Droit à la limitation du traitement : Les candidats peuvent demander la suspension du traitement de données ;

· Droit d'opposition : Les candidats peuvent s'opposer aux traitements de leurs données pour des raisons tenant à leur situation particulière, dès lors le recruteur doit cesser de traiter leurs données.

· Droit à la portabilité : Les candidats peuvent demander la portabilité de leurs données, c'est-à-dire la récupération ou le transfert desdites données vers un organisme de leur choix ;

Afin d'assurer le respect de ces droits, le responsable de traitement doit mettre en place un processus en interne, par exemple en prévoyant un formulaire de contact spécifique avec une adresse e-mail dédiée aux demandes d'exercice de droit. De plus, le responsable de traitement doit également assurer une réponse dans les meilleurs délais, et au plus tard dans le délai d'un mois. Pour rappel, ce délai peut être prolongé de deux mois en cas de complexité de la demande, ou d'un nombre de demandes trop élevées émanant de la même personne, sous réserve d'en informer le candidat.
Pour conclure, la mise en conformité de votre processus de recrutement tient donc en ces cinq points clés, et constitue un axe de votre conformité interne. En cas de non-respect de ces dispositions, les recruteurs doivent avoir à l'esprit que la CNIL est habilitée à prononcer des sanctions administratives. Une sanction CNIL pour violation du RGPD peut dès lors avoir un impact très négatif sur l'entreprise en termes financiers mais aussi d'image.
[1] Art. L1221-6 du Code du Travail

[2] Article 13 du RGPD

A propos de l'auteure

Diplômée d'un Master 2 de Droit du Numérique de la faculté de Lille, Marion Ferri-Miraglidébute sa carrière de Juriste d'Entreprise chez Data Legal Drive. Après plusieurs mois en tant que juriste spécialisée en "Droit des données personnelles et conformité", elle poursuit son expérience chez Data Legal Driveen tant que juriste d'entreprise. Elle apporte son expertise et intervient désormais tant sur des problématiques de droit des affaires que sur des questions liées à la privacy.

# data[].attributes.attachment_link.title
Comment mener une campagne de recrutement en respectant le RGPD? Par Marion Ferri-Miraglia

# data[].attributes.attachment_link.description
Le recrutement constitue l'un des secteurs les plus impactés par l'entrée en vigueur du RGPD. En effet, l'activité de recrutement est synonyme de collecte d'informations, dans le but pour les recruteurs d'analyser l'ensemble des candidatures et d'évaluer l'adéquation d'un candidat à un poste proposé.

# data[].attributes.body
Si la prospection (mail, SMS, téléphone, adresse postale...) permet aux entreprises de fidéliser leur clientèle ou de recruter de nouveaux prospects, elle doit cependant être encadrée par un certain nombre de règles.

# data[].attributes.attachment_link.readable_text
Si la prospection (mail, SMS, téléphone, adresse postale...) permet aux entreprises de fidéliser leur clientèle ou de recruter de nouveaux prospects, elle doit cependant être encadrée par un certain nombre de règles.

# data[].attributes.attachment_link.description
Si la prospection (mail, SMS, téléphone, adresse postale...) permet aux entreprises de fidéliser leur clientèle ou de recruter de nouveaux prospects, elle doit cependant être encadrée par un certain nombre de règles.

# data[].attributes.headline
Référentiel relatif aux traitements de données personnelles mis en œuvre aux fins de gestion des impayés dans une transaction commerciale

# data[].attributes.subject
Référentiel relatif aux traitements de données personnelles mis en œuvre aux fins de gestion des impayés dans une transaction commerciale

# data[].attributes.body
Ce référentiel propose des solutions de mise en conformité pour la mise en œuvre par les organismes de droit privé ou public d’un traitement de données de gestion d’impayés avérés, c’est-à-dire les cas dans lesquels la personne dont les données sont traitées est incontestablement débitrice d’une somme d’argent. Il porte plus précisément sur des impayés faisant suite à une transaction commerciale portant sur des biens ou des services. Il ne s’applique pas aux traitements mis en œuvre pour détecter un risque d’impayé ou recenser des manquements autres que pécuniaires (comme, par exemple, des incivilités des clients). Compte tenu de la nature particulière de leurs activités, ce référentiel ne s’applique pas aux traitements mis en œuvre par : les organismes de gestion et de recouvrement de créances ; les organismes d’enquête civile ; les établissements bancaires ou assimilés ; les entreprises d’assurance.

# data[].attributes.headline
Référentiel relatif aux traitements de données personnelles mis en œuvre aux fins de gestion des activités commerciales

# data[].attributes.subject
Référentiel relatif aux traitements de données personnelles mis en œuvre aux fins de gestion des activités commerciales

# data[].attributes.body
Ce référentiel propose des pistes de mise en conformité pour les fichiers « clients » et « prospects » des organismes de droit privé ou public. Compte tenu de la nature particulière de leurs activités, ce référentiel n’a pas vocation à proposer un cadre pour les traitements mis en œuvre par : les établissements de santé ou d’éducation ; les établissements bancaires ou assimilés ; les entreprises d'assurances ; les opérateurs soumis à l’agrément de l’Autorité nationale des jeux

# data[].attributes.headline
Etude RGPD Les enjeux emplois et compétences de la mise en œuvre du Règlement Général sur la Protection des Données

# data[].attributes.subject
Etude RGPD Les enjeux emplois et compétences de la mise en œuvre du Règlement Général sur la Protection des Données

# data[].attributes.headline
Le CEPD précise les conditions de conservation des numéros de cartes bancaires par les e-commerçants au sein de l’Union européenne

# data[].attributes.subject
Le CEPD précise les conditions de conservation des numéros de cartes bancaires par les e-commerçants au sein de l’Union européenne

# data[].attributes.attachment_link.readable_text
> Le CEPD précise les conditions de conservation des numéros de cartes bancaires par les e-commerçants au sein de l'Union européenne

Sous l'impulsion de la CNIL, le Comité européen pour la protection des données (CEPD) a adopté, le 19 mai 2021, des recommandations préconisant le recueil du consentement des clients avant toute conservation de leurs numéros de cartes bancaires par les sites web pour des achats ultérieurs.

En France, la CNIL avait précisé dès 2018 les conditions de conservation des numéros de cartes bancaires par les e-commerçants qui souhaitaient éviter à l'acheteur d'avoir à ressaisir son numéro de carte bancaire lors d'achats ultérieurs. Elle avait considéré que le consentement libre, spécifique, éclairé et univoque de l'utilisateur devait par principe être obtenu par le e-commerçant. Cette position a été confirmée par une décision du Conseil d'État du 10 décembre 2020.

Le caractère transfrontalier des services numériques imposait qu'une approche européenne harmonisée soit prise dans un souci d'une meilleure protection des personnes concernées. Dans ses recommandations en date du 19 mai dernier, le CEPD vient consacrer, au niveau européen, la position prise par la CNIL.

L'adoption de ces recommandations garantit une approche harmonisée des différentes autorités européennes de protection des données. Elle a, par exemple, permis la résolution d'une plainte provenant d'un organisme français de protection des consommateurs contre une société de vente en ligne d'envergure, établie dans un autre pays européen. L'autorité européenne de protection des données concernée a ainsi demandé à l'entreprise de mettre en place un mécanisme permettant à l'utilisateur de choisir d'enregistrer, ou non, son numéro de carte bancaire sur la plateforme, par l'intermédiaire d' une case à cocher non pré-cochée par défaut.

Cette prise de position européenne commune démontre l'efficacité du règlement général sur la protection des données (RGPD), dont le CEPD est chargé d'assurer une application cohérente au sein de l'Union européenne. Un même niveau de confiance est désormais apporté à l'ensemble des consommateurs, et des règles communes sont imposées aux e-commerçants en matière de conservation de numéros de cartes bancaires pour la facilitation des achats ultérieurs.

Les mots clés associés à cet article

Ceci peut également vous intéresser ...

# data[].attributes.attachment_link.title
Le CEPD précise les conditions de conservation des numéros de cartes bancaires par les e-commerçants au sein de l'Union européenne

# data[].attributes.attachment_link.description
En France, la CNIL avait précisé dès 2018 les conditions de conservation des numéros de cartes bancaires par les e-commerçants qui souhaitaient éviter à l'acheteur d'avoir à ressaisir son numéro de carte bancaire lors d'achats ultérieurs. Elle avait considéré que le

# data[].attributes.headline
L'organisation et l'archivage des données liées à la formation dans l'entreprise

# data[].attributes.subject
L'organisation et l'archivage des données liées à la formation dans l'entreprise

# data[].attributes.body
Le suivi des données afférentes aux formations, aux rémunérations et aux parcours professionnels des salariés, durant 6 années consécutives, invite les employeurs à développer des tableaux de bord et à constituer des dossiers qui permettent une réponse rapide en cas de contrôle.

# data[].attributes.attachment_link.readable_text
L'environnement de la formation professionnelle se modifie et vous impose de vous organiser pour répondre, quelquefois de manière argumentée, aux différentes exigences réglementaires.

Les multiples dispositifs et l'obligation de formation, qui pèse sur la tête de l'employeur, oblige ce dernier à suivre avec précision, pertinence, et sur une longue période, l'ensemble des actions mises en oeuvre pour s'assurer du maintien de l'employabilité de leurs salariés, ainsi que de leur évolution professionnelle.

Il est plus que jamais nécessaire aux services des ressources humaines de s'organiser pour ne rien laisser au hasard et ne rien oublier dans le suivi du parcours des salariés.

Le suivi des données afférentes aux formations, aux rémunérations et aux parcours professionnels des salariés, durant 6 années consécutives, invite les employeurs à développer des tableaux de bord et à constituer des dossiers qui permettent une réponse rapide en cas de contrôle.

La numérisation peut faciliter la conservation des données. Dans ce cadre, l'employeur n'oubliera pas de vérifier que les procédures mises en place sont conformes au règlement général sur la protection des données (RGPD). Les données personnelles des salariés sont confidentielles et doivent le rester et le salarié dispose d'un droit d'accès, de rectification et même d'un droit à l'oubli de ces données.

L'organisation des données liées à la formation doit, en outre, permettre de répondre aux exigences des autres dispositifs de ressources humaines.

L'organisation et l'archivage des données de la formation recouvrent deux objectifs :

avoir une vue d'ensemble de l'effort de formation consenti et de ses résultats ;

disposer d'éléments de détail pour chaque action et chaque salarié.

# data[].attributes.attachment_link.title
L'organisation et l'archivage des données liées à la formation dans l'entreprise - La formation professionnelle en entreprise - Editions Tissot -p-

# data[].attributes.attachment_link.description
L'environnement de la formation professionnelle se modifie et vous impose de vous organiser pour répondre, quelquefois de manière argumentée, aux différentes exigences réglementaires. Les multiples dispositifs et l'obligation de formation, qui pèse sur la tête de l'employeur, oblige ce dernier à suivre avec précision, pertinence, et sur une longue période, l'ensemble des actions mises en oeuvre pour s'assurer du maintien de l'employabilité de leurs salariés, ainsi que de leur évolution professionnelle.

# data[].attributes.headline
Professionnels : comment répondre à une demande de droit à la portabilité ?

# data[].attributes.subject
Professionnels : comment répondre à une demande de droit à la portabilité ?

# data[].attributes.attachment_link.title
Professionnels : comment répondre à une demande de droit à la portabilité ?

# data[].attributes.attachment_link.description
Le droit à la portabilité, créé par le RGPD, permet à toute personne de : recevoir dans un format structuré, couramment utilisé et lisible par machine (ordinateur) les données personnelles la concernant déjà fournies à un responsable de traitement ; faire transmettre directement ces données à un autre responsable de traitement lorsque c'est techniquement possible.

# data[].attributes.headline
Comment gérer le RGPD dans un centre de formation ?

# data[].attributes.subject
Comment gérer le RGPD dans un centre de formation ?

# data[].attributes.attachment_link.readable_text
Mise à jour le 2 décembre 2021

Entré en application le 25 mai 2018, le RGPD ou Règlement Général sur la Protection des Données est un règlement européen dont l'implémentation est liée à toutes les entreprises, que celles-ci soient petites ou grandes, opèrent en Europe ou qu'elles soient européennes ou non.

Le but de ce règlement est de responsabiliser les entreprises sur la manière dont ces dernières gèrent les données personnelles. Pour un organisme de formation, il s'agit ici de pratiques faisant appel au bon sens et qui sont assez simples à mettre en place.

Le RGPD, pourquoi ?

Comme vous le savez, le monde est en perpétuelle évolution et au vu des récentes avancées technologiques, tel que l'explosion du big data, l'apparition d'appareils connectés et celle de l'intelligence artificielle, la législation existante était tout simplement devenue obsolète. Voilà pourquoi l'UE a décidé de mettre en œuvre un tout nouveau règlement. Ce dernier apportera donc plus de sécurité aux consommateurs et sera plus contraignant pour les entreprises.

Le principal objectif du RGPD est d'apporter une protection aux particuliers par un renforcement de leurs droits dont celui à la formation, à l'oubli ou encore le recueil du consentement. Notons que les règles s'appliquent aussi aux entreprises qui sont en dehors de l'UE et qui collectent des données sur les habitants des pays européens.

L'accountability est l'un des principaux principes du RGPD. Il s'agit de la transparence et de la responsabilisation des professionnels dont le travail réside dans le traitement des données sensibles. Les sanctions qui ont été prévues sont bien plus importantes et plus lourdes que les précédentes. Raison pour laquelle, les entreprises doivent prendre leur précaution et se préparer comme il se doit.

Comment les centres de formation sont-ils impactés par le RGPD ?

Les OF ou Organismes de Formation comme les autres entreprises sont bel et bien concernés par l'avènement du RGPD. Dans l'exercice de vos différentes activités, il se peut que vous soyez amené à rassembler des données personnelles telles que les coordonnées, l'âge, le nom de vos stagiaires. Ce sont des informations que la loi européenne vous ordonne de protéger.

Les sous-traitants sont eux aussi concernés par les obligations du RGPD. Ce sont là des organismes qui s'occupent du traitement de données pour un autre dans le cadre d'une prestation ou encore d'un service. De manière concrète, il faudra que les organismes de gestion tiennent un registre dans lequel se retrouvera l'ensemble des données collectées. Dans ce dernier, on doit retrouver la durée sur laquelle les informations seront exploitées ainsi que le but de la collecte.

Les organismes de gestion devront également évaluer et instaurer le cas échéant des procédures en ligne. Ces derniers devront identifier et assurer la gestion des risques en lien avec le traitement de données. Pour finir, ils devront maintenir une documentation qui permettra d'assurer la traçabilité des différentes mesures de prévention.

Comment les centres de formation peuvent-ils se conformer à la nouvelle règlementation ?

Pour l'implémentation du RGPD dans votre organisme, il y a différents points à aborder.

La désignation d'un responsable RGPD

Si vous êtes une entreprise qui gère à grandes échelles des informations à caractère personnelles, il est obligatoire de nommer une personne qui se chargera de la mise en œuvre de la politique de protection de ces données au sein de votre organisme. Bien évidemment, cette dernière doit avoir les compétences et le statut adéquats.

Les données personnelles de vos stagiaires et de vos clients particuliers

Les données qui seront collectées devront se limiter au strict nécessaire dans le cadre de votre prestation et au bout d'un certain temps, il faudra que celles-ci soient détruites ou mises sous anonymat. Les stagiaires et les clients doivent pouvoir demander un transfert des données enregistrées et une destruction de ces dernières.

Pour que la tâche soit plus simple, vous pouvez cartographier les différents lieux de stockage ou encore centraliser le stockage des données. La destruction, l'anonymisation ou encore l'exportation ne sera alors plus un problème. Vous devez trouver un moyen grâce auquel les clients peuvent demander ces différentes démarches.

La liste des traitements subis par les données

Vous devez donner avec précision les données que vous avez collectées, à quoi elles servent ainsi que leur usage pour votre activité. Il faudra que cette cartographie soit documentée dans un registre. Assurez-vous que tous les services tiers auxquels vous avez recouru ont implémenté le règlement.

Pour tout traitement effectué, vous devez demander une autorisation à vos clients. Les traitements en rapport avec la communication commerciale doivent être prioritaires.

La sécurisation des données

Le stockage des données doit être fait avec sécurité à l'aide par exemple d'un mot de passe. Dans le cas d'ordinateurs de bureau, il faudra activer le chiffrement du disque dur.

# data[].attributes.attachment_link.title
Comment gérer le RGPD dans un centre de formation ?

# data[].attributes.attachment_link.description
Mise à jour le 2 décembre 2021 Entré en application le 25 mai 2018, le RGPD ou Règlement Général sur la Protection des Données est un règlement européen dont l'implémentation est liée à toutes les entreprises, que celles-ci soient petites ou grandes, opèrent en Europe ou qu'elles soient européennes ou non.

# data[].attributes.headline
Réferentiel de certification des prestataires de formation a la protection des données personnelles

# data[].attributes.subject
Réferentiel de certification des prestataires de formation a la protection des données personnelles

# data[].attributes.headline
Annexe - Guide de lecture des critères du référentiel de certification des prestataires de formation protection données

# data[].attributes.subject
Annexe - Guide de lecture des critères du référentiel de certification des prestataires de formation protection données

# data[].attributes.headline
La protection des données personnelles et le respect du RGPD dans les organismes de formation : socle de base

# data[].attributes.subject
La protection des données personnelles et le respect du RGPD dans les organismes de formation : socle de base

# data[].attributes.attachment_link.readable_text
Quand est-il possible de demander une certification ?

La publication des critères de certification constitue la première étape du lancement de la certification des prestataires de formation à la protection des données. Ainsi, les prestataires de formation, qui souhaitent obtenir leur certification au plus tôt, disposent d'une période d'environ 10 mois pour se mettre en conformité avec les critères du référentiel et préparer leur candidature.

À l'issue de cette période préparatoire, les prestataires de formation pourront se porter candidat à la certification auprès d'un des organismes certificateurs agréés et référencés sur le site web de la CNIL.

S'agissant des organismes certificateurs, ceux-ci devront faire une demande d'accréditation auprès du Comité français d'accréditation (Cofrac) et pourront recevoir les premiers dossiers des candidats à la certification fin 2021.

Le contenu du référentiel

Le référentiel comporte près d'une trentaine de critères ayant pour objectif de démontrer la qualification du prestataire de formation à la protection des données. Ces exigences sont divisées en thématiques :

les exigences générales ;

l'information du public sur les formations proposées ;

l'identification des besoins et des objectifs de formation ;

la conception des formations ;

la préparation et à l'adaptation des formations aux apprenants ;

les conditions de réalisation des formations ;

les compétences des intervenants ;

le recueil des appréciations et la prise en compte des réclamations.

Il est accompagné d'un référentiel général d'aptitudes et de connaissances (les notions clés à maîtriser, les principes de la protection des données, les responsabilités des acteurs, le délégué à la protection des données et la mise en place de sources de veille).

Un guide de lecture accompagne également le référentiel afin de faciliter l'accès à la certification, notamment à partir d'exemples et de situations pratiques. Ce guide sera enrichi à partir du retour d'expérience des premières évaluations qui seront réalisées.

# data[].attributes.attachment_link.title
Certification des prestataires de formation à la protection des données : la CNIL publie un référentiel de critères

# data[].attributes.attachment_link.description
La publication des critères de certification constitue la première étape du lancement de la certification des prestataires de formation à la protection des données. Ainsi, les prestataires de formation, qui souhaitent obtenir leur certification au plus tôt, disposent d'une période d'environ 10 mois pour se mettre en conformité avec les critères du référentiel et préparer leur candidature.

# data[].attributes.headline
Le métier de DPO à l’heure de l’intelligence artificielle : publication des résultats de l’enquête

# data[].attributes.subject
Le métier de DPO à l’heure de l’intelligence artificielle : publication des résultats de l’enquête

# data[].attributes.attachment_link.title
Le métier de DPO à l’heure de l’intelligence artificielle : publication des résultats de l’enquête

# data[].attributes.attachment_link.description
Depuis 2018, la Délégation générale à l’emploi et la formation professionnelle (DGEFP) et la CNIL, en partenariat avec l’Association française des correspondants à la protection des données (AFCDP), étudient les enjeux d’emploi et de compétences liés au RGPD en suivant de près l’évolution de la fonction de délégué à la protection des données (DPO).