Évènement 01 Business - GDPR, confiance et confidentialité des données, défi d'entreprise ou opportunité?

© 2017 ForgeRock. All rights reserved.
GDPR, confiance et confidentialité des données,
défi d'entreprise ou opportunité?
Alain Barbier
Léonard Moustacchis

Mes données personnelles
Sur Internet
2
Name
Last name
Email
Address
City
Country
• Où sont stockées mes données ?
• Comment sont-elles sauvegardées ?
• Vont-elles être disséminées, distribuées ?
• Quels contrôles ai-je sur mes données ?
• Pourquoi autant d’informations
personnelles à fournir ?
• Quels risques ?
• Quelles actions en cas de perte, de
violation ?

• Il sait où je suis
• Il connaît l’adresse de ma
maison et de mon travail
• Il sait lorsque je vais trop
vite sur l’autoroute
• Il connaît mes contacts
favoris et peut reconnaître
leur visage.
Mes données personnelles
Sur mon mobile

Confiance
Transparence
Unification
L’usager contrôle la portée de ses données personnelles
Le responsable de traitement et les sous-traitants appliquent les
règles de la GDPR
L’autorité de contrôle fait respecter la GDPR

Quand: 25 Mai 2018
Qui: Toutes les organisations qui opèrent dans des États membres
de l'UE ou avec des résidents de l'UE doivent s’y conformer
Qu’est-ce que
le GDPR?
• Conçu pour donner aux consommateurs le contrôle de leurs
données
• Consentement explicite pour les données saisies
• Droit à l’oubli, portabilité des données
• “Privacy by design”
Impact: Amendes allant jusqu'à 20 millions d'euros ou 4% du chiffre
d'affaires global annuel
GDPR : Les éléments clés

Les principes
6

Principe de responsabilisation
Accountability (Article 5)
• Le responsable du traitement/sous traitant doit être en mesure
de :
• assurer la conformité à la GDPR
• démontrer qu’il a pris les mesures techniques et organisationnelles
pour respecter le réglement.
• Conduite régulière d’audits
• Mise en oeuvre d’études d’impacts (PIA) (Article 35)
• Sensibilisation et formation
• Etablissement de codes de conduite
• Nomination d’un délégué à la Protection des Données (DPO) (Article
37 à 39)

Droits de l’individu
• Accès aux données (Article 15, 16, 20)
• Droit de consultation, modification, rétention
• Portabilité des données
• Effacement (droit à l’oubli) => 30 jours de délai (Article 17)
• Opposition à un traitement (Article 21)
• Notification aux sous-traitants en cas de rectification/effacement
(Article 19)
• Modification, effacement par le responsable de traitement
• Consentement (Article 4,7)
• Manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la
personne concernée accepte, par une déclaration ou par un acte positif clair,
que des données à caractère personnel la concernant fassent l'objet d'un
traitement.

Obligations du responsable de traitement
et du sous-traitant (1)
• Sécurisation des traitements
• Chiffrement, pseudonymisation, confidentialité, intégrité, disponibilité
• Notification de violation
• Informer l’autorité de contrôle dans les 72h après détection
• Rapport
• Nature de la violation
• Conséquences probables
• Mesures
• Si risque élevé pour l’individu alors la personne concernée devra être
informée dans les meilleurs délais
• Remédiation

Obligations du responsable de traitement
et du sous-traitant (2)
• DPIA (Data Protection Impact Assessment) : ISO 27005
• Quelles conséquences pratiques l’existence même du traitement fait courir à chaque
personne dont les données sont traitées ?
• En cas de faille de sécurité et de fuite de données, quelles conséquences sur le
respect de la vie privée de la personne concernée ?
• Nommer un DPO : Data Protection Officer
• Informer sur les obligations de protection
• Contrôler le respect à la GDPR
• Conseiller et Vérifier lors du DPIA
• Coopérer avec l’autorité de contrôle
• Point de contact avec l’autorté de contrôle
• Tenir un registre des traitements
• Produire des codes de conduite et obtenir des certifications

Transferts vers des pays hors UE
• Pays ayant des accords (Article 45)
• US : Privacy Shield,
• Andorre, Argentine, Canada, Israel, Nvelle Zélande, Suisse, …
• Importance de la certification et des codes de conduite
• Au cas par cas pour les autres (Articles 46 et 47)
• Règles d’entreprise contraignantes
• Approbation de l’autorité de contrôle
• Peu courant à ce jour

Le Projet
Risques et difficultés
12

© 2017 ForgeRock. All rights reserved. 13
Communication
et sensibilisation
Conduite du
changement
Audit sur les
données
Évaluations
d’impact sur la
confidentialité
des données

Communication et sensibilisation
Implication de l’organisation
• Politique de sécurité
• Engagement du conseil d'administration
• Principes de sécurité de l'information
• Organisation (responsabilités)
• Classification de l’information
• Sécurité physique et environnementale
• Système de contrôle d'accès
• Continuité de service
• Démarche commune avec vos fournisseurs

Audit sur les données
Identification
• Provenance des données
• Fournisseur, Source externe, Client
• Minimisation des données
• N’utiliser, ne conserver que les données nécessaires
• Politique de rétention
• Destruction des données expirées
• Durée de rétention à fournir au sujet via le consentement ou
directement (<1mois)
• Destination des données
• Vérifier les contrats avec les sous-traitants (ISO 27001)
• UE ou hors UE

Évaluations des impacts sur la
confidentialité des données
Data Privacy Impact Assessments
• Utilisation de ISO 27005 comme modèle
• Analyse des Flux de données
• Evaluation des risques :
• Identification
• Evaluation/Classification/Sévérité
• Mesures additionnelles
• Risque résiduel => contact avec l’autorité de contrôle (DPO)
• Pseudonymisation
• Anonymisation

Conduite du changement
• Revoir la méthodologie des projets informatiques
• Privacy by design et Privacy by Default
• Revoir la sécurité des infrastructures et les processus de traitement
• Définir des règles de conduite
• Toutes les fonctions de l’entreprise sont concernées. Les processus
de collaboration devront être revus.
• DSI (continuité, sécurité, …)
• Juridique (revoir les contrats avec les sous-traitants ...)
• HR (minimisation des données personnelles des employées, DPIA)
• DPO (revu des processus, DPIA, conseil, audit …)
• Marketing (cartographie des données personnelles utilisées, …)
• Risques

Opportunités

Les Opportunités
• Simplification : interaction avec une seule autorité de contrôle
• Cohérence : une loi unique pour l’ensemble des pays de l’UE
• Reprise du contrôle des données
• Localisation
• Processus
• Accroissement de la confiance des usagers pour étendre la
chaîne de valeur 80% of consumers are more likely to
purchases from consumer product companies
that they believe protect their personal
information
72% avoid purchasing brands from consumer
product companies that they believe do not
protect their personal information

Adoptez une vue globale pour éliminer
les frictions
20
Gestion du cycle de vie de
l'identité
Stockage sécurisé des données
personnelles
Réplication fractionnée
Provenance de données
Conditions de service, politique
de confidentialité et préférences,
gestion de consentement
Gestion fédérée et de
consentement social
Partage et approbation par
l'utilisateur
Retrait et modification du
consentement à grain fin
Gouvernance Contrôle d’accès Autorisation

Traitements particuliers
• Big Data
• Suivi des individus, Profiling
• Consentement, Pseudonymisation, DPIA
• Analyse comportementale de groupes
• Généralisation, anonymisation
• Cloud
• Localisation
• Vérifier les certifications, Codes de conduites (ISO 27018)
• Transparence et réversibilité
• IoT
• Privacy by design and by default
• Consentement contractuel, éventuellement via l’objet (smart device)

Digital Identity is Everywhere in Connected Cars
Owners
Drivers
Mechanics
Sensors
Devices
Vehicles

Enable data sharing
• User-controlled sharing of
personal data and app access,
from any web API
• Empowered user consent,
letting users approve only what
they want to
• Capturing consent actions in a
central user dashboard for
viewing, changing, and revoking

By 2016, over 1/3 of all circulating
cars in Western Europe are
expected to be connected,
reaching about 90% by 2020.
Today, the amount of data
generated by a connected vehicle
exceeds 25GB/hour.”
“
Source: https://www.hds.com/en-us/pdf/white-paper/hitachi-white-paper-internet-on-wheels.pdf© 2017 ForgeRock. All rights reserved.

https://www.flickr.com/photos/mckln/3548378531/ | CC BY 2.0
La confidentialité n'est pas le secret
La confidentialité n'est pas le chiffrement
No more data about you, without you
La confidentialité est relative au contexte, au
contrôle, au choix et au respect.

Quelques références
• RGDP UE Guide de poche de Alan Calder. Itgp éditeur
• GDPR: Building your businness to compliance de M.Foulsham
et B.Hitchen
• La protection des données personnelles de G.Desgens-
Pasanau
• The EU General Data Protection Regulation de P.Voigt et A.von
dem Busshe, Springer
• CNIL : www.cnil.fr

Merci

Évènement 01 Business - GDPR, confiance et confidentialité des données, défi d'entreprise ou opportunité?

Recommandé

Recommandé

Contenu connexe

Tendances

Tendances (20)

Similaire à Évènement 01 Business - GDPR, confiance et confidentialité des données, défi d'entreprise ou opportunité?

Similaire à Évènement 01 Business - GDPR, confiance et confidentialité des données, défi d'entreprise ou opportunité? (20)

Plus de Leonard Moustacchis

Plus de Leonard Moustacchis (20)

Évènement 01 Business - GDPR, confiance et confidentialité des données, défi d'entreprise ou opportunité?