Conférence sur le RGPD et la mise en conformité des TPE

1. clotilde.vaissaire@cf2id.fr
www.cf2id.fr

2. CF2ID - Juin 2018 2

3. RAPPEL HISTORIQUE
• Loi Informatique et libertés : 6/1/1978
• Directive européenne en 1995 sur la protection des personnes
• Modification de la loi IL en 2004
• Nouvelle directive européenne en 2016 applicable en France
depuis le 25 mai 2018
CF2ID - Juin 2018 3

4. Toutes les personnes physiquesQui ?
Protéger les données personnellesQuoi ?
Dans toutes les entreprises, organismes, associations,
établissements publics ou privés, partout !Où ?
Depuis le 25 mai…Quand ?
Pour protéger la vie privée (trop d’abus)Pourquoi ?
C’est ce que nous allons voir Comment ?
CF2ID - Juin 2018 4

5. • Toute information sur une personne physique (dont pas les
personnes morales)
• « Un nom, une photo, une empreinte, une adresse postale, une adresse
mail, un numéro de téléphone, un numéro de sécurité sociale, un
matricule interne, une adresse IP, un identifiant de connexion
informatique, un enregistrement vocal, etc. » (Source CNIL)
• Des données « sensibles »
• « Information qui révèle les origines raciales ou ethniques, les opinions
politiques, philosophiques ou religieuses, l'appartenance syndicale, la
santé ou la vie sexuelle d'une personne physique » (Source CNIL) [Penser
à n° de sécu par exemple]
• Interdites, sauf exception ou autorisations
CF2ID - Juin 2018 5

6. • Les données des personnes physiques
• Vos clients, vos contacts, vos prospects, vos salariés, vos emprunteurs,
vos adhérents, vos visiteurs…
• Collectées par tout(e) entreprise, association, organisme,
établissement public, site web…
• Donc vous êtes concerné en tant que professionnel et en tant
que personne
CF2ID - Juin 2018 6

7. CF2ID - Juin 2018 7

8. • Quels sont les personnes concernées dans mon entreprises ?
• Clients, contacts, prospects… : ai-je un site web ? Une newsletter ? Un
logiciel de gestion commerciale ? Etc.
• Collaborateurs, salariés, indépendants, partenaires…
• Quelles sont mes différents fichiers de données ?
• Quels sont les traitements de ces données ?
• Types de fichiers ?
• Données recensées ?
• Objectifs du traitement ?
• Sécurisation informatique ?
• Politique de conservation ?
• Transferts hors UE ?
CF2ID - Juin 2018 8

9. • Est-ce que je respecte le principe de proportionnalité des
données ?
• Des finalités explicites, légitimes, adéquates (proportionnellement à
l’objectif de traitement)
• Ai-je des données dites sensibles ?
• Sont-elles « proportionnelles » ? (ex : n° de sécu)
• Ai-je le droit de les collecter ? (exception / autorisation spécifique)
• Ai-je des formalités à faire auprès de la CNIL ?
• Dois-je faire une étude d’impact ? (+ packs de conformité de la CNIL
pour certains métiers)
CF2ID - Juin 2018 9

10. • Droit à l’information : est-ce que dans tous mes documents,
j’explique et je suis clair.e sur ce que je collecte, pourquoi je le
collecte, et ce que j’en fais ?
• Consentement : il doit être libre, spécifique, éclairé
• Accès
• Portabilité
• Rectification / déréférencement +
• NB : droit à l’oubli = traitement est limité dans le temps, les
personnes doivent être informées de cette durée et des
critères permettant de la fixer (cf. politique d’archivage)
CF2ID - Juin 2018 10

11. • Durée de conservation
• Durée de prescription
• Des règles d’archivages : numérique et papier – classement,
accès, etc. – originaux, copies - brouillons, fichiers définitifs,
historiques, etc.
• Une politique de conservation qui comprend la sécurité des
données (papier ou numérique)
CF2ID - Juin 2018 11

12. • Exécution d’un contrat (commande client)
• Obligation légale (salariés),
• Mission de service public
• Consentement
• Autres (intérêt vital, intérêt légitime)
CF2ID - Juin 2018 12

13. • Je dois pouvoir documenter ma conformité pour la prouver
• Pouvoir démontrer :
• Que l’on a fait l’état des lieux
• Que l’on a mis en place l’organisation nécessaire
• Que l’on a pris les mesures techniques adéquates
• Que l’on a identifié les risques potentiels
• Mettre en place un registre des traitements
• Cf. modèle de registre proposé par la CNIL
• Responsable légal : chef d’entreprise + Cas du sous-traitant
CF2ID - Juin 2018 13

14. • Mettre en place des bonnes pratiques
• Faire des audits internes réguliers
• Tenir à jour son registre
• Répondre aux demandes éventuelles des personnes
• Contacter la CNIL si besoin (études d’impact = outils open
source), se faire conseiller
• Obtention de certifications (plus tard)
CF2ID - Juin 2018 14

15. CF2ID - Juin 2018 15

16. • Une règlementation ancienne
• Qui permet de (re)mettre en place de bonnes pratiques
• Du bon sens et un peu d’organisation
• La CNIL :
• Guide de sensibilisation au RGPD pour les petites et moyennes
entreprises
• FICHE 1 : Votre entreprise communique et/ou vend en ligne
• FICHE 2 : Améliorez et maîtrisez votre relation client
• FICHE 3 : Protégez les données de vos collaborateurs
• Le registre des activités de traitement (avec un modèle à télécharger)
CF2ID - Juin 2018 16