1/ Coup de Katana sur les idées reçues
2/ La technique des cinq points de conformité (et de la paume qui fait exploser le cœur)
3/ Bouge ton gros orteil
Registre des traitements, Privacy by design, désignation d'un DPO… A quelques semaines de la mise en place du RGPD, quelques réponses simples à des questions qui le sont moins!
Workshop NP6 et Bird&Bird : RGPD c’est maintenant ! Tout ce qu'il faut savoir...NP6
(re)Découvrez les impacts du Règlement Général sur la Protection des Données (RGPD) sur votre activité grâce à l’analyse et aux recommandations de notre partenaire, le cabinet international Bird & Bird.
Le RGPD, Règlement Général sur la Protection des Données (en anglais GDPR : General Data Protection Regulation) sera d’application directe le 25 Mai 2018. Il a pour objectif de renforcer et unifier la protection des données à caractère personnel. Il ne reste donc à présent que quelques mois aux entreprises pour repenser leur gouvernance en matière de protection des données personnelles et se mettre en conformité au RGPD.
L'Interactive Advertising Bureau France (IAB France) présente son Guide sur le Règlement sur la Protection des Données
Ce guide a pour vocation d'aider les entreprises membres de l'IAB France à évaluer leur conformité au RGPD et à leur indiquer les actions à mettre en place.
Entré en application le 25 mai 2018, le RGPD harmonise et met à jour les lois sur la protection des données dans l'Union européenne pour la première fois depuis plus de 20 ans. Il consolide et crée de nouveaux droits pour les citoyens européens et les citoyens vivant dans l'UE en matière de protection des données personnelles.
Le RGPD cherche également à simplifier l'environnement réglementaire pour les entreprises en harmonisant la réglementation au sein de l'UE et en mettant à leur disposition des « guichets uniques », mais aussi à exporter ce modèle à l’échelle internationale. En parallèle, le RGPD instaure un régime de sanction dissuasif à l’égard des contrevenants.
Le Guide RGPD de l’IAB France vient donc apporter un soutien concret aux entreprises de la pub digitale dans le procès de compréhension du nouveau Règlement et des tâches à mener pour se mettre en conformité, ainsi qu'un aperçu des perspectives futures.
Atelier Gdpr/ RGPD du Brunch Info avec David Blampain / Mons 2018David Blampain
Sensibilisation GDPR et RGPD. PME/Administrations/Universités. Slides de la présentation réalisée pour la LME, Hainaut développement et l'IDEA pour 82 participants. Merci à eux :)
This document discusses how the world is currently in an age of disruption due to accelerating business evolution and technological change. Some key points made include:
- 80% of CEOs expect their businesses to be significantly disrupted in the coming years as the pace of change increases. Over 50% of Fortune 500 companies from 2000 are now gone.
- Business agility and the rapid introduction of new products, experiences, and responses to threats is now essential for companies to survive due to increasing disruption.
- Many jobs and entire industries have been disrupted out of existence since 2007 due to new technologies and shifting business models. Companies must change and adapt internally to the new digital era or risk disappearing.
- Traditional command-
The document discusses how the world is changing rapidly due to technology disruptions. Some key points made include that more than 50% of Fortune 500 companies have disappeared since 2000, 80% of CEOs expect significant disruptions to their businesses, and business agility is now essential. Examples of disruptions provided include e-commerce, robots, driverless cars, social networks, BYOD, and more. The document argues that organizations must change internally to remain competitive by embracing concepts like ecosystems, experiences, agility, digital transformation, innovation, the Internet of Things, and knowledge management.
This document discusses how work dynamics are changing in connected organizations. It notes that the world and businesses are accelerating faster than predicted, with more than 50% of Fortune 500 companies disappearing since 2000. It emphasizes that business agility is now essential to rapidly introduce new products and experiences, and respond quickly to threats. It provides several examples of how the world and behaviors have changed in just the last 10-15 years due to increased connectivity and digitalization. The document suggests organizations must also change internally to function effectively in this new environment, and discusses concepts like social networks, knowledge management, breaking down silos, and empowering workers.
The document discusses how the world is accelerating faster than predicted and how business agility is now essential. It provides examples of disruption across many industries through new technologies and changing customer behaviors. The key points are that organizations must change quickly, embrace new ways of working like digital transformation and knowledge sharing, and move away from command-and-control styles towards valuing mistakes and breaking down silos.
This document discusses the role of the Data Protection Officer (DPO) under the General Data Protection Regulation (GDPR). It outlines an agenda with topics on how to choose a DPO, avoid conflicts of interest, formally appoint the DPO, guarantee their independence, involve them in decisions regarding personal data, and inform staff internally. For each topic, it lists questions an organization should consider to ensure they are compliant with the GDPR requirements regarding the DPO. The presentation emphasizes that properly establishing the role of the DPO can help organizations rethink their internal processes to be compliant with privacy regulations.
This document discusses how the GDPR impacts digital marketing. It begins by providing context on the digital transformation and the importance of data. It then discusses the key aspects of the GDPR including territorial scope, definitions of personal and sensitive data, data subject rights, and responsibilities of controllers and processors. It notes that under the GDPR, companies must be able to demonstrate compliance. The rest of the document discusses specific implications for digital marketing like obtaining consent, managing cookies and third parties, international data transfers, and potential solutions like using contracts and considering the public interest. It concludes that while challenging, the GDPR presents an opportunity for digital marketing if companies adapt practices to prioritize privacy.
This document provides an agenda for a presentation on GDPR and digital strategy. It includes an introduction of the presenter, Jacques Folon, and his background and publications on privacy. The agenda covers the basic principles of GDPR, questions from attendees, and how GDPR relates to digital strategy. Specific topics that will be discussed include the purpose and requirements of GDPR, how it applies in Belgium, practical implementation steps, important points like privacy by design, and exercises. The presentation aims to help attendees understand GDPR and provide reassurance that being non-compliant is not too late to address.
This document discusses the balance between privacy and health measures during the COVID-19 pandemic in Belgium. It provides a timeline of events from March 2020 to March 2021, describing the various emergency measures and legal challenges. Key organizations like Human Rights Watch and the League of Human Rights have argued that the government's response has concentrated too much power without proper parliamentary oversight. Moving forward, the document suggests that respecting principles like separation of powers can help ensure both public health and civil liberties are protected during the crisis.
This document discusses data privacy and the General Data Protection Regulation (GDPR). It begins with an overview of the context and definitions related to GDPR, including personal data, processing, controllers, processors, and data breaches. It then outlines 12 key principles of GDPR, such as accountability, consumer rights, privacy by design, information security, penalties, and data privacy officers. The document concludes by discussing some of the consequences of GDPR for companies and the methodology for complying with its requirements, including risk analysis, records of processing, and training.
This document discusses various topics related to intellectual property rights (IPR) in 2021. It begins by introducing the author Jacques Folon and their background and credentials. It then discusses some criticisms of IPR and surveys that find many French internet users do not consider piracy to be theft. Other topics covered include the historical development of copyright law, debates around whether IPR constitutes a form of property, how IPR may limit research and art, the purpose of IPR, and categories of works that are protected by IPR like patents, trademarks, design, copyright, and neighboring rights. The document also discusses concepts like public domain, fair use exceptions, and new licenses like Creative Commons. It considers how IPR applies in the digital
The document discusses how the business world is changing rapidly due to digital disruption. It notes that most presentations and strategies will become obsolete very quickly. It provides examples of how the world has changed in just a short period of time due to new technologies and rising consumer expectations of personalization and convenience. The document argues that organizations must become more agile, innovative, and embrace new technologies in order to survive this period of massive disruption.
The document discusses how the world is accelerating faster than predicted with more than 50% of Fortune 500 companies disappearing since 2000 and 80% of CEOs expecting significant business disruption. It provides examples of rapid changes, such as how the memory in an iPhone X today is 2% of what an IBM computer had in the 1970s. The document argues that business agility is now essential to introduce new products and experiences rapidly in response to threats. It also discusses how behaviors and jobs are changing, with the rise of robots, digitalization, data/knowledge sharing, social networks, security issues, and the need for flatter organizational structures.
The document discusses how the world is accelerating faster than predicted with more than 50% of Fortune 500 companies disappearing since 2000 and 80% of CEOs expecting significant business disruption. It provides examples of rapid changes, such as how the memory of an IBM computer from the 1970s is only 2% of an iPhone X's memory. The summary discusses how behaviors and industries are changing, with the emergence of robots, connected objects, changing jobs, and disappearing companies. It emphasizes that organizations must change quickly internally to adapt.
IPR as an important part of business strategy in the digital age. The document discusses criticisms of IPR, including that 80% of French internet users do not consider piracy to be theft. It also discusses whether IPR is outdated and examines limitations IPR places on research and art. The purpose of IPR is outlined as allowing authors to live off their works and providing various types of legal protections.
This document discusses how the world is currently experiencing an age of disruption due to rapid technological changes. It provides examples of how the business world is changing drastically, with 80% of CEOs expecting significant disruption and over 50% of Fortune 500 companies from 2000 having disappeared. Additionally, traditional ways of working are being disrupted, including command and control structures, silos, and bring your own device policies. Organizations must adapt and become more agile to keep up with this pace of change.
This document discusses data privacy and the General Data Protection Regulation (GDPR). It begins with an overview of the context and definitions related to GDPR, including what constitutes personal data, processing, controllers, processors, and data breaches. It then outlines the 12 main principles of GDPR, which include accountability, consumer rights, privacy by design, information security, penalties, and the appointment of a data privacy officer. The document concludes by discussing the consequences of GDPR for companies and the public sector, and provides a methodology for conducting a GDPR compliance audit and risk analysis.
This document discusses how businesses are facing disruption in an age of rapid technological change. It notes that 80% of CEOs expect significant disruption, yet over 50% of Fortune 500 companies have disappeared since 2000. The world has changed dramatically just in the last decade due to technologies like smartphones and social media that did not exist in 2007. As a result, companies must adopt new strategies to remain agile, rapidly introduce new products and experiences, and respond quickly to threats. Traditional hierarchies and silos must change as organizations shift toward social networks and knowledge management to adapt to disruption.
Conseils pour Les Jeunes | Conseils de La Vie| Conseil de La JeunesseOscar Smith
Besoin des conseils pour les Jeunes ? Le document suivant est plein des conseils de la Vie ! C’est vraiment un document conseil de la jeunesse que tout jeune devrait consulter.
Voir version video:
➡https://youtu.be/7ED4uTW0x1I
Sur la chaine:👇
👉https://youtube.com/@kbgestiondeprojets
Aimeriez-vous donc…
-réussir quand on est jeune ?
-avoir de meilleurs conseils pour réussir jeune ?
- qu’on vous offre des conseils de la vie ?
Ce document est une ressource qui met en évidence deux obstacles qui empêchent les jeunes de mener une vie épanouie : l'inaction et le pessimisme.
1) Découvrez comment l'inaction, c'est-à-dire le fait de ne pas agir ou d'agir alors qu'on le devrait ou qu'on est censé le faire, est un obstacle à une vie épanouie ;
> Comment l'inaction affecte-t-elle l'avenir du jeune ? Que devraient plutôt faire les jeunes pour se racheter et récupérer ce qui leur appartient ? A découvrir dans le document ;
2) Le pessimisme, c'est douter de tout ! Les jeunes doutent que la génération plus âgée ne soit jamais orientée vers la bonne volonté. Les jeunes se sentent toujours mal à l'aise face à la ruse et la volonté politique de la génération plus âgée ! Cet état de doute extrême empêche les jeunes de découvrir les opportunités offertes par les politiques et les dispositifs en faveur de la jeunesse. Voulez-vous en savoir plus sur ces opportunités que la plupart des jeunes ne découvrent pas à cause de leur pessimisme ? Consultez cette ressource gratuite et profitez-en !
En rapport avec les " conseils pour les jeunes, " cette ressource peut aussi aider les internautes cherchant :
➡les conseils pratiques pour les jeunes
➡conseils pour réussir
➡jeune investisseur conseil
➡comment investir son argent quand on est jeune
➡conseils d'écriture jeunes auteurs
➡conseils pour les jeunes auteurs
➡comment aller vers les jeunes
➡conseil des jeunes citoyens
➡les conseils municipaux des jeunes
➡conseils municipaux des jeunes
➡conseil des jeunes en mairie
➡qui sont les jeunes
➡projet pour les jeunes
➡conseil des jeunes paris
➡infos pour les jeunes
➡conseils pour les jeunes
➡Quels sont les bienfaits de la jeunesse ?
➡Quels sont les 3 qualités de la jeunesse ?
➡Comment gérer les problèmes des adolescents ?
➡les conseils de jeunes
➡guide de conseils de jeunes
M2i Webinar - « Participation Financière Obligatoire » et CPF : une opportuni...M2i Formation
Suite à l'entrée en vigueur de la « Participation Financière Obligatoire » le 2 mai dernier, les règles du jeu ont changé !
Pour les entreprises, cette révolution du dispositif est l'occasion de revoir sa stratégie de formation pour co-construire avec ses salariés un plan de formation alliant performance de l'organisation et engagement des équipes.
Au cours de ce webinar de 20 minutes, co-animé avec la Caisse des Dépôts et Consignations, découvrez tous les détails actualisés sur les dotations et les exonérations, les meilleures pratiques, et comment maximiser les avantages pour les entreprises et leurs salariés.
Au programme :
- Principe et détails de la « Participation Financière Obligatoire » entrée en vigueur
- La dotation : une opportunité à saisir pour co-construire sa stratégie de formation
- Mise en pratique : comment doter ?
- Quelles incidences pour les titulaires ?
Webinar exclusif animé à distance en coanimation avec la CDC
Impact des Critères Environnementaux, Sociaux et de Gouvernance (ESG) sur les...mrelmejri
J'ai réalisé ce projet pour obtenir mon diplôme en licence en sciences de gestion, spécialité management, à l'ISCAE Manouba. Au cours de mon stage chez Attijari Bank, j'ai été particulièrement intéressé par l'impact des critères Environnementaux, Sociaux et de Gouvernance (ESG) sur les décisions d'investissement dans le secteur bancaire. Cette étude explore comment ces critères influencent les stratégies et les choix d'investissement des banques.
23. LE GDPR
LA RUEE VERS L'OR DE CONSULTANTS,
D'AVOCATS, DE SPECIALISTES EN SECURITE,…
ATTENTION AUX
"CERTIFICATION GDPR"
ELLES N'EXISTENT PAS (ENCORE)
29. B. LE GDPR C'EST (PAS BEAUCOUP) DU
DROIT
DROIT
CONTRAT SOUS-TRAITANTS
PRIVACY POLICIES
RH (CONFIDENTIALITÉ-CODE DE CONDUITE)
INFORMATIQUE
PRIVACY BY DESIGN/DEFAULT
SECURITE DE L'INFORMATION
IAM
CODE DE CONDUITE ICT
DOCUMENTATION DES PROGRAMMES
DROIT D'ACCES
DROIT A L'OUBLI
CC81
ORGANISATION
ANALYSE DE RISQUES
ARCHIVAGE DIGITAL
GESTION DE PROJET
CHANGE MANAGEMENT
REGISTRE DE TRAITEMENT
COMMUNICATION DE CRISE (DATA BREACH)
FORMATION
30. Question existentielle !
Qu’est-ce qui fait partie du RGPD et n’est pas concerné par la sécurité de l’information ?
Qu’est-ce qui fait partie de la sécurité de l’information et n’est pas concerné par le RGPD?
31. Un petit
résumé
?
TERRITORIALSCOPE
Non-EUEstablishedOrganizations
Offer goods or ser vices or engaging in
monitoring within the EU.
PERSONALDATA SENSITIVEDATA
ENFORCEMENT
LAWFULPROCESSING
CONSENT
RESPONSIBILITIESOFDATACONTROLLERSANDPROCESSORS
RIGHTSOFDATASUBJECTS
Transparency
Purpose
Specificationand
Minimization
Access and
Rectification
Automated
Decision- Making
Rightto Data
Portability
Rightto
Erasure
DATABREACHNOTIFICATION
DataProtection
Officer (DPO)
Data
Protectionby
Design
INTERNATIONALDATATRANSFER
DataImpact
Assessment
Recordof Data
ProcessingActivities
THEPLAYERS
Data
Subjects
DataControllers
Data
Processors
Supervisory
Authorities
Identified Identifiable
Racial or
EthnicOrigin
Religious or
Philosophical
Beliefs
Health
Trade Union
Membership Sex
Life
Political
Opinions
Biometric
Data
Genetic
Data
“Right not to be subject to a
decision basedsolely on
automatedprocessing,
including profiling.”
Apersonal databreachis “abr each of
security leading to the accidental or
unlawful destr uction,loss,alter ation,
unauthorized disclosure of,or access
to,personal datatransmitted,storedor
otherwise processed.”
Collection and processing of per sonal datamust
be for “specified,explicit and legitimate purposes”
– withconsent of datasubject or necessar y for
Consent must be freely
given,specific,
infor med,and
unambiguous.
Model
Contractual
Clauses
Privacy
Shield
Binding
Corporate
Rules
(BCRs)
Adequate Level of
DataProtection
If likely to result in ahighprivacy r isk notify datasubjects
Notify super visory authorities no later
than 72hour s after discovery.
Upto 20 million euros or 4%of total annual worldwide
turnover . Less serious violations: Upto 10million
euros or 2%of total annual worldwide turnover.
EUEstablishments
Maintain adocumented
r egister of all activities
involving processing of EU
per sonal data.
built in starting at
the beginning of the
design process
Designate DPOif core
activity involves r egular
monitoring or processing
large quantities of
per sonal data..
For highr isk
situations
www.teachpr iv acy.com
GDPR
Workforce awareness trainingbyProf.Daniel J.Solove
• performance of a contr act
• compliance with alegal
obligation
• to pr otect aperson’s
vital interests
• taskin the public
interest
• legitimate inter ests
Effective Judicial Remedies:
compensation for mater ial and
non-material harm.
Fines
Security
Please askpermissionto reuse or distribute
32. Vous devez être capable de démontrer
que vous êtes en règle par rapport au RGPD !
33. Exercice introductif
Imaginez que l’autorité de
protection des données vous
annonce sa visite suite à une
plainte au niveau marketing.
35. Les amendes
•Maximum 4% CA Annuel
mondial
•20 Millions €
•Quelques exemples:
•Google 50 millions
•Hôpital portugais
480.000€
•Autriche 4.800 caméra
de surveillance
41. UNE DONNÉE PERSONNELLE ?
41
toute information se rapportant à une personne physique identifiée ou
identifiable (ci-après dénommée «personne concernée»);
est réputée être une «personne physique identifiable» une personne physique
qui peut être identifiée, directement ou indirectement, notamment par
référence à un identifiant, tel qu'un nom, un numéro d'identification, des
données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments
spécifiques propres à son identité physique, physiologique, génétique,
psychique, économique, culturelle
42. TRAITEMENT DE DONNEES
42
. toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de
procédés automatisés et appliquées à des données ou des ensembles de données à
caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la
structuration, la conservation, l'adaptation ou la modification, l'extraction, la
consultation, l'utilisation, la communication par transmission, la diffusion ou
toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la
limitation, l'effacement ou la destruction;
43. RESPONSABLE DE TRAITEMENT
43
. la personne physique ou morale, l'autorité publique, le service ou un autre organisme
qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du
traitement; lorsque les finalités et les moyens de ce traitement sont déterminés par le
droit de l'Union ou le droit d'un État membre, le responsable du traitement peut être
désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par le
droit de l'Union ou par le droit d'un État membre;
44. SOUS-TRAITANT
44
. la personne physique ou morale, l'autorité publique, le service ou un autre
organisme qui traite des données à caractère personnel pour le compte du
responsable du traitement;
45. VIOLATION DE DONNEES
45
une violation de la sécurité entraînant, de manière accidentelle ou illicite, la
destruction, la perte, l'altération, la divulgation non autorisée de données à
caractère personnel transmises, conservées ou traitées d'une autre manière, ou
l'accès non autorisé à de telles données;
CONSÉQUENCES:
NOTIFICATION PUBLIQUE !!
46. Il n’existe pas de certification GDPR NI
DPO
C’est un projet global!
Et les risques existent vraiment
47.
48. 1. Le but: le dossier GDPR
2. DPO or not DPO?
3. Les décisions de la direction
4. La partie visible d’abord
5. La partie risquée d’abord
6. Je ne veux pas être sous-traitant
7. Les DB existantes
8. Les droits des personnes
9. Les mesures techniques
10. Les mesures organisationnelles
11. Les RH
12. Les DPIA
13. Le registre
14. Le Dossier RGPD
49. But à atteindre
• avoir un dossier complet
• Obligation de moyen
• La sécurité de
l’information en fait
partie
• Et les RH sont comprise
dans ISO27002
51. 1. Le but: le dossier GDPR
2. DPO or not DPO?
3. Les décisions de la direction
4. La partie visible d’abord
5. La partie risquée d’abord
6. Je ne veux pas être sous-traitant
7. Les DB existantes
8. Les droits des personnes
9. Les mesures techniques
10. Les mesures organisationnelles
11. Les RH
12. Les DPIA
13. Le registre
14. Le Dossier RGPD
53. Les autres rôles et
fonctions
0 9 - 0 2 - 2 0
ROLE RGPD INFOSEC
CONSEIL DPO CONSEIL => DPO (RN)
OPÉRATIONNEL CHEF DE PROJET RSSI
54.
55. • Soutien de la direction
• Description de fonction
• Certification ?
• Plan d’actions
• Chef de projet
• Correspondants RGPD
• Avis et recommandations à la
direction
• Rapport annuel (Analyse-bilan-plan)
56. LE GDPR CA PEUT ETRE POSITIF
MEILLEURE CONNAISSANCE DES PROCESSUS INTERNES
57.
58. 1. Le but: le dossier GDPR
2. DPO or not DPO?
3. Les décisions de la direction
4. La partie visible d’abord
5. La partie risquée d’abord
6. Je ne veux pas être sous-traitant
7. Les DB existantes
8. Les droits des personnes
9. Les mesures techniques
10. Les mesures organisationnelles
11. Les RH
12. Les DPIA
13. Le registre
14. Le Dossier RGPD
59. • Le DPO ne décide pas !
• QUID DU RSSI?
• Décisions à prendre
• Acter les décisions
• Quid en cas de
désaccord?
• Exemples de décisions
60. 1. Le but: le dossier GDPR
2. DPO or not DPO?
3. Les décisions de la direction
4. La partie visible d’abord
5. La partie risquée d’abord
6. Je ne veux pas être sous-traitant
7. Les DB existantes
8. Les droits des personnes
9. Les mesures techniques
10. Les mesures organisationnelles
11. Les RH
12. Les DPIA
13. Le registre
14. Le Dossier RGPD
61. • Le site Internet
• Double opt-in
• Conservation des accords (contrat,
consentement)
• Cookies
• Marketing digital
• La collecte des données papier
• Bulletins d’inscriptions
• Privacy policies (plusieurs !!!)
• Collaboration DPO – ICT – RSSI nécessaire
64. 1. Le but: le dossier GDPR
2. DPO or not DPO?
3. Les décisions de la direction
4. La partie visible d’abord
5. La partie risquée d’abord
6. Je ne veux pas être sous-traitant
7. Les DB existantes
8. Les droits des personnes
9. Les mesures techniques
10. Les mesures organisationnelles
11. Les RH
12. Les DPIA
13. Le registre
14. Le Dossier RGPD
65. • Données sensibles
• RH
• Secrets d’affaires
• Identifier les départements à
risques
• On commence par sécuriser
les worst case
• Procédure en cas de
66. 1. Le but: le dossier GDPR
2. DPO or not DPO?
3. Les décisions de la direction
4. La partie visible d’abord
5. La partie risquée d’abord
6. Je ne veux pas être sous-traitant
7. Les DB existantes
8. Les droits des personnes
9. Les mesures techniques
10. Les mesures organisationnelles
11. Les RH
12. Les DPIA
13. Le registre
14. Le Dossier RGPD
67.
68. • Vous avez des sous-
traitants ?
• Audit (gratuite ou payante)
• Sous-traitants
• Données
• Finalités
• DPIA
• Si pas d’accords quant au statut?
• Vous êtes sous-traitant?
69. 1. Le but: le dossier GDPR
2. DPO or not DPO?
3. Les décisions de la direction
4. La partie visible d’abord
5. La partie risquée d’abord
6. Je ne veux pas être sous-traitant
7. Les DB existantes
8. Les droits des personnes
9. Les mesures techniques
10. Les mesures organisationnelles
11. Les RH
12. Les DPIA
13. Le registre
14. Le Dossier RGPD
70. • Inventaire
• Responsable (pour droit
d’accès)
• Shadow IT
• Mise en conformité
• Quantité vs qualité
• Que met-on dans le dossier
71. 1. Le but: le dossier GDPR
2. DPO or not DPO?
3. Les décisions de la direction
4. La partie visible d’abord
5. La partie risquée d’abord
6. Je ne veux pas être sous-traitant
7. Les DB existantes
8. Les droits des personnes
9. Les mesures techniques
10. Les mesures organisationnelles
11. Les RH
12. Les DPIA
13. Le registre
14. Le Dossier RGPD
73. Imaginez une demande
Que fait-on ?
Qui contacter?
Comment répondre?
Qui répond?
Est-on certain de répondre en
un mois?
74. PROTÉGEZ LES DONNÉES DE VOS CLIENTS
ET MONTREZ LEUR QUE VOUS LE FAITES
7
4
TRANSPARENCE
INFORMATIONS LORS DE LA COLLECTE
DROIT D'ACCES
DROIT DE RECTIFICATION
DROIT A L'EFFACEMENT
DROIT A LA LIMITATION DU TRAITEMENT
PORTABILITE
DROIT D'OPPOSITION AU PROFILAGE
75. 1. Le but: le dossier GDPR
2. DPO or not DPO?
3. Les décisions de la direction
4. La partie visible d’abord
5. La partie risquée d’abord
6. Je ne veux pas être sous-traitant
7. Les DB existantes
8. Les droits des personnes
9. Les mesures techniques
10. Les mesures organisationnelles
11. Les RH
12. Les DPIA
13. Le registre
14. Le Dossier RGPD
76. • Certification?
• Plan de sécurité?
• Analyse de risques
• Il faut une référence
• Voir DPIA CNIL
• Déclaration vs. Réalité
• IAM ?
77. 5 Politiques de sécurité de l’information
6 Organisation de la sécurité de l’information
7 La sécurité des ressources humaines
8 Gestion des actifs
9 Contrôle d’accès
10 Cryptographie
11 Sécurité physique et environnementale
12 Sécurité liée à l’exploitation
13 Sécurité des communications56
14 Acquisition, développement et maintenance des systèmes
d’information
15 Relations avec les fournisseurs
72 16 Gestion des incidents liés à la sécurité de l’information
17 Aspects de la sécurité de l’information dans la gestion de la
continuité de l’activité 18 Conformité
Normes ISO 27002
78. • Norme ISO 27001 et 27002 concernant les systèmes de management de la sécurité de l’information
• Norme ISO 29100 (Privacy Framework)
• Norme ISO 29134 sur les DPIA
• Norme ISO 29151 sur les bonnes pratiques en matière de vie privée
• Norme ISO 27018 sur les données personnelles et le cloud public
• Norme ISO 29191 sur la cryptographie
• Norme ISO 20889 sur les techniques d’anonymisation
• Le guide Afnor sur la protection des données et les normes volontaires
• Plusieurs documents concernent la protection des données au sein du Toolkit réalisé par l’ISO 27K
Forum
• Mapping between GDPR and ISO 27K qui met en relation les articles du RGPD avec la norme ISO
27002
• Le mapping entre la norme 27552 et le GDPR (annexe C de la norme 27552)
• Mapping entre norme ISO 27552 et ISO 29100 (annexe D de la norme ISO 27552
• Mapping entre la norme ISO 27552, 27018 et 29151 (annexe E de la norme ISO 27552)
• Il ne faudra pas négliger d’effectuer une veille concernant les évolutions des normes et codes of
practices réalisés dans le cadre de l’ISO. A titre d’exemple, un certain nombre de travaux sont en
cours et seront publiés postérieurement :
• ISO/IEC 27555 — Information technology — Security techniques — Establishing
a PII deletion concept in organizations
• ISO/IEC AWI 27556 Information technology -- User-centric framework for the
handling of personally identifiable information (PII) based on privacy
preferences
• ISO 31700: concernera le privacy by design des produits et services au
• Les autres normes ISO et documents utiles
79. Les trois éléments de la
gouvernance
• Politique de sécurité
• Plan de sécurité
• Mesures de securité
0 9 - 0 2 - 2 0
113. 1 1 3
Quelles sont les questions à se poser??
• Les personnes sont-elles ce
qu’elles disent être??
• Sont-elles des membres
réels de notre communauté
?
• Ont-elles reçu les
autorisations nécessaires ?
• Le respect de leurs données
personnelles est-il mis en
place?
114. 1 1 4
Exemples de questions
• Quel mot type de mot de passe
donner?
• Quelles sont les activités
autorisées?
• Quelles sont les activités
interdites?
• A quelle catégorie de personne
cette nouvelle identité doit-elle
être attachée?
• A quel moment du processus
d’entrée les autorisations doivent-
elles être données?
• Quelles modalités de contrôle sont
mises en place?
115. 1. Le but: le dossier GDPR
2. DPO or not DPO?
3. Les décisions de la direction
4. La partie visible d’abord
5. La partie risquée d’abord
6. Je ne veux pas être sous-traitant
7. Les DB existantes
8. Les droits des personnes
9. Les mesures techniques
10. Les mesures organisationnelles
11. Les RH
12. Les DPIA
13. Le registre
14. Le Dossier RGPD
119. • le registre des incidents
les décisions de la direction
les raisons des choix
les transferts à l’APD
Le non transfert
les droits d’accès
…
120. 1. Le but: le dossier GDPR
2. DPO or not DPO?
3. Les décisions de la direction
4. La partie visible d’abord
5. La partie risquée d’abord
6. Je ne veux pas être sous-traitant
7. Les DB existantes
8. Les droits des personnes
9. Les mesures techniques
10. Les mesures organisationnelles
11. Les RH
12. Les DPIA
13. Le registre
14. Le Dossier RGPD
122. • Principe de transparence
• Information au personnel
• C.C. 81
• Clauses de confidentialité
• Charte informatique
• Quid des syndicats?
• Données sensibles
123. 1. Le but: le dossier GDPR
2. DPO or not DPO?
3. Les décisions de la direction
4. La partie visible d’abord
5. La partie risquée d’abord
6. Je ne veux pas être sous-traitant
7. Les DB existantes
8. Les droits des personnes
9. Les mesures techniques
10. Les mesures organisationnelles
11. Les RH
12. Les DPIA
13. Le registre
14. Le Dossier RGPD
124. • Outil de la CNIL
• Comment faire?
• Qui autour de la
table?
• On commence par
quoi?
• Actualisation?
125. 1. Le but: le dossier GDPR
2. DPO or not DPO?
3. Les décisions de la direction
4. La partie visible d’abord
5. La partie risquée d’abord
6. Je ne veux pas être sous-traitant
7. Les DB existantes
8. Les droits des personnes
9. Les mesures techniques
10. Les mesures organisationnelles
11. Les RH
12. Les DPIA
13. Le registre
14. Le Dossier RGPD
128. • Quel format choisir?
• Comment faire?
• Anticiper les simultanéités
• Log de non-conformité
• Méthode de classement
• Il faut retrouver les
preuves!
129. 1. Le but: le dossier GDPR
2. DPO or not DPO?
3. Les décisions de la direction
4. La partie visible d’abord
5. La partie risquée d’abord
6. Je ne veux pas être sous-traitant
7. Les DB existantes
8. Les droits des personnes
9. Les mesures techniques
10. Les mesures organisationnelles
11. Les RH
12. Les DPIA
13. Le registre
14. Le Dossier RGPD