Lernzettel: Gestion de la conformité RGPD et sécurité des données

📋 Plan du Cours

1. Méthodologie d’audit et étude de l’existant
2. Sécurité des données personnelles
3. Gouvernance RGPD et rôle du DPO
4. Conformité des traitements et sous-traitance
5. Droits des personnes et violations de données
6. Points de contrôle EBIOS et mesures juridiques

📖 1. Méthodologie d’audit et étude de l’existant

🔑 Notions clés & Définitions

• Mise en conformité RGPD : Évaluation du niveau d’avancement d’un organisme pour intégrer les exigences RGPD avant toute amélioration ciblée.
• Gouvernance informatique et libertés : Évaluation de l’organisation et des responsabilités internes liées au respect des règles Informatique et Libertés.
• Points de contrôle EBIOS : Vérifications structurées fondées sur EBIOS afin de cadrer les contrôles liés aux risques et à la sécurité.

📝 Points essentiels

• L’étude de l’existant commence par un recensement formalisé des fichiers, finalités, données personnelles nominatives et traitements.
• L’audit vérifie si l’organisme détermine les menaces et leurs impacts sur la vie privée et s’il applique des mesures de sécurité adaptées aux menaces.
• La méthodologie inclut la revue des fiches de traitement pour valider leur complétude dans la démarche de mise en conformité.
• Les contrôles EBIOS sont intégrés dans la démarche pour guider l’analyse et les vérifications de sécurité.

📖 2. Sécurité des données personnelles

🔑 Notions clés & Définitions

• Analyse des risques : Démarche qui recense les traitements et données personnelles, puis identifie les menaces, leurs impacts sur la vie privée et vérifie l’adéquation des mesures de sécurité prévues.
• Authentification des utilisateurs : Mécanisme d’accès qui garantit l’identité des utilisateurs via un identifiant unique et une politique de mot de passe rigoureuse, incluant des règles de changement après réinitialisation.
• Journalisation des accès : Fonction de traçabilité qui enregistre les accès et permet de protéger les journaux afin de détecter les accès frauduleux et de gérer les incidents liés aux données.

📝 Points essentiels

• Chaque utilisateur doit disposer d’un identifiant unique, et l’organisation doit appliquer une politique de mot de passe rigoureuse avec changement après réinitialisation, le tout pour sécuriser les accès.
• Les postes doivent être protégés par firewall logiciel, antivirus régulièrement mis à jour et un verrouillage automatique de session pour limiter l’accès en cas d’inactivité.
• Les dispositifs mobiles (ordinateurs portables et supports amovibles) doivent être chiffrés pour réduire le risque de divulgation en cas de perte ou vol.
• Des moyens de journalisation doivent exister, être protégés, et les personnes concernées doivent être notifiées des accès frauduleux à leurs données.

📖 3. Gouvernance RGPD et rôle du DPO

🔑 Notions clés & Définitions

• Délégué à la protection des données : Le délégué à la protection des données pilote et surveille la conformité RGPD en informant et en conseillant le responsable de traitement et les équipes.
• Politique de protection des données : La politique de protection des données formalise les engagements de l’organisme pour assurer des traitements licites, transparents, et respectueux des droits des personnes.
• Audit du DPO : L’audit du DPO contrôle dans le temps que l’organisme applique bien sa politique de protection des données et ses engagements RGPD.

📝 Points essentiels

• Le DPO présente au moins une fois par an son bilan d’activité au niveau le plus élevé de la direction de l’organisme.
• Le DPO doit disposer de ressources et de conditions de travail adaptées, y compris l’absence de conflit d’intérêts et un accès aux données.
• Le DPO doit être associé en amont à la mise en conformité dès la conception des traitements.
• Le DPO est garanti comme point de contact exclusif pour assurer la coopération avec les autorités de contrôle.

📖 4. Conformité des traitements et sous-traitance

🔑 Notions clés & Définitions

• Encadrement des sous-traitants : L’encadrement des sous-traitants regroupe les obligations contractuelles et organisationnelles qui permettent de sécuriser les traitements réalisés pour votre compte.
• Contrat de sous-traitance RGPD : Le contrat de sous-traitance RGPD fixe les obligations respectives des parties pour que les exigences de l’article 28 soient respectées lors des traitements confiés.
• Autorisation préalable de sous-traitance : L’autorisation préalable impose que le recours d’un sous-traitant à un autre sous-traitant soit autorisé selon les règles prévues par le responsable du traitement.

📝 Points essentiels

• Une politique dédiée doit couvrir les prescriptions de l’article 28 via contrat type, code de conduite ou certification, et inclure une autorisation préalable pour permettre au sous-traitant de sous-traiter à son tour.
• Une revue complète des contrats existants avec les sous-traitants doit être réalisée afin d’identifier les modifications nécessaires avant de poursuivre des traitements.
• Les contrats doivent être amendés avec des clauses couvrant les obligations de l’article 28 et précisant celles de chaque partie pour les traitements concernés.

💡 Astuce mémo

Article 28 = contrat + garanties + contrôle + feu vert avant la sous-sous-traitance.

📖 5. Droits des personnes et violations de données

🔑 Notions clés & Définitions

• Procédure d’exercice des droits : Une procédure interne organise la réponse aux demandes des personnes, avec identification/authentification et respect des délais prévus par le RGPD.
• Délégué point de contact : Le délégué est désigné comme point de contact supervisé pour traiter les demandes des personnes et servir d’interlocuteur en cas de sollicitation.
• Procédure de notification des violations : Une procédure prévoit les notifications requises en cas de violation de données, avec les démarches attendues par les articles 33 et 34 du RGPD.

📝 Points essentiels

• La procédure d’exercice des droits doit couvrir droit d’accès, rectification, effacement, limitation, portabilité, et le sort des données après le décès, avec identification/authentification et délais de réponse conformes à l’article 12 du RGPD.
• La notification à l’autorité de contrôle doit respecter l’ensemble des prescriptions de l’article 33 du RGPD.
• La notification aux personnes concernées doit respecter l’ensemble des prescriptions de l’article 34 du RGPD.

📖 6. Points de contrôle EBIOS et mesures juridiques

🔑 Notions clés & Définitions

• Droit d’opposition : Le droit permettant aux personnes de s’opposer à un traitement fondé sur leur situation particulière, avec une organisation pour traiter leur demande dans le délai prévu.
• Droit d’accès : Le droit permettant aux personnes d’obtenir la communication de leurs données, avec des processus pour répondre à la demande dans le délai réglementaire.
• Transferts vers pays tiers : Les transferts de données vers des destinataires hors UE nécessitent des mesures pour identifier ces destinataires et encadrer le transfert selon le RGPD.

📝 Points essentiels

• Le contrôle EBIOS vérifie que l’organisme permet l’exercice du droit d’opposition (article 21 RGPD) et met en place des processus pour y répondre dans le délai réglementaire.
• Le contrôle EBIOS vérifie que l’organisme permet l’exercice du droit d’accès (article 15 RGPD) et met en place des processus pour y répondre dans le délai réglementaire.
• Le contrôle EBIOS vérifie que l’organisme identifie tous les destinataires situés dans un pays tiers (articles 44 à 50 RGPD) et a accompli, si nécessaire, les formalités préalables au traitement.

💡 Astuce mémo

Opposition (21) → Accès (15) → Pays tiers (44-50).

📊 Tableaux de synthèse

EBIOS : droits et transferts (mesures juridiques)

Sujet	Exigence	Article(s)
Droit d’opposition	Mettre en place des mesures + processus pour répondre dans le délai réglementaire	21
Droit d’accès	Mettre en place des mesures + processus pour répondre dans le délai réglementaire	15
Transferts vers pays tiers	Identifier tous les destinataires situés dans un pays tiers + formalités si nécessaires	44 à 50

⚠️ Pièges & confusions fréquents

1. Confondre l’« étude de l’existant » (recensement + recueil d’info) avec l’audit du DPO (contrôle dans le temps) : ce ne sont pas les mêmes objectifs.
2. Oublier que l’authentification exige un identifiant unique et une politique de mot de passe rigoureuse incluant le changement après réinitialisation.
3. Croire que la journalisation suffit sans protection : le cours insiste sur la protection des équipements/journaux et la notification en cas d’accès frauduleux.
4. Mélanger analyse des risques EBIOS (menaces, impacts, mesures) et revue des fiches de traitement : les fiches servent à valider la complétude RGPD.
5. Penser que tous les droits des personnes sont identiques : le cours rappelle que les droits dépendent du fondement du traitement, avec des exceptions.
6. Rater l’exigence « autorisation préalable » : la sous-sous-traitance doit être autorisée selon les règles du responsable de traitement.
7. Croire que les contrôles juridiques EBIOS se limitent aux droits : ils incluent aussi finalités, minimisation, durées, information, fondement légal, et transferts.

✅ Checklist Examen

1. Recenser formellement tous les fichiers, finalités, données personnelles nominatives et traitements.
2. Vérifier que l’organisme détermine les menaces, leurs impacts vie privée, et applique des mesures adaptées.
3. Valider l’authentification : identifiant unique, politique de mot de passe rigoureuse, changement après réinitialisation.
4. Contrôler habilitations et organisation : profils, suppression des permissions obsolètes, documentation, charte informatique.
5. Vérifier la sécurisation postes : limitation des tentatives, firewall logiciel, antivirus à jour, verrouillage auto en cas d’inactivité.
6. Contrôler la sécurité mobile : chiffrement des ordinateurs portables et des supports amovibles.
7. S’assurer de la continuité : sauvegardes régulières, supports stockés en lieu sûr, sécurité du convoyage, tests continus.
8. Vérifier maintenance : main courante, effacement avant rebut, accord utilisateur avant intervention.
9. Contrôler traçabilité/incident : système de journalisation, protection des journaux, information, notification des accès frauduleux.
10. Analyser gouvernance DPO : bilan annuel au plus haut niveau, ressources, absence de conflit, accès aux données, point de contact exclusif, association dès la conception.
11. Valider droits et violations : procédure d’exercice (incluant sort après décès) et procédures de notification art. 33 et 34.
12. Vérifier EBIOS : mesures juridiques (dont opposition/access/transferts) + mesures organisationnelles et sécurité (logiques, physiques), puis revue des fiches de traitement.