@ : MISE EN ROUTE D UNE CONFORMITÉ CNIL DANS UN ÉTABLISSEMENT PUBLIC. Christine.andreck@gmail.com Thomas.arino@hotmail.fr

Transcription

1 @ : Christine.andreck@gmail.com Thomas.arino@hotmail.fr MISE EN ROUTE D UNE CONFORMITÉ CNIL DANS UN ÉTABLISSEMENT PUBLIC Conférence présentée le 20 octobre 2015 à : L Observatoire de la Sécurité des Systèmes d Information et des Réseaux de Toulouse C H R I S T I N E A N D R E C K & T H O M A S A R I N O / P A R T E N A I R E : R ÉMY B L A N C H A R D

2 SOMMAIRE 1. Introduction Textes applicables Contexte Initialisation de la démarche Le CIL Risques de non-conformité 2. Déroulement Étude des règles spécifiques à la structure publique Étude de l existant Etat des lieux : Exemples Bilan /Mise en évidence des écarts de conformité 3. Priorités prévisionnelles Délai 3-6 mois Délai 6-36 Mois 4. Conclusion 2

3 INTRODUCTION : Rappel des textes applicables -Directive 95/46/CE 24/10/1995 -Loi 6/08/2004 Avis CNIL Loi 6/01/1978 Informatique & Libertés Avis G29 Projet Règlement Européen 3

4 INTRODUCTION : Contexte TDCP* de étudiants /1.000 personnes (ens/personnel) Gestion 140 applications et 63 Bases de données mails reçus/jour 700 postes de travail (hors salles de TP informatiques) 160 serveurs *Traitement de Données à Caractère Personnel 4

5 INTRODUCTION : Contexte (Suite) LA DSI EXPERTISE TECHNIQUE Missions : infrastructure / matériels / logiciels / services numériques Structure : 1. Système 2. Support 3. Ingénierie MAINTIEN OPÉRATIONNEL PILOTAGE INFORMATIQUE DSI STRATÉGIE ET CONSEIL INFORMATIQUE EXPERTISE FONCTIONNELLE 5

6 INTRODUCTION : Initialisation démarche MENER MISSIONS DE CIL Composantes Université Les applications/leurs dépendances 26 thèmes prioritaires Synthèses Guides CNIL Étape 1 : Étude règles spécifiques Étape 2 : Étude de l existant Questionnaires chefs de service/cnil Liste TDCP /Inventaire déclarations Documentation Point d avancement Proposer une organisation Check-list des actions futures Étape 3 : Prospectives 6

7 INTRODUCTION : Le CIL CORRESPONDANT INFORMATIQUE ET LIBERTES CONSEIL Rend compte Au Responsable De traitement Au-delà 50 personnes Forcément interne à la structure PRÉSENCE Interne ou externe «Mr CNIL» REGISTRE Des traitements Il se substitue aux déclarations normales et simplifiées PROJET Règlement Européen Art.35 : Obligatoire pour organismes publics (et traitements de données de Personnes) 7

8 INTRODUCTION :Risques de non-conformité Sanctions CNIL Avertissements Sanctions pécuniaires (150K max ; x2 si récidive) ; limite : 5 % CA Injonctions Retrait de l autorisation Sanctions pénales Art > Code pénal 3 ans de prison + 100K (divulgation par imprudence/négligence ) 5 ans de prison + 300K ( Non-respect principe de sécurité, communication tiers non-autorisés ) Discrédit dans l opinion Publicité possible des sanctions Image de marque impactée Ex : sites de rencontre 8

9 DÉROULEMENT : Règles spécifiques à la structure ÉTA PE PRELIMINAIRE ÉTUDES APPLICATIONS Règles spécifiques de la structure publique Les composantes de l Université Règles informatique et libertés Leurs dépendances SYNTHÈSES Guides CNIL 9

10 DÉROULEMENT : Étude de l existant 2 èm e Étape Délimitation périmètre de travail Analyse de documentation juridique Questionnaires des différents acteurs Cartographie des TDCP Inventaire des déclarations 10

11 DÉROULEMENT : Exemple des données dématérialisées ÉTAT DES LIEUX Archivage numérique Sauvegarde numérique Protection à distance des données RECOMMANDATIONS MDP Mise à jour Code NAS BU Alarmes Réduire les personnes autorisées Historique 11

12 DÉROULEMENT : Exemple de la Charte Informatique ÉTAT DES LIEUX Information indiv/collective utilisateurs : Des traitements de leurs données Du contrôle & Utilisation outils informatiques Charte OBLIGATOIRE si collecte données par le SI RECOMMANDATIONS Opposabilité : Si annexée au Règlement intérieur Définition usage professionnel/privé résiduel Ne peut interdire usage raisonnable d internet Rappel principe confidentialité Administrateur réseau Livret procédures (bonnes pratiques) 12

13 DÉROULEMENT : Bilan 3 èm e Étape Mise en valeur écarts conformité Loi/recommandation CNIL Comparaison/Référentiels CNIL Recommandations 13

14 DÉROULEMENT : Bilan (Suite) 4 èm e Étape Conformité relative aux déclarations CNIL les plus structurantes pour l Université Initialisation : d une architecture de documentation juridique d une organisation 14

15 PRIORITÉS PRÉVISIONNELLES RECOMMANDAT I ONS Prévisions 3-6 MOIS 6-36 MOIS Déploiement totalité composantes 15

16 PRIORITÉS PRÉVISIONNELLES RECOMMANDAT I ONS 16

17 PRIORITÉS PRÉVISIONNELLES RECOMMANDAT I ONS 17

18 CONCLUSION 18

19 CONCLUSION 19