PROTECTION DES DONNÉES, NOUVELLES OBLIGATIONS

Transcription

1 BIENVENUE

2 PROTECTION DES DONNÉES, NOUVELLES OBLIGATIONS

3 En quoi les collectivités territoriales sontelles impactées par le règlement européen sur la protection des données? Qu est-ce qu une donnée personnelle? Une donnée personnelle est une information susceptible d identifier directement ou indirectement une personne physique. Il peut donc s agir du nom, prénom, de l adresse postale ou électronique ou encore du numéro de sécurité sociale. Mais cela peut aussi être le numéro de carte de paiement, la plaque d immatriculation du véhicule, l historique de navigation web ou même les données de géolocalisation, une adresse IP. Leur divulgation ou leur mauvaise utilisation pourrait porter atteinte aux droits et libertés des personnes ou à leur vie privée. -Certains de ces traitements présentent une sensibilité particulière, comme les fichiers d aide sociale, de la police municipale, de la santé, la religion, les convictions politiques, l appartenance à un syndicat, l origine raciale, données sur les mineurs. Vous traitez des données personnelles : Vous avez créé des fichiers Excel avec des noms de salariés, de clients, d administrés. Vous envoyer des s à des débiteurs et à des fournisseurs? Vous gérez des bases de données (database en anglais): permet de stocker et de retrouver l'intégralité de données brutes ou d'informations en rapport avec un thème ou une activité. Celles-ci peuvent être de natures différentes et plus ou moins reliées entre elles Vous voyer passer des données sensibles? Coordonnées bancaires, information de santé, gros fichiers avec des informations personnelles? Vous êtes dans l informatique ou et papier?

4

5 Pour les données risques élevés sur la vie privée, une étude d impact sera nécessaire

6 Définition Un fichier : Constitue un fichier de données à caractère personnel : Tout en semble structuré et stable de données à caractère personnel Accessibles selon des critères déterminés, que cet ensemble soit : Centralisé Décentralisé ou Réparti de manière fonctionnelle ou géographique

7 RAPPELS : DÉFINITIONS Un traitement : Constitue un traitement de données à caractère personnel : Toute opération ou tout ensemble d opérations effectuées ou non à l aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que La collecte L enregistrement L organisation, la structuration La conservation L adaptation ou la modification L extraction, la consultation, l utilisation La communication par transmission, la diffusion ou toute autre forme de mise à disposition Le rapprochement ou l interconnexion La limitation L effacement ou la destruction LIL vs RGPD : définition peu modifiée par rapport à la LIL

8

9 SE POSER LES QUESTIONS SUIVANTES A CHAQUE TRAITEMENT : QUI: POUR CHAQUE TRAITEMENT, LE RESPONSABLE (EX: MAIRE) ET LES PERSONNES OPÉRATIONNELLES C EST-À-DIRE LES PERSONNES QUI MANIPULENT LES DONNÉES) ET AUSSI LES SOUS-TRAITANTS (TRÈS IMPORTANTS CAR ILS SONT CO-RESPONSABLES DES TRAITEMENTS. QUOI : QUELLES SONT LES DONNÉES À TRAITER AVEC UN MINIMUM DE DÉTAIL. ATTENTION AUX DONNÉES SENSIBLES CAR CE NE SONT PAS LES MÊMES MESURES À PRENDRE. POURQUOI : LA FINALITÉ DU TRAITEMENT. POURQUOI VOUS RÉCUPÉREZ CES DONNÉES. CE QUE VOUS EN FAITE ET COMMENT VOUS LES RÉCOLTEZ. OU : PHYSIQUEMENT OU ELLES SONT STOCKÉES ET EST CE QU ON LES TRANSFÈRE À D AUTRES PERSONNES. JUSQU À QUAND : IMPORTANT, ON DOIT OUBLIER LES DONNÉES À PARTIR DU MOMENT OU ELLES SONT PLUS UTILES À LA COLLECTIVITÉ. IL FAUT LES EFFACER OU DÉTRUIRE. COMMENT : MESURES DE SÉCURITÉ. QUELLE ORGANISATION POUR LA MANIPULATION, LE CONTRÔLE.

10 RAPPELS : ACTEURS Le responsable du traitement (RT) : Le.la maire Le/la président/e de l EPCI, du syndicat, du Conseil départemental ou du Conseil régional Définition (Art 4) : La personne physique ou morale, l autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d autres, détermine les finalités et les moyens du traitement. La personne dont la responsabilité civile et pénale peut être engagée Pas de changement dans la définition et la conception du responsable de traitement par rapport à la LIL.

11 RAPPELS : ACTEURS Le Correspondant Informatique et Libertés : Diffuse la culture Informatique et Libertés Instaure des bonnes pratiques Est l interlocuteur de la CNIL Sensibilise les agents, la direction, les élus Tient des registres de traitement et dresse un bilan annuel de ses activités Désignation facultative pour la collectivité Changement important avec le RGPD : disparition du CIL au profit du Délégué à la Protection des Données (DPD)

12

13 NOUVELLES OBLIGATIONS? La loi informatique et Libertés : en vigueur depuis le 6 janvier 1978 Le Règlement général sur la protection des données (RGPD) : en vigueur à partir du 25 mai 2018.

14 LES PRINCIPES CLÉS DE LA PROTECTION DES DONNÉES PERSONNELLES

15 Les grands principes Principe de finalité : les données à caractère personnel ne peuvent être recueillies et traitées que pour un usage déterminé et légitime. Principe de proportionnalité et de pertinence des données : seules doivent être traitées les informations pertinentes et nécessaires au regard des objectifs poursuivis, Principe d une durée de conservation des données limitée : les informations ne peuvent être conservées indéfiniment. La durée de conservation doit être précise et déterminée. Principe de sécurité des données : le responsable de traitement doit prendre les mesures nécessaires pour traiter les risques d accès illégitime, de modification non désirée et de disparition de données à caractère personnel, de manière proportionné. Principe du respect des droits de la personne. Le traitement doit être licite, loyal et transparent au regard de la personne concernée.

16 Le changement RGPD du 25 MAI 2018 c est : 1 - Une nouvelle logique de responsabilité 2 - Les droits des personnes renforcés 3 - Un risque aggravé de sanctions 4 - Un délégué à la Protection de Données (DPD) obligatoire

17 1 - UNE NOUVELLE LOGIQUE DE RESPONSABILITÉ Etudes d impact sur les données concernant la vie privée (EIVP) obligatoires : Pour les traitements «à risques», traitant des données sensibles ou reposant sur du profilage. Pour faire apparaître les caractéristiques du traitement, les risques et les mesures adoptées pour protéger les données Documentation CNIL sur les EIVP : ICI Aussi appelé «PIA» pour Privacy Impact Assessment en anglais

18 Lancement d un nouveau traitement de données de vie privé

19 Identification du traitement

20 Appréciation des risques

21 Mesures l échelle des risques

22 Outil de la CNIL à télécharger pour évaluer une vue d ensemble des risques

23 2 - LES DROITS DES PERSONNES RENFORCÉS Obligation d information dans des termes clairs L information doit être claire, intelligible et facilement accessible Les personnes doivent donner leur accord pour le traitement de leurs données, ou pouvoir s y opposer, de façon «non ambigüe» La charge de la preuve pèse sur le responsable du traitement Obligation d information en cas de perte de données Obligation d informer la CNIL dans les 72 heures Obligation d informer les personnes concernées si la violation est susceptible d engendrer un risque élevé pour les droits et libertés des personnes Droit à la réparation du préjudice, auprès de l élu.e (RT) ou de son sous-traitant Délais pour faire droit à une demande : «dans les meilleurs délais» et au plus tard en 1 mois

24 AVOIR LE CONSENTEMENT Est un acte de volonté clair et positif -Le responsable du traitement -A quoi sert-il Notion d opt-in passif ou actif

25

26

27 3 - UN RISQUE AGGRAVÉ DES SANCTIONS L élu.e et le sous-traitant peuvent faire l objet de sanctions administratives : jusqu à 20 millions d euros pour le responsable du traitement et de 2 à 4 % du chiffre d affaires annuel du sous-traitant Des sanctions pénales toujours en vigueur : Article L à L et articles R à R du code pénal Peines d amendes à peines de prison avec sursis En cas de non-conformité, le risque est ailleurs : réputation, image, perte de confiance, climat social

28

29 4 - Un délégué à la protection des données obligatoire

30 LE DÉLÉGUÉ À LA PROTECTION DES DONNÉES Désignation obligatoire du délégué à la protection des données, sans seuil de dispense. Profil : Doit être qualifié : qualités professionnelles, connaissances spécialisées du droit et des pratiques en matière de protection de données Doit bénéficier d actions de formation continue Obligations pour la collectivité de : Fournir au DPD les ressources nécessaires à ses missions L associer d une manière appropriée et en temps utile à toutes les questions relatives à la protection des donnés Lui donner accès aux données Lui permettre de se former

31 LE DÉLÉGUÉ À LA PROTECTION DES DONNÉES (OU DPO EN ANGLAIS) Informer, conseiller et accompagner, afin de faire respecter le règlement européen et le droit national dans sa collectivité Sensibiliser aux enjeux de la protection des données personnelles Superviser des audits internes sur la protection des données personnelles Conseiller le responsable sur l opportunité de réaliser une analyse d impact sur la vie privée (EIVP) et d en vérifier l exécution Recevoir les réclamations relatives à la protection des données et y répondre Coopérer avec la CNIL et être son point de contact dans la collectivité Tenir le registre des traitements et dresser le bilan annuel Missions élargies par rapport au CIL : plus grandes responsabilités

32 CREATION DU REGISTRE DE TRAITEMENT Le RGPD oblige les responsables du traitement et les sous-traitants de tenir un registre des traitements suite à la cartographie des données. Avant, les sous-traitants n étaient pas soumis à cette obligation. Pour rappel, ce dernier impose de prendre les mesures internes nécessaires pour optimiser la protection des données et faciliter l apport de preuve en cas de contrôle ou en cas de litige devant un tribunal.

33 Contenu du registre Le RPGD ne dresse pas une liste exhaustive des informations qui devraient figurer sur un registre. Mais au minimum, ce dernier devrait contenir les informations suivantes : Le nom du responsable du traitement ou de son représentant, le cas échéant, le nom du DPO ; Les finalités du traitement ; Les différentes catégories de données traitées ; Les personnes concernées par le traitement. Les destinataires des données. Les délais prévus de destruction des données. La description des mesures de sécurité à mettre en place pour protéger les données. Les garanties de sécurité supplémentaires pour les cas de transfert de données à l international.

34 CIL VS DÉLÉGUÉ À LA PROTECTION DES DONNÉES Le CIL : Correspondant informatique et libertés Le DPD : Délégué à la Protection des Données ou Data Protection Officer (DPO) Il diffuse la culture «Informatique et Libertés» et instaure des bonnes pratiques dans la collectivité. Il est l interlocuteur de la CNIL au sein de la collectivité et veille au respect de la loi Informatique et Libertés. Il sensibilise les agents, la direction et les élus. Il tient des registres de traitement et dresse un bilan annuel de ses activités Sa désignation était facultative jusqu à présent Informer, conseiller et accompagner au sein de sa structure, afin de faire respecter le règlement européen et le droit national en matière de protection des données personnelles Sensibiliser au sein de sa structure aux enjeux de la protection des données personnelles Superviser des audits internes sur la protection des données personnelles Conseiller le responsable sur l opportunité de réaliser une analyse d impact sur la vie privée(eivp) et d en vérifier l exécution Recevoir les réclamations relatives à la protection des données et y répondre Coopérer avec l autorité de contrôle (la CNIL) et être son point de contact au sein de sa structure

35 LE DÉLÉGUÉ À LA PROTECTION DES DONNÉES Possibilité de : Externaliser un DPD Mutualiser un DPD Désigner le DPD dès maintenant avec prise d effet au 25/05/2018 (pas de transfert automatique d un statut à l autre)

36 PROPOSITIONS DU CDG 53 : Mutualisation d un DPD (Délégué Protection des données) et accompagnement dans la démarche 2 solutions de mises en pratique : Prestations de cartographie mutualisées groupes de travail en commun conventionnement Coût : 560 uros la première année /280 uros annuel ensuite Ou : Prestation individualisée Conventionnement Coût : 450 uros/jour

37 MERCI DE VOTRE ATTENTION