Règlement général sur la protection des données personnelles
DEFINITION/OBJECTIFS/STRUCTURES CONCERNEES
Définition:
Le RGPD: Règlement général sur la protection des données est rentré en application le 25 mai 2018. La protection des données n’est pas une nouveauté, une législation existe en France depuis 1978 (Loi relative à l’informatique, aux fichiers et aux libertés) Lien vers le règlement intégral CNIL
Objectifs:
Garantir une meilleure maîtrise des données personnelles et renforcer le droit des personnes.
Qui est concerné?
Toute organisation (entreprise, association, collectivité, publique et privée) qui traite des données personnelles pour son compte ou non. Le RGPD concerne aussi les sous-traitants qui traitent des données personnelles pour le compte d’autres organismes.
Ainsi, si vous traitez ou collectez des données pour le compte de vos clients, vous avez des obligations spécifiques pour garantir la protection des données qui vous sont confiées.
Vous devez permettre aux personnes dont les données personnelles font l’objet d’un traitement, de maîtriser leurs données en leur conférant des droits d’accès, de rectification, d’effacement, d’opposition, etc
QU’EST-CE QU’UNE DONNEE PERSONNELLE?
Toute information, identifiant directement ou indirectement une personne physique.
Exemples: Nom, numéro d’immatriculation, numéro de téléphone, photographie, date de naissance, commune de résidence, empreinte digitale, adresse IP, ADN, numéro de sécurité sociale, donnée biométrique. Ensemble d’informations permettant de discriminer une personne au sein d’une population tels que: donnée physique, physiologique, génétique, psychique, économique, culturelle, sociale, la voix, une photo, lieu de résidence, profession, sexe, âge…).
QU’EST-CE QU’UN TRAITEMENT DE DONNEES A CARACTERE PERSONNEL?
Toute opération ou ensemble d’opérations portant sur de telles données, quel que soit le procédé utilisé:7
- collecte, enregistrement, organisation, conservation, adaptation, modification, extraction, consultation, utilisation, communication par transmission ou toute autre forme de mise à disposition, rapprochement ou interconnexion, verrouillage, effacement ou destruction, …
- Un traitement de données personnelles n’est pas nécessairement informatisé: Les fichiers papier sont également concernés et doivent être protégés dans les mêmes conditions.
2D.COPREV et ses partenaires mettent à votre service leurs compétences techniques et juridiques pour votre mise en conformité RGPD.
Phase 1 : Pré-audit en présentiel avec le référent de la structure
Présentation de la démarche – Mise en place d’un questionnaire complet (Avez-vous un site internet ? un système de vidéosurveillance ? des logiciels ? un serveur ? Un cloud ? …) Élaboration de la liste des sous-traitants- de la liste des salariés, dirigeants et bénévoles.
Phase 2 : Audit par notre service juridique (conférence à distance) avec le référent de la structure
Cartographie des traitements de données personnelles- Identification des acteurs- Identification des catégories de données traitées- Identification des finalités pour lesquelles les données sont collectées et traitées- Détermination des flux de données- Temps de conservation des données- Évaluation du niveau de risques avant prise en compte des mesures de sécurité- Évaluation des mesures de sécurité mises en œuvre.
Phase 3 : Finalisation du dossier dans nos bureaux
Synthèse générale du traitement de données- Élaboration et rédaction du dossier comprenant l’état des lieux des registres de traitement, les constats actuels et les préconisations d’actions d’amélioration.
Phase 4 : Remise du dossier
Remise du dossier finalisé au référent de la structure en version informatique et/ou en version papier. Dans le cas des versions papier, celles-ci ne sont imprimées qu’après validation définitive des résultats de l’audit, un RGPD moyen représentant environ 300 pages par structure auditée.
