Ajoute cours RGPD
This commit is contained in:
parent
01f44e2a61
commit
8dee8cec03
1 changed files with 407 additions and 0 deletions
407
src/slides/B1/rgpd.md
Normal file
407
src/slides/B1/rgpd.md
Normal file
|
|
@ -0,0 +1,407 @@
|
||||||
|
---
|
||||||
|
marp: true
|
||||||
|
theme: catppuccin
|
||||||
|
paginate: true
|
||||||
|
size: 4:3
|
||||||
|
transition: coverflow
|
||||||
|
footer: ''
|
||||||
|
math: katex
|
||||||
|
lang: "fr"
|
||||||
|
---
|
||||||
|
|
||||||
|
<style>
|
||||||
|
section {
|
||||||
|
font-size: 28px;
|
||||||
|
text-align: left
|
||||||
|
}
|
||||||
|
</style>
|
||||||
|
|
||||||
|
|
||||||
|
# Protection de la vie privée et RGPD
|
||||||
|
---
|
||||||
|
|
||||||
|
## C'est quoi la vie privée ?
|
||||||
|
|
||||||
|
----
|
||||||
|
|
||||||
|
Wikipédia :
|
||||||
|
> La vie privée est la capacité, pour une personne ou pour un groupe de personnes, de s'isoler afin de protéger son bien-être.
|
||||||
|
|
||||||
|
- Diffère selon les personnes et les cultures
|
||||||
|
- Concept assez récent
|
||||||
|
- Évolution des techniques renforce sa pertinence
|
||||||
|
|
||||||
|
----
|
||||||
|
|
||||||
|
- Protégé par la **Déclaration universelle des droits humains**
|
||||||
|
- Porté dans le code civil français
|
||||||
|
- Mais pas de définition : seulement jurisprudence
|
||||||
|
- Quand même cadre légal pour :
|
||||||
|
- Droit à l'image
|
||||||
|
- Secret professionnel/médical
|
||||||
|
- Respect de la vie privée à l'embauche
|
||||||
|
|
||||||
|
----
|
||||||
|
|
||||||
|
Il faut distinguer :
|
||||||
|
- protection de la vie privée
|
||||||
|
- sécurité
|
||||||
|
- anonymat
|
||||||
|
|
||||||
|
----
|
||||||
|
|
||||||
|
### Vie privée
|
||||||
|
|
||||||
|
- Assurance que vos informations ne sont vues que par les parties (personnes physiques ou morales) autorisées (par vous-même) à les voir
|
||||||
|
|
||||||
|
----
|
||||||
|
|
||||||
|
### Sécurité
|
||||||
|
|
||||||
|
La **sécurité** est la capacité :
|
||||||
|
1. à faire confiance aux intermédiaires à qui vous confiez des informations
|
||||||
|
2. à savoir que les parties impliquées sont bien celles qu'elles prétendent être
|
||||||
|
3. et à maintenir dans le temps ces garanties
|
||||||
|
|
||||||
|
----
|
||||||
|
|
||||||
|
### Anonymat
|
||||||
|
|
||||||
|
- L'anonymat est la capacité d'agir sans être identifiable
|
||||||
|
- Attention le pseudonymat n'est pas de l'anonymat
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
### Échelle individuelle : "Je n'ai rien à cacher"
|
||||||
|
|
||||||
|
----
|
||||||
|
|
||||||
|
- On a évidemment des choses à cacher :
|
||||||
|
- Pourquoi vouloir cacher des choses ?
|
||||||
|
- contrainte sociale
|
||||||
|
- ex: orientation de genre ou sexuelle
|
||||||
|
- contrainte légale
|
||||||
|
- ex: désobéissance civile, fraudes...
|
||||||
|
- intérêts particuliers
|
||||||
|
- ex: problèmes de santé vs banques et assurances
|
||||||
|
|
||||||
|
- Point important : en termes de vie privée on cherche souvent à se protéger soi.
|
||||||
|
- Mais c'est un **effort collectif**
|
||||||
|
- D'où l'importance de sensibiliser, et de faire attention à la vie privée des autres
|
||||||
|
|
||||||
|
----
|
||||||
|
|
||||||
|
### Échelle collective : Cambridge Analytica
|
||||||
|
|
||||||
|
----
|
||||||
|
|
||||||
|
- Cambridge analytica : société de stratégie de communication
|
||||||
|
- Interventions dans des dizaines d'élections
|
||||||
|
- Question de souveraineté des États
|
||||||
|
|
||||||
|
- Mode opératoire :
|
||||||
|
- Questionnaire sur réseaux sociaux
|
||||||
|
- Pubs sur les réseaux sociaux en fonction des réponses
|
||||||
|
- Résultats de recherches Google
|
||||||
|
- Adaptation des discours dans les apparitions publiques
|
||||||
|
- 320 000 personnes ont répondu au "test de personnalité" -> 8.7 millions de personnes touchées (données entourage)
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
## Cadre légal : RGPD
|
||||||
|
|
||||||
|
- Règlement général sur la protection des données (Europe)
|
||||||
|
- Héritage de la loi Informatique et Libertés (1978)
|
||||||
|
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
### Informations générales
|
||||||
|
|
||||||
|
---
|
||||||
|
#### Objectifs du RGPD
|
||||||
|
- Protéger les données à caractère personnel des personnes physiques
|
||||||
|
- Protéger les droits, notamment à la protection des données personnelles
|
||||||
|
- Permettre la libre circulation des données (dans le cadre) en UE
|
||||||
|
|
||||||
|
#### Champ d'application
|
||||||
|
|
||||||
|
- S'applique dès que le traitement concerne un résident européen
|
||||||
|
- Etabli sur le territoire européen
|
||||||
|
- Vise à fournir biens et services à des résidents européens
|
||||||
|
- S'applique aux responsables de traitement mais aussi aux sous-traitants
|
||||||
|
|
||||||
|
---
|
||||||
|
#### Guichet unique
|
||||||
|
|
||||||
|
- Autorité de la protection des données nationale
|
||||||
|
- Pour chaque état membre
|
||||||
|
- En France : CNIL
|
||||||
|
- Interlocuteur unique pour tout ce qui concerne le traitement de données personnelles
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
### Définitions
|
||||||
|
|
||||||
|
----
|
||||||
|
|
||||||
|
#### Donnée personnelle
|
||||||
|
* information se rapportant à une **personne physique** identifiable ou identifiée
|
||||||
|
- **directement** (nom prénom)
|
||||||
|
- **indirectement** (numéro d'adhérent, adresse mail, voix...)
|
||||||
|
* Identification à partir:
|
||||||
|
- d'une seule donnée (numéro de sécu, ADN, ...)
|
||||||
|
- d'un croisement de données
|
||||||
|
|
||||||
|
----
|
||||||
|
|
||||||
|
#### Traitement de données personnelles
|
||||||
|
* Toute manipulation de données est un traitement
|
||||||
|
- collecte, consultation, rapprochements, ...
|
||||||
|
- **Remarque** : informatique et papier également concernés
|
||||||
|
- Doit avoir un **objectif** défini
|
||||||
|
----
|
||||||
|
|
||||||
|
#### Donnée sensible
|
||||||
|
* Liste :
|
||||||
|
- la prétendue origine raciale ou ethnique
|
||||||
|
- les opinions politiques
|
||||||
|
- les convictions religieuses ou philosophiques ou l’appartenance syndicale
|
||||||
|
- les données génétiques/biométriques
|
||||||
|
- les données concernant la santé
|
||||||
|
- les données concernant la vie sexuelle ou l’orientation sexuelle
|
||||||
|
|
||||||
|
----
|
||||||
|
|
||||||
|
- Leur utilisation est en principe interdite
|
||||||
|
- Nécessite consentement explicite de la personne concernée
|
||||||
|
- Ou ensemble de conditions :
|
||||||
|
- fichier mis en place par organisme à but non lucratif
|
||||||
|
- objectif politique, religieux ou syndical
|
||||||
|
- se rapporte uniquement aux membres ou anciens membres de l'organisme, ou personne entretenant des contacts réguliers avec organisme en lien avec ses finalités
|
||||||
|
- données non communiquées en dehors de l'organisme sans accord explicite des personnes concernées
|
||||||
|
---
|
||||||
|
|
||||||
|
#### Responsable de traitement
|
||||||
|
* Personne physique ou morale qui détermine les finalités et moyens de traitement
|
||||||
|
- En général personne morale incarnée par représentant légal
|
||||||
|
- L'entreprise par exemple
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
#### Sous-traitant
|
||||||
|
* Personne physique ou morale qui traite des données pour un autre organisme
|
||||||
|
- Autre organisme = responsable de traitement
|
||||||
|
- Obligations qui doivent être présentes dans le contrat :
|
||||||
|
- transparence et traçabilité
|
||||||
|
- privacy by design
|
||||||
|
- obligation de garantir la sécurité des données traitées
|
||||||
|
- obligation d'assistance, alerte et conseil
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
### Grands principes
|
||||||
|
|
||||||
|
----
|
||||||
|
|
||||||
|
#### Principe de licéité du traitement
|
||||||
|
- Objectif **légal**
|
||||||
|
- Une des 6 **bases légales** prévue par le RGPD
|
||||||
|
- [l’accord libre, spécifique, éclairé et univoque](https://www.cnil.fr/fr/les-bases-legales/consentement)
|
||||||
|
- le respect d’une [obligation légale](https://www.cnil.fr/fr/les-bases-legales/obligation-legale)
|
||||||
|
- sauvegarde des intérêts vitaux d'une personne physique
|
||||||
|
- La [mission d'intérêt public](https://www.cnil.fr/les-bases-legales/mission-interet-public)
|
||||||
|
- l’[exécution du contrat](https://www.cnil.fr/fr/les-bases-legales/contrat)
|
||||||
|
- la satisfaction de l’[intérêt légitime](https://www.cnil.fr/fr/les-bases-legales/interet-legitime)
|
||||||
|
|
||||||
|
----
|
||||||
|
|
||||||
|
#### Principe de finalité déterminée et légitime
|
||||||
|
- Données collectées pour un but **défini** et **légitime**, et doit être respecté
|
||||||
|
|
||||||
|
----
|
||||||
|
|
||||||
|
#### Principe de pertinence et de minimisation
|
||||||
|
- Données doivent avoir un lien **direct** avec l'objectif
|
||||||
|
- Elles doivent être **nécessaires**
|
||||||
|
|
||||||
|
----
|
||||||
|
|
||||||
|
#### Principe de transparence et de respect des droits des personnes
|
||||||
|
- Personnes doivent comprendre
|
||||||
|
- pourquoi leurs données sont collectées
|
||||||
|
- quels sont leurs droits
|
||||||
|
- Attention aux mentions obligatoires
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
- Personnes doivent comprendre pourquoi leurs données sont collectées et quels sont leurs droits
|
||||||
|
- identité de votre organisme
|
||||||
|
- objectif du traitement
|
||||||
|
- base légale (principe de licéité)
|
||||||
|
- caractère obligatoire de fournir l'info (et conséquences sinon)
|
||||||
|
- destinataires des données (à qui elles sont transmises)
|
||||||
|
- durée de conservation (durée pendant laquelle les données ont un intérêt, et doivent être ensuite détruites ou anonymisées)
|
||||||
|
- droits des personnes (accès, rectification, effacement et limitation)
|
||||||
|
- transferts hors UE
|
||||||
|
- Contact de l'éventuel DPO
|
||||||
|
- Droit d'effectuer une plainte auprès de la CNIL
|
||||||
|
---
|
||||||
|
|
||||||
|
- Informations doivent être accessibles au public visé, claires et transparentes
|
||||||
|
- Mettre infos importantes sur le formulaire et renvoyer à vos conditions
|
||||||
|
- responsable de traitement
|
||||||
|
- droits des personnes
|
||||||
|
- objectif du traitement
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
#### Principe d'une durée de conservation limitée
|
||||||
|
- 2 phases :
|
||||||
|
- données nécessaire pour la gestion courante
|
||||||
|
- archivage intermédiaire :
|
||||||
|
- intérêt administratif
|
||||||
|
- obligation légale
|
||||||
|
- Ensuite :
|
||||||
|
- supprimer les données
|
||||||
|
- ou les rendre non identifiables
|
||||||
|
|
||||||
|
----
|
||||||
|
|
||||||
|
#### Principe de confidentialité et de sécurité
|
||||||
|
- Seules les personnes dont les missions le nécessitent
|
||||||
|
- Assurer la confidentialité et la sécurité
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
### Mise en conformité
|
||||||
|
|
||||||
|
----
|
||||||
|
|
||||||
|
#### Le DPO : délégué à la protection des données
|
||||||
|
|
||||||
|
- Rôle clé dans le RGPD
|
||||||
|
- **Informer et conseiller** l'organisme et les employés
|
||||||
|
- **Contrôler** le respect du RGPD
|
||||||
|
- **Interlocuteur** pour les questions liées à la protection des données personnelles
|
||||||
|
- **Coopérer avec la CNIL** et être le point de contact
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
- Quand doit-on avoir un DPO ?
|
||||||
|
- Autorités et organismes publics
|
||||||
|
- organismes dont **activités de base** mènent à un suivi régulier et à **grande échelle**
|
||||||
|
- traitements à grande échelle de données sensibles ou relatives à des condamnations et infractions pénales
|
||||||
|
|
||||||
|
- **Activité de base** = coeur de métier
|
||||||
|
- **Grande échelle** = pas de seuil précis, cas par cas
|
||||||
|
---
|
||||||
|
|
||||||
|
#### Constituer un registre des traitements
|
||||||
|
- Registre qui regroupe l'ensemble des traitements de données effectués
|
||||||
|
- Identifier les activités qui utilisent des données personnelles (y compris des salariés)
|
||||||
|
- ex: recrutement, paie, formation, accès, ventes, prospection...
|
||||||
|
- Faire des fiches pour chaque activité
|
||||||
|
- Objectif poursuivi
|
||||||
|
- Catégories de données
|
||||||
|
- Qui a accès aux données
|
||||||
|
- Durée de conservation
|
||||||
|
- Garder le registre à jour
|
||||||
|
- Responsabilité du dirigeant de l'entreprise
|
||||||
|
|
||||||
|
- [Modèle de registre des traitements](https://www.cnil.fr/sites/default/files/atoms/files/registre-traitement-simplifie.ods)
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
#### Informer les personnes concernées
|
||||||
|
|
||||||
|
- Obligation d'informer les personnes lorsque vous collectez des données
|
||||||
|
- Directement sur le support (formulaire, questionnaire etc..)
|
||||||
|
- Pour les détails, voir la slide sur le principe de respect des droits et transparence
|
||||||
|
- [Exemples de mentions](https://www.cnil.fr/fr/passer-laction/rgpd-exemples-de-mentions-dinformation)
|
||||||
|
|
||||||
|
- Permettre aux personnes d'exercer leurs droits facilement
|
||||||
|
- Formulaire de contact spécifique
|
||||||
|
- numéro de telélphone ou mail dédié
|
||||||
|
- Accès depuis compte utilisateur
|
||||||
|
- 1 mois maximum de délai de traitement
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
#### Sécuriser les données
|
||||||
|
|
||||||
|
Principes de sécurité ionformatique :
|
||||||
|
- Chiffrement, mots de passe sécurisés, mises à jour, sauvegardes...
|
||||||
|
- Accès aux locaux et aux données réduits au minimum (RBAC)
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
- En cas de violation de données :
|
||||||
|
- Prévenir la CNIL dans les 72 heures,
|
||||||
|
- Si le risque est élevé, prévenir les personnes
|
||||||
|
- niveau de risque à déterminer en fonction :
|
||||||
|
- du type de violation
|
||||||
|
- et de la sensibilité, l'identification possible, conséquences probables pour les personnes, personnes vulnérables, mineures, nombre de personnes...
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
## Mise en pratique
|
||||||
|
|
||||||
|
---
|
||||||
|
### Entreprise qui vend en ligne
|
||||||
|
|
||||||
|
- Site vitrine avec formulaire de contact
|
||||||
|
* Mention CNIL dans le formulaire de contact
|
||||||
|
* Moyens de contact pour exercer les droits CNIL par voie électronique
|
||||||
|
* Mentions pour identifier l'éditeur du sitye
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
- Site qui vend en ligne
|
||||||
|
* Sécurisation des données
|
||||||
|
- https
|
||||||
|
- mot de passe complexe imposé à la création de compte
|
||||||
|
- ne pas envoyer d'infos sensibles par mail
|
||||||
|
- ne pas conserver de coordonnées bancaires
|
||||||
|
- transactions bancaires sécurisées
|
||||||
|
* Information des clients (page vie privée)
|
||||||
|
* Formulaire de contact pour les droits CNIL
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
- Traceurs publicitaires (cookies)
|
||||||
|
* Informer l'internaute
|
||||||
|
* obtenir son consentement **AVANT** de déposer/lire un cookie
|
||||||
|
* obtenir le consentement si vous utilisez des fonctionnalités offertes par d'autres prestataires
|
||||||
|
- Statistiques, boutons sociaux, vidéos youtube...
|
||||||
|
|
||||||
|
---
|
||||||
|
### Données des salariés
|
||||||
|
- Vidéosurveillance sur le lieu de travail
|
||||||
|
* Information des salariés + instances représentatives
|
||||||
|
* Consultations préalables souhaitables
|
||||||
|
* Intérêt légitime et transparent : limiter les vols (pas d'objectifs cachés)
|
||||||
|
* On ne surveille pas en continu un poste de travail
|
||||||
|
|
||||||
|
---
|
||||||
|
### Registre des traitements
|
||||||
|
|
||||||
|
Prenez votre entreprise (ou un exemple de votre choix) :
|
||||||
|
- Lister les activités nécessitant des données personnelles
|
||||||
|
- Choisir une activité et remplir la fiche de registre RGPD
|
||||||
|
- Expliquer les informations remplies et les choix retenus
|
||||||
|
- Ajouter si vous le souhaitez des commentaires/avis sur les mesures de sécurité
|
||||||
|
|
||||||
|
---
|
||||||
|
|
||||||
|
## Aller plus loin
|
||||||
|
|
||||||
|
- [RGPD](https://www.cnil.fr/fr/reglement-europeen-protection-donnees)
|
||||||
|
- [RGPD - De quoi parle-t-on ?](https://www.cnil.fr/fr/rgpd-de-quoi-parle-t-on)
|
||||||
|
- [RGPD - Grands principes](https://www.cnil.fr/fr/comprendre-le-rgpd/les-six-grands-principes-du-rgpd)
|
||||||
|
- [Transférer des données hors UE](https://www.cnil.fr/fr/les-outils-de-la-conformite/transferer-des-donnees-hors-de-lue)
|
||||||
|
|
||||||
|
Fiches pratiques :
|
||||||
|
- [Vente en ligne](https://www.cnil.fr/sites/default/files/atoms/files/bpi-cnil-rgpd_fiche-1_que-faire-quand-votre-entreprise-communique-vend-en-ligne.pdf)
|
||||||
|
- [Relation client](https://www.cnil.fr/sites/default/files/atoms/files/bpi-cnil-rgpd_fiche_2_ameliorez-maitrisez-votre-relation-client_0.pdf)
|
||||||
|
- [Données des collaborateurices](https://www.cnil.fr/sites/default/files/atoms/files/bpi-cnil-rgpd_fiche_3_protegez-les-donnees-de-vos-collaborateurs.pdf)
|
||||||
Loading…
Add table
Add a link
Reference in a new issue