Mon diagnostic RGPD

Des cookies

Visionnez notre vidéo 1 min pour tout comprendre sur les cookies

Lorsqu'ils naviguent sur le web ou utilisent des applications mobiles, les internautes sont de plus en plus suivis par différents acteurs (éditeurs de service, régies publicitaires, réseaux sociaux, etc.) qui analysent leur navigation, leurs déplacements et leurs habitudes de consultation ou de consommation, afin notamment de leur proposer des publicités ciblées ou des services personnalisés. Ce traçage est réalisé par l'intermédiaire de différents outils techniques, les « traceurs », dont font partie les cookies.

Certains traceurs peuvent être utilisés sans recueillir le consentement du visiteur. Il s'agit des traceurs strictement nécessaires à la fourniture du service de communication en ligne, expressément demandé par le visiteur ou bien des traceurs qui visent à permettre ou faciliter la transmission de la communication par voie électronique. Sont concernés notamment :

• Les traceurs conservant le choix exprimé par les utilisateurs sur le dépôt de traceurs ;
• Les traceurs destinés à l'authentification auprès d'un service, y compris ceux visant à assurer la sécurité du mécanisme d'authentification, par exemple en limitant les tentatives d'accès robotisées ou inattendues ;
• Les traceurs destinés à garder en mémoire le contenu d'un panier d'achat sur un site marchand ou à facturer, à l'utilisateur, le(s) produit(s) et/ou service(s) acheté(s) ;
• Des traceurs de personnalisation de l'interface utilisateur (par exemple, pour le choix de la langue ou de la présentation d'un service), lorsqu'une telle personnalisation constitue un élément intrinsèque et attendu du service ;
• Les traceurs permettant l'équilibrage de la charge des équipements concourant à un service de communication ;
• Les traceurs permettant aux sites payants de limiter l'accès gratuit à un échantillon de contenu demandé par les utilisateurs (quantité prédéfinie et/ou sur une période limitée) ;
• Certains traceurs de mesure d'audience dès lors qu'ils respectent certaines conditions.

Les autres traceurs doivent, pour être utilisés, avoir fait l'objet de l'accord préalable et éclairé du visiteur. Il s'agit notamment des traceurs liés à l'affichage de la publicité personnalisée ou non personnalisée (dès lors que des traceurs sont utilisés pour mesurer l'audience de la publicité affichée dans ce dernier cas) ou encore à des fonctionnalités de partage sur les réseaux sociaux.
Vous ne savez pas si votre site comporte des cookies ? Cliquez sur l'icône cadenas de votre navigateur. Vous pouvez également utiliser l'outil Cookieviz de la CNIL.

Les durées pendant lesquelles vous conservez les données collectées

Vous devez prévoir une durée de conservation des données limitée. S'il n'est pas possible d'indiquer une durée précise de conservation, indiquez aux personnes le moyen que vous utilisez pour calculer le temps de conservation. Pour en savoir plus sur les durées de conservation, visionnez le replay de notre webinar sur le sujet

Les finalités et bases juridiques applicables à chaque traitement

Un traitement de données c'est l'ensemble des opérations réalisées sur des données personnelles (par exemple la collecte, la sauvegarde ou l'utilisation de données).

La finalité du traitement c'est l'objectif poursuivi par le traitement (par exemple la gestion de la newsletter est une finalité de traitement de données personnelles).

La base légale du traitement c'est le fondement juridique autorisant un traitement licite des donnée (ex : l'exécution d'un contrat, le respect d'une obligation légale, le consentement, etc.). Il existe au total 6 bases légales que vous pouvez consulter ici.

Le droit pour les utilisateurs du site d'introduire une réclamation auprès de l'autorité de contrôle compétente (la CNIL par exemple)

Vous devez informer les personnes des droits qu'elles peuvent exercer, notamment le droit de saisir la CNIL (autorité française compétente en matière de protection des données personnelles).

Les destinataires ou catégories de destinataires des données

Les destinataires de données sont les personnes physiques ou morales à qui vous transférez les données. Il peut s'agir par exemple d'un prestataire informatique en charge de l'hébergement de votre site. De ce fait il est qualifié au sens du RGPD de sous-traitant dans la mesure où il participe pour votre compte au traitement de ces données.

Vous n'êtes pas forcé de nommer vos destinataires mais vous pouvez dresser une liste de catégories de destinataires. Par exemple : hébergeur, fournisseur d'un logiciel SaaS de CRM connecté à votre site, éditeur de solution d'emailing etc.

De ne plus recevoir vos communications par mail

Il peut s'agir d'une newsletter, de mails de prospection, d'invitations à des évènements, etc. La personne concernée exerce à ce titre son droit d'opposition. Retrouvez notre article de blog sur le sujet ici

D'obtenir une copie des données que vous détenez à son sujet

Il s'agit d'une demande fondée sur le droit d'accès ou le droit à la portabilité. Retrouvez nos articles de blogs sur le sujet ici et ici.

De mettre à jour et/ou modifier les données que vous détenez à son sujet

Il s'agit d'une demande fondée sur le droit de rectification. Retrouvez notre article de blog sur le sujet ici.

De connaitre la manière dont vous avez obtenu ses données de contact (mail, téléphone, etc.)

Il s'agit d'une demande fondée sur le droit d'accès. Retrouvez notre article de blog sur le sujet ici.

Avoir accusé réception de cette demande

Cette obligation découle de l'article 12 du RGPD. Le responsable de traitement doit notifier à la personne qu'il a prit connaissance de sa demande.

Être revenu vers la personne dans un délai d'un mois maximum (8 jours en cas de demande portant sur des données de santé)

L'article 12.3 du RGPD prévoit l'obligation de répondre dans un délai d'un mois à compter de la réception de la demande. Ce délai peut toutefois être prolongé à trois mois maximum, compte tenu de sa complexité et du nombre de demandes.

Tenir à jour un suivi des demandes reçues et traitées

Tenir à jour votre registre des demandes d'exercice de droits participe à respecter le principe d'accountability.
Ce principe vous oblige à mettre en œuvre toutes les mesures nécessaires pour assurer votre conformité au RGPD et pouvoir démontrer qu'elles sont effectives.

Nous avons prévu une procédure pour traiter et suivre ces éventuelles demandes

Le principe d'accountability vous oblige à mettre en œuvre toutes les mesures nécessaires pour assurer votre conformité au RGPD et pouvoir démontrer qu'elles sont effectives. Parmi ces mesures, la mise en place de procédures telle que la procédure de gestion des demandes d'exercice de droits vous permettent de respecter cette obligation.

Les collaborateurs de votre organisation savent comment réagir face à une demande d'exercice de droits et qui prévenir

Selon l'article 12.3 du RGPD vous disposez d'un délai d'un mois pour répondre à une demande d'exercice de droits en cas de demande simple et 3 mois maximum en cas de demande complexe. Plus l'information circule rapidement, plus la personne en charge a de temps pour répondre. Il faut sensibiliser les collaborateurs pour assurer une gestion efficace des demandes et limiter le risque de notification à la CNIL.

Nous avons prévu un formulaire en ligne et/ou une adresse dédiée pour recevoir ce type de demandes

Prévoir un canal dédié aux demande d'exercice de droit vous permet d'assurer leur centralisation, d'optimiser le temps accordé à leur gestion, de réaliser un suivi rigoureux de leur traitement.

Nous avons documenté chacun de ces incidents

Le principe d'accountability oblige les acteurs du traitement de données à documenter les éléments relatifs à leur conformité, dont les incidents de sécurité. Documenter un incident c'est enregistrer la date à laquelle l'évènement s'est produit, sa nature, les catégories de données et le nombre de personnes concernées, votre évaluation du risque sur les droits et libertés des personnes et les mesures mises en oeuvre ou envisagées pour remédier à l'incident, en atténuer les conséquences ou empêcher qu'il se reproduise.

Nous nous sommes posés la question de la nécessité de prévenir la CNIL dans un délai de 72 h

D'après les articles 33 et 34 du RGPD, il existe trois degrés d'information en fonction de la gravité de la violation de données :

• Dans tous les cas, l'incident doit être documenté en interne. Renseignez : la date à laquelle l'évènement s'est produit, sa nature, les catégories de données et le nombre de personnes concernées, votre évaluation du risque sur les droits et libertés des personnes et les mesures mises en œuvre ou envisagées pour atténuer les conséquences de l'incident ou empêcher qu'il se reproduise.
• S'il s'agit d'une violation de données et qu'elle représente un risque pour les personnes concernées, vous devez prévenir la CNIL dans les 72h de votre connaissance de la survenue de la violation.
• Si la violation de données représente un risque élevé pour les personnes concernées, vous devez prévenir la CNIL et, dans certaines hypothèses, les personnes concernées.

Nous avons évalué les risques qui pourraient exister pour les droits et libertés des personnes concernées du fait de cet incident

Face à un incident de sécurité, il convient d'évaluer les risques encourus pour les droits et libertés des personnes concernées afin de déterminer :

• Si l'incident de sécurité peut être qualifié de violation de données (définition d'une violation de données),
• La gravité du risque afin d'identifier la nécessité de prévenir la CNIL et/ou les personnes concernées,
• Les mesures à mettre en oeuvre pour remédier à l'incident.

Nous utilisons des logiciels SaaS

Un logiciel SaaS (ou Software as a Service) est un logiciel "en ligne". Il est accessible via internet, sans téléchargement sur votre matériel.

Nous nous sommes assurés de la conformité au RGPD de tous nos sous-traitants

Dans les cas d'usage qui vous ont été proposés à la question précédente, les prestataires sont systématiquement des sous-traitants au sens du RGPD dans la mesure où ils traitent d'une manière ou d'une autre des données personnelles que vous leur confiez (hébergement, maintenance, emailing etc.).
Un sous-traitant traite les données au nom, pour le compte et sur instructions du responsable de traitement. Pour rappel le responsable de traitement définit les moyens et finalités du traitement, il donne ses directives au sous-traitant auquel il délègue tout ou partie du traitement.

Nous avons régularisé les contrats avec nos sous-traitants (signature d'une annexe ou avenant RGPD ou DPA reprenant les mentions obligatoires de l'article 28)

L'article 28 du RGPD encadre les relations entre le responsable de traitement et le sous-traitant. Il liste notamment les mentions obligatoires devant apparaitre dans ce contrat :

• L'objet et la durée du traitement, sa nature et sa finalité, le type de données et les catégories de personnes concernées, et les obligations et droits du responsable de traitement,
• Le sous-traitant doit agir sur instructions documentées du responsable de traitement (sauf exception prévue par le droit applicable),
• Le sous-traitant assure la confidentialité des données,
• Les mesures de sécurité requises par l'article 32,
• Les modalités de recrutements d'un sous-traitant ultérieur,
• La coopération du sous-traitant pour que le responsable de traitement réponde aux demandes d'exercice de droits des personnes,
• La coopération du sous-traitant pour aider le responsable de traitement à respecter ses obligations en matière de PIA, de consultation préalable, de sécurité et de violation de données,
• Le sous-traitant renvoie ou supprime les données au terme du contrat (selon la volonté du responsable de traitement),
• La coopération du sous-traitant pour que le responsable de traitement réalise des audits du sous-traitant et obtienne les informations nécessaires pour démontrer le respect de la réglementation.

Un registre des incidents

Le registre des incidents repertorie l'ensemble des incidents de sécurité qui ont été détectés.
Pour rappel, une violation de données est définie par le RGPD comme :

• La destruction,
• La perte,
• L'altération,
• La divulgation,
• L'accès non autorisé à des données (de manière accidentelle ou illicite).

Il s'agit de tout incident de sécurité, d'origine malveillante ou non et se produisant de manière intentionnelle ou non, ayant comme conséquence de compromettre l'intégrité, la confidentialité ou la disponibilité de données personnelles (source).

Un registre des demandes d'exercice de droits

Le registre des demandes d'exercice de droits est un outil qui permet de recenser et de documenter l'ensemble des demandes d'exercice de droits adressées au responsable de traitement. Avec Mission RGPD vous disposez d'un registre des incidents automatisé et vous suivez leur traitement en toute simplicité.

Modèles de mentions d'informations

Les mentions d'informations permettent de respecter l'obligation d'informer les personnes concernées des modalités de traitement de leurs données personnelles (article 13 et article 14 du RGPD).

Modèles de clauses RGPD pour les contrats de sous-traitance

Les contrats avec les sous-traitants doivent comporter certaines clauses pour encadrer, selon l'article 28 du RGPD :

• L'objet et la durée du traitement, sa nature et sa finalité, le type de données et les catégories de personnes concernées, et les obligations et droits du responsable de traitement,
• Les instructions que le responsable de traitement soumet au sous-traitant,
• Le sous-traitant assure la confidentialité des données,
• Les mesures de sécurité requises par l'article 32,
• Les modalités de recrutement d'un sous-traitant ultérieur,
• La coopération du sous-traitant pour que le responsable de traitement réponde aux demandes d'exercice de droits des personnes,
• La coopération du sous-traitant pour que le responsable de traitement réalise un PIA et mette en place les mesures techniques et organisationnelles pour assurer la sécurité des données personnelles,
• Le sous-traitant renvoie ou supprime les données au terme du contrat (selon la volonté du responsable de traitement),
• La coopération du sous-traitant pour que le responsable de traitement réalise des audits du sous-traitant et obtienne les informations nécessaires pour démontrer le respect de la réglementation.

Une charte informatique

La charte informatique définit les modalités d'utilisation et de gestion du système d'information de votre organisation. Ce document détaille les mesures de sécurité que vous mettez en place, les modalités d'utilisation du système d'information (utilisation de la messagerie professionnelle, d'internet sur le lieu de travail, des outils informatiques, etc.), etc.

Une politique de confidentialité

La politique de confidentialité est un document qui informe les personnes des modalités de traitements selon lesquelles leurs données personnelles sont utilisées et notamment :

• L'identité du responsable de traitement,
• Des données collectées et le moyen de collecte,
• Les finalités et la base légale du traitement,
• Les durées de conservation des données,
• Les destinataires ou catégories de destinataires,
• Les transferts hors UE le cas échéant,
• Les droits que les personnes peuvent exercer et les moyens disponibles pour les exercer.

Des modèles de réponses aux demandes d'exercice de droits

Répondre aux demandes d'exercice de droits qui vous sont adressées est une obligation du RGPD (article 12 du RGPD). Formaliser des modèles de réponses vous permet de gagner du temps.

Un registre des traitements

Le registre des activités de traitement est défini à l'article 30 du RGPD. C'est un document qui détaille a minima :

• Le nom et les coordonnées du responsable de traitement et, le cas échéant, du responsable conjoint du traitement, du représentant du responsable de traitement et du délégué à la protection des données ;
• Les finalités du traitement ;
• Une description des catégories de personnes concernées et catégories de données traitées ;
• Les catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, y compris les destinataires dans des pays tiers ou des organisations internationales ;
• Le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, y compris l'identification de ce pays tiers ou de cette organisation internationale et, dans le cas des transferts visés à l'article 49, paragraphe 1, deuxième alinéa, les documents attestant de l'existence de garanties appropriées ;
• Dans la mesure du possible, les délais prévus pour l'effacement des différentes catégories de données ;
• Dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles visées à l'article 32, paragraphe 1.