Comment mettre en place et déployer une charte Internet ?

Présentation au sujet: "Comment mettre en place et déployer une charte Internet ?"— Transcription de la présentation:

1 Comment mettre en place et déployer une charte Internet ?
Olfeo : Maîtriser l’utilisation d’Internet ! Maîtrisez l’utilisation d’Internet ! Comment mettre en place et déployer une charte Internet ?

2 Sommaire La démarche de charte Le contenu d’une charte Le déploiement

3 La démarche de charte

4 Qu’est-ce qu’est une charte Internet
La Charte définit les conditions générales d'utilisation de l‘Internet, des réseaux et des services multimédias au sein d’une entreprise ou d’une administration

5 Pourquoi une charte ? : Pour limiter les responsabilités
Dirigeant et entreprise : responsable de l'l'infraction si le bénéfice revient à l'entreprise Art 1383 Code Civil « Chacun est responsable du dommage qu’il a causé non seulement par son fait, mais encore par sa négligence ou par son imprudence » 121-2 Code pénal « Les personnes morales, à l’exclusion de l’Etat, sont responsables pénalement (….) des infractions commises, pour leur compte, par les organes dirigeants ou représentants » Négligence fautive 1384 Code Civil « on est responsable non seulement du dommage que l’on cause par son propre fait, mais encore de celui qui est causé par le fait des personnes dont on doit répondre (…) les maîtres et les commettants du dommage causé par leurs domestiques et préposés dans les fonctions auxquelles ils les ont employés » Dirigeant et entreprise : responsable de ses salariés

6 Pourquoi une charte ? : Un concept admis par tous !
? d'un droit dans le code Forum droit sur internet Best practices CNIL Jurisprudence loi

7 33/42 La mise en œuvre Sanctionner Auditer Connaître Contrôler
Apprendre Mesures techniques Responsabiliser Charte 33/42

8 RH aux impératifs de sécurité
Le mécanisme Adaptation de la politique RH aux impératifs de sécurité Définition d’une politique de sécurité Implémentation des outils Maîtrise des risques

9 Le contenu

10 Le contenu de la charte Préambule Portée et opposabilité
Présenter les objectifs des règles du jeu Faire comprendre et faire adhérer Donner de la légitimité à la charte Portée et opposabilité Définir qui et à quoi s’applique la charte Expliquer dans quelle mesure la charte est opposable Champ d’application Quand je contrôle ? Quand je sanctionne ? Conditions d’utilisation Définir la zone personnel Définir la zone professionnel Expliquer les limites de l’usage personnel « confidentiel »

11 Le contenu de la charte Conditions d’accès et d’identification
Expliquer l’importance des login/mdp (10 points clés de la CNIL) Définir les bonnes pratiques de sécurité Mobilité et gestion des absences/des départs Prendre « les mesures utiles » Expliquer les démarches Gestion des connaissances et de l’espace collaboratif Sensibiliser les collaborateurs à ces nouveaux espaces Etablir les règles Propriété intellectuelle Sensibiliser les collaborateurs aux droits d’auteurs HADOPI ? ?

12 Le contenu de la charte Préservation du secret et de la confidentialité Définir ce qu’est le « secret » Définir ce qu’est la « confidentialité » (surtout au regard du web 2.0) Protection des données à caractère personnel Informer les collaborateurs sur l’exploitation de leur données perso Préciser l’exclusivité d’utilisation des outils d’entreprise Vidéosurveillance Consommations téléphoniques Sécurité

13 Le contenu de la charte Traçabilité et filtrage
Comment on filtre ? Qu’est ce qu’on logue et combien de temps ? Mesures d’urgence et plan de continuité d’activité Contrôle et audit Règles de conservation et de sauvegarde Responsabilité et sanctions Qui est responsable de quoi ? Quelle sanction et quelle procédure ? Dérogation Qui peut demander une dérogation à qui ? Comment ? Entrée en vigueur

14 internet Principe Droit Règle Procédure Vie privée résiduelle Éthique
La charte idéal : internet Principe Droit Règle Procédure Vie privée résiduelle Éthique Régulation SI et mobilité Responsabilité du fait des commettants Code Sanctions Web 2.0 Contrôle d’activités RP Salarié Filtrage

15 Les pratiques dangereuses pour construire sa charte
Informatique Téléphonique fixe et mobile PDA - Pager Identification Équipement Réseau

16 Les bonnes pratiques pour construire sa charte
Correspondance Surf Edition Discussion CHAMP FONCTIONNEL

17 Le déploiement

18 Respect de la loi informatique et libertés
Collecte de données personnelles Déclaration CNIL obligatoire Déclaration normale : Elle porte sur l’ensemble des outils de surveillance et de contrôle individuel des salariés.

19 Respect du droit du travail : partie 1
Principe de discussion collective : Le comité d’entreprise (ou comité paritaire dans les administrations) doit être consulté lors de l’introduction de nouvelles technologies. Démarche : 1 mois avant la consultation, les membres du comité doivent avoir reçu les éléments d’information sur le projet et les conséquences sur les conditions de travail. Un avis négatif du comité d’entreprise n’empêche pas la mise en place de la solution, en revanche la non consultation constitue un délit d’entrave sanctionné par le code du travail.

20 Respect du droit d travail : partie 2
Principe de transparence : Les salariés doivent être informés de la mise en place d’une nouvelle technologie, de ses objectifs, des règles d’utilisation et de la durée de conservation des données. Démarche minimum : Pour la mise en œuvre du filtrage, il suffit d’un simple document d’information. Les démarches sont simples mais n’ont aucune valeur juridique en cas de litige. Il suffit de mettre en œuvre les procédures suivantes : Le diffuser individuellement, avec la fiche de paie La diffuser collectivement, à une place accessible sur le lieu de travail Le soumettre au comité d’entreprise , ainsi qu’à l’avis du comité d’hygiène et de sécurité. Démarche : Une charte peut également être conçue afin d’avoir une valeur juridique en cas de litige. Dans ce cas, elle doit être une adjonction au règlement intérieur en respectant toutes les procédures suivantes : La diffuser individuellement, avec la fiche de paie La diffuser collectivement, à une place accessible sur le lieu de travail La soumettre au comité d’entreprise, ainsi qu’à l’avis du comité d’hygiène et de sécurité La déposer au greffe du conseil des prud’hommes La transmettre à l’inspection du travail en 2 ex

21 La gestion des logs nominatifs
Conservation des logs nominatifs : combien de temps ? Directive européenne : 1 à 2 ans L’article 6 de la LCEN : 1 an Loi sur la lutte contre le terrorisme : 1 an CNIL : 6 mois La recommandation Olfeo : En l’absence de statut juridique sur ce sujet, Olfeo recommande une protection optimale et préfère prévenir le danger. Olfeo recommande donc la conservation d’1 an de logs nominatifs

22 Les meilleures pratiques en marge de la charte Internet
Guide technique Expliquer par type de techno les procédés (ex : comment renouveler son login / mdp – que doit contenir le mdp : lettre, chiffre, … Charte administrateur Recommandation de la CNIL Droits et obligations différents des autres salariés Charte d’accès pour les accès visiteurs Spécificités (contrôle, sanction, autorité, …) Opposabilité (ex : acceptation par un clic de la charte d’accès) Code de la sécurité et de maintien des preuves Conditions d’accès à la preuve Condition de maintien de la preuve Code éthique Code de l’archivage

23 La solution technologique Olfeo : la diffusion individuelle de la charte Internet
Personnalisation du message de diffusion de la charte à l’utilisateur Lien vers la charte Internet Demande de validation de la charte Conservation de qui a validé quelle charte ?

24 MERCI Avez-vous des questions ?

25 HADOPI L’ objectif : favoriser la diffusion et la protection de la création sur Internet Le travail de l’Hadopi : Promotion, Observation, Sensibilisation par la mise en œuvre de la riposte graduée : 1 mail, 1 courrier puis transmission à un juge par procédure simplifiée L’obligation : Le mot est lâché « filtrage » ! Le risque : Le responsable de l’accès sera jugé pour « négligence caractérisée » voir « complicité » conformément à la loi sur le délit de contrefaçon. (Amende de €, 2 ans de prison) La suite : La définition de critères que doit respecter l’outil de filtrage et probablement la labellisation de solutions ? ?

26 Hadopi et l’abonné Art. L. 336-3 :
« La personne titulaire de l’accès à des services de communication au public en ligne a l’obligation de veiller à ce que cet accès ne fasse pas l’objet d’une utilisation à des fins de reproduction, de représentation, de mise à disposition ou de communication au public d’œuvres ou d’objets protégés par un droit d’auteur ou par un droit voisin sans l’autorisation des titulaires des droits prévus aux livres Ier et II lorsqu’elle est requise.

27 Hadopi et le filtrage Art. L 331-14 :
«  Elle (La Haute autorité) évalue, en outre, les expérimentations conduites dans le domaine des technologies de reconnaissance des contenus et de filtrage par les concepteurs de ces technologies, les titulaires de droits sur les œuvres et objets protégés et les personnes dont l’activité est d’offrir un service de communication au public en ligne. Elle rend compte des principales évolutions constatées en la matière, notamment pour ce qui regarde l’efficacité de telles technologies » « Elle identifie et étudie les modalités techniques permettant l’usage illicite des œuvres et des objets protégés par un droit d’auteur ou par un droit voisin sur les réseaux de communications électroniques, elle propose, le cas échéant, des solutions visant à y remédier »

28 A quel produit se fier ? L. 331-32.
Après consultation des concepteurs de moyens de sécurisation destinés à prévenir l’utilisation illicite de l’accès à un service de communication au public en ligne, des personnes dont l’activité est d’offrir l’accès à un tel service ainsi que des sociétés régies par le titre II du présent livre et des organismes de défense professionnelle régulièrement constitués, la Haute Autorité rend publiques les spécifications fonctionnelles pertinentes que ces moyens doivent présenter pour être considérés, à ses yeux, comme exonérant valablement de sa responsabilité le titulaire de l’accès au titre de l’article L « Au terme d’une procédure d’évaluation certifiée prenant en compte leur conformité aux spécifications visées au premier alinéa et leur efficacité, la Haute Autorité établit une liste labellisant les moyens de sécurisation dont la mise en œuvre exonère valablement le titulaire de l’accès de sa responsabilité au titre de l’article L Cette labellisation est périodiquement revue. Revenir au diaporama

29 Les 10 conseils de la CNIL pour sécuriser les SI des organisations qui manipulent des données sensibles – personnels : (1/2) Sécuriser le réseau local : Un système d’information doit être sécurisé vis-à-vis des attaques extérieures Identifier précisément qui peut avoir accès aux fichiers Anticiper le risque de perte ou de divulgation des données Adopter une politique de mot de passe rigoureuse : mot de passe individuel, difficile à deviner et secret. Concevoir une procédure de création et de suppression des comptes utilisateurs

30 Les 10 conseils de la CNIL pour sécuriser les SI des organisations qui manipulent des données sensibles – personnels : (1/2) Veiller à la confidentialité des données vis-à-vis des prestataires Sécuriser les postes de travail : les postes des agents doivent être paramétrés afin qu’ils se verrouillent automatiquement au-delà d’une période d’inactivité (10 minutes maximum) Sécuriser l’accès physique aux locaux Anticiper et formaliser une politique de sécurité du système d’information Sensibiliser les utilisateurs aux « risques informatiques » et à la loi "informatique et libertés"