Protection des données personnelles Les bonnes pratiques CIL - présentation du 25 juin

Protection des données personnelles Définition de la donnée personnelle Déclaration des traitements Collecte de données personnelles Protection des données personnelles Qualités des données personnelles Diffusion des données personnelles Accès aux données personnelles Droit d’accès, de rectification et d’opposition Droit à l’oubli CIL - présentation du 25 juin 20132

Définition de la donnée personnelle CIL - présentation du 25 juin Les données personnelles : toute information identifiant directement ou indirectement une personne Exemples : – nom, prénom – n° sécurité sociale – n° plaque immatriculation – photo Les données personnelles dites « sensibles » : – origines raciales ou ethniques, – opinions politiques, philosophiques ou religieuses, – appartenance syndicale, – données relatives à la vie sexuelle ou à la santé.  Traitement soumis à dérogation

Déclaration d’un traitement de données personnelles CIL - présentation du 25 juin La bonne attitude L’Ecole a nommé un CIL : il est chargé de conseiller les responsables de traitement dans les phases de conception des applications de gestion et d’accomplir les formalités de déclaration auprès de la CNIL La déclaration doit être établie avant la conception de l’application V otre contact : Pour les aspects « Sécurité informatique », contacter le Responsable de la Sécurité du Système d’Information (RSSI) Votre contact : Les risques : Conception et exploitation d’une application non conforme aux règles « Informatique et Libertés » et de sécurité informatique Sanction de la CNIL, voir sanction pénale

Collecte des données personnelles CIL - présentation du 25 juin Exemples : – dossier de candidature – fiche de renseignement – formulaire d’inscription en ligne – sondage La bonne attitude Différencier les champs obligatoires et les champs facultatifs Ne collecter que les données utiles Concevoir des sondages anonymes Informer les personnes des finalités du traitement, des destinataires des données personnelles, de leurs droits d’accès, de rectification et opposition le cas échéant, des coordonnées du responsable de traitement Informer les personnes des éventuels transferts de données et recueillir leur accord

Collecte des données personnelles CIL - présentation du 25 juin Exemple de formulaire de collecte avec mentions légales Note : ce formulaire est donné à titre d’exemple Formulaire d’inscription à la journée « Séminaire général de physique » du 27 juin 2013 à 17 h 00 - suivi d'un cocktail à 18h15 * Champs obligatoires Nom * : _________________ Prénom * : __________________ Organisme d’appartenance : _____________________ Fonction : _____________________ Adresse courriel *: _____________________ Mentions légales Les informations recueillies sont nécessaires pour la bonne gestion de l’évènement. Elles sont destinées uniquement aux personnes chargées de l’organisation de cette journée et ne sont pas cédées ou transmises à des tiers. En application de la loi du 6 janvier 1978 modifiée le 6 août 2004, vous bénéficiez d’un droit d’accès et de rectification aux informations qui vous concernent. Pour exercer ce droit et obtenir communication des informations vous concernant, veuillez vous adresser par voie postale à Ecole Polytechnique – Département de physique – Route de Saclay – Palaiseau Cedex

Collecte des données personnelles : les données sensibles CIL - présentation du 25 juin La bonne attitude Sauf dérogation, vous ne pouvez pas collecter des données sensibles : origines raciales ou ethniques, opinions politiques, philosophiques ou religieuses, appartenance syndicale, données relatives à la vie sexuelle ou à la santé. Secret professionnel pour certaines professions : professionnels de santé, droit/justice, activités bancaires,… D’une manière générale, un devoir de réserve et une obligation de discrétion s’imposent aux agents de la fonction publique, hors périmètre de la CADA Les risques : Sanction de la CNIL, voir sanction pénale

Collecte des données personnelles : les photos CIL - présentation du 25 juin Exemples : – trombinoscope d’un service ou d’un groupe d’élèves – album d’une promotion d’élèves – revue institutionnelle La bonne attitude Recueillir l’accord express des intéressés pour : Pour la prise de vue Pour la publication quelque soit le support (papier, numérique, site Web, …) Ne pas conserver les photos trop longtemps : La photo devient vite inexacte La photo doit être détruite lors du départ de la personne

Protection des données personnelles CIL - présentation du 25 juin Les risques : – vol de données – usurpation d’identité numérique – malveillance : accès aux données confidentielles, modification des données La bonne attitude Ne pas divulguer votre identifiant et votre mot de passe : ils sont strictement personnels Verrouiller votre la session du poste de travail si vous quittez votre bureau

Qualité des données personnelles : données exactes et pertinentes CIL - présentation du 25 juin Les risques : – discrimination : exemple : non attribution de la prime action sociale pour le repas du midi – erreurs de calcul : exemple : supplément familial erroné car nombre d’enfants non mis à jour – erreur de distribution de courrier personnel Exemple : bulletin de salaire ou de solde non parvenu au destinataire car l’adresse personnelle n’est pas à jour – conservation des droits ouverts à un agent ayant quitté l’organisme Note : Les exemples sont de pure fiction et donnés à titre d’illustration. La bonne attitude Mettre à jour les données lors de la réception des nouveaux éléments Vérifier périodiquement les données personnelles : soit en demandant aux intéressés de vérifier leur dossier soit en adressant les listes des personnes aux gestionnaires Supprimer les données après le départ de la personne (sauf dispositions liées à l’archivage définitif – voir service des archives légales)

Diffusion des données personnelles en interne CIL - présentation du 25 juin Exemples : – annuaire sur INTRANET – trombinoscope – résultat d’examen ou concours – transfert de fichiers de données personnelles en interne La bonne attitude Informer les personnes concernées Recueillir leur accord (photo facultative) Ne transférer ou n’afficher que les informations utiles Pour les transferts de données en interne, dans certains cas un fichier anonyme suffit

Diffusion des données personnelles sur INTERNET ou à un partenaire privilégié CIL - présentation du 25 juin Exemples : – annuaire sur INTERNET – catalogue des cours – envoi de la liste d’élèves admis ou diplômés La bonne attitude Informer les personnes concernées Recueillir leur accord (photo facultative) Etablir une convention de transfert de données personnelles si le demandeur est un partenaire privilégié (1) (1) Partenaire privilégié : dans le cadre des partenariats de l’Ecole et en lien direct avec les missions de l’Ecole : Fondation de l’X, l’AX, association.ORG ou une association telle que le CSX, la KES ou un binet.

Accès aux données personnelles : demande d’un organisme non partenaire CIL - présentation du 25 juin Exemples : -présence d’un agent dans l’Ecole -adresse d’un élève ou d’un ancien agent -liste des agents avec leur adresse personnelle -notes d’un élève La bonne attitude 1 ème cas : le demandeur est un organisme officiel : administration fiscale, organismes sociaux, justice, police, gendarmerie  La demande doit être traitée par le CIL 2 ème cas : le demandeur est externe à l’Ecole : un cabinet de recrutement, un organisme réalisant des enquêtes, une société privée, une association, une mairie, …  On ne fournit AUCUNE DONNEE Les données personnelles sont CONFIDENTIELLES

Le droit d’accès et de rectification CIL - présentation du 25 juin La bonne attitude -Vérifier l’identité du demandeur -Fournir les données d’une manière exhaustive et explicite Délai maximal de réponse : 2 mois Exemples : – Un agent demande le détail de ses consommations au Magnan – Un élève demande le relevé détaillé de ses notes et évaluations Définition : Toute personne justifiant de son identité a le droit d'interroger le responsable d’un fichier ou d’un traitement pour savoir s’il détient des informations sur elle, et le cas échéant d’en obtenir communication. Toute personne peut prendre connaissance de l’intégralité des données la concernant et en obtenir une copie dont le coût ne peut dépasser celui de la reproduction. Toute personne est en droit d’obtenir des explications sur le procédé informatique qui a contribué à produire une décision la concernant (scoring, segmentation, profil …).

Le droit d’opposition CIL - présentation du 25 juin La bonne attitude Lors de la collecte de données sur les formulaires : – indiquer le caractère facultatif de la collecte de données – prévoir les cases à cocher pour recueillir le consentement de l’intéressé en cas de transfert de fichier Au-delà de la collecte de données : – l’intéressé s’adresse au responsable du fichier Note : Le droit d’opposition ne doit occasionner aucun frais pour la personne qui l’exerce Exemples : – un agent refuse de publier sa photo sur l’annuaire – un élève ne participe pas à une enquête ou un sondage Définition : Toute personne a la possibilité de s'opposer, pour des motifs légitimes, à figurer dans un fichier, sauf pour certains traitements

Droit à l’oubli : cas du départ d’un personnel ou élève La bonne attitude Avant le départ du personnel : – Récupération des dossiers papier et numériques – Récupération des matériels informatiques, y compris les portables (téléphone, tablette, PC, …) Au départ d’un personnel ou élève/étudiant : – Fermeture du compte informatique et suppression de la BAL : saisie de la date de départ dans XAJAM – Suppression des codes d’accès aux applications informatiques : demande à transmettre à – Dossier du personnel : Seul SRHEC est habilité à conserver certains documents Les labos/services ne sont pas habilités à conserver les documents relatifs à un personnel suite à son départ CIL - présentation du 25 juin Les risques : – accès aux données confidentielles de l’Ecole – accès aux applications de gestion – utilisation frauduleuse des données de l’Ecole

Droit à l’oubli : Construire ensemble un droit à l'oubli numérique La CNIL propose aux internautes de contribuer à ce projet Lien sur le site de la CNIL : loubli-numerique/ CIL - présentation du 25 juin

CIL - présentation du 19 mars Merci de votre attention