données personnelles La protection des Direction des systèmes d’information

Obligations règlementaires 1

Règlement Général sur la Protection des Données Lignes directrices adoptées le 5 avril 2017 par le groupe des « CNIL » européennes (G29) Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 Nouveau cadre juridique applicable en mai 2018 dans toute l’Europe Le délégué à la protection des données est au cœur du nouveau règlement européen RGPD la directive de 1995 reposait sur la notion de « formalités préalables » (déclaration, autorisations) le RGPD repose sur une logique de conformité (accountability) dont les acteurs sont responsables, sous le contrôle et avec l’accompagnement du régulateur Objectifs Renforcer les droits des personnes Responsabiliser les acteurs traitant des données Crédibiliser la régulation grâce à une coopération renforcée entre les autorités de protection des données

La Protection des données personnelles 5 règles d’or Finalité du traitement Pertinence des données Conservation limitée des données Obligation de sécurité et confidentialité Respect des droits des personnes Chiffres Un Département à plus de 200 manières d’utiliser la donnée, soit 200 traitements qu’il doit déclarer, sécuriser et documenter Un Département à plus de 100 partenaires institutionnels (CAF, Pôle emploi, MSA, MDPH, CPAM, DGFIP, Métropoles, communes, rectorat, associations, …) dont les conventions doivent préciser les missions, les échanges, leur utilisation et sécurisation et les responsables de part et d’autre La moitié des Départements ont un CIL désigné En mars 2017, 4 798 CIL étaient désignés pour 17 934 organismes (certains sont mutualisés) Au 25 mai 2018, la CNIL attend au minimum 80 000 DPO pour commencer …

Délégué à la protection des données 2

Le délégué à la protection des données Désignation Rôle Informer et de conseiller le responsable de traitement ou le sous-traitant, ainsi que leurs employés ; Contrôler le respect du règlement et du droit national en matière de protection des données ; Conseiller l’organisme sur la réalisation d’études d'impact sur la protection des données et d’en vérifier l’exécution ; Coopérer avec l’autorité de contrôle et être le point de contact de celle-ci. Obligatoire pour une collectivité territoriale quel que soit la nature du traitement (article 37.1 du RGPD) Compétences Niveau d’expertise adapté à la sensibilité, la complexité et le volume des données Connaissance du secteur d’activité et de l’organisation du responsable de traitement ou du sous-traitant Compréhension suffisante des opérations de traitement, des systèmes d’information et des besoins de l’organisme en termes de sécurité et de protection des données Solide connaissance des règles et des procédures administratives Capacité à accomplir ses missions = qualités personnelles (intégrité, étique professionnelle), connaissances et bon positionnement au sein de l’organisme Missions S’informer sur le contenu des nouvelles obligations ; Sensibiliser les décideurs sur l’impact de ces nouvelles règles ; Réaliser l’inventaire des traitements de données de l’organisme ; Concevoir des actions de sensibilisation ; Piloter la conformité en continu

Quelle différence entre CIL et délégué ? Désignation facultative Correspondant Informatique et Liberté Délégué à la protection des données Désignation obligatoire Personne physique ou morale Bénéficie des qualités requises pour exercer ses missions (art. 22 III. LIL) Exigences précisées sur ses qualifications (qualités professionnelles, connaissances spécialisées du droit et des pratiques en matière de protection des données) et formation continue Absence de conflit d’intérêts Externe si moins de 50 personnes ont accès aux données Interne ou externe Coordonnées dans la mention d’information Mission de conseil, d’information et de sensibilisation Veille au respect des obligations en matière de protection des données Point de contact des personnes concernées et de l’autorité de contrôle Mission de conseil en matière d’analyse d’impact et de vérification de son exécution Associé, d’une manière appropriée et en temps utile, à toute question sur la protection des données Consulté préalablement à la mise en œuvre de nouveaux traitements (art. 49 décret 2005) Statut d’indépendance / pas de sanction du fait de l’accomplissement de ses missions Pas de responsabilité en cas de non-conformité

Mise en conformité 3

Règlement européen : se préparer en 6 étapes (1/2) Avant 2018, nommer le correspondant informatique et liberté (CIL) En 2018, nommer le délégué à la protection des données 1 - Désigner un pilote Recenser les traitements de données personnelles (Registre) Compléter les informations liées aux nouvelles exigences du RGPD 2 - Cartographier les traitements de données personnelles Au regard des risques que font peser les traitements sur les libertés des personnes concernées (types de données sensibles, sous-traitance, données transférées, …) 3 - Prioriser les actions à mener

Règlement européen : se préparer en 6 étapes (2/2) Mener une étude d’impact (PIA) sur la protection des données (pour les données susceptibles d’engendrer des risques élevés) 4 - Gérer les risques Prendre en compte la protection des données personnelles dès la conception Sensibiliser et organiser la remontée d’information Traiter les réclamations et les demandes des personnes concernées Anticiper la violation des droits 5 - Organiser les processus Sur les traitements de données personnelles (registre, études d’impact, des transferts de données hors UE) L’information des personnes (mentions légales recueil de consentement, procédures pour l’exercice des droits) Adapter les contrats qui définissent les rôles et responsabilités des acteurs 6 - Documenter la conformité

Les chantiers à mener avec la DSI et les métiers Actualisation du registre (informations liées aux nouvelles exigences du RGPD) Mise en œuvre des analyses d’impacts (données personnelles sensibles) Plan de communication RGPD : sensibilisation, réseau de référents (RIL) Relations avec les éditeurs et hébergeurs (clauses dans les marchés et contrats) Actualiser la Charte informatique Cartographie des applications Politique de sécurité du système d’information (PSSI) Gouvernance des données Processus d’information des personnes concernées Processus de réponse aux demandes des personnes concernées Processus de mobilisation en cas de contrôle de la CNIL

Merci de votre attention !! Des questions ?