Téléchargé 44 fois
Téléchargé parProf. Jacques Folon (Ph.D)
GDPR et PME
Le document aborde le règlement européen sur la protection des données personnelles (GDPR), en expliquant ses principes clés et les obligations des entreprises. Il souligne les enjeux liés à la sécurité des données, à la confidentialité des utilisateurs, ainsi qu'à la responsabilité des organisations dans le traitement des données. Enfin, il évoque la complexité de la conformité au GDPR et encourage la mise en place de bonnes pratiques et de formations appropriées.
Contenu connexe
![[DAF 2017] RGPD 2018 : Êtes-vous prêt ? par Ludivine Lille (EY)](https://cdn.slidesharecdn.com/ss_thumbnails/daf2017rgpd2018etesvouspretey-171117081221-thumbnail.jpg?width=640&height=640&fit=bounds)
Plus de Prof. Jacques Folon (Ph.D)
GDPR et PME
- 1. LE RÈGLEMENT EUROPÉEN SUR LA PROTECTION DES DONNEES Jacques Folon, Ph.D. Partner& GDPR Director Edge Consulting DPO ICF Member Professeur ICHEC Me. de Conf. Université de Liège Prof. inv. Université Saint Louis Keynote speaker Derniers livres publiés Le printemps numérique Internet et vie privée, faut-il avoir peur? [email protected] linkedin.com/in/folon + 32 475 98 21 15
- 2. DPO LA RUEE VERSL'OR DE CONSULTANTS, D'AVOCATS, DE SPECIALISTES EN SECURITE,…
- 4. Il n’existe pasde certification GDPR ! Ni de DPO CERTIFIÉS !
- 5. !5 A.LE GDPR CAFAIT PEUR B.LE GDPR C'EST (PAS BEAUCOUP) DU DROIT C.LE GDPR C'EST COMPLIQUE D.LE GDPR CA PEUT ETRE POSITIF E.CONTEXTE DU GDPR F.LES 13 GRANDS PRINCIPES G.CONCLUSION: LE DOSSIER GDPR
- 6. A. LE GDPRCA FAIT PEUR
- 7. A. LE GDPRCA FAIT PEUR
- 8. B. LE GDPRC'EST (PAS BEAUCOUP) DU DROIT DROIT CONTRAT SOUS-TRAITANTS PRIVACY POLICIES RH (CONFIDENTIALITÉ-CODE DE CONDUITE) INFORMATIQUE PRIVACY BY DESIGN/DEFAULT SECURITE DE L'INFORMATION IAM CODE DE CONDUITE ICT DOCUMENTATION DES PROGRAMMES DROIT D'ACCES DROIT A L'OUBLI CC81 ORGANISATION ANALYSE DE RISQUES ARCHIVAGE DIGITAL GESTION DE PROJET CHANGE MANAGEMENT REGISTRE DE TRAITEMENT COMMUNICATION DE CRISE (DATA BREACH) FORMATION
- 9. CODES DE CONDUITESET CERTIFICATIONS !9
- 10. C. LE GDPRC'EST COMPLIQUÉ ! "RÉGLEMENTATIONSSSSS" !
- 11. C.LE GDPR C'ESTCOMPLIQUE !
- 12. C. LE GDPRC'EST COMPLIQUE ! ON COMMENCE PAR QUOI ? 1/ANALYSE PRÉALABLE 2/PLAN D'ACTIONS DE MISE EN CONFORMITÉ
- 14. D.LE GDPR CAPEUT ETRE POSITIF BONNE CONNAISSANCE DES PROCESSUS INTERNES
- 16.
- 17. VOLS & PERTESDE DONNÉES
- 18. C'EST UNE VRAIEMENACE !
- 19.
- 20.
- 21. En deux mots… !21 •Le GDPR est un règlement européen concernant la protection des données personnelles • Il s'impose aux entreprises et au secteur public
- 22.
- 23. G. RAPPEL QUELQUESDEFINITIONS… !23
- 24. UNE DONNÉE PERSONNELLE? !24 toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée «personne concernée»); est réputée être une «personne physique identifiable» une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle
- 25. TRAITEMENT DE DONNEES !25 .toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utili- sation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction;
- 26. RESPONSABLE DE TRAITEMENT !26 .la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement; lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de l'Union ou le droit d'un État membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l'Union ou par le droit d'un État membre;
- 27. SOUS-TRAITANT !27 . la personnephysique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement;
- 28. VIOLATION DE DONNEES !28 uneviolation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données; CONSÉQUENCES: NOTIFICATION PUBLIQUE !!
- 29. F. Les 13grands principes du GDPR !29 1. Responsabilité - « accountability » 2. Droit de la personne concernée (client, employé, citoyen) 3. Privacy by design 4. Sécurité des données 5. Notification des vols/pertes de données 6. Sanctions importantes 7. Gestion des accès aux données (IAM) 8. Licéité des traitements (réglementation ou consentement) 9. Registre des traitements 10.Analyse de risques et PIA 11.Formation 12.Data privacy officer 13.Relations sous-traitants - responsable de traitement
- 30.
- 31.
- 32.
- 33. 2. DROIT DELA PERSONNE CONCERNEE
- 35. 2/ DROIT DELA PERSONNE !35 TRANSPARENCE INFORMATIONS LORS DE LA COLLECTE DROIT D'ACCES DROIT DE RECTIFICATION DROIT A L'EFFACEMENT DROIT A LA LIMITATION DU TRAITEMENT PORTABILITE DROIT D'OPPOSITION AU PROFILAGE
- 36. PRIVACY POLICY ORREGULATION OR …
- 37.
- 38. CONSENTEMENT !38 «consentement» de lapersonne concernée, toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement; NB: IL FAUT GARDER LA PREUVE DU CONSENTEMENT
- 39. 3/ PRIVACY BYDESIGN !39
- 40. Look at theentire data lifecycle
- 41.
- 42.
- 43.
- 44.
- 46. QUELLES SONT LESMENACES?
- 47. 5/ NOTIFICATION DESVOLS/PERTES !47
- 48.
- 49. 7/ Identity AccessManagement (GESTION DES ACCÈS) !49
- 50. GESTION DES PROFILS NEEDTO HAVE ACCESS !! La question qui tue: puis-je voir votre procédure de gestion des profils et la documentation quant aux besoins d'accès?
- 51. 8. LICEITE CONSENTEMENT (ETPREUVE)
- 52. Consentement pour quellefinalité ? Privacy policy? Preuve du consentement?
- 53.
- 54. VOUS AVEZ UNEBASE DE DONNEES MAIS POUVEZ-VOUS PROUVER QUE VOUS AVEZ LES CONSENTEMENTS?
- 55. 9/ REGISTRE DESTRAITEMENTS !55
- 57. UNE FICHE BIENUTILE NOM ET COORDONNEES DU RESPONSABLE DE TRAITEMENT FINALITES DU TRAITEMENT CATÉGORIES DE PERSONNES CONCERNEES CATEGORIE DE DESTINATAIRES PAYS TIERS DELAIS D'EFFACEMENT MESURES DE SECURITE TECHNIQUES ET ORGANISATIONELLES
- 58. MÉTHODOLOGIE Proof Of Concept RDTou SST ? Attention=> log de non conformité lien vers les consentement, les décisions, les sources Le registre sert à se défendre !
- 59. 10/ ANALYSE DERISQUES /PIA !59
- 61.
- 63. 12/ DATA PRIVACYOFFICER !63
- 65. 4 fonctions différentes!! GDPR Sécurité de l’information Conseil Data Privacy Officer (DPO) Information Security Advisor (ISA) Mise en œuvre Chef de projet GDPR ou correspondant GDPR dans les divers départements Responsable de la sécurité des systèmes d’information (RSSI)
- 67. 13. SOUS-TRAITANTS VOUS ETESRESPONSABLE ! 1. de vos sous-traitants 2. en tant que sous-traitant
- 68. SOUS-TRAITANTS Article 28 -Sous-traitant Lorsqu'un traitement doit être effectué pour le compte d'un responsable du traitement, celui-ci fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du présent règlement et garantisse la protection des droits de la personne concernée. Le sous-traitant ne recrute pas un autre sous-traitant sans l'autorisation écrite préalable, spécifique ou générale, du responsable du traitement. Dans le cas d'une autorisation écrite générale, le sous-traitant informe le responsable du traitement de tout changement prévu concernant l'ajout ou le remplacement d'autres sous-traitants, donnant ainsi au responsable du traitement la possibilité d'émettre des objections à l'encontre de ces changements.
- 69. SOUS-TRAITANTS Le traitement parun sous-traitant est régi par un contrat ou un autre acte juridique au titre du droit de l'Union ou du droit d'un État membre, qui lie le sous- traitant à l'égard du responsable du traitement, définit l'objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, et les obligations et les droits du responsable du traitement. Ce contrat ou cet autre acte juridique prévoit, notamment, que le sous-traitant: a) ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement, y compris en ce qui concerne les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, à moins qu'il ne soit tenu d'y procéder en vertu du droit de l'Union ou du droit de l'État membre auquel le sous-traitant est soumis; dans ce cas, le sous-traitant informe le responsable du traitement de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d'intérêt public; b) veille à ce que les personnes autorisées à traiter les données à caractère personnel s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité; (ASPECTS RH !)
- 70. SOUS-TRAITANT ET IAM Article29 - Traitement effectué sous l'autorité du responsable du traitement ou du sous- traitant Le sous-traitant et toute personne agissant sous l'autorité du responsable du traitement ou sous celle du sous-traitant, qui a accès à des données à caractère personnel, ne peut pas traiter ces données, excepté sur instruction du responsable du traitement, à moins d'y être obligé par le droit de l'Union ou le droit d'un État membre.
- 71. ATTENTION AUX PROPOSITIONSDE CONTRATS NE RIEN SIGNER SANS ANALYSER ETRE SOUS-TRAITANT A DES CONSEQUENCES VOS SOUS-TRAITANTS DOIVENT LE RESTER
- 72. DELIVRABLE : LEDOSSIER GDPR • REGISTRE DE TRAITEMENT • PLAN DE SECURITE • POLITIQUE D'ARCHIVAGE • IAM • DECISIONS PRISES • CONTRATS SOUS-TRAITANCE • FORMATIONS • BEST PRACTICES INTERNES • etc.
- 73.
- 76.
- 77. BONNE CHANCE ATOUS
- 78.