Vos tâches
Registre, demandes de droits, sous-traitants : organiser un travail concret.
Notre avis sur ce thème : définissez qui fait quoi et ce qui doit être conservé avant de demander une fonction logicielle.
Par où commencer : Par quelle tâche commencer quand tout reste à faire ?
Registre
- Comment organiser votre registre : par finalité ou par logiciel ?Vous commencez votre registre et le point de départ le plus simple semble être la liste des applications fournie par l’informatique. Vous voulez savoir si une fiche par logiciel convient.
- Qui doit mettre à jour le registre dans votre organisation ?Vous êtes DPO ou référent et vous tenez seul un registre qui se périme. Vous apprenez les changements par hasard, parfois après coup, et votre direction croit que le sujet est réglé puisque vous êtes là.
- Comment obtenir les informations des métiers pour le registre ?Vous relancez des services qui ne répondent pas à votre questionnaire sur leurs traitements. Vous cherchez une façon d’obtenir l’information sans y passer l’année.
- Que faire si la CNIL vous demande votre registre ?Vous imaginez recevoir une demande de la CNIL, ou votre direction vous pose la question. Vous voulez savoir ce qu’il faudrait sortir, sous quelle forme, et si votre fichier tiendrait le choc.
- Faut-il garder les anciennes versions du registre ?Vous remplacez votre fichier de registre, ou vous passez à un logiciel, et vous hésitez : faut-il garder l’ancien, ou seulement la version à jour ?
Demandes de droits
- Comment compter le délai d’un mois pour répondre à une demande ?Vous venez de recevoir une demande d’accès, d’effacement ou d’opposition. Vous voulez écrire la bonne échéance dans votre suivi, sans vous tromper sur les fins de mois ni les jours fériés.
- Quand pouvez-vous prolonger le délai de réponse ?Vous traitez une demande difficile, ou plusieurs à la fois, et vous ne tiendrez pas le mois. Vous voulez savoir si vous pouvez repousser, jusqu’à quand, et quoi écrire à la personne.
- Peut-on demander une pièce d’identité à une personne qui exerce ses droits ?Votre service client ou vos ressources humaines exigent une copie de pièce d’identité pour toute demande de droits. Vous voulez savoir si c’est permis et par quoi remplacer ce réflexe.
- Quand pouvez-vous refuser une demande de droits ?Vous recevez des demandes répétées, ou d’une personne avec qui vous êtes en conflit, et la tentation de ne plus répondre monte. Vous cherchez où passe la limite.
- Un salarié en litige peut-il demander ses données ?Vous êtes aux ressources humaines ou à la direction. Un salarié ou un ancien salarié en conflit avec vous réclame « toutes ses données », parfois avec ses courriels, et votre premier réflexe serait de renvoyer vers la procédure.
- Formulaire ou simple adresse pour recevoir les demandes ?Vous préparez votre point de contact pour les demandes de droits, ou un éditeur vous propose un portail. Vous voulez savoir si une simple adresse convient et si vous pouvez imposer un formulaire.
- Quand automatiser la recherche de données dans vos applications ?Vous êtes éditeur ou e-commerçant, chaque demande vous fait ouvrir une dizaine d’applications, et on vous propose des connecteurs. Vous voulez savoir à partir de quand cet achat se défend.
- Effacement : que faire quand vous devez garder certaines données ?Une personne vous demande de tout effacer, alors que votre comptable ou votre conseil vous demande de garder certaines pièces. Vous cherchez une réponse qui respecte les deux.
- Que faire pour une décision entièrement automatisée ?Votre équipe utilise un score, un tri de candidatures ou une règle qui refuse automatiquement. Vous voulez savoir si l’article 22 du RGPD vous vise, et ce qu’il faut prévoir si une personne conteste.
Sous-traitants
- Comment recenser vos sous-traitants sans y passer un mois ?Vous devez lister les prestataires qui traitent des données pour votre compte et aucune liste n’existe. Des applications apparaissent parfois après coup, achetées par un service sans que vous le sachiez.
- Que doit contenir un contrat de sous-traitance ?Vous relisez un contrat de prestataire, parfois un document imposé et non négociable, et vous devez dire s’il couvre ce que le RGPD exige. Un sous-traitant est un prestataire qui traite des données pour le compte de votre organisation.
- Comment suivre les sous-traitants de vos sous-traitants ?Vous recevez des avis de changement de sous-traitants ultérieurs, c’est-à-dire des prestataires auxquels votre prestataire confie à son tour une partie du travail. Personne ne sait vraiment qui doit les lire ni quoi en faire.
- Quelles garanties demander à un prestataire ?Vous préparez un questionnaire pour choisir ou revoir un prestataire qui traitera des données pour vous. Vous hésitez entre un long formulaire et quelques questions dont quelqu’un lira vraiment les réponses.
- Quand un sous-traitant devient-il responsable de traitement ?Vous lisez dans un contrat ou une politique de confidentialité qu’un prestataire utilisera vos données pour améliorer ses services ou entraîner ses modèles. Vous devez dire si c’est permis et qui répond de quoi. Le responsable de traitement est celui qui décide de l’objectif et des moyens ; le sous-traitant agit pour son compte.
- Que devient la donnée à la fin d’un contrat de sous-traitance ?Vous changez de prestataire ou un contrat arrive à terme. Le nouveau veut les données, l’ancien tarde à répondre, et vous ne savez pas qui décide de leur sort ni comment vous assurer qu’aucune copie ne reste.
- Un outil américain pose-t-il problème pour vos données ?Votre organisation utilise un logiciel en ligne américain, ou s’apprête à en choisir un. Une direction, un client ou un acheteur vous demande si c’est permis. Vous voulez une vérification simple et savoir à quoi vous en tenir sur les recours en cours.
- Vos données partent hors d’Europe : quoi vérifier, en dehors des États-Unis ?Un prestataire héberge, assure le support ou développe depuis un pays hors de l’Europe, ou une filiale y consulte vos données. Vous devez savoir s’il y a transfert au sens du RGPD et quel outil s’applique, peut-être aussi trancher entre clauses types et règles de groupe.
Analyses d'impact
- Devez-vous faire une analyse d’impact ?Vous lancez un nouveau traitement de données : un outil de recrutement, un suivi de flotte, un croisement de fichiers. Quelqu’un demande s’il faut une analyse d’impact, et personne ne sait répondre.
- Quels traitements sont dispensés d’analyse d’impact ?Vous êtes référent ou responsable RH et vous voulez éviter une analyse d’impact inutile sur la paie, les fournisseurs ou les adhérents. Vous cherchez la ligne exacte qui vous dispense, sans vous tromper de périmètre.
- Que doit contenir une analyse d’impact, au minimum ?Vous devez rédiger une analyse d’impact sans modèle imposé. Vous cherchez le contenu exigé, et ce que vous pouvez raisonnablement laisser de côté.
- Quand consulter la CNIL après une analyse d’impact ?Votre analyse d’impact est écrite et le niveau de risque reste discutable après les mesures. Vous devez décider s’il faut saisir la CNIL, et ce que cela fait au calendrier du projet.
- Qui mène l’analyse d’impact : le DPO ou le chef de projet ?Dans votre organisation, chaque analyse d’impact atterrit chez le délégué à la protection des données. Il n’a plus le temps, et les métiers attendent son document pour lancer leur projet.
- Quand refaire une analyse d’impact ?Votre traitement a évolué depuis l’analyse d’impact : nouveau prestataire, nouvelles données, volume multiplié. Vous ne savez pas s’il faut la refaire, la compléter ou simplement la relire.
- Un module d’analyse d’impact payant apporte-t-il quelque chose ?Votre équipe mène ses analyses d’impact dans le logiciel PIA de la CNIL, ou s’apprête à le faire. Un éditeur vous propose son module, ou votre plateforme en contient déjà un, et vous hésitez à changer.
Violations
- Quand commencent les 72 heures ?Vous venez de recevoir une alerte : un mail étrange, un ordinateur volé, un serveur qui se comporte mal. Vous cherchez à savoir si l’horloge a démarré, et ce qui doit être fait pendant qu’elle tourne.
- Que doit contenir votre registre des violations ?Vous pensiez ne devoir noter que les incidents signalés à la CNIL. Une erreur d’envoi ou une sauvegarde perdue sans suite vous fait douter, et vous ne savez pas si un simple fichier est accepté.
- Votre prestataire a une fuite : qui fait quoi ?Un sous-traitant vous annonce un incident : éditeur de logiciel, hébergeur, prestataire de paie. Son message est court et rassurant. Vous devez comprendre ce qui lui revient, ce qui vous revient, et à partir de quand.
- Faut-il prévenir les personnes concernées ?Vous dirigez un organisme touché par une violation. Vous craignez l’effet d’un message aux clients, aux salariés ou aux usagers, et vous voulez savoir si vous pouvez l’éviter.
Preuve et conservation
- Que mettre dans votre dossier de preuve ?Vous êtes référent ou délégué et vous voulez pouvoir montrer ce que votre organisation fait pour le RGPD. Les documents existent, éparpillés, et personne ne sait lesquels comptent.
- Comment fixer vos durées de conservation ?Vous découvrez que votre organisation garde tout, ou que le registre porte une durée copiée partout. Il faut fixer des durées sans bloquer les services, ni passer des mois sur chaque fichier.
- Comment faire appliquer les durées de conservation ?Vous êtes délégué ou référent. Le tableau des durées existe et les données restent en place. Vous cherchez à obtenir de vraies suppressions, sans disposer de droits sur les applications.
- Faut-il un générateur de politique de confidentialité ?Vous êtes dans une PME et devez publier ou refaire vos mentions rapidement. Un générateur en ligne propose un texte en quelques minutes, et vous ne savez pas ce qu’il vaut.