Dans les 6 étapes de la CNIL pour se mettre en conformité, une étape cruciale ressort : cartographier vos traitements de données à caractère personnel. D’une certaine manière, il s’agit de faire un état des lieux.
Un état des lieux ?
Comme lorsque vous avez emménagé dans votre premier appartement ? … Eh bien oui pourquoi pas, ça y ressemble un tout petit peu.
Côté location, comme le nom l’indique, l’état des lieux (EDL pour faire court) permet de produire un document descriptif faisant l’inventaire d’un espace (on y notera l’état d’usure du lieu, les biens mobiliers présents, etc.). En matière RGPD, l’EDL permet de faire l’inventaire des activités de traitements d’un organisme, ce qui permettra par la suite d’évaluer ces activités.
Comment réaliser un EDL ?
Au sein d’un organisme, en s’appuyant sur l’organigramme, on commencerait par identifier les différents services ou pôles présents (RH, commercial, marketing, qualité, etc.) et par services on pourrait commencer à lister les différentes activités du service. Et après ?
Une question primordiale, sera de vérifier si l’on traite bien des données à caractère personnel pour chacune de ses activités. Si ce n’est pas le cas, on les sortira de l’EDL. Si c’est bien le cas : continuons.
Pour chaque activité, il faudra récupérer les informations suivantes :
Pourquoi traite-t-on les données : quels sont les objectifs du traitement, ses finalités ?
Quelles données utilise-t-on ? On prendra le soin de les distinguer (données courantes, données sensibles)
Qui a accès aux données ? Etape importante : il faudra lister les différents acteurs (destinataires internes et externes : sous-traitant, partenaire, responsable conjoint, etc.) et rassembler les contrats correspondants ! (Contrat de travail, engagement de confidentialité, contrat de prestation de services, conventions, etc.)
Où sont les données ? Sont-elles traitées sur le territoire de l’Union européenne ? Espace Schengen ? En dehors ? Ces éléments seront également à consigner précieusement et nous seront utiles pour l’évaluation à suivre.
Pour combien de temps les données sont-elles utilisées ? Les archive-t-on ? Comment sont-elles détruites, purgées ?
Et enfin :
Quelles sont les mesures de sécurité appliquées à chacune de ces activités de traitements ?
Pour garder le fil, n’hésitez pas à utiliser un modèle de registre des activités de traitement. Ceux fournis par la CNIL sont des trames fiables qui vous permettront de cartographier vos activités et de faire un premier état des lieux.
Et après ? Eh bien… On vous parle de l’audit au prochain épisode 😉 Abonnez-vous pour ne rien manquer !
Dans le domaine médical et de la santé, les échanges d'informations entre professionnels de santé sont fréquents et nécessaires pour assurer une prise en charge optimale des patients.
Avec l'essor des systèmes d'intelligence artificielle (IA), notamment des IA génératives, de nombreux acteurs se posent la question de leur conformité au Règlement Général sur la Protection des Données (RGPD). La CNIL, consciente des enjeux liés à l'utilisation de l'IA et de la protection des données personnelles, a lancé en mai 2023 son "plan IA" pour clarifier le cadre juridique et accompagner les acteurs dans la mise en conformité de leurs systèmes.
Inscrivez-vous à notre newsletter mensuelle pour rester à jour sur l'actualité RGPD & Cybersécurité, et retrouvez nos conseils et bonnes pratiques.
Pour plus d’information sur le traitement de vos données personnelles ou exercer vos droits, merci de prendre connaissance de notre Politique de confidentialité ou contactez notre DPO à l’adresse dpo@actecil.fr.
Télécharger le catalogue
Recevez le catalogue par e-mail
Dans le cadre de sa démarche d’accompagnement, ACTECIL ACADEMY vous propose de vous envoyer directement par email notre catalogue de formations. Simple et efficace, en quelques clics, le document est dans votre boîte email.
