RGPD : Quelles actions sont à mettre en œuvre aujourd’hui pour assurer la mise en conformité des pratiques avec les nouvelles règles ?

Il importe d’auditer dès aujourd’hui les pratiques internes des différents services de l’entreprise (marketing, RH, IT…), mais également celles de ses partenaires.

Une étude des outils contractuels en place est également nécessaire, s’agissant en particulier des contrats avec les prestataires, des chartes internes, CGU, mentions d’information lors de la collecte des données… pour s’assurer de leur pertinence.

Une fois cet audit réalisé, les actions de mise en conformité seront identifiées et pourront être initiées : mise en place d’un registre, désignation d’un DPO, modification des contrats ou clauses contractuelles, sécurisation des traitements, refonte des CGU et formules d’information, etc.

Une cartographie des traitements et la mise au point d’un référentiel des finalités et des traitements permettront de comprendre l’état des pratiques, d’alimenter le suivi des formalités et les évolutions nécessaires, et d’établir l’existence de pratiques conformes et à jour au regard du RGPD en cas de contrôle des autorités.

63% des Français redoutent de donner des informations personnelles sur Internet

En fonction de leur identité culturelle, les internautes n’abordent pas la saisie des données personnelles sur la toile de la même manière. Selon un sondage Opinionway, réalisé en octobre 2015, les Français se montrent bien plus frileux que leurs homologues anglo-saxons: 63% d’entre eux avouent leur méfiance quand il s’agit de donner des informations personnelles sur le web contre 35 et 34% chez les Britanniques et les Américains. 14% des Français refusent de communiquer leurs informations personnelles, un chiffre qui tombe à 4 et 5% en Grande-Bretagne et aux États-Unis.

Quel que soit le pays, la donnée la plus sensible est le numéro de carte bancaire. Là encore, ce sont les Français qui arrivent en tête. 72% d’entre eux avouent leur crainte quand il s’agit de stocker cette information sur un site, contre 48% des Anglais et 41% des Américains.

Les critères qui rassurent ne sont pas les mêmes d’un pays à l’autre, selon l’enquête. Les Français se sentent en priorité protégés par le petit cadenas à côté de l’adresse qui indique une connexion sécurisée (68%), puis par l’assurance que les données ne seront pas transmises (36%). Les Britanniques et les Américains se fient, eux, à la marque ou au site Internet (53% et 47%).

En revanche, le mot de passe fait consensus. Il rime avec sécurité dans le cas de transactions pour 1/3 des Français, des Britanniques et des Américains.

Globalement, les internautes se posent beaucoup de questions quand il s’agit de payer en ligne. La vigilance reste de mise à l’égard de certains sites, de peur d’être piratés. 65% des Français évitent alors d’y utiliser leur carte. 66% des Britanniques et 70% des Américains s’abstiennent également.

Interrogés sur les systèmes sensés améliorer leur confiance, les participants se disent prêts à utiliser leur carte bancaire plus souvent, si l’utilisation une carte temporaire infalsifiable rend le piratage impossible. À cette condition, 70% des Français, 76% des Britanniques et 77% des Américains passeraient à l’acte. Autre critère jugé rassurant: une étape d’authentification supplémentaire (63% en France, 54% en Grande-Bretagne et 50% aux États-Unis).

Méthodologie : pour réaliser cette enquête, un échantillon représentatif a été constitué en fonction des critères de sexe, d’âge, de catégorie socioprofessionnelle en France, de catégorie sociale Esomar au Royaume-Uni et de revenus aux Etats-Unis. 1014 Français, 1004 Britanniques et 1009 Américains ont été soumis à un questionnaire en ligne sur système CAWI (Computer Assisted Web interview).

Formation en cybercriminalité : Virus, arnaques et piratages informatiques, Solutions pour nos entreprises

Le contexte de l’Internet et l’ampleur du phénomène de la cybercriminalité, nous poussent à modifier nos
comportements au quotidien.
Avons-nous raison d’avoir peur ? De quoi doit-on avoir peur ? Comment se protéger ?

Les réponses évidentes sont techniques, mais il n’en est pas moins vrai que des règles de bonnes pratiques et des
attitudes responsables seront les clés permettant d’enrayer le phénomène….

Objectif

Découvrez les règles de bonnes pratiques et des attitudes responsables qui sont les clés permettant d’enrayer ce phénomène.

Durée

1 journée

ou conférence de 2 heures.

Public concerné

Chefs d’entreprise, présidents d’associations, élus, décideurs, employés, agents, ….

Moyens pédagogiques

Vidéo projecteur et sonorisation souhaitée selon la taille de la salle.

Animateur

Denis JACOPINI
Expert Judiciaire en Informatique diplômé en Cybercriminalité, Droit, Sécurité de l’information, informatique Légale et en Droit de l’Expertise Judiciaire. Spécialisé en Protection des données personnelles et  certifié ISO 27005, il a été pendant une vingtaine d’année à la tête d’une société spécialisée en sécurité Informatique.  

Son métier : Aider les professionnels à se protéger des pirates informatiques, et à se mettre en conformité avec la CNIL et le règlement Européen sur la Protection des Données Personnelles.

Il intervient dans la France entière et à l’étranger pour former ou sensibiliser les décideurs, informaticiens et utilisateurs sur les techniques utilisées par les Pirates informatiques pour piéger leurs victimes et sur les obligations en matière de protection des données à caractère personnel.

Différentes interventions pour  :

– Le Conseil de l’Europe ;

– Un Centre d’Enseignement et de Recherche en Informatique  ;

– Le Centre d’Etudes des Techniques Financières et d’Ingénierie d’Aix en Provence ;

– Des écoles d’avocats ;

– Des Compagnies d’Experts Judiciaires ;

– De nombreux clubs ou associations de chefs d’entreprises dans la France entière et à l’étranger ;

– Le Centre National de la Fonction Publique Territoriale (CNFPT) pour des élus, des S.G. et des agents publics.

(Autorisation de la Direction du travail de l’Emploi et de la Formation Professionnelle – Numéro formateur : 93 84 03041 84)

Plus d’informations sur : https://www.lenetexpert.fr/formations-cybercriminalite-protection-des-donnees-personnelles

Encore plus fort que la peur du gendarme, la peur d’avoir mauvaise réputation est la principale crainte des entreprises concernées par des actes illicites (C’est ce qui ressort d’une étude de PWC).

Des années pour la construire, une fraction de seconde pour la salir; Et si votre manque de respect des données personnelles de vos clients vous rattrapait..

Une entreprise peut-elle être condamnée pour défaut de sécurisation de l’accès à ses outils informatiques ?

Une entreprise peut être sanctionnée par la CNIL, par exemple, si l’organisme juge que les mots de passe sont peu sécurisants : les noms des employés, inchangés depuis quelques années. Avec les nouvelles réglementations européennes entrées en vigueur en 2018, les amendes peuvent s’élever à 20 millions d’euros voire 4% du chiffre d’affaires mondial…

Mise en conformité RGPD, les conseils de notre Expert 

Depuis le 25 mai 2018, les établissements public ou privés, les associations, les entreprises etc. doivent se mettre en conformité avec un règlement Européen sur la Protection des Données dit  RGPD. Face au flou présenté aux organismes, il nous paraissait important d’éclaircir la première étape d’une mise en conformité RGPD : l’Audit RGPD.

Art. 30 du  RGPD

« Chaque responsable du traitement et, le cas échéant, le représentant du responsable du traitement tiennent un registre des activités de traitement effectuées sous leur responsabilité. »

Le Net Expert : Monsieur JACOPINI, quels conseils donnerez-vous à tous ceux qui souhaitent mettre en conformité leur établissement ?

Denis JACOPINI :Cette démarche doit commencer par une analyse précise et confidentielle de l’ensemble de vos systèmes de traitements de données.

Sachez qu’ pour réaliser ces démarches de mise en conformité.

Formation Data protection officer (DPO)

D’ici le 25 mai 2018, les entreprises et les administrations qui utilisent des données à caractère personnel devront recourir aux services d’un data protection officer (DPO).

Quel est son rôle et ses obligations ?

Data protection officer : définition

Les données sont présentes en masse dans les entreprises. Ce qui peut poser des risques en matière de sécurité mais aussi de légalité. Pour aider les entreprises, un nouveau métier a le vent en poupe dans le secteur du numérique : le data protection officer (DPO).

Sa mission est la suivante : s’assurer que son employeur ou son client respecte la législation lorsqu’il utilise les données à des fins commerciales (mailing par exemple) mais aussi à des fins internes (logiciels RH). Son rôle est donc transversal, ce qui l’amène à travailler avec de nombreux départements : direction générale, marketing, développement ou encore RH. En cas de manquement à la loi, il est tenu d’alerter sa direction dans les plus brefs délais.

Son rôle est très polyvalent. En plus de connaissances en informatique et en cybersécurité, le data protection officer est tenu de posséder une grosse culture juridique, notamment en droit des nouvelles technologies de l’information et de la communication (NTIC). Aujourd’hui, des juristes spécialistes des NTIC, des informaticiens, des ingénieurs en cybersécurité peuvent exercer des fonctions de data protection officer au sein d’entreprises ou de cabinets de conseil.

Accompagnement  à la mise en conformité avec le RGPD de votre établissement

2 SOLUTIONS POUR SE METTRE EN CONFORMITÉ AVEC LE RGPD

1. Vous faîtes appel à un expert / formateur qui vous accompagne dans la mise en conformité avec le RGPD de votre établissement (ci-dessous).

2. Vous apprenez à vous mettre en conformité avec le RGPD en suivant une formation (Consultez notre page « Initiation au RGPD, Formation RGPD pour DPO / Délégué à la Protection des Données et formation RGPD pour SSII, ESN, Avocats et Experts comptables »).

Je me présente : Denis JACOPINI. Je suis Expert de justice en informatique spécialisé en cybercriminalité et en RGPD (protection des Données à Caractère Personnel), consultant depuis 1996 et formateur depuis 1998. J’ai bientôt une expérience d’une dizaine d’années dans la mise en conformité avec la réglementation relative à la Protection des Données à Caractère Personnel. De formation d’abord technique, Correspondant CNIL (CIL : Correspondant Informatique et Libertés) puis récemment Délégué à la Protection des Données, en tant que praticien de la mise en conformité et formateur.

« Mon objectif est de mettre à disposition toute mon expérience pour mettre en conformité votre établissement avec le RGPD. »

Pour cela, j’ai créé des services sur mesure :

Vous souhaitez vous mettre en conformité avec le Règlement (UE) 2016/679 du parlement européen et du Conseil du 27 avril 2016 (dit RGPD) et vous souhaitez vous faire accompagner. Au fil des années et depuis les mises en conformité avec la Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, nous avons constaté que les mises en conformité devaient se dérouler (et encore à ce jour avec le RGPD)  selon 3 phases principales  :

1. « Analyse du contexte » en vue d’établir la liste des traitements et les mesures correctives à adopter ;
2. « Mise en place de la conformité RGPD » avec amélioration des traitements en vue de les rendre acceptables ou conformes. Ceci inclue dans bien des cas l’analyse de risque ;
3. « Suivi de l’évolution des traitements » en fonction de l’évolution du contexte juridique relatif à la protection des Données à Caractère Personnel et des risques Cyber. Ce suivi a pour principal intérêt de maintenir votre conformité avec le RGPD dans le temps.

Pour chacune des phases, nous vous laissons une totale liberté et vous choisissez si vous souhaitez :

• « Apprendre à faire » (nous vous apprenons pour une totale autonomie) ;
• « Faire » (nous vous apprenons et vous poursuivez le maintien de la mise en conformité tout en ayant la sécurité de nous avoir à vos cotés si vous en exprimez le besoin) ;
• ou « Nous laisser faire » (nous réalisons les démarches de mise en conformité de votre établissement en totale autonomie et vous établissons régulièrement un rapport des actions réalisées opposable à un contrôle de la CNIL).

contactez-nous avec le formulaire ci-dessous

Pour ceux qui veulent apprendre à faire, nous proposons 3 niveaux de formation

1. Une formation d’une journée pour vous sensibiliser au RGPD : « Comprendre le RGPD et ce qu’il faut savoir pour bien démarrer » ;
2. Une formation de deux jours pour les futurs ou actuels DPO : « Je veux devenir le Délégué à la Protection des Données de mon établissement » ;
3. Une formation sur 4 jours pour les structures qui veulent apprendre à mettre en conformité leurs clients : « J’accompagne mes clients dans leur mise en conformité avec le RGPD ».

Afin de vous communiquer une indication du coût d’un tel accompagnement, nous aurons besoin d’éléments sur votre structure : Durée dépendant de la taille, de l’activité et des ressources de votre établissement.

Le dirigeant est responsable de ses #déclarations à la CNIL

Quelles mesures les entreprises doivent-elles prendre pour être en règle avec la CNIL (commission nationale de l’informatique et des libertés), notamment pour le respect des données privées ? 

Les entreprises doivent protéger les données personnelles, selon la loi Informatique et libertés ?

C’est une obligation légale des entreprises : elles doivent protéger les données personnelles de leurs salariés comme de leurs clients. Une donnée personnelle est toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement .

Certaines données peuvent sembler évidentes : nom, prénom, date de naissance, adresse postale, empreinte digitale. D’autres viennent moins spontanément à l’esprit : adresse IP, habitudes de consommation, entourage familial, plaque d’immatriculation.

L’entreprise se doit donc de sécuriser les informations personnelles qui transitent par son site Internet (ne serait-ce qu’à travers un formulaire de contact), par l’enregistrement des appels, la vidéosurveillance, l’annuaire interne, les contrôles d’accès aux locaux, etc.

Que doit faire l’entreprise pour être en conformité avec la loi ?

Informer les instances représentatives et mettre en œuvre une charte informatique ne suffit pas. Le site Internet de l’entreprise doit comporter des mentions légales, elle doit assurer la confidentialité des données, définir une durée de conservation des données, effectuer les déclarations préalables à la mise en place d’un dispositif de collecte auprès de la CNIL, respecter l’objectif de la collecte annoncé, etc.

Le dirigeant de l’entreprise est responsable et doit prendre les mesures nécessaires au traitement des données personnelles. Il est aussi fortement conseillé, dans les entreprises de taille importante, de mettre en place un CIL, un correspondant informatique et libertés, et de sensibiliser les utilisateurs et les salariés aux risques informatiques et à la loi informatique et libertés. Il peut aussi être utile de faire un inventaire des traitements des données à caractère personnel (site Internet, fichiers clients, prospects, fournisseurs, téléphonie, vidéo-surveillance, gestion de la paie, fichiers métiers).

Le coût de la mise en place de ces mesures varie en fonction de la taille de l’entreprise, donc du temps nécessaire à l’analyse des risques.

Quelles sanctions l’entreprise et son dirigeant risquent-ils ?

Au-delà des sanctions légales, c’est la réputation et la crédibilité de l’entreprise qui sont en jeu : son image et son patrimoine sont exposés.

Néanmoins, l’absence de mentions légales peut déboucher sur une amende de 6000 €, la surveillance permanente des zones réservées dans une entreprise ou la collecte de données sur la vitesse d’un véhicule, 5000 € ; le non respect des obligations de sécurisation des données personnelles peut aller jusqu’à 300 000 € d’amendes.
 Toutefois, la CNIL joue pour l’instant avant tout un rôle de prévention plus que de sanction.

Quid de la loi sur le renseignement qui oblige les opérateurs à mettre en place des dispositifs automatiques de collecte des données ?

Ce type de loi ne pose pas de problème dans une démocratie et remplit ses objectifs de sécurité. En revanche, la question se poserait de façon plus grave sous un autre régime.

ATTENTION !

Une déclaration incomplète ou ne correspondant pas à la réalité peut vite se transformer en FAUSSE DECLARATION.

#Prospection par messagerie électronique : que risque une société qui ne respecte pas la loi ?

Une société qui ne respecte pas cette règle risque des sanctions pénales et des amendes de 750 euros par message expédié.

De son côté, la CNIL peut prononcer des sanctions pouvant aller jusqu’à 300.000 Euros d’amende lorsque des messages sont adressés à des personnes physiques sans leur consentement.