Traitements de données et RGPD : sécuriser vos pratiques et éviter les sanctions

1. Traitements de données personnelles et champ d’application du RGPD

1.1. Toute entreprise qui réalise un traitement de données personnelles (gestion de la paie, recrutement, fichier clients ou fournisseurs, prospection commerciale, vidéosurveillance, etc.) doit respecter le Règlement général sur la protection des données (RGPD). Ce cadre s’applique à toute entreprise, quelle que soit sa taille ou son secteur d’activité, dès lors qu’elle est établie sur le territoire de l’Union européenne ou que son activité cible directement des résidents européens. La notion de traitement couvre aussi bien les traitements informatisés que les fichiers papier, qui doivent être protégés dans les mêmes conditions.

1.2. Le RGPD impose une approche globale : dès qu’une entreprise emploie du personnel, ses services de ressources humaines effectuent nécessairement des traitements (gestion de la paie, contrats de travail, recrutement, CV, lettres de motivation, etc.) et sont donc systématiquement concernés. De même, la création d’un fichier clients ou fournisseurs, la consultation d’un tableau Excel contenant des données de ressources humaines, la prospection commerciale par courrier ou e-mail, la livraison d’une commande, la conservation d’adresses IP, l’enregistrement de vidéosurveillance dans un magasin ou la destruction de documents papiers contenant des données personnelles constituent des traitements soumis au RGPD.

1.3. Le RGPD ne se limite pas aux traitements internes : il encadre aussi les relations avec les sous-traitants (hébergement de données, maintenance informatique, services d’envoi de messages de prospection commerciale, etc.). Le représentant légal de l’entreprise (chef d’entreprise, gérant, président) est désigné comme responsable du traitement : il détermine les finalités et les moyens du traitement et demeure responsable du respect des obligations, y compris lorsque des prestataires interviennent.

2. Donnée personnelle et traitement : définitions opérationnelles

2.1. Une donnée personnelle ou « donnée à caractère personnel » est toute information se rapportant à une personne physique identifiée ou identifiable. Sont notamment visés : nom, prénom, numéro de sécurité sociale, adresse postale, numéro de téléphone, adresse mail, photo, empreinte, donnée de géolocalisation, adresse IP ou identifiant en ligne. Une personne est identifiée lorsque son identité est connue ; elle est identifiable lorsqu’elle peut être identifiée à partir du croisement d’un ensemble de données (par exemple : une femme vivant à telle adresse, née tel jour et membre de telle association), même si son nom et son prénom ne sont pas connus.

2.2. Peu importe que l’information soit publique ou confidentielle, et peu importe le support (formulaire papier, clé USB, disque dur, caméra, etc.). En revanche, une donnée n’est plus personnelle lorsqu’elle est anonymisée, c’est-à-dire lorsqu’il n’est plus possible d’identifier la personne concernée. De même, une donnée n’est pas personnelle lorsqu’elle se rapporte à une personne morale (entreprise, association). Ainsi, l’adresse postale, le numéro de téléphone du standard ou une adresse mail générique d’entreprise (par exemple « compagnie1[@]email.fr ») ne sont pas des données personnelles.

2.3. Un traitement de données personnelles consiste en toute opération portant sur des données personnelles, quel que soit le procédé utilisé : collecte, enregistrement, conservation, modification, consultation, diffusion, effacement, destruction, etc. Autrement dit, il y a traitement dès que les données d’une personne sont utilisées d’une manière ou d’une autre, qu’il s’agisse d’un client, d’un fournisseur, d’un prestataire, d’un employé ou d’un candidat à l’embauche. Cette définition large implique que la plupart des activités administratives, commerciales ou RH entrent dans le champ du RGPD.

3. Principes fondamentaux de conformité des traitements

3.1. Pour être conforme au RGPD, tout traitement doit respecter plusieurs principes structurants. Le traitement doit d’abord être licite : il doit être fondé sur l’une des six bases légales prévues par le règlement, notamment le consentement de la personne concernée, l’exécution d’un contrat (contrat de travail, de vente, de location) ou le respect d’une obligation légale. L’entreprise doit être en mesure de justifier la base légale retenue pour chaque finalité.

3.2. Le traitement doit être transparent : la personne dont les données sont collectées doit être informée de la collecte, de la finalité poursuivie et des droits dont elle dispose (accès, rectification, portabilité, effacement, opposition, etc.). Le responsable du traitement doit définir précisément l’objectif poursuivi (prospection, suivi de la relation client, gestion des ressources humaines, prévention de la fraude, etc.) et veiller à ce que les données ne soient pas traitées d’une manière incompatible avec cette finalité initiale.

3.3. Le traitement doit être proportionnel et pertinent : seules les données strictement nécessaires à la réalisation de l’objectif peuvent être collectées. C’est le principe de minimisation. Par exemple, une société qui réalise uniquement de la prospection par mail n’a pas à collecter le numéro de téléphone de ses clients. Le traitement doit également être temporaire : la durée de conservation doit être définie dès la mise en place du dispositif de collecte. Une fois l’objectif atteint, les informations ne sont plus nécessaires et doivent être supprimées ou anonymisées.

3.4. Le traitement doit être sécurisé : l’entreprise doit mettre en place toutes les mesures nécessaires pour garantir la sécurité et la confidentialité des données personnelles (mots de passe robustes, protocole https, sauvegardes, contrôle d’accès, chiffrement, etc.). Ces mesures doivent être proportionnées aux risques encourus (vol, perte, divulgation non autorisée, altération). Enfin, sauf exceptions, tout traitement portant sur des données sensibles (origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, orientation sexuelle, appartenance syndicale, données génétiques, données relatives à la santé, données biométriques) est en principe interdit, en raison du risque élevé de discrimination.

4. Responsabilités du responsable de traitement et du sous-traitant

4.1. Le responsable du traitement est la personne (souvent le représentant légal de l’entreprise) qui détermine les finalités et les moyens du traitement. Il porte la responsabilité principale de la conformité au RGPD. Dans la pratique, il recourt fréquemment à un sous-traitant chargé de traiter les données pour son compte (hébergeur, prestataire de maintenance, service d’envoi de messages de prospection commerciale, etc.). Le sous-traitant agit sur instructions documentées du responsable de traitement.

4.2. Le responsable du traitement et son sous-traitant doivent respecter de nombreuses obligations : information des personnes concernées, recueil du consentement lorsque nécessaire, garantie des droits (accès, rectification, effacement, portabilité, opposition), tenue d’un registre des traitements, sécurisation des données, encadrement contractuel de la sous-traitance, et, le cas échéant, désignation d’un délégué à la protection des données (DPO) et réalisation d’analyses d’impact (AIPD). Le non-respect de ces obligations expose l’entreprise à des sanctions pénales et administratives importantes.

5. Information des personnes concernées : contenu, forme et sanctions

5.1. Le responsable du traitement doit informer toute personne dont les données sont collectées, que la collecte soit directe (formulaire, entretien, inscription en ligne) ou indirecte (données récupérées auprès de partenaires commerciaux, de data brokers ou de sources accessibles au public). L’information doit être délivrée au moment de la collecte en cas de collecte directe, ou dans un délai raisonnable n’excédant pas un mois en cas de collecte indirecte.

5.2. L’information doit comporter au minimum : l’identité et les coordonnées du responsable du traitement, les coordonnées du DPO le cas échéant, la finalité du traitement, la base légale (consentement, contrat, obligation légale, intérêt légitime, etc.), le caractère obligatoire ou facultatif des données et les conséquences d’un refus, les destinataires des données (services internes, prestataires), la durée de conservation, les droits de la personne (refus, accès, rectification, effacement, portabilité, opposition), le droit d’introduire une réclamation auprès de la CNIL, la source des données en cas de collecte indirecte, et l’existence d’un transfert hors de l’UE le cas échéant.

5.3. Sur la forme, les informations doivent être fournies de manière concise, transparente, compréhensible et facilement accessible, en des termes clairs et simples. L’information ne doit pas être noyée parmi d’autres contenus. Une entreprise ne respecte pas l’exigence d’accessibilité lorsqu’elle multiplie les pages à consulter, les liens et la redondance des informations. Sur un site internet, il est recommandé de prévoir une page dédiée de type « politique de confidentialité », « page vie privée » ou « données personnelles », qui fait partie des mentions obligatoires d’un site.

5.4. Le défaut d’information est lourdement sanctionné : le fait de ne pas informer la personne auprès de laquelle sont recueillies des données est puni d’une amende pénale de 1 500 € pour les entrepreneurs individuels et de 7 500 € pour les sociétés. Au-delà de la sanction, l’absence d’information fragilise la base légale du traitement (notamment le consentement) et augmente le risque de contentieux et de contrôle de la CNIL.

6. Recueil et gestion du consentement

6.1. Le consentement est défini comme toute manifestation de volonté par laquelle la personne concernée accepte, par une déclaration ou un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement. Le recueil du consentement est la règle, sauf lorsque le traitement est justifié par l’exécution d’un contrat ou par une autre base légale appropriée.

6.2. Le recueil du consentement est toujours obligatoire dans plusieurs situations sensibles : collecte de données sensibles (origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, orientation sexuelle, appartenance syndicale, données génétiques), réutilisation des données pour d’autres finalités que celles initialement prévues (par exemple, utilisation des données d’un concours pour constituer un fichier client), utilisation de cookies non essentiels au fonctionnement du service (ciblage publicitaire), et prospection commerciale par voie électronique (newsletter, SMS), sauf si la personne est déjà cliente et que la prospection concerne des produits ou services similaires.

6.3. Pour être valable, le consentement doit être libre, éclairé, spécifique et univoque. Libre : la personne doit pouvoir accepter ou refuser sans subir de conséquences négatives (par exemple, l’inaccessibilité d’un site en cas de refus de cookies non essentiels est problématique). Éclairé : la personne doit avoir reçu une information suffisante (identité du responsable, finalité, type de données, droit de retrait, éventuel transfert hors UE) dans un langage clair. Spécifique : en cas de multiples finalités (gestion de clientèle, enquête de satisfaction, prospection), la personne doit pouvoir consentir séparément à chacune. Univoque : le consentement doit résulter d’un acte délibéré (déclaration écrite ou orale, case à cocher non précochée, clic explicite). Les cases cochées par défaut sont interdites, et le silence ou l’inaction (par exemple, simple navigation sans choix sur les cookies) ne valent pas consentement.

6.4. Le responsable du traitement doit pouvoir démontrer que le consentement a été donné dans ces conditions. La personne doit pouvoir retirer son consentement à tout moment, aussi facilement qu’elle l’a donné. Par exemple, si le consentement a été donné par un simple clic, le retrait ne doit pas nécessiter un parcours complexe ou la saisie d’un mot de passe supplémentaire. Lorsque le consentement est retiré, le responsable doit cesser tous les traitements fondés sur ce consentement, sans remettre en cause la licéité des opérations passées. En cas de traitement sans consentement alors qu’il est obligatoire, la sanction pénale peut atteindre 5 ans d’emprisonnement et 300 000 € d’amende pour les entrepreneurs individuels, et 1 500 000 € pour les sociétés.

7. Droits des personnes : accès, rectification, effacement, portabilité, opposition

7.1. Le responsable du traitement doit garantir plusieurs droits fondamentaux aux personnes concernées : droit d’accès, droit de rectification, droit à l’effacement (ou « droit à l’oubli »), droit à la portabilité des données et droit d’opposition au traitement. Ces droits doivent être facilement exerçables (formulaire en ligne, messagerie, adresse mail de contact, etc.) et les réponses doivent être fournies dans des délais encadrés.

7.2. Le droit d’accès permet à la personne d’obtenir la confirmation que des données la concernant sont traitées et d’y accéder. À cette occasion, le responsable doit rappeler la finalité du traitement, les destinataires, la durée de conservation, les droits dont dispose la personne, la source des données en cas de collecte indirecte, et l’existence d’un transfert hors UE le cas échéant. La personne doit pouvoir accéder aux informations ayant servi à prendre une décision la concernant (par exemple, les éléments ayant conduit un employeur à refuser une promotion ou le score attribué par une banque pour une demande de crédit). Le responsable dispose d’un délai d’un mois pour répondre, gratuitement, dans un langage compréhensible, en expliquant les codes et abréviations utilisés. Il peut refuser une demande d’accès en la motivant et en informant la personne des voies de recours, ou ne pas répondre aux demandes manifestement abusives (nombre, caractère répétitif ou systématique).

7.3. Le droit de rectification permet à la personne de faire corriger ses données inexactes et de compléter ses données incomplètes, y compris par une déclaration complémentaire. Le droit à l’effacement s’applique lorsque les données ne sont plus nécessaires au regard des finalités, lorsque le consentement est retiré et qu’aucune autre base légale ne justifie le traitement, lorsque la personne s’oppose au traitement et qu’il n’existe pas de motif légitime impérieux, lorsque les données ont fait l’objet d’un traitement illicite (par exemple, absence de consentement alors qu’il était obligatoire), ou lorsque l’effacement est nécessaire pour respecter une obligation légale.

7.4. Le droit à la portabilité permet à la personne de recevoir ses données dans un format structuré, couramment utilisé et lisible par machine (CSV, XML, JSON, etc.) et de les réutiliser, voire de les transmettre directement à un autre responsable de traitement lorsque c’est techniquement possible. Il concerne les données déclarées par la personne (adresse mail, nom, âge) et celles générées par son activité (achats enregistrés sur une carte de fidélité, historique d’utilisation d’un service), mais pas les données dérivées ou déduites (profilage publicitaire). Il ne s’applique qu’aux traitements automatisés, à l’exclusion des fichiers papier. La CNIL recommande de prévoir des fonctionnalités permettant le téléchargement direct des données depuis l’espace authentifié de l’utilisateur.

7.5. Le droit d’opposition permet à la personne de s’opposer à la réutilisation de ses données à des fins de sollicitations, notamment commerciales, lors d’une commande ou de la signature d’un contrat. Une case à cocher non cochée par défaut doit permettre d’exprimer ce choix directement sur le formulaire ou le bon de commande ; la simple mention du droit d’opposition dans les conditions générales est insuffisante. Ce droit ne peut être exercé que lorsque le traitement est fondé sur l’intérêt légitime du responsable (par exemple, prévention de la fraude, sécurité du réseau). Si le traitement est fondé sur le consentement, la personne doit exercer son droit de retrait du consentement plutôt que le droit d’opposition.

8. Registre des activités de traitement : un outil de pilotage

8.1. Le registre des activités de traitement permet de recenser les traitements de données et d’avoir une vue d’ensemble des utilisations de données personnelles. Il constitue un outil central de gouvernance RGPD. L’obligation de tenir un registre dépend de la taille de l’entreprise et de la nature des traitements. En dessous de 250 salariés, le registre est obligatoire lorsque l’entreprise réalise un traitement non occasionnel (gestion de la paie, gestion des clients/prospects et des fournisseurs), un traitement susceptible de comporter un risque pour les droits et libertés (géolocalisation, vidéosurveillance) ou un traitement portant sur des données sensibles ou des données relatives à des condamnations pénales. En cas de doute, la CNIL recommande d’intégrer le traitement au registre.

8.2. À partir de 250 salariés, la tenue d’un registre est obligatoire pour l’ensemble des traitements. Les sous-traitants doivent également tenir un registre de leurs activités impliquant le traitement de données pour le compte de leurs clients. En pratique, une fiche de registre doit être établie pour chaque traitement, recensant l’identité du responsable de traitement, du DPO et des sous-traitants, les catégories de personnes concernées (clients, prospects, employés), les catégories de données (identité, situation familiale, données bancaires, données de connexion, données de localisation), les finalités, les destinataires, la durée de conservation ou les critères permettant de la déterminer, une description des mesures de sécurité et, le cas échéant, les transferts hors UE.

8.3. Le RGPD impose seulement que le registre soit écrit, sans imposer de format : il peut être tenu sur support papier ou électronique. La CNIL met à disposition des modèles de registre de traitement permettant de structurer cette documentation et de faciliter les contrôles et audits internes.

9. Sécurité des données personnelles : mesures techniques et organisationnelles

9.1. Toute entreprise doit assurer la sécurité des données personnelles qu’elle collecte (clients, fournisseurs, employés, etc.). Pour garantir un niveau de sécurité adapté au risque, elle doit combiner des mesures techniques (contrôle d’accès, chiffrement, sauvegardes, journalisation, antivirus, pare-feu, VPN, etc.) et des mesures organisationnelles (procédures internes, sensibilisation, charte informatique, gestion des habilitations, clauses de confidentialité). La CNIL met à disposition un guide pratique sur la sécurisation des données qui détaille ces mesures.

9.2. La première étape consiste à recenser les traitements de données et les supports associés : matériels (serveurs, ordinateurs portables, disques durs), logiciels (systèmes d’exploitation, logiciels métier), canaux de communication (fibre optique, Wi-Fi, Internet, échanges verbaux, coursiers), supports papier (documents imprimés, photocopies) et locaux (bureaux, salles informatiques). Ce recensement permet d’apprécier les risques : accès illégitime (usurpation d’identité après divulgation de fiches de paie), modification non désirée (accusation à tort après altération de journaux d’accès), disparition de données (impossibilité de détecter une interaction médicamenteuse faute d’accès au dossier patient).

9.3. Le responsable doit identifier les sources de risques humaines (administrateur informatique, utilisateur, attaquant externe, concurrent) et non humaines (eau, épidémie, matériaux dangereux, virus informatique non ciblé), puis estimer la gravité et la vraisemblance des risques (négligeable, modérée, importante, maximale). Sur cette base, il détermine les mesures de traitement des risques : contrôle d’accès, sauvegardes, traçabilité, sécurité des locaux, chiffrement, anonymisation, etc.

9.4. La sensibilisation des utilisateurs est un levier essentiel. Le responsable doit organiser des séances de sensibilisation, diffuser des mises à jour de procédures, faire des rappels par messagerie, documenter les procédures d’exploitation dans un langage clair et adapté à chaque catégorie d’utilisateurs. Une charte informatique, annexée au règlement intérieur, doit préciser les règles de protection des données, le champ d’application (modalités d’intervention des équipes, moyens d’authentification, règles de sécurité), les modalités d’utilisation des moyens informatiques (poste de travail, stockage, accès internet, messagerie) et les sanctions en cas de non-respect. Il est souvent pertinent de prévoir un engagement de confidentialité spécifique, fondé notamment sur l’article 32 du RGPD et les articles 226-13 et 226-16 à 226-24 du code pénal.

9.5. La gestion des identifiants et des habilitations est un autre pilier. Chaque utilisateur doit disposer d’un identifiant unique ; les comptes partagés doivent rester exceptionnels et encadrés (validation hiérarchique, traçabilité, renouvellement des mots de passe dès qu’une personne n’a plus besoin d’accéder au compte). Le responsable doit définir des profils d’habilitation, séparer les tâches et domaines de responsabilité, faire valider les demandes d’habilitation, supprimer les permissions dès qu’un utilisateur change de poste ou quitte l’entreprise, et réaliser une revue régulière des habilitations (au moins une fois par an). Pour les mots de passe, il est recommandé de suivre les recommandations de la CNIL.

9.6. La journalisation des opérations est indispensable pour réagir en cas de violation de données (atteinte à la confidentialité, à l’intégrité ou à la disponibilité). Un système de journalisation doit enregistrer les activités métier, les interventions techniques (y compris celles des administrateurs), les anomalies et les événements de sécurité. Les gestionnaires de ces journaux doivent notifier rapidement toute anomalie ou incident. L’ANSSI propose des recommandations de sécurité pour l’architecture d’un système de journalisation permettant de structurer cette démarche.

9.7. Les postes de travail et l’informatique mobile constituent des points d’entrée critiques. Il convient de prévoir un verrouillage automatique de session, d’installer un pare-feu logiciel en limitant l’ouverture des ports, d’utiliser des antivirus régulièrement mis à jour, de mettre en place une politique de mise à jour des logiciels et d’effacer de façon sécurisée les données avant la réaffectation d’un poste. Le CERT-FR détaille les bons réflexes en cas d’intrusion sur un système d’information. Pour les usages hors des locaux (télétravail, déplacements), il faut anticiper les risques liés aux ordinateurs portables, clés USB, smartphones, imposer l’usage d’un VPN à authentification forte et recourir au chiffrement (disque dur, fichiers, conteneurs chiffrés). La CNIL rappelle les principes de la cryptologie (chiffrement, hachage, signature).

9.8. La sauvegarde et l’archivage sont essentiels pour limiter l’impact d’une disparition ou altération de données. Le responsable doit effectuer des sauvegardes régulières, stocker au moins une sauvegarde sur un site extérieur et isoler une sauvegarde hors ligne. Les données qui ne sont plus utilisées au quotidien mais qui doivent être conservées (par exemple en cas de litige) doivent être archivées selon un processus défini : quelles données archiver, comment et où les stocker, quelles modalités d’accès spécifiques, et quel mode opératoire pour la destruction des archives. La CNIL a publié des recommandations sur l’archivage électronique.

9.9. La sous-traitance doit être encadrée par des garanties suffisantes en matière de sécurité. Le responsable doit sélectionner des sous-traitants fiables, exiger leur politique de sécurité des systèmes d’information et leurs éventuelles certifications, et conclure un contrat de sous-traitance définissant l’objet, la durée, la finalité du traitement, la répartition des responsabilités, les contraintes d’authentification, les conditions de restitution et de destruction des données en fin de contrat, ainsi que les règles de gestion et de notification des incidents (information du responsable en cas de faille ou d’incident). La CNIL propose un guide du sous-traitant pour accompagner ces acteurs.

9.10. Enfin, il est opportun d’évaluer régulièrement le niveau de sécurité des données personnelles. La CNIL met à disposition une grille d’évaluation permettant de vérifier l’adéquation des mesures techniques et organisationnelles au regard de la nature, de la portée, du contexte et des finalités des traitements, ainsi que des risques pour les droits et libertés des personnes. En cas de violation de données (divulgation non autorisée, accès irrégulier), le responsable doit être en mesure de prouver qu’il a pris des mesures de sécurité adéquates.

10. Encadrement juridique de la sous-traitance

10.1. Le responsable de traitement peut recourir à un sous-traitant pour traiter des données personnelles pour son compte (prestataire informatique, hébergeur, entreprise de sécurité, agence de marketing ou de communication). Pour encadrer cette relation, un contrat de sous-traitance doit être conclu, incluant des mentions obligatoires : objet du contrat (activité du sous-traitant : hébergement, routage d’e-mails, maintenance), nature, finalité et durée du traitement, type de données personnelles et catégories de personnes concernées, obligations et droits du responsable et du sous-traitant.

10.2. Pour faciliter la rédaction, les parties peuvent insérer des clauses contractuelles types (CCT) élaborées par la Commission européenne, qui fournissent un support conforme aux exigences du RGPD. Toute opération de traitement non prévue dans le contrat doit en principe faire l’objet d’une renégociation ou, au minimum, d’instructions écrites du responsable de traitement.

10.3. Le sous-traitant doit respecter plusieurs obligations : assurer un niveau de sécurité suffisant au regard de la nature des données, conseiller le responsable (par exemple, l’alerter si une instruction constitue une violation de la réglementation), aider à garantir les droits des personnes (accès, rectification, effacement, portabilité), formaliser par écrit les instructions reçues, tenir un registre des activités de traitement effectuées pour le compte de chaque client, mettre à disposition les informations nécessaires pour démontrer le respect de ses obligations et permettre des audits, et veiller à ce que les personnes autorisées à traiter les données s’engagent à respecter la confidentialité.

10.4. Le sous-traitant doit tenir son propre registre, recensant toutes les catégories d’activités de traitement (hébergement, maintenance, envoi de messages de prospection, etc.). Chaque fiche doit mentionner l’identité du sous-traitant, de son représentant éventuel hors UE, de son DPO, les catégories de traitements effectués pour chaque client (par exemple, pour un service d’envoi de messages de prospection : collecte des adresses mails, envoi sécurisé, gestion des désabonnements), une description des mesures de sécurité et, le cas échéant, les transferts hors UE. La CNIL propose un guide pratique à destination des sous-traitants pour structurer ces obligations.

10.5. Le sous-traitant ne peut recourir lui-même à un autre sous-traitant qu’avec l’autorisation écrite du responsable de traitement, donnée au cas par cas ou de manière générale. En cas d’autorisation générale, il doit communiquer au responsable la liste de ses sous-traitants ultérieurs et tout ajout ou remplacement, afin de lui permettre de s’y opposer. La CNIL recommande de formaliser les modalités d’information du responsable et, le cas échéant, les critères de choix de ces sous-traitants. Le sous-traitant doit tenir à jour, dans son registre, la liste des sous-traitants auxquels il recourt.

11. Pour en savoir plus

11.1. Ressources officielles et guides pratiques :

– Obligations en matière de protection des données personnelles (RGPD) – Service Public Entreprendre
– Mentions obligatoires sur un site internet
– Exemples de mentions d’information (RGPD) – CNIL
– Site web, cookies et autres traceurs – CNIL
– Comment fonder un traitement sur l’intérêt légitime ? – CNIL
– Modèles de registre de traitement de données – CNIL
– Guide pratique pour la sécurisation des données – CNIL
– Authentification par mot de passe – recommandations de la CNIL
– Système de journalisation – recommandations de l’ANSSI
– Les bons réflexes en cas d’intrusion sur un système d’information – CERT-FR
– Modalités d’archivage électronique – recommandations de la CNIL
– Grille d’évaluation du niveau de sécurité des données personnelles – CNIL
– Guide du sous-traitant (RGPD) – CNIL
– Clauses contractuelles types (sous-traitance et RGPD) – Commission européenne
– Principes de la cryptologie et du chiffrement – CNIL
– Charte informatique et règlement intérieur – Service Public Entreprendre