Protection des donnes personnelles Les bonnes pratiques CIL

Protection des données personnelles Les bonnes pratiques CIL - présentation du 25 juin 2013 1

Protection des données personnelles • • • Définition de la donnée personnelle Déclaration des traitements Collecte de données personnelles Protection des données personnelles Qualités des données personnelles Diffusion des données personnelles Accès aux données personnelles Droit d’accès, de rectification et d’opposition Droit à l’oubli CIL - présentation du 25 juin 2013 2

Définition de la donnée personnelle Les données personnelles : toute information identifiant directement ou indirectement une personne Exemples : – – nom, prénom n° sécurité sociale n° plaque immatriculation photo Les données personnelles dites « sensibles » : – – origines raciales ou ethniques, opinions politiques, philosophiques ou religieuses, appartenance syndicale, données relatives à la vie sexuelle ou à la santé. Traitement soumis à dérogation CIL - présentation du 25 juin 2013 3

Déclaration d’un traitement de données personnelles La bonne attitude L’Ecole a nommé un CIL : il est chargé de conseiller les responsables de traitement dans les phases de conception des applications de gestion et d’accomplir les formalités de déclaration auprès de la CNIL La déclaration doit être établie avant la conception de l’application Votre contact : cil@polytechnique. fr Pour les aspects « Sécurité informatique » , contacter le Responsable de la Sécurité du Système d’Information (RSSI) Votre contact : rssi@polytechnique. fr Les risques : • Conception et exploitation d’une application non conforme aux règles « Informatique et Libertés » et de sécurité informatique • Sanction de la CNIL, voir sanction pénale CIL - présentation du 25 juin 2013 4

Collecte des données personnelles Exemples : – – dossier de candidature fiche de renseignement formulaire d’inscription en ligne sondage La bonne attitude Différencier les champs obligatoires et les champs facultatifs Ne collecter que les données utiles Concevoir des sondages anonymes Informer les personnes des finalités du traitement, destinataires données personnelles, de leurs droits d’accès, de rectification et opposition le cas échéant, des coordonnées du responsable de traitement • Informer les personnes des éventuels transferts de données et recueillir leur accord • • CIL - présentation du 25 juin 2013 5

Collecte des données personnelles Exemple de formulaire de collecte avec mentions légales Note : ce formulaire est donné à titre d’exemple Formulaire d’inscription à la journée « Séminaire général de physique » du 27 juin 2013 à 17 h 00 - suivi d'un cocktail à 18 h 15 * Champs obligatoires Nom * : _________ Organisme d’appartenance Fonction Adresse courriel * Prénom * : _____________________ Mentions légales Les informations recueillies sont nécessaires pour la bonne gestion de l’évènement. Elles sont destinées uniquement aux personnes chargées de l’organisation de cette journée et ne sont pas cédées ou transmises à des tiers. En application de la loi du 6 janvier 1978 modifiée le 6 août 2004, vous bénéficiez d’un droit d’accès et de rectification aux informations qui vous concernent. Pour exercer ce droit et obtenir communication des informations vous concernant, veuillez vous adresser par voie postale à Ecole Polytechnique – Département de physique – Route de Saclay – 91128 Palaiseau Cedex CIL - présentation du 25 juin 2013 6

Collecte des données personnelles : les données sensibles La bonne attitude Sauf dérogation, vous ne pouvez pas collecter des données sensibles : • origines raciales ou ethniques, • opinions politiques, philosophiques ou religieuses, • appartenance syndicale, • données relatives à la vie sexuelle ou à la santé. Secret professionnel pour certaines professions : professionnels de santé, droit/justice, activités bancaires, … D’une manière générale, un devoir de réserve et une obligation de discrétion s’imposent aux agents de la fonction publique, hors périmètre de la CADA Les risques : • Sanction de la CNIL, voir sanction pénale CIL - présentation du 25 juin 2013 7

Collecte des données personnelles : les photos Exemples : – trombinoscope d’un service ou d’un groupe d’élèves – album d’une promotion d’élèves – revue institutionnelle La bonne attitude • Recueillir l’accord express des intéressés pour : • Pour la prise de vue • Pour la publication quelque soit le support (papier, numérique, site Web, …) • Ne pas conserver les photos trop longtemps : • La photo devient vite inexacte • La photo doit être détruite lors du départ de la personne CIL - présentation du 25 juin 2013 8

Protection des données personnelles La bonne attitude • Ne pas divulguer votre identifiant et votre mot de passe : ils sont strictement personnels • Verrouiller votre la session du poste de travail si vous quittez votre bureau Les risques : – vol de données – usurpation d’identité numérique – malveillance : accès aux données confidentielles, modification des données CIL - présentation du 25 juin 2013 9

Qualité des données personnelles : données exactes et pertinentes La bonne attitude Mettre à jour les données lors de la réception des nouveaux éléments Vérifier périodiquement les données personnelles : • soit en demandant aux intéressés de vérifier leur dossier • soit en adressant les listes des personnes aux gestionnaires Supprimer les données après le départ de la personne (sauf dispositions liées à l’archivage définitif – voir service des archives légales) Les risques : – discrimination : • exemple : non attribution de la prime action sociale pour le repas du midi – erreurs de calcul : • exemple : supplément familial erroné car nombre d’enfants non mis à jour – erreur de distribution de courrier personnel • Exemple : bulletin de salaire ou de solde non parvenu au destinataire car l’adresse personnelle n’est pas à jour – conservation des droits ouverts à un agent ayant quitté l’organisme Note : Les exemples sont de pure fiction et donnés à titre d’illustration. CIL - présentation du 25 juin 2013 10

Diffusion des données personnelles en interne Exemples : – – • • annuaire sur INTRANET trombinoscope résultat d’examen ou concours transfert de fichiers de données personnelles en interne La bonne attitude Informer les personnes concernées Recueillir leur accord (photo facultative) Ne transférer ou n’afficher que les informations utiles Pour les transferts de données en interne, dans certains cas un fichier anonyme suffit CIL - présentation du 25 juin 2013 11

Diffusion des données personnelles sur INTERNET ou à un partenaire privilégié Exemples : – annuaire sur INTERNET – catalogue des cours – envoi de la liste d’élèves admis ou diplômés La bonne attitude • Informer les personnes concernées • Recueillir leur accord (photo facultative) • Etablir une convention de transfert de données personnelles si le demandeur est un partenaire privilégié (1) Partenaire privilégié : dans le cadre des partenariats de l’Ecole et en lien direct avec les missions de l’Ecole : Fondation de l’X, l’AX, association. ORG ou une association telle que le CSX, la KES ou un binet. CIL - présentation du 25 juin 2013 12

Accès aux données personnelles : demande d’un organisme non partenaire Exemples : - présence d’un agent dans l’Ecole - adresse d’un élève ou d’un ancien agent - liste des agents avec leur adresse personnelle - notes d’un élève Les do nnées p e r s o sont C nnelle ONFID s ENTIE LLES La bonne attitude 1ème cas : le demandeur est un organisme officiel : administration fiscale, organismes sociaux, justice, police, gendarmerie La demande doit être traitée par le CIL 2ème cas : le demandeur est externe à l’Ecole : un cabinet de recrutement, un organisme réalisant des enquêtes, une société privée, une association, une mairie, … On ne fournit AUCUNE DONNEE CIL - présentation du 25 juin 2013 13

Le droit d’accès et de rectification Définition : • Toute personne justifiant de son identité a le droit d'interroger le responsable d’un fichier ou d’un traitement pour savoir s’il détient des informations sur elle, et le cas échéant d’en obtenir communication. • Toute personne peut prendre connaissance de l’intégralité des données la concernant et en obtenir une copie dont le coût ne peut dépasser celui de la reproduction. • Toute personne est en droit d’obtenir des explications sur le procédé informatique qui a contribué à produire une décision la concernant (scoring, segmentation, profil …). Exemples : – Un agent demande le détail de ses consommations au Magnan – Un élève demande le relevé détaillé de ses notes et évaluations La bonne attitude - Vérifier l’identité du demandeur - Fournir les données d’une manière exhaustive et explicite Délai maximal de réponse : 2 mois CIL - présentation du 25 juin 2013 14

Le droit d’opposition Définition : Toute personne a la possibilité de s'opposer, pour des motifs légitimes, à figurer dans un fichier, sauf pour certains traitements Exemples : – un agent refuse de publier sa photo sur l’annuaire – un élève ne participe pas à une enquête ou un sondage La bonne attitude Lors de la collecte de données sur les formulaires : – indiquer le caractère facultatif de la collecte de données – prévoir les cases à cocher pour recueillir le consentement de l’intéressé en cas de transfert de fichier Au-delà de la collecte de données : – l’intéressé s’adresse au responsable du fichier Note : Le droit d’opposition ne doit occasionner aucun frais pour la personne qui l’exerce CIL - présentation du 25 juin 2013 15

Droit à l’oubli : cas du départ d’un personnel ou élève La bonne attitude • Avant le départ du personnel : – Récupération des dossiers papier et numériques – Récupération des matériels informatiques, y compris les portables (téléphone, tablette, PC, …) • Au départ d’un personnel ou élève/étudiant : – Fermeture du compte informatique et suppression de la BAL : saisie de la date de départ dans XAJAM – Suppression des codes d’accès aux applications informatiques : demande à transmettre à DSI-support@polytechnique. fr – Dossier du personnel : • • Seul SRHEC est habilité à conserver certains documents Les labos/services ne sont pas habilités à conserver les documents relatifs à un personnel suite à son départ Les risques : – accès aux données confidentielles de l’Ecole – accès aux applications de gestion – utilisation frauduleuse des données de l’Ecole CIL - présentation du 25 juin 2013 16

Droit à l’oubli : Construire ensemble un droit à l'oubli numérique La CNIL propose aux internautes de contribuer à ce projet Lien sur le site de la CNIL : http: //www. cnil. fr/linstitution/actualite/article/construire-ensemble-un-droit-a -loubli-numerique/ CIL - présentation du 25 juin 2013 17

Merci de votre attention CIL - présentation du 19 mars 2013 18