RGPD Quels enjeux et quelles actions mener Contexte

RGPD Quels enjeux et quelles actions à mener ?

Contexte • Niveau européen • Mise à jour de la loi informatique et liberté de 1978. • Réglementation qui vise à tracer et sécuriser les traitements et les transferts de données personnelles en Europe. • Définition de « donnée personnelle » par la CNIL : Toutes les informations se rapportant à une personne physique identifiée ou identifiable. • Toutes les organisations sont concernées : entreprises et associations.

Vulgarisation de la démarche • Analyse générale de son système d’information • • Information • • Informer les personnes physiques dont les données sont traitées. Informer les employés qui ont accès à ces données sur les enjeux du RGPD. Documents légaux Preuves • • Comment les données arrivent dans ma structure, qui y a accès, comment sontelles stockées, pour combien de temps… Les démarches mises en place doivent-être vérifiables. Sécurisation • • Les données sont-elles stockées en lieu sûr ? (sécurisation physique et digitale) Comment pourrais-je améliorer la sécurité ?

Le Dossier RGPD • Registre des traitements • Détaille, activité par activité, les actions de traitement de données. • Preuves • Analyses d’impact relatives à la protection des données (AIPD) • Uniquement pour les données dites « sensibles » . • Contrats de sous-traitance • Procédure interne en cas de violation de données

Registre des traitements Un exemple sera disponible sur l’intranet pour aider les associations à se mettre en conformité.

Analyse d’Impact relative à la Protection des Données (AIPD) • Prendre conscience du risque encouru et proposer des mesures pour réduire ces risques. • Concerne uniquement les « données sensibles » • • Origne raciale / ethnique Opinion politique / philosophique /religieuse Appartenance syndicale Orientation sexuelle Santé Génétique / Biométrique Infraction / Condamnation pénale

Analyse d’Impact relative à la Protection des Données (AIPD) • Pas de document type, mais une procédure à suivre : • • Description des opérations de traitements • • Analyse des risques sur les droits et libertés des cibles de traitement. Analyse de la nécessité et de la proportionnalité des opérations de traitements par rapport aux finalités. Description des mesures de protection envisagées (mécanismes de sécurité et garanties de protection des données manipulées)

Contrats de Sous-traitance Convention 2019 Registre des traitements Clauses contractuelles (GA, MàD…)

Documents propres à la sous-traitance • Registre des traitements : vous allez recevoir un exemple de registre des traitements par la société OPTAVIS dont vous pourrez suivre la trame. • • • Identité du sous-traitant Finalité(s) du(des) traitement(s) Mesures de sécurité prise par le sous-traitant Nature(s) des données collectées Durées de conservation Contrat de sous-traitance (ou clauses contractuelles à inclure dans les conventions) • • • Objet Description des traitements Durée du contrat Obligations du sous-traitant Obligations du responsable des traitements

Exemple de mise en conformité RGPD La conformité est de la responsabilité de chaque structure. Chaque association Profession sport & Loisirs possède son propre fonctionnement et son propre environnement. Cet exemple n’est donc pas une marche à suivre systématique.

• • Service de Bourse d’Emploi Nationale • • Intégration d’une OPT-IN RGPD Bourse Nationale d’Emploi. Mise à jour des mentions légales sur le site internet. Tenir une fiche de traitement, incorporée dans le registre des traitements. Document contractuel avec la Compagnie Hyperactive (réunion FNPSL 14 -11 -18) Service de Mise à Disposition • • Réception d’un registre des traitements pas OPTAVIS (avant la fin de l’année 2018) • Tenir une fiche de traitement, incorporée dans le registre des traitements. Clauses contractuelles à ajouter dans les conventions avec les associations sportives et de loisirs (une proposition est en cours de rédaction) Service de Gestion Administrative • Clauses contractuelles à ajouter dans les conventions avec les associations sportives et de loisirs (une proposition est en cours de rédaction) • Tenir une fiche de traitement, incorporer dans le registre des traitements. (Veiller à une sécurisation accrue et détaillée des données, notamment sur les ordinateurs professionnels) Service de conseil CRIB • • Si vous partagez des données avec un organisme extérieur : Clauses contractuelles spécifiques Tenir une fiche de traitement, incorporée dans le registre des traitements.

• Service transversal : Communication • Newsletter • • Demande de consentement envoyée à l’ensemble de la base le 31 -08 -2018. A renouveler tous les 3 ans par la FNPSL. Demander le consentement et en apporter la preuve pour tous les futurs imports. Site internet • • Bandeau OPT-IN Cookies (renouvelable tous les 13 mois). • Intégration d’une OPT-IN RGPD Bourse Nationale d’Emploi. Mise à jour des mentions légales. (prendre connaissance des procédures prévues en cas de violation des données)