Privacy Ptitdej Jitm Decembre 2008 V2

Preview:

Citation preview

Êtes-vous prêt à assumer les risques de données sensibles peu protégées, d'une sécurité informatique insuffisante et du

non-respect des lois sur la vie privée?

Bruxelles, le 17 décembre2008

  Introduction   Définitions importantes   Contexte actuel   Responsabilités du responsable de traitement   Droits du consommateur   Transfert de données vers et en provenance de tiers   Quelques aspects particuliers

  La sécurité   Contrôle des employés   Comment implémenter la loi?   Conclusion

Sujets abordés

AVANT

Ce que vous croyez

En réalité…

Where are your data?

Tout le monde se parle !

Source : https://www.britestream.com/difference.html.

La transparence est devenue indispensable !

Comment faire pour protéger

vos données?

•  60% des citoyens européens se sentent concernés

•  La découverte des vols de données se fait après-coup!

•  La protection des données est un risque opérationnel => observé par les investisseurs

•  La connaissance de ses clients est un atout (CRM)

La mise en conformité de la sécurité avec la protection de la vie privée est rentable

Quels sont les risques?

• Perte de réputation (procès, articles,…)

• Les médias en parlent systématiquement

• Vol de données de clients, d’employés, d’administrateurs, …

• Perte de confiance des clients

• Sanctions pénales et civiles

On en parlera !

Contexte juridique belge

Définitions importantes

3 importantes définitions

•  Qu’est-ce qu’une donnée personnelle? •  Qu’est-ce qu’un traitement? •  Qu’est-ce qu’un responsable de traitement?

On entend par "données à caractère personnel"

toute information concernant une personne physique identifiée

ou identifiable, désignée ci-après "personne concernée";

est réputée identifiable une personne qui peut être identifiée,

directement ou indirectement, notamment par référence

à un numéro d'identification ou à un ou plusieurs éléments

spécifiques, propres à son identité physique, physiologique,

psychique, économique, culturelle ou sociale

Donnée personnelle

Par "traitement", on entend toute opération ou ensemble

d'opérations effectuées ou non à l'aide de procédés automatisés

et appliquées à des données à caractère personnel,

telles que la collecte, l'enregistrement, l'organisation,

la conservation, l'adaptation ou la modification, l'extraction,

la consultation, l'utilisation, la communication par transmission,

diffusion ou toute autre forme de mise à disposition,

le rapprochement ou l'interconnexion, ainsi que le verrouillage,

l'effacement ou la destruction de données à caractère personnel.

Traitement de données

Par "responsable du traitement", on entend la personne

physique ou morale, l'association de fait ou l'administration

publique qui, seule ou conjointement avec d'autres,

détermine les finalités et les moyens du traitement

de données à caractère personnel.

Responsable de traitement

1.  Loyauté 2.  Finalité 3.  Proportionalité 4.  Exactitude des données 5.  Conservation non excessive 6.  Securité 7.  Confidentialité 8.  Finalité expliquée avant le consentement 9.  Information à la personne concernée 10.  Consentement indubitable (opt in) 11.  Déclaration à la commission de la vie privée

Responsabilités du responsable de traitement

Droits du consommateur

Droits du consommateur 6 PRINCIPES:

1.  Droit d’accès 2.  Droit de rectification 3.  Droit de refuser le

marketing direct 4.  Droit de retrait 5.  Droit à la sécurité 6.  Acceptation

préalable

Utilité du registre public

Données reçues et transférées

Informations sensibles

Informations sensibles • Race

• Opinions politiques

• Opinions religieuses ou philosophiques

• Inscriptions syndicales

• Comportement sexuel

• Santé

• Décisions judiciaires

Coockies

Transferts de données transfrontaliers

Sécurité

Que dois-je faire?

Sécurité imposée par la loi

•  Sécurité organisationnelle – Département sécurité – Consultant en sécurité – Procédure de sécurité – Disaster recovery

Sécurité imposée par la loi

•  Sécurité technique – Risk analysis – Back-up – Procédure contre incendie, vol,

etc. – Sécurisation de l’accès au réseau

IT – Système d’authentification

(identity management) – Loggin and password efficaces

Sécurité imposée par la loi

•  Sécurité juridique – Contrats d’emplois et information – Contrats avec les sous-contractants – Code de conduite – Contrôle des employés – Respect complet de la réglementation

Contrôle des employés : équilibré

•  Protection de la vie privée des travailleurs

ET •  Les prérogatives de

l’employeur tendant à garantir le bon déroulement du travail

Convention collective

Principe de finalité (4 finalités)

Principe de proportionnalité Procédure (information collective et individuelle)

Individualisation (procédure directe et indirecte)

Les 4 finalités

1.  Prévention de faits illégaux, de faits contraires aux bonnes mœurs ou susceptibles de porter atteinte à la dignité d’autrui

2.  La protection des intérêts économiques, commerciaux et financiers de l’entreprise auxquels est attaché un caractère de confidentialité ainsi que la lutte contre les pratiques contraires

Les 4 finalités

3 La sécurité et/ou le fonctionnement technique de l’ensemble des systèmes informatiques en réseau de l’entreprise, en ce compris le contrôle des coûts y afférents, ainsi que la protection physique des installations de l’entreprise

4 Le respect de bonne foi des principes et règles d’utilisation des technologies en réseau fixés dans l’entreprise

Securité: à retenir

•  Top down •  Obligation légale •  Risque ou opportunité? •  Sécurité juridique •  Sécurité organisationelle •  Sécurité informatique •  Contrôle des employés

COMMENT IMPLEMENTER LA LOI?

Méthodologie

http://www.sunera.com/typo3temp/pics/f43202fdda.jpg

Procédure et méthodologie •  Décision stratégique à haut niveau •  Réflexion et décision quant à la procédure de mise en place et ses

implications en terme d’organisation et en particulier: –  Change management –  Identity management –  Security management

•  Désignation d’un chef de projet interne •  Analyse et adaptation des procédures de collecte de données •  Analyse et adaptation des bases de données existantes •  Régler la situation actuelle •  Établissement de règles pour le futur •  Procédures de contrôle et d’audit

Aspects stratégiques

Il faut gagner la confiance des consommateurs •  Le respect de la vie privée peut être un incitant à

repenser l’organisation •  L’obligation légale de sécurité peut être un moyen

de penser une sécurité globale •  Le respect de la vie privée est un excellent outil

marketing à partir du moment où la loi n’est pas encore respectée.

Alors quand vous pensez à vos données vous êtes?

Ou plutôt?

La mise en place des règles légales de protection de la vie privée des

citoyens est et sera une excellente opportunité de

communication pour les organismes qui seront les

premiers à les installer

UP TO YOU…

Jacques Folon

www.jitm.be

jfo@jitm.be

+ 32 475 98 21 15 +32 2 290 53 17

Just in Time Management Avenue Louise 149/24, 1050 Bruxelles

I