Privacy Ptitdej Jitm Decembre 2008 V2
-
Upload
esc-rennes-school-of-business -
Category
Education
-
view
460 -
download
2
Transcript of Privacy Ptitdej Jitm Decembre 2008 V2
Êtes-vous prêt à assumer les risques de données sensibles peu protégées, d'une sécurité informatique insuffisante et du
non-respect des lois sur la vie privée?
Bruxelles, le 17 décembre2008
Introduction Définitions importantes Contexte actuel Responsabilités du responsable de traitement Droits du consommateur Transfert de données vers et en provenance de tiers Quelques aspects particuliers
La sécurité Contrôle des employés Comment implémenter la loi? Conclusion
Sujets abordés
AVANT
Ce que vous croyez
En réalité…
Where are your data?
Tout le monde se parle !
Source : https://www.britestream.com/difference.html.
La transparence est devenue indispensable !
Comment faire pour protéger
vos données?
• 60% des citoyens européens se sentent concernés
• La découverte des vols de données se fait après-coup!
• La protection des données est un risque opérationnel => observé par les investisseurs
• La connaissance de ses clients est un atout (CRM)
La mise en conformité de la sécurité avec la protection de la vie privée est rentable
Quels sont les risques?
• Perte de réputation (procès, articles,…)
• Les médias en parlent systématiquement
• Vol de données de clients, d’employés, d’administrateurs, …
• Perte de confiance des clients
• Sanctions pénales et civiles
On en parlera !
Contexte juridique belge
Définitions importantes
3 importantes définitions
• Qu’est-ce qu’une donnée personnelle? • Qu’est-ce qu’un traitement? • Qu’est-ce qu’un responsable de traitement?
On entend par "données à caractère personnel"
toute information concernant une personne physique identifiée
ou identifiable, désignée ci-après "personne concernée";
est réputée identifiable une personne qui peut être identifiée,
directement ou indirectement, notamment par référence
à un numéro d'identification ou à un ou plusieurs éléments
spécifiques, propres à son identité physique, physiologique,
psychique, économique, culturelle ou sociale
Donnée personnelle
Par "traitement", on entend toute opération ou ensemble
d'opérations effectuées ou non à l'aide de procédés automatisés
et appliquées à des données à caractère personnel,
telles que la collecte, l'enregistrement, l'organisation,
la conservation, l'adaptation ou la modification, l'extraction,
la consultation, l'utilisation, la communication par transmission,
diffusion ou toute autre forme de mise à disposition,
le rapprochement ou l'interconnexion, ainsi que le verrouillage,
l'effacement ou la destruction de données à caractère personnel.
Traitement de données
Par "responsable du traitement", on entend la personne
physique ou morale, l'association de fait ou l'administration
publique qui, seule ou conjointement avec d'autres,
détermine les finalités et les moyens du traitement
de données à caractère personnel.
Responsable de traitement
1. Loyauté 2. Finalité 3. Proportionalité 4. Exactitude des données 5. Conservation non excessive 6. Securité 7. Confidentialité 8. Finalité expliquée avant le consentement 9. Information à la personne concernée 10. Consentement indubitable (opt in) 11. Déclaration à la commission de la vie privée
Responsabilités du responsable de traitement
Droits du consommateur
Droits du consommateur 6 PRINCIPES:
1. Droit d’accès 2. Droit de rectification 3. Droit de refuser le
marketing direct 4. Droit de retrait 5. Droit à la sécurité 6. Acceptation
préalable
Utilité du registre public
Données reçues et transférées
Informations sensibles
Informations sensibles • Race
• Opinions politiques
• Opinions religieuses ou philosophiques
• Inscriptions syndicales
• Comportement sexuel
• Santé
• Décisions judiciaires
Coockies
Transferts de données transfrontaliers
Sécurité
Que dois-je faire?
Sécurité imposée par la loi
• Sécurité organisationnelle – Département sécurité – Consultant en sécurité – Procédure de sécurité – Disaster recovery
Sécurité imposée par la loi
• Sécurité technique – Risk analysis – Back-up – Procédure contre incendie, vol,
etc. – Sécurisation de l’accès au réseau
IT – Système d’authentification
(identity management) – Loggin and password efficaces
Sécurité imposée par la loi
• Sécurité juridique – Contrats d’emplois et information – Contrats avec les sous-contractants – Code de conduite – Contrôle des employés – Respect complet de la réglementation
Contrôle des employés : équilibré
• Protection de la vie privée des travailleurs
ET • Les prérogatives de
l’employeur tendant à garantir le bon déroulement du travail
Convention collective
Principe de finalité (4 finalités)
Principe de proportionnalité Procédure (information collective et individuelle)
Individualisation (procédure directe et indirecte)
Les 4 finalités
1. Prévention de faits illégaux, de faits contraires aux bonnes mœurs ou susceptibles de porter atteinte à la dignité d’autrui
2. La protection des intérêts économiques, commerciaux et financiers de l’entreprise auxquels est attaché un caractère de confidentialité ainsi que la lutte contre les pratiques contraires
Les 4 finalités
3 La sécurité et/ou le fonctionnement technique de l’ensemble des systèmes informatiques en réseau de l’entreprise, en ce compris le contrôle des coûts y afférents, ainsi que la protection physique des installations de l’entreprise
4 Le respect de bonne foi des principes et règles d’utilisation des technologies en réseau fixés dans l’entreprise
Securité: à retenir
• Top down • Obligation légale • Risque ou opportunité? • Sécurité juridique • Sécurité organisationelle • Sécurité informatique • Contrôle des employés
COMMENT IMPLEMENTER LA LOI?
Méthodologie
http://www.sunera.com/typo3temp/pics/f43202fdda.jpg
Procédure et méthodologie • Décision stratégique à haut niveau • Réflexion et décision quant à la procédure de mise en place et ses
implications en terme d’organisation et en particulier: – Change management – Identity management – Security management
• Désignation d’un chef de projet interne • Analyse et adaptation des procédures de collecte de données • Analyse et adaptation des bases de données existantes • Régler la situation actuelle • Établissement de règles pour le futur • Procédures de contrôle et d’audit
Aspects stratégiques
Il faut gagner la confiance des consommateurs • Le respect de la vie privée peut être un incitant à
repenser l’organisation • L’obligation légale de sécurité peut être un moyen
de penser une sécurité globale • Le respect de la vie privée est un excellent outil
marketing à partir du moment où la loi n’est pas encore respectée.
Alors quand vous pensez à vos données vous êtes?
Ou plutôt?
La mise en place des règles légales de protection de la vie privée des
citoyens est et sera une excellente opportunité de
communication pour les organismes qui seront les
premiers à les installer
UP TO YOU…
Jacques Folon
www.jitm.be
+ 32 475 98 21 15 +32 2 290 53 17
Just in Time Management Avenue Louise 149/24, 1050 Bruxelles
I