Il y a deux ans (déjà !?!), je m’étais fait une étude assez succincte du RGPD. J’avais pu écrire :
«
Voici une synthèse des synthèses que j’ai pu potasser ces dernières semaines. J’ai largement interprété les textes et les termes pour les adapter à un chaton… en fait, je crois ne pas me tromper en disant qu’il s’agit encore d’un texte conçu pour des très grosses structures et donc mal adaptable, à des organismes volontairement petits comme le sont les chatons. Mais bon, soit…
Donc, dès le 25 mai 2018, le RGPD attribue aux hébergeurs un devoir de déclaration et d’information vis-à-vis des données qu’ils traitent ou stockent. Ainsi un chaton devra informer ses usagers le devenir des données qu’il détient. Notamment :
-
Pour tout nouveau contrat entre l’hébergeur et un usager, une clause concernant la protection des données doit être présente. Et si un contrat a déjà été rédigé, une telle clause doit faire l’objet d’un avenant au plus vite.
-
L’hébergeur doit désigner (en son sein, ou un tiers, ce n’est pas précisé) un « délégué à la protection des données ». Il doit le déclarer via https://www.cnil.fr/fr/designation-dpo. (Mais bon, c’est déclaratif… Ça me rappelle qu’il y a une époque, les années 90, où il fallait déclarer à la CNIL le moindre site web, c’est tombé en désuétude depuis plus de 15 ans, avec la multiplication monstrueuse des sites en ligne. Je vous parie que ça fera pareil avec le Délégué PO.)
-
L’hébergeur doit tenir un registre répertoriant toutes les manipulations qu’il a effectué concernant les données du client. (Pour un chaton qui ne fait rien d’autre que sauvegarder les données en question, il me semble que ça simplifie.)
Pour mémoire, voici ce que j’ai ajouté à notre futur contrat-type de maintenance informatique :
«
Article 6 : protection des données
Dans le cadre de la prestation, le prestataire sera amené à traiter les données à caractère personnel du client, ainsi que les données relatives à d’autres personnes néanmoins détenue par le client.
Conformément à son obligation de moyen, le prestataire s’assure que tout traitement des données s’effectue conformément à l’état de l’art.
Prénom Nom est désigné par le prestataire « délégué à la protection des données ». Un délégué à la protection des données a notamment pour fonction, en matière de protection des données :
- d’informer et de conseiller le client, et notamment à l’aider à ne collecter que le minimum de données ;
- de contrôler le respect du règlement et du droit national ;
- de coopérer avec les autorités de contrôle.
Le prestataire tient un registre répertoriant toutes les manipulations qu’il a effectué concernant les données du client.
Enfin, il convient de remarquer que l’usage quasiment exclusif des logiciels libres par le prestataire constitue par nature une bonne pratique reconnue par les véritables experts en sécurité informatique.
» »
Voilà. Je ne prétends pas du tout du tout avoir tout compris au RGPD, c’est pourquoi je suis avide des remarques d’autres chatons.
