Poste
Protection des données
Que ne savez-vous pas de vos données personnelles avant que quelqu'un ne dépose une demande d'effacement ? En général dans combien d'endroits ces données se trouvent, et que le registre des activités de traitement n'en décrit qu'une partie.
Entretien préalable
Quatre questions par lesquelles nous commencerions
Que ne savez-vous pas de l'endroit où sont les données avant qu'une demande n'arrive ?
Si répondre à « où sont les données de cette personne ? » veut dire appeler cinq services, le délai légal est un risque à chaque demande.
À quelle vitesse apprenez-vous une violation ?
Le règlement donne soixante-douze heures à compter de la prise de connaissance. La question est de savoir combien de temps passe entre l'événement et la prise de connaissance.
Qui remarque le premier qu'un service a commencé à collecter de nouvelles données ?
Si personne ne le remarque, le registre des activités décrit l'état de l'an dernier et non l'actuel.
Que se passe-t-il quand un prestataire traite des données sans contrat de sous-traitance ?
Si quelqu'un le détecte à la signature du contrat ou seulement lors d'une revue.
Nous prenons le registre et les délais, vous gardez le jugement et les décisions
Tenir le registre, traiter les demandes, surveiller les délais et superviser les sous-traitants peuvent être retirés du bureau. Juger s'il y a eu violation et s'il faut la notifier reste au délégué.
- Le registre de traitement vit avec les processus. - Un nouveau processus ou un nouveau système s'annonce comme une activité à décrire, au lieu d'attendre la revue annuelle.
- Une demande d'une personne concernée a son délai surveillé. - De la réception à la réponse, avec un récapitulatif des endroits où apparaissent les données de cette personne.
- Un contrat de sous-traitance est une condition, pas une formalité. - Un prestataire qui traite des données sans contrat est signalé avant le début du travail, pas après.
Périmètre
Ce qui peut être retiré de la protection des données
Vingt-deux tâches à titre d'exemple. Chacune a un point de validation humaine. Ci-dessous une sélection ; le périmètre, nous l'ajustons à vos processus.
Le registre de traitement
- Un registre des activités avec la finalité, la base légale et les catégories de données
- Lier une activité à des systèmes et à des services
- Un signal quand un nouveau système n'a pas d'activité rattachée
- Une revue des activités inchangées depuis longtemps
- Signalement des activités sans durée de conservation indiquée
Bases légales et consentements
- Un registre des bases légales par activité
- Une trace des consentements avec la date et l'étendue
- Un signal quand un consentement est retiré et ce qui en découle
- Signalement des activités fondées sur le consentement là où une autre base est possible (appréciation : le délégué)
Demandes des personnes concernées
- Une seule voie de réception d'une demande
- Un récapitulatif des endroits où apparaissent les données d'une personne
- Surveillance du délai légal
- Un projet de réponse (validation : le délégué)
- Un registre des demandes avec le type et la suite donnée
Incidents et violations
- Une seule voie de signalement d'incident depuis n'importe quel service
- Réunir les faits nécessaires à l'appréciation
- Compter le délai à partir de la prise de connaissance de la violation
- Une appréciation et une recommandation sur le caractère notifiable (recommandation : le délégué, décision : le responsable de traitement)
Contrats de sous-traitance
- Un registre des sous-traitants
- Un signal quand un prestataire traite des données sans contrat
- Une revue de l'étendue du contrat au regard du traitement réel
- Dates et modifications des contrats de sous-traitance
Une journée de travail
Aujourd'hui
- Vous mettez à jour le registre de traitement une fois par an, en interrogeant les services
- Vous apprenez l'existence d'un nouveau système quand il tourne déjà
- Devant une demande, vous appelez les services pour chercher les données
- Vous surveillez le délai légal dans un agenda
- Vous apprenez un incident par quelqu'un qui en a entendu parler
- Vous établissez quels prestataires traitent des données lors d'une revue
Avec l'assistance de l'IA
- Un nouveau système ou processus s'annonce comme une activité à décrire
- Le registre montre les activités sans base légale ou sans conservation
- Devant une demande, vous voyez un récapitulatif des endroits où apparaissent les données
- Le délai est compté et rappelé
- Un incident a une seule voie de signalement depuis n'importe quel service
- Un prestataire sans contrat de sous-traitance est signalé avant le début
- Un registre complet
le registre décrit l'état actuel et non celui de l'an dernier
les nouveaux systèmes et processus s'annoncent d'eux-mêmes
- Délai de traitement d'une demande
moins de demandes traitées au bord du délai
les endroits où apparaissent les données sont récapitulés
- Détection des violations
moins de temps entre l'événement et la prise de connaissance
signaler un incident a une seule voie
- Maîtrise des sous-traitants
moins de prestataires traitant des données sans contrat
un contrat manquant est signalé avant le début
Nous commençons par le registre de traitement, parce que toutes les autres obligations reposent dessus.
- Étape 1
Un registre lié aux systèmes et aux services
Activités, bases légales, conservation, systèmes. Les manques deviennent visibles comme des manques.
- Étape 2
Traitement des demandes avec le délai
Une seule voie, un récapitulatif de l'endroit où sont les données, le délai surveillé.
- Étape 3
Incidents
Signalement depuis n'importe quel service, réunion des faits, décompte du délai.
- Étape 4
Sous-traitants
Un registre des sous-traitants et des signaux sur les manques. En dernier, parce que cela exige le registre de l'étape 1.
Questions fréquentes
Les questions qui reviennent à la première réunion
Qui répond de l'appréciation d'une violation ?
Il vaut la peine de séparer deux choses, parce que les confondre se repère souvent lors d'un contrôle. Une violation est notifiée par le responsable de traitement, c'est-à-dire votre organisation, de même que c'est le responsable qui tient le registre de traitement. Le délégué conseille, contrôle et prépare l'appréciation, mais il ne décide pas à la place du responsable ; le lui attribuer entrerait d'ailleurs en conflit avec sa fonction. Le système réunit les faits, compte le délai et rappelle ; la recommandation appartient au délégué, la décision au responsable.
Le délégué devient-il moins nécessaire ?
La fonction du délégué est établie par le règlement et consiste à conseiller et à contrôler : cela ne se transfère pas à un outil et nous n'essayons pas. Nous prenons la tenue du registre, la surveillance des délais et la réunion des données pour les demandes. Un délégué qui ne fait pas cela à la main cesse d'être une fonction formelle et commence à voir ce qui arrive réellement aux données.
Cela relève-t-il du règlement sur l'IA ?
Soutenir le délégué n'est pas un usage à haut risque, mais le domaine porte sur des données personnelles par nature, donc nous menons le projet selon le principe de minimisation : l'outil voit des métadonnées sur les activités et les systèmes, et l'accès aux données personnelles elles-mêmes se limite à ce qui est nécessaire au traitement d'une demande précise.
Une question qui ne figure pas ici ? Réservez un appel
Étape suivante
Combien de temps vous faudrait-il aujourd'hui pour désigner tous les endroits qui détiennent les données d'une personne ?
Nous vous montrerons à quoi ressemble la protection des données quand le registre vit avec les processus et que le délai d'une demande est surveillé.