Le RGPD, expliqué simplement

Donnée personnelle

RGPD, art. 4

Toute information qui permet d’identifier une personne, directement ou indirectement.

ExempleUn nom, un e-mail, une adresse IP, un numéro de client, une photo.

Donnée sensible

RGPD, art. 9

Une donnée très intime ou à risque, protégée plus fortement par la loi.

ExempleUn état de santé, une opinion politique, une religion, une donnée biométrique.

Chez L’Hermione Data : Offre dédiée aux données de santé.

Traitement

RGPD, art. 4

Toute opération réalisée avec des données : les collecter, les stocker, les envoyer, les consulter ou les supprimer.

ExempleEnvoyer une newsletter, gérer la paie, enregistrer un dossier patient.

Responsable de traitement

RGPD, art. 4 et 24

L’organisation qui décide pourquoi et comment les données sont utilisées. Elle reste responsable, même si elle se fait accompagner.

ExempleUne entreprise, vis-à-vis des données de ses clients et de ses salariés.

Fiche de traitement et registre

RGPD, art. 30

La liste de tous les traitements de l’organisation. Chaque fiche décrit un traitement : pourquoi, quelles données, qui y accède, combien de temps.

ExempleUne fiche « Gestion de la paie », une fiche « Newsletter ».

Chez L’Hermione Data : Registre dès « Mise à flot ».

Politique de confidentialité

RGPD, art. 12 à 14

Le document qui explique aux personnes ce qui est fait de leurs données et comment exercer leurs droits.

ExempleLa page « Politique de confidentialité » d’un site internet.

Chez L’Hermione Data : Incluse dès « Mise à flot ».

Cartographie des risques

Méthode de conformité

Un état des lieux des données utilisées et des risques qui y sont liés.

ExempleRepérer que des données clients sont stockées sur un ordinateur non protégé.

Chez L’Hermione Data : Dès le Diagnostique.

Plan de remédiation

Méthode de conformité

La liste des actions à mener pour corriger les écarts, classées par priorité.

ExempleMettre à jour la politique de confidentialité, puis revoir les contrats avec les prestataires.

Chez L’Hermione Data : Dès le Diagnostique.

Droits des personnes

RGPD, art. 15 à 22

Les droits dont dispose toute personne sur ses données : y accéder, les corriger, les faire effacer, s’opposer à leur usage, les récupérer. Une demande d’exercice de droits est la requête d’une personne qui souhaite en faire usage.

ExempleUn client demande la suppression de son compte et de ses données.

Chez L’Hermione Data : Procédure dès « Mise à flot », demandes traitées dans les abonnements.

CNIL

Autorité de contrôle française

L’autorité française qui contrôle l’application du RGPD, conseille et peut sanctionner.

ExempleElle reçoit les plaintes, effectue des contrôles et publie des sanctions.

DPO (délégué à la protection des données)

RGPD, art. 37 à 39

La personne qui conseille et vérifie que l’organisation respecte le RGPD. Il peut être interne ou externe.

ExempleIl répond aux questions des équipes, suit les demandes de droits et alerte en cas de risque.

Chez L’Hermione Data : DPO externalisé, désignation CNIL incluse dans Maintenir le cap et Pilote automatique.

AIPD (analyse d’impact)

RGPD, art. 35

Une analyse menée avant de lancer un traitement à risque élevé, pour mesurer les dangers pour les personnes et décider des protections à prévoir.

ExempleUn hôpital qui met en place un nouveau dossier patient en ligne.

Chez L’Hermione Data : Réalisée dès « Cap sur la conformité ».

Violation de données

RGPD, art. 33 et 34

Un incident qui expose des données : perte, vol, piratage, envoi à la mauvaise personne. Elle doit être notifiée à la CNIL dans les 72 heures lorsqu’elle présente un risque.

ExempleUn e-mail contenant des données de clients envoyé par erreur à un tiers.

Chez L’Hermione Data : Procédure dès « Mise à flot ».

Sous-traitant

RGPD, art. 28

Un prestataire qui utilise des données pour le compte d’une organisation. Un contrat est obligatoire.

ExempleUn hébergeur de site, un logiciel de paie, un outil d’e-mailing.

Chez L’Hermione Data : Revue dans « Prendre le large ».

Transfert hors UE

RGPD, art. 44 et suivants

L’envoi de données vers un pays situé hors de l’Espace économique européen, qui doit être encadré.

ExempleUtiliser un outil dont les serveurs sont situés aux États-Unis.

Chez L’Hermione Data : Analyse dans « Prendre le large ».

HDS (hébergeur de données de santé)

Code de la santé publique, art. L.1111-8

Une certification obligatoire pour les hébergeurs qui stockent des données de santé.

ExempleUn logiciel de dossier patient hébergé en ligne.

Chez L’Hermione Data : Accompagnement sur devis.

ISO 27001

Norme internationale

Une norme internationale qui atteste d’une gestion sérieuse de la sécurité de l’information. La certification est volontaire.

ExempleUn prestataire certifié rassure ses clients sur sa sécurité.

Chez L’Hermione Data : Accompagnement sur devis.