⚠️

GDPR Checklist

Recenser et qualifier les données

Mettre en place un registre de traitements de données identifiées. L’entreprises étant garante des données personnelles, elle doit garantir que les données :

sont nécessaires à l’activité de l’entreprise.
ne sont pas « sensibles » (liste des données sensibles recensées par la CNIL)
ne sont pas conservées au-delà de ce qui est nécessaire.
ne sont accessibles que par les personnes ayant été habilitées.

www.cnil.fr

Canva Registre de traitements de la CNIL

Désigner un responsable de traitement (et l'afficher dans l'organigramme) : personne physique ou morale qui détermine les finalités et les moyens du traitement des données. Ce responsable va en outre porter la responsabilité légale de ce traitement.

🤔

Fortement recommandé par la CNIL, la désignation du DPO n’est obligatoire que pour les entreprises qui 1) réalisent un suivi régulier et systématique des personnes (géolocalisation, badges, ...), 2) traitent des données dites « sensibles » ou relatives à des condamnations pénales et infractions.

Opérationnaliser le registre de traitements

Informer les cibles de leurs droits lors de la collecte de donnée (exemple : paragraphe explicatif dédié sur les supports de collecte).

L’objectif poursuivi
Le fondement juridique autorisant le traitement des données
Le destinataire ayant accès aux données
La durée de conservation de ces données

Exemples de formulaire de collecte de données à caractère personnel

Exemple 1 : Si vous souhaitez faire apparaître toutes les mentions minimales d'information sur le support de collecte Les informations recueillies sur ce formulaire sont enregistrées dans un fichier informatisé par [identité et coordonnées du responsable de traitement] pour [finalités du traitement]. La base légale du traitement est [base légale du traitement].

www.cnil.fr

Exemples de formulaire de collecte de données à caractère personnel

RGPD : exemples de mentions d'information

Pour vous aider à informer les personnes dans des conditions conformes au RGPD, voici quelques exemples pratiques de mentions d'information, basés sur une entreprise fictive ABCD. Il s'agit d'illustrations de base, à adapter ou compléter, et non de modèles de mentions valables dans toutes les hypothèses. Cette page sera progressivement enrichie de nouveaux exemples.

www.cnil.fr

RGPD : exemples de mentions d'information

Obtenir une preuve du consentement des cibles concernant la collecte de leurs données (marketing : opt-in, sales : clause du contrat, collaborateurs : via le règlement intérieur de l’entreprise, une note de service, le contrat de travail du salarié, ou encore le livret d’accueil remis à chaque nouveau salarié.)

Permettre aux cibles d’exercer facilement leurs droits à la consultation, modification, suppression (exemple : mise en place d'un email RGPD@XXXX.fr ).

Gérer la conservation et l'archivage des données.

www.cnil.fr

Sécuriser vos données

L’entreprise doit garantir la sécurité du patrimoine de données personnelles qu’elle détient.

S'assurer que les outils / fournisseurs sont GDPR Compliant.

Sous-traitance : Exemple de clauses

situé à [...] et représenté par [...] (ci-après, " le responsable de traitement ") d'une part, ET [...], situé à [...] et représenté par [...] (ci-après," le sous-traitant " ) d'autre part, Les présentes clauses ont pour objet de définir les conditions dans lesquelles le sous-traitant s'engage à effectuer pour le compte du responsable de traitement les opérations de traitement de données à caractère personnel définies ci-après.

www.cnil.fr