Assurer la sécurité des données

Il incombe au responsable du traitement et au sous-traitant de mettre en oeuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque. Le guide de la CNIL comporte un questionnaire d'évaluation du niveau de sécurité des données personnelles qui permet, de façon simple, d'apprécier la maturité de l'entreprise quant aux enjeux de sécurité.

Parmi les nombreux aspects couverts par le guide de la CNIL, on peut citer :

- la sensibilisation des utilisateurs et la mise en place au sein de l'entreprise d'une charte informatique ;

- la création d'un identifiant unique par utilisateur et l'interdiction corrélative des comptes partagés ;

- le respect de la recommandation de la CNIL dans le cas d'une authentification par mot de passe ;

- la journalisation des accès ;

- l'identification des violations de données à caractère personnel et leur notification à la CNIL, voire aux personnes concernées ;

- la gestion des sous-traitants en s'assurant que ceux-ci présentent des garanties suffisantes et en documentant les moyens (audits de sécurité, visite des installations, etc.) permettant d'assurer l'effectivité des garanties offertes par le sous-traitant ;

- la contractualisation avec les sous-traitants, le contrat avec ceux-ci devant comprendre l'ensemble des mentions exigées par l'article 28 du règlement.