✅ C3.1.3 — Mise en conformité RGPD en entreprise

Accroche (10 min)

En 2023, une PME de 40 salariés a envoyé par erreur un fichier Excel contenant noms, salaires et numéros de sécurité sociale à 50 clients externes. Résultat : mise en demeure CNIL, procédure administrative, notification individuelle aux 40 salariés, coût total estimé à 25 000 € (honoraires d'avocat, audits, mesures correctives). Cet exemple illustre concrètement que les conséquences d'une fuite dépassent largement l'atteinte à la vie privée.

Section 1 — Cartographie des traitements et DPIA (~50 min)

Cartographie des traitements

La cartographie est un outil opérationnel (orienté flux) permettant de visualiser comment les données circulent dans l'organisation et d'identifier les points de risque. Elle s'obtient par des entretiens avec les métiers (RH, commercial, IT, direction) pour collecter :

• Finalités des activités et données manipulées
• Outils utilisés (CRM, ERP, messagerie, formulaires web)
• Modalités de stockage (serveurs locaux, NAS, cloud)
• Durées de conservation et transferts vers des prestataires externes

Différence avec le registre : la cartographie visualise les flux (utile pour l'analyse) ; le registre (Art. 30) formalise la conformité juridique (inventaire exhaustif, document de preuve).

DPIA — Analyse d'Impact relative à la Protection des Données (Art. 35)

La DPIA est obligatoire pour les traitements susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes. La CNIL publie une liste indicative de 12 situations types : surveillance systématique, données biométriques, profilage à grande échelle, données de santé…

Méthode PIA simplifiée (5 étapes)

1. Description du traitement : finalité, données, personnes, acteurs, flux, supports, durée de conservation
2. Identification des risques : accès non autorisé, divulgation accidentelle, modification malveillante, conservation excessive, surveillance illicite…
3. Évaluation des risques : vraisemblance (1-4) × gravité (1-4) = niveau de risque → priorités d'action
4. Mesures pour réduire les risques : chiffrement, contrôle d'accès, journalisation, pseudonymisation, suppression automatique, formation du personnel, DPA avec sous-traitants
5. Validation et suivi : approbation DPO/responsable, plan de mise en œuvre, indicateurs, réévaluation périodique

Mesures techniques et organisationnelles

# Suppression automatique des enregistrements vidéo > 30 jours
find /var/recordings/cameras -type f -mtime +30 -exec rm -f {} \;

# Pseudonymisation : hachage d'un email avec un sel
echo -n "utilisateur@example.comMON_SEL_SECRET" | openssl dgst -sha256

# Chiffrement d'une archive de sauvegarde avec GPG (AES256)
tar czf - /chemin/donnees | gpg --symmetric --cipher-algo AES256 -o /backups/backup-$(date +%F).tar.gz.gpg

# Restriction SSH via pare-feu (iptables — illustratif)
iptables -A INPUT -p tcp -s 192.168.10.0/24 --dport 22 -m conntrack --ctstate NEW -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j DROP

Section 2 — Gestion des incidents et violations (~30 min)

Définition d'une violation de données

Atteinte à la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès aux données personnelles. Trois dimensions :

• Confidentialité : divulgation non autorisée (email mal envoyé, fuite externe)
• Intégrité : modification non souhaitée des données
• Disponibilité : perte ou chiffrement des données (ransomware)

Procédure de notification (Art. 33-34)

Contrat de sous-traitance (DPA — Data Processing Agreement)

Le DPA doit prévoir : description précise des traitements, mesures de sécurité techniques et organisationnelles, obligation d'informer en cas d'incident dans les 72h, conditions de sous-traitance auxiliaire, assistance pour l'exercice des droits, possibilité d'audit.

TP — DPIA Vidéosurveillance + Procédure de notification (90 min)

Scénario : InnovatTech installe 4 caméras (entrée + espaces techniques) avec enregistrement 30 jours sur NAS. Le DRH souhaite aussi déployer une géolocalisation des véhicules de fonction.

Mission 1 — DPIA vidéosurveillance (60 min)

Réaliser la DPIA simplifiée en 5 étapes. Identifier ≥3 risques, évaluer vraisemblance (1-4) × gravité (1-4), proposer ≥2 mesures par risque.

Mission 2 — Analyse géolocalisation (15 min)

Déterminer si la géolocalisation des véhicules nécessite une DPIA. Considérer : suivi systématique, possibilité de profilage des déplacements, contexte employeur/employé, durée de conservation, information préalable des employés.

Mission 3 — Procédure de notification d'incident (15 min)

Rédiger une procédure en 6 étapes (détection → clôture), incluant un modèle de notification CNIL avec les éléments obligatoires.

# Pseudonymisation illustrative (Python) — HMAC-SHA256
import hashlib, hmac
email = 'employe@innovattech.local'
sel = b'MON_SEL_SECRET'
hashed = hmac.new(sel, email.encode('utf-8'), hashlib.sha256).hexdigest()
print(hashed)

Synthèse (10 min)

Question : Quelle est la différence entre pseudonymisation et anonymisation ? Donnez un exemple concret pour chacune en utilisant des données d'employés (nom, email, salaire).

Réponse : La pseudonymisation maintient la possibilité de réidentification (sel + hash) → donnée reste personnelle. L'anonymisation est irréversible (k-anonymat, agrégation en tranches) → donnée sort du champ RGPD.