MAI 2018 : Conformité et autres obligations du RGPD

[daneel]

Pour info, quelques captures d'écran de l'extension com_privacy, le composant natif dans joomla 3.9







source : https://www.joomlashack.com/blog/tutorials/gdpr/

[daneel]

Bonjour,

Pour info, Joomlart vient de publier la version stable de son composant GDPR

https://www.joomlart.com/blog/ja-joomla-gdpr-extension-stable-released-with-13-popular-3rd-party-extensions-support

Si l'extension est gratuite (téléchargeable après identification), les addons sont uniquement pour les abonnés de JoomlArt, JomSocial, Gavick, JoomlaBamboo et ijoomla.

https://member.joomlart.com/downloads/joomlart/gdpr/gdpr-plugins-for-3rd-party-extensions

Dans les addons, on retrouve la plupart des extensions connus : AcyMailing, Adagency, Community Builder, EasyBlog, EasyDiscuss, J2Store, Guru, K2, JomSocial, Publisher, RSForm, Virtuemart, EasySocial, Kunena

Personnellement, j'ai choisi de tester et valider celui de storejextensions (pour être prêt pour le 25 mai) car je n'ai aucun intérêt à prendre une licence chez un autre concepteur de template.
Et payer 89$ pour les addons, je trouve cela un peu excessif sachant que Joomla fait tout pour intégrer nativement dans joomla 3.9

Si quelqu'un a testé le composant de joomlart, n'hésitez pas à partager votre expérience

Yann

[porcini]

ok merci Yann pour ces précisions...

Tu peux vérifier le bouton de validation dans ton formulaire. Dans la configuration de l'extension gdpr, tu précisera le selecteur css.
Par défaut : input[type=submit],button[type=submit],button[type=button]

Concernant le formulaire en ajax j'ai essayé plusieurs manipulations et ça ne passe pas, j'ai contacté le développeur et il m'a confirmé (après avoir essayé lui aussi de son côté) que son composant est compatible à 90%, apparemment mon module (Ajax Contact) fait partie des 10% des solutions incompatibles... sur le forum du développeur j'ai pu lire que JSN UniForm (Joomlashine) est lui aussi incompatible...

[daneel]

Bonjour Lorenzo,

Apparemment, la version fr n'est disponible uniquement après achat.
Tu peux vérifier le bouton de validation dans ton formulaire. Dans la configuration de l'extension gdpr, tu précisera le selecteur css.
Par défaut : input[type=submit],button[type=submit],button[type=button]

Je confirme les propos de Xavier, il est plutôt réussi.
L'export des infos, le consentement, la suppression de compte... Je crois que cela couvre assez bien le sujet.

A vous de voir ou attendre l'alternative de joomlart et ce qui sera proposé nativement par Joomla dans la version 3.9

[porcini]

Bonsoir Xavier,
j'ai essayé moi-même le composant qui est très complet, seul hic, les formulaires en ajax qui n'arrivent pas à intercepter le bouton d'approbation avant d'envoyer le formulaire... bref pour l'instant ce composant n'a pas de rivaux vu le nombre d'options qu'il offre, attendons de voir ce que proposera le composant de Joomlart...

Histoire que cela soit agréable, j'ai même traduit le composant complètement en français (dispo sur leur site maintenant).

...au fait, ta traduction en fr elle se trouve où, tu peux mettre le lien? merci en tout cas pour le travail effectué

Lorenzo

[chabi01]

Merci de ta réponse jfque
Il me semblait aussi, mais cela reste tellement flou au niveau des obligations de chacun... Imaginons que le client ignore complètement les alertes envoyées et qu'une personne se plaigne dans quelques mois, il est indiqué que le client autant que le prestataire sont responsables... Du coup, pour ceux qui joue la montre, cela peut se retourner contre le webmaster non ?
Xavier

[jfque]

Je comprends qu'il y a des profiteurs un peu partout, mais à mon sens il n'y a aucune raison de faire cela gratuitement. Il ne s'agit pas de maintenance "normale", mais d'une nouvelles réglementation (dont on parle depuis plus d'un an, donc pas de raison de se bouger à la dernière semaine !) et c'est le propriétaire du site qui est le responsable du traitement. C'est donc à lui de vous commander la mise en conformité (éventuellement suivant vos conseils), mais il n'y a pas de raison de travailler gratuitement.

Le texte de la CNIL veut dire qu'à partir du 25 mai, les nouvelles applications ou nouveaux développement devront intégrer la notion de "security by design", ce que, par exemple, devrait être le cas avec la prochaine version de Joomla! actuellement en préparation.

[chabi01]

Hello !
Bon, je viens épisodiquement maintenant sur le forum (je n'ai plus aucune notification de réponses aux fils auxquels je participe, du coup, très compliqué de suivre !!).
Une petite question me taraude !
Je viens d'éplucher le "guide du sous traitant" de la CNIL pour le RGPD que vous pouvez récupérer ici : https://www.cnil.fr/sites/default/fi...itant-cnil.pdf
Page 6, Point 2 "La prise en compte des principes de protections des données dès la conception".

Si vous lisez le texte, vous pouvez voir alors écrit
"...
Vous devez offrir à vos clients les garanties nécessaires afin que le traitement que vous mettez en œuvre pour leur compte réponde aux exigences du règlement européen et protège les droits des personnes concernées. Cela signifie notamment que :
- dès leur conception, vos outils, produits, applications ou services que vous offrez à vos clients, intègrent de façon effective les principes relatifs à la protection des données et
- par défaut, vos outils, produits, applications ou services garantissent que seules sont traitées les données nécessaires à la finalité du traitement au regard de la quantité de données collectées, de l’étendue de leur traitement, de la durée de conservation et du nombre de personnes qui y a accès.
..."

Ma question est alors très simple : pour tous les sites déjà développés pour des clients, il faut intégrer un nouveau composant GDPR et modifier le site du client gratuitement ???

Ou simplement l'avertir du fait qu'il faut qu'il modifie (ou vous fasse modifier) le site ??

Pourquoi cette question ? J'ai un client, qui a un contrat de maintenance (visant à faire les backups tous les jours, maintenir le site à jour (compo, core, etc..), protéger le site des attaques, etc.. qui tentent de me faire entendre que dans ce cadre, il faut que la mise au norme RGPD du site soit réalisée à l'oeil...

Du coup, avec ce texte, j'ai un doute...
Xavier

[manu93fr]

Merci Xavier, très intéressant tout ça !

[Five_Phil]

Merci chabi01, daneel avait déjà donné l'info de cette extension, pour ma part je préférer attendre un peu, même si j'ai déjà mis en place cette preuve de consentement, du moins pour les inscriptions.
Côté Joomla! les dev avance à voir cette info

[chabi01]

Bonjour à tous,
Je travaille sur la mise en conformité de mes sites clients depuis plusieurs jours.
La problématique n'est pas tant d'avoir une bannière avec les 2 boutons mais la "notion de preuve". En effet, en cas de contrôle (la CNIL a annoncé qu'elle allait faire des contrôles de conformité des sites à distance...on peut déjà raisonnablement considérer que tous les sites en "fr" vont y passer), il faut être en mesure de fournir la preuve individuelle que la personne a consenti à ce que l'on utilise ses données personnelles.
Arrive alors une problématique très simple : la personne s'inscrit sur votre site puis se désinscrit 6 mois plus tard puis se réinscrit un peu plus tard... Il faut être en mesure de garder les traces de tout cela pour éviter les soucis (même si l'on peut garder uniquement la trace du dernier consentement). A tout ceci s'ajoute le "droit à l'oubli" qui fait que la personne peut très bien demander à complètement disparaitre de vos bases de données.
Ajoutons maintenant le cas des entreprises qui travaillent avec des prospects en emailing et qui ont des listes (disons dans Acymailing où les personnes sont dans 25 listes différentes... L'obligation de consentement "précis" (sans flou du type "à nos emails commerciaux" mais de manière très claire, du genre à la liste "xxx" et la liste "yyy") va obliger les sociétés à être très précises. Cela a un bon côté mais peut rapidement tourner au cauchemar si M. et Mme CNIL viennent toquer chez vous en vous demandant la preuve que M. Dupont a bien accepté de recevoir la lettre d'info XXX, il va falloir être bien organisé...

Tout ça pour dire que cela ne va pas être si "simple" : ajouter un champ Joomla ou une case à cocher dans un formulaire ne va pas forcément résoudre la gestion complète du suivi et de "la preuve".

Si cela peut aider certains, j'ai testé ces 3 derniers jours une extensions de Jextensions : https://storejextensions.org/extensions/gdpr.html
Histoire que cela soit agréable, j'ai même traduit le composant complètement en français (dispo sur leur site maintenant).

L'intérêt de cette extension est de centraliser les refus et consentement sur les cookies et la politique de confidentialité en faisant le lien avec tous types d'extensions (formulaires, com_user, etc...) mais également avec des compos "exotiques" n'utilisant pas l'API Joomla!... Et c'est là que cela devient intéressant ! La personne a un compte Joomla sur un site : le compo va logguer et mémoriser tous ses choix sur les cookies (y compris les cookies tiers), elle envoie un formulaire -> l'extension est lié et va gérer les accord pour le formulaire (case à cocher qui va s'ajouter au formulaire) et les journaliser. Autre point d'importance, le développeur a intégré la possibilité d'intercepter des actions pour bloquer un processus en cas de refus (exemple : le bouton "valider" d'un formulaire).

Accessoirement, John est très présent pour aider à configurer le bouzin pour des réglages un peu "tricky", mais dans la langue de Shakespeare...
Voilà Si cela peut en intéresser certains, c'est un simple retour d'expérience sur une mise en place concrète (et pas de la pub, ne vous méprenez pas !).
Bonne fin de journée à tous !
Chabi01/Xavier

[blueberry38]

Bonjour, je commence à y voir un peu plus clair....
Il me reste un point que je ne comprends pas.Qui doit chiffrer/anonymiser les données ? Joomla ? les programmes ? le webmaster ? l'hébergeur ?
C'est une discussion que j'ai sur le site de crosstec, auteur de breezing form qui m'a répondu

"this is a broad misconception.
You can still access the data as usual but you have to make sure that the transport is encrypted (SSL) and that the access to data (e.g. mysql on en encrypted filesystem, password and SSL for phpmyadmin, etc) is secured.

You do NOT have to encrypt the data itself.

This is not the task of the CMS you are using but for your hosting company or your admins.

As for form-data itself: you are only allowed to collect data that you really need for the job, not more not less. So as long as you can argue you need need this or that particular piece of data for your business, it will be ok."
Merci

[blueberry38]

Oui, la plupart des composants gèrent la suppression des données (Breezing form et contenbuilder). c'est plus compliqué pour les comptes users joomla . Je n'ai trouvé que le plugin delete my account. Ce sera bien de l'inclure dans joomla .
Et quid du chiffrement ? Je crois que php 7.2 utilise une librairie. Mais qui la met en œuvre ? et comment ?
J'ai déjà mis en oeuvre un SSL sur monsite, via mon hébergeur mais il va falloir aller plus loin, je pense
Merci

[Five_Phil]

Bonjour,
une solution peut être ?

https://www.rsjoomla.com/blog/view/433-create-gdpr-compliant-forms-in-joomla-with-rsformpro.html

[blueberry38]

Bonjour, ne faudrait-il pas déjà crypter et compléter la fiche contact et la fiche création de compte ? Si ce n'est pas natif dans joomla, y a t il un moyen simple , sachant que parfois des applications tierces (breezing form , content builder) générent et/ou utilisent des données personnelles ?
merci