MAI 2018 : Conformité et autres obligations du RGPD

[lefabdu51]

[humeur]merci pour les infos, par contre le sujet me gonfles severe.et c est aussi un billet d'huleur dsl..[/humeur]
conclusion :
des contraintes, des contraintes, des contraintes....
Mais qui va payer?
Cela va entrainer une hausse des couts de conception non negligeables tout ca....
Faudras expliquer les 10 heures sup facturées en plus.
Deja que les francais sont des pinces, et qu'ils ont du mal a payer dans les delais..
Pour les petits clients, cela risque bien de les refroidir ces contraintes sup....
Sans compter les prerequis matériels...
Le cryptage, le stockage des données (qui peut monter jusqua 3 voir 5 voir 10 ans après la fin de la relation commerciale suivant les domaines de l entreprise) necessite des ressources....
une exemple: pour un site qui vends des abonnements a un service , les données concernant le client et la vente doivent etre conservées pendant 3ans après la fin de la relation commerciale avec le client.

Donc tu as plutot interet a avoir des sauvegardes de tes sauvegardes.
Et ce quelquesoit le volume de ventes....

Encore des bureaucrates sans reelle conscience.

Tout ca pour ne pas avoir a eduquer les masses et surtout avoir volontairement négligé leur education informatique pendant plus de 25 ans.
Et ce n est toujours pas a l'etude en plus...
Ou est l'education nationale.
1h de cours d info par semaine depuis le cp jusquen 3eme et ensuite prevoir un cursus informatique (filière pro) ou on montres que l'informatique n est pas que joomla, les jeux videos, les banques et le web.

A partir de Mai 2018, il faudra que tu soit inscrit préalablement en temps qu'autorité parentale et que tu donne ton accord lors de l'inscription de ta fille...

Ca changes quoi au probleme ?
rien du tout, tu les crois bete au point de ne pas savoir quoi mettre ?
Conclusion, encore un truc inutile, vu qu il n y a aucune surveillance de la part de la dite autorité parentale du surf de leur enfant, ce qui reste la methode de controle la plus efficace connue a ce jour.

daneel : ton module de connexion france-connect est disponible?
La cela va repondre a certaines demandes.
daneel: seconde question, pourquoi ennuyer les professionnels pour un truc que plus de 90% des gens ne lisent meme pas?
tu as combien de gens autour de toi qui prennes le temps de lire les cgu des sites qu ils visitent ?
Pour moi le noeud du probleme est la.... les gens ne lisent pas et ensuite se plaignent ....
Plein d affaires sur google et facebook concernait des sujets decris dans les cgu des dit sites depuis des années.

Ca fait dix ans que j ai lu les cgu de facebook, et c est pour ca que j'ai fuit ce reseau.
CGU = notices d'utilisation de la tv = un truc que personne ne lit sauf quand il est trop tard et qu on en as reelement besoin (et la on la retrouves pas cette notice......)
J y maintiens une presence minimum..

[daneel]

Pour info, La directive européenne e-sécurité qui sera active l'année prochaine fait l'objet d'avertissement de plusieurs services de monétisation.

En effet, Si votre site n'intégre pas un consentement préalable et conforme aux règles en vigueur, Google avertit actuellement par e-mail les éditeurs monétisant leurs sites depuis ses services AdSense, AdMob, DoubleClick for Publishers et DoubleClick Ad Exchange. Le non respect fera l'objet d'une rupture de contrat entrainant la désactivation des comptes.

Autant dire que ça fait bouger les choses !

Pour précision si vous utilisez une extensions tierce comme l'alerte cookies :

Ces solutions peuvent être configurées de différentes façons. Avec certaines, vous pouvez laisser vos utilisateurs choisir les types de cookies utilisés sur votre site. Par exemple, ils peuvent avoir l'option de bloquer les cookies publicitaires. Il est important de noter que de telles configurations ne contrôlent pas automatiquement les cookies sur votre site.

Ainsi, si vous utilisez des services publicitaires tiers tels que Google AdSense, vous devrez prendre des mesures pour intégrer la solution que vous préférez avec les balises publicitaires sur vos pages, afin de vous assurer que les préférences de vos utilisateurs sont respectées. Chaque fournisseur propose des instructions ou des services d'assistance dédiés. Si vous ne suivez pas ces étapes pour toutes les balises de vos pages, vous risquez d'induire vos utilisateurs en erreur : ils penseront désactiver les cookies publicitaires alors que ces derniers seront encore utilisés. Veillez donc à tester soigneusement la mise en œuvre de ces outils sur votre propre site.

source : http://www.cookiechoices.org/

[daneel]

Re : MAI 2018 : Conformité et autres obligations du RGPD

Merci pour toutes ces informations.

Juste un "détail": comment est-ce que l'on vérifie la case "mineurs" ?

Pascal

A partir de Mai 2018, il faudra que tu soit inscrit préalablement en temps qu'autorité parentale et que tu donne ton accord lors de l'inscription de ta fille... Perso, cela fait plusieurs mois (depuis novembre 2016) que j'ai travaillé le sujet notamment de l'authentification pour les collectivités (sous joomla également) avec les moyens de vérification tout à fait conforme (avec audit).

Les réseaux sociaux seront certainement les plus touchés par ces règles européennes donc cela va opérer des changements de mentalité et une véritable prise de conscience. A suivre !

[pmleconte]

Re : MAI 2018 : Conformité et autres obligations du RGPD

Merci pour toutes ces informations.

Juste un "détail": comment est-ce que l'on vérifie la case "mineurs" ?

j'ai vu ce matin ma fille de 14 ans qui s'est inscrite sur google + en mettant qu'elle avait entre 24 et 38 ans....bien qu'informaticien, avec des pc/téléphone un peu partout, je n'ai pas réussi à l'empêcher à la maison, alors, sur un site, on fait confiance ?

Pascal

[daneel]

Re : MAI 2018 : Conformité et autres obligations du RGPD

Celà fait partie des nouvelles règles européennes et cela entre en vigueur pour la France à partir du 25 mai 2018
(il n'y a pas de période d'essai, il faudra respecter ce règlement à partir de cette date!).

D'après ce que l'on peut comprendre... :

- Le consentement sera explicite. En théorie, une validation par une case à cocher suffit mais l'information sera crypté, daté et stocké de façon à éviter toute altération car l'entreprise doit être capable de prouver que l'utilisateur a bien donné son accord.

- Chaque internaute pourra récupérer ses données et les faire transiter d'un espace client à un autre (portabilité des données) dans un format ouvert.

- la responsabilité pour la protection des données n'est pas seulement pour les responsables du traitement mais aussi des sous-traitants.

- les données personnelles seront protégées et leurs accès restreint... L'utilisateur pourra editer et décider que ses données ne soit plus visibles.

- Un délégué à la protection des données (DPO) sera obligatoire pour une autorité ou organisme public traitant des données personnelles, également concerné les entreprises qui traitent ces mêmes données de façon régulière et à grande échelle, les entreprises qui gèrent des données sensibles (sur la santé par exemple)...

- Accord parental pour l'inscription de mineurs de moins de 16 ans.

- Déclaration à la CNIL en cas de site piratés contenant des données personnelles (à faire dans les 72h qui suit le vol).

En résumé, il faudra se poser les bonnes questions quand il s'agit de créer :
- un site pour une mairie qui propose l'inscription en ligne pour les structures municipales (crèche, cantine..)
- un intranet d'une entreprise avec le profil d'une centaine de salariés,
- une boutique en ligne proposant carte de fidélité
- un site ou une application de rencontre ou de mise en relation pro/perso...
... et autres exemples

[daneel]

Evoqué depuis avril 2017
En France, il vous reste quelques mois pour vous adapter...

La protection des données, c'est le grand thème de 2018 !

L’article 4 du RGPD définit comme données personnelles les données « tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou un ou plusieurs éléments spécifiques propres à l’identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale de la personne ». Une des nouveautés dans cette définition : la catégorie « identifiant en ligne » comprend les adresses IPs ou les cookies de navigation des utilisateurs, des informations qui n’étaient pas considérées comme personnelles jusque là.

Les entreprises utilisant des données personnelles auront également besoin d’un consentement « libre, spécifique, éclairé et univoque » (Art.4.11) de leurs utilisateurs. Ce qui veut dire que les entreprises devront expliquer en détails l’utilisation qui sera faite de leurs données personnelles.

Il faut se préparer à quelques changements pour la collecte de données mais aussi sur la sécurité.

Vous avez raté l'info ? voici une petite compilation :

Les développeurs doivent intégrer un nouvel ensemble d'exigences, couvrant la gestion du consentement, la minimisation et la pseudonymisation des données, et la possibilité pour les personnes concernées d'exercer leurs nouveaux droits : accès, modification, suppression, droit à l'oubli, portabilité, information relative à l'utilisation de leurs données, y compris pour la notation et le profilage, et en cas d'incidents.

Les équipes de développement devront examiner comment mettre en œuvre une telle recommandation. Cette technique et les techniques connexes, telles que le masquage et le chiffrement des données, peuvent également avoir un impact important sur les coûts opérationnels.


....

les organisations sont maintenant censées veiller à ce que les utilisateurs (qu'ils soient citoyens ou clients) acceptent clairement et positivement la collecte, le traitement et le stockage de leurs données personnelles. Cela ne peut pas être fait par un consentement implicite ou par une acceptation aveugle des cookies dans le navigateur. Cela doit être le résultat d'une prise de décision éclairée et être collecté distinctement des réponses aux autres questions. Les parents devront consentir au nom de leurs enfants de moins de 16 ans. Plus important encore, cela doit être spécifique à la transaction en cours et les utilisateurs doivent pouvoir retirer leur consentement à tout moment.



Se préparer à la possibilité d’une fuite de données

" L’entreprise doit mettre en place les procédures d’escalade qui seront activées en cas de violation de données personnelles en termes notamment de communication de crise et d’information. Le responsable du traitement doit notifier la Cnil si possible dans les 72 heures après en avoir pris connaissance. Il doit aussi avertir « dans les meilleurs délais » les personnes concernées quand la fuite présente un risque élevé pour leurs droits et libertés comme le vol de mots de passe... "

Sources et pour en savoir plus :

- https://www.zdnet.fr/dossier/rgpd-to...4000237620.htm

- https://www.lesechos.fr/idees-debats...ns-2085668.php