MAI 2018 : Conformité et autres obligations du RGPD

[PieceOfCake]

Merci Daneel,
donc si je comprends bien (car il y a quand même eu des tas de flous sur ces questions au fil du temps) :

Il y a toutefois des exceptions aux demandes d'acceptation de cookie, tout cookie servant au bon fonctionnement de l'application ne doivent pas être nécessairement stipulés dans les mentions légales et ne fait pas l'objet de consentement préalable à l'internaute.

Un site qui utilise exclusivement les cookies internes de Joomla (ceux générés par le noyau pour l'identification des sessions backend) et qui n'enregistrent que les informations du formulaire de base, n'a finalement rien de spécial à gérer et n'avait même pas à l'origine à fournir l'information spécifique concernant les cookies, celle pour laquelle on nous a (un eu) rebattu les oreilles il y a 2 ans. Je crois que je vais réécrire mes mentions légales, les éclaircir et les simplifier et je m'en arrêterai là.
Une fois examiné les cookies gérés sur mon site et éliminées ceux ne concernant que l'administrateur et identifiés comme tels, finalement il ne reste pas grand chose et en tout cas rien de ce que semble désigner la CNIL.

A suivre tout de même

[daneel]

Pour info :

Maurice Largeron a rassemblé quelques liens sur le sujet :
https://www.mauricelargeron.com/regl...n-des-donnees/

L'infographie réalisée par Sarbacane donne des exemples assez concrets...

[PieceOfCake]

Voilà qui a le mérite d'être clair, reste à surcharger nos formulaires d'inscription sur nos sites et à revisiter nos mentions légales ....

[daneel]

Bonjour,

Des "Compliance Development Kits" (CDK) commencent à apparaître sur le marché.

Un exemple concret de mise en œuvre avec http://www.consentcheq.com

Ce service concentre toutes les consentements (y compris pour les cookies) dans un outil de gestion dédié.
Idéalement, il faudrait pouvoir obtenir le même résultat via des extensions joomla donc n'hésitez pas à donner votre avis.

Si vous cherchez d'autres infos, vous avez le site https://gdprindex.com/ à votre disposition.

[woluweb]

intéressant tout ça. Merci à vous pour les liens, infographies etc

[manu93fr]

Hello a tous, quelques liens glanés ici et là

pour les newslettrers

https://fr.mailjet.com/blog/news/creer-campagnes-emailing-conformes-rgpd/

un quiz

https://ultimategdprquiz.com/

[blueberry38]

Bonjour, ne faudrait-il pas déjà crypter et compléter la fiche contact et la fiche création de compte ? Si ce n'est pas natif dans joomla, y a t il un moyen simple , sachant que parfois des applications tierces (breezing form , content builder) générent et/ou utilisent des données personnelles ?
merci

[Five_Phil]

Bonjour,
une solution peut être ?

https://www.rsjoomla.com/blog/view/433-create-gdpr-compliant-forms-in-joomla-with-rsformpro.html

[blueberry38]

Oui, la plupart des composants gèrent la suppression des données (Breezing form et contenbuilder). c'est plus compliqué pour les comptes users joomla . Je n'ai trouvé que le plugin delete my account. Ce sera bien de l'inclure dans joomla .
Et quid du chiffrement ? Je crois que php 7.2 utilise une librairie. Mais qui la met en œuvre ? et comment ?
J'ai déjà mis en oeuvre un SSL sur monsite, via mon hébergeur mais il va falloir aller plus loin, je pense
Merci

[blueberry38]

Bonjour, je commence à y voir un peu plus clair....
Il me reste un point que je ne comprends pas.Qui doit chiffrer/anonymiser les données ? Joomla ? les programmes ? le webmaster ? l'hébergeur ?
C'est une discussion que j'ai sur le site de crosstec, auteur de breezing form qui m'a répondu

"this is a broad misconception.
You can still access the data as usual but you have to make sure that the transport is encrypted (SSL) and that the access to data (e.g. mysql on en encrypted filesystem, password and SSL for phpmyadmin, etc) is secured.

You do NOT have to encrypt the data itself.

This is not the task of the CMS you are using but for your hosting company or your admins.

As for form-data itself: you are only allowed to collect data that you really need for the job, not more not less. So as long as you can argue you need need this or that particular piece of data for your business, it will be ok."
Merci

[chabi01]

Bonjour à tous,
Je travaille sur la mise en conformité de mes sites clients depuis plusieurs jours.
La problématique n'est pas tant d'avoir une bannière avec les 2 boutons mais la "notion de preuve". En effet, en cas de contrôle (la CNIL a annoncé qu'elle allait faire des contrôles de conformité des sites à distance...on peut déjà raisonnablement considérer que tous les sites en "fr" vont y passer), il faut être en mesure de fournir la preuve individuelle que la personne a consenti à ce que l'on utilise ses données personnelles.
Arrive alors une problématique très simple : la personne s'inscrit sur votre site puis se désinscrit 6 mois plus tard puis se réinscrit un peu plus tard... Il faut être en mesure de garder les traces de tout cela pour éviter les soucis (même si l'on peut garder uniquement la trace du dernier consentement). A tout ceci s'ajoute le "droit à l'oubli" qui fait que la personne peut très bien demander à complètement disparaitre de vos bases de données.
Ajoutons maintenant le cas des entreprises qui travaillent avec des prospects en emailing et qui ont des listes (disons dans Acymailing où les personnes sont dans 25 listes différentes... L'obligation de consentement "précis" (sans flou du type "à nos emails commerciaux" mais de manière très claire, du genre à la liste "xxx" et la liste "yyy") va obliger les sociétés à être très précises. Cela a un bon côté mais peut rapidement tourner au cauchemar si M. et Mme CNIL viennent toquer chez vous en vous demandant la preuve que M. Dupont a bien accepté de recevoir la lettre d'info XXX, il va falloir être bien organisé...

Tout ça pour dire que cela ne va pas être si "simple" : ajouter un champ Joomla ou une case à cocher dans un formulaire ne va pas forcément résoudre la gestion complète du suivi et de "la preuve".

Si cela peut aider certains, j'ai testé ces 3 derniers jours une extensions de Jextensions : https://storejextensions.org/extensions/gdpr.html
Histoire que cela soit agréable, j'ai même traduit le composant complètement en français (dispo sur leur site maintenant).

L'intérêt de cette extension est de centraliser les refus et consentement sur les cookies et la politique de confidentialité en faisant le lien avec tous types d'extensions (formulaires, com_user, etc...) mais également avec des compos "exotiques" n'utilisant pas l'API Joomla!... Et c'est là que cela devient intéressant ! La personne a un compte Joomla sur un site : le compo va logguer et mémoriser tous ses choix sur les cookies (y compris les cookies tiers), elle envoie un formulaire -> l'extension est lié et va gérer les accord pour le formulaire (case à cocher qui va s'ajouter au formulaire) et les journaliser. Autre point d'importance, le développeur a intégré la possibilité d'intercepter des actions pour bloquer un processus en cas de refus (exemple : le bouton "valider" d'un formulaire).

Accessoirement, John est très présent pour aider à configurer le bouzin pour des réglages un peu "tricky", mais dans la langue de Shakespeare...
Voilà Si cela peut en intéresser certains, c'est un simple retour d'expérience sur une mise en place concrète (et pas de la pub, ne vous méprenez pas !).
Bonne fin de journée à tous !
Chabi01/Xavier

[Five_Phil]

Merci chabi01, daneel avait déjà donné l'info de cette extension, pour ma part je préférer attendre un peu, même si j'ai déjà mis en place cette preuve de consentement, du moins pour les inscriptions.
Côté Joomla! les dev avance à voir cette info

[manu93fr]

Merci Xavier, très intéressant tout ça !

[chabi01]

Hello !
Bon, je viens épisodiquement maintenant sur le forum (je n'ai plus aucune notification de réponses aux fils auxquels je participe, du coup, très compliqué de suivre !!).
Une petite question me taraude !
Je viens d'éplucher le "guide du sous traitant" de la CNIL pour le RGPD que vous pouvez récupérer ici : https://www.cnil.fr/sites/default/fi...itant-cnil.pdf
Page 6, Point 2 "La prise en compte des principes de protections des données dès la conception".

Si vous lisez le texte, vous pouvez voir alors écrit
"...
Vous devez offrir à vos clients les garanties nécessaires afin que le traitement que vous mettez en œuvre pour leur compte réponde aux exigences du règlement européen et protège les droits des personnes concernées. Cela signifie notamment que :
- dès leur conception, vos outils, produits, applications ou services que vous offrez à vos clients, intègrent de façon effective les principes relatifs à la protection des données et
- par défaut, vos outils, produits, applications ou services garantissent que seules sont traitées les données nécessaires à la finalité du traitement au regard de la quantité de données collectées, de l’étendue de leur traitement, de la durée de conservation et du nombre de personnes qui y a accès.
..."

Ma question est alors très simple : pour tous les sites déjà développés pour des clients, il faut intégrer un nouveau composant GDPR et modifier le site du client gratuitement ???

Ou simplement l'avertir du fait qu'il faut qu'il modifie (ou vous fasse modifier) le site ??

Pourquoi cette question ? J'ai un client, qui a un contrat de maintenance (visant à faire les backups tous les jours, maintenir le site à jour (compo, core, etc..), protéger le site des attaques, etc.. qui tentent de me faire entendre que dans ce cadre, il faut que la mise au norme RGPD du site soit réalisée à l'oeil...

Du coup, avec ce texte, j'ai un doute...
Xavier

[jfque]

Je comprends qu'il y a des profiteurs un peu partout, mais à mon sens il n'y a aucune raison de faire cela gratuitement. Il ne s'agit pas de maintenance "normale", mais d'une nouvelles réglementation (dont on parle depuis plus d'un an, donc pas de raison de se bouger à la dernière semaine !) et c'est le propriétaire du site qui est le responsable du traitement. C'est donc à lui de vous commander la mise en conformité (éventuellement suivant vos conseils), mais il n'y a pas de raison de travailler gratuitement.

Le texte de la CNIL veut dire qu'à partir du 25 mai, les nouvelles applications ou nouveaux développement devront intégrer la notion de "security by design", ce que, par exemple, devrait être le cas avec la prochaine version de Joomla! actuellement en préparation.