FINGOLIN37 a écrit :



Dans les présentations que j’ai eu de la RGPD, nous avons aussi demandé “que faire des données personnelles qui doivent être garder avec une durée légale déjà définie ?”. Les éditeurs nous ont répondu qu’elles devaient continuer à être conservées et l’utilisateur ne peut pas demander la suppression car elles sont conservées dans un contexte précis et légal.

L’important, de ce que j’ai réussi à comprendre de cette RGPD complexe, c’est d’avoir une “cartographie” bien détaillé de quelles données personnelles nous disposons, de comment elles sont gérées (accès, …),protégées et supprimer lorsqu’elles doivent l’être. Et il faut bien sûr avoir aussi définit un “référent RGPD” pour garantir la MAJ régulière de cette “cartographie”.

Nous n’avons pas encore trop creusé au final car nous sommes très peu concernés, nous avons des données personnelles basiques :  données salariés dont la plupart sont aussi concernées par une conservation légale. On doit encore rencontrer quelques prestataires spécialisées pour faire un audit en bonne et due forme pour être conforme à cette RGPD.







Merci pour ces précisions …. Mais du coup comment choisissez vous votre prestataire d’audit ? parce que comme je disais certains vont surement en profiter pour faire des reco disproportionnée pour faire acheter en boite de la presta de mise en conformité …

Furax a écrit :



C’est certain, on n’a pratiquement jamais autant été démarché qu’aujourd’hui. " />

Concernant l’aspect légal qui prend le dessus, pour le moment on n’a aucune info dessus.

Les fameux consultants nous parlent de “pseudonimisation”, on n’efface plus la personne mais au lieu de M Dupont, ça devient m. Trucmuche, avec une adresse fantaisiste et j’en passe.

Bref, on a des données, mais inexploitables, et on est incapable de ressortir des infos géographiques comme ça nous est demandé.

Beaucoup, beaucoup (trop) de flou pour le moment…



@ href="https://www.nextinpact.com/inpactien/1607" target="_blank">yvan> Le truc c’est que auras beau avoir quelqu’un de “dédié” à ça, tout pendant qu’on reçoit des infos contradictoires il ne pourra pas faire grand chose malheureusement.

Faire évoluer le traitement des données personnelles c’est une bonne chose, mais encore faut-il que le donneur d’ordre sache ce qu’il veuille. ;)







J’ai pas lu la loi mais juste des articles et quelques write-up. La pseudominisation comme tu la décris me semble inutile. Je te donne ma compréhension de la chose ça vaut ce que ça vaut. Déjà tu ne dois manipuler des données personnelles qui sont utile  pour une finalité bien défini. Par exemple pas question pour une boutique en ligne de manipuler et de stocker le numéro de sécurité sociale.



Concernant la pseudonimisation en faite l’objectif est à mon sens d’améliorer la centralisation et l’inventaire de donner. Le soucis à l’heure actuelle c’est que les données perso sont éparpillé dans les caches des applications , les journaux d’activités des applications, des proxy , sur les postes des admins , dans les environnements de test.



L’idée de la pseudonimasation est à mon avis de centraliser les données autant que possible et utilisé un sorte d’ID dans les journaux d’acrivitié   pour faire références à l’utilisateur sans pour autant pouvoir l’identifié.



Par exemple au lieu d’avoir dans ta base de données quelque chose comme ça



| Monsieur tartanpion| Marié | 15 rue trifouillouies des oies|



Tu aurais



| UserID1| Monsieur Tartanpion | Marié |15  rue trifouilles des oies |



Et tu utiliserais UserID1  dans les journaux d’activités ou les caches d’application comme  identifiant pour récupérer les données . C’est pas mal car cet identifiant permet de retrouver les informations personnels  dans la base de données mais ne permet pas d’identifer une personne en cas de fuite.



J’ai aussi entendu parlé de cette histoire de changer les informations personnels mais je trouve que c’est complètement con …. C’est utile seulement pour faire des jeux de test pour tester les applications avant mise en prod à mon avis.



Ptain la branlette de consultant quoi " />

Furax a écrit :



Totalement d’accord avec ton commentaire concernant les consultants, qui vont s’en donner à cœur joie.

Il faudra être très vigilant car les charlatans vont aussi être de la partie. :)



Concernant la pseudonimasation, je pense qu’il faudra attendre quelque chose de clair dans la loi, car entre “effacer les traces d’un utilisateur”, ou juste ajouter un pseudo en plus concernant son enregistrement dans une BDD, y’a un monde on va dire.Perso quand je demande à être “effacé” d’une base, je demande à être effacer, pas qu’on mette un booléen à true dans mon enregistrement. " />







Je pense que pour des explications claire dans la loi tu peux aller te brosser :) ce sera flou pour etre applicable .



Après l’effacement des données perso est plus facile si toutes les données sont dans une base centralisée et si les applis manipule un  “pseudo” qui fait référence à un utilisateur plutot que d’utiliser des identifiant nominatifs directement 



On verra :)

Furax a écrit :



C’est à dire qu’une personne qui vient chez nous doit nous laisser des données personnelles (obligation légale qu’on doit retourner à la région en l’occurrence, et je ne vous dis pas le genre d’info qu’ils demandent: minorité ethnique ou non, des trucs comme ça entre autres infos plus classiques…).

Ces données, on doit les garder 5 ans minimum. Mais avec la RGPD une personne peut venir n’importe quand et nous demander d’effacer toute trace de son passage (ce que je trouve normal dans le principe)… Mais si on fait ça, alors on ne peut plus renvoyer d’info à la région.

On leur a posé la question (à la région), qui nous a répondu texto: “Faut suivre la RGDP… mais pouvoir nous redonner des infos 5 ans après quand même… " />





J’ai pas encore lu la loi . Mais ça pose effectivement problème pour des systèmes d’archivage par exemple. Si une archive contient des données perso et doit être conservé 10 ans il n’est pas possible de modifier cette archive pendant la période. C’est la philosophie du truc …

   Mais pour ton cas   est-ce que ces 5 ans de rétentions sont réclamer légalement ? Est-ce que GDPR efface cette obligation ? Il ne me semble pas qu’un utilisateur puisse être en droit de réclamer modification/suppression si la rétention est du à une contrainte légale. Je me souviens que dans CIL il y’a une petite liste d’exception au droit de modification/suppression.



En tout cas pour moi GDPR en ce moment c’est juste une sorte de mine d’or pour consultant et autre vendeur de boite " />