a un eventuel controle sur place de la cnil - L'Afcdp

Sur présentation d’une carte professionnelle d’un médecin, les agents de la CNIL ont accès aux fichiersmédicaux.« Les voilà… ce sont les contrôleurs de la CNIL. Ils viennent vérifier le système bluetooth installé par la mairie.Richard S. a décroché le marché, mais sa petite entreprise peine à décoller …/… Il a déjà eu un contrôle de ladirection centrale du renseignement intérieur (DCRI, l'ex-DST), et l'a trouvé « moins pénible que celui de laCNIL ». C'est que la commission a minutieusement exploré les interfaces du site, multiplié les copies d'écran,vérifié la durée de conservation des données ».« Sentinelles de l’informatique » (extraits), Franck Johannès, Le Monde 5 janvier 2010Voici quelques exemples de traitements, informations et données auxquels les agents peuvent demander à avoiraccès lors du contrôle :• Registre des traitements et bilans annuels (tenus par le CIL)• Descriptif de l’architecture des applications, désignation et descriptif sommaire des matériels etlogiciels informatiques et des réseaux, catalogue des données des applicatifs (notamment noms deschamps et leur signification), liste des codes et leur signification (pour les données mémorisées dans lesfichiers sous forme codifiée) ;• Dossiers d’analyse fonctionnelle et organique, de programmation et d’exploitation, listings des codessources des programmes, manuels d’exploitation, etc.• « schéma » des bases de données 52 ;• Une extraction de zones de libre commentaire ou ZLC (textes libres, blocs notes…), extrait de fichierservant à la paye, fichiers de ressources humaines, informations de gestion de la relation clients,données marketing, éventuelles listes noires, etc. ;• PSSI (Politique de Sécurité du Système d’Information), Charte d’usage des moyens NTIC, noted’application relative au soin à apporter aux droits d’accès et aux mots de passe ;• Note d’informations des publics concernés (interne et externe) ;• Fichiers liés aux autocommutateurs téléphoniques, à des systèmes de contrôle d’accès (par exemple parbadges ou cartes à mémoire), dispositif de géolocalisation, reconnaissance biométrique, etc. ;• Copies d’écran et données collectées sur des sites Web, respect des consignes dans le cas des Intranetau sein de groupes internationaux ;• Annuaires, organigrammes, « trombinoscopes », etc. ;• Contrats de sous-traitance (pour vérifier la présence des clauses ad hoc) ;• Procédures de contrôle interne ;• Procédure d’exercice du droit des personnes (dont le droit d’accès) ;• Procédure de suppression des fichiers commerciaux, etc.Naturellement, les agents peuvent également vérifier l’absence d’interconnexion entre fichiers de finalitésprincipale différente, l’effectivité des mécanismes de purge et le respect des règles en matière de fluxtransfrontières.La CNIL peut demander communication de tous documents (descriptif de l’architecture des applications,descriptif sommaire des matériels et logiciels informatiques mis en œuvre par le traitement, dossier d’analysefonctionnel – de programmation – d’exploitation, programmes informatiques, données, procédures de sécurité,description technique d’un dispositif biométrique, journal d’accès aux informations, etc.) nécessaires àl’accomplissement de sa mission, quel qu’en soit le support, et en prendre copie (à chaque fois que c’estpossible, les agents de la CNIL anonymisent les données dont ils prennent copie (c.a.d qu’ils relèvent desinformations dans un format tel que ces données ne peuvent être rattachées à une personne).Exemples (cf. étude du cas Tyco HealthCare France) ;• copies d’écrans,• Guides et mémorandum internes (« International Database Project Update, Data Auditing and NextSteps, June 2006 » et « Guide de l’administrateur, Administration et traitement des données pour labase de données internationales »),52 Certaines entreprises n’ont aucune maîtrise en ce domaine (l’applicatif « masquant » la base de données, dont elles ignorent lastructure).Page 46 sur 82AFCDP, Association Française des Correspondants à la protection des Données à caractère Personnelwww.afcdp.net