Responsables de traitement : comment identifier et traiter des transferts de données hors UE ?

Le recensement des transferts hors UE s’appuie sur la revue des outils suivants avec, pour chacun d’eux, une vérification des paramétrages existants.

Outils métier transverses (bureautique et télécommunications)

• Identification des outils utilisés de manière transverse dans l’organisation :
  • emails ;
  • bureautique : traitements de texte, tableurs, etc. ;
  • numérisation et reprographie ;
  • applications mobiles ;
  • téléphonie fixe et mobile ;
  • autres services de communications : chat, visioconférence, stockage de fichiers.
• Vérification des fonctionnalités prévoyant des flux de données vers l’éditeur ou un tiers fournisseur de SDK/Framework ; vérification de la création de comptes obligatoires pour l’utilisation du service (ex. : téléphonie mobile).

Outils des fonctions transverses

Les outils spécifiques sont les outils utilisés par certaines fonctions de l’organisation. A noter que, pour certains de ces outils, il convient de vérifier la présence de données personnelles : dans le cas d’un ERP de production ou de chaîne d’approvisionnement ou d’un logiciel de gestion des fournitures, les traitements de données personnelles peuvent être limités.

Ces outils concernent au moins les fonctions suivantes :

• RH : gestion du personnel, paie, recrutement ;
• communication (dont réseaux sociaux) : production de contenus, recours aux médias,  infolettres ;
• documentation : veille, etc. ;
• relation client : CRM, etc. ;
• gestion fournisseurs, chaîne de production : ERP, etc. ;
• services généraux : comptabilité, gestion des fournitures, édition de badges, restauration, etc. ;
• sûreté : contrôles d’accès, vidéosurveillance, etc. ;
• sondages en ligne.

Applications spécifiques à l’activité de l’organisme

 Applications développées en interne

• Identification des applications développées en interne.
  • Quel lieu et prestataire de stockage de l’application ?
• Identification des outils utilisés pour le développement :
  • environnement de développement ;
  • SDK ;
  • framework ;
  • logiciels.

Applications tierces installées au sein du réseau

• Identification des applications tierces installées au sein du réseau :
  • vérification de l’existence de flux vers le fournisseur (mise à jour, télémétrie, etc.) ;
  • vérification de l’accès distant accordé au fournisseur.

Applications tierces installées dans un cloud privé

• Identification des applications externes installées dans un cloud privé :
  • vérification de la localisation de l’installation et des sauvegardes ;
  • vérification des éventuels accès distants par le fournisseur ou ses sous-traitants.

Applications externes installées dans un cloud public

• Identification des applications externes installées dans un cloud public :
  • vérification de la localisation de l’installation et des sauvegardes ;
  • vérification des éventuels accès distants par le fournisseur ou ses sous-traitants.
• Services de cloud :
  • services IaaS souscrits ;
  • services PaaS souscrits ;
  • services SaaS souscrits.

Infrastructures informatiques (pare-feu, proxy, antivirus, etc.)

• Identification des équipements du réseau :
  • pare-feu ;
  • proxy ;
  • reverse proxy ;
  • antivirus ;
  • outils d’analyse réseau.
• Identification des équipements du système :
  • serveurs de fichiers ;
  • serveurs de base de données ;
  • serveurs applicatifs ;
  • serveurs web ;
  • système de virtualisation ;
  • système de sauvegarde.
• Identification des systèmes de gestion du support informatique :
  • logiciels de gestion des tickets internes.
• Pour chaque système/équipement/logiciel, déterminer si les données sont conservées localement, transmises au prestataire et, le cas échéant, à un sous-traitant ou à une autre société de niveau 2.

Réseaux sociaux et publicité

Domaines d’attention :

• réseaux sociaux utilisés pour la communication du responsable de traitement (comptes, pages dédiées, chatbot hébergé sur le réseau social, messageries)
• widgets intégrés sur le site web (boutons réseaux sociaux) ;
• boutons connect intégrés sur les formulaires ;
• traitements réalisés à des fins publicitaires, notamment ceux qui reposent sur une collecte de données en ligne (cookies, RTB, etc.) ;
• achat de publicité ciblée avec transmission de données de ciblage (emails, numéros de téléphone, données issues d’une CMP…).

Logiciels et services utilisés par les employés

Logiciels installables par les employés sur leurs postes

Dans l’hypothèse où votre politique informatique permet aux employés d’installer des logiciels sur leur poste, une revue des logiciels installés et des transferts associés doit être engagée.

Services en ligne souscrits

Une revue de l’ensemble des services en ligne souscrits par les employés peut permettre d’identifier d’autres sources de transferts de données hors UE. Un tour d’horizon des directions métiers et des achats peut être nécessaire, de même, le cas échéant, qu’un examen des flux réseaux.   

Vérifiez, au moins dans vos contrats les plus critiques pour votre activité et si possible pour l’ensemble de vos contrats, si des transferts de données personnelles hors de l’UE sont prévus ou non.

Points à relever figurant dans les contrats

• l’identité du prestataire/cocontractant B to B avec sa nationalité et sa localisation (adresse) ;
• l’identité du cocontractant B to B avec sa nationalité et sa localisation (adresse) ;
• la description du service ;
• les lieux d’hébergement des données personnelles ;
• les lieux de support technique et la nature des données remontées au support ;
• la base légale invoquée (clauses contractuelles types validées par la Commission européenne, règles internes contraignantes « BCR »...) pour les transferts de données hors UE ;
• la loi applicable au contrat.

 En savoir plus : le guide du sous-traitant de la CNIL (en particulier les clauses sur les transferts et les obligations d’information qui pèsent sur le sous-traitant)

La revue que vous conduisez sur les plans technique et juridique doit conduire à mettre en place ou, s’il existe, à compléter un document synthétique recensant les flux hors UE de données personnelles mis en œuvre dans le cadre de vos activités.

Exemples :

• tableur spécifique recensant les outils numériques concernés, les contrats et prestataires, l’existence de flux de données hors UE, leur destination, ainsi que l’encadrement juridique de ces flux (base légale) ;
• un diagramme des flux de données maintenu à jour.

Ce document, vous servira ensuite, au fil de l’eau, à suivre l’ensemble des transferts concernant vos activités, en complément de votre registre RGPD ou en s’insérant dans ce registre.

Nombre d’organisations en disposent déjà afin de piloter leur conformité et délivrer l’information requise aux personnes concernées dans le cadre de leur « politique de protection des données personnelles » (privacy policy).