Sécuriser juridiquement et techniquement les données

Sécuriser juridiquement et techniquement les donnéesVos choix de sécurisation de vos données dépendent des risques qui pèsent sur elle. Par rapport à votre situation chez Pharm+, quelles mesures vous paraissent les plus pertinentes ?

• 
  Vous mettez en place un cloisonnement des données, et des sauvegardes fréquentes de vos serveurs.

• En plus de ces deux mesures précitées, vous mettez en place une charte informatique au sein de Pharm+, qui oblige vos salariés à avoir des mots de passe complexes.

• En plus de toutes les mesures précitées, vous optez pour un hébergeur de données de santé (HDS).

Answer explanation

Ni trop peu, ni pas assez. Mais dans votre situation, avec des données de santé, il faut faire le maximum ! 

Lors d’une formation sur la sécurité informatique, vous demandez à vos salariés quels sont leurs mots de passe afin de vous assurer qu’ils choisissent bien des mots de passe complexes. Parmi les propositions suivantes, lesquelles vous semblent justes ?

• Pharm+123 est un mot de passe complexe, il contient majuscule, minuscules, caractère spécial et chiffres.

• 3e78Tp:!dEpMD est un super mot de passe.

• Vous en profitez pour rappeler à tous ceux qui vous ont donné leurs mots de passe qu’ils n’auraient jamais dû le faire, même quand c’est vous qui le leur demandez ! 

Answer explanation

La première réponse coche effectivement toutes les cases. Sauf que le mot de passe est trop simple ! 

Vous êtes en train de faire le tour de toutes les mesures de sécurité que vous pouvez mettre en place. Quelle est celle qui vous paraît la plus inappropriée ? Attention au piège ! 

• Mettre en place une alarme incendie

• Mettre en place des serveurs sécurisés

• Utiliser des disques durs externes avec mot de passe pour stocker vos données

Answer explanation

Eh non, ce n’est pas l’alarme incendie ! Vous serez bien content, si un feu se déclenche, de sauver vos ordinateurs et vos serveurs. Par contre, stocker des données sur un disque dur externe, même protégé par un mot de passe, est une très mauvaise idée : si on vous le vole, si vous le cassez ou si vous le perdez : au revoir les données ! 

Vous allez vous occuper du cloisonnement des données. Parmi ces propositions, lesquelles vous semblent les moins pertinentes ?

• En tant que CEO de Pharm+, vous avez accès à toutes les données.

• Les développeurs qui travaillent sur les algorithmes de Pharm+ ont potentiellement accès à toutes les données.

• Votre service Communication a accès à toutes les données des utilisateurs.

Answer explanation

Contre toute attente, même vous, vous ne pouvez pas avoir accès à tout ! Notamment les données de santé de chacun de vos utilisateurs : elles ne vous sont absolument pas nécessaires. Même réponse pour votre service Communication. 

À votre avis, devez-vous réaliser une analyse d’impact sur la protection des données (AIPD) ? 

• Oui

• 
  Non

Answer explanation

Oui, bien sûr ! Une AIPD doit se réaliser en cas de traitement de données dites « sensibles » : c’est le cœur même de Pharm+, les données de santé ! 

Le RGPD vous impose de rédiger un registre de traitement de données de Pharm+. Qu’écrivez-vous dedans ?

• Toutes les mesures de sécurité que vous avez mises en place.

• La base légale et les finalités de vos traitements de données.

• Les destinataires de vos données.

• Le nom et le contact de votre DPO.

• Les catégories de données que vous traitez. 

Answer explanation

Eh oui, il faut tout mettre !

Pharm+ a bien grandi, et vous avez désormais officiellement un DPO. Vous avez également une nouvelle idée : désormais, Pharm+ va fonctionner à l’étranger ! Comment procédez-vous ? 

• Vous intégrez votre DPO dès les premières réunions de travail.

• Vous développez une fonctionnalité solide, et sollicitez votre DPO.

• Vous ne sollicitez votre DPO qu’en cas de recours d’un utilisateur.

Answer explanation

Le Privacy by Design, c’est essentiel ! Pensez à la protection des données dès les réflexions sur la mise en place de nouveaux traitements de données. 

Vous entendez souvent parmi vos équipes une phrase qui revient sans cesse et qui pourtant est fausse. Quelle est-elle ?

• « On doit toujours demander l’avis des utilisateurs de Pharm+ pour collecter toutes leurs données ! »

• « On doit absolument définir des finalités de traitement de données, sinon on n’a pas le droit de traiter des données. »

• « Si un utilisateur nous demande d’avoir accès aux données que l’on a sur lui, on doit absolument lui envoyer ces données. »

Answer explanation

Non, vous ne devez pas toujours demander l’avis de vos utilisateurs pour traiter leurs données. Les utilisateurs de Pharm+ ont accepté les conditions générales de services de Pharm+ : votre base légale est alors une relation contractuelle. Par contre, pour traiter leurs données de santé, qui sont des données sensibles, vous devez obtenir leur consentement… Je vous l’accorde, c’était une question pas facile du tout !