Auto-évaluation

Où en êtes-vous vraiment avec la CNDP ?

Huit questions, deux minutes. Vous obtenez les points qui méritent d’être vérifiés au regard de la loi 09-08 — et une idée de votre exposition personnelle en tant que dirigeant.

Aucune réponse n’est transmise ni enregistrée : le calcul se fait dans votre navigateur. Pas d’adresse e-mail demandée.

Répondu 0/8

Savez-vous précisément quelles données personnelles votre entreprise conserve ?

Clients, patients, adhérents, salariés, candidats — y compris dans les fichiers Excel et les boîtes e-mail.

Traitez-vous des données de santé, biométriques ou judiciaires ?

Dossiers patients, résultats d’analyses, arrêts de travail, dossiers de prise en charge.

Vos traitements ont-ils fait l’objet d’une déclaration à la CNDP ?

La loi prévoit une déclaration avant la mise en œuvre du traitement, pas après.

Les personnes concernées sont-elles informées au moment de la collecte ?

Une mention claire sur le formulaire, le contrat ou le document d’admission : qui collecte, pourquoi, et quels droits.

Chaque utilisateur de votre système n’accède-t-il qu’aux données que sa fonction exige ?

Un compte administrateur partagé par plusieurs personnes, ou un accès complet donné par défaut, répond « non ».

Pouvez-vous savoir qui a consulté un dossier donné, et quand ?

Une journalisation des accès consultable, pas seulement les sauvegardes.

Des durées de conservation sont-elles définies et réellement appliquées ?

Définies sur le papier ne suffit pas : il faut un mécanisme qui purge effectivement.

Savez-vous quels prestataires externes accèdent à ces données ?

Hébergeur, éditeur de logiciel, prestataire de maintenance, service d’e-mailing.

Pourquoi ce sujet remonte maintenant

La CNDP a renforcé ses contrôles, et les secteurs qu’elle cite en priorité incluent les établissements de santé, l’industrie pharmaceutique, l’hôtellerie, le commerce en ligne et l’enseignement supérieur. Le point commun de ces secteurs : beaucoup de données personnelles, souvent sensibles, dans des systèmes assemblés au fil des années.

La partie que l’on découvre tard est l’exposition personnelle. Sur les données sensibles, la loi 09-08 prévoit des sanctions financières et une responsabilité qui peut atteindre le dirigeant, avec des peines pouvant aller jusqu’à l’emprisonnement dans les cas les plus graves. C’est ce qui distingue ce chantier d’un projet informatique ordinaire.