Guide de démarrage rapide

Sommaire

S’identifier sur APM

APM se situe à l’adresse https://apm.actecil.fr. Pour pouvoir utiliser l’application vous devez disposer d’un compte. Pour obtenir un compte de démonstration merci de prendre contact avec Actecil à l’adresse Demander un compte de démonstration.

Pour vous identifier vous devez disposer du nom de votre organisation, de votre nom d’utilisateur et de votre mot de passe.

 

Vous serez alors redirigé vers la page d’accueil de votre compte APM. Le menu en haut de la page permet de naviguer dans l’application.

La gestion des intervenants

Les intervenants sont toutes les personnes qui apparaissent durant la mise en place du registre des traitements. Il s’agit à la fois des utilisateurs qui peuvent se connecter au compte APM mais également des personnes qui sont uniquement référencées par les traitements (chef de projet, contact technique, …).

Pour gérer les intervenants vous devez vous rendre sur la page : → ORGANISATION → Intervenants

Vous pouvez ajouter un nouvel intervenant avec le bouton « Ajouter un Intervenant » ou modifier un intervenant existant en cliquant sur son nom d’utilisateur dans la liste.

L’option « Utilisateur du Logiciel » permet de spécifier si l’intervenant pourra ou non se connecter sur APM. Si il est utilisateur du logiciel il recevra alors un email avec son nom d’utilisateur et son mot de passe.

Il est important de désigner au moins un intervenant qui sera :

  • soit DPO si vous avez un Data Protection Officer (DPO)
  • soit Responsable de la Conformité si vous ne disposez pas de DPO.

Pour plus d’informations sur la gestion des intervenants nous vous invitons a suivre ce lien → Gestion des intervenants.

La gestion des structures

Les structures représentent les entités de votre organisation qui disposent d’un numéro de SIRET. Les traitements que vous définirez ensuite seront rattachés aux structures.

Pour gérer les structures vous devez vous rendre sur la page : → STRUCTURES → Listes des Structures

Vous pouvez ajouter une nouvelle structure avec le bouton « Ajouter une Structure» ou modifier une structure existante en cliquant sur son nom dans la liste.

Un DPO peut être associé à une structure, il sera alors responsable de tous les traitements de cette structure et de ses structures filles. Ici « M Gareau Aubert » est le DPO des trois structures.

Il est possible de définir les droits des utilisateurs par structure, ainsi un utilisateur peut avoir le droit d’éditer les traitements de la structure « Telecomweb-FAI » mais pas ceux de la structure « Telecomweb-Réseaux».

Le DPO d’une structure dispose naturellement de tous les droits sur une structure.

Pour pouvoir gérer le registre des traitements il est indispensable de disposer d’au moins une structure.

Pour plus d’informations sur la gestion des structures nous vous invitons a suivre ce lien → Gestion des structures.

La gestion du registre des traitements

La gestion du registre des traitements est le cœur de métier de l’application APM. Il s’agit de définir tous les traitements de votre organisation mettant en œuvre l’utilisation de Données à Caractères Personnelles (DCP), de les valider et les maintenir à jour au cours de leur cycle de vie.

Pour gérer le registre des traitements vous devez vous rendre sur la page : → TRAITEMENTS → Liste des Traitements

Vous pouvez ajouter un nouveau traitement avec le bouton « Saisir un nouveau traitement» ou modifier un traitement existant en utilisant les actions du menu déroulant présent sur la droite du tableau.

Le cycle de vie d’un traitement passe par 4 états:

  • Brouillon: il est en cours de création.
  • En cours de validation: demande faite auprès du responsable (Facultatif).
  • Traitement activé: il est en cours d’utilisation.
  • Traitement fermé: il n’est plus en cours d’utilisation.

Un traitement qui est en production n’est plus éditable, il est nécessaire de créer une nouvelle version si des modifications doivent y être apportées durant son cycle de vie.

Actecil fournit des modèles de traitements préremplis qui permettent de créer des traitements types rapidement. Exemples :

  • Collectivités : Dématérialisation du contrôle de légalité
  • Collectivités : Gestion des PCA relatifs à une pandémie grippale
  • Collectivités : Gestion des listes de chambres d’hôtes
  • Collectivités : Gestion d’un système d’information géographique
  • Collectivités : Lutte contre la vacance des logements

Pour plus d’informations sur la gestion du registre des traitements nous vous invitons a suivre ce lien → Gestion des traitements.

Le gestionnaire des tâches

Le gestionnaire des tâches permet de tracer les actions à réaliser ou qui ont été réalisées dans le cadre de la création du registre des traitements.

Pour gérer les tâches vous devez vous rendre sur la page : → GESTIONNAIRE DE TÂCHES → Gestionnaire de tâches

Vous pouvez créer une nouvelle tâche avec le bouton « Créer une nouvelle tâche» ou modifier une tâche existante en utilisant les actions présentes à coté du nom sous forme d’icônes.

 Chaque tâche est composée d’une date de début, de fin et d’une liste d’étapes à réaliser.

Actecil fournit des modèles de tâches préremplis qui permettent de créer des tâches types rapidement. Exemples :

  • Actualisation du registre de traitements
  • Analyse Conformité du Traitement
  • Bilan Annuel DPO
  • Cartographie Site Internet
  • Cartographie Traitement
  • Contrôle sur place de la CNIL
  • Création de procédures Gouvernance/Accountability

L’Analyse d’impacts

Cette option est disponible pour chaque traitement et plusieurs versions sont possibles pour chaque traitement, en fonction des évolutions de celui-ci au fur et à mesure du projet.

1. LA SAISIE DES « MESURES EXISTANTES OU PREVUES »

Dans cet onglet sont décrites les mesures mises en place pour assurer la conformité du traitement.

Dans la partie « mesures existantes ou prévues », ont été distinguées les différentes mesures de nature juridique (obligatoires) et les mesures non obligatoires (organisationnelles, sécurité logique, sécurité physique) mises en œuvre pour respecter une obligation légale.

 

 

Le tableau prévoit 4 types de mesures. La sélection de l’un de ces types permet de dérouler de nouveaux champs propres à ce type et d’y détailler les mesures correspondantes. Un choix multiple a ainsi été mis en place.

A l’instar de l’écran des conditions de licéités dans une fiche de traitement, la sélection d’une proposition doit permet de dérouler une zone de libre commentaire autorisant la description de la mesure prise. Pour chaque case cochée, une telle zone de libre commentaire doit apparaitre. L’utilisateur doit pouvoir sélectionner plusieurs propositions.

Les cases correspondant aux mesures de nature juridique sont précochées et nécessite de compléter une zone de description de la mesure. Si jamais l’utilisateur essaie de remplir les autres onglets sans avoir complété ces mesures, une alerte s’affiche. A défaut d’avoir complété l’ensemble des mesures de nature juridique, une alerte s’affiche.

L’alerte s’affiche si:

  • l’une des cases à cocher de la première ligne du tableau (mesures de nature juridique) n’est pas cochée
  • l’une des zones de textes de la première ligne est vide

L’alerte est composée :

  • D’un message qui s’affiche au dessus des onglets
  • De la première ligne du tableau qui s’affiche sur un fond rouge

Les mesures de nature organisationnelle et de sécurité sont également soumises à choix multiple et l’utilisateur est invité à commenter chaque mesure (au regard du guide PIA).

NB : concernant les mesures de nature juridique, des pop-ups explicatives/descriptions apparaissent au passage du curseur sur le rond d’information bleu. Les descriptions sont les suivantes :

Choix proposé

Description

A la finalité

Finalité déterminée, explicite et légitime

A la minimisation des données

Réduction des données à celles strictement nécessaires

A la qualité des données

Préservation de la qualité des données à caractère personnel

A la durée de conservation

Durée nécessaire à l’accomplissement des finalités, à défaut d’une autre obligation légale imposant une conservation plus longue

Au respect du droit à l’information des personnes concernées

Information complète des personnes concernées

Au consentement

Obtention du consentement des personnes concernées ou existence d’un autre fondement légal justifiant le traitement

Au droit d’opposition

Respect du droit d’opposition des personnes concernées

Au droit d’accès

Respect du droit des personnes concernées d’accéder à leurs données

Au droit de rectification

Respect du droit des personnes concernées de corriger leurs données et de les effacer

Au transfert

Respect des obligations en matière de transfert de données en dehors de l’Union européenne

Aux Formalités

Définition et accomplissement des formalités préalables applicables au traitement

2. PARTIE « VRAISEMBLANCE »

Dans cet onglet est analysée la possibilité réelle de survenance du risque identifié.Les risques redoutés sont les suivants : 

  • Accès illégitime  
  • Modification non désirée 
  • Disparition 
  • Indisponibilité des processus légaux
  • Modification du traitement
  • Autres

Chaque risque peut être complété plusieurs fois. Pour chaque risque apparait un descriptif à droite de l’écran lorsque le risque est choisi dans le menu déroulant ou est survolé avec le curseur.

Doivent être systématiquement complétés chacun des risques suivants au moins une fois : 

  • Accès illégitime 
  • Modification non désirée
  • Disparition

Si l’un d’eux n’est pas complété, le message d’alerte suivant sera proposé :« Vous n’avez pas complété le risque xxx. A défaut, l’étude des risques ne saurait être complète ».

Concernant les risques obligatoires (tous sauf autre), une solution est mise en place :

  • ils sont automatiquement ajoutés lors de la création de l’étude de risque
  • ils ne peuvent pas être supprimés
  • par défaut (comme pour tous les risques) les niveaux sont mis à maximal

Exemples concrets proposés pour les risques (selon le guide PIA de la CNIL) :

Accès illégitime

  • Les données sont vues par des personnes qui n’ont pas à les connaître car elles ne les exploitent pas.
  • Les données sont exploitées à d’autres fins que celles prévues et/ou de manière injustifiée.
  • Les données sont manquantes et le traitement ne peut plus du tout fournir le service attendu
  • Les données sont copiées et sauvegardées à un autre endroit, sans être davantage exploitées.
  • Les données sont diffusées plus que nécessaire et échappent à la maîtrise des personnes concernées (ex. : diffusion non désirée d’une photo sur Internet, perte de contrôle d’informations publiées dans un réseau social…)
  • Les données sont exploitées à d’autres fins que celles prévues et/ou de manière injustifiée (ex. : fins commerciales, usurpation d’identité, utilisation à l’encontre des personnes concernées…) ou corrélées avec d’autres informations relatives aux personnes concernées (ex. : corrélation d’adresses de résidence et de données de géolocalisation en temps réel…) dans un premier temps.

Modification non désirée

  • Les données sont modifiées ou complétées en des données valides ou invalides, qui ne seront pas utilisées de manière correcte, le traitement pouvant engendrer des erreurs, des dysfonctionnements, ou ne plus fournir le service attendu (ex. : altération du bon déroulement de démarches importantes…)
  • Les données sont modifiées ou complétées en d’autres données valides, de telle sorte que les traitements ont été ou pourraient être détournés (ex. : exploitation pour usurper des identités en changeant la relation entre l’identité des personnes et les données biométriques d’autres personnes…).

Disparition

  • Les données sont manquantes dans le traitement, ce qui génère des erreurs, des dysfonctionnements, ou fournit un service différent de celui attendu (ex. : certaines allergies ne sont plus signalées dans un dossier médical, certaines informations figurant dans des déclarations de revenus ont disparu, ce qui empêche le calcul du montant des impôts…) 
  • Les données sont manquantes dans le traitement et celui-ci ne peut plus du tout fournir le service attendu (ex. : ralentissement ou blocage de processus administratifs ou commerciaux, impossibilité de fournir des soins du fait de la disparition de dossiers médicaux, impossibilité pour des personnes concernées d’exercer leurs droits…).
  • Il convient dans la partie « Menaces les plus vraisemblables » d’apporter une précision pour les utilisateurs (ex : via un pop-up apparaissant quand on passe le curseur sur « Menaces les plus vraisemblables »).

Les mêmes exemples sont disponibles sur les menaces les plus vraisemblables.

Sont mises en place des colonnes « Source de risque la plus pertinente » ainsi que « vulnérabilité des supports » et « Capacité des sources de risques » dans l’onglet vraisemblance.

 Dans la colonne « Source de risque la plus pertinente » apparait un menu déroulant présentant les options suivantes : 

  • Sources humaines internes agissant accidentellement 
  • Sources humaines internes agissant de manière délibérée 
  • Sources humaines externes agissant accidentellement 
  • Sources humaines externes agissant de manière délibérée 
  • Sources non humaines internes 
  • Sources non humaines externes

Dans la partie « Capacité des sources de risques » est apportée une précision pour les utilisateurs via un pop-up apparaissant quand on passe le curseur sur « Capacité des sources de risques  ».

Le calcul de la vraisemblance se fait automatiquement en fonction des onglets complétés.

3.  PARTIE « GRAVITE »

Dans cet onglet est évalué le préjudice potentiel pour la personne. 

On y retrouve le caractère identifiant, la description des impacts et le caractère préjudiciable de ceux-ci. Le calcul de la gravité se fait automatiquement en fonction des onglets complétés.

Lorsqu’une risque redouté est choisi de la liste proposée sous forme de menu déroulant, les onglets affichés à gauche de l’écran changent également.

Il est possible de rajouter d’autres risques redoutés, en utilisant la fonctionnalité « Ajouter un risque ». 

4. PARTIE « RESULTATS »

Cet onglet propose l’analyse des résultats obtenus en vue de la mise en place d’un plan d’actions. Cette visualisation vous permet de comparer le positionnement des risques entre eux, avant application des mesures complémentaires.

 

5. LA VALIDATION DE L’ANALYSE D’IMPACTS

Cette section permet de préparer et de formaliser la validation du DPIA. Généralement réalisée par le responsable de traitement, avec l’aide du DPO ou de la personne en charge des aspects Protection des données:

  • Les observations du DPO sur l’analyse d’impacts.
  • Les observations du Responsable de traitements

L’étape de validation formelle permet de décider de l’acceptabilité des mesures choisies, des risques résiduels et du plan d’action, de manière argumentée, au regard des enjeux préalablement identifiés et de l’avis des parties prenantes.

Le DPIA peut ainsi être :

  1. validé ;
  2. à améliorer (expliquer en quoi) ;
  3. refusé (ainsi que le traitement considéré).

Le cas échéant, revoir les étapes précédentes pour que le DPIA puisse être validé.