Protéger les données à caractère personnel

Entrée en vigueur du règlement général sur la protection des données : volet 1 - Tous concernés !

C’est le 25 mai 2018, que la nouvelle réglementation de l’Union européenne relative au traitement des données à caractère personnel et à leur protection, le règlement général sur la protection des données, ou RGPD, entre en vigueur. Il s’agit de la réforme juridique la plus importante de l’UE sur la protection des données à caractère personnel de ces 20 dernières années.

Vous avez certainement déjà entendu parler du RGPD dans les médias ou via vos contacts professionnels mais qu’en est-il vraiment ? Qui est concerné ?

Le RGPD crée un cadre harmonisé pour la protection des données à caractère personnel dans l’ensemble des pays de l’Union européenne. Il renforce les droits des citoyens européens et met en place des mesures de responsabilisation des entreprises et autres organismes traitant des données à caractère personnel.

Chaque collaborateur de l’Institut Pasteur est donc concerné. À titre personnel car chacun communique ses informations, notamment à l’Institut Pasteur. À titre professionnel dès lors qu’un collaborateur manipule des données à caractère personnel relatives à des tiers (données RH, patients, participants à une recherche, clients, fournisseurs, donateurs…).

De fait, l’Institut Pasteur est impliqué à plusieurs niveaux : en tant qu’employeur, mais aussi dans le cadre de ses activités (recherche, enseignement, actions de santé publique). Il a donc nécessairement entamé une démarche de mise en conformité. Un groupe de travail mobilisant différentes directions (juridique, ressources humaines, systèmes d’information, ressources techniques et environnement et affaires médicales et santé publique) a été mis en place pour piloter la mise en conformité. Dans ce cadre, vous pourrez être contacté par l’équipe dédiée au RGPD afin de définir les éventuelles actions à mettre en place dans le cadre de vos activités propres.

Si vous avez des questions sur le RGPD et savoir en quoi vous êtes concernés, n’hésitez pas à contacter l’équipe à l’adresse rgpd@pasteur.fr

Focus sur le règlement général sur la protection des données : Volet 2 - La donnée à caractère personnel

Le règlement général sur la protection des données, RGPD, est entré en vigueur le 25 mai dernier. Difficile de passer à côté vu l’activité que ce règlement a engendrée sur la toile !

Mais qu’est-ce qu’une donnée à caractère personnel ?
Il s’agit de toute information permettant l’identification directe ou indirecte d’une personne physique. De manière évidente, le nom/prénom ou l’adresse email d’une personne sont des données directement identifiantes. Mais plus largement, on peut également citer des données de connexion, de localisation, un numéro d’identification, la photo d’un visage, le numéro de téléphone, l’adresse du domicile ou encore les initiales associées à la date de naissance. En effet toutes ces données peuvent permettre d’identifier une personne par recoupement d’informations.
Certaines données relèvent de catégories particulières, entre autres, les données de santé, biométriques, génétiques ou encore les données révélant l’origine ethnique d’une personne.
Le RGPD renforce la réglementation pour le traitement de ces données à caractère personnel.

Le règlement européen identifie trois acteurs dans le traitement des données à caractère personnel ayant des droits et des responsabilités :

• Le responsable du traitement, soit la personne qui détermine les finalités et les moyens du traitement : l’Institut Pasteur à travers tout chercheur ou administratif utilisant un fichier ou une base contenant des données à caractère personnel… Si la responsabilité est partagée, on parle de responsables conjoints du traitement. Par exemple lors d’un projet de recherche commun entre l’Institut Pasteur et le CNRS…

• Le sous-traitant de données, soit la personne qui traite des données pour le compte du responsable du traitement : un fournisseur, prestataire (ex. : CRO, hébergeur, etc.).

• La personne concernée : Cela peut être vous lorsque vous partagez des données personnelles, notamment avec votre employeur. Cela peut aussi être un tiers : patients, participants à une étude, fournisseurs, donateurs, candidats etc…

Qu’est-ce qu’un traitement ?
Une opération ou un ensemble d’opérations telles que la collecte, le stockage, la conservation, l’utilisation, la consultation, l’effacement, la destruction, etc. de données personnelles.

Lire le flyer

Pour toute question, demande ou contact : rgpd@pasteur.fr

Focus sur le règlement général sur la protection des données : Volet 3 – L’Institut Pasteur en action !

Depuis le 25 mai, il est beaucoup question du RGPD, de ce qu’est une donnée personnelle, un traitement de données, qui est concerné, etc. Il est grand temps de rentrer dans le vif du sujet pour faire savoir quelles actions sont mises en place à l’Institut Pasteur. Où en est-on des actions à mettre en place pour la mise en conformité de l’Institut Pasteur ?

L’une des premières exigences du RGPD a été de nommer un délégué à la protection des données (DPD), en particulier pour les organisations traitant de données sensibles. L’Institut Pasteur est donc particulièrement concerné. Ainsi, Edwige Hoflack, nommée DPD, a pris ses fonctions le 2 juillet 2018 au sein de la direction juridique. N’hésitez pas à lui poser toutes vos questions sur le RGPD à l’adresse : rgpd@pasteur.fr.

Le RGPD responsabilise les organisations. Il revient à chaque organisation de prouver qu’elle traite ses données en conformité avec les exigences du RGPD. Pour cela, les traitements de données à caractère personnel d’une organisation doivent être centralisés auprès du DPD. Il s’agit du registre des traitements. Ce registre est actuellement en cours d’élaboration sur un premier périmètre grâce à 10 entretiens menés auprès de différentes entités (CRT, DRH, DRTE, CMIP, …). Ces mêmes entretiens permettent de mener une analyse d’écarts relative à la conformité avec le RGPD.

Par ailleurs, les fonctions supports mènent des actions pour :

structurer la communication et l’information relative aux droits des personnes (modification des mentions CNIL, intégration des mentions d’information des personnes concernées en amont de projets…).
structurer les clauses contractuelles relatives à la protection des données.

Des mesures d’accompagnement pour les nouveaux projets de recherches ou des fonctions supports ont également été mises en place. Le but étant d’intégrer le RGPD dès les premières phases de construction d’un projet.

Le RGPD concerne chacun, vous êtes donc susceptibles d’être sollicités sur ces différentes étapes. Et pour toute question, n’hésitez pas à contacter rgpd@pasteur.fr

Lire le flyer

Imprimer