Sur la sécurité des données et la traçabilité des actions :
Le responsable d'un traitement de données à caractère personnel est tenu, en application de l'article 34 de la loi du 6 janvier 1978 modifiée, de prendre toutes les garanties utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher que des tiers non autorisés y aient accès.
Des mesures de protection physique et logique doivent être prises pour préserver la sécurité des informations enregistrées dans les traitements mis en œuvre et empêcher toute utilisation détournée ou frauduleuse de celles-ci, notamment par des tiers non autorisés.
Les accès aux traitements de données mis en œuvre nécessitent une authentification des personnes accédant aux données, au moyen d'un identifiant et d'un mot de passe individuels, suffisamment robustes et régulièrement renouvelés, ou par tout autre moyen d'authentification de même fiabilité, conformément aux recommandations de la commission en la matière.
Des profils d'habilitation définissent les données et les fonctionnalités accessibles en fonction des utilisateurs. Le responsable de traitement doit s'assurer qu'un mécanisme de gestion des habilitations est mis en œuvre et régulièrement mis à jour pour garantir que les personnes habilitées n'ont accès qu'aux seules données effectivement nécessaires à la réalisation de leurs missions. Il doit définir et formaliser une procédure permettant de garantir la bonne mise à jour des habilitations.
Les échanges de données à caractère personnel qui s'effectuent via un canal de communication non sécurisé, par exemple Internet, doivent s'accompagner de mesures adéquates permettant de garantir la confidentialité des données échangées, telles qu'un chiffrement des données. En tout état de cause, ces échanges ne peuvent intervenir que dans le cadre des finalités prévues à l'article 1er de la présente autorisation.
Une journalisation des connexions et l'exploitation de ces journaux sont mises en place. Sauf à justifier de particularités ou de dispositions légales expresses, la durée de conservation des traces doit être de six mois.
Les interventions de maintenance doivent être enregistrées dans une main courante et les opérations de télémaintenance doivent reposer sur l'utilisation d'un moyen d'authentification de fiabilité suffisante.
Le responsable de traitement s'engage à respecter ces mesures de sécurité afin de répondre à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée.
La commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.