Politique de confidentialité, de sécurité et de traçabilité des actions.
Le responsable d'un traitement de données à caractère personnel est tenu, en application de l'article 34 de la loi du 6 janvier 1978 modifiée de prendre toutes les précautions utiles au regard de la nature des données et des risques présentés par le traitement pour les personnes concernées afin de préserver la sécurité des données et, notamment, empêcher que des tiers non autorisés y ait accès.
A cet effet, le responsable de traitement définit une politique de sécurité adaptée aux risques présentés par le traitement. Cette politique doit décrire les objectifs de sécurité et les mesures de sécurité physique, logique et organisationnelle permettant de les atteindre. Elle doit être mise à jour régulièrement pour tenir compte des évolutions du contexte et doit également prévoir des moyens permettant à tous ceux devant l'appliquer de la connaître et de la mettre en œuvre.
Les accès aux traitements de données nécessitent une authentification des personnes accédant aux données, au moyen d'un identifiant et d'un mot de passe individuels respectant la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe mise à jour le 22 juin 2017, ou par tout autre moyen d'authentification de même fiabilité ou de fiabilité supérieure.
Les habilitations permettant d'accéder aux données doivent être précisément définies en fonction des besoins réels de chaque utilisateur. Ces habilitations doivent être périodiquement vérifiées et supprimées lorsque les utilisateurs n'ont plus besoin d'accéder aux données.
Les conditions d'administration du système d'information prévoient l'existence de systèmes automatiques de traçabilité (journaux, audits, etc.). Ces systèmes doivent intégrer une journalisation des connexions aux applications et aux postes de travail ainsi qu'une journalisation des opérations de consultation ou de modification des données, incluant un identifiant de la personne à l'origine de l'opération. Ces journaux doivent être conservés pendant six mois, sans préjudice de l'application d'obligations légales spécifiques.
Les opérations de destruction et suppression des données doivent être réalisées de manière sécurisée, soit en détruisant physiquement les supports papier ou informatiques, soit en utilisant des outils d'effacement sécurisés à l'état de l'art.
Les données conservées au format papier doivent faire l'objet de mesures de sécurité physique spécifiques.
Les échanges de données réalisés sur des réseaux publics, notamment tous les échanges réalisés par courriel, doivent être systématiquement chiffrés avec des outils à l'état de l'art afin d'en garantir la confidentialité et l'intégrité.
Les échanges de données réalisés au moyen de supports de stockage amovible, tels que des clés USB ou des disques durs portables, doivent être systématiquement chiffrés avec des outils à l'état de l'art afin d'en garantir la confidentialité et l'intégrité.
Afin de garantir leur effectivité, les opérations de suppression de données doivent être réalisées de façon automatique.