RGPD : DÉFINIR UN CADRE POUR LES UTILISATEURS

Donner une force contraignante aux principales règles d’usage des outils informatiques

Les précautions élémentaires

• Rédiger une charte informatique et lui donner une force contraignante

• Inclure dans la charte au moins les éléments suivants :
  • Le rappel des règles de protection des données et les sanctions encourues en cas de non-respect de celles-ci.
  • Le champ d’application de la charte, qui inclut notamment :
    • Les modalités d’intervention des équipes chargées de la gestion des ressources informatiques de l’organisme ;
    • Les moyens d’authentification utilisés par l’organisme et la politique de mots de passe que l’utilisateur doit respecter ;
    • Les règles de sécurité auxquelles les utilisateurs doivent se conformer, ce qui doit inclure notamment de :
      • Signaler au service informatique interne toute violation ou tentative de violation suspectée de son compte informatique, toute perte ou vol de matériel et, de manière générale, tout dysfonctionnement ;
      • Ne jamais confier son mot de passe (ou équivalent) à un tiers ;
      • Ne pas installer, copier, modifier, détruire des logiciels et leur paramétrage sans autorisation ;
      • Verrouiller (ou éteindre) son ordinateur dès que l’on quitte son poste de travail ;
      • Ne pas accéder, tenter d’accéder à des informations ou les supprimer si cela ne relève pas des tâches incombant à l’utilisateur ;
      • Respecter les procédures préalablement définies par l’organisme afin d’encadrer les opérations de copie de données sur des supports amovibles, notamment en obtenant l’accord préalable du supérieur hiérarchique et en respectant les règles de sécurité.
  • Les modalités d’utilisation des moyens informatiques et de télécommunication mis à disposition comme :
    • Le poste de travail ;
      • Les équipements nomades (notamment dans le cadre du télétravail) ;
      • Les espaces de stockage individuel ;
      • Les réseaux locaux ;
      • Les conditions d’utilisation des dispositifs personnels ;
      • L’accès à Internet ;
      • La messagerie électronique ;
      • La téléphonie.
  • Les conditions d’administration du système d’information, et l’existence, le cas échéant, de :
    • Systèmes automatiques de filtrage ;
    • Systèmes automatiques dédiés à la traçabilité des actions ;
    • Systèmes de gestion du poste de travail.
  • Les responsabilités et sanctions encourues en cas de non-respect de la charte.

Ce qu’il ne faut pas faire

• Ne pas donner de force contraignante à la charte ou ne pas l’appliquer et la faire appliquer en cas de manquement.
• Ne pas tenir compte des pratiques réelles des usagers, de leurs attentes et de leurs besoins en définissant les règles d’usage des moyens informatiques : l’informatique fantôme (ou « shadow IT » en anglais) révèle parfois des besoins essentiels non pourvus par l’organisme ou un dysfonctionnement structurel.
• Ne pas accompagner les usagers dans leurs pratiques.
  

Liens

https://www.cnil.fr/sites/cnil/files/2024-03/cnil_guide_securite_personnelle_2024.pdf

‎ ‎

‎ ‎