Ci-dessous, les différences entre deux révisions de la page.
Les deux révisions précédentes Révision précédente Prochaine révision | Révision précédente Prochaine révision Les deux révisions suivantes | ||
etude_d_impact_sur_la_protection_des_donnees [18/11/2021 20:24] dylan.jacquot |
etude_d_impact_sur_la_protection_des_donnees [18/11/2021 23:37] dylan.jacquot |
||
---|---|---|---|
Ligne 1: | Ligne 1: | ||
- | ====== Étude d' | + | ====== Étude d' |
+ | Cette page répertorie l' | ||
===== Contexte ===== | ===== Contexte ===== | ||
Ligne 43: | Ligne 44: | ||
Toutes les informations nécessaires pour avoir une vue globale du traitement des données opéré semblent décrites de manière claire dans cette partie. | Toutes les informations nécessaires pour avoir une vue globale du traitement des données opéré semblent décrites de manière claire dans cette partie. | ||
- | Données, processus et supports | + | ==== Données, processus et supports |
Quelles sont les données traitées ? | Quelles sont les données traitées ? | ||
Ligne 80: | Ligne 81: | ||
===== Principes fondamentaux ===== | ===== Principes fondamentaux ===== | ||
- | Proportionnalité et nécessité | + | ==== Proportionnalité et nécessité |
Les finalités du traitement sont-elles déterminées, | Les finalités du traitement sont-elles déterminées, | ||
Ligne 135: | Ligne 136: | ||
Le caractère licite du traitement a été prouvé par le recueil du consentement du volontaire et les finalités sont clairement énoncées. Cette partie est donc acceptable. | Le caractère licite du traitement a été prouvé par le recueil du consentement du volontaire et les finalités sont clairement énoncées. Cette partie est donc acceptable. | ||
- | Mesures protectrices des droits | + | ==== Mesures protectrices des droits |
Comment les personnes concernées sont-elles informées à propos du traitement ? | Comment les personnes concernées sont-elles informées à propos du traitement ? | ||
Ligne 186: | Ligne 187: | ||
==== Mesures existantes ou prévues ==== | ==== Mesures existantes ou prévues ==== | ||
- | Chiffrement | + | **__Chiffrement__** |
Dès l' | Dès l' | ||
Ligne 207: | Ligne 209: | ||
Dans la mesure du possible, la communication entre le casque neuronal OpenBCI et la machine distante sera également cryptée si la mesure est jugée nécessaire (notamment s'il est jugé que les mesures mises en oeuvre d' | Dans la mesure du possible, la communication entre le casque neuronal OpenBCI et la machine distante sera également cryptée si la mesure est jugée nécessaire (notamment s'il est jugé que les mesures mises en oeuvre d' | ||
- | Protection | + | **__Protection |
Les sites web utilisé de manière collaborative par les membres de l' | Les sites web utilisé de manière collaborative par les membres de l' | ||
Il est aussi nécessaire de s' | Il est aussi nécessaire de s' | ||
- | Gestion | + | **__Gestion |
Tout tiers souhaitant accéder aux données n'y sera autorisé que si son accès est clairement motivé et nécessaire pour les finalités de notre projet et sous réserve de la signature d'un accord de confidentialité. | Tout tiers souhaitant accéder aux données n'y sera autorisé que si son accès est clairement motivé et nécessaire pour les finalités de notre projet et sous réserve de la signature d'un accord de confidentialité. | ||
Ligne 219: | Ligne 223: | ||
De plus, les clés de chiffrement ne seront accessibles qu'à l' | De plus, les clés de chiffrement ne seront accessibles qu'à l' | ||
- | Backup locaux | + | **__Backup locaux__** |
Le serveur de base de données contenant les signaux électro-encéphalographiques traités verra ses informations régulièrement sauvegardées sur un serveur de backup. | Le serveur de base de données contenant les signaux électro-encéphalographiques traités verra ses informations régulièrement sauvegardées sur un serveur de backup. | ||
- | Minimisation | + | **__Minimisation |
Les données seront traitées avant d' | Les données seront traitées avant d' | ||
- | Deux traitements principaux seront opérés : les filtres spatiaux et fréquentiels. Ils permettront de ne garder que l' | + | Deux traitements principaux seront opérés : les filtres spatiaux et fréquentiels. Ils permettront de ne garder que l' |
En ce qui concerne les données personnelles directement identifiantes (nom, prénom et date de naissance) sont uniquement celles nécessaires pour identifier un participant et permettre l' | En ce qui concerne les données personnelles directement identifiantes (nom, prénom et date de naissance) sont uniquement celles nécessaires pour identifier un participant et permettre l' | ||
- | Journalisation | + | **__Journalisation__** |
Chaque traitement sera minutieusement documenté afin de conserver une trace sur les conditions d' | Chaque traitement sera minutieusement documenté afin de conserver une trace sur les conditions d' | ||
Ainsi, chaque enregistrement de données électro-encéphalographiques donnera lieu à un compte-rendu écrit qui sera conservé, indiquant notamment les personnes de l' | Ainsi, chaque enregistrement de données électro-encéphalographiques donnera lieu à un compte-rendu écrit qui sera conservé, indiquant notamment les personnes de l' | ||
- | Sauvegarde | + | **__Sauvegarde |
Les données seront sauvegardées régulièrement sur un serveur de backup et les clés seront régulièrement sauvegardées sur une clé USB. | Les données seront sauvegardées régulièrement sur un serveur de backup et les clés seront régulièrement sauvegardées sur une clé USB. | ||
En effet, une sauvegarde sera réalisée chaque semaine à minima et une mise à jour des données du serveur de backup sera opérée pour chaque traitement réalisé. | En effet, une sauvegarde sera réalisée chaque semaine à minima et une mise à jour des données du serveur de backup sera opérée pour chaque traitement réalisé. | ||
- | Maintenance | + | **__Maintenance__** |
Le matériel utilisé lors du traitement (casques d' | Le matériel utilisé lors du traitement (casques d' | ||
Ligne 246: | Ligne 255: | ||
Il sera toutefois difficile de remplacer certaines parties coûteuses du casque d' | Il sera toutefois difficile de remplacer certaines parties coûteuses du casque d' | ||
- | Sécurité physique | + | **__Sécurité physique__** |
Les traitements seront hébergés par le chef de projet. L' | Les traitements seront hébergés par le chef de projet. L' | ||
Ligne 253: | Ligne 263: | ||
L' | L' | ||
- | Traçabilité | + | **__Traçabilité__** |
Il sera possible de mettre en place un serveur de log (possiblement virtualisé sur le serveur central de base de données) afin de pouvoir tracer un accident et fournir des éléments en cas de problème. | Il sera possible de mettre en place un serveur de log (possiblement virtualisé sur le serveur central de base de données) afin de pouvoir tracer un accident et fournir des éléments en cas de problème. | ||
- | Contrôle | + | **__Contrôle |
Les données du serveur contenant les données ne seront accessibles que par une connexion par un identifiant et un mot de passe. Il faudra en outre disposer des clés de déchiffrement afin de pouvoir accéder au contenu des fichiers. | Les données du serveur contenant les données ne seront accessibles que par une connexion par un identifiant et un mot de passe. Il faudra en outre disposer des clés de déchiffrement afin de pouvoir accéder au contenu des fichiers. | ||
Nous nous assurerons de sélectionner un mot de passe offrant une protection face au piratage maximale. | Nous nous assurerons de sélectionner un mot de passe offrant une protection face au piratage maximale. | ||
- | Sécurisation | + | **__Sécurisation |
Le serveur sera hébergé par l' | Le serveur sera hébergé par l' | ||
- | Évaluation : Acceptable | + | **__Sécurisation |
- | Sécurisation | + | |
Un pare-feu pourra être déployé sur le serveur afin de prévenir une cyber-attaque. | Un pare-feu pourra être déployé sur le serveur afin de prévenir une cyber-attaque. | ||
De plus, nous pourrons mettre en place un système IDS en entrée du serveur de base de données afin de pouvoir détecter une intrusion. Ainsi, nous pourrons être informés rapidement d'une attaque sur un serveur pour essayer d'y répondre dans les plus brefs délais et minimiser les pertes. | De plus, nous pourrons mettre en place un système IDS en entrée du serveur de base de données afin de pouvoir détecter une intrusion. Ainsi, nous pourrons être informés rapidement d'une attaque sur un serveur pour essayer d'y répondre dans les plus brefs délais et minimiser les pertes. | ||
- | Eloignement | + | **__Eloignement |
Toutes les personnes n' | Toutes les personnes n' | ||
De plus, le traitement des données ne se fera qu'au sein de l' | De plus, le traitement des données ne se fera qu'au sein de l' | ||
- | Protection | + | **__Protection |
Au sein de l' | Au sein de l' | ||
Également, les risques liés aux phénomènes météorologiques et les inondations sont très peu probables en Sarthe, limitant d' | Également, les risques liés aux phénomènes météorologiques et les inondations sont très peu probables en Sarthe, limitant d' | ||
- | Gérer | + | **__Gérer |
Le responsable de la protection des données personnelles veillera tout au long du projet au respect des règles et du respect des droits définis par le RGPD. Ainsi, il sera possible de mettre à jour au fur et à mesure notre plan d' | Le responsable de la protection des données personnelles veillera tout au long du projet au respect des règles et du respect des droits définis par le RGPD. Ainsi, il sera possible de mettre à jour au fur et à mesure notre plan d' | ||
Ligne 292: | Ligne 308: | ||
Un responsable de la protection des données personnelles a été nommé et une analyse d' | Un responsable de la protection des données personnelles a été nommé et une analyse d' | ||
- | Gestion | + | **__Gestion |
Au cours du projet, le responsable de la protection des données personnelles se chargera de communiquer à tous les membres de l' | Au cours du projet, le responsable de la protection des données personnelles se chargera de communiquer à tous les membres de l' | ||
Ligne 299: | Ligne 316: | ||
Cette clause est valable même après la fin du projet ce qui renforce la sécurité et la confidentialité des données récoltées. | Cette clause est valable même après la fin du projet ce qui renforce la sécurité et la confidentialité des données récoltées. | ||
- | Archivage | + | **__Archivage__** |
Sur accord du volontaire, les données électro-encéphalographiques le concernant seront conservées sur nos serveurs. | Sur accord du volontaire, les données électro-encéphalographiques le concernant seront conservées sur nos serveurs. | ||
Ligne 306: | Ligne 324: | ||
Cette utilisation sera uniquement possible selon des modalités à définir avec l' | Cette utilisation sera uniquement possible selon des modalités à définir avec l' | ||
- | Sécurisation | + | **__Sécurisation |
Les documents produits au cours de l' | Les documents produits au cours de l' | ||
Ligne 313: | Ligne 332: | ||
Ceci permettra de conserver ces documents sur le long terme tout en minimisant le risque de perte de ceux-ci et en permettant de garder confidentiel les documents attestant de la participation à l' | Ceci permettra de conserver ces documents sur le long terme tout en minimisant le risque de perte de ceux-ci et en permettant de garder confidentiel les documents attestant de la participation à l' | ||
- | Organisation | + | **__Organisation |
Au cours de ce projet, une équipe a été constituée afin de veiller au respect de la vie privée et à la protection des données personnelles. | Au cours de ce projet, une équipe a été constituée afin de veiller au respect de la vie privée et à la protection des données personnelles. | ||
Ligne 323: | Ligne 343: | ||
Les mesures définies dans cette partie semblent être suffisantes à l' | Les mesures définies dans cette partie semblent être suffisantes à l' | ||
- | Accès illégitime à des données | + | ==== Accès illégitime à des données |
Quels pourraient être les principaux impacts sur les personnes concernées si le risque se produisait ? | Quels pourraient être les principaux impacts sur les personnes concernées si le risque se produisait ? | ||
Ligne 355: | Ligne 375: | ||
Au regard des mesures présentées (au niveau organisationnel et sécuritaire) pour assurer la protection des données, le risque de modification des données personnelles est acceptable. | Au regard des mesures présentées (au niveau organisationnel et sécuritaire) pour assurer la protection des données, le risque de modification des données personnelles est acceptable. | ||
- | Modification non désirées de données | + | ==== Modification non désirées de données |
Quels pourraient être les principaux impacts sur les personnes concernées si le risque se produisait ? | Quels pourraient être les principaux impacts sur les personnes concernées si le risque se produisait ? | ||
Ligne 387: | Ligne 407: | ||
Au regard des mesures présentées (au niveau organisationnel et sécuritaire) pour assurer la protection des données, le risque de modification des données personnelles est acceptable. | Au regard des mesures présentées (au niveau organisationnel et sécuritaire) pour assurer la protection des données, le risque de modification des données personnelles est acceptable. | ||
- | Disparition de données | + | ==== Disparition de données |
Quels pourraient être les principaux impacts sur les personnes concernées si le risque se produisait ? | Quels pourraient être les principaux impacts sur les personnes concernées si le risque se produisait ? | ||
Ligne 416: | Ligne 436: | ||
Au regard des mesures présentées (au niveau organisationnel et sécuritaire) pour assurer la protection des données, le risque de disparation des données personnelles est acceptable. | Au regard des mesures présentées (au niveau organisationnel et sécuritaire) pour assurer la protection des données, le risque de disparation des données personnelles est acceptable. | ||
- | Vue d' | + | ==== Vue d' |
{{: | {{: | ||
- | Validation | + | ===== Validation |
- | Cartographie des risques | + | ==== Cartographie des risques |
{{: | {{: | ||
- | Plan d' | + | ==== Plan d' |
{{: | {{: | ||
- | Avis du DPD | + | ==== Avis du DPD ==== |
Nom du DPD : | Nom du DPD : |