Différences

Ci-dessous, les différences entre deux révisions de la page.

--- etude_d_impact_sur_la_protection_des_donnees [18/11/2021 20:28]
dylan.jacquot Mise en forme de l'analyse d'impact sur les données personnelles
+++ etude_d_impact_sur_la_protection_des_donnees [18/11/2021 23:39]
dylan.jacquot [Avis du DPD]
@@ Ligne 1: / Ligne 1: @@
-====== Étude d'impact sur la protection des données personnelles ======
+====== Étude d'impact sur la protection des données (PIA) - Projet 4A - Casque d'interaction neuronale : exploration ======
+Cette page répertorie l'étude d'impact sur la protection des données personnelles (ou PIA pour Privacy Impact Assessment) réalisée entièrement par notre équipe pour le projet. Nous nous sommes appuyés sur le logiciel PIA développé par la CNIL dans l'objectif de rendre accessible au plus large nombre la rédaction d'un PIA.
 ===== Contexte =====
@@ Ligne 186: / Ligne 187: @@
 ==== Mesures existantes ou prévues ====
-Chiffrement
+**__Chiffrement__**
 Dès l'enregistrement des données électro-encéphalographiques terminé, nous sauvegarderons sur accord du volontaire les données sous la forme d'un fichier CSV.
@@ Ligne 207: / Ligne 209: @@
 Dans la mesure du possible, la communication entre le casque neuronal OpenBCI et la machine distante sera également cryptée si la mesure est jugée nécessaire (notamment s'il est jugé que les mesures mises en oeuvre d'origine sur le casque ne sont pas suffisantes pour garantir la protection des données personnelles).
-Protection des sites web
+**__Protection des sites web__**
 Les sites web utilisé de manière collaborative par les membres de l'équipe projet sera passé en https dès que possible afin de sécuriser au mieux la connexion.
 Il est aussi nécessaire de s'authentifier afin d'accéder à certaines fonctionnalités réservées aux membres de l'équipe projet ou de modifier certaines parties des sites web.
-Gestion des tiers accédant aux données.
+**__Gestion des tiers accédant aux données.__**
 Tout tiers souhaitant accéder aux données n'y sera autorisé que si son accès est clairement motivé et nécessaire pour les finalités de notre projet et sous réserve de la signature d'un accord de confidentialité.
@@ Ligne 219: / Ligne 223: @@
 De plus, les clés de chiffrement ne seront accessibles qu'à l'équipe projet qui est la seule habilitée à accéder aux données.
-Backup locaux
+**__Backup locaux__**
 Le serveur de base de données contenant les signaux électro-encéphalographiques traités verra ses informations régulièrement sauvegardées sur un serveur de backup.
-Minimisation des données
+**__Minimisation des données__**
 Les données seront traitées avant d'être enregistrées afin de ne garder que les données pertinentes pour l'expérience et non l'intégralité des données recueillies lors de la collecte.
-Deux traitements principaux seront opérés : les filtres spatiaux et fréquentiels. Ils permettront de ne garder que l'information utile pour identifier un mouvement imaginé dans le signal.
+Deux traitements principaux seront opérés : les filtres spatiaux et fréquentiels. Ils permettront de ne garder que l'information utile pour identifier un état mental bien défini dans le signal.
 En ce qui concerne les données personnelles directement identifiantes (nom, prénom et date de naissance) sont uniquement celles nécessaires pour identifier un participant et permettre l'exercice de ses droits.
-Journalisation
+**__Journalisation__**
 Chaque traitement sera minutieusement documenté afin de conserver une trace sur les conditions d'enregistrement de celui-ci.
 Ainsi, chaque enregistrement de données électro-encéphalographiques donnera lieu à un compte-rendu écrit qui sera conservé, indiquant notamment les personnes de l'équipe projet présentes, les remarques formulées par le volontaires et les heures de début et de fin de l'expérimentation.
-Sauvegarde des données
+**__Sauvegarde des données__**
 Les données seront sauvegardées régulièrement sur un serveur de backup et les clés seront régulièrement sauvegardées sur une clé USB.
 En effet, une sauvegarde sera réalisée chaque semaine à minima et une mise à jour des données du serveur de backup sera opérée pour chaque traitement réalisé.
-Maintenance
+**__Maintenance__**
 Le matériel utilisé lors du traitement (casques d'interaction neuronale, serveurs et supports de communication) seront maintenus en cas d'imprévu technique.
@@ Ligne 246: / Ligne 255: @@
 Il sera toutefois difficile de remplacer certaines parties coûteuses du casque d'interaction neuronale.
-Sécurité physique
+**__Sécurité physique__**
 Les traitements seront hébergés par le chef de projet. L'accès physique aux serveurs ne sera possible qu'accompagné de lui ou par lui-même.
@@ Ligne 253: / Ligne 263: @@
 L'accès à cette salle sera contrôlé par les membres de l'équipe projet présents sur place pour l'expérimentation.
-Traçabilité
+**__Traçabilité__**
 Il sera possible de mettre en place un serveur de log (possiblement virtualisé sur le serveur central de base de données) afin de pouvoir tracer un accident et fournir des éléments en cas de problème.
-Contrôle des accès logiques
+**__Contrôle des accès logiques__**
 Les données du serveur contenant les données ne seront accessibles que par une connexion par un identifiant et un mot de passe. Il faudra en outre disposer des clés de déchiffrement afin de pouvoir accéder au contenu des fichiers.
 Nous nous assurerons de sélectionner un mot de passe offrant une protection face au piratage maximale.
-Sécurisation de l'exploitation
+**__Sécurisation de l'exploitation__**
 Le serveur sera hébergé par l'équipe projet et non en externe ce qui favorise la confidentialité des données et atténue les risques liés à la sous-traitance du matériel informatique.
-Évaluation : Acceptable
+**__Sécurisation des canaux informatiques__**
-Sécurisation des canaux informatiques
 Un pare-feu pourra être déployé sur le serveur afin de prévenir une cyber-attaque.
 De plus, nous pourrons mettre en place un système IDS en entrée du serveur de base de données afin de pouvoir détecter une intrusion. Ainsi, nous pourrons être informés rapidement d'une attaque sur un serveur pour essayer d'y répondre dans les plus brefs délais et minimiser les pertes.
-Eloignement des sources de risques
+**__Eloignement des sources de risques__**
 Toutes les personnes n'étant pas solliscitées dans le cadre du projet seront incapables d'accéder aux données.
 De plus, le traitement des données ne se fera qu'au sein de l'école et par des personnes (élèves ou enseignants) internes à celle-ci limitant ainsi grandement les risques humains.
-Protection contre les sources de risques non humaines
+**__Protection contre les sources de risques non humaines__**
 Au sein de l'ENSIM un système d'alarme incendie efficace est en place de manière  permanente. Il peut ainsi permettre une intervention rapide des services de secours en cas de problème.
 Également, les risques liés aux phénomènes météorologiques et les inondations sont très peu probables en Sarthe, limitant d'autant plus les risques de perte ou de détérioration de données.
-Gérer la politique de protection de la vie privée
+**__Gérer la politique de protection de la vie privée__**
 Le responsable de la protection des données personnelles veillera tout au long du projet au respect des règles et du respect des droits définis par le RGPD. Ainsi, il sera possible de mettre à jour au fur et à mesure notre plan d'action et notre politique "Informatique et libertés" au fur et à mesure de l'avancement du projet.
@@ Ligne 287: / Ligne 303: @@
 Il sera alors nécessaire de mettre en place toutes les mesures possibles dans le cadre de ce projet et dans la limite du temps imparti pour celui-ci afin de mettre en oeuvre une protection des données personnelle maximale.
-Intégrer la protection de la vie privée dans les projets
+**__Intégrer la protection de la vie privée dans les projets__**
 Le projet inclu la protection de la vie privée et des données personnelle parmi les axes de réfléxion et d'attention du projet.
 Un responsable de la protection des données personnelles a été nommé et une analyse d'impact sur la protection des données a été réalisée avant le début des traitements.
-Gestion des personnels
+**__Gestion des personnels__**
 Au cours du projet, le responsable de la protection des données personnelles se chargera de communiquer à tous les membres de l'équipe les bonnes pratiques en terme de protection de la vie privée et de protection des données à caractère personnel.
@@ Ligne 299: / Ligne 317: @@
 Cette clause est valable même après la fin du projet ce qui renforce la sécurité et la confidentialité des données récoltées.
-Archivage
+**__Archivage__**
 Sur accord du volontaire, les données électro-encéphalographiques le concernant seront conservées sur nos serveurs.
@@ Ligne 306: / Ligne 325: @@
 Cette utilisation sera uniquement possible selon des modalités à définir avec l'équipe projet et uniquement dans le cadre strict d'un usage pédagogique et selon les conditions soumises aux volontaires lors de la complétion du formulaire de consentement.
-Sécurisation des documents papier
+**__Sécurisation des documents papier__**
 Les documents produits au cours de l'expérimentation (formulaires de consementement et accords de confidentialité complétés) seront conservés dans un coffre sécurisé par un code.
@@ Ligne 313: / Ligne 333: @@
 Ceci permettra de conserver ces documents sur le long terme tout en minimisant le risque de perte de ceux-ci et en permettant de garder confidentiel les documents attestant de la participation à l'expérimentation.
-Organisation de la politique de protection de la vie privée
+**__Organisation de la politique de protection de la vie privée__**
 Au cours de ce projet, une équipe a été constituée afin de veiller au respect de la vie privée et à la protection des données personnelles.
@@ Ligne 445: / Ligne 466: @@
 Raison pour laquelle l'avis des personnes concernées n'a pas été demandé :
-Le traitement aura lieu beaucoup plus tard dans l'année universitaire. Il n'est pas possible à l'heure actuelle de demander l'avis des personnes concernée.
+Le traitement aura lieu beaucoup plus tard dans l'année universitaire. Il n'est pas possible à l'heure actuelle de demander l'avis des personnes concernées.

Projet 4A : Casque d'interaction neuronale (2021/2022)

Outils pour utilisateurs

Outils du site

Différences

Outils de la page