La pratique des PME suisses
Protection des données
Instructions pour « Protection des données » dans : pas à pas, avec l’emplacement dans le menu, les étapes et les limites.
Protection des données
Protection des données (vue d’ensemble)
QMS | base › Protection des données
Affiche des tuiles avec des compteurs pour la gestion de la protection des données selon la LPD : activités de traitement actives, mesures de sécurité des données, analyses d’impact ouvertes, demandes ouvertes des personnes concernées avec délai et contrôles d’effacement échus. S’y ajoutent des liens vers les violations de données dans le registre des incidents et vers les actifs contenant des données personnelles.
Étape par étape
- Cliquer sur une tuile pour ouvrir la liste.
- Les indications rouges sur les tuiles signalent des demandes en retard ou des vérifications échues.
- En bas, télécharger le registre sous forme de tableau ou de PDF.
Registre des activités de traitement
QMS | base › Protection des données › Registre
Liste les activités de traitement (art. 12 LPD) avec numéro VT-001, société responsable du traitement, statut et prochaine vérification. Filtres par statut, données personnelles sensibles et communication à l’étranger, recherche par désignation ou finalité, export sous forme de tableau (XLSX) et de PDF.
Étape par étape
- En bas, ouvrir « Saisir une activité de traitement ».
- Saisir la désignation, la finalité, les catégories de personnes concernées et de données personnelles (une entrée par ligne), les destinataires et la conservation.
- En cas de communication à l’étranger, choisir les États et la garantie.
- Lier les mesures de sécurité des données, les processus et les actifs, puis choisir « Créer ».
- Télécharger l’état actuel avec « Exporter en tableau » ou « Registre en PDF ».
Activité de traitement
QMS | base › Protection des données › Registre › Entrée
Affiche une activité de traitement avec toutes les indications, la liste des indications obligatoires manquantes, le statut, la vérification périodique, le délai d’effacement avec les contrôles d’effacement, les analyses d’impact et les demandes qui la concernent.
Étape par étape
- Sous « Exhaustivité et statut », vérifier les indications obligatoires manquantes et mettre en vigueur avec « Activer ».
- Sous « Vérification périodique », fixer la prochaine vérification selon l’intervalle avec « Confirmer la vérification ».
- Sous « Contrôles d’effacement », saisir le résultat du contrôle d’effacement.
- Sous « Analyses d’impact relatives à la protection des données », créer une nouvelle analyse d’impact.
- En bas, dans la zone « Modifier », changer les indications.
Mesures techniques et organisationnelles (MTO)
QMS | base › Protection des données › MTO
Catalogue des mesures de sécurité des données (LPD art. 8, OPDo art. 1 à 5) avec numéro TOM-001, catégorie, statut planifiée, mise en œuvre ou vérifiée et date de vérification. Filtre par catégorie.
Étape par étape
- En bas, ouvrir « Saisir une mesure ».
- Saisir la désignation, la catégorie, le statut et la description.
- Si souhaité, lier directement à des activités de traitement et choisir « Créer ».
Mesure de sécurité des données
QMS | base › Protection des données › MTO › Entrée
Affiche une mesure avec description, statut, dernière et prochaine vérification ainsi que les activités de traitement et analyses d’impact liées.
Étape par étape
- Dans la zone « Modifier », mettre à jour le statut, la date de vérification et la prochaine vérification.
- Choisir « Enregistrer ».
Analyses d’impact relatives à la protection des données
QMS | base › Protection des données › AIPD
Liste les analyses d’impact (LPD art. 22) avec numéro DSFA-001, activité de traitement, résultat de l’examen préalable, risque résiduel global et statut. Les nouvelles analyses d’impact sont créées pour une activité de traitement.
Étape par étape
- En bas, ouvrir « Créer une analyse d’impact ».
- Choisir l’activité de traitement, saisir un titre si souhaité et créer.
- Restreindre avec le filtre à brouillon, à approuver ou approuvée.
Traiter et approuver une analyse d’impact
QMS | base › Protection des données › AIPD › Entrée
Guide à travers une analyse d’impact : examen préalable avec critères, description, risques avec probabilité d’occurrence et gravité de 1 à 4 et valeurs résiduelles, mesures, décision concernant la consultation du PFPDT en cas de risque résiduel élevé (LPD art. 23), clôture et approbation par une deuxième personne.
Étape par étape
- Dans la zone « Modifier », cocher les critères applicables de l’examen préalable et décrire le traitement.
- Sous « Risques », saisir les risques avec « Ajouter un risque » et, après les mesures, fixer les valeurs résiduelles.
- Sous « Mesures », créer les points ouverts avec responsabilité et échéance.
- Choisir « Clôturer et transmettre pour approbation ».
- Une deuxième personne ouvre l’analyse d’impact et choisit « Approuver » ou « Remettre en brouillon » avec justification.
Demandes des personnes concernées
QMS | base › Protection des données › Demandes
Saisit les demandes d’accès, de rectification, d’effacement, de remise ou d’opposition (LPD art. 25 à 28 et 32) avec numéro BG-AAAA-NNN et affiche le délai avec un feu. Seul un identifiant librement choisi est enregistré, aucune donnée personnelle de la personne requérante.
Étape par étape
- En bas, ouvrir « Saisir une demande ».
- Choisir le type, l’identifiant, la date de réception et la personne responsable.
- Si souhaité, choisir les activités de traitement concernées et confirmer avec « Saisir la demande ».
- Restreindre par statut avec le filtre ; les demandes ouvertes figurent en haut, triées par délai.
Traiter une demande d’une personne concernée
QMS | base › Protection des données › Demandes › Entrée
Affiche une demande avec réception, délai, prolongation, vérification de l’identité et date de réponse. C’est ici que le statut, la prolongation et les indications sont mis à jour.
Étape par étape
- Après la vérification de l’identité, cocher la case dans la zone « Modifier » et enregistrer.
- Sous « Statut », choisir réponse donnée ou refusée avec la date de réponse, puis « Enregistrer le statut ».
- Si nécessaire, saisir sous « Prolonger le délai » une nouvelle fin du délai avec justification.
Délais d’effacement
QMS | base › Protection des données › Délais d’effacement
Affiche pour chaque activité de traitement en cours le délai d’effacement (mois ou années à compter d’un événement), le dernier et le prochain contrôle d’effacement avec un feu des échéances. Les contrôles d’effacement peuvent être saisis directement dans la ligne.
Étape par étape
- Dans la ligne, ouvrir « Saisir un contrôle d’effacement ».
- Saisir la date, le résultat effacé ou conservé et, en cas de conservation, le motif.
- Choisir « Enregistrer le contrôle » ; le prochain contrôle d’effacement suit selon l’intervalle de l’activité de traitement.
La prochaine étape commence par une discussion.