Temps de lecture : 22 minutes environ.
Inspirée du Guide RGPD du développeur de la CNIL, cette vidéo parcourt les différentes contraintes, règles et conseils pour les développeurs pour s'assurer que leur application est en conformité avec la réglementation.
Le guide RGPD du développeur : https://cnil.fr/fr/guide-rgpd-du-developpeur
Présentation utilisée dans la vidéo : https://prezi.com/view/AsSB4REcqgoX1fUaUkKS
Qu'est-ce que le RGPD ?
Le RGPD, ou Règlement Général sur la Protection des Données, est entré en vigueur en France le 25 mai 2018. En tant que développeur, vous devez vous conformer à ce règlement à chaque phase de conception de vos applications et assurer que votre application reste conforme durant son utilisation. Le guide propose 18 étapes pour véritablement être conforme au RGPD.
1. Identifier les Données à Caractère Personnel
Les données à caractère personnel permettent d'identifier une personne physique, comme son nom, prénom, email, adresse IP, ou encore son numéro de téléphone. Certaines données sont plus sensibles, comme les données de santé, opinions politiques, ou l'orientation sexuelle. Vous devez recueillir le consentement express des personnes pour utiliser ces données. Il est essentiel de stocker les données de manière anonyme ou pseudonymisée pour protéger l'identité des utilisateurs.
2. Préparer son Développement
Intégrer la protection des données dès la phase de conception est crucial. Utilisez une approche de Privacy by Design et analysez l'impact sur la protection des données (AIPD). Choisissez des technologies sécurisées et maîtrisez votre système pour éviter les erreurs ou mauvais usages des données personnelles. Suivez les recommandations de la CNIL pour la complexité des mots de passe et utilisez un outil de versionnage pour suivre les modifications du système.
3. Sécuriser son Environnement de Développement
Sécuriser les serveurs de production, de développement, et d'intégration continue, ainsi que les postes de travail est une priorité. Évaluez les risques liés aux outils externes comme Slack, GitHub, ou Discord, et sécurisez les postes de travail conformément aux recommandations de la CNIL. Documentez la gestion des clés SSH et favorisez l'authentification forte pour tous les services.
4. Gérer son Code Source
Utilisez un outil de gestion de code source comme GitHub pour suivre les versions et les accès. Mettez en place une authentification forte et attribuez des niveaux d'accès appropriés aux utilisateurs. Sauvegardez régulièrement le code source et veillez à ce que les secrets et mots de passe ne soient pas stockés dans le dépôt principal. Purgez le dépôt si des données personnelles sont accidentellement commises.
5. Faire un Choix Éclairé de son Architecture
Décrivez le fonctionnement général du projet par un schéma et vérifiez le stockage des données (local, serveur, cloud). Assurez-vous que le prestataire d'hébergement garantit des mesures de sécurité et de confidentialité appropriées, et que les données personnelles européennes ne sont pas stockées en dehors de l'Europe sans anonymisation.
6. Sécuriser vos Sites Web, Applications et Serveurs
Utilisez le TLS 1.2 ou 1.3 pour sécuriser les communications et limitez les ports ouverts. Ne stockez jamais les mots de passe en clair et protégez les cookies d'authentification. Utilisez des protections contre les injections (CSRF) et adoptez une politique stricte de mot de passe pour les administrateurs. Limitez l'accès aux interfaces d'administration et protégez-les avec des mesures de sécurité renforcées.
7. Minimiser les Données Collectées
Collectez uniquement les données pertinentes et nécessaires pour votre objectif. Documentez les types de données collectées et leur durée de conservation. Purgez les données une fois la durée de conservation atteinte et effacez physiquement les données non nécessaires. Utilisez l'anonymisation ou la pseudonymisation pour les conserver à des fins statistiques.
8. Gérer les Profils Utilisateurs
Définissez les habilitations de chaque profil utilisateur et assurez-vous que seules les personnes autorisées ont accès aux données sensibles. Utilisez des identifiants uniques et demandez une authentification avant de donner accès aux données personnelles. Évitez d'utiliser des comptes partagés et gérez les mots de passe avec une authentification forte.
9. Maîtriser vos Bibliothèques et SDK
Évaluez l'intérêt de chaque dépendance et assurez-vous qu'elle sera maintenue aussi longtemps que votre projet. Vérifiez les mécanismes de gestion de la vie privée et recueillez le consentement des utilisateurs pour les données non strictement nécessaires. Maintenez les bibliothèques et SDK à jour et évitez de copier-coller du code de sources non fiables.
10. Veiller à la Qualité de votre Code et sa Documentation
Adoptez une bonne hygiène d'écriture de code, documentez votre code dès le début et mettez à jour la documentation en même temps que le code. Utilisez des outils de qualité de code pour vérifier le respect des conventions et des bonnes pratiques.
11. Tester vos Applications
Automatisez les tests unitaires et fonctionnels pour vérifier le bon fonctionnement de votre application. Mettez en place un système d'intégration continue pour lancer automatiquement les tests à chaque modification du code source. Utilisez des données fictives pour les tests et évitez d'utiliser des données de production.
12. Informer les Utilisateurs
Informez les utilisateurs sur la collecte et l'usage de leurs données de manière simple et accessible. Précisez l'identité de l'entreprise, les finalités, la base légale, les destinataires des données, et la durée de conservation. Donnez des informations sur les droits des personnes et les coordonnées du délégué à la protection des données.
13. Préparer l'Exercice des Droits des Personnes
Mettez en place des outils pour permettre aux utilisateurs d'exercer leurs droits d'accès, de rectification, d'opposition, d'effacement, de portabilité, et de limitation du traitement. Authentifiez les utilisateurs avant de traiter leurs demandes et informez-les des modalités pour exercer leurs droits.
14. Gérer la Durée de Conservation des Données
Définissez des durées de conservation pour chaque type de donnée et supprimez ou anonymisez les données une fois la durée atteinte. Documentez les durées de conservation et les procédures d'effacement automatique.
15. Prendre en Compte les Bases Légales dans l’Implémentation Technique
Fondez le traitement des données personnelles sur une base légale appropriée (contrat, intérêt légitime, consentement, obligation légale, mission d'intérêt public). Documentez votre choix et informez les personnes concernées de la base légale utilisée.
16. Analyser les Pratiques en Matière de Traceurs
Recueillez le consentement préalable des utilisateurs pour l'utilisation de traceurs (cookies) à des fins de publicité, de mesure d'audience, de géolocalisation, de personnalisation du contenu, et de partage sur les réseaux sociaux. Listez les traceurs, bloquez-les avant consentement, et proposez une interface pour gérer le consentement.
17. Mesurer la Fréquentation des Sites Web et Applications
Utilisez des traceurs pour mesurer l'audience, mais assurez-vous qu'ils respectent les critères d'exemption de consentement. Les outils de statistique comme Google Analytics nécessitent le consentement des utilisateurs. Préférez des outils compatibles avec l'exemption de consentement.
18. Se prémunir contre les Attaques Informatiques
Sécurisez vos applications contre les attaques par manipulation des URL, bourrage d'identifiant, force brute, injection de code, et programmes malveillants. Mettez à jour régulièrement vos systèmes, faites des sauvegardes, sensibilisez les utilisateurs aux risques, et utilisez des proxies web pour la navigation sécurisée.
Conclusion
Respecter le RGPD en tant que développeur est un processus complexe mais essentiel pour protéger les données personnelles des utilisateurs. En suivant les étapes recommandées par la CNIL, vous pouvez assurer la conformité de vos applications et protéger les données sensibles. Pour plus de détails, consultez le Guide RGPD du Développeur de la CNIL.
