Gestion Electronique de Courrier : comment respecter le RGPD ?
La Gestion Électronique de Courrier (GEC) soulève des questions relatives à la confidentialité de certains courriers ou au caractère personnel des données. La conformité avec le Règlement Général sur la Protection des Données (RGPD) doit aussi ici être appliquée.
Gérer les données dans le cadre du RGPD
Le RGPD préconise une gestion stricte des données personnelles, le chiffrement des mots de passe, et la non-conservation dans un système ouvert au-delà de la période de gestion courante.
Dans le cadre de cette réglementation, une bonne gestion des données personnelles passe par plusieurs étapes :
- Informer le destinataire des finalités de traitement – par exemple via une note systématique située dans le pied de page du courrier ou de l’email de réponse, en précisant pour les organismes publics les modalités de contact du Délégué à la Protection des Données (DPO – Data Protection Officer)
- Réserver les accès aux personnes autorisées
- Identifier et qualifier les données circulant dans la base active, y associer un point de départ, une durée d’utilité, un sort final ainsi qu’une durée et les modalités de conservation
- Classer les documents
- Requêter et purger à la « date anniversaire » des documents dans le respect de leur cycle de vie
Conserver les documents comportant des données personnelles, que dit le RGPD ?
Le RGPD évoque la mise en place de processus d’effacement automatique des documents comportant des données personnelles à l’issue d’une période prédéfinie. La CNIL, sur son site, en référence à l’article 5 du RGPD, indique que le responsable de traitement ne peut conserver indéfiniment des informations sur des personnes physiques dans ses fichiers.
En effet, si une durée de conservation des données personnelles n’est pas imposée par un texte légal (par exemple, 10 ans pour les documents comptables), le responsable de traitement la fixe lui-même en fonction de l’utilité de la donnée.
Par ailleurs, la durée de conservation fixée ne doit pas être excessive au regard des raisons pour lesquelles elles ont été collectées (par exemple, le temps de la relation contractuelle pour les informations figurant dans un fichier clients). Au-delà de cette durée, il convient d’effacer ou de rendre anonyme les données.
 |
Maarch Courrier : gérez l’ensemble de vos correspondances |
RGPD : quelles sont les obligations pour les administrations ?
Depuis le 25 mai 2018, les collectivités locales et les administrations tiennent un registre de leurs activités de traitement en vue de démontrer leur conformité au RGPD. Le traitement des informations nominatives doit y être parfaitement traçable afin de prouver que les procédures sont parfaitement conformes et sécurisées à tout moment. Elles doivent justifier de bonnes pratiques en matière de collecte, de partage de stockage, et de destruction des informations.
- Notifier à la CNIL sous 72 heures ou renseigner les usagers, en cas de violation des données personnelles
- Effectuer des analyses d’impact sur la vie privée et les libertés pour certains traitements à risques
- Encadrer les opérations sous-traitées dans les contrats de prestation de services
- Veiller à garantir la confidentialité des données
- Organiser la prise en charge des demandes d’exercice des droits
- Organiser la détection et la gestion des incidents de sécurité
En outre, dans le cadre d’une mission de service public, les documents comportant des données personnelles doivent être versés au plus tôt dans un SAE (Système d’Archivage Électronique), dont la responsabilité de communication ira à l’archiviste.
Notre solution Maarch Courrier intègre nativement les exigences RGPD dans ses processus d’archivage.
