TP – Recenser les traitements de données personnelles d'une PME

BTS SIO SISR 1re année – Bloc 3 – S06

Note

But. Situation : Quelles données personnelles circulent dans l'entreprise, qui est responsable de quoi, et comment le prouver ?

Comment ce TP fonctionne. Avant de manipuler, tu écris ce que tu anticipes (« J'anticipe »). Puis tu testes et tu notes ce que tu constates. Tu comprends ce que fait chaque commande (« Je comprends »). Un bilan de compétences clôt la séance. Les manipulations se font sur des machines virtuelles de laboratoire, isolées du réseau de l'établissement. Les identifiants communs d'un TP sont des identifiants de laboratoire : ils ne se réutilisent jamais ailleurs.

Objectif

Recenser les traitements de données personnelles d'une PME à partir de la description de son système d'information, renseigner son registre, retrouver des données personnelles dans un partage, puis analyser les écarts de conformité d'un cabinet médical.

Contraintes

Binôme, durée : 3 h 10.
Toutes les entreprises et données de ce TP sont fictives. Ne cherche pas de vraies données personnelles.
Les recherches de la partie B se font uniquement dans le dossier de laboratoire créé pour l'occasion.

Partie A. Renseigner le registre des traitements d'InnoTech (60 min)

Lis le système d'information d'InnoTech (colonne de gauche = application). Remplis une fiche de registre pour chacun de ces trois traitements : paie, recrutement, journaux du pare-feu et du serveur web.

Rubrique	Paie	Recrutement	Journaux pare-feu et web
Finalité
Base légale (hypothèse de travail)
Personnes concernées
Catégories de données
Données sensibles ?
Destinataires, sous-traitants
Transfert hors UE ? (à vérifier)
Durée de conservation proposée
Mesures de sécurité en place
Écarts relevés

J'anticipe. Dans la description, deux traitements présentent un problème de conservation évident. Lesquels, d'après toi ? ______________________

Éléments de réponse

Les journaux (« conservés indéfiniment faute de purge ») et le logiciel de recrutement (« conservé tant que le logiciel est utilisé » : les candidats non retenus ne devraient pas rester sans limite). Ce sont des manquements au principe de limitation de la conservation.

Questions.

Le numéro de sécurité sociale figure dans le traitement de paie : est-ce une donnée sensible au sens de l'article 9 ? Les arrêts maladie ? ______________________
Qui est le responsable de traitement de la paie ? Qui est sous-traitant ? Quel document doit les lier ? ______________________
Le système de badges est-il un traitement de données personnelles ? Que mettrais-tu dans sa fiche ? ______________________
Quelle est la différence entre ce que tu peux renseigner seul, et ce qui exige un arbitrage de la direction (durée, finalité) ? ______________________

Partie B. Retrouver des données personnelles (50 min)

Dans la VM Debian, crée le partage de laboratoire avec le script suivant (toutes les données sont inventées). Enregistre-le sous gen-partage.sh puis lance-le.

#!/bin/bash
D=~/partage-labo
mkdir -p "$D"/{commercial,rh,compta,divers}
cat > "$D/commercial/clients-2019.csv" <<'EOF'
nom;prenom;email;telephone
Durand;Alice;alice.durand@example.com;06 00 00 00 01
Martin;Bruno;b.martin@example.org;0600000002
Petit;Chloé;chloe.petit@example.net;+33 6 00 00 00 03
EOF
cat > "$D/commercial/notes-appel.txt" <<'EOF'
Rappeler M. Leroy (david.leroy@example.com) au 06.00.00.00.04 avant vendredi.
Il souhaite un devis pour 12 postes. Remise accordée : 5 %.
EOF
cat > "$D/rh/arrets.txt" <<'EOF'
Arrêt maladie de Mme Garcia du 12 au 26 mars (certificat reçu).
Contact : emma.garcia@example.com
EOF
cat > "$D/rh/fiche-paie-modele.txt" <<'EOF'
Salarié : Farid Haddad
N° de sécurité sociale : 1 00 00 00 000 000 00
IBAN : FR76 0000 0000 0000 0000 0000 000
EOF
cat > "$D/compta/virements-fournisseurs.txt" <<'EOF'
Fournisseur bois : IBAN FR76 1111 1111 1111 1111 1111 111
Fournisseur quincaillerie : contact@example.com
EOF
cat > "$D/divers/idees-fete.txt" <<'EOF'
Organiser la fête de fin d'année. Budget : 600 euros. Aucune donnée personnelle ici.
EOF
echo "Partage de laboratoire créé dans $D"

Lance ensuite les recherches :

grep -rEoh '[A-Za-z0-9._%+-]+@[A-Za-z0-9.-]+\.[A-Za-z]{2,}' ~/partage-labo | sort | uniq -c
grep -rEn '(\+33 ?|0)[1-9]([ .]?[0-9]{2}){4}' ~/partage-labo
grep -rEn 'FR[0-9]{2}( ?[0-9A-Z]{4}){5} ?[0-9A-Z]{3}' ~/partage-labo
grep -rEn '[12] ?[0-9]{2} ?[0-9]{2} ?[0-9]{2} ?[0-9]{3} ?[0-9]{3} ?[0-9]{2}' ~/partage-labo
grep -rEil 'arrêt maladie|certificat' ~/partage-labo

Je comprends.

Option ou motif	Rôle
`grep -r`	Cherche récursivement dans tous les fichiers du dossier
`-E`	Active les expressions régulières étendues
`-o`, `-h`	Affiche seulement la partie qui correspond, sans nom de fichier
`-n`	Ajoute le numéro de ligne
`-i`, `-l`	Insensible à la casse ; liste seulement les fichiers concernés
`[A-Za-z0-9._%+-]+@...`	Un motif de courriel
`(\+33 ?\\|0)[1-9]([ .]?[0-9]{2}){4}`	Un numéro de téléphone français sous plusieurs écritures
`FR[0-9]{2}( ?[0-9A-Z]{4}){5} ?[0-9A-Z]{3}`	Un IBAN français
`[12] ?[0-9]{2}...`	Un numéro de sécurité sociale (15 chiffres)

J'anticipe. Les recherches par motifs vont-elles trouver tous les noms de personnes du partage ? ______________________

Éléments de réponse

Non : un nom n'a pas de forme reconnaissable (« Leroy », « Garcia »). Les motifs trouvent les données à format fixe (courriel, téléphone, IBAN, numéro de sécurité sociale) ; pour le reste, il faut une recherche par mots-clés, un examen manuel, ou un outil de découverte de données. C'est une aide à l'inventaire, pas une garantie.

Complète le tableau des découvertes :

Fichier	Données trouvées	Catégorie (ordinaire / sensible)	Traitement du registre concerné	Action proposée
`commercial/clients-2019.csv`
`commercial/notes-appel.txt`
`rh/arrets.txt`
`rh/fiche-paie-modele.txt`
`compta/virements-fournisseurs.txt`

Questions.

Deux IBAN sont trouvés dans virements-fournisseurs.txt : s'agit-il de données personnelles ? Cela dépend de quoi ? ______________________
Que fais-tu du fichier clients-2019.csv si aucune finalité en cours ne le justifie ? ______________________
Pourquoi ces fichiers constituent-ils un risque de sécurité même s'ils sont rangés dans le bon dossier ? ______________________

Partie C. Le cabinet MédicaPlus (30 min)

Situation (fictive). MédicaPlus est un cabinet de trois médecins. Ils utilisent un logiciel de dossiers patients (nom, date de naissance, diagnostics, ordonnances), envoient des rappels de rendez-vous par SMS, transmettent des comptes rendus à des spécialistes par courriel non chiffré, et stockent les données sur un NAS local, sans chiffrement ni sauvegarde.

Les données sont-elles personnelles ? Certaines sont-elles sensibles ? Lesquelles ? ______________________
Qui est le responsable de traitement ? L'éditeur du logiciel est-il sous-traitant ? Pourquoi ? ______________________
Relève trois non-conformités et relie chacune à un principe de l'article 5 ou à une mesure de sécurité vue en S01 à S05 :

Non-conformité	Principe ou mesure	Recommandation

Je comprends. Une non-conformité se décrit toujours par le fait, la règle qu'il contredit et la mesure qui le corrige : c'est la structure d'une réponse d'étude de cas (S18).

Retour en entreprise

Si ta situation le permet : observe comment ton entreprise traite ce sujet, note en quelques lignes l'écart avec le TP, et, avec l'accord de ton tuteur, réalise une partie sur une situation réelle. Anonymise tes captures. Voir Transfert en entreprise.

Bilan de la séance

Remplis ce bilan seul, honnêtement : il sert à décider ce qu'il faut reprendre. Niveau : Non maîtrisé, Maîtrise partielle, Bonne maîtrise ou Excellente maîtrise (le vocabulaire des grilles nationales d'évaluation) ; Non évalué si tu n'as pas travaillé la compétence aujourd'hui.

Compétence du référentiel	Ce que j'ai fait dans cette séance	Niveau
B3.1 – Protéger les données à caractère personnel

Note

Les codes sont ceux du référentiel (l'arrêté numérote des activités : les codes « B… » sont un usage courant).

Je sais faire, sans aide :

Reconnaître une donnée personnelle et une donnée sensible ;
Identifier le responsable de traitement et les sous-traitants dans une situation ;
Renseigner une fiche de registre : finalité, données, personnes, destinataires, durée, mesures de sécurité ;
Retrouver des données personnelles avec des recherches par motif ;
Relier une non-conformité à un principe de l'article 5.

Ce que je dois reprendre : ______________________

Ma question à poser à l'enseignant : ______________________