S’autoévaluer sur le RGPD et la cybersécurité

Ce questionnaire a pour objectif de vous permettre d’évaluer de façon globale votre maturité en matière de règlementation relative aux données personnelles (RGPD) et de cybersécurité. Pour répondre, choisissez la proposition qui correspond le plus à votre situation. Vous ne pouvez choisir qu’une seule réponse par question.

Vos réponses aux questions permettront d’évaluer votre niveau de conformité et le risque à gérer. Vous recevrez par email votre rapport d’analyse détaillé.

Ce questionnaire n’est pas exhaustif et ne permet pas d’attester de votre maturité de manière certaine et définitive. Il a uniquement une valeur indicative et ne constitue pas un conseil juridique.

« * » indique les champs nécessaires

Étape 1 sur 23

X/Twitter

Ce champ n’est utilisé qu’à des fins de validation et devrait rester inchangé.

Ce champ est masqué lorsque l‘on voit le formulaire.

Introduction

Traitez-vous des données personnelles ?*

Données personnelles telles que définies à l'article 4 du RGPD. Par exemple : nom et prénom, numéro de téléphone, une adresse postale ou email.

Je ne sais pas

Non

Oui

Oui, et je tiens un registre mis à jour régulièrement

Traitez-vous des catégories de données sensibles ?*

Données sensibles telles que définies à l'article 9 du RGPD. Exemples : données relatives à l'origine raciale ou ethnique, données relatives aux opinions politiques, données concernant la santé.

Je ne sais pas

Oui

Non, je ne traite que des données personnelles usuelles

Données anonymisées

Disposez-vous d’une cartographie des données que vous stockez, distinguant les données personnelles traitées par votre organisation des autres types de données ? Cette cartographie identifie-t-elle les données sensibles ?*

Je ne sais pas

Non, mais je suis capable d’énumérer les données sensibles traitées

La cartographie des traitements de données est en cours

Oui, mais la version existante est ancienne et/ou incomplète

Oui, et je la mets à jour régulièrement

Avez-vous désigné un DPO interne/externe ?*

Le Délégué à la Protection des Données (Data Protection Officer = DPO) est le chef d'orchestre de la protection des données dans votre organisation. Ayant un certain niveau de connaissances en matière de protection des données, il participe, notamment en dispensant des conseils, à la conformité de l'organisation au RGPD et ce, de manière dynamique et contiguë.

Je ne sais pas, qu’est-ce qu’un DPO ?

Non

Oui

En cours de désignation

Quel est le nombre de salariés, clients, adhérents, prospects, sous-traitants, fournisseurs, partenaires, abonnés ou toutes autres catégories de personnes dont les données personnelles sont traitées (collectées, stockées…) par votre organisation ?*

Votre organisation est-elle une autorité ou un organisme public, ou effectue-t-elle un traitement de données régulier, systématique et à grande échelle, ou est-elle amenée à traiter à grande échelle des données sensibles ou relatives à des condamnations pénales et infraction ?

Je ne sais pas

Mon organisation est une autorité ou un organisme public,
OU les traitements sont effectués par mon organisation de manière régulière, systématique et à grande échelle;
OU mon traitement concerne des données sensibles ou des données relatives à des condamnations pénales ou à des infractions et il est effectué à grande échelle;
ET aucun DPO n’a été désigné

La cartographie des traitements est en cours

Mon organisation rencontre des problématiques relatives à la protection des données personnelles

Mon organisation a désigné un DPO car elle est une une autorité ou un organisme public, OU le traitement est effectué de manière régulière, systématique et à grande échelle ; OU le traitement concerne des données sensibles ou des données relatives à des condamnations pénales ou à des infractions et il est effectué à grande échelle

Mon organisation ne traite pas de données personnelles

Des tiers ont-ils accès aux données traitées par votre organisation ?*

Je ne sais pas, je ne les connais pas

Oui, ils sont en cours d’identification

Oui, des prestataires externes

Aucun

Où votre organisation réalise-t-elle le traitement des données personnelles ?*

Le transfert de données à caractère personnel est licite lorsqu'il est effectué vers un pays de l'UE/EEE ou vers un pays assurant un niveau de protection adéquat et bénéficiant d'une décision d'adéquation à ce titre. Le transfert de données personnelles vers un pays situé hors de l'UE/EEE et ne bénéficiant pas d'une décision d'adéquation doit être fondé sur des garanties appropriées (article 46 du RGPD).

L’ensemble des traitements sont exclusivement réalisés dans l’UE/EEE

L’ensemble de mes traitements de données sont réalisés dans un pays en dehors de l’UE en vertu des principes généraux applicables aux transferts (décision d’adéquation ou garanties appropriées)

Une partie de mes traitements est réalisée dans l’UE/EEE et l’autre partie dans un pays ne satisfaisant pas aux principes généraux applicables aux transferts

L’ensemble ou une partie des traitements de données sont réalisés dans un pays tiers ne satisfaisant pas aux principes généraux applicables aux transferts et aucun mécanisme spécial n’a été mis en place

Connaissez-vous et êtes-vous informé de vos obligations légales et règlementaires en matière de protection des données ?*

L'amande administrative maximale est portée à 20 millions d'euros ou 4% du chiffre d'affaires mondial.

Non

Très peu

Globalement, oui

En effet, et j’organise des séances de sensibilisation régulièrement

Incluez-vous systématiquement dans vos contrats des clauses relatives à la protection des données personnelles (RGPD, sécurité, …) ?*

Non

Oui, mais je ne les comprends pas bien

Je le fais dès à présent pour mes nouveaux contrats, et j’en comprends les enjeux

Oui, et je fais évoluer mon modèle de clause en fonction de la règlementation et de mes propres retours d’expérience

Votre organisation a-t-elle déjà subi une atteinte à votre système informatique (SI) ?*

Je ne sais pas

Non, pas à ma connaissance

Non, je n’ai jamais eu d’atteinte à mes données

Oui, et j’ai amélioré mon Plan de Continuité d’Activité à l’occasion

Avez-vous un dispositif vous permettant de détecter les atteintes à la protection des données ?*

Non

La mise en place d’un tel dispositif est en cours

Non, mais je fais une copie

Oui, les tentatives d’intrusion sont repérées. Je sais si les données sont compromises, altérées ou divulguées.

Avez-vous mis en place des mesures pour réagir en cas d’atteinte à votre système informatique (SI) ?*

Je ne sais pas

Non, car je n’ai jamais eu d’atteinte à mes données

Non, je ne sais pas quelles mesures prendre

Oui, c’est en cours

Oui, j’ai mis en place mon Plan de Continuité d’Activité ainsi qu’une procédure de gestion des notifications de violations de données à la CNIL

Autorisez-vous l’accès à votre SI via des périphériques nomades (Clés USB, Smartphones, portables, etc) ?*

Je ne sais pas

Oui, bien sûr, toujours

Oui, sous certaines conditions

Non

Quels sont les moyens financiers consacrés à la sécurité informatique au sein de votre organisation ?*

Pas de chiffrage de ces moyens

< 1% du CA

> 1% du CA

Effectuez-vous des mises à jour du niveau de protection de vos données (informatique, juridique, etc.) ?*

Non

Oui, mais sans forcément en connaître la fréquence et en mesurer les effets

Oui, régulièrement afin de traiter les nouveaux risques que j’ai pu identifier

Existe-t-il une politique de sécurité du système d’information écrite et connue des salariés ou toutes autres catégories de personnes dont les données personnelles sont traitées par votre organisation, ou qui traitent des données pour votre compte ?*

Non

Je ne sais pas

Cette politique est en cours de production

Oui

Oui, mise à jour et opposable

Disposez-vous de moyens organisationnels permettant de vous assurer que la politique de sécurité est effectivement respectée et/ou d’assurer le maintien à jour de cette politique ?*

Non

Oui

Oui, et les traitements correspondants respectent la règlementation applicable

Quelle personne ou quel service est en charge de la sécurité des données utilisées par votre organisation ?*

Le RSSI

Le DPO

Cette personne est en cours de désignation/ de recrutement.

Ne sais pas / Aucun

Tout le monde par principe, personne en particulier

Etes-vous assuré contre le risque d’atteinte aux systèmes informatiques (SI) de votre organisation ?*

Non

Je ne sais pas

Je suis actuellement en train de souscrire une assurance spécifique

Oui, bien sûr

Tout ou partie de vos données sont–elles hébergées/opérées dans un service cloud ?*

Je ne sais pas

Non, je réalise tout en interne

Oui, et je dispose de SLA et d’une politique de sécurité bien adaptés. Le prestataire dispose de certifications de sécurité conformes à mon secteur d’activité.

Je suis actuellement en processus de migration de mes données

Votre messagerie de courriers électroniques est-elle hébergée ou opérée par un tiers ?*

Oui, c’est une messagerie gratuite

Oui, c’est un prestataire de proximité

Oui, c’est un professionnel qui pilote la sécurité, incluant le back-up. Le prestataire dispose de certifications de sécurité.

Nom*

Prénom*

E-mail*

Fonction

Société

Ce champ est masqué lorsque l‘on voit le formulaire.

Résultat

RGPD*

En soumettant le formulaire, vous acceptez que l'Association de prévention des risques numériques conserve vos données personnelles et vous contacte dans le cadre de votre demande.*

S’autoévaluer sur le RGPD et la cybersécurité

Restez informés

APRN

Plan du site