Awesome

Guide RGPD de l'équipe de développement

La CNIL publie un guide RGPD pour les développeuses et développeurs

Afin de vous accompagner dans la mise en conformité de vos développements projet web ou applicatif, la CNIL a élaboré un guide de bonnes pratiques des développements en open source.

Ce guide est publié sous licence GPLv3 et sous licence ouverte 2.0 (explicitement compatible avec CC-BY 4.0 FR). Vous pouvez donc librement contribuer à son enrichissement.

Ce guide s’adresse-t-il uniquement aux développeuses et développeurs ?

Que vous travailliez seul(e) ou en équipe au développement d'un projet, que vous soyez amené(e) à gérer une équipe de développement, que vous soyez un prestataire, ou simplement curieux, ce guide contient une première approche des grands principes du RGPD et des différents points d’attention à prendre en compte dans le déploiement d’applications respectueuse de la vie privée de ses utilisateurs.

Il propose des conseils et des bonnes pratiques, et offre ainsi des clés de compréhension du RGPD utiles pour tous les acteurs, quelle que soit la taille de leur structure. Il peut également faire l’objet d’échanges au sein des services et dans la relation avec vos clients.

Que contient le guide ?

Ce guide est découpé en 18 fiches thématiques et complété par des exemples de codes qui couvrent la plupart des besoins des développeuses et développeurs pour les accompagner à chaque étape de leur projet, de la préparation du développement au déploiement de nouveaux services.

Le règlement général sur la protection des données (ou RGPD) précise que la protection des droits et libertés des personnes physiques exige de prendre des « mesures techniques et organisationnelles appropriées afin de garantir que les exigences du présent règlement sont respectées » (considérant 78).

La détermination de ces mesures est forcément liée au contexte des traitements mis en place, et le responsable de traitement (l'entité publique ou privée qui traite des données personnelles) doit à ce titre assurer la sécurité des données qu'il est amené à traiter.

Les bonnes pratiques de ce guide n’ont donc pas vocation à couvrir l’ensemble des exigences des règlementations ni à être à prescriptives, elles apportent un premier niveau de mesures permettant de prendre en compte les problématiques de protection de la vie privée dans les développements informatiques qui ont vocation à être appliquées à tous les projets traitant des données. En fonction de la nature des traitements opérés, des mesures complémentaires devront être mises en œuvre dans certains cas afin de respecter pleinement la réglementation.

Tables des matières

0. Développer en conformité avec le RGPD

1. Identifier les données à caractère personnel

2. Préparer son développement

3. Sécuriser son environnement de développement

4. Gérer son code source

5. Faire un choix éclairé de son architecture

6. Sécuriser vos sites web, vos applications et vos serveurs

7. Minimiser les données collectées

8. Gérer les profils utilisateurs

9. Maîtriser vos bibliothèques et vos SDK

10. Veiller à la qualité de votre code et sa documentation

11. Tester vos applications

12. Informer les utilisateurs

13. Préparer l'exercice des droits des personnes

14. Gérer la durée de conservation des données

15. Prendre en compte les bases légales dans l’implémentation technique

16. Analyser les pratiques en matière de traceurs sur vos sites et vos applications

17. Mesurer la fréquentation de vos sites web et de vos applications

18. Se prémunir contre les attaques informatiques

Comment contribuer à ce guide ?

Ce guide est disponible en deux versions :

• Une version web sur le site de la CNIL, et un export PDF dans l'onglet "Releases" de ce repository ;
• Cette version GitHub, qui offre la possibilité à tous d’y contribuer.

La contribution se fait en quelques étapes :

• Inscrivez-vous sur la plateforme Github ;
• Rendez-vous sur la page du projet ;
• Vous pouvez :
  • Utiliser l’onglet "Issue" pour ouvrir des commentaires ou participer à la discussion
  • Utiliser l'option "Fork" pour faire vos propres modifications et proposer leur inclusion via le bouton "Pull Requests"

Votre proposition de contribution sera examinée par la CNIL avant sa publication. La version web du guide RGPD de l'équipe de développement sera régulièrement mise à jour.

Usage

Pour faire vous-même une « release » de ce repository, vous pouvez utiliser l’outil Pandoc. Cet outil vous permettra de convertir les fiches en un fichier docx ou bien un document HTML.

Vous pouvez retrouver les instructions pour installer cet outil ici

• Pour générer un fichier .docx :

pandoc -s --toc --toc-depth=1 -o Guide_RGPD_developpeur.docx [0-9][0-9]*.md

• Pour générer un fichier .html :

pandoc -s --template="templates/mytemplate.html" -H templates/pandoc.css  -o index.html README.md [0-9][0-9]*.md