5 - Procédures | XEFI Neuchâtel

1. Dans votre entreprise, tout le monde sait qu’il doit signaler immédiatement les atteintes à la sécurité des données, c’est-à-dire si des données personnelles ont été perdues, volées, ont fait l’objet d’une utilisation frauduleuse, ou si elles ont été divulguées à des personnes extérieures.

Non, cela ne sera pas le cas. / Je ne sais pas. Non, nous ne le faisons pas aujourd’hui, mais nous prévoyons le faire à l’avenir. Ce sera probablement le cas, mais nous n’en avons pas fait un enjeu immédiat. Oui, nous avons formalisé cela et entrepris des actions de formation et de contrôle.

2. S’il y a une atteinte à la protection des données, vous savez comment et à qui la signaler, ou bien comment traiter ce type d’incident.

Non, nous n’avons pas réglé la question. Nous avons un référent à qui cela serait signalé immédiatement à l’interne, mais nous ne savons pas vraiment quoi faire. Oui, c'est exact, nous informons le préposé Fédéral à la protection des données, nos clients, nos fournisseurs et nos employés

3. Personne ne peut créer une nouvelle collecte de données à caractère personnel, ni introduire de données à caractère personnel dans un nouveau logiciel ou service, ni lancer une nouvelle opération de traitement de données, sans votre examen préalable des règles de protection des données, et sans qu’une personne ait été désignée comme propriétaire et responsable du respect de la protection de ces données.

Nous ne nous en sommes pas occupés jusqu’à maintenant / je ne sais pas. Non, nous ne le faisons pas aujourd’hui, mais nous prévoyons le faire à l’avenir. Nous ne le faisons que pour les grands projets. Oui, cela fait entièrement partie de notre process.

4. Si vous planifiez une opération de traitement de données particulièrement sensible (par ex. surveillance, traitement de nombreuses données personnelles sensibles), vous effectuez une étude d’impact sur la protection des données (DPIA).

Nous ne nous en sommes pas occupés jusqu’à maintenant / je ne sais pas de quoi il s’agit. Non, nous ne le faisons pas actuellement, mais nous prévoyons de le faire à l’avenir. Nous n’avons pas mis en place de telles mesures. Oui, cela fait partie de nos process.

5. Si quelqu’un vous pose des questions sur ses propres données personnelles (par ex. pour des informations ou une suppression), vous les confiez immédiatement à quelqu’un qui saura traiter cette requête.

Nous n’avons pas encore eu de questions de ce genre. Par conséquent, nous ne nous en sommes pas occupés / Je ne sais pas. Il n’y a pas de règlement à ce sujet; celui qui reçoit la demande s’en occupe. Non, nous ne le faisons pas aujourd’hui de cette façon, mais nous prévoyons de le faire à l’avenir. Oui, cela fait partie intégrante de nos process.

6. Votre conseil d’administration et votre direction ont des connaissances de base en matière de protection des données et sont régulièrement informés de votre position en matière de protection des données, ils établissent ainsi les spécifications nécessaires, et interviennent si des incidents se produisent.

Non, notre conseil d’administration et la direction ne s’en soucient pas. Non, cela ne fait pas partie de notre fonctionnement aujourd’hui, mais nous prévoyons de le mettre en place à l’avenir. Un seul responsable s’en occupe. Oui, le conseil d’administration et la direction sont impliqués en ce sens et nous faisons une revue annuelle de notre politique de confidentialité

AUDIT nLDP

Achevé

5 - Procédures