Re: [Aful] comment concretement tester une application web libre - https://github.com/bstarynk/helpcovid - et s'assurer de sa conformité à la RGPD en cours de Covid19
Bonjour,
Le mercredi 08 avril 2020 à 22:24 +0200, Stéfane Fermigier a écrit :
>
> Le RGPD dit essentiellement à ce sujet qu'il ne faut pas garder les
> données personnes plus que nécessaire.
>
> 6 mois, c'est pour les logs. Pour les données marketing c'est 3 ans
> après la dernière interaction avec un prospect, etc.
>
> https://www.cnil.fr/fr/gerer-la-duree-de-conservation-des-donnees
En effet, la règle est d'avoir une durée de rétention strictement
dictée par l'objectif poursuivi par le traitement. Typiquement, la
durée de rétention dans le cas de ton application devrait certainement
être en lien avec la durée du confinement ou de l'épidémie.
>
> "Les données personnelles doivent donc être conservées et accessibles
> par les services opérationnels uniquement le temps nécessaire à
> l’accomplissement de l’objectif poursuivi lors de leur collecte."
>
> > Ai-je le droit de faire tourner sur un VPS Debian en France une
> > application web qui invite ses utilisateurs à saisir librement et
> > de leur plein gré: leur état déclaré de maladie (du genre: je suis
> > sûrement, peut-être, pas du tout, ne sait pas malade du Covid19) et
> > peut-être même leur numéro de sécurité sociale (dont je pense qu'il
> > serait utile au système médicale si par malheur une personne tombe
> > malade).
> >
> >
>
> Sûrement. Il n'y a notamment plus besoin de faire une déclaration à
> la CNIL, sauf dans un certain nombre de cas particulier, qui touchent
> notamment à la santé. A toi de voir si ce que tu veux faire relève de
> ces cas.
>
> https://www.cnil.fr/fr/declarer-un-fichier
>
Je pense que les données de santé sont à traiter avec des précautions
très grandes. Elles font en effet partie des données sensibles (de même
que les opinions politiques ou religieuses, les données judiciaires,
etc...).
Le numéro de sécu fait partie des données sensibles (identifiant
national unique, ça permet de recouper des tas de trucs, donc c'est
dangereux), ça me semble une mauvaise idée.
Autre principe : minimiser les données collectées et se restreindre à
celles indispensables à l'objectif du traitement. Année de naissance ?
pourquoi pas plutôt des fourchettes d'âge (si cela suffit à répondre au
besoin), etc...
Bon courage et bon rétablissement,
Cordialement
Franck
Reply to: