Kentika et le RGPD - Aide à la mise en conformité
Préambule
Afin d'accompagner les administrateurs de base documentaire Kentika, un programme de mise en conformité est proposé. Il est composé de différents volets :
- une session de sensibilisation au RGPD et de formation aux outils disponibles dans le kit ;
- une assistance à l'installation du kit ;
- l'utilisation de l'outil d'auto-diagnostic ;
- les éléments du registre.
Ce qui est décrit ci-dessous est applicable avec la version 3.1 de Kentika. Pour les sites utilisant la version 3.0 à 3.0.2 : c'est une simple mise à jour sans convertisseur. Pour les sites utilisant une version antérieure, une migration vers la version 3.1 doit être préalablement réalisée.
De la version 3.0.n à la version 3.1
Mise à jour simple : arrêt du service, remplacement du programme Kentika server (et Kentika mono par sécurité), réglage et remise en service. Si le module KDE (full text) est installé, une mise à niveau sera peut être à prévoir. En savoir plus : cliquer ici.
Après installation de cette version et intégration du kit, les réglages peuvent débuter.
De la version 2.n à la version 3.1
Si la migration ne peut être réalisée avant le 25 mai 2018, des tâches préparatoires devront néanmoins être réalisées, notamment la préparation du registre et le contrôle de son architecture.
Installation du kit
Le kit peut être installé par tout gestionnaire ayant accès à l'option "Importer des données".

Après intégration, il est nécessaire de se ré-identifier pour que les nouvelles fonctions importées soient prises en compte.
Gestion des mots de passe
Contrôle à la saisie
Le contrôle des mots de passe est renforcé et paramétrable. Dans le dialogue "Préférences / Paramétrage / Exploitation" : de nouvelles options sont proposées.

Conseil : harmoniser les règles de construction des mots de passe avec celles appliquées dans les autres applications de gestion de votre organisation.
Gestion des connexions via SSO
Dans le cas où les utilisateurs se connectent à Kentika via SSO, le mot de passe Kentika n'est pas utilisé. Il est alors recommandé d'affecter un mot de passe aléatoire (voir ci-dessous : appliquer une formule "Brouiller le mot de passe").
Si la table des personnes est alimentée via une synchronisation avec une source extérieure (exemple : annuaire LDAP, fichier csv ...), il sera nécessaire de s'assurer que le filtre d'import provoque bien un brouillage du mot de passe lors de la création d'un nouveau compte.
Mot de passe oublié
Il est important d'activer le nouveau processus (envoi d'un jeton versus le mot de passe envoyé en clair dans un email).
Kentika client
Le contrôle des mots de passe est effectué depuis la fiche d'une personne ou depuis "Préférences / Mon profil / Identité" : Indiquez votre nouveau mot de passe.

Via le portail
Lorsqu'un utilisateur demande à modifier sa fiche identité, le formulaire se compose de plusieurs parties, dont une relative au mot de passe. Si le nouveau mot de passe renseigné ne correspond pas aux nouvelles règles, il n'est pas pris en compte et un message prévient l'utilisateur.

Demander à recevoir ses données personnelles
Périmètre des données personnelles gérées par le logiciel Kentika
Chaque utilisateur peut demander que ses données personnelles soient effacées du site.
NB : Il s’agit des données personnelles d’historique d’utilisation identifiables comme telles dans le logiciel à l’exclusion des données contenues spécifiquement dans les bases clientes dans les champs de métadonnées personnalisés, les champs de format libre ou encore les documents de Geide qui devront faire l’objet d’une attention et d’un traitement spécifique par le gestionnaire de la base de données (voir plus bas le point sur le processus de conformité)
Via le portail "Mes préférences", chaque utilisateur peut demander à recevoir un email récapitulant l'ensemble des données historiques qui le concerne. Un email est produit par Kentika et envoyé au demandeur.
Contenu des données personnelles
Le mail produit comporte les sections suivantes :
- les données de la fiche personne ;
- les recherches enregistrées ;
- les emprunts et réservations en cours ;
- l'historique des emprunts ;
- les demandes d'achat ;
- les revues sur lesquelles la personne figure en circulation ;
- les kentapps personnelles ;
- les sélections (ou paniers) ;
- les contributions (notes et commentaires) ;
- les actions lancées ;
- les actions qui ont été attribuées ;
- le log (saisies, modifications, suppressions, consultations, recherches ...)
NB : un mécanisme de pseudonymisation des logs et historiques d'emprunts au dela de six mois (valeur par défaut) fait que ces données anciennes n'apparaîtront pas.

Exemple d'email que recevra la personne qui en fait la demande
Le droit à l'oubli
Tout utilisateur peut exercer son droit à l'oubli au travers du portail / mes préférences.

A noter : un message d'alerte au cas où des emprunts seraient toujours en cours
Dans le cas d'un oubli définitif, l'utilisateur ne pourra plus bénéficier des ressources qui lui sont propres et services qui nécessitent une identification. Si une synchronisation est effectuée avec l'annuaire LDAP, sa fiche pourrait être recréée automatiquement (sans son historique). Il sera alors nécessaire de prévoir une adaptation du filtre d'import pour éviter que ce cas ne se produise.
Son activation provoque l'envoi d'un email à l'administrateur de la base (spécifié sur la fiche "site").

email reçu par l'administrateur de la base
Traitement de l'oubli définitif par l'administrateur
L'administrateur qui reçoit une telle demande, procède aux vérifications éventuelles et procède à la pseudonymisation de tout ce qui concerne la personne.

Deux options sont proposées : avec ou sans envoi d'email de confirmation
NB : l'oubli définitif peut être décidé par l'administrateur. Exemple : lorsque l'une personne quitte la société.
En cas d'erreur (une personne pseudonymisée par erreur), en redemandant immédiatement "Oublier la personne", elle peut revenir à l'état normal. Par contre, dès que l'on quitte Kentika, ou que l'on se ré-identifie, la personne ne sera plus accessible.
Lorsqu'une personne est "oubliée", les données suivantes sont concernées :
- fiche signalétique : nom, prénom, adresse email, identifiant, type ;
- log ;
- historique d'emprunts ;
- circulation des revues ;
- demandes d'achat ;
- selections (paniers) ;
- contributions (post) ;
- mail.
Dans le cas d'informations de gestion, l'identifiant de l'utilisateur apparaît sous la forme : $FORGET$$$ suivi d'un numéro. Ceci permet de savoir que, par exemple, une demande d'achat avait été réalisée pour une personne maintenant "oubliée".
Audit et auto-diagnostic
Préambule et avertissement
Le kit RGPD fournit un outil d'assistance à la mise en conformité de son application documentaire : "l'auditeur".
L'auditeur ne vérifie que ce qui est accessible et identifié nativement comme une données personnelle.
Points de contrôles
Ils concernent :
- qui fait quoi ;
- les mots de passe des utilisateurs ;
- le paramétrage des mots de passe ;
- l'pseudonymisation.
Ce qui ne peut pas être contrôler via l'auditeur
Architecture et production : les données sont-elles bien sauvegardées en Europe ? qui a un accès au contenu du disque dur du serveur ?
Contenu des champs : la fiche signalétique comporte des champs libres : comment sont-ils renseignés (ex : comportent-t-il des informations relatives à la santé, à la religion, les opinions politiques) ?
Les fichiers GED : comportent-ils des données personnelles ?
Mode d'emploi
Pour appeler l'auditeur, dans une fenêtre de navigateur, taper l'URL suivante : (nom de votre serveur)/RGPD_Audit.htm
Seules les personnes appartenant à un groupe disposant de l'autorisation "Paramétrage" peuvent activer cette fonction.
La page affiche les avertissements et les personnes dont le mot de passe n'est pas conforme.

Le mode opératoire est le suivant :
- appeler l'auditeur ;
- procéder à des interventions sur la base ;
- appeler à nouveau l'auditeur pour vérifier la résolution des problèmes que l'on a traité.
Avertissements et actions recommandées
Une personne ayant pour identifiant "doc" et mot de passe "doc" existe dans la base
Action recommandée : modifier le mot de passe
Une personne ayant pour identifiant "admin" et mot de passe "admin" existe dans la base
Action recommandée : modifier le mot de passe
Nombre de personnes ayant accès en consultation à la table des personnes
Action recommandée : s'assurer qu'il y a bien une raison pour que ces personnes aient accès à la table des personnes.
Pour savoir quelles sont ces personnes, dans Kentika client, demander l'option suivante :

En activant cette option : la liste des personnes s'affiche dans l'explorateur de données
Une nouvelle autorisation est maintenant disponible : "Envoyer des emails aux personnes". Il n'est donc plus nécessaire d'avoir un accès étendu aux utilisateurs pour leur adresser des emails.
Nombre de personnes ayant accès en saisie / modification à la table des personnes
Action recommandée : s'assurer qu'il y a bien une raison pour que ces personnes aient accès à la maintenance de la table des personnes.
Nombre de personnes n'ayant pas signé le formulaire de confidentialité
Action recommandée : imprimer le formulaire fourni au format traitement de texte (ou un formulaire interne existant), le faire signer par l'ensemble des personnes ayant un accès aux traitements relatifs à la table des personnes, mettre à jour leur fiche lorsque le document a été complété et signé.

Aucune règle de construction de mot de passe n'est en place
Action recommandée : dans "Préférences/Paramétrage/Exploitation" : renseigner les règles conformes à celles en place dans votre organisation.
Aucun délai de deconnexion en cas d'inactivité
Action recommandée : définir un délai compatible avec le SSO (si en place) et avec les habitudes de travail des utilisateurs.
Si un tel délai est renseingé, il est recommandé, dans "Préférences / "Serveur web / Paramètres de connexion" de mettre "Cooky, delay" à 0.
L'envoi d'un mot de passe par messagerie n'est pas recommandé
Action recommandée : dans "Préférences / Paramétrage / Exploitation", choisissez "Mot de passe oublié : envoyer un jeton temporaire"
Une longueur minimale de 8 pour les mots de passe est recommandée
Action recommandée : dans "Préférences / Paramétrage / Exploitation", augmenter la longueur minimale
Aucun délai de validité des mots de passe n'est déterminé
Action recommandée : renseigner un nombre de jours de validité en cohérence avec les autres applications de gestion de l'organisation.
Aucun superviseur n'est désigné
Action recommandée : dans "Préférences / Paramétrage / Exploitation", renseigner l'adresse email du supervisor afin qu'il soit prévenu en cas d'anomalie constatée sur la base de données.
Mentions légales complémentaires du site non renseignées
Action recommandée : si besoin, sur la fiche "Préférences/Base/Site", renseigner ce nouveau champ.
Nombre de personnes sont enregistrées sans adresse email
Action recommandée : les obtenir. Il n'est pas possible de communiquer avec ces personnes, elle ne peuvent demander leur historique ou encore recevoir leur mot de passe. Dans ce cas, des informations personnelles sont détenues sans possibilité de demander leurs accord aux intéressés.
Les connexions au serveur web ne sont pas sécurisées (TLS/SSL)
Action recommandée : installer un certificat au niveau de Kentika serveur (nb : l'obtention d'un certificat est une prestation proposée par Kentika, demander un devis à son interlocuteur commercial).
Nombre d'historiques d'emprunts de plus d'un an non pseudonymisés
Action recommandée : l'pseudonymisation s'effectue en automatique dès minuit chaque jour. S'assurer que la base est bien lancée à cette heure et que le paramètre "RGPD Ready" a bien la valeur "1"
Nombre de logs de plus d'un an non pseudonymisés
Action recommandée : idem
Mots de passe
Dans la deuxième partie du tableau sont listées les personnes dont le mot de passe présente une anomalie.
Personne sans mot de passe
Action recommandée : intervenir sans délai pour affecter un mot de passe aléatoire. Dans "Exploitation/C", exécuter le script "RGPD_Affecter mot de passe aléatoire". Après confirmation, un mot de passe contenant au moins : une majuscule, une minuscule, un caractère spécial, un numérique et ayant une longueur supérieur à 8 est généré.
NB : s'assurer que, sur le portail, l'option "Mot de passe oublié" soit bien proposée.
Personne ayant un mot de passe non conforme
Action recommandée : les identifier dans l'explorateur.

Les prévenir par email (en sélectionnant préalablement les personnes qui ont bien une adresse email renseignée).

Les personnes recevront alors un email les invitant à modifier leur mot de passe.

Acceptation des conditions générales
Kentika - RGPD permet de suivre l'acceptation des conditions générales d'accès au portail et permettant de bénéficier des services proposés par la base documentaire.
Signature manuelle
Pour les responsables des traitements sur les données personnelles : il est recommandé de recueillir une signature formelle de leur part. Pour cela, il suffit d'imprimer le formulaire (voir ci-dessus).
Acceptation électronique
Lorsqu'un utilisateur demande à visualiser les "Mentions légales", une page présentant les conditions générales est affichée. Le fait d'afficher cette page provoque la mise à jour de ses informations :

L'intégration du kit RGPD va provoquer la création de la rubrique. Il appartient au gestionnaire de décider sur quel type de personne cette information doit être proposée (toutes, a priori ...).
En bas de cette page se trouve le bouton d'acceptation.

La fiche de la personne est alors mise à jour

Via une recherche multi-critères, les personnes n'ayant pas encore lu ou accepté les conditions générales peuvent être identifiées. Un email de relance peut alors leur être adressé.
Les conditions générales
Une nouvelle page (utilisée en remplacement automatiquement de la page "About.htm") de conditions générales est incluse dans le kit RGPD (RGPD_infoslegales.htm).
Ces conditions sont complétées automatiquement à partir du paramétrage de la base. Des conditions complémentaires peuvent être ajoutées via "Préférences/Base/Sites" : mentions légales.

Incrustation des mentions particulières dans la page générique
Pour personnaliser intégralement les conditions générales, il est conseillé de dériver le contenu en créant une nouvelle ressource ayant pour nom : File://$_RGPD_infosLegales.htm
Bibliothéconomie
Si le module est installé, une section spécifique aux emprunts, revues et demandes d'achat est incluse.
Pseudonymisation des historiques
Le droit à l'oubli provoque de fait une pseudonymisation de l'historique de la personne.
Le log des actions et l'historique des emprunts est également automatiquement pseudonymisé passé un délai de six mois. Ce délai peut être modifié via une fiche paramètre (XrNM). Les actions pseudonymisées sont celles qui concernent les recherches et consultations (10/11/100/101/21->29). La liste peut être modifiée via la création d'une fiche paramètre (XrCA, exemple : 11;101;21;22;23;24;25;26;27;28;29).
Cette pseudonymisation ne se déclenche que si le paramètre XrGO a pour valeur 1. Exemple de User_ID pseudonymisé : $an$$$191291391947.
Pseudonymisation versus supression
Kentika 3.1 introduit un nouvel automate de suppression sélective de logs passé un certain délai ("Préférences/Paramétrage/Exploitation"). Il est conseillé de conserver les logs pendant un an afin de répondre à une éventuelle réquisition judiciaire ou administrative. Pendant la période de pseudonymisation, la personne à l'origine d'une action ne sera plus identifiable sans outil spécifique. Les logs seront cependant toujours exploitables à des fins de statistiques ou pour la définition du score.
Il est également conseillé d'activer la suppression automatique des emails passé un certain nombre de jours.
Pseudonymisation versus anonymisation : une anonymisation interdit tout lien possible entre une information données (exemple : un log) et la personne qui en était à l'origine. Un pseudonyme autorise des traitements statistiques par le logiciel.
Processus de conformité
La conformité est un processus permanent. La mise en place également. En effet, s'il est difficilement envisageable d'être 100 % conforme dès le premier jour, il est important d'entreprendre les actions qui vont permettre d'y tendre progressivement. L'Auditeur (cf ci-dessus) vous assistera dans toute la première phase, et au delà.
Elaboration du registre des traitements
Le registre automatique
Les traitements génériques du logiciel sont clairement identifiés. Une fonction permet d'obtenir, pour chacun d'eux :
- l'intitulé ;
- la description ;
- les personnes autorisées à les exécuter ;
- les données mises en jeu.
Toute personne autorisée figure sur le registre. En cas d'erreur d'affectation, il est suggérer de corriger l'erreur puis de remander le calcul du registre.
Dans le menu "Exploitation/Onget C", exécuter la ligne "RGPD Registre des traitements".
Une fenêtre de prévisualisation présente la première page.

Cliquer sur "+" pour accéder au document 4D Write. Vous pouvez le compléter, l'imprimer, l'enregistrer suivant la procédure de conservation des registres que vous vous aurez définie.
Le registre ne fonctionne pas en "annule et remplace" mais en versions successives que vous devez conserver. Lorsque de nouvelles personnes intègre l'équipe, que des interventions sont réalisées sur les autorisations, que des traitements nouveaux sont identifiés : une nouvelle version du registre doit être élaborée.
Traitements identifiés
Kentika est en mesure d'identifier quels sont les traitements potentiellement effectués.
Maintenance de la table des personnes : les gestionnaire ayant accès en saisie et modification des personnes.
Préparation et envoi des produits presse : si le module KPress est installé
Diffusion sélective des informations : les personnes ayant l'autorisation "DSI" et si des centres d'intérêt sont déclarés
Emprunts, retours et réservations : les personnes ayant l'autorisation "emprunt, saisie des opérations" et si le module de bibliothéconomie est installé.
Relance des emprunteurs en retard : les personnes ayant l'autorisation "emprunt, relance" et si le module de bibliothéconomie est installé.
Circulation des revues : les personnes ayant l'autorisation "réception des numéros" et si des listes de circulation existent.
Prévenir des destinataires de commande : les personnes ayant l'autorisation "saisie des livraisons" et si des demandes d'achat ont été enregistrées avec un destinataire.
Exemple : entête suivi d'un traitement
Registre des activités de traitement
Dénomination : Kentika entreprises
Adresse : 55, place de la République
69002 Lyon
Numéro de téléphone : 04 78 17 21 16
email : gilles@kentika.net
Adresse du site : http://Gilles/
Maintenance de la table des personnes
Description fonctionnelle
Enregistrer les nouvelles personnes bénéficiant des services de la base documentaire, modifier les informations les concernant.
Personnes autorisées à effectuer le traitement
NIKITA Anna (Madame)
Données utilisées
Identifiant ; Civilité ; Prénom ; Nom ; Adresse EMail ; Coordonnées ; Service ; Listes de diffusion ; Signature ; Equipe ; Rôle ; Equipe courante ; Thèmes suivis ; Produits presse ; Tags suivis ; Thèmes gérés ; Produits gérés ; Commentaire ; Acceptation RGPD ; fichiers GED ; règles d'autorisations d'emprunt ; revues en circulation
Il se peut que d'autres traitements soient effectués sur les données personnelles gérées dans Kentika. Il vous appartient alors de les définir et de les documenter.
Registre sous-traitant
Si des traitements sont confiées à un sous traitant, un registre dédié doit alors être tenu (ce cas est très rare en ce qui concerne Kentika). Kentika SAS n'effectue aucun traitement pour le compte des utilisateurs. Il n'est donc pas nécessaire de nous mentionner comme sous traitant à ce niveau là.
Registre des notifications de violations de données personnelles
Le logiciel gère de manière stricte les accès aux informations de manière générale. Il ne peut cependant pas décider s'il est légitime que telle ou telle personne a bien un accès à la table des personnes. Il vous appartient donc d'établir si, par erreur, un tel accès aurait été fourni à une personne qui aurait pu se montrer indélicate et de le mentionner dans le registre des notifications de violations, réelles ou potentielles.
Le facteur humain, le vrai maillon faible potentiel ?
Par delà toute vérification automatisable, il est important que la vigilance s'excerce en permanence sur les données mises en ligne. En effet, une simple feuille de calcul contenant des données personnelles et archivée sans niveau d'autorisation adéquat peut se retrouver indexée par un moteur de recherche : le début de la catastrophe !
En savoir plus, documentation externe
La CNIL propose un ensemble d'informations sur son site : il est fortement recommandé d'en prendre connaissance. En effet, Kentika propose d'automatiser tout ce qui relève de ses possibilités mais tout ne relève pas de son champ d'actions.
CNIL - RGPD : se préparer en 6 étapes
CNIL - Documenter la conformité
ZDNet - RGPD : comment tenir un registre des traitements
Données personnelles - Les 3 registres RGPD
Powered by KENTIKA Atomic - © Kentika 2020 tous droits réservés - Mentions légales