Lorsque vous créez un nouveau service, vous devriez procéder comme suit :
-
Enregistrer le service
Tout d’abord, le service doit être enregistré dans le catalogue des Services du CERN. -
Identifier les activités de traitement et les rôles
Les concepteurs du service doivent identifier les opérations de traitement prévues et tout problème potentiel en matière de protection de la vie privée. Ils doivent également déterminer si le service agit en tant que Service responsable et/ou Service de traitement des données à caractère personnel. -
Appliquer le principe de minimisation des données et la protection de la vie privée par défaut
Les services doivent être configurés par défaut de manière à garantir que la collecte, le traitement et le partage des données à caractère personnel se limitent au strict nécessaire. Cela inclut la limitation des transferts de données vers et depuis le service. Le cas échéant, ces activités de traitement et ces transferts de données doivent être consignés dans le registre des opérations de traitement (RoPO). -
Documenter les activités de traitement (rôle de Service responsable)
Si le service agit en tant que Service responsable, un RoPO doit être établi et examiné avec les parties prenantes concernées, y compris le Bureau de la protection des données (ODP). -
Évaluer et atténuer les risques
Si le traitement est susceptible d'entraîner un risque élevé en l'absence de mesures d'atténuation, une consultation préalable avec l'ODP est requise afin de déterminer si une analyse d'impact relative à la protection des données (DPIA) doit être réalisée. -
Garantir la sécurité tout au long du cycle de vie
Des mesures de sécurité appropriées doivent être mises en place pour protéger les données à caractère personnel tout au long du cycle de vie du service. Lorsque le service est interrompu, toutes les données à caractère personnel associées doivent soit être transférées en toute sécurité vers un service compétent, soit être définitivement supprimées afin qu'elles ne soient plus accessibles