Bonjour Hélène,
Direction juridique & conformité · niveau réglé par domaine · ton détaillé
Votre journée
3 rendez-vous
09h15 Comité de pilotage · registre des traitements11h00 Cadrage AIPD · nouvel outil de recrutement16h30 Revue des clauses sous-traitants
RGPD / Données · Expert
Conservation des CV : le délai court à partir du dernier contact
Deux ans à compter du dernier contact, au titre de la limitation de conservation de l'article 5.1.e. Le point sensible n'est pas la durée mais son point de départ : un vivier alimenté par recontact périodique réinitialise le délai et devient, en pratique, une conservation sans terme. La mise en vivier poursuit une finalité distincte du recrutement : elle s'inscrit au registre et appelle une information spécifique. En contrôle, la pièce attendue est le journal de purge, pas la politique de conservation.
Pourquoi ça compte
Vérifiez que le registre distingue « recrutement » et « vivier » : c'est l'écart le plus fréquent entre la politique déclarée et le comportement réel de l'outil.
Sources : cnil.fr
Contrats & sous-traitance · Intermédiaire
Sous-traitance ultérieure : l'autorisation générale n'efface pas l'obligation d'informer
L'article 28.2 admet une autorisation écrite générale, à condition que le sous-traitant informe le responsable de tout ajout ou remplacement de sous-traitant ultérieur en amont, et lui laisse la possibilité d'émettre des objections. L'autorisation générale déplace la charge : elle ne pèse plus sur le contrat mais sur le suivi des notifications reçues. Sans registre de ces notifications, l'opposition est matériellement impossible.
Pourquoi ça compte
Identifiez les contrats à autorisation générale et vérifiez qu'un canal de notification y est nommé : une adresse générique ne suffit pas.
Sources : cnil.fr
RGPD / Données · Expert
Violation de données : les 72 heures courent dès la connaissance, week-end compris
72 heures calendaires depuis la connaissance (33.1), notification par phases admise (33.4). Deux points de friction en contrôle : la date de connaissance, que l'autorité reconstitue à partir des journaux et des tickets plutôt que de votre déclaration, et le sort des violations non notifiées, qui doivent figurer au registre interne du 33.5 avec le raisonnement d'exclusion. Le sous-traitant, lui, notifie « dans les meilleurs délais » : stipuler un délai ferme au contrat est ce qui rend votre propre délai tenable.
Pourquoi ça compte
Auditez le registre des violations non notifiées : son absence pèse plus lourd qu'une notification tardive, parce qu'elle porte sur tous les incidents et non sur un seul.
Sources : cnil.fr
Cybersécurité · Débutant
Vol de session : le second facteur ne bloque plus l'hameçonnage
Une page de connexion copiée à l'identique transmet vos identifiants au vrai service, puis vous demande votre code à usage unique. Le code passe, la session est volée, et l'attaquant n'a plus besoin de rien d'autre. Le second facteur n'a rien arrêté.
Pourquoi ça compte
Un lien reçu par email qui redemande une connexion déjà ouverte : fermez-le et rejoignez le service par votre favori.
Sources : cert.ssi.gouv.fr