Re: [Galette-discussion] conformité au RGPD de Galette

Bonjour,

ce n'est pas uniquement le problème d'accès des utilisateurs à leurs données. il faut quand même être capable de les exporter de Galette (ensemble des logs de connexion par exemple) et de les anonymiser ou supprimer de la base utilisée par Galette.

C'est l'accountability (auto responsabilité) et le privacy by design (prise en compte par l’entreprise de la problématique des données personnelles dès la conception d’un produit ou d’un service ) ou privacy by default (garantir par défaut le plus haut niveau possible de protection des données ) qui sont les facteurs clé pour un décideur de choisir un logiciel ou un autre. Si Galette est une vrai passoire en terme de protection sur l'accès au données, c'est évident qu'il ne sera pas choisi.

N'oublions pas que ce serait un réel avantage de confiance et de transparence vis-à-vis des utilisateurs si Galette fournissait un maximum d'éléments pour favoriser la compatibilité RGPD. Je ne vois aucun inconvénient à faire un travail vers la mise en conformité du logiciel :

- Assurer une privacy by default (et la documenter pour en fournir une preuve)

- Faire le tour des données personnelles (identifiant un personne ou le rendant identifiable) - Les logs des adresses IP sont reconnues comme des données personnelles !

- Permettre d'anonymiser des données personnelles

- Permettre de les exporter (idéalement via la fiche profil de l'utilisateur lui-même)

- Permettre de les supprimer définitivement (idéalement par l'utilisateur lui-même)

- Respecter une durée de conservation (par exemple, anonymiser après expiration d'une adhésion)

- Affiner les droits d'accès aux données pour enregistrer qui a vu/modifié quelles données, quand, comment - et pouvoir restreindre cela par individu. Il faut par exemple éviter qu'un ancien admin puisse partir de l'association avec les données personnelles de tous les adhérents.

- Pouvoir mettre en place une authentification en double accès (mot de passe + email par exemple)

- et d'autres trucs que je n'ai plus en tête..

Tout cela peut se développer sous forme de plugin, peut-être.

Je ne connais pas assez Galette pour aller très loin, actuellement je suis en train de développer pour des assos des applications maison qui vont respecter ces éléments (mais font nettement moins bien que Galette, j'en suis pas là ;) )

Mon gros challenge actuellement est qu'un DBA ne puisse pas avoir un accès direct (en tout cas sans effort de décryptage) à l'ensemble des données.

.Gilles

2018-02-23 23:10 GMT+01:00 Jérémy HIEULLE <jeremy.hieulle@xxxxxxxxx>:

Bonsoir,

Pour moi, il est évident que Galette n’est pas lié au RGPD (ni directement, ni indirectement).

En tant que projet libre, on sait ce que galette fait avec nos données, et tant qu’il n’y a rien de suspect, galette n’a rien à se reprocher. Dans l’article cité, il est bien précisé "s’agissant des outils qu’ils prennent sous licence auprès d’éditeurs »… Le logiciel sous licence propriétaire ne donne pas une porte ouverte sur son code / son fonctionnement interne, d’où le besoin pour l’éditeur dudit logiciel d’attester la conformité.

Pour être conforme (non, je n’ai pas lu le RGPD entièrement, mais ça ne saurait tarder), il faut limiter les données récoltés, s’assurer que les utilisateurs souhaitent partager ces données, et les sécuriser. (bon ok, il n’y a pas que ça mais je n’écris pas un article non plus…).
Vous choisissez les données recueillies et toutes ces données sont dans votre base de données (non fournie avec Galette), donc sous votre responsabilité. Il apparait évident (ou pas) que dans un futur non défini, des fonctionnalités dans Galette pourrait faciliter la tâche du responsable du traitement des données; Mais Galette n’est toujours que l’interface qui permet de gérer ces données.

Pour contenter tout le monde, je vais juste émettre cette petite ombre au tableau qui concerne le consentement : L’inscription pour les visiteurs lorsque celle-ci est activée n’est pas conforme, à aucun moment on ne confirme clairement le traitement des données saisies et surtout, aucune preuve du consentement n’est enregistrée, le format double opt-in me parait ici, l’unique solution possible. Mais je le rappelle encore une fois, si vous laissez l'inscription active, vous êtes le responsable et en aucun cas le logiciel.

Voila mon point de vue sur la situation. En vous souhaitant une bonne soirée.

Cordialement,
Jérémy.

Le 22 févr. 2018 à 21:30, Gilles Vincent <gilles.vincent@xxxxxxxxx> a écrit :

2018-02-22 20:11 GMT+01:00 Johan <johan@xxxxxxxx>:
Salut,

Le 22 février 2018 19:36:46 GMT+01:00, Gilles Vincent <gilles.vincent@xxxxxxxxx> a écrit :

>...
>Le règlement indique qu'à partir du 25 mai, toute utilisation de
>logiciel
>non conforme au RGPD sera illégale (en tout cas ça sent pas bon dans la
>mise en conformité de l'organisme).

Ce que j'ai pu lire jusque maintenant ne concerne pas vraiment Galette en tant que logiciel, mais plutôt de l'utilisation qui en est faite.

Effectivement les éditeurs de logiciels ne sont pas considérés comme responsables de traitement. Seuls les clients utilisateurs le sont par principe.

Mais un excellent article détaille l'obligation (indirecte) des éditeurs de logiciels de se conformer au RGPD.
http://www.ecommercemag.fr/Thematique/solutions-1011/Breves/Tribune-Editeurs-logiciels-pourquoi-vos-clients-vont-vous-contraindre-justifier-conformite-RGPD-vos-outils-320226.htm#1jPizk5327suOATK.97

L'origine passe par "l'accountability"

"Les responsables du traitement doivent dorénavant démontrer leur conformité : l’accountabilité implique, pour les responsables de traitement, de déterminer des mesures techniques et organisationnelles permettant de démontrer que les traitements qu’ils mettent en œuvre sont conformes au RGPD. [..] Cela signifie, s’agissant des outils qu’ils prennent sous licence auprès d’éditeurs, que les responsables de traitement vont exiger de leurs éditeurs qu’ils attestent de la conformité au RGPD de leurs produits pour être à même de démontrer qu’ils respectent leurs propres obligations en tant que responsable de traitement. "

(extrait de https://www.alain-bensoussan.com/avocats/conformite-au-rgpd-enjeu-editeurs/2017/09/05/ )

Si jamais il manquait **réellement** une fonctionnalité au logiciel, il conviendrait de faire une demande d'évolution, qui serait examinée, puis acceptée (ou pas d'ailleurs) .
Pour le moment, rien n'indique une quelconque incompatibilité avérée.

++

Johan

--
Galette users discussions

http://galette.eu - http://galette.eu/documentation
http://bugs.galette.eu/projects/galette/

List documentation: https://listengine.tuxfamily.org/lists.galette.eu/users/