Objet et champ d’application

Le groupe Noatum s’engage à respecter les normes de protection des informations personnelles concernant toutes les activités de traitement dont il est responsable ou en charge. Cette politique de respect de la vie privée établit les règles générales à observer dans ce cadre.

La présente politique de respect de la vie privée de Noatum doit obligatoirement être respectée par l’ensemble de ses employé.e.s et collaborateurs et collaboratrices internes et externes ayant accès aux informations à caractère personnel.

La politique de respect de la vie privée est approuvée par le comité de sécurité et la direction de Noatum, qui établit ainsi les directives de base à suivre au sein du groupe et donne explicitement son consentement et son soutien à l’ensemble de cette politique.

Principes

Noatum traite les informations personnelles sous sa propre responsabilité et conformément aux principes suivants :

• Légalité, loyauté et transparence. Les informations à caractère personnel doivent être traitées de façon licite, loyale et transparente vis-à-vis de la personne concernée.
• Légitimation dans le traitement des informations personnelles. Les données à caractère personnel seront uniquement traitées lorsque ce traitement est protégé par la règlementation relative à la protection des données.
• Limite de la finalité. Les informations à caractère personnel doivent être traitées dans le cadre des fins déterminées, explicites et légitimes, et elles ne doivent pas être traitées ultérieurement de manière incompatible avec lesdites fins.
• Minimisation des données. Les informations à caractère personnel doivent être adéquates, pertinentes et limitées au strict nécessaire par rapport aux finalités pour lesquelles elles sont traitées.
• Exactitude. Les informations à caractère personnel doivent être exactes et, si besoin, actualisées. Toutes les mesures raisonnables seront adoptées pour la suppression ou la rectification immédiate des données personnelles inexactes par rapport aux finalités pour lesquelles elles sont traitées.
• Limite du délai de conservation. Les informations à caractère personnel doivent être conservées de sorte à permettre l’identification des personnes intéressées pendant une durée non supérieure à la durée nécessaire pour les fins ayant justifié leur traitement.
• Responsabilité proactive. Le groupe Noatum est responsable du respect des principes relatifs au traitement des données requis par le règlement général sur la protection des données. Dans ce sens, il doit adopter les mesures techniques et organisationnelles lui permettant d’être en mesure de le démontrer.
• Respect des droits des intéressés. Les mesures nécessaires doivent être adoptées au sein du groupe afin de garantir l’exercice approprié par les personnes concernées, le cas échéant, de leurs droits d’accès, de rectification, de suppression, d’opposition, de limite du traitement et de portabilité quant à leurs informations à caractère personnel.
• Protection des données dès la conception et par défaut. Noatum doit promouvoir la mise en place du principe de protection des données dès la conception et par défaut, de sorte que la protection des données soit prise en compte dès les premières phases de conception d’un projet. De même, ce principe doit être appliqué dès la conception initiale des systèmes d’information.
• Confidentialité et intégrité. Noatum doit garantir une sécurité adéquate des données personnelles, y compris la protection contre le traitement non autorisé ou illicite et contre leur perte, leur destruction ou tout dégât accidentel, en mettant en place les mesures techniques ou organisationnelles appropriées.
• Gestion des risques. Noatum doit traiter les informations à caractère personnel en gérant activement les risques, ces derniers étant compris comme l’effet de l’incertitude sur l’obtention de l’objectif principal : la protection des droits et des libertés des titulaires des données personnelles traitées.
• Amélioration continue. Le degré d’efficacité des contrôles de sécurité mis en place afin d’améliorer la capacité d’adaptation à l’évolution constante de l’environnement doit faire l’objet d’une révision régulière.
• Prise de conscience et formation. Des programmes de formation et de prise de conscience doivent être créés pour les utilisateurs en matière de protection des données.

Mesures de sécurité techniques et organisationnelles

Noatum doit traiter les informations à caractère personnel qui relèvent de sa responsabilité en tenant compte de l’état de la technique, des coûts de mise en place, de la nature, la portée, le contexte et les objectifs des traitements réalisés, ainsi que des éventuels risques de probabilité et de gravité variables pour les droits et libertés des personnes physiques.

Lors de l’évaluation du niveau de sécurité, il faudra tenir essentiellement compte des risques présentés par le traitement de données, en particulier comme conséquence de la destruction, la perte ou l’altération accidentelle ou illicite des données personnelles transmises, conservées ou traitées d’une autre façon, ou la communication ou l’accès non-autorisé à ces données.

Registre des activités de traitement

Le groupe Noatum doit tenir à jour un registre des activités de traitement des données à caractère personnel dont il est responsable ou en charge, et qui doit comprendre au moins les informations suivantes :

• Nom et informations de contact du ou de la responsable
• Objectifs du traitement de données
• Description des catégories des intéressés
• Description des catégories des informations personnelles
• Catégories des destinataires auxquels sont communiquées les données personnelles
• Transferts de données personnelles à un pays tiers
• Délais prévus pour la suppression des différentes catégories de données
• Description générale des mesures techniques et organisationnelles de sécurité

Analyse des risques et évaluation de l’impact

Avant tout traitement de données personnelles, une analyse des risques doit être effectuée en tenant compte de l’état de la technique, des coûts de mise en place, de la nature, la portée, le contexte et les objectifs du traitement, ainsi que des éventuels risques de probabilité et de gravité variables pour les droits et libertés des personnes physiques.

Des mesures techniques et organisationnelles appropriées doivent être mises en place afin de garantir un niveau de sécurité adapté au risque.

Le groupe Noatum doit réaliser une évaluation de l’impact des activités de traitement en matière de  protection des données personnelles dans l’éventualité où l’analyse effectuée montrerait que le traitement pourrait représenter un risque significatif pour les droits et libertés des personnes. Le cas échéant, il doit consulter et demander une autorisation pour mener à bien le traitement des données personnelles auprès de l’autorité de contrôle correspondante.

Violation de la sécurité des données personnelles

En cas de non-respect de la sécurité des données personnelles, Noatum doit en informer immédiatement l’autorité de contrôle compétente, au plus tard et dans la mesure du possible 72 heures après en avoir pris connaissance, à moins qu’il soit improbable que cette violation de la sécurité ne constitue un risque pour les droits et les libertés des personnes physiques.

Noatum doit adopter les mesures adéquates pour informer sans délais indus les personnes intéressées qu’elles pourraient être affectées par la violation de la sécurité des données personnelles, dans les cas où il serait probable que cette dernière constitue un risque élevé pour leurs droits et libertés.

Noatum doit documenter toute violation de la sécurité des données personnelles, y compris les faits qui y sont relatifs, ses effets et les mesures correctives adoptées.

Réponse à l’exercice des droits

Noatum a établi les procédures nécessaires afin de répondre aux éventuelles demandes d’exercice de leurs droits de la part des titulaires des données personnelles se trouvant sous sa responsabilité.

Relations avec des tiers

Noatum a mis en place les contrôles nécessaires pour s’assurer que la règlementation relative à la protection des données personnelles est respectée dans le cadre de ses relations avec des tiers, qu’il s’agisse de clients ou de fournisseurs.

Audit

Noatum doit périodiquement mener à bien des audits visant à vérifier et évaluer l’efficacité des mesures techniques et organisationnelles visant à garantir la conformité des traitements des données personnelles réalisés sous sa responsabilité.

Contact

Pour contacter le département de sécurité des informations – Bureau de respect de la vie privée, adressez-vous à :

Torre Auditori – Planta 13

Passeig de la Zona Franca nº111

08038 Barcelone

Téléphone – (+34) 93 298 77 77

Adresse électronique – dpo@noatum.com