Article 7. Conditions requises de sécurité

Article 7. Conditions requises de sécurité

1. Il convient de disposer d'un modèle de gestion continue du risque comprenant une analyse de risques spécifique, qui est révisée au minimum une fois par an et, en tout état de cause, chaque fois que survient un changement dans le système, dans les procédures organisationnelles, dans l'état de la technique ou dans tout autre aspect susceptible d'influer sur le profil de risque de la procédure d'identification. Cette analyse tient compte de la nature, de la portée, du contexte et des finalités du traitement des données personnelles, ainsi que des risques, dont la probabilité et la gravité varient, pour les droits et libertés des personnes physiques, conformément aux exigences de la réglementation en matière de protection des données personnelles.

2. Il convient de réaliser une analyse d'impact relative à la protection des données personnelles lorsqu'il ressort de l'analyse réalisée que le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, conformément aux dispositions de la réglementation susmentionnée.

3. Il convient d'adopter des mesures techniques et organisationnelles complémentaires à celles indiquées dans le présent Règlement lorsque le résultat de l'analyse de risques effectuée l'exige. En tout état de cause, en ce qui concerne les données à caractère personnel, il convient d'adopter les mesures techniques et organisationnelles appropriées, conformément aux dispositions de la LQDP, ainsi que du reste de la réglementation en matière de protection des données personnelles. Ces mesures sont mises à jour immédiatement dès que sont connues des vulnérabilités susceptibles d'entraîner des violations de sécurité.

4. Il convient d'évaluer et de documenter les caractéristiques de sécurité de l'ensemble du système, y compris tous les éléments substantiels de la plateforme d'identification, les canaux de communication ainsi que la génération et la conservation des preuves produites au cours du processus d'identification.

5. Il convient d'installer les serveurs et les équipements faisant partie des systèmes d'information qui soutiennent le processus d'identification dans des lieux protégés, dont l'accès est restreint au personnel autorisé. Les accès doivent être contrôlés de sorte que l'on ne puisse accéder que par les entrées prévues et surveillées, et l'ensemble du personnel accédant à ces locaux doit être identifié, et les entrées et sorties doivent être enregistrées. Si les serveurs sont situés dans un pays tiers, il convient de garantir le respect des conditions requises établies au chapitre cinquième de la LQDP, ainsi que dans le reste de la réglementation en matière de protection des données personnelles.

6. Il est possible d'utiliser indifféremment un produit d'identification à distance par vidéo qui satisfait :

a) Aux conditions requises minimales de sécurité indiquées à l'annexe F.11 du Guide de sécurité des TIC CCNSTIC-140, du Centre cryptologique national de l'État espagnol, de catégorie élevée. Le prestataire qualifié doit suivre les indications de configuration et d'utilisation sécurisée du produit.

b) À l'ensemble des conditions requises applicables aux prestataires de services de vérification d'identité à distance (PVID) publié par l'ANSSI de l'État français.

7. Lorsque le personnel participant au processus de visioconférence exerce son activité en télétravail, il convient de garantir de la même manière la sécurité du processus, de l'information et la protection des données conformément à la réglementation applicable.