Diagnostic de conformité à la protection des données

Votre organisation a-t-elle désigné une personne responsable de la protection des données personnelles (délégué à la protection des données ou équivalent) ?

La direction a-t-elle été informée des obligations de la loi et a-t-elle approuvé un plan de mise en conformité, maintenant que la période de transition est terminée ?

Tenez-vous un registre de vos traitements (au minimum ce que la loi prévoit : vos coordonnées et celles de tout sous-traitant, finalités, catégories de personnes et de données, catégories de destinataires, et numéro d'autorisation) ?

Avez-vous engagé les démarches pour obtenir l'autorisation préalable que la loi exige pour vos traitements ?

Pour chaque traitement, avez-vous consigné sa base légale : le consentement de la personne, ou l'une des exceptions prévues par la loi (obligation légale, mission d'intérêt public ou préservation de la santé) ?

Lorsque vous vous fondez sur le consentement, est-il recueilli avant le traitement, de façon libre, spécifique et expresse (par exemple une case non pré-cochée), et pouvez-vous le prouver ?

Pour les personnes de moins de 18 ans, leur consentement est-il appuyé par celui de leurs père et mère ou de leur représentant légal ?

Lorsque vous collectez des données personnelles, indiquez-vous au plus tard lors de la collecte qui vous êtes, pourquoi vous les collectez, quelles catégories de données, qui les reçoit, combien de temps vous les conservez, les droits des personnes (dont celui de refuser de figurer dans le fichier) et tout transfert à l'étranger ?

Ces informations sont-elles disponibles dans les langues de vos clients et de votre personnel (français et anglais) ?

Disposez-vous d'une procédure pour traiter, dans un délai fixé, les demandes d'accès, de rectification, de suppression, de limitation, de portabilité ou d'opposition ?

Pouvez-vous retrouver et exporter toutes les données que vous détenez sur une personne dans l'ensemble de vos systèmes ?

Les données personnelles sont-elles protégées par un contrôle d'accès, afin que chaque employé ne voie que ce dont son poste a besoin ?

Les données personnelles sont-elles chiffrées en transit, et au repos sur les ordinateurs portables, téléphones et sauvegardes ?

Les données personnelles sont-elles sauvegardées, avec des restaurations testées, pour pouvoir se remettre d'une perte ou d'un rançongiciel ?

Avez-vous un contrat écrit avec chaque prestataire qui traite des données pour vous (informatique, cloud, paie, centres d'appel), précisant les types de données, les catégories de personnes et les obligations et droits de chaque partie ?

Savez-vous quelles données personnelles sont stockées ou traitées hors du Cameroun, y compris dans des services cloud étrangers, la messagerie et les outils de discussion ?

Pour chaque transfert à l'étranger, avez-vous obtenu l'autorisation préalable exigée par la loi, ou engagé la demande ?

Disposez-vous d'une procédure pour détecter, consigner et traiter les violations de données personnelles ?

Cette procédure précise-t-elle quand et comment informer l'autorité et les personnes concernées ?

Avez-vous fixé une durée de conservation pour chaque catégorie de données, et supprimez-vous ou anonymisez-vous les données à son terme ?

Si vous traitez des données sensibles (santé, biométrie, opinions religieuses, philosophiques ou politiques, origine ethnique, linguistique ou régionale, condamnations, transactions bancaires), avez-vous vérifié avec un conseil juridique que la loi le permet et appliqué des garanties strictes ?