Comprendre le RGPD : les fondamentaux pour une conformité durable
DPO Consulting Rejoint Grant Thornton
Entré en vigueur en 2018, le Règlement Général sur la Protection des Données (RGPD) a permis d’initier une uniformisation de la réglementation en la matière au sein de l’Union européenne. Le défi derrière ce texte était de proposer un ensemble cohérent pour les États membres, mais également de faire coexister des règles applicables tant aux acteurs publics qu’aux acteurs privés, aussi bien pour les TPE/PME que pour les multinationales.
À ce titre, le RGPD se veut responsabilisant vis-à-vis des responsables de traitement et des sous-traitants, impliquant une mobilisation de chacun afin de faire respecter le cadre protecteur des données personnelles.
L’une des difficultés du RGPD réside dans le fait que, pour une fois, les responsables maires, dirigeants, médecins, avocats et plus largement tous les acteurs traitant des données personnelles, ne peuvent pas déléguer entièrement ce sujet. Ils restent véritablement acteurs du déploiement de la protection des données personnelles qu’ils traitent et de son respect.
Finalement quelles sont les principales actions à prendre en charge vis-à-vis du RGPD ?
Le principe d’accountability, introduit par le RGPD, impose aux organismes de démontrer à tout moment leur conformité à la réglementation.
L’accountability marque un changement fondamental : il ne s’agit plus seulement de respecter les règles, mais de pouvoir en justifier activement.
Le respect du principe de responsabilité implique la tenue d’un registre des traitements pour les activités de traitement de données personnelles réalisées en tant que responsable de traitement ou sous-traitant.
Ce registre est obligatoire notamment pour les organisations de plus de 250 salariés ou lorsque les traitements ne sont pas occasionnels ou encore lorsqu’ils portent sur des données sensibles ou présentent un risque pour les droits et libertés des personnes.
Le registre des traitements est en réalité une cartographie dans laquelle sont attendues un certain nombre d’informations, notamment :
Avoir un registre des traitements ne suffit pas à démontrer pleinement sa mise en conformité. En ce sens, il est important d’ajouter un socle commun de documentation.
Cela implique notamment :
Vous pouvez ensuite ajouter des clauses RGPD et de confidentialité dans vos règlements intérieurs, chartes informatiques ou diverses politiques du personnel, par exemple.
Les responsables de traitement doivent encadrer les relations avec les sous-traitants avec lesquels ils travaillent et s’assurer qu’ils présentent des garanties suffisantes en matière de protection des données personnelles.
À ce titre, lorsqu’un organisme fait appel à un prestataire traitant des données pour son compte, il doit :
Il convient de préciser que les sous-traitants sont eux-mêmes soumis à des obligations propres en matière de protection des données.
L’encadrement de la sous-traitance intervient donc avant la contractualisation avec l’organisme mais également pendant et après en posant des règles claires sur l’utilisation de la donnée et les modalités d’exécution des traitements.
Ainsi, la conformité de la sous-traitance demeure un enjeu majeur pour les responsables de traitement mais également pour les sous-traitants sur le plan stratégique.
La transparence de l’information est un principe directeur du RGPD.
Les organismes doivent fournir aux personnes concernées par les traitements mis en œuvre sur leurs données personnelles, une information claire, accessible et compréhensible sur :
Cette information est généralement fournie via des politiques de confidentialité ou des mentions d’information.
La conformité ne peut être atteinte sans une sensibilisation des équipes.
Les organismes doivent :
Le facteur humain étant une source majeure de risques, la formation constitue un levier essentiel de conformité et de sécurité. En effet, chaque personne est un maillon essentiel au respect de la conformité d’un organisme.
Les sites internet, applications et plateformes doivent respecter les exigences du RGPD, notamment :
La conformité de vos sites internet et applications est particulièrement importante, notamment dans la mesure où des contrôles peuvent être réalisés par la Commission Nationale de l'Informatique et des Libertés, à la suite d’un signalement, d’une plainte ou dans le cadre de campagnes de vérification.
Lorsque des données personnelles sont transférées en dehors de l’Union européenne, des garanties spécifiques doivent être mises en place.
Cela peut inclure :
Les personnes concernées doivent également être informées de ces transferts, de leur destination et des garanties associées.
Certains traitements peuvent présenter des risques élevés pour les droits et libertés des personnes.
Dans ce cas, il est nécessaire de réaliser une analyse d’impact relative à la protection des données (AIPD).
Cette évaluation permet :
Le respect du RGPD et, plus largement, de la protection des données personnelles constitue un investissement stratégique à long terme, participant directement à la confiance accordée par les utilisateurs et à l’image de votre structure.
Il est fortement recommandé de se faire accompagner par des experts afin de structurer une démarche de conformité adaptée, progressive et pérenne.
Il convient également de rappeler que ce document n’a pas vocation à présenter une liste exhaustive des obligations. Certains traitements spécifiques, notamment ceux impliquant des données sensibles (comme dans le domaine de la santé ou du bien-être), nécessitent la mise en œuvre de mesures complémentaires.
Enfin, la conformité réglementaire ne peut être pleinement efficace sans une politique de cybersécurité robuste. La protection des données repose autant sur le respect des règles juridiques que sur la capacité à prévenir les menaces techniques actuuelles.
Vous souhaitez être accompagnés dans vos projets de conformité RGPD ? Découvrez nos services : https://www.dpo-consulting.com/fr-fr
.svg)
