Guide de mise en œuvre du RGPD : étapes et plan d’action
%20(1).png)
DPO Consulting Rejoint Grant Thornton
Le règlement général sur la protection des données (RGPD) est une régulation qui concerne les entreprises traitant des données personnelles. Il a été créé en 2018. Ses mesures visent à protéger les données et doivent être appliquées par toutes les entreprises traitant les données de clients européens.
Le responsable du traitement est une personne morale (l’entreprise, par exemple) ou physique. Son rôle est de collecter les données personnelles et de choisir la façon dont elles sont traitées.
Pour ce faire, le responsable du traitement engage un sous-traitant. C’est lui qui traite les données, c’est-à-dire qu’il les :
Le délégué à la protection des données (DPO) est responsable de la mise en œuvre du RGPD. C’est un indépendant employé par des organisations qui traitent leurs données régulièrement. Si les données de l’organisation ne respectent pas le RGPD, il doit intervenir pour sécuriser les données.
Un plan de mise en œuvre du RGPD est obligatoire pour toute entreprise ou organisation qui traite des données personnelles de résidents européens (peu importe l’adresse de l’entreprise). Tous les responsables du traitement et sous-traitants implantés dans l’Espace économique européen sont concernés par ce règlement.
Peu importe le volume des données personnelles : si elles sont traitées par une entreprise, alors cette dernière est soumise au RGPD.
Il n’existe pas de feuille de route de mise en œuvre du RGPD. Mais la plupart des sous-traitants suivent cette liste de contrôles de conformité au RGPD.
La première étape est de comprendre les exigences de la mise en œuvre du RGPD. Elles varient selon l’organisation, sa taille, la nature des données … Il est donc nécessaire d’évaluer les besoins, les nécessités et les mesures qui ne s’appliquent pas à votre entreprise. Chaque point du RGPD est adaptable à l’organisation.
Le sous-traitant doit éviter les mesures de protection inutiles, qui pèseraient sur le budget de l’entreprise sans justification.
Cet état des lieux permet de comprendre quelles mesures ont été mises en place au préalable, ainsi que de découvrir le type de données et d’établir un plan d’action.
Faire un inventaire des données n’est pas une exigence du CNIL. Néanmoins, il est recommandé de commencer par cela.
Faire prendre connaissance à l’entreprise des données qu’elle possède et de la façon dont elles sont traitées permet aux employés de mieux saisir les mesures qui doivent être mises en œuvre pour les protéger. L’inventaire permet également de respecter plus facilement les demandes des utilisateurs pour le partage, la mise à jour ou la suppression des données.
La cartographie des données peut inclure :
Les parties prenantes doivent être identifiées clairement. Leur nom et rôle doivent être affichés dans le contrat qui engage le sous-traitant envers le responsable des données.
Les organisations qui traitent leurs données régulièrement doivent désigner un délégué à la protection des données, aussi appelé DPO. Le DPO est indépendant. C’est lui qui crée la feuille de route de mise en œuvre du RGPD pour protéger les données. Il forme également les employés et collabore avec les autorités gouvernementales en cas de fuite.
Le DPO est un acteur primordial pour la sécurité des données de votre entreprise. Sans lui, vous vous exposez à des fuites et à des sanctions de la CNIL. C’est pourquoi vous devez faire appel à des experts, par exemple ceux de DPO Consulting.
Avec leurs 10 ans d’expérience et leurs nombreux clients, ils ont déjà fait leurs preuves. Les conseillers bilingues sont fiables et réactifs. Ils sauront vous guider le plus efficacement possible, en s’adaptant à votre entreprise et à ses besoins spécifiques. N’hésitez plus, contactez leurs experts dès à présent pour obtenir un devis et mettre en place un plan d’action.
Que vous fassiez un inventaire ou non, il est nécessaire d’évaluer les mesures de confidentialité et la documentation qui a été faite avant votre arrivée. Il est nécessaire de faire le bilan de l’ensemble des services, surtout lorsque les données proviennent de différentes catégories de personnes.
Il faut impérativement prendre en compte :
Il faut vérifier tous les contrats établis par l’entreprise en s’aidant d’un guide de conformité au RGPD.
Les écarts de conformité ne sont pas tous au même niveau, c’est pour cela qu’il est essentiel de les identifier et de les hiérarchiser.
Par exemple, une faille de sécurité est moins grave qu’une fuite de données. De même, la gravité de la fuite dépend du type et de la quantité de données.
Les étapes précédentes permettaient d’identifier les données qui circulent dans l’entreprise. Une fois cela fait, il faut préparer le plan de mise en œuvre du RGPD.
Que ce soit pour protéger les données que l’entreprise a déjà collectées ou celles qu’elle collectera dans le futur, il faut mettre en place un cadre de gouvernance. Son but est d’encadrer les actions à établir pour respecter les règles du RGPD.
Les outils, actions, formation et méthode d’intégration du DPO doivent y figurer. À cela, il faut ajouter les tâches, les dates et les personnes impliquées. La réponse en cas d’événement courant (par exemple, une demande de modification ou de suppression des données) ou exceptionnel (une fuite) doit y figurer.
L’information doit être transmise dans l’entreprise, et des formations doivent être mises en place pour sensibiliser les employés aux risques en cas de non-respect du RGPD.
Pour collecter et utiliser des données personnelles, l’entreprise doit s’appuyer sur un fondement juridique valable. La priorité est de le définir et de le justifier dans la documentation.
La personne dont les données sont collectées doit donner son consentement. Les mesures du traitement dépendent de chaque cas particulier.
Pour mettre le traitement des données aux normes du RGPD, il est nécessaire de mettre à jour les politiques de confidentialité, voire de les élaborer si elles n’existaient pas. Cela concerne :
Les personnes dont les données ont été collectées ont un droit de rectification, de modification et de suppression. Les données ne doivent être manipulées qu'avec leur consentement. Il y a un délai de 30 jours pour effectuer ces manipulations.
Pour faciliter ces demandes, il est possible de créer un portail en libre-service sur lequel les clients peuvent agir directement sur leurs données. Par exemple, on peut leur donner la possibilité de les modifier ou de les supprimer. Ils peuvent également transférer leurs données vers une autre entreprise : c’est pour cela que les organisations doivent conserver les données dans un format partageable.
Lorsqu’un client demande que ses données soient modifiées ou supprimées, l’entreprise a 30 jours pour le faire. Ces deux demandes doivent être écoutées par l’organisation au risque d’encourir des sanctions.
Dans la documentation, le DPO se doit d’indiquer les mesures à prendre en cas de ce genre de demandes. De même, il doit former les employés en contact avec les clients à y répondre.
La feuille de route de mise en œuvre du RGPD n’est pas précisée par la CNIL, ce qui signifie qu’il n’y a pas d’étapes obligatoires. Il est recommandé de les adapter à chaque cas.
Il est nécessaire de définir les priorités des données et de les hiérarchiser selon le type de mesures et d’interventions.
Les données sensibles doivent être accordées une attention particulière. 3 types de données en particulier doivent bénéficier d’une protection supplémentaire, selon le RGPD.
La mise en œuvre du RGPD se fait en collaboration avec le service juridique et informatique, mais également avec la direction, le marketing, les ressources humaines … Avec autant d’auteurs impliqués, il est nécessaire d’attribuer les responsabilités et de choisir des ressources.
Par exemple, le service informatique intervient dans la protection des données, alors que la direction définit les priorités et les moyens mis en place.
Il est conseillé de définir les rôles de chacun dès le début de la mission.
La mise en œuvre du RGPD peut prendre plus ou moins de temps, selon la taille de l’entreprise, la nature des données traitées et d’autres facteurs. Demander au DPO d’agir rapidement risque de rendre ses conditions de travail compliquées, voire impossibles.
Le processus complet peut prendre plusieurs mois, mais il est nécessaire d’être patient, surtout dans les premières étapes d’inventaire et de catalogage.
Les indicateurs de conformité permettent de mesurer l’avancée du plan d’attaque et les points qui posent problème. Ils varient selon la taille de l’entreprise, la nature des données, le niveau de risque …
On peut néanmoins en citer quelques-uns :
Lorsque le RGPD est mis en place, le travail n’est pas terminé. Il faut vérifier que les données personnelles sont toujours en sécurité après chaque changement de l’entreprise. C’est pour cela qu’il est recommandé de faire des audits de conformité RGPD tous les ans au minimum.
Mettre à jour la feuille de route permet de faciliter les révisions. Si les mesures de protection des données sont écrites noir sur blanc, il est plus aisé de s’assurer qu’elles sont toujours adaptées à l’organisation.
La mise en œuvre du RGPD est obligatoire pour les entreprises qui traitent des données personnelles. Cela leur permet non seulement d’éviter les sanctions de la CNIL, mais également :
La durée varie selon la taille de l’entreprise et la nature des données traitées. Une fourchette se situerait entre 3 et 12 mois.
Le coût varie selon la taille de l’entreprise, la nature des données traitées, le nombre d’employés concernés, le DPO contacté … Le budget le plus bas est d’une centaine d’euros, et le plus haut est de quelques milliers d’euros.
Oui, à condition de désigner un référent interne.
La priorité est de faire l’inventaire des données en précisant leur type et les mesures de collecte.
%20(1).png)
.svg)
.png)
.png)
