Le RGPD c'est quoi ?

Un DPO c’est quoi ?

Un DPO est le maître d’œuvre chargé de la mise en conformité de l’organisme. Par conséquent, il veille à la bonne application des dispositions de la protection des données personnelles. Doté de compétences transverses (juridique, technique, organisationnelle) et de connaissance en sécurité informatique et en gestion des risques, le DPO doit aussi être un bon communiquant et être force de proposition. Son rôle est aussi de conseiller et d’informer la direction sur les mesures de protection des données personnelles. Par ailleurs, il est également l’interlocuteur privilégié de l’autorité de contrôle.

Dans quel cas la nomination d’un DPO est-elle obligatoire ?

C’est quoi ?

L’audit de conformité ou revue initiale de conformité permet de faire un état des lieux de vos activités au regard du RGPD. Donc c’est à cette étape qu’il faut identifier et recenser tous les traitements de données personnelles. Cela vous permettra d’obtenir une évaluation de votre niveau de conformité de votre organisme et une analyse des écarts de conformité (type de données, durée de conservation, …).

Comment ça se passe ?

La revue de conformité RGPD est réalisée par le DPO et/ou l’équipe de mise en conformité. Des listes de questions à poser permettent de vous guider dans votre audit. Une visite des locaux et des discussions avec l’ensemble du personnel ou des personnes impliquées dans le traitement des données personnelles, s’avérent souvent nécessaire afin de bien cerner les problématique liées à l’activité et les écarts constatés.

Et pour finir ?

L’audit se termine par la rédaction d’un rapport détaillé faisant l’état des lieux et reprenant les enjeux, les écarts constatés et les contraintes de l’activité de l’organisme, ainsi qu’un plan d’action. Vous devez à ce stade, avoir une vision ojbective d’ensemble de vos traitements, de vos risques, et des actions et mesures à mettre en place pour atteindre votre confformité, selon un calendrier élaboré et repris dans le plan d’action

Que faut-il cartographier ?

À la suite de votre audit, vous devez bénéficier d’une liste de vos traitements de données, ainsi que d’un plan d’action. Il vous faut alors rédiger votre registre de traitements dans lequel, vous détaillerez chacun de vos traitements de données en précisant la nature des données, la provenance, la base légale sur laquelle repose la collecte de données et toutes informations que vous jugerez utile pour évaluer les risques pour les personnes concernées d’une violation de données sur ce traitement. Si le risque est élevé vous devrez procéder à une analyse d’impact sur les traitements concernées et prendre des mesures de sécurité supplémentaires.

La cartographie doit également comprendre les applications utilisées dans l’entreprise afin de maîtriser les données personnelles qui transitent ou sont stockées dans ces dernières. Une cartographie des sous-traitants doit également être réalisée. En effet, au regard du RGPD, le sous-traitant et le donneur d’ordre sont conjointement responsable des traitements de données sous-traités. Par conséquent, un audit de vos sous-traitants pour connaître leur niveau de conformité est fortement préconisé.

Pourquoi la formation et la sensibilisation sont-elles nécessaires ?

Il est primordial de sensibiliser vos collaborateurs à la protection des données personnelles et à la cybersécurité. Tout d’abord, car 70% des problèmes de sécurité impliquent directement des employés. En formant et en sensibilisant vos collaborateurs, vous diminuez grandement le risque de subir une attaque.

De plus, la formation de vos employés aux principes de protection des données personnelles, vous permet de mettre en place le “privacy by design”

Quelle organisation faut-il mettre en place pour être en conformité ?

L’organisation est propre à chaque organisme en fonction de son activité et secteur. Néanmoins, la formation et la sensibilisation de vos collaborateurs vous permettra de réfléchir à de nouvelles organisations permettant de mettre le respect de la protection des données personnelles au centre. C’est par exemple, la notion de privacy by design, qui vise le respect de ces principes dans la conception en amont de n’importe quel projet.

Quelles sont les procédures obligatoires ?

Bien qu’il n’y ait pas d’obligations particulières en terme de procédures et que celles-ci vont être propre à chacune des entreprises en fonction de leur organisation et activités. Aujourd’hui, il est préconisé pour toutes les entreprises de se doter d’un PRA (Plan de Reprise d’Activité) et d’un PCA (Plan de Continuité d’Activité). Ces procédures sont censées décrire les ressources et les moyens mis en place par votre organisme pour faire face à l’ensemble des risques et problématiques qui pourrait perturber ou interrompre votre activité. De la panne d’un serveur à une attaque par ransomware.

D’autres procédures seront probablement nécessaire pour encadrer votre activité et celle de vos collaborateurs.

Quels contrats doivent être revus pour atteindre la conformité ?

L’ensemble des contrats de votre entreprise doit être revu au regard du RGPD. En effet, dans chacun d’entre eux il faudra inclure une section faisant état de la protection des données personnelles. Des contrats de travail de vos collaborateurs, à ceux avec vos sous-traitants en passant par vos CGV, il est important de spécifier comment sont traitées les données personnelles dans chacun des cas.

Comment dois-je prouver ma conformité ?

La principale preuve de la conformité d’un organisme est son registre de traitements à jour. Le registre répond aux principes d’accountability (responsabilité). Le ou les rapports d’audit peuvent également prouver la démarche engagée par l’organisme.

Comment maintenir ma conformité dans le temps ?

Pour maintenir sa conformité, il faut continuer à tenir à jour le registre des traitements, mettre en place le “privacy by design” au sein de l’organisme pour tous les nouveaux projets, et continuer régulièrement à former et à sensibiliser les collaborateurs. Ainsi, procéder à un audit régulièrement est un bon moyen de vérifier que la conformité est efficacement maintenu dans le temps.

Et pour aller plus loin ?

Pour aller plus loin dans la protection des données personnelles, il est possible de mener une stratégie de cybersécurité en améliorant les systèmes de défense informatique de votre organisme. Il convient également comme mentionné plus haut dans la partie formation & sensibilisation d’éveiller vos collaborateurs aux enjeux de la cybersécurité et de la protection des données.