Blog dédié à la performance commerciale et à la relation client

Le RGPD a un impact global sur l’entreprise, il induit pour chaque organisation une refonte interne des processus de gestion de l’information et de la donnée à chaque niveau de l’activité. La démarche de mise en conformité doit ainsi être initiée avant tout par la direction de l’entreprise, qui a pour rôle d'entraîner dans sa démarche l’ensemble des services autour d’une nouvelle culture d’entreprise respectueuse des principes de protection de la donnée. Veille technologique et juridique, sensibilisation du personnel, anticipation de la violation des données … sont autant d’actions qui peuvent être mises en oeuvre pour assurer un niveau de protection élevé et constant au sein de l’entreprise ! Le RGPD est une opportunité décisive pour chaque organisation de remettre de l’ordre et de la transversalité dans les processus internes de traitement de l’information.

Il apparaît comme pertinent d’accompagner ses équipes et de désigner un “pilote” de la gouvernance des données personnelles de votre entreprise. Il doit vérifier la conformité de son organisation avec le RGPD par l’identification des actions de traitement réalisées, l’analyse et la vérification de leur conformité. Véritable conseiller de votre mise en conformité ses recommandations vous guideront dans la jungle du RGPD ! La nomination d’un DPO, n’est pas obligatoire pour toutes les entreprises mais elle est fortement conseillée. Etant un poste inédit, il peut être difficile de trouver un interlocuteur qualifié sur le marché de l’emploi. Recrutement en interne ou externalisation? Fonction à mi-temps ou à plein temps ? Embauche ou mutualisation ? Autant de questions qu’il va falloir vous poser !

Malgré son rôle central dans la stratégie de mise en conformité d’une entreprise, le DPO n’est cependant pas légalement responsable de la conformité de son entreprise. C’est elle seule qui prend la décision d’appliquer ou non ses recommandations ! 

Avant d’engager une refonte de ses processus, une étape clé va être de recenser tous les traitements de données actuels dans l’entreprise. Le but : dresser un registre des traitements pour être en mesure d’identifier et de quantifier l’impact du RGPD. 

• L'article 4 du règlement définit un taitement comme "toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communicationpar transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction".

Le registre doit englober les différents traitements de données personnelles, les différentes catégories de données traitées, les objectifs de chaque opération de traitement, les différents acteurs qui traitent ces données et les différents flux d’origine et destination des données. Vous serez ainsi en mesure d’identifier les zones de risques et de mettre en place des actions correctives.

Vous possédez maintenant un état des lieux complet sur lequel vous appuyer pour développer votre plan d’action ! Voici quelques étapes essentielles à votre transition vers la conformité :

Identifier un traitement à risque ne suffit plus, il vous faudra réaliser pour chacun de ces traitements suspects une analyse d’impact de la protection des données (DPIA - Data Protection Impact Assessment). Cette étude visant à inciter les organismes à construire un processus plus respectueux de la vie privée repose sur deux grands piliers :

- L’évaluation du système de traitement actuel et sa mise en comparaison avec les grands principes et droits cités dans le RGPD (finalités, durées de conservation, droits des personnes…)

- L’étude de risque sur la sécurité des données (abus, violations, disparition des données…) 

Le déploiement de votre plan d’action passe avant tout par la refonte de vos processus actuels. Votre obligation : garantir un haut niveau de protection des données personnelles et ce en permanence. 

Application des principes de “Privacy by default” et “Privacy by design” à chaque niveau de votre activité, sensibilisation de l’ensemble de vos collaborateurs pour les impliquer dans une démarche proactive et responsable de traitement de la donnée, traitement des réclamations et des demandes des personnes concernées, ou encore anticipation des violations de données sont des sujets qui vont vous demander de repenser globalement vos processus de traitement internes et externes des données personnelles. Privilégiez des outils “RGPD compliant” pour mettre en oeuvre votre stratégie, anticiper et automatiser au maximum chaque scénario.

Nous l’avons dit le principe d’accountability est un des grands changements induits par le RGPD. Être en mesure de fournir des preuves de sa conformité nécessite de tenir à jour une documentation complète sur chaque action mise en place. 

Quels éléments archiver ?

• - Le registre des traitements

• - Les analyses d’impacts sur la protection des données (PIA)

• - L’encadrement des transferts de données hors de l’UE

• - Les mentions d’information

• - Les modèles de recueil de consentement

• - Les procédures mise en place pour l’exercice des droits des individus

• - Les contrats avec ses sous-traitants

• - Les procédures en cas de violation de données

• - Les preuves de consentement