RGPD – Règlement Général sur la Protection des Données

Introduction au RGPD

ISI RGPD, la solution de mise en conformité

Entré en vigueur le 25 mai 2018, le Règlement Général de Protection des Données (RGPD ou GDPR en anglais) encadre le traitement des données personnelles et concerne toutes les organisations.

Ce règlement n’est pas une nouveauté en matière de protection des données. En effet, au niveau Européen, il y a eu plusieurs directives, pas obligatoirement applicables par définition, ce règlement européen est donc le premier texte relatif à la protection des données qui soit obligatoirement applicable par ses pays membres. Cependant en France, depuis 1978 et la loi Informatique et Libertés, plusieurs textes se sont succédés avant le RGPD.

La réponse au RGPD est bien plus que technologique, il ne suffit pas d’acheter une solution « conforme RGPD » ou « GDPR compliant ». La mise en conformité de votre entreprise demande une revue de l’ensemble de vos process et de votre organisation.

La démarche de mise en conformité RGPD repose sur 4 volets :

JURIDIQUE

PROCESS

ORGANISATIONNEL

TECHNOLOGIQUE

LES 6 ÉTAPES DÉFINIES PAR LA CNIL POUR RÉALISER VOTRE MISE EN CONFORMITÉ RGPD

Désigner un pilote Comme tout projet, vous devez désigner un pilote qui par la suite pourra être le DPO (ou DPD) de l’entreprise.

Cartographier vos traitements de données personnelles Avant de mettre en place des actions de mise en conformité, vous devez au préalable réaliser un état des lieux de vos process. Pour cela, vous devez documenter vos traitements de données personnelles, les catégories de données personnelles traitées, les objectifs de chaque traitement, les acteurs (internes ou externes) qui participent à ces traitements, et les flux des données afin d’en donner l’origine et la localisation (UE / hors UE).

Prioriser les actions à mener Avant tout, vous devez identifier les risques liés à vos process afin de prioriser les actions à mener. Ensuite, vous créez un plan d’actions, en gardant pour question de base : « Est-ce que je recueille uniquement les données nécessaires à la réalisation de mes traitements ? ». Vous devez également identifier la base juridique de chaque traitement, revoir vos mentions d’informations, contacter vos sous-traitants, prévoir les modalités d’exercice des droits des personnes concernées et enfin, vérifier la bonne mise en place de vos mesures de sécurité.

Gérer les risques Cette étape requiert une « Analyse d’impact relative à la protection des données » (AIPD). L’objectif de cet outil d’évaluation est d’aider à la construction de traitements respectueux de la vie privée et donc conformes au RGPD. Afin d’anticiper les risques et menaces potentiels identifiés, il faut mettre en place des mesures de sécurité.

Organiser les processus internes Tout d’abord, il est nécessaire d’initier une réflexion autour de la protection des données, dès le début d’un projet, on parle de « Privacy by design« . Pour cela, il faut sensibiliser vos collaborateurs aux process que vous avez établis précédemment. Il faut également être en mesure de traiter les modalités d’exécution des droits des personnes, comme les droits d’accès, de rectification ou encore de suppression par exemple. Dernier point, être en mesure d’anticiper d’éventuelles violations de données.

Documenter la conformité Après avoir déployé votre plan d’actions, vous devez documenter toute votre démarche dans un dossier comprenant notamment : le registre des traitements, l’AIPD, les mentions d’information, l’ensemble des procédures et mesures de sécurité, les contrats de sous-traitance, les preuves de consentement de conservation des données personnelles.

SIMPLIFIEZ VOTRE MISE EN CONFORMITÉ AVEC ISI RGPD

Qu’est-ce qu’une donnée personnelle ?

Sont considérées comme données personnelles, les informations se rapportant à une personne physique vivante identifiée ou identifiable, dont le regroupement permet d’identifier cette personne en particulier, directement ou indirectement.
Il y a 7 catégories de données personnelles :

Les données relatives à l’identité (nom, prénom, adresse, photo, date et lieu de naissance, etc.)
Les données relatives à la vie personnelle (habitudes de vie, de consommation, loisirs, situation familiale, etc.)
Les données relatives à la vie professionnelle (CV, diplômes, formation, fonction, lieu de travail, etc.)
Les informations économiques (revenus, impôts, données bancaires, droits sociaux, situation financière, etc.)
Les données de localisation (coordonnées GPS, géolocalisation véhicule ou téléphone, badges bâtiments, télépéages, etc.)
Les données judiciaires (casier judiciaire)
Les données sensibles relatives à la santé (médical, biomédical, handicap), l’orientation religieuse, l’opinion politique, etc.

Le DPO – Data Protection Officer ou le DPD – Délégué à la Protection des Données

Le DPO ou DPD en français pour Délégué à la Protection des Données, a pour missions d’informer et de conseiller les collaborateurs, mais aussi et surtout de valider la conformité des traitements et d’exercer un contrôle continu. En effet, le DPO est le garant de la tenue à jour du registre des traitements ainsi que du respect de la conformité des pratiques de l’entreprise vis-à-vis des données personnelles. Le DPO est l’évolution du Correspondant Informatique et Libertés (CIL).

Le DPO est-il obligatoire ?

Il faut savoir que le recours à un DPO n’est pas systématique. Cependant il est obligatoire dans 3 cas :

Les établissements publics
Les organisations dont l’activité principale est le traitement de données en masse (ex?)
Les organisations dont l’activité principale traite des données sensibles [Lien FAQ]

Contrairement à certaines idées reçues, le recours à un DPO n’est pas obligatoire pour les entreprises de 250+ collaborateurs (sauf pour celles qui font partie d’au moins une des 3 catégories ci-dessus) mais il est tout de même fortement conseillé, en fonction de votre secteur d’activité.

Le DPO doit-il être interne ou externe ?

Qu’il soit obligatoire ou non, le Data Protection Officer peut aussi bien être un collaborateur de l’entreprise qu’un prestataire externe. Dans le cas où votre DPO est interne, vous devez vous assurer qu’il soit pleinement conscient de ses droits et devoirs. En effet en tant que responsable du traitement des données personnelles, il doit être en mesure de dénoncer sa hiérarchie en cas de non respect de la conformité.

Confiez-nous l'externalisation de votre DPO

Quelles sanctions pour les entreprises non conformes ?

En France, l’organisme en charge de contrôler la conformité des entreprises est la CNIL. Et les sanctions en cas de non-respect du RGPD sont assez élevées :

Jusqu’à 10M€ ou 2% du CA mondial pour des infractions relatives
Jusqu’à 20M€ ou 4% du CA mondial pour des infractions graves

Cependant, nous avons constaté qu’au delà du risque pécuniaire, vous risquez davantage commercialement ! En effet, si vous ne pouvez répondre favorablement à la demande de votre prospect, il deviendra client de votre concurrent.

Plus d’informations ici

BESOIN D'ÊTRE ACCOMPAGNÉ SUR VOTRE MISE EN CONFORMITÉ RGPD ? CONTACTEZ-NOUS