Conformité au RGPD : qu'est-ce que cela signifie et comment y parvenir ?

Êtes-vous en conformité avec le RGPD ? Plus de deux ans après la mise en œuvre du RGPD, de nombreuses entreprises tardent à intégrer ces nouvelles exigences en matière de protection des données dans leurs projets.

Conformité au RGPD : que sont les données personnelles ?

Les données personnelles sont un très grand ensemble de données qui, individuellement ou combinées, peuvent isoler une personne d'un groupe**. Il est présent dans tous vos systèmes d'information et comprend :

• coordonnées (nom, prénom, adresse postale ou e-mail, numéro de téléphone)
• des données à fort impact sur la vie privée (données RH, données de géolocalisation)
• données sensibles (état de santé, opinions politiques ou religieuses, orientation sexuelle, numéro de sécurité sociale)

Désignation d'un DPO pour garantir la conformité au RGPD

La conformité au RGPD concerne tous vos départements et activités dès que les données personnelles sont traitées. Pour plus d'efficacité, ce projet devrait être coordonné par un responsable.

Dans certains cas, la nomination d'une fonction dédiée, un délégué à la protection des données (DPO), est même obligatoire. C'est le cas, par exemple, pour les autorités locales ou pour certaines entreprises technologiques.

Identifier les opérations de traitement des données soumises au RGPD

Avez-vous réalisé un inventaire de vos bases de données ?

Les données personnelles peuvent prendre de nombreuses formes, structuré (fichiers texte, bases de données) ou déconstruit (contrats, champs de commentaires gratuits).

Vous devez donc créer un registre décrivant les traitements de données effectués. Chaque enregistrement centralise les principales caractéristiques de chaque processus : Quelles sont les données traitées ? À quelles fins ? Qui est le destinataire des données ? Combien de temps sont-ils conservés ? Etc.

Cet inventaire vous permettra d'évaluer les risques liés à la conformité au RGPD. Vous serez alors en mesure de prioriser vos efforts sur les projets les plus sensibles.

Avec le RGPD, gagnez en transparence et en matière de consentement

Vous traitez probablement les données de prospects, clients, fournisseurs, employés ou partenaires.

Encore plus qu'auparavant, vous devrez faire preuve de transparence quant à la manière dont les données sont traitées. Cela vous amènera à créer divers supports d'information et à revoir ceux qui existent déjà, par exemple :

• politique de confidentialité sur un site Web
• informations au bas des formulaires de collecte de données
• avis d'information pour les employés

Vous devrez également revoir votre expérience utilisateur pour vous assurer que le consentement est obtenu. Cela peut se faire de différentes manières :

• cases à cocher sur les formulaires pour autoriser les opérations de prospection
• sollicitation orale du consentementt par des conseillers à la clientèle
• interface de demande de consentement pour le dépôt de cookies

Si vous traitez des données sensibles, vous devrez également recueillir un consentement spécifique.

Responsabilité et respect de la vie privée dès la conception, les concepts clés de la conformité au RGPD

Le RGPD impose actuellement la conformité globale du traitement des données. Il repose sur trois concepts clés :

• Responsabilité: Restriction d'accès, limitation des champs de données et des finalités, purges automatiques, etc. Mettez en œuvre dans vos outils les mesures adéquates en termes de protection et de sécurité des données.
• La confidentialité dès la conception: Intégrez ces mesures le plus tôt possible, dès la phase de conception de vos nouveaux projets ou lorsque vous apportez des modifications structurelles à vos outils. Cela vous aidera à contrôler vos coûts et votre calendrier.
• Confidentialité par défaut: Ne collectez pas de données inutiles. Restreignez les champs de collecte de vos formulaires, configurez correctement vos outils afin de ne pas collecter plus que nécessaire.

Vos projets les plus structurants devraient faire l'objet d'une analyse d'impact sur la protection des données (DPIA). Cela vous permettra de déterminer plus précisément les mesures à intégrer au projet.

Vérifiez la conformité des fournisseurs au RGPD

• Votre entreprise est responsable du traitement des données effectué en interne par vos employés mais également en externe par vos fournisseurs et sous-traitants.

Vous devez donc :

• vérifier leur adhésion au RGPD
• signe accords supplémentaires pour garantir la protection des données personnelles
• signe accords spécifiques en cas de transferts de données hors de l'Union européenne (par exemple si le sous-traitant est basé au Maroc ou transfère des données vers sa société mère aux États-Unis).

La prise en charge de vos droits en vertu du RGPD

Les personnes dont vous traitez les données peuvent notamment vous demander de :

• pour leur communiquer les données dont vous disposez
• pour le rectifier ou le supprimer
• de cesser de traiter leurs données, par exemple en se désabonnant des newsletters ou des bases de données de prospection

Le traitement de ces demandes doit concerner toutes les bases de données stockant des données. C'est pourquoi un plan de conformité au RGPD nécessite l'élaboration de procédures décrivant les étapes à suivre pour chaque type de demande. Le traitement correct des demandes est essentiel pour éviter que la CNIL (Commission nationale de l'informatique et des libertés) ne soit saisie de plaintes contre votre entreprise.

La sécurité informatique, un pilier de la conformité au RGPD

Il est important de garantir la sécurité des bases de données, en particulier celles contenant des données personnelles. Par conséquent, vous devrez établir un plan avec des mesures appropriées pour chaque couche informatique de votre infrastructure. La sécurité informatique est la base de votre conformité au RGPD.

L'une de vos bases de données a été piratée ? Un employé a envoyé un fichier de données par e-mail par erreur ? Les devis et les factures de vos clients sont-ils accessibles en ligne ? Toutes ces violations de données doivent être signalées à la CNIL dans les 72 heures. Cela nécessite une autre procédure couvrant la détection de la violation, la minimisation des dommages et la notification. Vous devrez peut-être également informer les personnes touchées par la violation.

Obtenez les outils dont vous avez besoin pour vous conformer au RGPD

Le GDPR applique une réglementation cohérente. L'intégration de ces exigences dans vos activités nécessitera un effort soutenu qui devra être porté par le sponsor interne avec l'approbation des services concernés.

Vous pouvez compter sur de nombreuses ressources, telles que reconnaissance du langage naturel, et sur les outils permettant d'automatiser certaines tâches répétitives. Cela allégera la tâche de votre délégué à la protection des données et de vos équipes commerciales, tout en garantissant une meilleure optimisation de votre conformité au RGPD.