Se préparer pour être en conformité avec le RGPD

Pour de nombreuses entreprises, se mettre en conformité avec ce Règlement Général sur la Protection des Données va induire de grands changements en interne. La CNIL préconise ainsi de suivre six étapes pour assurer sa transition afin d’être prêt en mai 2018.

1/ Désigner un pilote

En vue de piloter la transition et superviser le bon fonctionnement d’une politique de collecte, il est conseillé de désigner un responsable dédié à la protection des données. C’est même une obligation pour les organismes publics et les entreprises qui traitent des données personnelles sensibles. Ce chef d’orchestre est là pour conseiller les employés et contrôler que le RGPD est bien appliqué. C’est lui, en cas de doute ou de litige, qui assurera le lien avec l’autorité de contrôle.

2/ Cartographier le traitement des données

Pour mesurer l’impact du RGPD, il convient de se lancer dans un état des lieux. L’idée est de recenser le volume de données collectées, en déterminant qui elles concernent, les objectifs poursuivis et – le cas échéant – les prestataires qui les traitent. Une fois ces éléments-clés connus, l’entreprise pourra créer et tenir un registre précis des données, de manière à les localiser facilement.

3/ Prioriser les actions

Une fois le registre créé, l’étape suivante est d’identifier les manquements actuels. Parmi les actions immanquables, les entreprises doivent s’assurer que les données collectées leurs sont utiles et entrent dans un cadre juridique clair. Elles doivent aussi permettre aux personnes d’exercer leurs droits à l’oubli, à la portabilité et à contester le profilage. Elles vont devoir s’assurer que le niveau de sécurité est maximal, et enfin, veiller à ce que leurs sous-traitants se plient également à toutes ces mesures.

4/ Gérer les risques

La cartographie doit servir à identifier les traitements de données faisant courir un risque potentiel pour les droits et les libertés des personnes. En cas de doute, les entreprises vont devoir monter une étude d’impact sur la protection des données. Cette étude va permettre de pointer les failles potentielles, et de déterminer les meilleurs outils pour les colmater. La CNIL propose plusieurs catalogues de bonnes pratiques sur son site.

5/ Organiser les processus internes

Pour assurer une sécurité maximale, gérer les failles, ainsi que les demandes de rectification, l’entreprise doit mettre en place des processus internes de réponses rapides et automatisées. Ce sont des actions à mettre en place en amont de la création d’un cookie, d’une application ou d’un nouveau traitement. Ce processus interne est également primordial pour se mettre en conformité avec l’obligation de signaler tout épisode de violation dans une limite de 72 heures à l’autorité de contrôle et aux personnes concernées.

6/ Documenter la conformité

Les entreprises sont tenues de créer un dossier regroupant tous les documents qui permettent de prouver que le traitement des données est conforme au RGPD. Ce dossier comportera le registre des traitements, les études d’impact sur la protection des données et l’encadrement des transferts de données hors de l’UE. Il présentera aussi les mentions d’informations, les modèles de demande de consentement aux personnes et les procédures mises en place pour qu’elles puissent exercer leurs différents droits. Enfin, ce document regroupera tous les contrats, notamment avec les sous-traitants, et explicitera les procédures et les responsabilités de chacun, en cas de violation des données.

Guide des bonnes pratiques de protection au sein de l'entreprise