Les enjeux de la conformité RGPD

Quelle conformité pour les organisations ?

Le Règlement européen impose une prise en compte accrue de la protection des données à caractère personnel : « Protection des données dès la conception » et « Protection des données par défaut ».

L’urgence est de prendre en compte les exigences du RGPD dans les contrats au plus tôt et en particulier sur le changement du statut du sous-traitant en termes de responsabilités (article 26 et article 28).

L’ampleur des sanctions (article 84) en cas de non conformité va de 10 M€ ou 2% du CA mondial consolidé à 20 M€ ou 4% du CA mondial consolidé. Le montant le plus élevé étant retenu comme sanction maximale possible.

Lorsque des transferts d’information hors Union Européenne sont effectués, des BCR ou Binding Corporate Rules peuvent constituer une solution juridique de mise en conformité et de maintient d’exploitabilité.

Le chapitre IV section 4 concerne le Délégué à la Protection des Données (DPD) ou Data Privacy Officer (DPO). L’obligation de la désignation d’un DPO ne concerne pas toutes les structures, bien que la CNIL recommande fortement sa désignation, y compris dans les cas d’exceptions. Le DPO peut être un rôle interne porté par un salarié ou externalisé chez un prestataire.

Preuves de la responsabilité opérationnelle et juridique de l’organisation, le corpus documentaire exigé est constitué :

• d’un registre des activités de traitements qui permet de recenser les traitements de données et de disposer d’une vue d’ensemble de ce qui est fait avec les données personnelles,
• d’une Etude d’Impact sur la Vie Privée (EIVP ou PIA) pour les traitements décrit à l’article 35 du règlement susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes physiques,
• de la réalisation d’un rapport annuel d’activité.

En synthèse les exigences du RGPD sont :

• Protection des données dès la conception (Privacy by Design).
• Protection des données par défaut (Privacy by Default).
• Représentant dans l’organisation (Data Protection Officer).
• Registre des traitements.
• Coopération avec l’autorité de contrôle.
• Notification à l’autorité de contrôle.
• Notification des personnes concernées.
• Analyse d’impact (Privacy Impact Assessment).

En cas de défaut la sanction prévue est de 2% du CA consolidé ou 10 M€.

La suite des exigences :

• Respect des principes de base d’un traitement (Licéité, loyauté, légitimité, consentement, données sensibles …).
• Respect du droit des personnes (Droit d’accès, de rectification, d’effacement dit « Droit à l’oubli », à la limitation du traitement, à la portabilité et d’opposition).
• Respect des règles relative au transfert de données (Privacy Shield / Binding Corporate Rules).

Dans ces cas le non respect peut être sanctionné par 4% du CA consolidé ou 20 M€.

La mise en conformité n’est pas un simple projet, il s’agit plus d’un changement de culture dans les organisations quelques soient leurs tailles.

Méthodologie

Pour qu’une organisation se mette en conformité, il faut qu’elle se prépare en 6 étapes selon les conseils de la CNIL :

1. Désigner un pilote,
2. Cartographier les traitements de données personnelles,
3. Prioriser les actions,
4. Gérer les risques,
5. Organiser les processus interne,
6. Documenter la conformité.

Pour rester dans l’esprit de ces étapes nous proposons de vous accompagner sur un projet de mise en conformité en 5 phases comme suit (cliquer sur l’image pour l’agrandir) :

Ce type de projet vous permet d’obtenir une évaluation de votre conformité au Règlement européen, d’avoir une cartographie complète de vos traitements et un plan d’action d’amélioration pour être en conformité. L’ensemble des résultats obtenus permet au DPO ou au responsable de traitement de prendre en charge immédiatement le maintien de cette conformité et le pilotage du plan d’action. Il est conseillé de réévaluer la démarche au moins une fois tous les 3 ans.

Services de consulting

Nous menons les projets de mise en conformité RGPD avec une offre de services très diversifiée et adaptée à vos besoins, par exemple :

• Évaluation flash de maturité au RGPD et à la sécurité des données.
• Pilotage complet du projet de mise en conformité RGPD.
• Établissement et documentation du registre des traitements.
• Sensibilisation au Règlement et aux bonnes pratiques de sécurité.
• Analyse de risques et évaluation d’impact sur la vie privée (PIA).
• Coordination du plan d’amélioration des processus et de la sécurité du SI.
• Aide au déploiement des processus de sécurité des données.

Le RGPD c’est quoi ?

Le contexte réglementaire est de plus en plus présent dans la sphère des systèmes d’information, suivant en cela l’importance grandissante que nous donnons par nos usages à ces systèmes.

C’est le cas du nouveau Règlement Européen pour la Protection des Données RGPD, GDPR en anglais. Ce texte publié en avril 2016 sera applicable le 25 mai 2018 dans tous les pays de la communauté européenne. Il apporte des évolutions importantes quant aux exigences de conformité et aux conséquences d‘une non-conformité. L’enjeu pour les organisation est donc de mettre en place les processus nécessaires à cette conformité au RGPD avant l’échéance de 2018.

Voici en vidéo un tour d’horizon des principales questions qui se posent :

Sécurité des données à caractère personnel

La cybercriminalité cause des préjudices importants, ce qui conduit à une réflexion sur le management de l’information. Une étude en 2017 a chiffré à 3 millions d’euros le coût moyen pour une entreprise victime de cyberattaques. Le plus intéressant consiste à déterminer les origines des failles ayant permis les cyberattaques. Dans 48% des cas, il s’agit d’une défaillance humaine, preuve que la sensibilisation des collaborateurs en matière de protection du cyberespace n’est pas acquise dans les entreprises.

La protection des données, une affaire de sécurité.

Le texte européen expose un grand nombre d’exigences dont la finalité est d’assurer la sécurité des données personnelles de la « personne concernée ». L’examen de ces exigences montre qu’elles sont particulièrement structurantes. Il montre aussi qu’elles sont mutualisables avec des pratiques de gestion vouées à la sécurité des processus de l’organisation, par exemple l’analyse d’impact citée par le règlement qu’il convient d’aligner et de mutualiser avec l’analyse de risque SSI déjà en place dans beaucoup d’organisation comme le préconise l’ANSSI dans son Guide d’hygiène informatique (Mesure 41 – Mener une analyse de risques formelle).

Un autre point à prendre en compte vis à vis du règlement est la nécessaire implication d’un panel très étendu de parties prenantes, allant bien au-delà de la seule sécurité des systèmes d’information.

Pour répondre à ce besoin de conformité au meilleur coût global, il convient donc de mettre en place une démarche permettant d’identifier toutes les synergies possibles entre la conformité au règlement et la gestion des risques sécurité. Cette démarche permet notamment de valoriser les pratiques existantes et de développer des nouveaux processus fortement mutualisés pour les deux finalités.

Aspects économiques

Si la conformité au RGPD est indispensable, elle est aussi un centre de coût, autant lors de l’atteinte de la conformité que lors de son maintien.

Des amendes ou sanctions sévères sont prévues en cas d’infraction au règlement. L’amende maximale s’élèvera à 20 millions d’euros ou 4% du chiffre d’affaires mondial annuel, la valeur la plus élevée étant retenue, ce qui représente un coût colossal pour la plupart des organisations. Le RGPD confère au responsable de la protection des données un rôle beaucoup plus important en raison de l’impact des amendes ou sanctions potentielles en cas d’infraction.

Pour qu’un projet de mise en conformité soit bénéfique à l’entreprise, il est indispensable de maîtriser ses coûts, cette maîtrise repose sur :

• des processus adaptés au plus juste à l’organisation,
• une recherche systématique de synergies.

L’objectif, lors de l’élaboration du schéma d’évolution puis lors de la mise en oeuvre du plan d’action de mise en conformité, est de concevoir une organisation et des processus qui soient pertinents et réalistes dans le contexte, au moment du projet et au cours des années à venir.

Un nouveau rôle dans les organisations : DPO

La désignation d’un Data Protection Officer (DPO), successeur du CIL – Correspondant Informatique et Libertés, est obligatoire en mai 2018, notamment dès lors que les entreprises feront des traitements à grande échelle de suivi régulier et systématique des personnes ou de données sensibles. Le DPO sera également obligatoire pour le secteur public, quel que soit la nature du traitement.

Au sein de chaque organisme concerné, le DPO sera le chef d’orchestre de la conformité. Il devra être consulté sur tout traitement de données à caractère personnel. Il aura son mot à dire en termes de sécurité informatique et de sécurité juridique, il contribuera aussi à la valorisation de la donnée car c’est un vrai enjeu de business et d’innovation, il fera en sorte que cette donnée soit traitée dans des conditions de sécurité adéquates pour éviter les risques pour les personnes et pour l’image de l’entreprise.

Nous pourrions vulgariser en disant que le DPO a pour objectif de s’assurer de la conformité de l’entreprise au RGPD mais, en pratique, c’est un peu plus que ça.

Un DPO doit mettre en place un environnement de travail qui soit en phase avec le RGPD. Pour cela, il doit être en capacité d’identifier les traitements, applications, flux de données, sites internet et autres traitements de données à caractère personnel (DCP). Il doit également être en capacité d’expliquer des choses complexes de façon simple. Avant d’attaquer la phase d’audit nécessaire à l’exécution de ses missions, il doit d’abord expliquer le règlement, identifier et sensibiliser les différents acteurs qui sont concernés. Les personnes du service informatique, le marketing ou encore les ressources humaines, toutes ces personnes sont différentes, elles ne parlent pas forcément le même langage, au DPO de faire en sorte que ces derniers soient capables de se comprendre pour travailler ensemble.

Une fois cette phase de sensibilisation faite, le DPO peut commencer par faire un état des lieux de ce qui existe, des bonnes et des mauvaises pratiques, ceci afin de prioriser ses missions à venir. S’il ne fait pas cette distinction, il y a fort à parier qu’il passera du temps sur des points éventuellement importants, mais pas critiques.

Le DPO ne décide pas directement : il forme, informe, conseille, fait l’état des lieux, conduit les audits, produit les analyses d’impact, des rapports et des constats relatifs aux façons qu’a l’entreprise de travailler avec les DCP, puis il coopère avec les administrations, comme la CNIL. En pratique il peut être rattaché aux postes de direction, voire à la direction générale de l’entreprise, dans la mesure où c’est à elle que revient la tâche de mettre en place les moyens nécessaires : temps, budget, outils…

Une fois les moyens alloués et mis en place, le DPO suit et accompagne la mise en oeuvre des plans d’actions, il est le point de référence des autres métiers, des compétences et des directions reliées à ces plans. Il joue, ici, autant le rôle de chef de projet que celui de facilitateur.

Le règlement impose aux entreprises de tenir un registre des traitements relatifs aux DCP : qui est le responsable de traitement, quelles données sont collectées, pour quelles finalités, combien de temps… C’est au DPO de créer et maintenir ces registres, cela permet à l’entreprise de savoir ce qui est fait, par qui, quand, comment et pourquoi et ce à tout moment. Cela permet également, en cas de contrôle, de mettre à disposition une cartographie complète des traitements relatifs aux DCP.

L’indispensable outillage et de la méthode

Face aux multiples dispositions du RGPD, le projet de mise en conformité peut représenter un défi complexe. D’autant plus que les efforts et les procédures requis pour satisfaire aux exigences du référentiel peuvent varier selon la configuration des systèmes, des procédures internes et de la nature de l’organisation.

La méthode pour ce type de projet préconisée par la CNIL se déroule en 6 grandes étapes clefs :

1. Désigner un pilote pour le projet,
2. Cartographier les traitements de données personnelles,
3. Prioriser les actions à mener,
4. Gérer les risques,
5. Organiser les processus internes,
6. Documenter la conformité.

Une première cartographie à l’aide d’outils peut être établi, il sera utilisé comme guide de référence du projet pour mettre en oeuvre des politiques et des procédures adaptées à la situation et aux besoins de l’entreprise.

Nous traitons, dans notre offre de services, de la manière la plus simple et la plus efficiente d’offrir aux organisations les moyens et les outils leur permettant un gain de temps maximal dans la gestion de leur conformité RGPD.

Le RGPD est entré en application le 25 mai 2018. La CNIL, régulateur des données personnelles et Bpifrance, ont uni leurs moyens pour élaborer un guide pratique qui réponde aux interrogations des entrepreneurs et leur propose un accompagnement pragmatique et adapté pour passer à l’action. La mise en place du RGPD est aussi l’occasion pour les TPE et PME de progresser dans leur maturité numérique.