RGPD : les 6 étapes de la conformité

Jusqu’à présent, la protection des données à caractère personnel reposait sur un régime de déclaration et d’autorisation préalable.

A travers le principe de responsabilisation (« accountability »), le Règlement général sur la protection des données (RGPD) impose aux responsables de traitements, comme aux prestataires sous-traitants, d’être en mesure de démontrer qu’à tout moment, le traitement des données à caractère personnel est effectué conformément au RGPD.

D’où l’importance d’un programme de conformité qui conduise au respect de cet objectif et au maintien de cette conformité dans le temps.

Etape 1 : Désigner un pilote

La première étape vers votre mise en conformité sera de nommer un Délégué à la Protection des Données (ou Data Protection Officer (DPO)). Son rôle sera d’agir comme un véritable chef d’orchestre qui exercera une mission d’information, de conseil et de contrôle en interne.

En attendant 2018, vous pouvez d’ores et déjà désigner un Correspondant Informatique et Libertés (CIL) pour veiller à la sécurité juridique et informatique de votre entreprise.

Ressources CNIL

L’étape 1 est franchie, si

  • Un CIL ou un DPO a été nommé
  • Des moyens matériels, financiers et humains lui ont été affectés pour mener à bien ses missions

L’avis de l’expert 

La mise en conformité au RGPD oblige les organisations (entreprises du secteur privé, et administrations du secteur public) à élaborer les règles de gouvernance en matière de protection des données à caractère personnel.
 
Cela suppose selon le cas, de repenser l’organisation actuelle dans la perspective d’une prochain transition entre CIL actuel et futur DPO, ou de désigner un CIL et futur DPO.
Dans les deux cas, il s’agit de définir ou de redéfinir les attributions et les fonctions du CIL et futur DPO, et de déterminer les moyens et les ressources dans l’exercice de ses différentes tâches, rôles et responsabilités, sous la direction et l’impulsion d’un « sponsor » au plus haut niveau hiérarchique de l’organisation (direction générale ou secrétariat général).

Etape 2 : Cartographier vos traitements de données personnelles

La deuxième étape consiste à recenser de façon précise tous les traitements de données personnelles dans votre entreprise.

Ressources CNIL

L’étape 2 est franchie, si

  • Les workshops avec les services et les entités ont été réalisés
  • L’inventaire des traitements par finalité principale et les types de données traitées ont été établis
  • Les sous-traitants qui interviennent sont identifiés sur chaque traitement, c’est-à-dire si le responsable de traitement sait à qui et où les données sont transmises
  • Le responsable de traitement sait où sont stockées les données
  • Le responsable de traitement sait combien de temps les données sont stockées (conservation/archivage)

L’avis de l’expert

Il s’agit d’une étape clé, directement liée au recensement des traitements de données en cours ou à venir, pour toutes les organisations éligibles au RGPD, en vue d’établir le registre des activités de traitements de données.
 
Cet état des lieux vise aussi à identifier les moyens existants déjà mis en place, et au-delà les écarts pouvant exister au regard du niveau de conformité attendu au 25 mai 2018 et postérieurement au RGPD.
 
Ce recensement préfigure aussi des actions qui seront à mener afin d’assurer le programme de conformité au RGPD, lesquelles seront définies dans une feuille de route permettant d’identifier les besoins aussi bien que les contraintes, et au-delà les ambitions et les objectifs de conformité pour chaque organisation.

Etape 3 : Prioriser les actions à mener

Sur la base de votre registre, identifiez les actions à mener pour vous conformer aux obligations actuelles et à venir.

Priorisez ces actions au regard des risques que font peser vos traitements sur les droits et les libertés des personnes concernées

RESSOURCES CNIL

L’étape 3 est franchie, si

  • Les données à risque (données sensibles) et les traitements à risque (documentation et mesures organisationnelles et techniques absentes, incomplètes ou imparfaites) sont identifiés
  • Les premières mesures sont mises en place :
    • Seules les données strictement nécessaires sont collectées et traitées, la base juridique est assurée (consentement, contrat, intérêt légitime, obligation légale), les mentions d’information pour les personnes concernées sont mises à jour, les clauses des contrats avec les sous-traitants sont mises à jour, etc.

L’avis de l’expert

La priorisation des actions vise à préciser le contenu d’une feuille de route, dans le cadre de laquelle sera mis en place un véritable plan d’actions, lequel prévoira l’implémentation tant pour les nouvelles règles de gouvernance des données à caractère personnel, que pour les nouveaux processus associés à la protection des données (tels que, la gestion des failles de sécurité, la gestion du cycle de vie de la donnée, etc.).
 
Ce plan d’actions et son déploiement comprendront aussi des indications concernant les jalons ou les étapes au cours desquels il conviendra de mettre en place les nouveaux outils de conformité (tels que, registre des traitements de données, outils d’anonymisation ou de pseudonymisation en fonction des catégories de données et de leur caractère sensible ou non, etc.).

Etape 4 : Gérer les risques

Pour les traitements de données personnelles susceptibles d’engendrer des risques élevés pour les droits et libertés des personnes concernées, vous devrez mener une analyse d’impact sur la protection des données (PIA)

RESSOURCES CNIL/G29

L’étape 4 est franchie, si

  • Les mesures permettant de répondre aux principaux risques et menaces qui pèsent sur la vie privée des personnes concernées sont mises en place (anonymisation des données sensibles, contrôle des accès, gestion des droits et habilitations, etc.)

L’avis de l’expert

La réussite d’un programme de conformité suppose de savoir identifier et apprécier le niveau de risques, aussi bien au regard de l’existant, qu’en prenant en considération les différents travaux de remédiation afin d’aboutir à un niveau de protection adéquat.
 
Selon une approche et une démarche progressive, afin de rationaliser les investissements à mettre en œuvre, il est indispensable de savoir évaluer les actions prioritaires tout en poursuivant un objectif de réduction des risques.
 
En ce sens, la gestion des risques, associée à l’établissement d’analyses d’impact sur la protection des données, impliquent pour les organisations de savoir établir et documenter de véritables dossiers, pour les traitements les plus sensibles, ce qui revient à être en mesure de s’interroger sur les principaux points suivants :
 
– Quels sont les données et les traitements concernés ?
– Comment réaliser cette analyse et organiser cette gestion des risques ?
– Quels sont les risques résiduels les plus sensibles pouvant conduire à devoir consulter l’autorité de contrôle (en France, la CNIL) ?

Etape 5 : Organiser les processus internes

Mettez en place des procédures internes qui garantissent la prise en compte de la protection des données à tout moment, en prenant en compte l’ensemble des événements qui peuvent survenir au cours de la vie d’un traitement (faille de sécurité, gestion des demandes de rectification ou d’accès, modification des données collectées, changement de prestataire, etc.).

RESSOURCES CNIL

Afin de vous aider dans cette démarche, la CNIL a mis en ligne deux ressources qui vous seront utiles :

 

L’étape 5 est franchie, si

  • Les processus internes de protection des données, remontée d’informations, gestion des réclamations et des plaintes, gestion des incidents et failles de sécurité sont mis en place

L’avis de l’expert

Au plan organisationnel et technique, il s’agit d’encadrer et de documenter, dans un souci de conformité légale et réglementaire des processus de type : faille de sécurité, gestion des demandes de rectification ou d’accès, modification des données collectées, changement de prestataire, etc.
 
L’organisation des processus internes sur la protection des données à caractère personnel s’élargit en pratique en partant de zones organisationnelles et techniques, pour aller vers des zones juridiques ou éthiques.
 
L’ensemble des processus internes sur la protection des données à caractère personnel vont permettre de constituer des règles et des mécanismes internes de contrôle et de suivi, en cherchant ainsi à créer une véritable piste d’audit fiable tout au long du cycle de vie des données et de la chaine des traitements de données.

Etape 6 : Documenter la conformité

Pour prouver votre conformité au Règlement, vous devez constituer et regrouper la documentation nécessaire.

Les actions et documents réalisés à chaque étape doivent être réexaminés et actualisés régulièrement pour assurer une protection des données en continu.

L’étape 6 est franchie, si

  • La documentation sur les traitements de données personnelles existe, c’est-à-dire :
    • Le registre des traitements (pour les Responsable de traitement) ou des catégories d’activités de traitements (pour les Sous-traitants)
    • Les analyses d’impact sur la protection des données (PIA – voir étape 4) pour les traitements susceptibles d’engendrer des risques élevés pour les droits et libertés des personnes
    • L’encadrement des transferts de données hors de l’Union européenne (notamment les clauses contractuelles types ou les Binding Corporate Rules (BCR))

L’avis de l’expert

Documenter les mesures organisationnelles et techniques mises en œuvre ne suffit pas.
 
Il convient pour les organisations d’être en mesure de démontrer qu’à tout moment, les traitements de données à caractère personnel, sont effectués conformément au RGPD, aussi bien en interne, mais également dans la gestion de la relation avec tous les points de contacts externes (administrations, fournisseurs, partenaires, sous-traitants, etc.).
 
Ainsi, au-delà du registre des traitements de données, et des éventuelles analyses d’impact sur la protection des données, se mettre en conformité avec les attentes du RGPD, c’est aussi notamment revoir et mettre à jour toutes les mentions d’information sur tous les supports de contacts à destination des personnes concernées.
 
C’est également être en mesure de pouvoir prouver le recueil du consentement des personnes concernées et l’exercice à tout instant des droits des personnes concernées lorsqu’elles le sollicitent.
 
C’est enfin encadrer les transferts de données en particulier hors de l’Union européenne et selon le cas, savoir faciliter la reconnaissance de conformité de l’organisation avec le RGPD, par l’application d’un code de conduite ou d’un mécanisme de certification.

Photo de Muriel Féraud-Courtin
Muriel Féraud-Courtin

Muriel Féraud-Courtin, Avocat Associée, a acquis une expérience de plus de 19 ans en droit des affaires et travaille en étroite coopération avec les avocats du réseau international Deloitte Legal. […]

Flambard Guillaume
Guillaume Flambard

Avocat, Directeur, Guillaume Flambard est spécialisé en droit des nouvelles technologies, de l’informatique et de la communication (certificat de spécialisation délivré par le Conseil National des Barreaux). Il accompagne les […]