RGPD : ce qui nous attend et comment se préparer?

• Le droit à l’oubli : sur une simple demande, et sauf raison légitime de les conserver, une personne peut demander à une entreprise l’effacement de ses données personnelles. Cette entreprise devra également transmettre la demande aux autres parties dupliquant les données.
• Le citoyen (ou lead, dans notre cas), doit également donner son consentement clair et explicite pour la collecte et le traitement de ses données : par exemple, une case à cocher, si celle-ci indique clairement et simplement la façon vous allez traiter la donnée. L’opt-in « par défaut » en absence d’opt-out n’est donc plus d’actualité.
• La portabilité de la donnée : grâce à cette loi, les personnes peuvent transmettre leurs données vers un autre fournisseur facilement et sans pertes.
• Droit d’être informé rapidement, notamment en cas de piratage
• Limitations sur le profilage : selon le texte officiel, le profilage est « toute forme de traitement automatisé de données à caractère personnel consistant à utiliser ces données […] pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne« .
  La loi prévoit que ce profilage ne peut être utilisé que si la personne donne son consentement ou s’il est nécessaire à la conclusion d’un contrat ̶̶̶ et non à des fins discriminatoires.
• Protection des enfants et mineurs : une autorisation parentale est nécessaire pour ouvrir un compte sur les réseaux sociaux, et le droit à l’oubli qui leur est accordé est également plus clair

Pour faire court : Le respect de la vie privée devient la norme.

Mais alors… que faire ?

Pas de panique, un des gros changements est que nous passons d’un système déclaratif auprès de la CNIL à une autonomie totale sur le sujet, d’un contrôle a priori à un contrôle a posteriori.

Vous ne serez donc contrôlé que si un utilisateur dépose une plainte à la CNIL ou qu’une fraude interne ou externe est détectée (cyber-attaque ou autre).

La CNIL prévoit six étapes pour se préparer à la RGPD.

Désigner un Délégué à la Protection des Données

Le Délégué à la Protection des Données, ou DPO pour la version anglaise, est globalement le nouveau nom du CIL (Correspondant Informatique et Libertés). Si vous avez déjà élu un CIL, ce dernier a donc vocation à devenir DPD.
Il est seulement obligatoire pour les organisations dont l’activité de base est de traiter ou collecter massivement des données personnelles, et pour celles qui détiennent des données dites sensibles (cf www.cnil.fr).
Cette mesure permet néanmoins d’avoir un référent sur tous les sujets liés à la protection des donnée. Il informe les différents acteurs, vérifie le respect des textes, mais aussi sert de relais avec les autorités concernées. Un conseil, nommez DPD une personne capable de jouer un rôle transverse, idéalement rattachée à la direction générale.

Recenser tous les traitements de données personnelles

Disposer d’un registre de tous les traitements que vous opérez concernant des données personnelles. Par exemple, recenser tous les consentements (opt-in) à recevoir des contenus par email, tous les cookies collectés et sur quels site web, etc.
La CNIL nous résume cela simplement : Qui ? Quand ? Où ? Comment ? Pourquoi et Jusqu’à quand ?

• Une fois l’ensemble des traitements recensés, prévoir un plan d’actions pour s’aligner en fonction des informations manquantes, mal renseignées ou incorrectes.

Réaliser une étude d’impact RGPD

Lorsque vous effectuez des « traitements de données personnelles à risques », voius devrez effectuer une étude d’impact sur ces derniers. Vous verrez souvent le sigle PIA pour Privacy Impact Assessment, en anglais.

Lorsque la CNIL parle de données sensibles « à risques » elle entend que les traitements réalisés sur ces dernières présentent un risque sur les libertés des personnes concernées. On distingue trois cas de figure principaux :

• Les données recueillies abordent des sujets « sensibles » : La religion, les orientations sexuelles, des données judiciaires, génétiques, biométriques, des opinions politiques, la santé d’une personne….
• L’utilisation du profilage avec des conséquences juridiques ou significatives pour la personne concernée
• Les données sont transférées dans des pays hors de l’UE

Élaborer des procédures internes de suivi dédiées à la RGPD

La RGPD instaure, entre autres, un nouveau principe de privacy by design. Il s’agit de prévoir, dès la conception d’une application ou d’un traitement de données, les mesures de protection des données personnelles récupérées ou traitées.

Prévoir aussi toutes les étapes à suivre lors d’une réclamation d’accès, de rectification ou de suppression de données personnelles par une personne : comment répondre ? Qui répond ? Dans quel délais ? …

Et, comme pour toute nouvelle procédure interne, ne surtout pas oublier de communiquer avec tous les acteurs impliqués directement ou indirectement dans le traitement de ces données. Bien veiller à ce que vos collaborateurs sachent qui contacter, quoi faire et comment réagir face à une demande ou à une faille de sécurité par exemple.

Documenter l’ensemble des points précédents

Regrouper tous les fichiers liés dans un dossier global qui attestera de votre conformité à la réglementation.

• L’étude d’impact s’il y en a une
• Le registre des traitements de données personnelles
• L’ensemble des procédures prévues en cas de réclamation
• Le registre des consentements

En cas de contrôle, ces derniers vous permettront de prouver que

• vous cherchez à respecter la réglementation en vigueur
• vous êtes conscients des risques engendrées par vos différents traitements de données.

En conclusion

Ces six étapes peuvent de la RGPD, on ne va pas se le cacher, paraître bien fastidieuses.

En prenant du recul on se rend compte que cela peut vraiment s’avérer très utile :

• Pour faire le ménage et mettre au clair l’ensemble des données que vous traitez
• Et ainsi avoir une vue globale de ce qui se passe dans votre base
• Revoir vos opt-in et unsubscribed pour repartir sur une base propre
• Impliquer et sensibiliser davantage l’ensemble des personnes utilisant ces données
• Anticiper les risques de cyber-attaque

Un point essentiel à retenir parmi cette longue check list est que nous passons à un contrôle a posteriori : personne ne viendra vous surveiller tous les ans !
Cependant, si une réclamation est déposée, la CNIL viendra toquer à votre porte pour vérifier que vous êtes en règle. L’essentiel sera alors de prouver que vous faites preuve de bonne volonté. Et que vous avez commencé à mettre en œuvre des processus adaptés.

S’il vous manque une étape, mais si vous avez un plan d’action bien défini et pouvez montrer que des mesures ont déjà été mises en place, vous ne devriez pas être sanctionné.

En résumé ? Pas de panique, prenez votre temps et profitez-en pour être au clair avec la gestion de vos données et intégrez cette démarche dans votre projet de transformation digitale.

Si c’est la panique, « keep calm and call us » !

DISCUTONS RGPD !