Vous entrez dans un espace virtuel nous permettant de vous présenter nos activités, et vous offrant la possibilité d'entrer en contact avec notre accueil commercial dans le cadre d'une relation BtoB.
Notre site collecte des informations sur votre visite et utilise des modules strictement nécessaires. Ces informations ne nous permettent pas d'identifier les visiteurs et d'utiliser les données à des fins commerciales.
Afin de vous proposez d'entrer en contact avec nous, et des réaliser des statistiques plus précises, nous devons vous demander l'autorisation pour utiliser des modules complémentaires.
Il s'agit de données vous assurant un affichage correct des pages selon votre appareil, permettant d'assurer la sécurité du notre site, et la réalisation de statistiques anonymes sans suivi individualisé.
Le stockage ou l’accès technique est nécessaire dans la finalité d’intérêt légitime de stocker des préférences qui ne sont pas demandées par l’abonné ou la personne utilisant le service.
Ils s'agit de données nous permettant de réaliser des analyses statistiques anonymes plus précises et notamment l'ordre des pages qu'un visiteur consulte
Le stockage ou l’accès technique qui est utilisé exclusivement dans des finalités statistiques anonymes. En l’absence d’une assignation à comparaître, d’une conformité volontaire de la part de votre fournisseur d’accès à internet ou d’enregistrements supplémentaires provenant d’une tierce partie, les informations stockées ou extraites à cette seule fin ne peuvent généralement pas être utilisées pour vous identifier.
Il s'agit des données de statistiques individuelles précédentes et des informations que vous acceptez de communiquer en utilisant les moyens de contact engendrant un transfert des données à notre prestataire hors Europe (CRM Hubspot, utilisant les police Google (fonts).
Protection dès la Conception : Checklist RGPD
Le Privacy by Design (Protection dès la conception) veut que l’on pense à la sûreté des infos privées dès le début d’un projet, comme le dit l’article 25 du RGPD. Cela évite non seul des amendes élevées (jusqu’à 20 millions d’euros ou 4 % du total des ventes mondiales), mais renforce aussi la confiance des citoyens. Voici les étapes clefs pour y arriver :
Avantage clef : en activant cette démarche RGPD de cette façon, vous faites de la conformité RGPD un atout stratégique pour votre organisation.
Étape 1 : Mettre en place la Gouvernance et la responsabilité en matière Protection dès la Conception
Pour faire entrer le Privacy bu Design dans un groupe, il faut mettre en place une règle claire pour tous. Cela commence par fixer des rôles facilement identifiables et donner le pouvoir de faire respecter es règles internes de protection des données Voici des pas pour créer ce cadre de responsabilité.
Nommer un Responsable de la Sécurité des Données, voire désigner un Délégué à la Protection des Données (DPO)
Le DPO joue un rôle clé dans la gestion de la protection des données. Ce poste peut être tenu par un employé ou un consultant externe. Dans certains cas, c’est une obligation au titre de l’article 37 du RGPD. Dans de nombreux cas, désigner un DPO auprès dela CNIL est une démarche volontaire qui participe à la démarche de protection dès la conception.
Pour assurer que ce rôle soit neutre et libre, il est sage de choisir une personne libre de tout conflit d’intérêt, avec une certification comme ceux offerts par l’AFNOR. La liberté du DPO est clé : il ne doit pas avoir d’autres rôles qui pourraient créer des conflits d’intérêts. En avril 2020, l’ADP (autorité Belge) a sanctionné une entité de 50 000€ d’amende, notamment pour non-respect de l’obligation d’éviter un conflit d’intérêts dans les missions et tâches incombant au Data Protection Officer (DPO).
Fixer les rôles et responsabilités
Le DPO ne peut pas tout faire seul. Chaque encadrant doit avoir des responsabilités claires sur la protection des données. Les responsables opérationnels, formés et aidés par le DPO, doivent mettre en œuvre les recommandations du DPO dès lors qu’elles sont validées par la Direction.
Le DPO, de son côté, doit identifier les risques, proposer des actions correctrices et former les employés. Il assure une veille technique et règlementaire et sert de point de contact avec les autorités de contrôle, telles que la CNIL. Il est également utile pour conseiller sur la gestion des demandes de droits des citoyens et à participer aux réponses aux problèmes de cybersécurité.
Animer une équipe de référents RGPD
La création d’un groupe de référents représentants chaque services peut bien améliorer la liaison entre la Direction et les exécutants. Ce genre d’équipe transverse aide à suivre de près les actions de protection des données, et alerter le DPO dès la conception de nouveaux traitement de données personnelles.
Étape 2 : Rédiger un registre des traitements de données personnelles
Une fois que vous avez mis votre système de gouvernance en place, la réalisation d’un inventaire des traitements est une étape clé pour vous assurer de suivre les règles de la conformité RGPD. Cet exercie permet de réaliser une carte des flux de données pour identifier les axes d’amélioration. Cette étape permet à la Direction d’identifier toutes les données traitées y compris les tiers impliqués, les outils utilisés et les transfert de données en dehors de l’Union européenne.
Noter les activités de traitement des données
Le Registre des Activités de Traitement (RAT) est crucial pour respecter le RGPD. D’après l’article 30 du règlement, les organisations qui réalisent des traitements réguliers, c’est à dire non occasionnel, doivent tenir un tel document RGPD, et ce quel que soit leur taille.
Pour aider dans cette tâche, vous pouvez utiliser le modèle de registre offert par la CNIL, ou suivre une formation pour construire un registre RGPD conforme. Ce document doit expliquer les finalités des traitements, les types de données, à qui elles sont envoyées, combien de temps elles sont gardées et quelles mesures de sécurité sont en place.
Trouver les origines, types et buts des données
Chaque source de données doit être bien identifiée, que ce soit de formulaires web, d’applis mobiles ou de partenaires commerciaux.
Il est crucial de définir le but de chaque traitement. Chaque donnée collectée doit avoir un but légitime et clair. Ce travail est aussi important pour respecter le principe de minimisation des données : si une info n’est pas nécessaire, sa collecte n’est pas justifiée selon le RGPD.
Faire la carte des flux de données
La cartographie des flux de données montre comment elles vivent, et trouve où il pourrait y avoir des axes d’amélioration. On suit les données de leur collecte à leur suppression, à travers tous les systèmes et entités concernées.
Elle aide à voir où il pourrait y avoir des risques pour la conformité RGPD et à organiser un plan d’action de conformité. Identifier les flux de données réels et potentiels est crucial pour les responsables, surtout quand ils font des Analyses d’Impact sur la Protection des Données (AIPD). Ces cartes sont utilisées lors des comtes rendus à la Direction et montrent une bonne gestion proactive.
Si votre organisation n’a pas assez de ressources, des entreprises spécialisées comme Opt-on peuvent aider. Ils offrent des services sur mesure, y compris la création et la mise à jour du registre des traitements.
sbb-itb-9879cb5
Étape 3 : Classifier les risques et faire des AIPD dès la conception
Après avoir vu vos flux de données, il est temps de voir les risques liés à vos actions. Cette étape est cruciale pour voir les tâches les plus sensibles et les prioriser.
Identifier les traitements à haut risque
Après avoir identifié vos flux de données, penchez-vous sur les traitements qui ont un haut risque. Le RGPD éxige une Analyse d’Impact sur la Protection des Données (AIPD) pour certains traitements qui peuvent toucher les droits et libertés des citoyens. La CNIL propose une liste des traitements qui ont besoin d’une AIPD, téléchargez la ici.
Les traitements à haut risque comprennent, par exemple, l’usage de l’Interlligence Artificielle, le profilage automatique, le tracking et le suivi des personnes, ou le traitement de données sensibles. Même si un traitement n’est pas dans cette liste, faire une AIPD est recomandé. Cela montre que vous êtes sérieux sur la protection des données dès la conception.
Faire des analyses de risques
L’analyse de risques est une étape essentiel de l’AIPD. Elle cherche à évaluer la vraisemblance et la gravité des risques qui peuvent toucher les droits et libertés des citoyens, en se focalisant sur trois points clés : la confidentialité, l’intégrité et la disponibilité des données. Pour chaque risque, il est crucial de :
Un DPO (Délégué à la Protection des Données) ou un consultant externe peut aider les équipes durant ce processus. Cette aide permet d’avoir une méthode structurée et d’attébuer les risques résiduels.
Reviser les AIPD
Chaque AIPD doit être la complète possible. Cela inclut le champ du traitement, les risques identifiés, les mesures prises et les mécanismes de suivi. Ce document doit aussi être mis à jour régulièrement pour suivre les évolutions technologiques, règlementaires, et les modification de processus internes.
Les AIPD ne sont pas fixes. Tout changement dans le traitement doit mener à une révision. Cet exercice continu montre bien l’idée du Protection dès la conception.
Une veille technique et règlemantaire est aussi essentielle pour garder vos analyses au jour. Par exemple, les conseils des autorités de contrôle, comme ceux de l’EDPS sur les risques avec les systèmes d’IA, doivent être pris dans vos évaluations.
Pour les organisations avec peu de moyens, des cabinets d’experts RGPD comme Opt-on offrent un soutien fait pour ces organisations. Ils sont là pour vous assister dans la mise en place et le suivi de vos AIPD, assurant des études bien faites et qui vont avec ce que vous cherchez. Ces évaluations mettent en place des appuis forts pour inscrire la Protection dès la Conception au coeur de vos pratiques.
Étape 4 : Faire de la protection dès la conception par itération
La protection des données ne doit pas juste être un acte unique, mais un processus d’amélioration continu de votre orgaisation. Il faut mettre les idées de la Protection dès la Conception en actes concrets du quotidien. Cette pratique s’inscrit dans votre démarche RSE (responsabilité sociétale) qui ne saurait être qu’une démarche régulièrement questionnée.
Mettre la protection dès la conception dans vos plans de projets
Pour tout projet nouveau, la protection des données doit être intégrer le plus en amont des projets. Cela vous protège de changements qui pourraient coûter cher plus tard. Le cabinet RGPD Opt-on voit bien ce besoin :
Votre DPO ou consultant RGPD doit travailler avec les chefs de projet pour voir, dès le début, les données personnelles à protéger. Ça inclut les outils de tiers et les flux d’infos.
Mettre en place des mesures techniques et organisationelles
Mettre en oeuver des mesures techniques et organisationelles est un pilier clé de l’intégration du Privacy by Design. Dans les actions techniques, on trouve le chiffrement, la pseudonymisation et les autres règles de cybersécurité.
Du côté organisationnel, il faut sensibiliser vos équipes, créer des procédures de gestion et mettre en place des contrôles d’accès conformes aux recommandations. Chaque membre doit connaître son rôle et suivre les bonnes pratiques de l’organisation. Afin de documenter en partie ces mesures organisationnelles, la rédaction d’une charte de protection des données est recommandée.
Pratiquer la minimisation des données
La minimisation des données est une stratégie clé pour mieux protéger dès la conception. Elle est basée sur une idée simple : prendre seulement ce qui est essentiel. Ça influence non seulement les risques qui pèsent sur les droits et libertés des citoyens, mais aussi cela permet de dimunuer la charge environnementale des données.
Par ailleurs, la minimisation en terme de quatité de données doit également être envisager à travers le temps : fixez des durées de conservation pour chaque jeu de données permet de minimiser le risque. Dans la mesure du possible, mettez en place des processus automatique pour effacer les données obsolètes.
Étape 5 : Anticiper les incidents dès la conception
Une fois les bases de la protection dès la conception installées, vous devez préparer votre organisation pour bien gérer les incidents. Cela démontre que vous vous engagez à mettre la confidentialité en premier.
Faire un plan pour répondre aux fuites de données
Il vous faut un plan précis pour répondre aux incidents de sécurité et éventuellement aux fuites de données, pour agir vite et réduire les dégâts. Le RGPD exigent des actions rapides : toute fuite qui pouvant nuire aux droits et libertés des citoyens doit être notifiée à la CNIL dans les 72 heures.
Ce plan de gestion de crise doit permettre à chaque membre de votre organisation de savoir qui fait quoi. Choisissez une personne, souvent le DPO, pour gérer créer des procédures de gestion, imaginer les incidents possibles et leur gravité, et prévoyer quelles actions entreprendre pour faire face à l’imprévu.
La détection rapide est la clé. Mettez en place des systèmes pour détceter au plus tôt tout accès non autorisé ou actions étranges. En même temps, entraînez vos équipes à identifie les signes d’une fuite possible.
Quand vous identifiez un incident, vous devez d’abord l’isoler. Séparez les systèmes touchés pour ne pas aggraver la situation. Notez bien tout ce que vous faites et quand vous le faites, car la CNIL voudra tout savoir lors de la notification.
Gérer les demandes des droits des citoyens
Le RGPD donne aux personnes concernées beaucoup de droits sur leurs données. Vous devez être prêt à gérer ces demandes vite et bien.
Ces méthodes doivent bien s’accorder avec une politique de conservation des données.
Planifier pour garder et effacer les données
Avoir des durées de conservation des données est crucial selon le RGPD. Vous devez effacer les infos quand elles ne sont plus nécessaires.
Enfin, notez chaque durée de conservation, en expliquant pourquoi elle est nécessaire, que ce soit par la loi ou par besoin légitime. Ces notes sont cruciales si un contrôle par la CNIL arrive. Revoyez vos règles régulièrement pour qu’elles soient toujours justes selon vos besoins et les lois en vigueur.
Étape 6 : Garder des traces et prouver que vous suivez les règles
Quand vos méthodes sont fiables, il est important de noter tout ce que vous faites pour montrer que vous protégez bien les données personnelles. Il faut documenter en détail pour que vos efforts en Protection dès la conception soient démontrables.
Avoir des fiches complètes de conformité
Faites en sorte de garder et de renouveler tout ce qui montre que vous suivez votre conformité RGPD. Le registre de traitement, qui est souvent remis à jour, est un élément clé ici.
Il faut documenter chaque choix lié à la protection des données personnelles dans vos projets. Par exemple, si vous choisissez une solution tehnologique particulière, dites pourquoi pour montrer que vous avez pensé à la confidentialité dès le début de votre projet.
Notez toutes vos études d’impact sur la protection des données (AIPD) et les actions correctives prises. Il faut souvent vérifier les mesures corectrices pour s’assurer du maintein de leur effet.
N’oubliez pas d’écrire vos règles internes et vos méthodes en notant les dates de mise à jour. Cela inclut aussi les formations données à vos équipes et les résultats des tests sur vos processus internes si un problème arrive.
Préparer pour les contrôles réglementaires
La CNIL peut vérifier votre conformité RGPD à tout moment, et il est essentiel d’être bien prêt pour éviter des sanctions ou les mises en demeure.
Mettez tous vos documents (registre des traitements, règles de confidentialité, AIPD) dans un dossier organisé, daté et avec des versions. Cela favorisera votre coopération (obligatoire) avec les autorités si un contrôle arrive.
Ayez des exemples clairs pour montrer comment vous appliquez vos règles. Par exemple, si vous suivezz le principe de minimisation des données, montrez des cas où vous avez réduit la collecte au nécessaire.
Faites des tests de processus pour voir comment vos équipes répondent, changez vos méthodes si besoin, et former les de nouveau si nécessaire. Ces exercices aident aussi à écrire les améliorations faites et à montrer que vous respectez les délais réglementaires.
Programmer des vérifications régulières des pratiques de confidentialité
Suivre le RGPD n’est pas un acte isolé, mais un processus d’améioration continu qui demande des ajustements réguliers.
Créez un calendrier de révision pour mettre à jour vos process, votre registre des traitements et identifier les nouveaux risques. Suivre les changements juridiques et technologiques est aussi essentiel, surtout avec des nouveautés comme l’intelligence artificielle.
Faites des audits internes régulièrement pour voir et réparer les faiblesses avant qu’un contrôle externe ne les constate. Cette approche pro-active aide à renforcer vos méthodes en gestion des données personnel et en Protection dès la Conception.
Si vous avez peu de ressources internes, penser à demander de l’aide à des experts externes peut être une bonne idée. Ils pourront vous aider à avoir des documents complets et à bien vous préparer pour les faire face à toutes les situations.
Conclusion : Mettre la protection des données au centre de votre activité
Faire de la Protection dès la Conception, c’est mettre la protection des données personnelles dans tout ce que vous faites. Ce n’est pas juste pour être en règle, mais pour changer en profondeur, avec toutes les personnes qui travaillent pour vous, avec vous, à tous les niveaux.
Après avoir choisi ce que vous allez faire, le succès repose sur trois piliers :
Les organisations et plus particulièrement les entreprises qui adoptent la protection des la conception font plus que suivre les règles : elles font aussi plus confiance à leurs clients et se préparent à grandir.
FAQs
Quels gains peut avoir une entreprse en adoptant la protection dès la conception dans sa démarche de conformité RGPD ?
Adopter le Privacy by Design, ce n’est pas juste pour suivre le RGPD. C’est aussi pour les entreprises la possibilité d’en faire un avantage concurentiel.
Pourquoi la conformité RGPD est un levier de progrès ?
Car cela montre bien la volonté de respecter la vie privée des clients, et accroit la confiance. Et soyons vrais, dans un monde où les scandales sur les fuites de données sont courants, cette confiance vaut très cher.
Comment choisir un DPO sans conflit d’intérêt ?
Pour choisir un DPO apte, il faut voir s’il a des certifications reconnues, comme celles de l’AFNOR. Ces certification montrent ses compétences face aux besoins du RGPD, bien entendu elles ne s’obtiennent qu’après une formation complète au RGPD. Si vous choisissez un pilote interne à votre organisation, faites aussi attention à ce que ses autres missions n’entrent pas en conflits avec son obligation de neutralité.
Prendre un DPO externe peut être un bon choix stratégique. Cette voie assure une expertise pointue, tout en évitant des conflits d’intérêts internes ou le manque de moyen propres.
Articles de blog associés
Recent Post
Thèmes
Categories