Services

Conformité au RGPD

Le RGPD est la loi dont de nombreuses entreprises hors d’Europe supposent qu’elle ne s’applique pas à elles, jusqu’à ce qu’elles se rendent compte qu’elle concerne toute entité traitant les données à caractère personnel de personnes résidant dans l’UE, quel que soit le lieu d’implantation de l’entreprise elle-même. C’est également la loi à laquelle de nombreuses entreprises situées en Europe se sont « conformées » dans le sens où elles disposent d’une politique de confidentialité, sans pour autant avoir mis en œuvre les mesures concrètes qui la sous-tendent : base légale du traitement, cartographie des données, préparation aux incidents de violation et mécanismes effectifs pour respecter les droits des personnes concernées.

Où se situe généralement la lacune

Ce que je constate le plus souvent, ce n’est pas l’absence de politique, mais un décalage entre ce que stipule la politique et ce que l’organisation est réellement en mesure de démontrer. Une base légale invoquée pour un type de traitement que personne ne peut réellement justifier lorsque l’on pose des questions précises. Une procédure de demande d’accès aux données existant sur le papier, mais qui n’a jamais été mise à l’épreuve face à une demande réelle. Une obligation de notification des violations dans un délai de 72 heures que personne n’est en mesure de respecter de manière réaliste, car la détection et la remontée de l’incident prendraient à elles seules plus de temps que ce délai.

Mon approche

Je commence par établir une cartographie des données ancrée dans la réalité : quelles données à caractère personnel vous collectez, pourquoi, où elles sont stockées, avec qui elles sont partagées, et quelle est la base légale effective pour chaque catégorie de traitement. À partir de là, je vous aide à mettre en place les mécanismes qui concrétisent les droits prévus par la réglementation : un processus opérationnel pour les demandes d’accès, de rectification, d’effacement et de portabilité, capable de respecter les délais requis, ainsi que des accords de traitement des données avec les prestataires qui reflètent réellement ce que ces derniers font des données.

J’accorde une attention particulière à la réponse aux violations de données, car le délai de notification de 72 heures est impitoyable et la plupart des organisations ne s’y sont pas préparées. Nous élaborons un plan de réponse aux incidents réaliste, intégrant dès le départ les obligations de notification prévues par le RGPD, et non pas ajoutées a posteriori, et, si cela s’avère nécessaire, nous déterminons si une analyse d’impact relative à la protection des données est requise pour les activités de traitement présentant un risque plus élevé.

À qui s'adresse ce document ?

Les entreprises traitant les données à caractère personnel de résidents de l’UE qui n’ont jamais procédé à une véritable évaluation des lacunes par rapport au règlement, les organisations qui se développent sur les marchés européens, ainsi que toute personne ayant frôlé une demande d’une personne concernée ou un incident de sécurité et ayant pris conscience que son plan restait essentiellement théorique.

Si vous souhaitez obtenir un état des lieux précis de la situation actuelle de votre programme RGPD, n’hésitez pas à nous contacter.