Conseiller et accompagner sur le RGPD

Le RGPD, nouveau défi organisationnel et informatique

Le RGPD - Règlement Général de Protection des Données - est une nouvelle règlementation instituée en mai 2018.

Pour tous ceux qui gèrent des données ayant un caractère personnel - c'est à dire quasiment tout le monde aujourd'hui - Le RGPD rend obligatoire le contrôle et la gestion maitrisée de ces données, avec obligation de produire un rapport détaillé et fidèle de cette gestion en cas de contrôle.

De plus, la loi oblige les détenteurs de données personnelles à les tenir à disposition de tout propriétaire légitime qui en fait la demande, et ce, dans un délai assez court. Si vous détenez des informations sur une personne, celle-ci possède un droit de regard, de modification, de suppression, et de récupération de ses données.

La notion de « donnée à caractère personnel » est assez bien définie, et se résume à toute information qui permet directement ou indirectement de retrouver l'identité d'une personne. L'adresse postale le permet directement, un numéro de téléphone, et aussi le nom et prénom. Indirectement une adresse IP le peut également.

Les données à caractère personnel ont été utilisées de tout temps pour identifier et caractériser les personnes. L'informatisation n'est donc pas un critère discriminant. Ainsi, le RGPD considère qu'une liste RH (personnels d'une entreprise) ou une liste de suivi de clients reportée dans un cahier papier est du domaine des données personnelles - et du RGPD - au même titre qu'une liste dans un tableur Excel ou OpenOffice. Il est évident qu'avec l'informatisation et la numérisation galopante de notre Société, un volume colossal de données informatisées truffé de données personnelles s'est constitué, qui continue de grossir au fil du temps.

La nouveauté du RGPD est qu'il remplace les formalités déclaratives - plus légères et plus restreintes - qu'il fallait précédemment effectuer auprès de la CNIL (en France) lorsque l'on détenait et traitait des données, notamment d'une manière informatisée et automatisée. Le RGPD change radicalement la donne, puisqu'il reporte la responsabilité complète de la gestion et du contrôle des données personnelles à ceux qui les détiennent et les utilisent, et qu'il les oblige à suivre de près ces données.

Mettre l'Entreprise et le système d'information en conformité avec le RGPD

La conformité au RGPD concerne à peu près tout le monde, dès lors que l'utilisation de données personnelles est faite de manière régulière, et/ou en quantité (beaucoup de personnes / gros volumes de données), et dans tous les cas si cette utilisation à un rapport avec une activité professionnelle ou commerciale.

Le RGPD met l'accent sur les organisations publiques, ainsi que sur celles qui détiennent et gèrent des données dites « sensibles ». Les établissements de santé, les établissement banquaires, les assureurs sont en première ligne, mais également les mairies.

Les règles et le niveau de responsabilité imposées par le RGPD s'accompagnent de sanctions en cas de manquement. Elles pourront être assez lourdes. En cas de contrôle, l'organisation devra prouver qu'elle respecte l'ensemble des règles du RGPD et qu'elle a mis en oeuvre l'ensemble des démarches et des actions requises.

Réorganiser son entreprise ou son organisation pour intégrer le RGPD se prépare longtemps à l'avance. Sauf cas simplissime, la tâche est grande pour se mettre en conformité, puis être en mesure d'assurer en permanence le respect de la règlementation. Cette préparation passe par une formation au RGPD, par un audit complet des données, par des décisions à prendre, par des processus à changer, par des procédures à créer, par des contrôles à effectuer régulièrement, et par la consignation des données et des traitements effectués dans un registre. Un aspect supplémentaire concerne la sécurisation des données, qui devient maintenant un sujet d'importance.

L'arrivée du Règlement Général de Protection des Données, avec de ses multiples contraintes, force tous les acteurs sociaux et économiques, privés ou publics, à s'adapter rapidement et à remettre de l'ordre dans les données personnelles qu'ils détiennent. Pour réussir cette « transformation RGPD » (qui rappelle la transformation digitale) il est nécessaire de s'entourer d'experts qui pourront vous guider, et mettre en oeuvre le plan d'action RGPD avec efficacité.