Conformité avec le RGPD : 4 actions à mettre en place !

Même si la limite de mise en place du RGPD (Règlement Général de Protection des Données) a été fixée à fin mai 2018 et que des adaptations peuvent voir le jour d’ici là, il est plus que conseillé dès maintenant de mettre en place quelques actions concrètes pour être en conformité avec cette loi qui révolutionne la collecte et le traitement des données.

Le RGPD expliqué en deux minutes

Voici donc 4 actions concrètes à mener pour être quasiment prêt pour le RGPD !

1 – Lister toutes les collectes et traitements de données personnelles faites dans l’entreprise

Le RGPD a redéfini ce que sont les données « personnelles », à savoir les données permettant d’identifier une personne : « est réputée identifiable une personne qui peut être identifiée directement ou indirectement (…), notamment par référence à un identifiant, par exemple un nom, un numéro d'identification, des données de localisation, ou un identifiant en ligne, ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale »

Si l’entreprise collecte (en interne -par exemple pour des besoins RH- ou en externe) des données qui permettent d’identifier une personne (adresse, mail, nom, prénom, localisation mais aussi simple adresse IP), que ce soit directement ou via un prestataire, alors elle doit commencer par recenser toutes les actions de collectes de données ainsi que les traitements qui en sont faits.

Pour chaque collecte ou traitement, il faut savoir :

• ce qui est collecté ou traité (quelles données exactement) ;
• d’où les données sont récupérées ;
• où les données sont stockées ;
• à qui ou à quel traitement les données sont soumises.

Pour en savoir plus, découvrez comment nos équipes se sont organisées en interne pour y arriver !

2 – Vérifier si les données que l’on collecte ou traite sont bien uniquement celles dont on a besoin

Ce point est un des plus délicats du RGPD. La loi veut en effet qu’on ne collecte uniquement que les données dont on a besoin dans le cadre de son business. Or en pratique, on collecte souvent plus de données que nécessaire.

Dans un premier temps, avant qu’on ne sache exactement comment va s’appliquer le RGPD concrètement, il est nécessaire de savoir exactement si les données qu’on collecte ou qu’on traite sont celles dont on a besoin pour l’activité de l’entreprise ou si on en récupère ou traite d’autres.

3 – Revoir les contrats des sous-traitants qui traitent ou transmettent des données

Les sous-traitants d’une entreprise qui sont concernés par le RGPD peuvent être des prestataires de services informatiques (hébergement, sécurité, sauvegarde, etc..) ou des prestataires de marketing , de communication, de maintenance, etc.

Si de par la nature de leurs travaux, ces prestataires ont accès aux données personnelles de l’entreprise, alors il faut sécuriser ceci et notamment changer la nature du contrat que l’on a avec eux.

Le nouveau règlement européen induit en effet une logique de responsabilisation de tous les acteurs impliqués dans le traitement des données personnelles (qu’ils soient ou non établis au sein de l’UE ), dès lors que ces dernières concernent des résidents européens.

Des obligations spécifiques sont imposées aux sous-traitants qui doivent aider les responsables de traitements dans leur démarche de mise en conformité des traitements.

La loi exige « des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du présent règlement et garantisse la protection des droits de la personne concernée » (article 28 du RGPD).

Ainsi, les contrats avec les sous-traitants doivent mentionner la réalité des dispositions de l’article 28 RGPD (article spécifique aux sous-traitants) avec notamment :

• l’objet et la durée de la prestation effectuée pour le compte du client ;
• le type de données à caractère personnel que vous traitez pour le compte de votre client ;
• les catégories de personnes concernées ;
• vos obligations et vos droits en tant que responsable de traitement ;
• l’engagement du sous-traitant de signaler immédiatement toute fuite de données.

Il est conseillé également de mettre par écrit les instructions données au sous-traitant afin de prouver le cas échéant sa bonne foi et ceci implique de décrire précisément les traitements qui lui sont demandés.

Par ailleurs, il faut que le sous-traitant indique si lui-même fait appel à des sous-traitants ou pas (et dans ce cas, outre le fait de le permettre ou pas, il faut lui demander de garantir qu’il leur a imposé les dispositions du RGPD).

Le sous-traitant doit également garantir que ses outils, applications, services respectent le RGPD notamment en ce qui concerne la quantité de données collectées, l’étendue de leur traitement, la durée de conservation et le nombre de personnes qui y a accès.

4 - Assurer le respect des droits des personnes concernées par leurs données personnelles (accès, rectification, portabilité, suppression)

Selon le RGPD, toute personne dont les données personnelles sont dans une entreprise a plusieurs droits.

Accès et rectification :

• droit d’accès aux informations et droit de rectification.

Portabilité :

• Droit d’obtenir les données dans un format structuré, couramment utilisé et lisible par une machine ;
• Droit de transférer les données directement auprès d’un nouveau responsable du traitement.

Droit d’opposition :

• La personne peut s’opposer à tout moment, au traitement de ses données y compris pour le profilage ;
• Le responsable du traitement doit informer la personne concernée de son droit d'opposition « au plus tard au moment de la première communication avec la personne concernée » ;

Il est à noter qu’en ce qui concerne le droit d’opposition, le responsable du traitement évalue le droit de la personne concernée au non traitement de ses données et doit aussi prendre en compte les motifs légitimes à poursuivre ce traitement malgré cette opposition. La décision éventuelle de continuer doit être motivée.

Par ailleurs, si le traitement est « nécessaire à l'exécution d'une mission d'intérêt public », les personnes concernées ne peuvent s'y opposer avec succès.