État des lieux Vous conformez Suivi RGPD

Le Règlement Général sur la Protection des Données est une nouvelle loi européenne qui remplace la loi informatique et libertés de 1978 en France. Il impose de plus grandes obligations sur la façon dont les organisations traitent les données personnelles. Il entre en vigueur le 25 mai 2018.

Le RGPD s’applique aux « données personnelles », c’est-à-dire toute information relative à une personne identifiable pouvant être identifiée directement ou indirectement notamment par référence à un identifiant. Vous pouvez trouver plus de détails dans notre glossaire.

Lorsque un traitement de données présente des risques importants pour les droits et libertés des personnes, la réglementation demande qu’une étude d’impact des risques soit réalisée afin de définir les nouvelles mesures prises et évaluer combien elles diminuent les risques. Cependant, une étude d’impact reste une démarche complexe nécessitant surement l’intervention d’un expert RGPD. C’est pourquoi, nous vous proposons une démarche en deux étapes :

Établir le plan de protection selon les mesures de sécurité proposées dans le module plan de protection : Sélectionnez les mesures en place et ajoutez celles qui permettront de diminuer les risques. Suivez leur implémentation en mettant à jour le statut de chaque mesure. Cette première étape vous permettra d’assurer un niveau de protection adéquate rapidement.
Si une étude d’impact s’avère néanmoins nécessaire, prenez contact avec votre support afin d’étudier la réalisation de l’étude d’impact. Nous vous conseillons de faire référence à la liste des traitements qui nécessite une étude d’impact.

Vous devrez vous conformer au RGPD quelle que soit votre taille, si vous traitez des données personnelles. La taille est un facteur dans une gamme de domaines, y compris l’obligation de tenir des registres de traitement de données.

Les DPD doivent être nommés dans le cas :
(a) des autorités publiques,
(b) des organisations qui effectuent un suivi systématique à grande échelle, (c) des organisations qui traitent à grande échelle des données personnelles sensibles (article 37).
Si votre organisation ne correspond pas dans l’une de ces catégories, vous n’avez pas besoin de nommer un DPD.

Vérifiez vos listes de contacts : assurez-vous que toutes les personnes ont confirmé qui souhaitent être contactées.
Vérifiez comment vous recueillez les données personnelles : si vous achetez des listes de contacts, vous avez besoin de les rafraîchir assez souvent, parce que les clients ont le droit de supprimer leurs données ou de s’opposer au traitement des données, en conséquence ces listes peuvent changer.
Pensez à une stratégie de marketing de contenu : donnez à vos clients accès à des livres blancs, des guides ou d’autres documents par téléchargement au lieu de demander leurs coordonnées.
Encouragez vos clients, visiteurs, etc. à s’ajouter à votre liste de contacts : vous pouvez utiliser une fenêtre pop-up sur votre site web.
Mettez à jour votre politique de confidentialité : assurez-vous qu’elle est conforme au RGPD.
Ne demandez que les informations dont vous avez vraiment besoin.

Les entreprises peuvent être condamnées à une amende pouvant aller jusqu’à 4% du chiffre d’affaires global annuel pour violation du RGPD ou 20 millions d’euros. C’est l’amende maximale qui peut être imposée pour les infractions les plus graves, par exemple, ne pas avoir le consentement du client suffisant pour traiter les données ou violer les principes de la protection de la vie privée dès la conception de produits ou de services. Il existe une approche progressive des amendes, par ex. une société peut être condamnée à une amende de 2% pour ne pas avoir ses dossiers en ordre, ne pas informer l’autorité de surveillance et la personne concernée d’une violation ou de ne pas effectuer d’évaluation d’impact. Il est important de noter que ces règles s’appliquent à la fois aux contrôleurs (l’entreprise) et aux processeurs (leurs sous-traitants), ce qui signifie que les « services de stockage en ligne » ne seront pas exemptés de l’application du RGPD.

Quelques exemples de violations de données :
• envoi des données personnelles à un destinataire erroné,
• accès par un tiers non autorisé,
• modification des données personnelles sans permission,
• perte ou vol des dispositifs électroniques contenant des données personnelles,
• perte de disponibilité des données personnelles,
• action délibérée ou accidentelle (ou inaction) du responsable de traitement ou sous-traitant.

1) Lorsqu’une violation de données personnelles a eu lieu, il est nécessaire d’évaluer la gravité et la probabilité des risques pour les droits et libertés des personnes résultant de cet événement.
2) S’il est nécessaire de notifier la violation de données auprès de l’autorité de contrôle locale (ex. ICO au Royaume-Uni, CNIL en France, APD en Belgique), cette notification doit avoir lieu dans les 72 heures au plus tard après en avoir pris connaissance.
3) Si la violation de données est susceptible d’engendrer un risque élevé d’atteinte aux droits et libertés des personnes concernées, elles doivent en être informées directement et dans les meilleurs délais.

• Utiliser les systèmes et les réseaux adéquats, s’assurer que tous les systèmes en réseau sont à jour et peuvent prévenir les cyberattaques.
• Éduquer vos employés, les informer du risque et mettre en œuvre des lignes directrices sur la façon de prévenir et de gérer les violations de données.
• Mettre en œuvre des mesures de sécurité.
• Effectuer une AIPD (Analyse de l’impact de la protection des données), si nécessaire.
• Sécuriser tous vos appareils et comptes.
• Ne pas ouvrir les e-mails suspects.
• Faire attention à ce que vous publiez sur les médias sociaux.