ISDay 2018 - Atelier RGPD

RGPD
Objectif Conformité
Philippe Wallaert
Avocat associé, Morvilliers Sentenac & Associés
Toulouse|Bordeaux

RGPD Objectif Conformité
25 mai 2018 … Il n’est pas trop tard

• Le Règlement Général sur la Protection des Données (« RGPD ») est
applicable depuis le 25 mai 2018. Depuis cette date, les entreprises
doivent être conformes à cette nouvelle réglementation.
• Quels sont les impacts opérationnels au sein de votre entreprise ?
Comment mettre en place concrètement un plan de mise en
conformité ?

Les principaux
changements issus
de la réforme
Les impacts
concrets dans la
gestion des fichiers
de l’entreprise
Un Etat des lieux

1. Les principaux changements issus de la réforme
Un cadre juridique unifié • champ d’application territorial (critère du ciblage)
De nouvelles définitions • donnée personnelle, consentement, …
Un renforcement des droits des
personnes
• consentement (mais aussi d’autres bases juridiques : intérêt légitime, contrat,
disposition légale), information, nouveaux droits (portabilité, retrait, …)
Une responsabilité accrue des
acteurs
• « accountability », sous-traitants, « privacy by design », « privacy by default »,
sécurité et confidentialité, information, notification des violations, études d’impact
(PIA), …
Le cadre des transferts hors UE • garanties appropriées, décision d’adéquation, règles d’entreprises contraignantes
(BCR), clauses contractuelles types, Privacy Shield
Des sanctions renforcées • administratives (avertissement, mise en demeure, injonction, …), pécuniaires (selon la
catégorie de l’infraction, de 10 ou 20 millions d’euros, ou, dans le cas d’une
entreprise, de 2% jusqu’à 4% du chiffre d'affaires annuel mondial)

2. Les impacts concrets dans la gestion des fichiers de l’entreprise
• Toutes les organisations sont concernées (entreprises, collectivités, associations, …)
• Tous les fichiers sont concernés (RH, marketing, comptabilité, clients, …)
• Les contrats clients/fournisseurs doivent être modifiés
• Les processus internes doivent être adaptés (sécurité, …)
• Les personnels doivent être sensibilisés (information, formation)

Les bonnes pratiques : les points clés pour bien se préparer
Désigner un
interlocuteur
Cartographier les
traitements
existants
Mettre en place
un plan de mise
en conformité
Organiser les
processus
internes,
sensibiliser et
formes les équipes
Documenter la
conformité, créer
un registre

1. Désigner un interlocuteur
Un DPO • La désignation d’un DPO est obligatoire dans les entreprises dont l’activité de base les
amène à réaliser un suivi régulier et systématique des personnes à grande échelle, ou à
traiter à grande échelle des données dites « sensibles » ou relatives à des condamnations
pénales et infractions
Un responsable • La désignation d’une « task force » est fortement recommandée dans toutes les
organisations

2. Cartographier les traitements existants
QUI ? • Inscrivez le nom et les coordonnées du responsable du traitement (et de son représentant légal)
et, le cas échéant, du délégué à la protection des données
• Identifiez les responsables des services opérationnels traitant les données au sein de votre
organisme
• Etablissez la liste des sous-traitants
QUOI ? • Identifiez les catégories de données traitées
• Identifiez les données susceptibles de soulever des risques en raison de leur sensibilité particulière
(par exemple, les données relatives à la santé ou les infractions)
POURQUOI • Indiquez la ou les finalités pour lesquelles vous collectez ou traitez ces données (exemple : gestion
de la relation commerciale, gestion RH…)
OÙ ? • Déterminez le lieu où les données sont hébergées
• Indiquez quels pays les données sont éventuellement transférées
JUSQU’À QUAND ? • Indiquez, pour chaque catégorie de données, combien de temps vous les conservez
COMMENT ? • Quelles mesures de sécurité sont mises en œuvre pour minimiser les risques d’accès non
autorisés aux données et donc d’impact sur la vie privée des personnes concernées

2. Cartographier les traitements existants
• Il s’agit d’expliciter les règles à appliquer, qui différent selon le degré de criticité des données
• Les traitements présentant des risques élevés pour les droits et libertés font l’objet d’une étude d'impact (« Privacy Impact
Assessment » ou PIA)
• Quelles sont les mesures organisationnelles (personnes habilitées) et sécuritaires (anonymisation, chiffrement, …) à mettre
en place ?
• Dépendant de la finalité du traitement, la durée de la conservation des données doit être également établie
• Les données seront-elles ensuite archivées ou supprimées ?

3. Mettre en place un plan de mise en conformité
• Assurez-vous que seules les données strictement nécessaires à la poursuite de vos objectifs sont collectées et traitées
• Identifiez la base juridique sur laquelle se fonde votre traitement (par exemple : consentement de la personne, intérêt
légitime, contrat, obligation légale)
• Révisez vos mentions d’information afin qu’elles soient conformes aux exigences du règlement (articles 12, 13 et 14 du
RGPD)
• Vérifiez que vos sous-traitants connaissent leurs nouvelles obligations et leurs responsabilités, assurez-vous de l’existence
de clauses contractuelles rappelant les obligations du sous-traitant en matière de sécurité, de confidentialité et de
protection des données personnelles traitées
• Prévoyez les modalités d'exercice des droits des personnes concernées (droit d'accès, de rectification, droit à la portabilité,
retrait du consentement...)
• Vérifiez les mesures de sécurité mises en place

3. Mettre en place un plan de mise en conformité
VOUS TRAITEZ CERTAINS TYPES DE DONNÉES • des données qui révèlent l’origine prétendument raciale ou ethnique, les opinions politiques,
philosophiques ou religieuses, l’appartenance syndicale,
• des données concernant la santé ou l’orientation sexuelle,
• des données génétiques ou biométriques,
• des données d’infraction ou de condamnation pénale,
• des données concernant des mineurs.
VOTRE TRAITEMENT A POUR OBJET OU POUR EFFET • la surveillance systématique à grande échelle d'une zone accessible au public ;
• l'évaluation systématique et approfondie d'aspects personnels, y compris le profilage, sur la base de
laquelle vous prenez des décisions produisant des effets juridiques à l'égard d'une personne
physique ou l'affectant de manière significative.
VOUS TRANSFÉREZ DES DONNÉES HORS DE L'UNION
EUROPÉENNE
• vérifiez que le pays vers lequel vous transférez les données est reconnu comme adéquat par la
Commission européenne ;
• dans le cas contraire, encadrez vos transferts.
Si vos traitements répondent à ces caractéristiques, des mesures particulières peuvent s’appliquer (exemple : étude d'impact sur la protection des données
(PIA), information renforcée, recueil du consentement, autorisation préalable, clauses contractuelles, …).

4. Organiser les processus internes, sensibiliser et formes les équipes
• Prendre en compte de la protection des données personnelles dès la conception d’une application ou d’un traitement
(minimisation de la collecte de données au regard de la finalité, cookies, durée de conservation, mentions d’information,
recueil du consentement, sécurité et confidentialité des données s’assurer du rôle et de la responsabilité des acteurs
impliqués dans la mise en œuvre de traitements de données)
• Sensibiliser et d'organiser la remontée d’information en construisant notamment un plan de formation et de
communication auprès de vos collaborateurs
• Traiter les réclamations et les demandes des personnes concernées quant à l’exercice de leurs droits (droits d’accès, de
rectification, d’opposition, droit à la portabilité, retrait du consentement) en définissant les acteurs et les modalités
(l'exercice des droits doit pouvoir se faire par voie électronique, si les données ont été collectées par ce moyen)
• Anticiper les violations de données en prévoyant, dans certains cas, la notification à l’autorité de protection des données
dans les 72 heures et aux personnes concernées dans les meilleurs délais

4. Organiser les processus internes, sensibiliser et formes les équipes
.
Dresser l’ensemble des processus internes qui vont garantir l’intégrité et la
protection des données tout au long de la vie d’un traitement
• Comment prendre en compte cette protection dès la conception d’un
traitement ?
• Comment seront traitées les demandes des personnes faisant valoir l’exercice
de leurs droits ?
• En cas de violation, quelle est la chaîne de responsabilité ?
Mettre en place la gouvernance spécifique visant à garantir l’intégrité de la donnée
tout au long de la vie, de la collecte à sa suppression.
• Comment assurer le plus haut niveau de protection dès la conception d’un
nouveau traitement (privacy by design) ?
• Comment seront traitées les demandes des personnes fichées faisant valoir
l’exercice de leurs droits ?
• Quelle est la chaîne de responsabilités en cas de fuite de données sachant qu’en
principe la Cnil doit être alertée sous 72 heures ?

5. Documenter la conformité, créer un registre
LA DOCUMENTATION SUR VOS TRAITEMENTS DE DONNÉES PERSONNELLES • Le registre des traitements (pour les responsables de traitements) ou des
catégories d’activités de traitements (pour les sous-traitants)
• Les analyses d’impact sur la protection des données (PIA) pour les traitements
susceptibles d'engendrer des risques élevés pour les droits et libertés des
personnes
• L'encadrement des transferts de données hors de l'Union européenne
(notamment, les clauses contractuelles types, les BCR et certifications)
L'INFORMATION DES PERSONNES • Les mentions d’information
• Les modèles de recueil du consentement des personnes concernées,
• Les procédures mises en place pour l'exercice des droits
LES CONTRATS QUI DÉFINISSENT LES RÔLES ET LES RESPONSABILITÉS DES ACTEURS • Les contrats avec les sous-traitants
• Les procédures internes en cas de violations de données
• Les preuves que les personnes concernées ont donné
leur consentement lorsque le traitement de leurs données repose sur cette
base.

• Liens officiels
http://www.cnil.fr/fr
https://www.autoriteprotectiondonnees.be/
https://rgpd.medef.com/
• Liens juridiques
http://france.taylorwessing.com/en/gdpr-assessment-tool
http://www.gdpr-expert.eu/#textesofficiels
Liens utiles

Les fondamentaux de la gestion d'un projet de mise en conformité au RGPD • Les concepts clés du projet de mise en conformité au RGPD
• Rédiger un cahier des charges et contractualiser les objectifs
• Découper le projet en taches cohérentes
• Identifier les contenus et mes ressources nécessaires des tâches à exécuter
• Construire l'organigramme des tâches
• Définir les procédures de prise de décision
• Susciter et entretenir l'implication de l'équipe
• Organiser les revues entre phases
• Établir un budget et un calendrier prévisionnels
• Placer le projet dans la politique générale de l'entreprise
• Constituer la documentation du projet
• Suivi des indicateurs et des tableaux de bord
• Assurer la qualité des prestations
Etape n°1 : établir une cartographie réglementaire • Phase 1 : Réunion de cadrage : l'équipe projet
• Phase 2 : Recensement des traitements et cartographie juridique
• Phase 3 : Analyse de conformité, la Compliance Data : référentiel légal, analyse des risques, rapports, radar
juridique
• Phase 4 : plan de communication des résultats au métier (outils : modèle de support de restitution)
Etape n°2 : Etablir un chemin de route GDPR • Plan d'actions
• Priorisation des actions
• Calendrier prévisionnel
• Métiers impliqués
• Outil : tableau Excel structuré
Etape n°3 : Réaliser les actions de mise en conformité : Méthode RACI (Réalisation – Accountable – Consultation
- Information)
• Commencer par les non-conformités majeures
• Adopter une approche par les processus
• Impliquer le business par la mise en oeuvre de groupes de travail
• Adopter une approche s'appuyant sur des Core models à déployer localement
• Échanger ou statuer sur les demandes ou les contraintes spécifiques
• Construire une démarche ouverte afin d'impliquer positivement les métiers
Etape n°4 : Implémenter les actions et assurer leur suivi • Plan d'implémentation
• Réseau de correspondants international
• Localisation des documents
• Vérification de leur mise en oeuvre (outil : grille d'audit de contrôle)

Fiche de registre ref-000
Description du traitement
Nom / sigle
N° / REFref-000
Date de création
Mise à jour
Acteurs Nom Adresse CP Ville Pays Tel
Responsable du traitement
Délégué à la protection des données
Représentant
Responsable(s) conjoint(s)
Finalité(s) du traitement effectué
Finalité principale
Sous-finalité 1
Sous-finalité 2
Sous-finalité 3
Sous-finalité 4
Sous-finalité 5
Mesures de sécurité
Mesures de sécurité techniques
Mesures de sécurité organisationnelles
Catégories de données personnelles concernées Description Délai d'effacement
Etat civil, identité, données d'identification, images…
Vie personnelle (habitudes de vie, situation familiale, etc.)
Informations d'ordre économique et financier (revenus,
situation financière, situation fiscale,etc.)
Données de connexion (adress IP, logs, etc.)
Données de localisation (déplacements, données GPS, GSM,
etc.)
Données sensiblesDescription Délai d'effacement
Données révèlant l'origine racialeou ethnique
Données révèlant les opinions politiques
Données révèlant les convictions religieuses ou
philosophiques
Données révèlant l'appartenance syndicale
Données génétiques
Données biométriques aux fins d'identifier une personne
physique de manière unique
Données concernant la santé
Données concernant la vie sexuelle ou l'orientation sexuelle
Données relatives à des condamnations pénales ou infractions
Numéro d'identification national unique (NIR pour la France)
Catégories de personnes concernéesDescription
Catégorie de personnes 1
Catégorie de personnes 2
DestinatairesDescription Type de destinataire
Destinataire 1
Destinataire 2
Destinataire 3
Destinataire 4
Tranferts hors UEDestinataire Pays Type de Garanties Lien vers le doc
Organismedestinataire 1
Identification du traitement Acteurs Finalité du traitement Transferts
hors UE ?
Données
sensibles ?
Nom / sigle N° / REF Date de
création
Dernière
mise à
jour
Responsable du
traitement
Finalité principale Oui /non Oui/non

Liens utiles

Philippe Wallaert | wallaert@msgw.com
Morvilliers Sentenac & Associés
Toulouse 18, rue Lafayette | Bordeaux 61, cours Pasteur
Tel. +33 (0)5 62 27 50 50
http://www.ms-associes.com

ISDay 2018 - Atelier RGPD

Contenu connexe

Tendances

Similaire à ISDay 2018 - Atelier RGPD

ISDay 2018 - Atelier RGPD