A 1 an de l'entrée en application du Règlement Général sur la Protection des Données, Sia Partners vous accompagne dans le cadrage de votre projet de mise en conformité.

1. Règlement Général sur la Protection des données
-
Chantiers et méthodologie de cadrage
Mai 2017

2. CONFIDENTIAL © Sia PartnersCONFIDENTIAL © Sia Partners 2
Face aux dérives actuelles, les régulateurs s’emparent du sujet de la Protection des Données
Course à la collecte massive de données
privées
Les entreprises placent le curseur de plus en
plus loin dans la collecte des données : la
collecte est devenue prioritaire, qu’elle qu’en
soit la finalité et la légalité
MICROSOFT a été mis en
demeure par le régulateur
français de mettre en
conformité son nouveau
système d’exploitation
Windows 10 avec la loi
Informatique et Libertés, en
cessant notamment la collecte
excessive de données ainsi que
le suivi de la navigation des
utilisateurs sans leur
consentement.
Dispositif de protection des données limité
De nombreuses entreprises ne disposent pas de
dispositif de protection des données à même
d’assurer la sécurité de celles-ci, dans un
environnement pourtant de plus en plus hostiles
(hacking, phishing etc.)
Zurich Insurance a été
condamné pour perte des
données personnelles de 46.000
clients y compris dans certains
cas les numéros de compte
bancaire et de carte de crédit.
Négligence des clients
Le consommateur n’est pas éduqué et ne
dispose donc pas de la culture de la vigilance en
termes de protection des données. Il donne
ainsi son accord à tort ou à raison à toute
application.
Niantich, développeur du
phénomène Pokemon GO, a
obtenu de chacun des
utilisateurs l’autorisation de
consulter et modifier la quasi-
totalité des informations de
votre compte Google.
Afin de palier ces manquements et restaurer la bonne protection des données personnelles des clients, les régulateurs tendent à s’accorder sur
un cadre commun restreignant les conditions de collecte et les traitements acceptables.
Les instances juridiques mondiales se sont aujourd’hui emparées du sujet de la protection des données personnelles et sensibles pour
répondre à 3 dérives liées à l’usage de services et technologies toujours plus intrusives

3. CONFIDENTIAL © Sia PartnersCONFIDENTIAL © Sia Partners 3
L’émergence d’une réglementation harmonisée à l’échelle européenne
A l’échelle européenne, le Règlement Général sur la Protection des Données a ainsi vu le jour : entré en vigueur en Juin 2016, il sera
applicable à compter du Mai 2018. Il s’inscrit dans une dynamique globale de durcissement des conditions encadrant la collecte et le
traitement de données personnelles.
En tant que règlement de l’Union Européenne, RGPD s’appliquera en droit national sans transposition préalable en droit national. Il sera de valeur
supérieure aux textes nationaux. Des obligations additionnelles pourront néanmoins être introduites en droit français tant qu’elles n’entrent pas
en contradiction (n’affaiblissent) avec le RGPD
Règlement Général sur la Protection des Données (RGPD)
• RGPC constituera la norme européenne en matière
d’obligations sur l’utilisation des services de communication
électronique, mais renvoie souvent aux obligations de
RGPD
Projet de règlement ePrivacy
• Le futur règlement constituera la norme européenne en
matière d’obligations sur l’utilisation des services de
communication électronique, mais renvoie souvent aux
obligations de RGPD
Loi pour une République Numérique (LRN)
• La LRN modifie, entre autres, la loi I&L ainsi
que le Code des relations entre le public et
l’administration
• Elle ajoute des obligations concernant
l’ouverture par défaut des données
publiques et la protection accrue pour les
données personnelles des usagers du net.
Loi Informatique et Libertés (I&L)
• La loi I&L Régit depuis 1978 les fondements de la règlementation sur la
protection des données en France
• Elle sera ajustée pour être cohérente avec RGPD : elle précisera notamment
les obligations applicable en France lorsque le règlement européen laisse le
choix aux Etats membres de définir des obligations locales (exemple: la liste
des traitements sur lesquels une analyse d’impacts relative à la protection
des données sera obligatoire, etc.)

4. CONFIDENTIAL © Sia PartnersCONFIDENTIAL © Sia Partners 4
Objectifs et enjeux du Règlement Général sur la Protection des Données
Le Règlement Général sur la Protection des Données poursuit ainsi trois objectifs
2 Harmoniser le cadre de protection des données à caractère personnel à l’échelle européenne
Ce nouveau cadre européen entend ainsi faciliter les flux de données au sein de l’Union Européenne, renforcer la confiance des
consommateurs et booster ainsi l’économie numérique
3 Persuader de la nécessité du respect de la réglementation par une augmentation significative des sanctions
Loi Informatique et Libertés
150 K€ max
Loi Informatique et Libertés
300 K€ en cas de récidive
RGPD/ projet de règlement
ePrivacy
Max (10 M€, 2% du CA
mondial*) au plus
RGPD/ projet de règlement
ePrivacy
Max (20 M€, 4% du CA
mondial*) au plus, pour
manquement grave**
Loi pour une République
Numérique
3 M€ au plus
* Chiffre d’affaires mondial de l’entreprise
1 Corriger les limites de la directive de 1995, en protégeant notamment les individus face à l’explosion de nouvelles
technologies et aux dérives associées :
• Course à la collecte massive de données privées
• Dispositif de protection des données limité
• Clients peu vigilants lors de la transmission de données à caractère personnel
09/10/16 25/05/18
** Licéité, consentement, droit des clients etc.

5. CONFIDENTIAL © Sia PartnersCONFIDENTIAL © Sia Partners 5
Impacts et chantiers à mettre en oeuvre
Ce règlement aura des impacts significatifs pour toutes les entreprises qui collectent et manipulent des données à caractère personnel et
sensible : clients et employés transmettent des données à caractère personnel et sensible dont la collecte et le traitement seront demain
soumis à nombre de nouvelles obligations réglementaires.
Gouvernance et formation
des collaborateurs
4
3
2
1
5
Information
des clients et employés /
gestion des consentements
Sécurité et gestion des
habilitations
Mise en œuvre des droits
des clients et employés
Documentation
Nommer un Délégué à la Protection des
Données et définir un plan de formation des
employés à la thématique de Protection des
Données
Revoir les clauses des documents de collecte de
données personnelles afin d’informer les clients
/ employés de leurs droits et des traitements
apportés à leurs données
Mettre en œuvre des moyens de sécurité
physique et numérique ainsi qu’un dispositif de
gestion des accès aux données personnelles
Définir les procédures d’accès, de rectification,
de suppression et de portabilité des données
personnelles
Lister les différentes données personnelles
collectées ainsi que les traitements, transferts,
durée et méthode de stockage associées
• Plan et support de formation
• Registre de suivi des formations suivies
par employé
• Clauses et document d’information aux
clients et employés
• Registre des habilitations d’accès aux
données personnelles
• Procédures documentées de mise en
sécurité des données
• Cartographie des flux de données
• Procédures documentées
• Reporting aux clients
• Registre des données personnelles et
informations associées
• Politique générale de protection des
données

6. CONFIDENTIAL © Sia PartnersCONFIDENTIAL © Sia Partners 6
Production du registre
des traitements
Définition d’un plan
d’action
Une démarche d’assistance en 3 étapes
Pavillon Prévoyance souhaite être accompagné sur 3 chantiers : un projet de sensibilisation des directions, une analyse du dispositif de
protection des données existants et la définition d’un plan d’action de mise en conformité.
• Cette première étape consiste à former les collaborateurs de Pavillon
Prévoyance à la problématique de la Protection des Données, aux enjeux et
impacts opérationnels du Règlement Général sur la Protection des Données
• La Direction Générale et les personnes en charge des traitements de
données personnelles constituent la population cible de ces actions de
formation
Sensibilisation
• Cette seconde étape consiste en l’audit des différents métiers de
l’entreprise pour production du registre des traitements et
identification des traitements critiques
• Les traitements critiques seront priorisés dans la définition du plan
d’action
• En parallèle de la revue du registre des traitements, une analyse d’écart au
Règlement Général sur la Protection des Données sera menée pour
déterminer les axes d’amélioration et définir un plan d’action priorisé avec
des responsabilités claires
Plus-value Sia Partners
• Des supports de formation adaptés
au milieu assurantiel et au niveau
de granularité variable
• Diverses expériences de formation
• Des équipes dédiées à la formation
grâce au Sia Institute
• Une connaissance aigue des métiers
de l’industrie assurantielle
• Un template de registre des
traitements prêt à l’emploi
• Un outil d’analyse d’écart au RGPD
éprouvé
• De nombreuses références,
notamment auprès d’acteurs du
milieu assurantiel

7. CONFIDENTIAL © Sia PartnersCONFIDENTIAL © Sia Partners 7
Pour vous permettre de mettre en place un dispositif de protection des données homogène et exhaustif, Sia Partners vous accompagne
et vous fait bénéficier de ses outils et méthodologies ainsi que de ses expériences multiples dans le domaine.
S’ajoutent à ces atouts une connaissance aigue du milieu assurantiel, de ses activités et de ses systèmes d’information.
Les atouts Sia Partners
La connaissance du milieu assurantiel alliée à l’expertise « Protection des données »
SIA PARTNERS A DEVELOPPE DES OUTILS
D’ANALYSE D’ECART AU REGLEMENT GENERAL
SUR LA PROTECTION DES DONNEES
DES EQUIPES DEDIEES A LA CONDUITE DU
CHANGEMENT ET A LA FORMATION POUR
EMBARQUER L’ENSEMBLE DE VOS
COLLABORATEURS DANS CE PROJET
UNE CONNAISSANCE AIGUE DU MILIEU
ASSURANTIEL ET DE L’APPLICABILITE DU RGPD A
CETTE INDUSTRIE
DES EXPERIENCES NOMBREUSES AUPRES DE
DIVERSES INDUSTRIES

8. For more information, visit : www.sia-partners.com
Follow us on LinkedIn and Twitter @SiaPartners
Driving Excellence
For more information, visit : www.sia-partners.com
Follow us on LinkedIn and Twitter @SiaPartners
Tel:
Mail:
Tel:
Mail:
Antoine Bellicha
Senior Manager | Assurance
+33 6 21 70 10 73
Antoine.bellicha@sia-partners.com
Philippe Mignen
Consultant | Assurance
+33 6 66 01 86 77
Philippe.mignen@sia-partners.com
NOUS CONTACTER