Source: https://www.technologies-ebusiness.com/actualite/loi-protection-donnees-personnelles-contrainte-opportunite
Timestamp: 2018-10-19 05:46:59+00:00
Document Index: 234586464

Matched Legal Cases: ['art. 37', 'art. 24', 'art. 30', 'art. 34', 'art 32', 'art. 33']

GDPR – Quels droits pour le Citoyen ?
Applicable dès le 25 mai 2018, soit dans moins d’un an, le GDPR, Règlement Général européen de Protection des Données personnelles, s’inscrit dans le prolongement de la loi Informatique et Liberté française. Il élargit les droits des Citoyens sur la gestion de leurs données personnelles :
GDPR – Quels devoirs pour l’Entreprise ?
Le GDPR oblige l’Entreprise à satisfaire les nouveaux droits des citoyens décrits précédemment, mais également à mettre en œuvre des actions qui garantissent la bonne application des principes de gestion efficiente des données personnelles, y compris les moyens de contrôle et surveillance :
Des actions d’organisation, notamment la nomination d’un Data Protection Officer (art. 37), chargé de mettre en œuvre la conformité au GDPR.
Un principe de responsabilisation du responsable des traitements et de ses sous-traitants (art. 24) et des actions pour démontrer que les traitements respectent le GDPR, et faire appliquer des directives et contrôles, notamment la tenue d’un Registre des traitements (art. 30) qui recense de manière précise les activités et actions ou événements concernant les données personnelles.
La mise en œuvre d’analyses de risques, au travers notamment d’analyse d’impact (DPIA – Data Protection Impact Analysis, art. 34), afin d’évaluer les risques de toute activité ayant un impact potentiel important sur la protection des données personnelles.
La mise en œuvre de mesures de sécurité (art 32), afin de garantir la sécurité du traitement (cryptage, anonymisation, confidentialité, intégrité, restriction de partage et d’utilisation des données), ainsi que le test, l’analyse et l’évaluation régulière de l’efficacité des mesures de sécurité.
La notification d’incidents de sécurité « Data Breach Notification » (art. 33 et 34) auprès de l’autorité de contrôle compétente et des personnes concernées.
GDPR – Quels impacts pour l’entreprise ?
De manière plus générale, l’impact de la GDPR est majeur, et nécessite de mettre en œuvre une approche globale de transformation sur les 8 axes :
Il s’agit de définir une stratégie Data et de création de valeur respectant le GDPR, par la collecte et la valorisation des données dans le cadre d’une finalité claire et transparente (approche Data Centric).
Une gouvernance, portée par le top management est indispensable, afin de donner la bonne direction à toute l’entreprise, et s’assurer une surveillance optimale de la mise en œuvre.
Cette démarche globale de transformation doit être assurée et coordonnée par le DPO. L’implication du ou des Responsables des traitements et autres acteurs clés doit être garantie (juridique, RSSI, responsables processus Métiers, …).
Elle impose une définition claire de leurs rôles et missions, de leur positionnement et de leurs responsabilités, au travers d’un véritable management collaboratif, afin de garantir une cohérence et une complémentarité des acteurs.
Leur montée en compétence doit être assurée au travers de formations et d’accompagnements.
La mise en œuvre d’un registre des traitements et la réalisation de DPIA sur les traitements sensibles assureront une maîtrise des risques ainsi qu’une transparence vis-à-vis de la CNIL.
L’intégration dès la conception des processus et traitements, des contrôles d’accès, des règles de sécurité, et des règles GDPR (Privacy by Design, Security by Design) sera réalisée en conformité avec les directives et codes de conduite relatifs au traitement des données personnelles.
La réflexion couvrira également l’intégration des données personnelles, gérées par le nouveau processus ou traitement, dans les activités et applications de gestion des droits des citoyens.
L’ensemble des activités relatives au GDPR est à définir et déployer, que ce soit la gestion des droits par le citoyen (consultation, effacement, transfert) que le pilotage opérationnel de la démarche au sein de l’Entreprise (suivi des activités GDPR et gestion des risques, revues, audits et contrôles, suivi de sous-traitants, reporting, communication, gestion des alertes, …).
L’information interne couvre la communication, ainsi que les indicateurs de suivi et de pilotage du projet GDPR dans l’Entreprise.
L’information externe s’adresse aux citoyens sur leurs droits et données personnelles gérées par l’Entreprise et les incidents, et s’adresse également aux autorités compétentes (CNIL).
L’architecture du SI de l’Entreprise doit permettre l’intégration des exigences du GDPR. Une architecture Data Centric facilitera cette adaptation.
D’autre part le développement d’applications est indispensable pour gérer de manière optimale la gestion de la relation avec les citoyens et de leurs droits (information, modification, transfert, effacement, …). Le risque majeur est un afflux de demandes, en particulier une concentration au début, et une impossibilité pour l’Entreprise de répondre dans les délais.
L’utilisation d’outils, dont de nombreux restent à développer, doit faciliter la réalisation d’audits techniques automatisés (audit de code, test d’applications Web ou smartphone, …).
Une veille juridique est indispensable, renforcée par l’accompagnement d’un juriste spécialisé externe, notamment au démarrage.
GDPR – Une opportunité de création de valeur durable pour l’entreprise ?
Le législateur européen aurait pu se contenter de définir les droits des citoyens en matière de données personnelles et les sanctions pour les Entreprises qui n’appliquent pas ces obligations.
Il a bien compris que le succès de l’application de ce règlement passait par la mise en œuvre de sanctions importantes, mais aussi par la forte incitation à mettre en œuvre des bonnes pratiques de gouvernance et de management des données personnelles, qui s’appliquent tout naturellement également aux autres données gérées.
Consolider ou développer une cartographie des traitements et des données personnelles et mieux évaluer les risques (registre des traitements, DPIA, …)
Développer et organiser une démarche d’Entreprise (implication top management, DPO, responsabilisation des acteurs, gouvernance, plan de transformation, …)
Améliorer la culture « Data » de l’Entreprise (sensibilisations de tous, code de conduite, …)
Améliorer la conception des traitements et applications associées (Privacy by Design, …)
Améliorer la sécurité (Security by Design, accès, confidentialité, …) et les contrôles associés
Ainsi, dans le cadre d’une généralisation des approches « Data Centric », ces bonnes pratiques deviennent des piliers de la transformation digitale des Entreprises :
Elles contribueront à l’amélioration de la Gouvernance et à la Culture de la donnée
Elles seront un vecteur d’optimisation des ressources, techniques mais aussi humaines, en développant leurs compétences sur le sujet
Au final, cette approche contribuera activement à la création de valeur durable pour l’Entreprise :
Par une communication client transparente et responsable, vecteur d’une relation de confiance et durable
8 septembre 2017 /0 Commentaires/par Olivier Chotin
Mots-clés : big data, DATA, GDPR
Etude Twitter sur le «mariage pour tous» réalisée par SQLI Group – Publication des résultats
La Data sur le devant de la scène !
Règlement Général sur la Protection des Données (RGPD ou GDPR) : quels changements ? Partie 2
Retour sur la mêlée du numérique, à Toulouse Retrouvez SQLI au Paris Retail Week 2017