Comment se mettre en conformité avec le RGPD 2018?
Pour les derniers retardataires, il est désormais temps de se mettre en conformité avec le nouveau règlement européen !
Le processus de mise en conformité vous apportera une sécurité juridique et une nouvelle vision de votre traitement des données.
Mais avec tous les changements induits par le RPGD, il est facile de s’y perdre et de ne pas savoir par où commencer.
Voici les étapes à suivre pour vous mettre en conformité sans plus tarder.
Désigner un DPO
Pilote de votre mise en conformité, le DPO vous guidera dans votre application de toutes les mesures de protection des données. Indépendant et compétent, il vous aidera à procéder étape par étape et vous apportera une sécurité juridique. Attention, son rôle n’est pas de mettre votre entreprise en conformité, mais de vérifier celle-ci. Il se chargera de vous conseiller, de vous informer et de contrôler votre respect du RGPD.
En vous indiquant les chantiers à mettre en œuvre et en vous accompagnant tout au long de votre démarche, le DPO vous permettra de faire face aux évolutions légales et numériques et de rester conforme aux lois sur la protection des données.
Cartographier les traitements de données
Avant de vous lancer dans de grands chantiers, cartographiez votre processus de traitement des données !
Ceci vous conférera une vue d’ensemble sur la nature des données traitées et vous permettra de leur appliquer un traitement adapté.
Cette opération vous permettra également de mesurer l’envergure des données à traiter.
En procédant ainsi, vous pourrez aussi plus facilement vous rendre compte de l’adéquation entre les données traitées, leur provenance et leur finalité.
Cela vous permettra de définir les mesures de sécurité à prendre et de justifier de la légitimité de l’opération, afin de vous assurer que celle-ci corresponde au RGPD.
Prioriser les actions à mener
La mise en œuvre d’un plan d’action est une étape nécessaire pour organiser votre mise en conformité.
Pour prioriser les actions à mettre en œuvre, la structure doit évaluer l’état actuel de sa conformité au RGPD.
Votre entreprise doit remettre en question sa politique en matière de traitement de données et intégrer les bonnes pratiques dès le lancement d’un nouveau produit.
Pour prioriser correctement les actions à mener, commencez par les identifier en passant en revue tous les processus et procédures entourant le traitement de données dans votre structure.
Ceci fait, catégorisez ces actions en fonction du risque juridique qu’elles font encourir à votre structure. Vous avez alors un bon aperçu des actions à corriger en premier lieu !
Les actions illicites sont les premières à corriger pour ne pas risquer une lourde sanction de la CNIL.
Réaliser des analyses d’impact pour chaque traitement
L’analyse d’impacts permet d’identifier les risques encourus par les utilisateurs lors du traitement de leurs données et de déterminer si ce traitement est conforme au RGPD.
C’est donc une étape indispensable pour évaluer la pertinence et la légitimité de vos opérations de traitements, point incontournable pour entrer dans le moule du RGPD.
En réalisant cette étude, votre structure sera à même de déterminer les risques portant sur la sécurité des données et menaçant la vie privée des utilisateurs.
Au terme de l’analyse d’impacts, il vous sera possible de mettre en œuvre une protection adéquate pour parer aux risques décelés. Attention, pour certaines structures, l’analyse d’impacts est obligatoire pour être conforme au RGPD !
Mettre en place des processus garantissant un haut niveau de
protection des données
Le concept de Privacy by design prend toute son importance ici, puisqu’il s’agit d’intégrer le principe de protection des données personnelles dès la conception du produit afin de garantir un haut niveau de protection.
La « Privacy by Design » est le moyen par excellence de fournir une protection efficace et durable à l’utilisateur.
En effet, la protection induite par ce concept est systématique et s’appuie sur une véritable corrélation entre la finalité du traitement des données et celle du produit.
Les mesures de protection sont pensées pour ne pas porter atteinte au bon fonction du produit et être en accord avec les obligations requises par la loi.
Intégrée aux systèmes informatiques et à l’organisation des structures, la Privacy by Design constitue une protection solide et un gage de conformité.
Mettre en œuvre un bilan des opérations
En termes de bilan des opérations, le registre des traitements est un outil de choix qui vous permettra de recenser toutes les opérations liées au traitement des données.
La tenue rigoureuse de ce registre offre aux structures une vision complète de leurs flux de données. Le registre permet un pilotage efficient des risques techniques et juridiques et un suivi optimal des opérations de traitement.
Outre la facilité de gestion apportée par cet outil, le registre des traitements fait aussi office de preuve de conformité en cas de contrôle.
Au cours de votre opération de mise en conformité, n’hésitez pas à mettre en place un dossier de mise en conformité qui documentera les actions mises en œuvre.
En cas de contrôle, ce dossier vous permettra de justifier de vos démarches en cours et de vos actions déjà effectuées pour répondre aux exigences du RGPD.