Chronique du RGPD : un résumé en 4 lettres.

AVIS D’EXPERT

Ce vendredi 25 mai de nombreuses entreprises tentent de se conformer au RGPD. Pour répondre aux exigences de cette nouvelle réglementation, le travail s’annonce important et surtout complexe. Fondateur et président de l’Union des Data Protection Officer (UDPO), Xavier Leclerc est le président de DPMS. Il nous résume en 4 lettres les nouveautés apportées par le RGPD.


R comme Registre

Avec la mise en place du RGPD, de nombreuses pratiques des entreprises en matière de protection des données vont être modifiées. L’un des points les plus importants de cette réforme réside dans l’obligation pour chaque entreprise de tenir un registre de traitements des données et ce, même en l’absence d’un DPO. Celui-ci pourra avoir deux niveaux de lecture dans le cas où il serait traité par un sous-traitant, dont le rôle sera de tenir un registre par catégorie de traitements. En parallèle, certaines mesures seront allégées : les responsables ne seront plus contraints de déclarer leurs traitements auprès de la CNIL (hormis pour des autorisations particulières). En résumé, les entreprises devront donc attester de leur conformité grâce à leur registre de traitements qui sera systématiquement réclamé par la CNIL durant les contrôles.


G comme Gouvernance

Autre enjeu de taille dans cette nouvelle réglementation : la gouvernance, qui désigne ici un ensemble de procédures internes et de bonnes pratiques organisationnelles. Avec l’entrée en vigueur du RGPD, la responsabilisation des entreprises face à la protection des données personnelles sera accrue, et affectera en profondeur leurs process de conception et de traitement. En imposant le respect du « Privacy by Design » (prise en considération de la protection de la vie privée dès la conception) et du « Privacy by Default » (garantie du plus haut niveau de protection possible), le RGPD contraint chaque organisme à prouver qu’un projet, depuis sa conception à son application, a pris en compte le respect et la protection de la vie privée à chaque étape. Les entreprises devront également traiter dans un délai d’un mois, et non plus deux, les demandes de réclamations. Cette nouvelle forme de gouvernance n’est en fait l’expression de la notion d’accountability établie par le RGPD. Si l’entreprise constate une violation de données, elle doit le notifier à la CNIL. Elle peut également envisager la réalisation d’Etudes d’Impact Vie Privée (ou PIA) pour les traitements dits « sensibles ».


P comme Preuve