LG 204

58 LG
NOVEMBRE 2017
ICT
RGPD:
très chères données?
En mai 2018, le règlement européen portant sur la protection
des données personnelles (RGPD) sera applicable. Ce texte
pose un socle commun de règles renforçant les droits de tous
les résidents européens (clients, utilisateurs, administrés,
salariés, agents publics) et la responsabilité des organismes
privés comme publics qui traitent des données personnelles.
Les mesures à anticiper sont nombreuses, elles sont source de
dépenses en vue de répondre aux exigences réglementaires.
Eclairage sur cette règlementation et les coûts liés avec
Philippe Pierre, associé en charge du Secteur Public et
responsable mondial Institutions européennes et Frédéric
Vonner, associé et RGPD Leader chez PwC Luxembourg.
Où en est le secteur public?
PP: Le secteur public n’est pas
particulièrement en retard par rapport au
secteur privé concernant la mise en œuvre
de cette nouvelle règlementation. Les
institutions européennes sont légèrement
en avance, car elles étaient déjà soumises
à des obligations qui sont reprises dans
le RGPD. Par exemple, elles avaient
déjà l’obligation d’avoir un(e) délégué(e)
à la protection des données. D’autres
organisations, plus petites ou moins
habituées à la protection les données
qu’elles traitent, par exemple parce que
ces données ne sont pas particulièrement
sensibles, ont certainement pris un peu plus
de retard. Il est à noter que les institutions
européennes sont exclues pour le moment
du champ d’application de la RGPD. Un
règlement les concernant directement est
en préparation.
FV: Le secteur public est globalement
conscient car il a accéléré son processus de
transformation digitale et les services qu’il
délivre sont de plus en plus concernés: les
organismes publics collectent, stockent,
échangent et transfèrent en masse des
données notamment via les nombreux
e-services rendus aux usagers, les dispositifs
de contrôle et de sécurité ou bien encore
les projets de villes intelligentes («Smart
Cities»). Au-delà de ces contraintes légales,
le secteur public a saisi que l’utilisation
responsable et sécurisée des données
collectées constitue un véritable enjeu
d’accès au droit, d’égalité de traitement,
de protection et donc de confiance des
citoyens. Cela est particulièrement vrai
pour les organisations traitant des données
«sensibles», telles que le secteur de la santé
et de la protection sociale, ou les organismes
traitant les données des agents publics.
“Un bon moyen
d’optimiser les
investissements
liés à la mise en
conformité RGPD
est d’identifier
les synergies avec
d’autres projets en
cours ou à venir (…)
pour optimiser la
gestion des données
au sens plus large”
Peut-on estimer clairement le coût
qu’impliquera la mise en conformité?
PP: Le coût d’une mise en conformité
dépend de la taille de l’organisation et de la
quantité de données traitées, mais également
de la «maturité» de l’organisation, c’està-dire
de la mesure dans laquelle celle-ci
a déjà une connaissance des données
personnelles qu’elle traite, de la raison
pour laquelle ces données sont collectées et
traitées, du cycle de vie des données, et de
la manière dont ces données sont protégées.
Plus cette connaissance est approfondie,
plus le travail de mise en conformité sera
rapide et facile. Une telle connaissance peut
également permettre de gagner en efficacité
en mettant en évidence les redondances:
données demandées à la personne plusieurs
fois, etc.
FV: Le processus de mise en conformité au
règlement est complexe, il impose les mêmes
principes de protection des données tant aux
organismes publics qu’aux grands groupes
et aux TPE/PME tout en tenant compte
d’un principe de proportionnalité. Afin
d’atteindre une conformité complète, on
peut commencer par adopter une approche
par les risques, autrement dit mettre en place
des actions utiles afin de réduire les risques
des personnes concernées par rapport à