ALCGAC_1

ALERTES & CONSEILS
GESTION ADMINISTRATIVE ET COMPTABLE
> > NOUVELLES TECHNOLOGIES - INFORMATIQUE
RGPD : où en êtes-vous avec la démarche de conformité ?
Pour le 25.05.2018, l’entreprise doit mettre en conformité ses traitements de données personnelles
avec les nouvelles obligations du règlement général sur la protection des données (RGPD).
Voici les éléments prioritaires à prendre en compte pour poursuivre cette démarche.
Consentement des personnes
Plus de droits pour les personnes protégées.
La réglementation européenne du RGPD (règlement
(UE) 2016/679 du 27.04.2016) repose sur un principe de
base : l’obligation d’obtenir le consentement des personnes
protégées.
Une personne physique dispose désormais de sept
droits vis-à-vis d’une société qui détient des informations
personnelles la concernant afin de s’assurer du
respect de la confidentialité et de la protection de sa vie
privée : droit à l’information, droit d’accès, droit de
rectification, droit d’opposition (au stockage et traitement
de ses données), droit à l’oubli (effacement de
données), droit à la limitation du traitement de ses
données et droit à la portabilité des données (autorisation
de transmission de données à un tiers).
Protection de ces données par l’entreprise. Si
dans le cadre de vos fonctions, vous collectez, stockez,
gérez et traitez des données à caractère personnel
concernant des personnes physiques (fichiers clients,
prospects, fournisseurs et salariés de l’entreprise), dès
le 25.05.2018, l’entreprise doit avoir débuté sa mise
en place de mesures techniques et organisationnelles
appropriées pour garantir un niveau de sécurité adapté
au risque dans la détention et la manipulation de
ses données, pour se conformer à la nouvelle réglementation
du RGPD.
Bon à savoir. Le RGPD ne change pas les règles dans
vos pratiques marketing de prospection, que ce soit
en B2B (information préalable et droit d’opposition
lors de la collecte de l’adresse de messagerie) ou en
BtoC (pas de publicité commerciale sans accord préalable
explicite du consommateur lors de la collecte de
son e-mail, sauf s’il est déjà votre client, c’est la
pratique de l’opt-in actif). P.ex. dans un e-mailing, le
consentement de l’internaute doit être recueilli par
une case à cocher, non une case déjà cochée par
défaut.
Nouvelles obligations pour l’entreprise
Conformité continue au RGPD. Vous n’avez plus
à déclarer au préalable, auprès de la CNIL, les traitements
ou fichiers de données personnelles de l’entreprise
(déclarations ou autorisations). Mais vous
devez désormais valider que toutes les données à
caractère personnel que vous utilisez et conservez
sont en conformité avec le RGPD.
Vous devez assurer une protection optimale de ces
données à chaque instant et être en mesure de
démontrer leur conformité en continu.
Votre démarche de conformité. Pour mettre
l’entreprise en conformité avec la réglementation
RGPD, six étapes sont préconisées par la CNIL :
1. Désigner un délégué à la protection des données
(DPO), en interne ou en externe (p.ex. un délégué
prestataire extérieur), ayant des compé tences
tech niques et juridiques. Il est chargé de piloter la
mise en conformité des traitements de données
personnelles, de s’assurer du respect constant de la
réglementation et de réaliser des audits de sécurité
périodiques.
En pratique. Toutes les entreprises ne sont pas
obligées de désigner un DPO. Seules y sont contraintes
celles qui réalisent un suivi régulier et systématique
des personnes à grande échelle ou qui traitent à
grande échelle des données sensibles ou relatives à
des condamnations pénales et des infractions. Il est
conseillé de nommer un DPO qui n’est ni membre de
la direction, ni responsable marketing, ni responsable
RH et ni responsable du service informatique pour
éviter tout conflit d’intérêts en cas de cumul de
fonctions. Vous pouvez désormais désigner le DPO
en ligne https://www.cnil.fr/fr/designation-dpo. Dans
le cas où le DPO ne s’impose pas, l’entreprise a
intérêt à nommer, parmi son personnel qualifié, un
salarié qui s’assure du respect au quotidien du RGPD.
Car dans l’entreprise, le seul responsable du traitement
des données personnelles, c’est le dirigeant qui
décide et met en place les traitements des données.
Conseil. Pour mettre en place la démarche de
conformité RGPD de l’entreprise, vous pouvez utiliser
le guide gratuit de sécurité des données personnelles
édité par la CNIL à disposition sur https://www.cnil.
fr/fr/un-nouveau-guide-de-la-securite-des-donneespersonnelles.
2. Recenser tous les traitements de données personnelles
et élaborer un registre interne.
En pratique. Pour mesurer l’impact du RGPD sur
l’activité, il faut, au préalable, recenser précisément les
différents traitements de données personnelles, les
catégories de données traitées, les objectifs poursuivis
par les traitements de données, les personnes (internes
ou externes) qui traitent ces données et les flux
d’origine et de destination des données. Il faut aussi
identifier les prestataires sous-traitants pour mettre à
jour les clauses de confidentialité dans vos contrats
de prestation.
À noter. Si l’entreprise a moins de 250 salariés, elle
2 Mai 2018 - Numéro 1/18