1. Gestion
  2. Politique de confidentialité - RGPD
  3. Conformité avec le RGPD : 4 actions à mettre en place !

Conformité avec le RGPD : 4 actions à mettre en place !

Consulter un avocat spécialisé en RGPD
Consulter un avocat spécialisé en RGPD
Maxime Wagner
Écrit par Maxime Wagner

Cofondateur de Captain Contrat, Maxime a débuté en analyse de risque financier et a évolué sur des enjeux d'innovation dans la distribution. Il est diplômé de Centrale Lille et l'ESSEC.


Même si la limite de mise en place du RGPD (Règlement Général de Protection des Données) a été fixée à fin mai 2018 et que des adaptations peuvent voir le jour d’ici là, il est plus que conseillé dès maintenant de mettre en place quelques actions concrètes pour être en conformité avec cette loi qui révolutionne la collecte et le traitement des données.

 

 

Le RGPD expliqué en deux minutes

 

 

 

 

 

Voici donc 4 actions concrètes à mener pour être quasiment prêt pour le RGPD !

 

 

1 – Lister toutes les collectes et traitements de données personnelles faites dans l’entreprise

 

Le RGPD a redéfini ce que sont les données « personnelles », à savoir les données permettant d’identifier une personne : « est réputée identifiable une personne qui peut être identifiée directement ou indirectement (…), notamment par référence à un identifiant, par exemple un nom, un numéro d'identification, des données de localisation, ou un identifiant en ligne, ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale »

Si l’entreprise collecte (en interne -par exemple pour des besoins RH- ou en externe) des données qui permettent d’identifier une personne (adresse, mail, nom, prénom, localisation mais aussi simple adresse IP), que ce soit directement ou via un prestataire, alors elle doit commencer par recenser toutes les actions de collectes de données ainsi que les traitements qui en sont faits.

Pour chaque collecte ou traitement, il faut savoir :

  • ce qui est collecté ou traité (quelles données exactement)
  • d’où les données sont récupérées
  • où les données sont stockées
  • à qui ou à quel traitement les données sont soumises

 

Pour en savoir plus, découvrez comment nos équipes se sont organisées en interne pour y arriver !

 

2 – Vérifier si les données que l’on collecte ou traite sont bien uniquement celles dont on a besoin

 

Ce point est un des plus délicats du RGPD. La loi veut en effet qu’on ne collecte uniquement que les données dont on a besoin dans le cadre de son business. Or en pratique, on collecte souvent plus de données que nécessaire.

Dans un premier temps, avant qu’on ne sache exactement comment va s’appliquer le RGPD concrètement, il est nécessaire de savoir exactement si les données qu’on collecte ou qu’on traite sont celles dont on a besoin pour l’activité de l’entreprise ou si on en récupère ou traite d’autres.

 

3 – Revoir les contrats des sous-traitants qui traitent ou transmettent des données

 

Les sous-traitants d’une entreprise qui sont concernés par le RGPD peuvent être des prestataires de services informatiques (hébergement, sécurité, sauvegarde, etc..) ou des prestataires de marketing , de communication, de maintenance, etc.

Si de par la nature de leurs travaux, ces prestataires ont accès aux données personnelles de l’entreprise, alors il faut sécuriser ceci et notamment changer la nature du contrat que l’on a avec eux.

Le nouveau règlement européen induit en effet une logique de responsabilisation de tous les acteurs impliqués dans le traitement des données personnelles (qu’ils soient ou non établis au sein de l’UE ), dès lors que ces dernières concernent des résidents européens.

Des obligations spécifiques sont imposées aux sous-traitants qui doivent aider les responsables de traitements dans leur démarche de mise en conformité des traitements.

La loi exige « des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du présent règlement et garantisse la protection des droits de la personne concernée » (article 28 du RGPD).

Ainsi, les contrats avec les sous-traitants doivent mentionner la réalité des dispositions de l’article 28 RGPD (article spécifique aux sous-traitants) avec notamment :

  • l’objet et la durée de la prestation effectuée pour le compte du client
  • le type de données à caractère personnel que vous traitez pour le compte de votre client
  • les catégories de personnes concernées
  • vos obligations et vos droits en tant que responsable de traitement
  • l’engagement du sous-traitant de signaler immédiatement toute fuite de données.

 

Il est conseillé également de mettre par écrit les instructions données au sous-traitant afin de prouver le cas échéant sa bonne foi et ceci implique de décrire précisément les traitements qui lui sont demandés.

Par ailleurs, il faut que le sous-traitant indique si lui-même fait appel à des sous-traitants ou pas (et dans ce cas, outre le fait de le permettre ou pas, il faut lui demander de garantir qu’il leur a imposé les dispositions du RGPD).

Le sous-traitant doit également garantir que ses outils, applications, services respectent le RGPD notamment en ce qui concerne la quantité de données collectées, l’étendue de leur traitement, la durée de conservation et le nombre de personnes qui y a accès.

A propos de ce dernier point, les employés du sous-traitant doivent être soumis à une obligation de confidentialité.

 

4 - Assurer le respect des droits des personnes concernées par leurs données personnelles (accès, rectification, portabilité, suppression)

 

Selon le RGPD, toute personne dont les données personnelles sont dans une entreprise a plusieurs droits.

Accès et rectification :
- droit d’accès aux informations et droit de rectification

Portabilité :
- Droit d’obtenir les données dans un format structuré, couramment utilisé et lisible par une machine
- Droit de transférer les données directement auprès d’un nouveau responsable du traitement.

Droit d’opposition :
- La personne peut s’opposer à tout moment, au traitement de ses données y compris pour le profilage
- Le responsable du traitement doit informer la personne concernée de son droit d'opposition « au plus tard au moment de la première communication avec la personne concernée » ;
Il est à noter qu’en ce qui concerne le droit d’opposition, le responsable du traitement évalue le droit de la personne concernée au non traitement de ses données et doit aussi prendre en compte les motifs légitimes à poursuivre ce traitement malgré cette opposition. La décision éventuelle de continuer doit être motivée.

Par ailleurs, si le traitement est « nécessaire à l'exécution d'une mission d'intérêt public », les personnes concernées ne peuvent s'y opposer avec succès.

Besoin d’aide ?

Tatiana - photo rappel sales (blog)
Nos coachs entrepreneuriaux sont à votre écoute
Besoin de conseils sur votre projet ? De poser toutes vos questions de vive-voix ? Contactez-nous 🙂
Prendre un rendez-vous

Tous les articles similaires

Consultez nos articles pour parfaire vos connaissances

5 min
RGPD : quelle est la procédure de sanction ?

Mais que se passe-t-il en cas de non-respect du RGPD ? Quelles sont les sanctions susceptibles d’être prononcées à l’égard des responsables de traitement qui ne respecteraient pas ses dispositions ?

5 min
L'éditeur de logiciel Saas face au RGPD, par Me Znaty

Quel est l'impact du RGPD sur l'éditeur Saas ? Quel est le statut de l'éditeur Saas face au RGPD : responsable de traitement ou sous-traitant ? Me Znaty répond à toutes ces questions.

5 min
Règlement général sur la protection des données (RGPD) : quel impact sur les conditions générales de vente (CGV) ?

La mise en conformité au RGPD implique de nombreuses mesures, notamment sur la rédaction des CGV. Mais les CGV e-commerce ne sont pas les seules visées : mentions légales, cookies, politique de confidentialité sont également indispensables pour votre site. Me Lefroy vous guide

5 min
La clause de confidentialité dans le contrat de travail

La clause de confidentialité permet de garantir qu'un salarié ne divulguera pas d'informations qui peuvent être vitales pour l’organisation d'une entreprise

5 min
Accord de confidentialité : pourquoi et comment le rédiger ?

L'’accord de confidentialité est un des outils phares de la protection d’information et du secret professionnel. Dans quel cas doit-on le signer ?

4 min
Les limites de la protection des données personnelles du salarié

Quelles sont les limites à la protection des données personnelles du salarié ? Sous quelle conditions l'employeur peut-il collecter ces informations ?

5 min
Qu’est-ce qu’une charte/politique de confidentialité ?

Une politique de confidentialité est un document ou un contrat qui expose les engagements de l’entreprise en matière de traitement des données personnelles des utilisateurs. Obligatoire dans le cadre de la conformité RGPD, Me Julien Smadja décrypte pour vous le contenu et l'importance de ce document.

2 min
Qu’est-ce que la charte des données personnelles d’un site internet ?

Lorsqu’un site internet requiert des informations personnelles de ses utilisateurs, la rédaction d'une charte des données personnelles est vivement conseillée.

3 min
RGPD : qui est concerné ?

Entrepreneur, dirigeant ou juriste d’entreprise, vous vous demandez si votre entreprise est concernée ? Devez-vous effectuer une mise en conformité avec le RGPD par rapport aux données à caractère personnel des citoyens ? Captain Contrat fait le point sur le RGPD.

Commentaires

Laisser un commentaire

Vous avez démarré un dossier de chez nous… Vous pouvez le reprendre dès maintenant !

Reprendre votre dossier