Où en êtes-vous avec la RGPD 1 an après ?

Rappels :

La RGPD concerne toute donnée personnelle, c’est-à-dire toute information de quelque nature que ce soit (documents physiques, fichiers informatiques) qui concerne une personne identifiée, ou identifiable, ou permettant l’identification par un effort de recherche.

Le traitement de données, ou l’exploitation de la donnée, doit répondre à des critères de finalité, de légitimité, d’exactitude et avoir une durée de conservation limitée.

En bref, vous ne pouvez détenir que des données qui vous sont utiles dans l’exercice de votre métier.

Votre entreprise est responsable du traitement de données.  Vous devez veiller à la sécurité des données de l’entreprise, en informer les personnes concernées et notifier, le cas échéant, toute violation, suivant la gravité, dans un registre, ou à la CNPD (Commission Nationale pour la Protection des Données) et aux personnes concernées.  Certaines données doivent faire l’objet d’étude d’impact (comme des caméras surveillance par ex). 

Quel contrôle 1 an après ? 

En 1 an, la Commission Nationale pour la Protection des Données (CNPD) a reçu 261 notifications de violation (dont 26% concernaient des données personnelles envoyées aux mauvais destinataires et 16% du piratage informatique). Hormis les actes d’hackers, il s’agit principalement d’erreurs humaines, sans intention malveillante, comme des procédures internes non suivies, des règles contournées ou des fautes d’inattention. 

La CNPD a contrôlé en priorité les grandes entreprises qui possèdent une grande quantité de données personnelles sensibles et n’a dressé aucune amende. 

Il semble que la plupart des petites entreprises n’aient encore rien entrepris pour se mettre en règle avec la RGPD.  Elles seront sans doute visées par des audits sur leur mise en conformité. 

Que faire maintenant ? 

De manière générale, il faut faire preuve de bonne volonté :

- Répondre si vous avez des demandes au sujet de vos données (salarié, clients, …) et les supprimer si vous n’en avez plus besoin et que l’on vous le demande.

- Même si ce n’est pas parfait ou terminé, pouvoir montrer que vous avez déjà mis quelque chose en place. Cela vous permettra d’obtenir la bienveillance de la CNPD en cas de contrôle.

 Nos conseils pour le mettre en place : 

-       Documenter vos traitements de données personnelles (les identifier),

-       Informer les personnes concernées (dont vos clients et vos salariés),

-       S’assurer que vos sous-traitants respectent aussi le RGPD,

-       Définir des procédures internes en cas de violation,

-       Et surtout, réaliser un audit de votre informatique pour protéger vos données.