X

RGPD retex#7 : Le kit de survie

Il n’est jamais trop tard pour bien faire. Si vous n’êtes toujours pas conforme, rien ne vous empêche d’engager la démarche. Pour vous aider à démarrer, voici un kit de survie ou de démarrage rapide avec Arnaud de Chambourcy, practice manager RGPD chez Umanis.

Les entreprises sont entrées dans la dernière ligne droite pour se conformer à la réglementation sur la protection des données personnelles. Toutes ? Pas sûr ! Les chiffres des différentes études parues jusqu’à maintenant ne sont pas vraiment rassurants sur ce point. Un peu moins d’un tiers des entreprises seraient prêtes à la fin mai. Pour le reste, le flou est assez complet sur l’état d’avancement dans les projets et le profil bas est celui le plus souvent adopté pour ne pas se faire remarquer et épingler par l’autorité de régulation en charge du RGPD, la Cnil.

Nous avons échangé avec un spécialiste qui donne ici une feuille de route permettant de réagir et d’entamer rapidement la démarche de mise aux normes. Ne rien faire serait de toute façon le pire. La Cnil a indiqué vouloir être compréhensive pour ceux ayant entamé la démarche, et la bonne foi sera importante, mais ne comptez pas trop sur sa mansuétude pour la simple raison que ce règlement est européen et qu’il doit s’appliquer de la même manière dans l’ensemble de l’Union Européenne.

« La construction des registres est un travail long et consommateur de temps, mais c’est le moyen de démontrer que le traitement est conforme au texte »
Arnaud de Chambourcy, Practice Manager RGPD chez Umanis.

Commencer par…  le début !

Arnaud de Chambourcy est assez direct. Première question : « Est-ce que mes données sont sécurisées dans mon SI et dans mes locaux ? » Pour lui, il faut retourner aux basiques de la question avant d’entreprendre quoi que soit. Ainsi préconise-t-il de vérifier la sécurité physique des locaux, puis ensuite celle mise en place sur les postes de travail avec une sensibilisation des collaborateurs et la mise en place d’une charte de bonne conduite ou la gestion des habilitations. Il conseille de chiffrer les pièces jointes des mails ou les mails eux-mêmes. Il ajoute : « Il existe plein de petits outils gratuits pour le faire. Cela permet d’éviter certaines fuites de données. Ce n’est pas la solution miracle. Il est possible aussi d’écouter ou de sniffer les espaces de travail partagés pour repérer les utilisations nocives. » Le but de tous ces processus est de protéger les données.

Un consentement univoque et éclairé

« Le risque intervient dès que vous êtes visible. » Tous les éléments du site internet doivent être protégés du bandeau au cookie et les conditions générales d’utilisation et de vente doivent être claires. « Le principe de la finalité de la collecte doit être bien défini et le consentement doit suivre cette information. » Cela fait clairement partie de la check-list dans toutes les entreprises.

Vient ensuite l’étape de la relation avec les sous-traitants, les fournisseurs commerciaux, les partenaires. Les contrats doivent être revus pour comporter certaines clauses qui prennent en compte la gestion des données à caractère personnel et que le tiers affiche bien la collecte pour vous, en particulier si vous êtes le responsable du traitement des données collectées. Cela doit être clair pour l’utilisateur final. Il faut y ajouter les règles de sécurité prises par le sous-traitant pour assurer les données.

Encore loin du but !

Si après fait tout cela, vous pensez être près du but et de la conformité avec le RGPD, modérez votre enthousiasme car un long chemin reste à faire ! Arnaud de Chambourcy indique que c’est à ce moment que vous allez « entrer dans le dur en faisant l’état des lieux de la conformité et la cartographie des traitements ». Comparativement aux étapes précédentes, vous entrez dans un process plus classique et certains points de la loi Informatique et Liberté ou de la loi de 1995 vont vous aider à vous rapprocher de la conformité. Ainsi le principe de minimisation des données présent dans le texte doit vous faire vous interroger sur le pourquoi vous conservez et collectez toutes ces données. Se mettre à la place du client est souvent la bonne démarche.

Un travail de fourmi

Interrogé sur la construction des registres évoqués dans la loi, Arnaud de Chambourcy le confirme : « Oui, ce travail est long et consommateur de temps mais il est le moyen de démontrer que le traitement est conforme au texte. » Il s’agit là de documenter le traitement effectué avec sa finalité, les micro-traitements, les petites manipulations qui interviennent dans de nombreux traitements quotidiens comme l’envoi d’une fiche de paie. « Cela doit être réalisé de manière assez fine, sinon vous n’avez pas la capacité de voir où sont les brèches possibles. »

Se faire aider

Arnaud de Chambourcy plaide évidemment un peu pour sa chapelle, mais se faire aider permet de gagner du temps et surtout de s’entourer de compétences juridiques et techniques parfois difficiles à trouver en si peu de temps. Tous les interlocuteurs dans les entreprises de services contactées dans le cadre de ce dossier ont indiqué être sollicitées tous les jours sur la question et que les ressources commencent à manquer pour faire face à toutes les opportunités.

Un impact sur l’organisation

Le travail de mise en conformité peut aussi avoir des impacts sur l’organisation. Le premier est la désignation d’un DPO, Data Protection Officer. Celui-ci doit avoir les moyens et ressources nécessaires pour effectuer sa tâche et mener à bien le chantier vers la conformité. Pratiquement, de nombreux correspondants Informatique et Libertés présents dans certaines entreprises sont souvent le plus à même de remplir ce rôle. Il existe de nombreux guides et possibilités de se faire conseiller ; en premier lieu auprès de la Cnil, qui délivre conseils et documentation.

Le texte n’est pas encore en application et certains points de la réglementation seront précisés par la jurisprudence mais les principes comme le droit à l’oubli, la portabilité des données, le consentement éclairé ne souffriront pas d’exception en Europe. Autant envisager le projet comme une chance et certaines entreprises qui nous ont déclaré être prêtes à la date fatidique voient la démarche comme un atout concurrentiel face à des compétiteurs moins avancés. L’avantage n’est que tactique et ne durera que le temps que les entreprises soient au niveau, mais cela permet de saisir des opportunités.

Article extrait du dossier «RGPD, 1ers retours d'expérience» paru dans L'Informaticien n°167.



Inscription gratuite à la newsletter de L'Informaticien.


Noter cet article (de 1 = Nul à 5 = Excellent) Valider

Offres d'emploi informatique avec  Emploi en France
jooble

Emploi IT

Emploi IT

Avec l’évolution des technologies, portées par le Cloud, les conteneurs, les data sciences et le développement cross-platform, les métiers sont eux aussi amenés à changer. Malt, plate-forme de mise...

Gestion de l'information

Gestion de l'information

La gestion de l’information s’est imposée depuis dix ans comme un pan important de la transformation numérique des entreprises. Comment satisfaire un client si vous ne le connaissez pas finement par des informations...

French Tech FT120

French Tech FT120

83 entreprises sont sélectionnées pour le French Tech 120, où elles siègent aux côtés du Next 40. L’e-santé et le retail y sont surreprésentés, quand la...

AMP

AMP

Lancé par Google, AMP vient récemment de changer de gouvernance. C’est désormais un projet en incubation sous la responsabilité de la fondation OpenJS, elle-même née de la fusion des fondations...

WebAssembly

WebAssembly

Va-t-il réussir là où le Java a échoué ? WebAssembly ne semblait être qu’une solution pour faire tourner du C/C++ dans le navigateur web, une technologie qui séduit et qui pourrait bien avoir...

RSS
Afficher tous les dossiers

COMMUNICATIONS UNIFIÉES : une convergence accrue entre communication et collaboration - Réussir StopCovid ! - Énergie : les datacenters sur le grill - Le lourd poids de la dette technique - GitLab comme solution DevSecOps - Les femmes, avenir de la filière IT ? - Apps de messagerie, attention danger ? - Pôle IA Toulouse...

 

BASES DE DONNÉES : le DBaaS va tout balayer - Gestion de l'information : structurer le non structuré ! - Municipales : la politique se numérise, le numérique se politise - Cybersécurité : les planètes Cyber alignées ! - DevOps : WebAssembly, langage assembleur du Web - AMP confié à OpenJS - Pénurie des formations IA - À la recherche de nouvelles compétences IT...

 

20 TECHNOS pour 2020 et au-delà... : multicloud, rpa, edge&fog, apis, quantique... - La transfo numérique exemplaire d'une PME industrielle - BYOK : chiffrer le Cloud - L'Open Source teinté d'Orange - Mettre de l'intelligence dans l'APM - Le disque dur fait de la résistance - CI/CD as a Service - Digital Campus, n°1 des écoles du numérique...

 

Afficher tous les derniers numéros

Malgré des investissements massifs dans le développement à hauteur de près de 4 milliards de dollars l'année dernière, près de la moitié du temps consacré au DevOps est perdu dans la répétition des tâches et dans la logistique. Ceci fait que 90% des entreprises qui ont adopté ces pratiques sont déçues par les résultats, selon une étude publiée par le Gartner.


Découvrez dans ce livre blanc, les avantages des toutes nouvelles solutions NETGEAR, pour simplifier et rentabiliser vos déploiements, et gérer votre réseau à distance, où que vous soyez, au bureau ou en télé-travail.


OneTrust est une plateforme logicielle innovante de gestion de la confidentialité, de la sécurité des données personnelles et des risques fournisseurs. Plus de 4 000 entreprises ont choisi de faire confiance à cette solution pour se conformer au RGPD, au CCPA, aux normes ISO 27001 et à différentes législations internationales de confidentialité et de sécurité des données personnelles.

OneTrust vous propose de télécharger le texte officiel du Règlement Général sur la Protection des Données (RGPD). Vous aurez également la possibilité de recevoir la version imprimée de ce texte, sous forme de guide pratique au format A5, spiralé, en complétant le formulaire.


Le présent guide d'achat vous aidera à améliorer l'efficacité de votre cloud hybride, en mettant l'accent sur les stratégies de gestion des données dédiées aux applications correspondantes.


Les entreprises et les organismes publics se focalisent aujourd’hui sur la transformation numérique. En conséquence, les DevOps et l’agilité sont au premier plan des discussions autour des stratégies informatiques. Pour offrir ces deux avantages, les entreprises travaillent de plus en plus avec les fournisseurs de services de cloud public et développent désormais des clouds sur site à partir d’une infrastructure qui répond à trois exigences de base:
1. Agilité sans friction des ressources physiques
2. Systèmes de contrôle optimisant l'utilisation des ressources physiques et offrant un retour sur investissement maximal
3. Intégration des divers composants de l'infrastructure pour un provisionnement et une gestion des ressources automatisés.


Tous les Livres Blancs
Derniers commentaires
Un homme tient un smartphone montrant une application de traçage, le 17 avril 2020 à OsloNumérique ou manuel ? Bluetooth ou GPS ? Centralisé ou décentralisé ? Les Etats américains sont divisés sur la méthode à adopter pour développer au mieux le "traçage" des contacts humains et suivre au mieux la progression du coronavirus. [Lire la dépêche...]

Crew Dragon sur une fusée Falcon 9 de SpaceX, le 21 mai 2020 au centre spatial Kennedy en Floride
La Nasa a donné son feu vert vendredi au lancement le 27 mai de deux astronautes à bord d'une fusée SpaceX, étape cruciale pour rompre la dépendance américaine envers la Russie depuis 2011 pour accéder à la Station spatiale internationale (ISS). [Lire la dépêche...]

Les milliardaires américains fondateurs de réseaux sociaux, d'achats en ligne, de plateformes...  se sont enrichis pendant la crise sanitaireLes milliardaires américains continuent de s'enrichir pendant que la pandémie de Covid-19 détruit des dizaines de millions d'emplois aux Etats-Unis, selon des données compilées par deux centres de réflexion.  [Lire la dépêche...]

Un Américain de 32 ans a tué son père alors que ce dernier participait à une rencontre virtuelle sur Zoom, selon la police new-yorkaiseUn Américain de 32 ans a tué son père alors que ce dernier participait à une rencontre virtuelle sur Zoom, premier meurtre connu commis lors d'une réunion sur cette plateforme, a indiqué la police du comté de Suffolk, dans la banlieue new-yorkaise. [Lire la dépêche...]

(ARCHIVES) Une oeuvre de l'artiste de rue Tsim Sha Tsui, à Hong Kong le 31 mai 2019, reprend les personnages du jeu Pac-Man, qui fête en 2020 ses 40 ansIl y a quarante ans apparaissait à Tokyo un nouveau jeu figurant un gros camembert jaune poussin menant des courses-poursuites endiablées avec des fantômes dans un labyrinthe: Pac-Man était né, et il allait devenir le plus célèbre des jeux d'arcade. [Lire la dépêche...]

Mark Zuckerberg, ici à New York le 25 octobre 2019, a présenté jeudi à ses employés et au grand public sa vision pour l'organisation du travail dans son entrepriseLa moitié des employés de Facebook pourraient travailler de chez eux, de façon permanente, d'ici 5 à 10 ans, a annoncé Mark Zuckerberg jeudi lors d'une conférence pour ses employés diffusée en public sur la plateforme. [Lire la dépêche...]

Le président américain Donald Trump répond aux questions des journalistes dans les jardins de la Maison Blanche le 21 mai 2020Le président américain Donald Trump a annoncé jeudi qu'il envisageait de se rendre en Floride la semaine prochaine pour assister à la reprise des vols habités américains après neuf ans d'interruption. [Lire la dépêche...]

Le patron de Facebook Mark Zuckerberg s'est dit Le patron de Facebook Mark Zuckerberg a reconnu que son réseau social était en retard en matière de lutte contre les interférences lors de la présidentielle américaine de 2016 et s'est dit "confiant" de pouvoir "protéger l'intégrité" de la prochaine élection, dans une interview à la BBC jeudi. [Lire la dépêche...]

Toutes les dépêches AFP
AgendaIT

DEVOXX (ANNULÉ)

Devoxx France qui se présente comme la première conférence indépendante pour les développeurs en France tient sa 9ème édition du 1er au 3 juillet 2020 à Paris au Palais de Congrès de la Porte Maillot. Organisée par Quantixx.

BIG DATA

Conférences et exposition sur le Big Data les 14 et 15 septembre 2020 à Paris, Porte de Versailles. Organisé par Corp Agency.

AI PARIS

Conférence, exposition et rendez-vous d'affaires sur l'intelligence artificielle à Paris, Porte de Versailles les 14 et 15 septembre 2020. Organisé par Corp Agency.

RSS
Voir tout l'AgendaIT
0123movie