Conseils relatifs au RGPD : pour que la page reste blanche
- Une carte de données aide à la première orientation
Avant l'ère du smartphone, quelle était la première chose que nous faisions lorsque nous nous rendions dans une nouvelle ville ? Très clairement, on se procurait une carte de la ville pour s'orienter. C'est exactement ce que vous devriez faire pour préparer la restructuration de vos données. Rassemblez tous les ingénieurs, responsables de produits et analystes et identifiez ensemble où les données sont collectées ou traitées dans l'entreprise et dans quel but. Ce document servira d'abord d'état des lieux et de feuille de route pour toutes les étapes ultérieures.
- Chasseur ou cueilleur ?
D'une manière générale, le RGPD fait la distinction entre Processeur de données et Contrôleur de données se distinguent les uns des autres. Pendant la Contrôleur de données juridiquement responsable de la saisie et de la génération et qui détermine comment les données peuvent être réutilisées, le Processeur de données n'est responsable que du traitement selon ces mêmes critères. Étant donné que les deux instances sont soumises à des exigences différentes, les entreprises doivent comprendre exactement à quel groupe elles appartiennent. Pour ce faire, vous pouvez toujours demander l'aide d'un conseiller.
- intérêts et justifier d'une base légale pour le traitement.
Le RGPD autorise certains points de départ légitimes pour le traitement des données à caractère personnel. Les deux plus courants sont "l'intérêt légitime" et le "consentement". Le premier s'applique lorsque l'entreprise peut démontrer qu'elle a un intérêt légitime à utiliser les données (par exemple, si son modèle commercial repose sur cet intérêt). Dans le second cas, le traitement est légitimé par le consentement explicite de chaque utilisateur. Dans ce cas, il convient de déterminer, à l'aide de la carte des données, les dispositions dont vous souhaitez tirer parti et de consigner de manière très détaillée les raisons pour lesquelles cela est justifié dans votre cas particulier.
- Celui qui écrit reste
À partir de là, vous devez vous assurer que toutes les opérations de l'entreprise qui concernent le traitement des données à caractère personnel sont enregistrées. Et ce, de manière suffisamment complète et réfléchie pour que vous puissiez passer haut la main un contrôle surprise par un auditeur officiel. Pour cela, il est essentiel que l'auditeur puisse constater que vous avez pris en compte le nouveau règlement de base dans la conception de vos services et produits et que vous les avez réorientés (Privacy by Design) et que tous les collaborateurs qui travaillent directement avec des données sont suffisamment formés.
- Attention au choix du partenaire
Depuis son introduction le 25 mai 2018, vous pouvez être tenu responsable de toutes les pratiques de vos partenaires en matière de traitement des données, au même titre que le partenaire lui-même. En clair, cela signifie que vous devez examiner très attentivement si l'entreprise se prête à une collaboration et si elle agit en conformité avec les directives. Pour ce faire, vous pouvez par exemple vous orienter sur les questions suivantes :
- Qui est responsable de la conformité au RGPD dans l'entreprise ?
- Sur quelle base juridique documentée se fonde le traitement des données ? (consentement/intérêt légitime ?)
- L'entreprise a-t-elle engagé un responsable de la protection des données ?
- L'entreprise est-elle un "contrôleur" ou un "processeur" de données ?
- Comment les demandes d'accès des utilisateurs à leurs données sont-elles gérées ?
- Comment les systèmes sont-ils sécurisés ?
- L'entreprise a-t-elle elle-même identifié les domaines dans lesquels les données sont traitées et les a-t-elle optimisés conformément aux directives ?
- Quelle est la position de l'entreprise sur l'e-Privacy et qu'est-ce qui est prévu à cet égard si le modèle commercial est directement concerné ?
- Proposent-ils le consentement via l'opt-in ?
- Quel est le plan de secours ?
