RGPD : Accountability

Les entreprises doivent pouvoir démontrer qu’elles ont identifié, évalué, et encadré leurs risques en matière de protection des données personnelles et prouver ainsi leur conformité au RGPD.

Concrètement, établir une telle gouvernance se traduit, avant toute chose, par une cartographie légale du système d’information et, plus spécifiquement, des données personnelles utilisées et stockées par l’entreprise. Celle-ci doit identifier les risques et y remédier, notamment par la mise en place de procédures, de contrôles et de plans d’actions.

La formalisation d’une documentation interne pourra intervenir dans un second temps.
Cette documentation comprendra notamment :

• Une politique relative à la protection des données à caractère personnel,
• L’exhaustivité du registre des traitements,
• La nomination du DPO le cas échéant,
• Des procédures permettant de prouver que l’entreprise a mis tous les moyens en œuvre pour respecter la réglementation en matière de protection des données personnelles.
  On peut citer :
  • – La procédure relative au traitement des demandes des clients visant à faire jouer leurs droits.
  • – La procédure relative à la notification des violations des données personnelles.
  • – La procédure sur le transfert des données personnelles.
  • – La procédure pour opérer une analyse d’impact.
  • – La procédure assurant le respect des principes de « privacy by design/privacy by default », de minimisation des données.

Enfin, lors de chaque traitement, l’entreprise, aidée de son DPO, devra s’interroger sur les points suivants pour documenter la conformité d’un traitement de données à caractère personnel :

• Finalité du traitement : elle doit être déterminée, légitime et explicite.
• La collecte des données personnelles : les données collectées doivent se réduire aux seules données personnelles adéquates et strictement nécessaires à la finalité du traitement. C’est le principe de minimisation.
• Durée de conservation : une durée de conservation doit être fixée.
• Données sensibles : des données sensibles sont-elles collectées dans le cadre de ce traitement ?
• Sécurité des données : mise en place de mesures permettant la sécurisation des données en fonction de leur sensibilité.
• le droit des personnes : information préalable des personnes sur le traitement et sur leurs droits. Recueil du consentement des personnes, le cas échéant.

Tout manquement, notamment aux droits des personnes, pourra être puni d’une amende allant jusqu’à 20 millions d’euros ou, dans le cas d’une entreprise, 4% du chiffre d’affaires annuel mondial.