Notez que chez Koban, nous ne parlons pas RGPD tous les matins au café. Mais il nous a semblé important de faire une piqûre de rappel sur ce sujet pour plusieurs raisons. D’une part c’est un sujet d’intérêt, j’en veux pour preuve le pic incessant des visites web sur nos articles en rapport sur notre blog et surtout car ces visites démontrent à quel point vous n’êtes pas prêt. Et pourtant, le Règlement Général sur la protection des données est entré en vigueur il y a six mois. À notre grand désarroi, peu de nos clients se sont effectivement emparé du sujet… Car il ne suffit pas de se dire que son fournisseur CRM est français pour être en conformité ! (Oui, Koban est 100% français.)
Si vous n’êtes toujours pas en conformité six mois après le mise en application du RGPD, trois raisons principales :
- Vous n’avez pas le temps de vous en occuper,
- Vous ne savez pas comment vous y prendre et par où commencer,
- Vous pensez (encore) que vous n’êtes pas concerné.
Nous ne prendrons pas le temps ici de vous convaincre de “l’intérêt” d’être conforme… car le texte entré en vigueur le 25 Mai s’applique aux entreprises de toutes tailles qui collectent et opèrent un traitement de données personnelles. Nous parlons des données personnelles relatives aussi bien aux clients, fournisseurs, employés.
Donc, parlons peu, mais parlons bien ! Le texte est entré en vigueur en Mai, il est temps d’agir. Vous le savez pertinemment puisque comme tout le monde, vous recevez vous-même une floppée d’emails pour recueillir votre consentement à la conservation de vos propres données…
Vous n’avez pas le temps
La bonne nouvelle, c’est que vous savez qu’il faut s’en occuper. C’est d’ailleurs un point de votre todo liste que vous replanifiez systématiquement. Or, à six mois de l’entrée en vigueur, cela devient urgent. Du coup, vous allez déléguer le sujet au nouvel arrivant dans votre entreprise qui maîtrise un tant soit peu le digital… Mauvaise idée… Quitte à déléguer, il existe un certain nombre d’organismes agréés pour accompagner votre mise en conformité. Bien entendu il faudra prévoir un budget et c’est encore la meilleure option si vous souhaitez être conforme rapidement. Car soyons honnête, vous ne trouverez jamais le temps et cela sera moins cher que l’amende prévue en cas de contrôle.
Vous ne savez pas comment faire ni par où commencer
Là aussi, si vraiment cela fait 6 mois que vous cherchez comment faire, nous vous recommandons de faire appel à un(e) juriste ou expert(e) agréé(e) pour mener à bien ce chantier. Car de deux choses l’une, soit vous avez été désigné d’office DPD (Délégué à la protection de la donnée) au sein de l’entreprise en n’ayant aucune compétence requise pour cela, soit votre entreprise ne dispose vraiment d’aucune ressource budgétaire pour déléguer la mission. L’un dans l’autre, on vous l’accorde ça ne vous explique pas par où commencer… Je ne saurais que trop vous recommander de vous rendre sur le site de la CNIL qui a édité plusieurs guides et boîtes à outils très bien faits et accessibles à tous.
Pour vous aider concrètement, voyons simplement les étapes essentielles pour votre mise en conformité (sachant que vous disposez d’un maximum d’informations directement sur le site de la CNIL).
6 étapes pour se préparer au RGPD : https://www.cnil.fr/sites/default/files/atoms/files/pdf_6_etapes_interactifv2.pdf
Désigner un pilote
Il est important de désigner un ou plusieurs responsables de la donnée, qui seront garants de leur protection et du processus de respect de la vie privée durant tout le cycle de vie de la donnée.
Cartographier vos traitements de données personnelles dans un tableau excel
Faites par l’inventaire de vos données en vous posant les simples questions :
- Quelles données collectez-vous ?
- Quels types de données ? Personnelles, publiques, génériques, nominatives…
- Où les collectez-vous ? Cloud, serveur, SaaS…
- Où sont-elles localisées ? Europe, Asie, US, France…
- Comment les collectez-vous ? Achat, déclarées (formulaires), comportementales…
- Pourquoi les collectez-vous ? Marketing, prospection, fichier client, statistiques, publicités…
- Quel usage en faites-vous ? Marketing, commercial, administratif…
- Combien de temps les conservez-vous ? Annuel, mensuel, usage unique…
- Qui accède aux données ? Toute l’entreprise, un responsable, un sous-traitant, personne…
Prioriser les actions
Après avoir identifié les traitements de données personnelles mis en œuvre, vous devez, pour chacun d’eux, identifier les actions à mener pour vous conformer aux obligations actuelles.
Gérer les risques
Si vous avez identifié des traitements de données personnelles susceptibles d’engendrer des risques élevés pour les droits et libertés des personnes concernées, vous devrez mener, pour chacun de ces traitements, une étude d’impact sur la protection des données.
Organiser les processus internes
Pour garantir un haut niveau de protection des données personnelles en permanence, mettez en place des procédures internes qui garantissent la protection des données à tout moment, en prenant en compte l’ensemble des événements qui peuvent survenir au cours de la vie d’un traitement de données personnelles (par exemple : faille de sécurité, gestion des demandes de rectification ou d’accès, modification des données collectées, changement de prestataire etc.).
Documenter la conformité
Pour prouver votre conformité au règlement, vous devez constituer et regrouper la documentation nécessaire. Les actions et documents réalisés à chaque étape doivent être réexaminés et actualisés régulièrement pour assurer une protection des données en continu.
Mettez à jour votre site web !
N’oubliez pas un élément essentiel de votre mise en conformité : il ne s’agit pas seulement de garantir et sécuriser le traitement des données par l’établissement d’un registre mais également d’appliquer la conformité à la collecte des données que vous effectuez. Vous devez obtenir et prouver le consentement de la personne pour le recueil et l’usage des données personnelles. Pensez donc à mettre à jour votre site web pour les mentions d’informations obligatoires (cookies et formulaires).
