Entrée en application du RGPD dans moins d’un mois – Il n'est pas trop tard pour se mettre en conformité: conseils pratiques.

Le Règlement européen n°2016/679 sur la protection des données personnelles adopté le 27 avril 2016 (dit "RGPD" ou "GDPR") entrera en application le 25 mai 2018.

Si votre société n’est pas prête, il est grand temps d’entamer un processus de mise en conformité.

1.Recensez vos traitements de données

Bien que l’obligation de tenir un registre de traitements ne soit obligatoire que pour les sociétés de plus de 250 salariés, il est fortement recommandé de constituer un tel registre afin d’avoir une vision d’ensemble de vos traitements et d’être en mesure d’apporter la preuve de votre conformité au RGPD en cas de contrôle de la CNIL (principe d’ « accountability »).

Vous devez en conséquence recenser :

- Les différents traitements de données personnelles,

- Les objectifs poursuivis par les traitements de données (par exemple : la gestion des clients et prospects, l’établissement de la paie des salariés, la gestion des candidatures…) ;

- Les catégories de données personnelles traitées ;

- Les différents acteurs (internes ou prestataires sous-traitants externes) qui traitent ces données ;

- La durée de conservation de ces données ;

- Les flux de données en indiquant l’origine et la destination des données, afin notamment d’identifier les éventuels transferts de données hors de l'Union européenne.

L’établissement du registre des traitements est un bon moyen de vous interroger sur la pertinence des données :

- les données traitées sont-elles nécessaires à votre activité ?

- des données sensibles sont-elles traitées (données de santé, opinions syndicales, politiques, religieuses…) ?

- les données sont-elles conservées pour la seule durée pour laquelle vous en avez besoin ?

- les mesures de sécurité appropriées sont-elles mises en place ?

C’est également l’occasion d’améliorer vos pratiques, notamment en mettant en place une politique de durée de conservation des données et en minimisant la collecte de données.

2. Assurez le respect des droits des personnes

Le RGPD renforce les droits des personnes concernées notamment en terme d’information et d’accès aux données.

Il convient donc de vous interroger sur l’information des personnes concernées :

- les formulaires de contact comportent il des mentions d’information ? ;

- cette information est-elle claire, exhaustive et transparente ?

Pour mémoire, l’information doit viser les éléments suivants :

- quelle est la finalité du traitement ?

- sur quel fondement juridique êtes-vous autorisé à traiter les données ?

- qui accède aux données ?

- quelle est la durée de conservation des données ?

- quels sont les droits des personnes et comment les personnes concernées peuvent-elles les exercer ?

- les données sont-elles transférées hors de l’UE ?

La rédaction d’une politique de confidentialité peut vous permettre de renvoyer utilement les personnes concernées vers un document reprenant l’information de manière exhaustive.

Outre l’information des personnes, il convient que vous mettiez en place une procédure interne permettant aux personnes concernées d’exercer facilement et effectivement leurs droits : sur quelle boite e-mail est réceptionnée la demande d’accès? Qui traite la demande ? Comment y répond-on ? Dans quel délai ?

3. Sécurisez vos données

Il vous appartient, en tant que responsable de traitement, de sécuriser les données que vous traitez contre les risques d’intrusion, de perte et de piratage.

Cela implique de :

- mettre en place des mesures techniques et organisationnelles en interne afin de garantir au mieux la sécurité des données ;

- revoir les contrats avec vos sous-traitants afin de reporter sur ces derniers la même obligation de sécurisation des données et de notification d’éventuelles failles de sécurité.