L’évaluation de la conformité | 1ère partie

Dans l’épisode précédent, on vous présentait comment réaliser un état des lieux « RGPD »… Vous l’avez-fait ? Ça y est ? Et est-ce que vous avez aussi procédé à l’évaluation de conformité ?  

Quoi ?? Encore une étape ?! Ça n’en finira donc jamais !? Eh bien… 

Une mise en conformité représente un cercle vertueux que l’on peut décomposer en quatre étapes assez classiques : le PDCA. 

• Plan  
• Do  
• Check  
• Act 

Ou en français : planifier, réaliser, évaluer, agir. 

Alors avec l’état des lieux on était un petit peu dans la partie planification mais on n’en est pas tout à fait sorti. Avant de pouvoir réaliser quoi que ce soit, il faut bien évaluer l’existant et mettre en place le ou les plans d’action. 

L’évaluation de conformité reposera en fait sur l’évaluation du respect des principes fondamentaux du RGPD : ceux de l’article 5. Et ce, pour toutes les activités de traitement que vous aurez recensées lors de l’EDL … On vous voit venir… « Mais c’est sans fin ! » Ou alors « mais je n’y connais rien moi, comment je dois m’y prendre ?? » 

Pour la première question : une mise en conformité quand on part de zéro prendra effectivement du temps et ses étapes seront parfois amenées à être répétées, jusqu’à ce que les bonnes habitudes restent. 

Sur la seconde question : si le RGPD est pour vous un réel casse-tête, il vous faudra un pilote (on vous en reparlera plus tard).

Admettons donc que vous êtes accompagnés par un expert ou que c’est vous l’expert : notre évaluation par traitement commence avec les 4 premiers points de l’article 5. 

Toute activité de traitement de données est loyale, licite et transparente, et les données sont collectées pour des finalités déterminées, explicites et légitimes et sont adéquates, pertinentes et limitées à ce qui est nécessaire, et enfin, sont exactes et tenues à jour.  

Il s’agira donc de vérifier que pour chacune de vos activités de traitement :  

• Vous disposez d’un ou de plusieurs objectifs licites que vous pourrez justifier au cas par cas ; 
• Pour chaque objectif, vous utilisez les données strictement nécessaires et vous veillez à ce que les données inutiles soient détruites le cas échéant, et les infos inexactes ou devenues obsolètes, mises à jour ou supprimées selon la situation. 
• Chacune de vos activités repose sur la bonne base juridique : vous traitez des données en vertu d’obligation légale, dans le cadre de l’exécution de contrat, avec le consentement des personnes, etc.  
• Et enfin, pour chaque activité de traitement, il existe bel et bien une mention d’information dont il faudra vérifier le contenu (mais ça, on en reparle au prochain épisode) 

Entre temps si vous avez des questions n’hésitez pas à nous contacter !

Articles similaires

Article RGPD Minute RGPD

Le RGPD en mutation : ce que les projets « Omnibus » pourraient changer pour votre organisation

Depuis son entrée en vigueur en 2018, le Règlement Général sur la Protection des Données (RGPD) est la pierre angulaire de la conformité des données en Europe. Pourtant, la Commission européenne a récemment ouvert un chantier inattendu : une simplification potentielle des règles, non seulement via la modification du RGPD, mais aussi de l'ensemble du droit numérique.

Lire la suite

Article RGPD Minute RGPD

OpenAI lance ChatGPT Atlas : le navigateur qui agit à votre place

OpenAI vient de dévoiler ChatGPT Atlas, son tout nouveau navigateur web intégrant directement son célèbre chatbot. Avec Atlas, OpenAI réunit deux outils en un seul : un navigateur web et un assistant conversationnel. Le résultat ? Un compagnon d’écran qui ne se contente plus de vous aider dans une fenêtre dédiée, mais vous suit partout sur le Web.

Lire la suite