FIDDAYS - Comment mettre en place le RGPD au sein de sa société ? GDPR ou RGPD - Règlement général sur la protection des données N°19 - Salle A - 11h00 / 12h00 Olivier HOULET - Data Protection Officer certifié Mutualisé ATYPICOM

1. Fidaquitaine© - Atypicom© - RGPD Consulting© 4/07/2018
Comment mettre en place
le RGPD au sein de sa société ?
N°19

3. Fidaquitaine© - Confidentiel
LE RGPD : POURQUOI ?

4. Fidaquitaine© - Confidentiel
RGPD ET NOUS … CITOYENS
Des principes simples …
pour nos données privées
Individus
Propriétaires
de leurs données
droits
pour contrôler
leurs utilisations
Organisations
dépositaires
temporaires
Responsable
Utilisations
Confidentialité & Sécurité

5. Fidaquitaine© - Confidentiel
DONNÉES A CARACTERE PERSONNELLE (DCP)
Toutes informations
(directes ou indirectes)
relatives à une personne physique
permettant de l’identifier ou de la rendre identifiable
supports papier ou numérique …
comportements
détails d’utilisation
adresse IP
Plaques
immatriculations
Géolocalisation
Photos
Vidéos
ContactsImages
Images
Cartes
de visite
Profilage
NIR
Permis
de conduire
Données
génétiques
Données
biométriques
adresses
physiques
Nom & prénom

6. Fidaquitaine© - Confidentiel
DCP DITES SENSIBLES
Données à Caractère Personnel
sensibles
attentions et règles
particulières
Origine
raciale
Appartenance
syndicale
Origine
ethnique
Convictions
religieuses
Positions
philosophiques
NIR
Données
de santé
Données
biométriques
Données
génétiques Vie
sexuelle
Orientation
sexuelle

7. Fidaquitaine© - Confidentiel
TRAITEMENTS
Traitements
Toutes opérations automatisées ou non
appliquées à des données
ou à des ensembles de Données à Caractère Personnel
Organisation
Structuration
Utilisation
Consultation
Adaptation
Modification
Collecte
Enregistrement
Conservation
Rapprochement & Interconnexion
Diffusion
Communication
par transmission
Extraction
Limitation , effacement
& Destruction

8. Fidaquitaine© - Confidentiel
RGPD, ÇA CONCERNE QUI ?

9. Fidaquitaine© - Confidentiel
RGPD : ENJEUX
Confiance numérique
Responsabilité sociétale
RGPD,
socle & visibilité
de l’engagement
Entrepreneur d’aujourd’hui
Transparence Traçabilité
Responsabilité
Application & sous-traitance

10. Fidaquitaine© - Confidentiel
RGPD : RISQUES
CAC
Nouvelles normes
de contrôle
ACHATS
Nouveaux critères
Déférencement
REPUTATION
Dégradation /
engagement sociétal
AMENDES CNIL
Contrôle
ou réclamations
ACTIONS PENALES
Membres de
l’écosystème
DENONCIATIONS
Concurrents
ou autres

11. Fidaquitaine© - Confidentiel
CONFORMITE EN 5 ETAPES
3
Registre des traitements
Mise en conformité
4
RGPD
Sensibilisation
& formation
5Animation & Evolutions
DPO
Existant / RGPD
Etat des lieux
2
1
Nomination officielle CNIL
Informations internes & IRP
Data Protection Officer

12. Fidaquitaine© - Confidentiel
I. DPO : OBJECTIFS
Interagir si besoin
avec l’autorité de contrôle
Présenter un rapport &
évaluation des risques
annuelles
Assurer les médiations avec
les “personnes concernées”
Etablir & maintenir la
documentation de conformité
Informer et sensibiliser
Diffuser une culture RGPD
Veiller au respect
du cadre légal RGPD
Supporter, responsabiliser
les acteurs et alerter son RT
Analyser, investiguer,
auditer, contrôler

13. Fidaquitaine© - Confidentiel
I. DPO : MISSIONS
DPO
Interne
DPO
Externe
DPO Interne
• Salariés à disposition
• Maîtrise du temps affecté
Risques Conflit d’intérêt
(PDG, DG, DAF, DRH, DSI, Dirco, DirMkg)
• Capacité à avoir une vision ’Business’
• Capacité à interagir avec une Direction
Générale
DPO Externe
 Prestataire spécialisé mutualisé
 Veille continue et permanente sur le RGPD
Approche projet
 Angle de vue externe, hors du jeu politique interne
 Coordinateur projet, arbitrage entre les services
 Professionnels de la donnée et du droit
 Approche business, expérience globale
 Compétences définies par le RGPD et lignes directrices G29 (WP 243)
 Rattachement au plus haut niveau de l’organisation
 Indépendance requise par rapport au Responsable de traitements
 Attention aux conflits d’intérêt (interne & externe)

14. Fidaquitaine© - Confidentiel
II. ETAT DES LIEUX - OBJECTIFS
01Responsable de Traitements
Co-traitant & Sous-traitant
Qualifier le périmètre
Données & Traitements
Cartographier
02
03les traitements
Analyser & Qualifier
Risques juridiques,
Confidentialité & Sécurité
des données
Evaluer04
05Préconisations & priorisations
des actions à mener
Définir
Analyser les écarts
entre l’existant et la conformité RGPD

15. Fidaquitaine© - Confidentiel
II. ETAT DES LIEUX - METHODES
Interviews
des processus métiers de l’organisation
Gérer confidentialité
& sécurité
Organiser
la chaîne de valeurs
Structurer et garantir
Les relations
Traitements réalisés
et conséquences
Analyser
les collectes

16. Fidaquitaine© - Confidentiel
II. ETAT DES LIEUX - LIVRABLES
A partir
des processus métiers
Etat des lieux
Plan d’action
2
Itération des …
Non-conformités
Risques
Evolutions à prévoir
Régulations s/traitants
Conformité des outils
Préconisation priorisation
Registre
des traitements
Déclinaison
du Registre des traitements
3
CR Entretiens
Compte-rendus d’entretien
normalisés
Envoyés
aux interviewés
et chef de Projet
1

17. Fidaquitaine© - Confidentiel
III. ORGANISER LA CONFORMITÉ
1Harmoniser
la gestion des DCP
Mettre à jour
la documentation juridique
(Préconisations indicatives)
2
3Elaborer
le registre des traitements
Mettre en musique
le RGPD dans son organisation
Construire les process
(accompagnement)
4
5Organiser
la gouvernance de la donnée
(accompagnement)

18. Fidaquitaine© - Confidentiel
III. REGISTRE DE TRAITEMENTS
Finalités du traitement
Fondement(s) juridiques
Principales & Secondaires
Description
DCP concernées
Catégorie
Description
Durée de conservation
Niveau de risques (et/ou DCP sensibles)
Etudes d’impact éventuelles
Personnes concernées
Catégorie de personnes principales
Catégorie de personnes secondaires
Description
Destinataires
Internes & externes
Liste des destinataires
Description
Sous-traitances réalisées
Nature & détails ST
Supports associés
Documents papier
Logiciels
Bases de données
Service(s) en charge du traitement
Identification du service
Nom(s) des responsables
Responsable(s) des droits d’accès
Responsable(s) des réclamations
Mesures de sécurité
Organisationnelles & Techniques
Règles de confidentialité
Modalités effacement / Destruction
Modalités stockage (lieux et modalités)
Transfert hors UE
Qualification & pays
Organisme destinataire
Description

19. Fidaquitaine© - Confidentiel
III. MISE A JOUR DOCUMENTATIONS LEGALES
Canaux
numériques
Formulaire de contact
Charte Confidentialité - RGPD
CGU - CGV
RH
Règlement intérieur
Avenants contrat de travail
Consentement et charte candidats
Avenant intérimaires – stagiaires – prestataires
Traçabilité sensibilité & formation
Achats
Formalisation des co-traitances
Avenants clauses sous-traitance
Contrôle présence fonctionnalités RGPD
Collecte des Registre des activités de sous-traitance
Marketing & Ventes
Intégration licéité RGPD par contrats
Gestion des emailings (opt out)
Procédures commerciales RGPD
Juridique
Formulaire de consentements
Mentions d’information
Registre des traitements
Organisation des droits d’accèsInformatique
Charte utilisation moyens informatiques
Charte Administrateurs
Habilitations confidentialité
Plan de sécurité informatique
Si transfert de données à l’étranger
CCT (clause contractuel type)
BCR (clauses contraignantes groupe)

20. Fidaquitaine© - Confidentiel
IV. SENSIBILISATION & FORMATION
Formation des salaries
gérant des DCP
Formation au process métiers
dans le contexte métier
Direction Générale
Compréhension
des principes et des enjeux
Tous les salariés
Intégration des enjeux
RGPD pour l’entreprise
Sensibilisation Formation
Signature des avenants
au contrat de travail

21. https://www.atypicom.fr/

22. FIDAQUITAINE - Confidentiel
2
2

23. 23
3 av. Georges Clemenceau 33150 CENON
05 56 40 94 20
26 rue Chanzy 24000 PERIGUEUX
05 53 46 65 16
www.FIDAQUITAINE.com
ENSEMBLE,
C U L T I V O N S V O T R E R É U S S I T E !