Se mettre en conformité RGPD

Se mettre en conformité RGPD
Minute RGPD Vidéo

Épisode 1 – L’état des lieux

Dans les 6 étapes de la CNIL pour se mettre en conformité, une étape cruciale ressort : cartographier vos traitements de données à caractère personnel. D’une certaine manière, il s’agit de faire un état des lieux.  

Un état des lieux ?

Comme lorsque vous avez emménagé dans votre premier appartement ? … Eh bien oui pourquoi pas, ça y ressemble un tout petit peu. 

Côté location, comme le nom l’indique, l’état des lieux (EDL pour faire court) permet de produire un document descriptif faisant l’inventaire d’un espace (on y notera l’état d’usure du lieu, les biens mobiliers présents, etc.). En matière RGPD, l’EDL permet de faire l’inventaire des activités de traitements d’un organisme, ce qui permettra par la suite d’évaluer ces activités. 

Comment réaliser un EDL ? 

Au sein d’un organisme, en s’appuyant sur l’organigramme, on commencerait par identifier les différents services ou pôles présents (RH, commercial, marketing, qualité, etc.) et par services on pourrait commencer à lister les différentes activités du service. Et après ? 

Une question primordiale, sera de vérifier si l’on traite bien des données à caractère personnel pour chacune de ses activités. Si ce n’est pas le cas, on les sortira de l’EDL. Si c’est bien le cas : continuons. 

Pour chaque activité, il faudra récupérer les informations suivantes : 

  • Pourquoi traite-t-on les données : quels sont les objectifs du traitement, ses finalités ? 
  • Quelles données utilise-t-on ? On prendra le soin de les distinguer (données courantes, données sensibles) 
  • Qui a accès aux données ? Etape importante : il faudra lister les différents acteurs (destinataires internes et externes : sous-traitant, partenaire, responsable conjoint, etc.) et rassembler les contrats correspondants ! (Contrat de travail, engagement de confidentialité, contrat de prestation de services, conventions, etc.) 
  • Où sont les données ? Sont-elles traitées sur le territoire de l’Union européenne ? Espace Schengen ? En dehors ? Ces éléments seront également à consigner précieusement et nous seront utiles pour l’évaluation à suivre. 
  • Pour combien de temps les données sont-elles utilisées ? Les archive-t-on ? Comment sont-elles détruitespurgées ?  

Et enfin : 

  • Quelles sont les mesures de sécurité appliquées à chacune de ces activités de traitements ?  

Pour garder le fil, n’hésitez pas à utiliser un modèle de registre des activités de traitement. Ceux fournis par la CNIL sont des trames fiables qui vous permettront de cartographier vos activités et de faire un premier état des lieux. 

Et après ? Eh bien… On vous parle de l’audit au prochain épisode 😉 Abonnez-vous pour ne rien manquer ! 

Partager l'article

Articles similaires

Minute RGPD : DPO : L’Open Data
Actualité Minute RGPD

Minute RGPD : DPO : L’Open Data

Les sanctions et mises en demeure ont été nombreuses, notamment dans le secteur médico-social. Des sociétés d'aide à domicile, un chirurgien-dentiste, et une entreprise éditant un site sur la santé et le bien-être ont été sanctionnés pour divers manquements. 
Lire la suite
Minute RGPD : DPO : préparez votre rentrée !
Actualité Minute RGPD

Minute RGPD : DPO : préparez votre rentrée !

Les sanctions et mises en demeure ont été nombreuses, notamment dans le secteur médico-social. Des sociétés d'aide à domicile, un chirurgien-dentiste, et une entreprise éditant un site sur la santé et le bien-être ont été sanctionnés pour divers manquements. 
Lire la suite