Quels sont les impacts du GDPR sur l’organisation et le fonctionnement de votre entreprise ?

Les entreprises non conformes s’exposent, à partir du 25 mai 2018, à de lourdes sanctions financières en cas de contrôle de la CNIL. L’amende prévue s’élève à :

• Un maximum de 20 millions d’euros.
• OU 4% du chiffre d’affaires mondial (de l’année passée).

Ces sanctions financières, par leur niveau, dotent la CNIL de moyens très dissuasifs. Le montant des sanctions financières du GDPR renforce, de fait, le pouvoir de la CNIL.

La RGPD impose des règles très strictes en matière de gouvernance des données, et notamment des standards très élevés en matière de sécurisation des données et de respect des droits des personnes. Cela implique, pour les entreprises, de passer d’une logique quantitative à une logique qualitative. Plus les quantités de données collectées sont importantes, plus importants sont les risques. Une gestion optimale des risques implique de se recentrer sur les données les plus pertinentes et les plus récentes, sur les données nécessaires à l’atteinte des objectifs business. C’est ce que le règlement GDPR appelle la « minimisation des données ». La notion est mentionnée à plusieurs reprises dans le texte. Elle est traduite en anglais par « data minimization ». Pour les entreprises, la minimisation des données impliquent de :

• Recenser toutes les données à disposition de manière systématique.
• Nettoyer la base de données : faire le tri dans les données et supprimer les données inutiles ou périmées.
• Revoir la stratégie de collecte de données en se recentrant sur les données créatrices de valeur.

Le premier impact « global » réside bien là : forcer les entreprises à se doter d’une nouvelle philosophie de la data. Le GDPR oblige les entreprises à rationaliser leur collecte et leur traitement des données à caractère personnel.

A cette nouvelle philosophie de la data minimization est associée une nouvelle méthode ou approche : le « Privacy By Design ». Si le Privacy By Design n’est certainement pas une approche nouvelle, il est explicitement mentionné dans la RGPD et rendu obligatoire (GDPR, article 25). Le Privacy By Design est le nom de l’approche qui consiste à se préoccuper des enjeux de protection de la vie privée – et donc des données personnelles numériques – dès la phase de « design », c’est-à-dire dès la conception d’un produit (ou d’un service). Une application, par exemple, devra respecter les exigences du GDPR dès le jour de son lancement. La protection des données ne pourra plus être considérée comme un à-côté, comme un « add-on ». Le Privacy By Design implique de faire de la protection des données une priorité absolue, prise en compte tout en amont des phases de développement des produits ou services. Dans la pratique, l’approche « Privacy By Design » consiste, pour le responsable des traitements, à mettre en œuvre des « mesures techniques et organisationnelles appropriées », comme par exemple la pseudonymisation, qui permet de dissocier les données des personnes physiques auxquelles elles sont rattachées. Il s’agit aussi de garantir que, par défaut (Privacy By Default), seules les DCP (Données à Caractère Personnel) nécessaires aux objectifs du traitement seront traitées. En cela, le Privacy By Design est inséparable de la « Data Minimization » dont nous avons parlé plus haut. Privacy By Design et Data Minimization poursuivent deux objectifs identiques : responsabiliser davantage les entreprises sur les enjeux de protection des Données à Caractère Personnel, et offrir aux personnes un niveau de protection maximum de leurs données.

La RGPD impose de nouvelles exigences en matière de consentement. Au niveau de la collecte, les demandes devront être formulées en des termes simples et clairs. Le consentement devra résulter d’un acte positif et explicite de la part de l’utilisateur. Une case cochée par défaut ou une inactivité ne pourront plus valoir accord. Enfin, le consentement pourra être retiré à tout moment. Très concrètement, cela va obliger les entreprises à revoir la formulation des consentements et des informations légales, à mettre en conformité les formulaires, à encadrer le recours au profilage, etc. Plus largement, les changements au niveau des règles de consentement et transparence vont impacter les modes de collecte de DCP et imposer à toutes les entreprises une révision de leur plan de collecte.

Comme nous l’avons vu dans l’article consacré à ses définitions et son périmètre, le GDPR se donne pour objectif de renforcer les droits des personnes et le contrôle des personnes sur les données à caractère personnel les concernant. La RGPD redéfinit des droits déjà existants et en consacre de nouveaux :

• Droit d’information sur la finalité de la collecte et la nature des traitements. Ce droit résulte du renforcement des exigences en matière de transparence.
• Droit d’accès : toute personne, en vertu de l’article 15, aura le droit d’obtenir la confirmation que ses données sont traitées ou non, et d’accéder à ses données traitées. Ce droit découle aussi du principe de transparence. Les entreprises devront mettre en place des dispositifs, des interfaces et des outils permettant de garantir le droit d’accès, en facilitant l’accès des utilisateurs aux données.
• Droit de rectification : toute personne pourra obtenir que les données inexactes soient rectifiées, et les données incomplètes complétées. Cela implique des changements organisationnels du côté des entreprises, pour garantir ce droit « dans les meilleurs délais ».
• Droit à l’oubli (= droit à l’effacement) : toute personne pourra demander l’effacement de ses données après avoir retiré son consentement. Si le responsable des traitements a rendu les données publiques, il devra informer les autres responsables des traitements et leur demander de les effacer.
• Droit à la limitation du traitement, dans certains cas.
• Droit à la portabilité : toute personne aura le droit, dans certains cas, de recevoir, dans un format structuré et facilement utilisable, les données la concernant, afin de les transmettre, le cas échéant, à un autre responsable des traitements.
• Droit d’opposition, qui permet à la personne de s’opposer au traitement des données la concernant.

Les entreprises devront mettre en place des procédures et des outils permettant l’exercice de ces droits. Ce qui implique des changements organisationnels et techniques plus ou moins importants selon l’état de la gouvernance des données des entreprises.

Le GDPR étend le champ de la responsabilité des responsables des traitements – et donc des entreprises. Pour responsabiliser les entreprises, le GDPR oblige ou encourage (selon les cas) les entreprises à désigner un Data Protection Officer (DPO). Cette mesure est au cœur du GDPR. La désignation d’un DPO est obligatoire pour les entreprises traitant des données sensibles ou à grande échelle. Elle est encouragée pour les autres. Le rôle du DPO ?  S’informer sur les nouvelles obligations, conseiller le responsable des traitements, assister les décideurs sur les conséquences des traitements, en réaliser l’inventaire et piloter la mise en conformité. Il sera le véritable chef d’orchestre de la mise en œuvre du GDPR au sein des organisations. Pour en savoir plus sur le DPO, nous vous recommandons la lecture de cet article. Sous le contrôle et sur les conseils du DPO, le responsable des traitements devra veiller à :

• Renforcer la sécurisation des données.
• Evaluer les risques liés au traitement des données, en procédant le cas échéant à des analyses d’impact en amont.
• Documenter les traitements effectués. Le GDPR oblige toutes les entreprises à tenir un registre des traitements à jour.
• Notifier les failles de sécurité dans un délai de 72 heures.
• S’assurer que les sous-traitants fournissent des garanties suffisantes et respectent les obligations du GDPR

Le GDPR conseille aux entreprises la conception d’un code de conduite (article 24), afin de diffuser, dans l’organisation, les nouvelles pratiques en matière de traitement des données. L’augmentation des obligations du responsable des traitements et le renforcement de ses responsabilités vont obliger les entreprises à revoir de fond en comble leur gouvernance des données. Les mesures liées à la responsabilisation des entreprises sont sans aucun doute les plus impactantes à moyen terme. Finalement, la RGPD implique un changement profond de culture. Les réticences et les appréhensions des entreprises concernant le GDPR sont en partie justifiées : on passe clairement d’un monde de libertés, où l’encadrement du traitement des données personnelles était limité, à un mode plus contraignant. Mais aussi un levier de différenciation et un moyen d’offrir un maximum de garanties à ses clients.  A nous d’en faire une opportunité pour une Relation Clients plus forte et performante !