Quelles actions de mise en conformité ?
Le principe de privacy by design et by default édicté par le RGPD signifie que tout projet entamé dans l'entreprise, au sens large, doit être soumis à la notion de privacy initiale dans ses process et tout au long de son cycle de vie. Pour ce faire l'entreprise peut mettre en place un cahier des spécifications fonctionnelles et technico-juridiques, rappelant la méthodologie à implémenter pour effectuer une analyse d'impact, la traduction des contraintes juridiques en contraintes techniques et fonctionnelles devant être déployées, etc.
Le principe d'accountability est l'aspect de responsabilisation des entreprises. Celles-ci doivent en effet déployer les mesures organisationnelles et techniques nécessaires pour le respect des dispositions applicables et doivent être en mesure d'en démontrer l'effectivité et l'efficacité. L'accountability impose un formalisme et l'élaboration d'un référentiel documentaire de la part de l'entreprise : politiques et procédures internes pour tous les métiers de l'entreprise, tenue d'un registre des traitements mis en oeuvre (à la place des déclarations à la Cnil imposées jusque-là). La désignation d'un DPO (data protection officer), "superviseur de la donnée à caractère personnel", à vocation à devenir obligatoire dans un certain nombre d'hypothèses.
Quel ROI ?
Les actions de mise en conformité évoquées ci-dessus vont servir à cartographier et recenser les risques pour l'entreprise, qui maîtrisera mieux ses vulnérabilités et sera en mesure de déployer une véritable gouvernance data afin d'anticiper les risques et éviter des sanctions à l'évolution exponentielle (20 millions d'euros ou 4% du CA annuel mondial. En comparaison, Hertz a été condamné, sous l'égide de la loi actuelle, à payer une amende de "seulement" 40 000 euros). "Dans le monde des affaires, le déploiement de ces actions sera synonyme de transparence et de confiance. Une véritable opportunité réside également dans l'intégration de la privacy dans l'évaluation de la RSE qui revêt une importance stratégique et renvoie une image vertueuse génératrice de confiance pour les clients et partenaires, et plus généralement pour l'ensemble de l'écosystème des entreprises", analyse Laure Landes-Gronowski. Enfin, ces actions sont une garantie de bonne répartition effective des responsabilités entre les acteurs, et un avantage compétitif certain pour les appels d'offres et les partenariats. "L'absence de mise en conformité aux dispositions du RGPD peut devenir bloquante dans le cadre des négociations contractuelles, surtout lorsque les parties ne savent pas ce qui est géré ou ne l'est pas", poursuit l'avocate. Les entreprises ont donc tout intérêt à s'y atteler, et rapidement.
