Le RGPD est désormais en vigueur : le 25 mai, il a remplacé l’ancien dispositif de formalités préalables et introduit de nouveaux droits et obligations. Votre organisation est-elle sur la bonne voie vers la conformité ? Quelles sont les prochaines étapes ?
Pour la plupart, il a été difficile ces 18 derniers mois d’échapper au tapage médiatique et aux sensibilisations liés au RGPD, ainsi qu’ à la foule d’informations sur la manière de s’y préparer au mieux. Pour certaines entreprises, la mise en œuvre des obligations du RGPD s’apparente à une ascension vertigineuse ; de nombreuses organisations se posent des questions de fond « Sommes-nous prêts ? », « Ai-je pris les bonnes décisions ? », « Que pouvons-nous faire de plus ?» voire « Qu’est-ce donc que ce RGPD, exactement ? ».
Regarder autour de soi et chez ses concurrents peut donner une indication sur ce que font les autres, mais ne vous fiez pas au calme apparent de certains, car c’est à l’intérieur des organisations que l’intense travail se déroule. Processus internes, procédures et systèmes d’information ont besoin d’être rigoureusement revus et testés pour devenir conformes au RGPD. Les faiblesses en matière de conformité ne seront pas uniquement décelées par le régulateur, mais aussi par vos clients, par des hackers, et même par vos propres employés ! Ces manquements ne vous exposeront pas seulement à des amendes significatives mais porteront atteinte à la réputation de votre organisation, et affaibliront votre position concurrentielle.
Où en suis-je ?
Pour beaucoup d’organisations, il est difficile d’estimer le chemin restant à parcourir dans ce voyage vers la conformité au RGPD. Pour d’autres, travailler à une gestion plus efficace de la protection des données, fournir une expérience client distinctive, et finalement faire sienne la culture du « respect de la vie privée » (ou « privacy by design ») constituent déjà leurs prochaines étapes.
Quatre champs d’actions principaux ressortent dans la mise en conformité avec le RGPD :
- Vos collaborateurs – Si vos collaborateurs ne comprennent pas les implications de la protection des données, le risque de non-conformité ou de violation sera élevé. Commencez par une formation de base de vos collaborateurs.
- Ce que vous faites – Il s’agit de vous assurer que vous disposez des bons processus en place pour protéger la donnée et par exemple répondre aux demandes d’exercice des droits des personnes. Cela s’applique aussi bien aux données de vos employés qu’à celles de vos clients.
- L’aspect juridique – Malheureusement pour vous, c’est un aspect essentiel, de la définition des politiques jusqu’à la vérification que vos contrats fournisseurs répondent aux exigences RGPD.
- Où est la donnée ? – Comprendre où sont détenues toutes les données personnelles et comment fonctionne le flux de ces données au sein de votre organisation ainsi que sa gouvernance sont essentiels.
Savoir où vous en êtes est la première étape pour se préparer au RGPD. Comme lorsqu’on escalade une montagne, plusieurs chemins permettent d’arriver au sommet, mais certains sont plus durs que d’autres.
La plupart des organisations tombent dans l’un des profils ci-dessous. Quel est le vôtre ?
Schéma 1 - Quel est votre profil ?
Vous savez où vous en êtes, mais de quoi avez-vous besoin pour atteindre le sommet ?
Schéma 2 - Quel chemin prendre ?
Vos employés sont clés
En suivant l’un des chemins évoqués ci-dessus, votre organisation est assurée d’améliorer ses processus, ses politiques et sa protection des données. Cependant, améliorer la prise de conscience chez vos employés est essentiel dans tous les cas, car ils sont à la fois votre clé de voûte et votre talon d’Achille. Même si 60 % des responsables des Systèmes d’Information considèrent leurs équipes comme le plus grand facteur de risque de non-conformité au RGPD, les employés sont essentiels pour atteindre une conformité plus efficace dans la durée. Ceux qui comprennent l’importance de cette nouvelle régulation seront plus enclin à suivre (et orienter) les nouveaux processus mis en place. En retour, ils développeront des produits, des services et une expérience client embarquant la protection des données. En cas de violation des données, les employés sensibles à la protection de celles-ci sont susceptibles d’être proactifs et de cultiver le principe de « respect de la vie privée dès la conception » (ou « privacy by design ») - un point capital du RGPD.
Le moment d’entamer l’ascension
L’ascension vers le sommet n’est jamais facile. En comprenant votre situation actuelle, en choisissant le chemin le plus approprié à suivre, et sur quels domaines vous devez agir, une conformité complète au RGPD peut être atteinte dans un délai raisonnable. En progressant, une série d’autres avantages pourra être identifiée, vous permettant de développer vos employés et d’améliorer votre expérience client. Même si la concurrence s’est déjà lancée, choisir la bonne voie vous aidera à reprendre l’initiative.
