Tout savoir sur le DPO : missions et formations

Depuis l’entrée en vigueur du règlement général pour la protection des données personnelles ou RGPD, les entreprises ou administrations doivent faire appel à un DPO ou Data Protection Officer. Dans cet article vous allez découvrir ses missions et les formations à suivre pour devenir un DPO.

Qu’est-ce qu’on entend réellement par DPO ?

Le délégué à la protection des données est par définition la personne en charge de la protection des données personnelles dans une structure privée ou publique. En effet, le DPO a un rôle très important dans l’application des mesures proposées par le RGPD. Son rôle principal étant d’assurer la conformité au règlement européen concernant la protection des données pour les traitements mis en œuvre dans une entreprise.

Pourquoi mettre en place un DPO ?

Le délégué à la protection des données a pour premier objectif de faire respecter le droit des données personnelles au sein d’une entreprise de toute forme. Il remplit plusieurs fonctions prévues par le RGPD comme celle d’informer les collaborateurs dans un organisme. Il va également contrôler le respect des règlements, du droit national et européen en matière de protection des données personnelles et répond aux questions des personnes concernées tout en assurant les communications avec la CNIL.

Comment s’exercent les fonctions du DPO ?

Le DPO doit garantir les droits et les libertés fondamentaux des personnes dont les données ont été collectées et traitées dans un organisme. Il doit tout faire pour que l’exercice des missions du Data Protection Officer se fasse dans les meilleures conditions. L’entreprise doit ainsi octroyer des moyens suffisants et assurer l’indépendance du DPO dans ses fonctions.

En quoi consistent les missions du DPO ?

Le DPO doit d’abord s’assurer de la mise en conformité de l’entreprise au RGPD. Il remplit également d’autres missions comme :

  • cartographier les traitements de données personnelles ;
  • participer à l’élaboration d’un règlement interne pour protéger les données ;
  • faire un recensement des activités en lien avec le traitement des données de l’organisme.

Dans quelle mesure la responsabilité du DPO est engagée ?

La responsabilité du DPO peut être engagée en cas de non-conformité au règlement général pour la protection des données personnelles. Il sera tenu co-responsable avec le responsable du traitement ou le sous-traitant le cas échéant. Cependant, il n’a pas de pouvoir de décision concernant les moyens de traitement des données. À noter qu’il est indépendant par rapport aux autres collaborateurs de l’entreprise. Dans ce cas, le responsable du traitement ne peut pas le suspendre de ses fonctions.

Dans quels cas le DPO est obligatoire ?

Le RGPD rend obligatoire la désignation du DPO dans des structures précises comme :

  • les autorités publiques sauf les juridictions dans leurs fonctions juridictionnelles ;
  • les organismes qui ont une activité de suivi régulier des personnes de grande ampleur ;
  • les organismes qui traitent des données sensibles concernant des condamnations pénales.

Quant aux entreprises qui traitent les données personnelles, la désignation du DPO est simplement recommandée, mais pas obligatoire.

Les conditions de désignation du DPO

Pour désigner un DPO, il faut qu’il ait les compétences demandées. Il doit également disposer de moyens suffisants pour accomplir ses missions et agir en toute indépendance.

Sa désignation se fera sur le site web de la CNIL avec des informations comme le numéro SIREN et ses coordonnées.

Formation pour devenir DPO

Avec l’entrée en vigueur du RGPD, le métier de DPO a connu un essor important. Comme de nombreuses offres d’emploi sont proposées sur le marché du travail, les professionnels doivent se former à cette fonction.

La formation est-elle obligatoire ?

Selon le RGPD, le DPO est désigné sur la base de certaines qualités professionnelles en particulier sur les connaissances spécialisées en matière de protection des données personnelles. Ainsi, il n’y a pas de formation obligatoire par rapport à ce métier puisqu’il n’est pas une profession réglementée comme celle d’avocat ou de notaire.

Les différents types de formation

La première formation en ligne est celle de type MOOC pour acquérir les fondamentaux et pratiques en lien au RGPD vous permettant de connaitre les bases de la mission du DPO.

Les formations webinaires donnent accès à des outils pédagogiques pour augmenter vos compétences tandis que les formations en présentiel proposées par des organismes spécialisés. La durée de ce type de formation varie de 2 à 15 jours. La seule condition est d’avoir une expérience professionnelle dans le domaine du droit ou l’informatique.

La certification est-elle obligatoire ?

Il a deux types de certification :

  • la certification de l’organisme de formation agréé par la CNIL comme Adaliance qui propose une formation RGPD et DOPO certifiantes ;
  • la certification de la formation.

Cependant, il existe des formations non certifiantes comme celles proposées par un MOOC. Vous pouvez quand même devenir un DPO avec ce type de formation sans certification. Dans tous les cas, il est recommandé de privilégier les formations DPO certifiantes dont la durée de validité d’une certification est de 3 ans.

Les modalités de mise en conformité RGPD

Si vous n’avez pas accompli les démarches pour la mise en conformité au règlement général sur la protection des données (RGPD), il faut savoir que la période de grâce accordée par la CNIL s’est terminée fin mars 2021. La mise en conformité en question doit donc être une priorité pour les entreprises pour éviter les sanctions. Cet article va vous aider à comprendre les différentes étapes à suivre pour la mise en conformité RGPD.

Recensement des traitements des données

Le RGP impose à votre entreprise d’avoir un responsable de traitement de données. Ce dernier doit avoir une vision globale de l’ensemble des données personnelles collecté et traité au sein de l’organisme privé ou public. Le registre est tenu, en principe, par le délégué à la protection des données ou DPO. Sa mise en place étant prévue par le RGPD. Il va ainsi recenser :

  • les informations concernant le responsable du traitement et le DPO ;
  • la finalité poursuivie pour chaque traitement de données ;
  • les catégories de personnes concernées par la collecte ;
  • les personnes habilitées à avoir droit à l’accès des données et à qui elles seront transférées ;
  • la durée de conservation des données en archive ;
  • les mesures de sécurité ;
  • les transferts de données personnelles en dehors de l’Union européenne.

Pour assurer la mise à jour des données, il faut être en contact permanent avec toutes personnes de la collectivité qui peuvent traiter les données.

Effectuer un tri des données

Avec le registre des fichiers, vous pouvez traiter la pertinence des données et l’objectif poursuivi. En effet, les données doivent nécessairement être liées à vos activités. Vous pouvez, pendant cette étape de tri, va améliorer vos pratiques notamment en minimisant la collecte de données en éliminant les informations inutiles. Le RGPD impose de redéfinir la personne qui pourra accéder aux données dans votre entreprise. Il est également important de définir les modalités d’effacement ou d’archivage automatique.

Le registre doit aussi vous permettre de vérifier la nature des données traitées pour prendre des mesures de sécurité adaptées aux risques spécifiques. De plus, vous devez prendre l’engagement de ne pas conserver les données au-delà de ce qui est nécessaire en fixant précisément cette durée de conservation.

Permettre aux administrés d’exercer leurs droits

Avec le nombre croissant de plaintes au niveau de la CNIL, il est indispensable dans la mise en conformité au RGP de prendre des mesures pour permettre aux administrés d’exercer leurs droits.

Informer les personnes lorsque vous traitez leurs données personnelles

Quand les données personnelles sont recueillies et traitées sur un formulaire ou un téléservice, vous avez l’obligation d’informer les personnes concernées des conditions d’utilisation de leurs données et de leurs droits. L’entreprise doit ainsi fournir des informations concernant :

  • les coordonnées du responsable du traitement ;
  • la finalité de la collecte des données, ce qui vous autorise à faire le traitement ;
  • le consentement des personnes propriétaires des données ;
  • la durée de conservation des données ;
  • l’existence d’un sous-traitant ;
  • le transfert des données dans un pays hors de l’UE ;
  • la protection des données.

A noter qu’il est recommandé de donner ces informations en fin du formulaire en ligne notamment dans la partie politique de confidentialité.

Faciliter l’exercice des droits par les administrés et agents

Les agents, administrés et prestataires, ont des droits sur leurs données personnelles. Le RGPD vous oblige à permettre à ces personnes d’exercer leurs droits :

  • le droit d’accès aux informations que vous détenez sur eux ;
  • le droit de rectification, c’est-à-dire la modification de leurs informations ;
  • le droit de faire opposition sur l’utilisation des informations détenues par votre entreprise ;
  • le droit à la portabilité avec la possibilité de récupérer leurs données sur un format ouvert et lisible par machine ;
  • le droit à la limitation sur leurs informations personnelles.

Il faut savoir que ces droits consacrés par le RGPD ont chacun leurs exceptions et leurs limitations en fonction de la base légale de traitement ou du contexte.

L’obligation de recueillir le consentement RGPD

C’est une obligation prévue par le règlement général sur la protection des données. En effet, ce consentement va autoriser le traitement des données personnelles. Il est défini par le RGPD comme une manifestation de volonté libre et éclairée non équivoque. En d’autres termes, la personne accepte par un acte positif le traitement de ses données. Le RGPD ajoute des garanties complémentaires concernant le consentement comme le droit au retrait, la preuve du consentement apportée par le responsable du traitement. Dans ce cas, la CNIL peut recommander la tenue d’un registre des consentements.

La sécurisation des données

Le risque zéro est impossible dans le domaine informatique, cependant, vous devez prendre les mesures nécessaires pour le limiter. La protection consiste à réduire les risques de perte ou de piratage. Il est donc impératif de prendre des mesures préventives comme la mise à jour des antivirus ou des logiciels de manière périodique. Les failles de sécurité peuvent donc avoir des conséquences sur les personnes propriétaires des données et votre entreprise.

Formation RGPD : en quoi ça consiste réellement ?

Depuis 2018, le RGPD ou Règlement Général sur la Protection des Données s’applique à l’ensemble des entreprises se trouvant sur le territoire de l’Union européenne qui collecte ou stocke des données personnelles. Dans ce cas, une formation en RGPD est une nécessité pour se conformer à la nouvelle réglementation. En effet, une simple déclaration à la CNIL n’est plus suffisante. Dans cet article, vous allez découvrir en quoi consiste cette formation.

Les raisons de suivre une formation RGPD

Que vous soyez un étudiant, un salarié, un demandeur d’emploi ou un chef d’entreprise, voici les principales raisons de suivre une formation RGPD.

Pour des raisons juridiques

La première raison est qu’il faut impérativement respecter la loi. Le RGPD s’applique aux PME, grandes entreprises, associations, organismes publics, e-commerçant. Ce sont des secteurs d’activités qui recueillent plusieurs millions de données personnelles à l’aide d’un site internet, par exemple. Ils ne doivent pas ignorer la loi et doivent s’y mettre en conformité. Ainsi, chaque programme de formation doit aussi s’adapter à chaque type de public.

Des sanctions en cas de non-respect du RGPD

Les sanctions prévues par la CNIL sont lourdes, car elles peuvent atteindre 20 millions d’euros et 4 % du chiffre d’affaires annuel de l’entreprise.

Plusieurs critères sont pris en compte pour déterminer le montant des amendes comme la gravité de l’infraction, le type de données collectées et l’intention fautive de l’organisme, négligence ou violation volontaire.

Les mesures prises pour atténuer les fautes et se mettre en conformité sont aussi des facteurs importants pour fixer les amendes.

Une formation RGPD à distance

Les formations à distance ou en ligne sont faites pour les personnes voulant apprendre à leur rythme. Elles peuvent ainsi se faire sous forme de vidéo, de visioconférences complétées par des supports pédagogiques sous forme électronique.

Vous devez ainsi avoir un support de navigation comme une tablette, un smartphone ou un ordinateur connecté à internet pour rejoindre une formation en ligne.

En quoi consiste la formation RGPD ?

La formation RGPD a plusieurs objectifs notamment une meilleure compréhension de cette réglementation. Pour y arriver, il est important de connaitre les personnes concernées et le contenu de celle-ci.

À qui s’adresse la formation RGPD ?

La formation RGPD s’adresse aux collaborateurs internes d’une entreprise concernée par le traitement de données personnelles comme les ressources humaines, marketing, comptabilité et informatique. Les dirigeants, les responsables juridiques et DPO entrent également dans la sensibilisation RGPD. Les sous-traitants de l’entreprise doivent aussi respecter le Règlement Général sur la Protection des Données. À noter qu’aucun prérequis n’est demandé pour pouvoir suivre la formation.

Les objectifs de la formation RGPD

Les objectifs pédagogiques de la formation sont de :

  • comprendre les enjeux du RGPD par rapport au fonctionnement des entreprises ;
  • maîtriser les formalités obligatoires du RGPD ;
  • mettre le RGPD en pratique ;
  • désigner un DPO : délégué à la protection des données ;
  • connaitre les caractères juridiques du RGPD ;
  • comprendre les sanctions encourues.

Le programme de formation RGPD

Le programme de formation RGPD se divise en plusieurs parties qui sont :

  • l’introduction au RGPD c’est-à-dire l’historique et la présentation ;
  • les notions essentielles sur la protection des données notamment le principe de la minimisation du traitement et transparence ;
  • les obligations en lien avec le RGPD dont la nomination DPO, la mise en place d’un registre d’activités ;
  • l’analyse de l’impact du traitement des données notamment les normes de sécurité et la gestion des droits des personnes ;
  • les exercices et les évaluations par rapport à la progression pédagogique du participant.

Les conditions pour obtenir une certification DPO

Pour passer l’examen de certification DPO, il faut justifier d’une expérience professionnelle de deux ans au moins ou d’avoir suivi une formation de 35 heures sur la protection des données.

Vous pouvez également faire certifier vos compétences de DPO auprès d’un organisme agréé par la CNIL comme ANFOR certification.

Quant à l’examen, il se fait sous forme de QCM pendant deux heures. Pour réussir cet examen en question, le candidat doit avoir un score de 75 %, avec un minimum de 50 % de bonnes réponses sur la réglementation, la responsabilité et la sécurité.

Recourir à des prestataires ayant une certification de la CNIL

Pour garantir la qualité de la formation RGPD les prestataires doivent respecter un référentiel de critères fixés par la CNIL. Ainsi, le respect de ces critères permet d’avoir :

  • des compétences définies par la CNIL ;
  • des contenus de formation mise à jour ;
  • des intervenants mobilisés selon leur capacité à répondre aux objectifs de la formation.

Il faut savoir que le référentiel comporte plusieurs critères divisés en thématiques. A titre d’exemple, l’identification des besoins des intervenants, les conditions de réalisation et de la conception de la formation.

Pour conclure, d’autres organismes ont une certification Bureau Veritas en raison de leur compétence approfondie concernant les techniques et la législation sur la protection des données personnelles. Dans tous les cas, pour votre formation certifiante rgpd, il est recommandé de faire appel à un prestataire reconnu comme Adaliance.

RGPD : de quoi s’agit-il ?

Le RGPD a pour but de protéger les données personnelles. En effet, avec le développement des technologies, les informations vont circuler plus facilement entre différents acteurs comme les organismes publics ou privés. Il est donc devenu indispensable à l’échelle européenne de mettre en place un règlement général sur la protection des données. Mais de quoi parle-t-on réellement ?

Que signifie RGPD ?

Le RGPD ou Règlement général sur la Protection des Données est un texte européen entré en vigueur en mai 2018. Son objectif principal est d’encadrer de la même manière tous les traitements de données à caractère personnel en Europe. Néanmoins, il reprend plusieurs dispositions de la loi CNIL ou informatiques et libertés de 1978. Une réglementation qui est déjà dans la législation européenne.

Quant à l’entrée en vigueur du RGPD sur le territoire européen, elle s’est faite en deux étapes. D’abord, le 14 avril 2016 avec l’adoption du texte par le parlement européen et sa promulgation au Journal Officiel quelques jours après. Cependant, son application au niveau de chaque pays a été décalée de deux ans pour 2018. C’est une période durant laquelle les organismes étatiques ou privés en charge du traitement des données personnelles se préparent et adaptent les dispositions du RGPD.

Ainsi, depuis le 25 mai 2018, le non-respect du Règlement général sur la Protection des Données va entrainer des sanctions.

Les sanctions en cas de non-respect du RGPD

Le non-respect des règles du RGPD expose les organismes contrevenants à des sanctions de différentes natures :

  • Des mesures correctrices pour compléter les sanctions administratives. Dans ce cas, la CNIL pourra délivrer un avertissement, une mise en demeure, ou une suspension temporaire.
  • Les sanctions administratives prononcées par la CNIL en fonction de la gravité et la durée de la violation. Des amendes sont fixées.
  • Les sanctions pénales sont prises par les États membres. En France, elles sont prévues par le Code Pénal pour détournement de finalité du traitement des données.
  • La condamnation au versement de dommages et intérêts pour l’organisme à l’origine de la violation du RGPD.
  • La publicité de la violation commise par l’entreprise ordonnée par la CNIL.

RGPD : qui est concerné ?

En principe, le Règlement général sur la Protection des Données s’applique à toutes les formes d’organisation qui effectue un traitement de données personnelles. Ainsi, cette organisation peut se trouver sur le territoire de l’Union européenne ou cible des résidents européens.

Le RGPD concerne également les entreprises installées dans l’UE qui stockent les données personnelles. Dans ce cas, il n’est pas obligatoire que la collecte des données soit leur activité principale ou qu’elle soit effectuée pour le compte d’une autre entreprise. À noter que cette réglementation s’applique, quelle que soit la taille de l’organisme, privé ou public. Son application ne dépend pas également du chiffre d’affaires.

Le RGPD s’applique aussi aux sous-traitants des entreprises se trouvant sur le sol européen ou en dehors. La réglementation a posé le principe de la coresponsabilité des deux entités : entreprise et sous-traitants à cause des données à caractère personnel remises aux prestataires. À noter que le règlement doit être respecté même si les données des citoyens européens sont stockées dans un pays hors Europe.

Qu’est-ce qu’on entend par sous-traitant RGPD ?

Selon la CNIL, le sous-traitant est défini comme une entité traitant des données personnelles pour le compte et sous les ordres d’un responsable de traitement. La RGPD le définit comme une personne physique ou morale qui détermine les méthodes de traitements des données à caractère personnel.

Les activités du sous-traitant en matière de traitement des données peuvent gérer des campagnes marketing, gérer la paie, servir d’hébergement web ou déployer une solution informatique. Néanmoins, il est important de savoir que les fabricants de matériels informatiques et les éditeurs de logiciels n’ont pas la qualité de sous-traitant.

Les objectifs du RGPD

Le RGPD a plusieurs objectifs dont en voici les plus importants.

Harmonisation de la réglementation sur les données personnelles

Avec le contrôle des données personnelles, notamment en harmonisant la juridiction européenne et en supprimant les différences de réglementation des pays. En d’autres termes, l’objectif est d’avoir un seul cadre juridique applicable à tous les pays membres de l’UE.

Renforcement du droit des citoyens

L’objectif du RGPD est de renforcer le droit des citoyens majeurs ou mineurs en matière de données personnelles en simplifiant la compréhension des règlements dans les entreprises. Ainsi, il est obligatoire d’informer les mineurs sur l’utilisation de leurs données et les raisons du stockage. Le RGPD a octroyé des droits au citoyen : le droit d’accès, de rectification, d’opposition et d’oubli par rapport à leurs informations personnelles traités par des entreprises ou organismes tiers.

Protection accrue des données personnelles

Le dernier objectif du RGPD est de favoriser la responsabilité des entités concernée pour mettre en place un climat de confiance. Pour cela, les entreprises doivent construire des sites internet conformes au Règlement général sur la Protection des Données. Elles doivent ainsi rendre compte à tout moment, garantir la transparence de l’utilisation des données en utilisant une cartographie des traitements.

Recourir à un consultant externe en sécurité informatique et en cyber sécurité

Malgré le fait que la numérisation du monde offre de nombreuses possibilités aux entreprises, cette situation a également contribué à l’augmentation des risques liés à la cybersécurité. Plusieurs facteurs peuvent contribuer à l’augmentation des cyberattaques notamment l’utilisation et le développement de l’e-commerce ou le transfert des données en ligne. Ainsi, ces différentes situations ont rendu la sécurité informatique de l’entreprise au centre de nombreux enjeux qu’il est important de comprendre. L’une des solutions est de faire appel à un consultant externe à l’entreprise spécialisée en cybersécurité.

Cybersécurité en entreprise : un sujet d’une brûlante actualité

La cybersécurité couvre un large domaine qu’il est important de maîtriser avant de pouvoir se protéger efficacement.

Qu’est-ce qu’on entend par cybersécurité ?

La cybersécurité peut se définir comme une stratégie qui a pour objectif de réduire les risques d’une cyberattaque et ses effets sur une entreprise et de se faire une protection des réseaux et les systèmes que vous utilisez. En d’autres termes, elle vise à protéger les ressources numériques des entreprises contre le piratage informatique des données ou les cyberattaques. La cybersécurité va donc utiliser des technologies, des modes de contrôles divers de vos informations sensibles. En plus, elle vise à empêcher l’accès non autorisé aux stockages des données dans des supports physiques, disques dur ou en ligne dans un cloud.

À noter que la cybersécurité diffère de la sécurité de l’information qui couvre un domaine plus vaste comme les versions papier des fichiers.

Les différents types de cyberattaques

Il existe deux principaux types de cyberattaques : externes et internes.

Les attaques externes causées par des tiers malveillants se font par l’usage des logiciels qui vont percer votre défense et installer des programmes indésirables dans votre réseau. Les pirates informatiques ont également recours au phishing qui consiste à envoyer des mails avec des liens nuisibles qui peuvent donner accès à des informations sensibles de votre entreprise.

Quant aux attaques internes, elles sont dues en majorité à des erreurs de manipulation intentionnelle d’un salarié. La divulgation par mégarde des informations sensibles voire leur suppression est également possibles. Dans certains cas, des employés vont abuser de leur droit d’accès pour détruire des fichiers importants de l’entreprise.

Cyberattaque : les risques pour l’entreprise

Les conséquences des risques numériques sont nombreuses sur l’activité de l’entreprise et sa situation financière. Les cyberattaques peuvent ainsi entraîner :

–          un ralentissement ou l’arrêt total des activités de l’entreprise à l’origine d’un chômage technique et de perte financière ;

–          une atteinte à l’image et la réputation de votre entreprise en cas de vol de données sensible au sein de votre société. Les clients vont donc perdre leur confiance et ne vont plus faire appel à vos services ;

–          des frais supplémentaires pour faire face à la crise et reconstituer les données volées ou détruites ;

–          Des sanctions sont aussi à prévoir dans le cadre du RGPD ou Règlement Général sur la Protection des Données en cas de non-respect des règles de sécurisation.

Les responsabilités au niveau de l’entreprise

L’entreprise est responsable civilement de son patrimoine informatique. Elle a l’obligation de veiller à la sécurité.de ses données et doit ainsi prendre toutes les précautions utiles pour assurer la sécurité des fichiers. Un contrôle est effectué par la CNIL pour faire respecter le RGPD.

Pour le chef d’entreprise, la défaillance de son système d’information va engager sa responsabilité au niveau pénal et civil. Il doit ainsi prendre des mesures techniques et d’organisation appropriée contre les risques internes ou externes. Sa responsabilité est engagée en raison de sa faute ou mauvais usage de son système informatique.

Pour le salarié, sa responsabilité est engagée dès qu’il commet une faute lourde dans l’exécution de ses missions. Une faute caractérisée par l’intention de nuire à l’employeur ou à l’entreprise. Il est responsable envers les tiers s’il agit en dehors de ses fonctions. À noter qu’en cas de délégation de pouvoir à un responsable de sécurité informatique, sa responsabilité ne peut être mise en cause que s’il est prouvé qu’il a commis une faute dans l’exercice de ses taches.

Les avantages de faire appel à un consultant externe en cybersécurité 

Pour faire face à la complexité de la mise en place du processus de gouvernance des risques et de la sécurité des données, des entreprises ont choisi d’externaliser cette fonction. En effet, faire appel à des spécialistes en cybersécurité offre de nombreux avantages et le coût reste raisonnable face aux risques immenses que ce type d’attaque fait courir à l’entreprise.

Ce type de consultant va s’adapter aux besoins et au budget de votre entreprise. C’est une solution de confort qui va également répondre aux attentes en termes de sécurité informatique. Le consultant en cybersécurité peut notamment vous accompagner dans le recrutement d’un nouvel employé dans le domaine de l’informatique.

D’autres services peuvent aussi être externalisés comme l’expertise de vulnérabilité, la surveillance des menaces et la gestion des équipements de sécurité. Un audit est effectué pour accompagner votre entreprise afin de mieux faire face aux problématiques liées à la sécurité informatique. L’expert va proposer une formation en sécurité informatique à vos collaborateurs pour vous aider dans la mise en place de votre projet.

En dernier lieu, il y a le service de conseil qui disponible pour vous aider à mettre en place une charte informatique sur mesure pour votre entreprise. Elle vise à définir les conditions dans lesquelles les salariés doivent utiliser leur matériel personnel et professionnel à l’extérieur de l’entreprise. Elle fixe également les modalités de connexion au système d’information de la société. Ainsi, il est interdit de faire certains usages comme le téléchargement de logiciel ou l’utilisation d’une adresse mail personnelle. L’usage d’internet est également précisé dans la charte en interdisant l’accès à des sites à risques.

Enfin, le consultant externe en sécurité informatique a bénéficié d’une formation dans le domaine de la confidentialité des données personnelles utilisées par l’entreprise conformément aux dispositions du RGPD en Europe et surtout en France.

Quelle formation suivre pour devenir DPO et obtenir une formation certifiante RGPD ?

La mise en conformité au RGPD ou règlement général sur la protection des données passe nécessairement par la mise en place d’un délégué à la protection des données ou DPO dans une entreprise. Depuis l’entrée en vigueur du RGPD, le métier de DPO connaît un essor important avec l’augmentation du nombre d’offres d’emploi dans ce domaine. Ainsi, de plus en plus de professionnels se sont lancés dans ce secteur. Mais comment se former au métier de DPO ? Et quelle formation suivre ?

L’objection de la formation DPO : se préparer à la certification

Depuis la mise en place du RGPD en 2018, la désignation d’un DPO ou data protection officier est devenu obligatoire dans les organismes, entreprises privées ou public lorsqu’ils sont amenés à traiter des données personnelles sensibles des particuliers. Le DPO est donc considéré comme un acteur majeur de la mise en conformité au RGPD et doit ainsi disposer de connaissances spécialisées du droit et des pratiques en matière de protection des données.

L’AFNOR est le premier organisme agréé par la CNIL pour certifier les compétences du délégué à la protection des données. La certification est ainsi un vecteur important de confiance pour les clients, fournisseurs ou collaborateurs.

La formation DPO a pour finalité de préparer l’homologation en mettant en condition réelle le candidat avant de passer l’examen de certification. Le rgpd formation lui permet de faire face aux différents types de questions et lui permettant de s’organiser avec un programme de révision afin d’avoir toutes les chances de réussir l’examen grâce  à un examen blanc.

Label et référentiel CNIL

Avec l’entrée en application du règlement européen à la protection des données, la CNIL a dû mettre de nouveaux outils de conformité pour assurer sa mission de labellisation.

Le label de la CNIL désigne la reconnaissance d’un produit ou d’un service comme conforme à la loi sur l’informatique et liberté. Il est délivré en fonction de référentiel adopté par l’organisme ou publié par le Journal Officiel. Son intérêt est, pour les entreprises ou administration d’avoir un cadre éthique, mais surtout juridique. Ainsi, il s’agit d’un avantage certain par rapport à la concurrence et un indicateur de confiance pour les entreprises vis-à-vis de leurs clients.

Le référentiel de la CNIL, quant à lui, est une liste d’exigences ou de conditions pour obtenir un label. Ces critères ont pour but d’évaluer la conformité de la sécurité, de la procédure de collecte ou de traitement des données personnelles par rapport à la réglementation en vigueur en France ou dans l’Union européenne.

Les objectifs pédagogiques et les compétences à acquérir pour la formation en RGPD

Les objectifs de la formation certifiante rgpd sont nombreux.

Pour devenir un DPO vous devez, d’abord, comprendre les enjeux de la protection des données et le cadre de la réglementation à un haut niveau de compétences pour présenter la certification opérée par les organismes accrédités par la CNIL. Le rgpd formation est un bon moyen d’insérer les outils de conformité dans les entreprises. Le DPO doit  alors savoir construire et maintenir les preuves de cette conformité.

Les objectifs pédagogiques du programme formation rgpd vont également permettre de conseiller les responsables de traitements sur la conduite et la gestion des études d’impacts sur la vie privée PIA ou les moyens de sécurisations et de contrôle des données.

Enfin, le DPO aura des compétences pour mettre en place un plan d’action afin d’accompagner l’entreprise dans sa conformité RGPD. L’acquisition d’un comportement respectueux par rapport aux droits des données personnels est aussi un objectif prioritaire de cette formation.

Le déroulement et les formations en RGPD

Il est important de savoir qu’aucune formation précise n’a été définie par la CNIL ou le RGPD. Ainsi, il existe plusieurs dispositifs de formations pour acquérir des compétences en DPO.

Les formations à distance ou en ligne

Les formations en ligne ou webinaire sont de types MOOC. Ils ont pour rôle d’aider à l’acquisition de savoirs fondamentaux et pratiques sur le RGPD ainsi que les droits à la protection des données personnelles. C’est la solution la plus pratique pour les personnes qui découvrent le fonctionnement du métier de DPO. Cette formation permet d’avancer à votre rythme bien qu’elle soit très intéressante pour les PME ou associations en raison de leur caractère synthétique.

La formation en ligne permet d’aller à l’essentiel pour se familiariser avec les missions du DPO. À noter que ce type de formation webinaire est accessible en replay pour trouver un moyen d’améliorer les compétences en matière de RGPD.

Les formations en présentiel

Ce sont des formations courtes permettant de connaître toutes les informations à savoir sur le RGPD et les missions du DPO. La durée des formations est en moyenne de 3 à 15 jours. Cependant, l’accès à ce type de formations est souvent conditionné à un niveau d’études ou expérience professionnelle en lien avec le droit et/ou l’informatique.

Des formations peuvent aussi être sectorielles dédiées à la santé ou aux collectivités territoriales. Dans tous les cas, le caractère de choix de l’organisme de formation dpo dépend en grande partie par l’agrément de la CNIL.

Les formations longues

Les formations longues sont proposées par les grandes écoles comme le CNAM ou les universités. Elles sont dédiées au terme en référence au délégué à la protection des données personnelles. L’université de Sciences Po va, à titre d’exemple, offrir un certificat DPO en collaboration avec un cabinet d’avocat. À noter que c’est la CNIL qui délivre le label CNlL formation.

En quoi consiste le métier de DPO ?

Pour comprendre le fonctionnement du métier de DPO, il est important de comprendre ses missions. Sa première mission consiste à informer et conseiller le responsable du traitement, les sous-traitants et collaborateurs de l’entreprise en charge de la collecte des données.

Il doit également contrôler le respect du RGPD en mettant en œuvre des mesures techniques et d’organisation appropriées pour assurer la conformité des traitements d’informations et doit dispenser des conseils sur demande après l’analyse de l’efficacité de la protection des données.

Pour garantir l’exercice de sa fonction de DPO, il doit jouir d’une certaine autonomie. En effet, il ne reçoit aucune instruction de la part du responsable de traitement sur la façon de traiter une affaire par exemple.

Le DPO a aussi pour rôle de conseiller au niveau de l’entreprise. Il n’est pas responsable de la conformité de la société au RGPD. Cette responsabilité ne peut non plus lui être transmise par délégation de pouvoir. Il est presque impossible d’engager sa responsabilité civile dans l’exercice de ses missions encadré par la loi en vigueur.

Pour conclure, le DPO est obligatoire lorsque l’entreprise a pour principale activité de traiter les données. Il joue un rôle central de coordinateur entre les différents services de la société.

Comment se mettre en conformité RGPD ?

La mise en conformité au Règlement Général sur la Protection des Données ou RGPD a pour objectif d’avoir un niveau de protection suffisant face aux risques de divulgation des données personnelles. Le RGPD est un enjeu majeur pour les organismes étatiques, les citoyens et les entreprises. Ainsi, en cas de plainte, ils pourront démontrer que toutes les mesures ont été prises pour parer les atteintes aux droits des internautes. La sécurisation des données personnelles porte à la fois sur le plan juridique et surtout technique. Dans cet article, vous allez découvrir les différentes étapes de la mise en conformité RGPD notamment au sein d’une entreprise.

La nomination d’un data protection officer ou DPO

Pour répondre à la question comment se mettre en conformité avec le rgpd, la première étape consiste à désigner un homme ou une femme qui va incarner le RGPD dans l’organisme ou l’entreprise. Le DPO doit ainsi avoir des compétences juridiques et techniques pour manipuler les données personnelles de votre structure.

En plus, le délégué à la protection des données ou data protection officier doit être un bon communiquant capable de résister aux pressions. C’est un poste rattaché à la direction générale, mais qui va délivrer en toute indépendance des recommandations pour être en conformité avec le règlement général sur la protection des données personnelles.

À noter que si nommer un DPO n’est pas obligatoire, il est conseillé de désigner un référent en charge du projet RGPD dans l’entreprise. Cependant, les PME pourront recourir à des prestataires spécialisés externes comme les avocats ou consultants (DPO externalisé ou mutualisé).

La constitution d’une cartographie ou registre du traitement des données

La seconde étape consiste à cartographier l’ensemble des données personnelles, informatisées ou sur papier, traité dans l’entreprise. Cette étape va identifier les processus concernés par le RGPD pour avoir une idée de leur niveau de conformité à ce dernier en les soumettant à une étude d’impacts. Les entreprises doivent disposer d’un registre des activités de traitement qui doit, par exemple, contenir les différents types de traitements effectués, les données recueillies ou utilisées, les acteurs traitant les données et les conditions d’exécution du traitement.

Dans cette étape, il est possible d’effectuer un audit des traitements qui peut se faire soit par l’analyse de licéité si les finalités respectent réellement la réglementation du RGPD. Quant à l’audit de l’organisme, il s’agit des droits des personnes concernées, la gestion des sous-traitants ou la sécurité informatique qui traite les informations dans la société. Dans la majorité des cas, il est préférable de confier la tenue du registre au délégué à la protection des données ou DPO. La mission de ce dernier consiste à le mettre à jour périodiquement. Ce travail préliminaire, par rapport au registre de traitement et leur utilisation, peut être demandé par la CNIL.

Le tri des données

Le tri des données est une étape qui entre dans la compliance rgpd. Il met en avant la collecte des données jugées uniquement nécessaires au traitement par l’entreprise. Les organismes privés ou publics doivent respecter le principe de minimisation des données en question. Des critères ont donc été mis en place pour chaque fiche de registre afin de répondre à des vérifications comme la pertinence des données, le traitement des données sensibles qui ne doivent pas faire apparaître les informations sur les origines raciales, opinions politiques ou religieuses voire l’orientation sexuelle.

La détermination de la finalité des traitements des données personnelles

Le RGPD pose une obligation par rapport aux traitements de données personnelles notamment pour déterminer leur finalité. L’exemple classique est la collecte d’information d’internautes ou de futurs prospects par l’intermédiaire d’un formulaire sur un site internet dont le but est la prospection commerciale pour vendre un produit ou un service. La finalité déclarée d’un traitement va donc fixer la limite. Il est, de ce fait, interdit de traiter les données avec une finalité incompatible.

En plus, les objectifs de traitements doivent être déclarés dans le registre des traitements pour être portés à la connaissance des personnes concernées.

Enfin, la durée de conservation des données va dépendre en grande partie de son utilisation bien qu’il soit interdit de les conserver pendant un laps de temps trop long.

La détection des risques majeurs sur les données

Les pratiques au sein de l’entreprise peuvent contribuer à favoriser les risques pour les droits et libertés des individus. Il est donc indispensable de mener une étude d’impact ou PIA sur les mesures qui menacent la vie privée des personnes concernées comme le contrôle des accès ou gestion des droits et habilitations.

La réussite d’un programme de conformité suppose l’identification des risques au regard de l’existant en référence aux travaux pour arriver à un niveau de protection adéquat. En ce sens, pour gérer correctement les risques, une étude d’impact sur la protection des données doit nécessairement passer par l’organisation des documents.

Établissement d’un plan d’action

Pour réaliser la conformité avec le rgpd, il est important après la phase cartographie d’établir un calendrier d’actions de contrôle ou de correction par rapport aux objectifs ou les contraintes en lien avec la gestion des risques. En effet, sur la base de l’état des lieux, un plan d’action doit être mis en œuvre. Pour cela, il faudra engager des travaux informatiques pour sécuriser les données comme une anonymisation ou un chiffrement. Ensuite, vous devez vous assurer de ne collecter que les données nécessaires à votre activité. Il faut aussi déterminer la base juridique pour collecter des données. En d’autres termes le titre juridique qui donne le droit à votre entreprise de traiter les données pouvant se matérialiser par un contrat nécessitant le consentement du client.

La mise en conformité rgpd concerne aussi les sous-traitants considérés comme coresponsables au regard de la réglementation européenne. Dans ce cas, les contrats fournisseurs doivent avoir une clause précisant leurs nouvelles obligations et responsabilités. Cette obligationen question concerne également les prestataires en dehors de l’Union européenne lorsqu’ils gèrent les données des citoyens européens.

Enfin, la planification des actions doit comprendre la sécurisation des systèmes de récupération et de stockage des données.

Organisation des processus de gestion internes

Pour augmenter le niveau de protection des données personnelles en permanence, il convient de mettre en place une gouvernance spécifique pour garantir l’intégrité de ces données, de la collecte à leur suppression. Pour y parvenir, vous devez créer des procédures internes qui assurent la prise en compte de la protection des données à tout moment en ne négligeant aucune situation lors du traitement comme les failles de sécurité, la gestion des demandes de modification d’accès ou le changement de prestataire externe.

Durant ce processus, le personnel avec les personnes concernées par la collecte des données doit être tenu informé. Ensuite, des procédures obligatoires doivent être mises en place comme celui de la gestion des exercices des droits de la personne ainsi que la protection des données. Ils doivent connaître les procédures à suivre en cas de violation de données personnelles ou de contrôle par la CNIL.

La conformité rgpd n’est pas une image fixe, mais il convient de le maintenir durant un temps déterminé en faisant, par exemple, des audits réguliers et obligatoires.

L’obligation d’informer les clients et collaborateurs de l’entreprise

Avec le RGPD, les entreprises doivent renforcer leur obligation d’information et de transparence envers les utilisateurs. C’est dans cette optique que des supports ou mentions d’information doivent préciser les raisons de la collecte, les entités ou personnes qui autorisent le traitement et la durée de conservation des données.

Le transfert des données en dehors de l’Union européenne par des entreprises comme Google est légal si elles informent les utilisateurs de leurs services. Il faut aussi informer les clients que le RGPD consiste à renforcer leurs droits comme le droit d’accès, le droit d’opposition, le droit d’effacement, et le droit à la limitation du traitement.

Au niveau des relations de travail, l’employeur est le premier responsable du traitement des données par ses employés. Une situation prévue dans le contrat ou code du travail va obliger l’employeur à traiter des données concernant son personnel : le salaire, les évaluations, les congés. À noter que l’entreprise doit sensibiliser ses collaborateurs à respecter la vie privée des clients.

Ils doivent aussi être informés par rapport aux nouvelles obligations introduites par le Règlement Général sur la Protection des Données. À titre d’exemple, la société doit rappeler aux salariés qu’un fichier Excel contenant des informations sur les clients peut être considéré comme un traitement de données personnelles. Dans tous les cas, dans le cadre des relations avec les clients, elle est responsable de leurs données.

La sécurisation des données personnelles

La sécurisation des données personnelles est un principe posé par le RGPD. Ce sont des dispositions obligeant les responsables du traitement à tout mettre en œuvre pour garantir la sécurité de ces informations. Les principes de sécurisation se base sur :

  • la confidentialité des données qui ne seront accessibles qu’aux personnes autorisées ;
  • l’intégrité des données qui ne doit ni être altérée ou modifiée ;
  • la disponibilité des données en permanence pour les personnes autorisées.

Quant aux mesures de sécurité proprement dites, plusieurs techniques sont mises à la disposition des entreprises comme le chiffrement des données pour assurer la confidentialité ou la pseudonymisation des données.

Les modalités pour conserver les données

Il faut rappeler qu’en principe, la conservation des données personnelles est limitée dans le temps en fonction de l’objectif de traitement.

Il existe plusieurs méthodes pour conserver les données. En premier, il y a l’archivage courant qui est à la charge du responsable du traitement de données. La durée de cet archivage doit être prévue par un contrat. En second lieu, il y a l’archivage intermédiaire qui permet aux données d’être conservées un peu plus longtemps que la durée prévue par le contrat à condition que la loi fixe une durée supérieure. Enfin, l’archivage défini qui ne fait l’objet d’aucun effacement des données dites d’intérêt public comme les statistiques ou recherche scientifique.

Il est important de savoir que si aucune loi ne fixe une durée maximum de conservation, le responsable de traitement devra maintenir une durée proportionnée en fonction du but poursuivi par la récolte.

L’importance du recueil du consentement RGPD

Le recueil du consentement pendant le traitement des données personnelles est une obligation posée par le RGPD. Ce dernier a une définition précise du consentement comme étant la manifestation d’une volonté d’une personne à accepter le traitement de ses données personnelles. C’est le responsable du traitement qui doit demander ce consentement aux clients lorsqu’il s’agit de données sensibles constituées par les opinions politiques ou religieuses, les questions raciales, de santé ou orientation sexuelle.

Des dispositions préalables ont été imposées pour que le consentement soit valide. Les particuliers doivent avoir les informations importantes nécessaires à l’identité du responsable du traitement, son objectif et les catégories des données collectées. Ils doivent aussi être informés de l’existence du droit de retrait du consentement.

Pour les conditions de recueil du consentement, elles ont été mises en place pour protéger les particuliers. Ainsi, leur accord doit se matérialiser par un acte positif et clair. Il doit être univoque et que la personne ait conscience de donner sa permission. Une fois recueillie, cette dernière doit être libre sans contrainte, spécifique, et n’est valable que pour la finalité du traitement.

Le RGPD a aussi conféré des droits aux particuliers comme celui du retrait du consentement donné à tout moment. De même, le responsable du traitement doit être capable de prouver que la personne concernée a réellement donné son accord.

Concernant les personnes mineures, le RGPD a mis en place une réglementation qui pose l’âge du consentement à 16 ans. En France, il a été fixé à 15 ans. Mais en dessous de cet âge, le recueil de l’enfant doit être effectué auprès de l’enfant et des parents ou de la personne en charge de l’autorité parentale.

Pour conclure, l’étape ultime de mise en conformité au RGPD consiste à regrouper et constituer une documentation. Il est nécessaire que les actions réalisées soient réexaminées et mises à jour de façon régulière pour assurer la protection des données en permanence.

Qu’est-ce que le RGPD : règlement général sur la protection des données ?

Face à l’évolution de la technologie, des lois et règlements ont vu le jour pour protéger les données personnelles sur la toile. Le RGPD ou règlement général sur la protection des données personnelles a ainsi, été conçu pour harmoniser les règles en Europe sur l’utilisation de ces données. L’objectif est de mettre en place un cadre juridique pour sanctionner les abus et redonner la confiance aux internautes des outils numériques. Dans cet article vous allez voir l’origine, les enjeux et les sanctions du non-respect de la RGPD.

Qu’est-ce qu’on entend réellement par RGPD ?

Avant de voir ses enjeux, il est important de voir qu’est-ce que le rgpd? Par définition, il s’agit d’un texte majeur au niveau européen qui a pour objectif principal de protéger les données personnelles des personnes physiques. Le règlement général sur la protection des données se pose comme une mise à jour des principes existants afin de s’adapter au mieux à l’ère du numérique. En effet, le RGPD se présente pareillement à une suite logique de la loi de 1978 sur l’informatique et la liberté.

Le RGPD a donc introduit plusieurs changements importants, à savoir le renforcement de la création de nouveaux droits pour rééquilibrer les relations entre les consommateurs et les entreprises. Afin d’y parvenir, les responsabilités des acteurs en charge des données personnelles ont été renforcées notamment au niveau de la CNIL en charge du contrôle de la conformité rgpd en France.

Le règlement général sur la protection des données a aussi l’objectif d’harmoniser la législation en vigueur en Europe pour faire face aux géants du numérique comme Google ou Amazon.

Histoire du RGPD

Le RGPD trouve son origine dans la crainte des citoyens par rapport à l’usage des données personnelles par l’État. À cette époque, seul ce dernier avait les moyens de collecter et traiter une grande quantité de données pour la surveillance.

Depuis 1978, c’est la CNIL qui joue le rôle de surveillant pour l’utilisation par l’État de ces informations. Actuellement, le progrès des capacités de stockage a permis aux entreprises du numérique de détenir les données des individus dans divers domaines comme les réseaux sociaux ou l’e-commerce. La prise de conscience de cette situation et les révélations du lanceur d’alerte Edward Snowden en 2013 ont montré que l’usage des données par les services de surveillance américaine a conduit à la création de mécanismes comme le RGPD.

Qui a créé le RGPD ?

L’initiative de la création du RGPD vient du constat des états membres de la Commission européenne en 1995 face à l’évolution des nouvelles technologies de l’information. C’est en 2012 que Bruxelles a proposé un nouveau règlement au niveau de l’Europe.

Un accord entre le conseil, le parlement et la commission a été trouvé en 2015. Cependant, la mise en place de ce nouveau règlement n’a débuté qu’en 2016 avec l’adoption du texte par le parlement européen et sa publication au journal officiel français. Son application n’a été effective que le 25 mai 2018. Ce laps de temps de deux ans a permis aux législations nationales et aux entités étatiques en charge de la collecte et du traitement des données personnelles de s’y préparer en transposant le droit de chaque État membre de l’Union européenne par les règlements prévus par le RGPD.

Ainsi, les États doivent adapter leur législation pour être en conforme avec le texte.

Les enjeux du RGPD pour les entreprises

Les principaux enjeux du RGPD pour les entreprises sont nombreux.

D’abord, il favorise le renforcement de la protection des données. En effet, le RGPD oblige la mise en place de mesures de protection et de sécurité des données pour répondre aux enjeux d’internet. L’objectif principal est de responsabiliser les entreprises par rapport à l’utilisation des données pour prévenir d’éventuelles dérives en renforçant par exemple la protection de la vie privée des internautes.

Ensuite, la réglementation rgpd va améliorer la gestion des données au niveau des entreprises pour mieux connaître les clients. Dans ce cas, la gouvernance des données utilise plusieurs outils comme la cartographie ou la rationalisation des pratiques au niveau marketing.

Le RGPD permet aussi de consolider la confiance des clients, car cette nouvelle réglementation va leur permettre de bénéficier des droits sur leurs données. Sans oublier le respect des mesures de sécurité qui va améliorer davantage l’image de l’entreprise aux yeux du public.

Le RGPD est également un enjeu majeur pour les entreprises pour faire face aux différentes cyberattaques. Cette réglementation est donc l’occasion pour eux de se renforcer.

Évolution des droits pour les internautes

Le RGPD connaît une évolution majeure par rapport aux nouveaux droits des internautes pour assurer la protection de leurs données. Pour récolter ces données, les plateformes d’entreprise doivent, à titre d’exemple, obtenir un consentement écrit et explicite. De même, pour les enfants, l’aval des parents est obligatoire pour leur inscription sur les réseaux sociaux.

La réglementation rgpd va reconnaître le droit à l’oubli qui permet à chaque internaute d’obtenir l’effacement des données pouvant porter atteinte à sa dignité ou à sa vie privée. Il a aussi le droit d’être informé en cas de vol ou de piratage de ses données.

Les internautes peuvent agir en justice personnellement ou par l’intermédiaire d’une association dans le cadre d’une action de groupe pour faire arrêter l’exploitation illicite de leurs données.

Quel rôle joue la CNIL ?

Pour répondre à la question quelle autorité assure la protection des données personnelles en France ? Il faudra s’intéresser à la CNIL ou la Commission nationale de l’informatique et des libertés.

Son rôle principal est de protéger le consommateur contre les usages abusifs de ses données informatiques. Elle doit ainsi veiller au respect de la loi informatique et à la liberté.

La CNIL va recenser les fichiers et donner des avis pour les traitements automatisés d’informations dans le secteur privé ou public. Elle va aussi vérifier la sécurité des systèmes pour éviter que les données soient transmises à des personnes malveillantes. La CNIL a également un pouvoir réglementaire pour élaborer de nouvelles normes.

Enfin, elle peut développer les réclamations d’internautes concernant un usage anormal des données.

Les sanctions en cas de non-respect du RGPD

Depuis son entrée en vigueur, le RGPD ne prévoit que deux types de sanctions.

Il y a les amendes administratives énumérées à l’article 83 du RGPD. Des sanctions qui sont à la fois proportionnées et dissuasives qui doivent prendre en compte la gravité et la durée de la violation, le degré de coopération ou le dommage subi par les personnes. Quant au montant de l’amende prévue, il sera proportionnel à la violation constatée. Des sanctions pénales ont été mises en place pour faire face aux infractions qui ne font pas l’objet d’amendes administratives. En France, ils sont insérés dans le Code pénal pour sanctionner par exemple, le détournement de la finalité lors du traitement de données à caractère personnel. Des amendes qui peuvent être accompagnées d’emprisonnement d’une ou plusieurs années.

La violation du RGPD peut aussi entraîner une demande en dommages et intérêts des victimes ou un déficit d’image pour les entreprises concernées.