Le diagnostic des données, des traitements et de la sécurité dans le cadre du projet GDPR

Ce premier diagnostic vise à acquérir une compréhension précise des modes de collecte de Données à Caractère Personnel (DCP) utilisés par l’entreprise ainsi que des données collectées (dans toutes les dimensions : commerciales, marketing, comptables, juridiques, techniques, RH…). Pour chaque source de collecte (sites web et formulaires en ligne, téléphone, applications mobile, physique, fiches de renseignements type fournisseurs, salariés…), l’organisation doit faire un état des lieux du type de données collectées, des modes de collecte et de recueil des consentements.

Le règlement GDPR est très exigeant concernant les modes de recueil des consentements. Rappelons les principales exigences posées par le règlement européen :

• Le consentement doit être clair et positif, c’est-à-dire donné activement. Les cases pré-cochées, par exemple, ne sont pas admises. En cas de contrôle, l’entreprise devra être en mesure de prouver le consentement.
• Le consentement doit être accordé librement et pouvoir être retiré facilement.
• L’entreprise doit expliquer à ses clients/prospects (et autres contacts) ce à quoi ils consentent, ce pour quoi elle collecte leurs données (finalité de la collecte) et informer les contacts sur leurs droits (en particulier le droit de retirer le consentement à tout moment).
• Si les données sont collectées à des fins de profilage, les personnes doivent en être informées.
• La durée d’utilisation et de conservation des données doit être précisée. Cette durée varie suivant le type de données.

De fait, une partie importante du diagnostic de la collecte porte sur l’analyse des modes de recueil des consentements. C’est l’un des points les plus sensibles du GDPR, sur lequel les organisations doivent se montrer particulièrement vigilantes. Les règles étant différentes suivant que la collecte porte sur des contacts B2B ou des clients B2C, les deux cas doivent être traités séparément. Les CGV, CGU et Mentions légales doivent faire l’objet d’une attention méticuleuse : pour beaucoup d’entreprises, ces supports devront être amendés dans l’optique de la mise en conformité avec le GDPR. Rédigés dans un langage clair et compréhensible, ils doivent informer sur la politique de confidentialité de l’entreprise et les droits des personnes.

Le diagnostic sur la collecte permet de mettre en regard les DCP, les modes de collecte et de recueil des consentements actuellement utilisés avec les règles imposées par le GDPR. Il doit donner lieu à une analyse des écarts de conformité.

Au terme du diagnostic de la collecte, l’entreprise dispose d’une compréhension précise des dispositifs actuels de collecte (sources, données collectées par source, méthodes de recueil des consentements). Le diagnostic de la collecte, comme d’ailleurs tous les autres diagnostics GDPR, permet d’identifier les zones de risque par rapport à la réglementation. L’identification des risques servira par la suite, lorsqu’il sera question de prioriser les chantiers de la mise en conformité. L’approche par les risques est l’une des clés de réussite du projet GDPR.

Où y a-t-il des données à caractère personnel dans l’entreprise ? La question peut sembler triviale en apparence. Pourtant, y répondre est un véritable casse-tête pour bon nombre d’entreprises. La multiplication des sources de données, la complexification du paysage applicatif et le cloisonnement des services rendent difficile le traçage de la donnée. L’éparpillement des données au sein des différents services (marketing, financier, service clients, juridique, RH, etc.) demeure la règle. Nous le constatons tous les jours dans nos activités de conseil en Données et CRM.

Un diagnostic des bases et des flux de données doit être mis en œuvre pour recenser l’ensemble des DCP stockées et utilisées (ou non…) par l’entreprise. Il y a en réalité trois questions à traiter en même temps :

• Quelles sont les données personnelles (structurées ET non structurées) dont disposent l’entreprise ?
• Où sont-elles localisées ? Où sont-elles stockées ?
• Comment circulent-elles ?

Pour y répondre, l’organisation doit procéder à :

• La cartographie des données stockées dans les différentes bases. Une cartographie doit être produite pour chaque base.
• La cartographie des flux. Il y a deux catégories de flux à analyser. D’une part les flux de transfert internes qui ont lieu entre les lieux de stockage de l’organisation. D’autre part, les flux externes entrants (sources ==> bases de données) et sortants (bases de données ==> prestataires).

Ce diagnostic est inséparable du précédent. Les deux doivent être menés en même temps. Si le diagnostic sur l’utilisation des DCP permettait de répondre à la question du « pourquoi », le diagnostic sur les traitements vise à répondre à la question du « comment ». Comment les données personnelles sont-elles traitées par l’entreprise ? Ce quatrième diagnostic aboutit à la production d’un mapping des traitements.

Il s’agit, dans ce diagnostic, d’analyser les règles et consignes en place pour le traitement des données : règles d’archivage / désarchivage, règles de traitement des changements de coordonnées, etc. Cette analyse permet ensuite de comparer les écarts avec les exigences du GDPR, d’identifier les règles et procédures manquantes ou à documenter.

Pour chaque type de DCP, l’entreprise doit :

• Identifier les traitements opérés et vérifier leur licéité. L’entreprise doit indiquer les DCP faisant l’objet de transferts hors UE et préciser si des données sensibles sont en jeu.
• Indiquer les méthodes de documentation actuellement en place.
• Identifier le responsable des traitements, les opérateurs des traitements et les acteurs avec lesquels les données sont partagées (en particulier les sous-traitants, dans l’optique probable d’une révision des clauses de confidentialité).
• Indiquer les outils utilisés pour le traitement.
• Fournir un descriptif des accès et des règles d’accès.

Le diagnostic des traitements alimente la construction du registre des activités de traitements.

Le diagnostic des données, de leurs traitements et des mesures de sécurité est une étape obligée du projet GDPR. Il permet d’identifier les éléments de non-conformité et les zones de risque. Il prépare l’étape d’après : la sélection des chantiers prioritaires et la construction de la feuille de route.