Ce contrôle sera bien sûr pour un plus grand respect du règlement au sein de l’entreprise. Cela permettra d’aborder certaines questions avec les dirigeants quant à la gestion des données récupérées par l’entreprise mais aussi à son utilisation pour ne pas dévier des indications apportées.
Pour les entreprises ne possédant pas un effectif aussi important cette gestion devra être effectuée par une entreprise proposant ces services.
A l’heure actuelle aucune formation ne permet d’obtenir ces compétences à part entière puisque le sujet est encore récent et mêle plusieurs domaines. Le délégué à la protection des données doit avoir des compétences transversales notamment juridique et en gestion de base de données. Ce type de profil étant presque une arlésienne, il faudra attendre quelque temps avant de voir arrivé ce type de profil.
En attendant, les entreprises devront former leurs salariés à ces compétences spécifiques que ce soit sur IT pour les juristes ou à l’inverse des formations juridiques pour les spécialistes de gestion de données.
Une formation des collaborateurs
La seule nomination d’un délégué à la protection des données ne suffira pas puisque cette protection doit devenir une norme au sein des entreprises. Le respect du droit à la vie privé est une notion connue de chacun. Il sera donc nécessaire d’informer chaque salarié de l’entreprise du fonctionnement du règlement.
Des formations complémentaires pour être exigé pour les employés ayant un poste stratégique sur la récupération, l’analyse ou encore l’exportation des données pour être en règle avec le RGPD.
Tenir un registre des traitements des données
L’un des changements le plus radical du RGPD est l’instauration d’un registre. Ce registre sera obligatoire pour les entreprises de plus de 250 salariés. Il aura pour but de pouvoir établir l’origine des données, si un accord préalable à été accordé par l’individu mais aussi la finalité de cette dernière.
La CNIL pourra à tout moment consulter ce dernier pour vérifier si il respect bien les objectifs fixés mais aussi une vérification des actions du responsable des données.
Un consentement explicite et la preuve
Pour éviter toutes sanctions, les sociétés qui récolteront des données sur leurs prospects et clients devront obtenir un consentement explicite. Actuellement la récolte se fait parfois de manière implicite et les traces d’un accord ne sont pas visibles. Désormais, il faudra que la récolte soit clairement notifiée aux citoyens et conserver ces preuves pour éviter toutes sanctions. Pour le cas particulier des mineurs, le consentement se fera par le représentant légal de ce dernier. Concernant l’opt-in BtoB, le consentement n’est pas obligatoire. Toutefois, il est fortement conseiller pour les différents partis d’appliquer ce principe d’opt-in.
Quesaco des entreprises spécialisées en location et ventes de données
Pour les entreprises spécialisées dans la vente ou la location de données, le règlement a une politique claire puisqu’auparavant la responsabilité n’incombait que l’acheteur ou le louer. Désormais, il y aura une corresponsabilité pour l’entreprise traitant les données. Le règlement met fin à l’immunité des sous-traitants en introduisant ce principe coresponsabilité.
Se préparer à la possibilité d’une fuite de données
Les données personnelles étant une source à risque par l’intérêt que portent les entreprises, des fuites peuvent avoir lieu. Les entreprises devront améliorer la protection de leurs données et communiquer la fuite à la CNIL sous 72 heures. La diffusion d’une fuite, ne doit pas seulement affecter la CNIL mais aussi les individus dont les informations ont circulé sans autorisation mais doit tout de même avoir un caractère important voir grave pour être notifié. Il en est de même en cas de destruction, de perte ou encore d’altération.
Un autre cas particulier concerne le transfert de données vers des pays hors Union Européenne. Il faudra alors une vérification du respect des normes de sécurité égales à celles du règlement. Si ce n’est pas le cas, il faudra alors avoir une clause garantissant la sécurité des données dans le contrat. De plus, les personnes sujettes au transfert devront être prévenues au préalable si les données sont sensibles.
