RGPD: expliqué pour ceux qui doivent l'appliquer au quotidien.

Une Analyse d’impact relative à la protection des données (AIPD) est requise en vertu de l’article 35 du RGPD lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Cela inclut le profilage systématique avec des effets juridiques, le traitement à grande échelle de catégories particulières de données et la surveillance systématique d’espaces publics. Une AIPD doit décrire le traitement, évaluer la nécessité et la proportionnalité, identifier les risques et définir les mesures d’atténuation. Si le risque résiduel reste élevé après atténuation, le responsable du traitement doit consulter l’autorité de contrôle en vertu de l’article 36. Dans le module Data Privacy d’Acuna GRC, un questionnaire de pré-évaluation en neuf questions sur chaque activité de traitement indique si une AIPD est requise, et l’assistant AIPD (Seuil, Nécessité, Risques et Revue) démarre prérempli à partir de cette activité.

Data Privacy, dans Acuna GRC, réunit en un seul endroit votre registre des activités de traitement, l’inventaire des données, les analyses d’impact, les accords de sous-traitance, les demandes des personnes concernées et les violations de données. Chaque activité de traitement consigne sa base juridique pour chaque loi applicable, une grille des personnes, éléments et catégories de données, les flux de données, le rôle juridique de chaque tiers, les transferts et la conservation, et passe par les états Draft, In Review, Approved et Needs Update. Un questionnaire de pré-évaluation en neuf questions indique si une AIPD est requise ; AIPD et AIT démarrent préremplies à partir de l’activité, et les accords, réponses et notifications de violation sont générés en documents Word. Les demandes suivent un délai de 30 jours et les violations un compte à rebours de 72 heures.

Le Registre des Activités de Traitement (RAT, ou ROPA en anglais) est le registre interne exigé par l’article 30 du RGPD. Il documente comment votre organisation traite des données personnelles : finalités, catégories de données, destinataires, transferts hors UE ou EEE, durées de conservation et mesures de sécurité. Responsables de traitement et sous-traitants doivent le tenir par écrit et le présenter à l’autorité de contrôle sur demande (en France, la CNIL). C’est la source de vérité dont une AIPD, une demande d’accès, une évaluation de violation et une analyse de transfert tirent leurs informations. Dans Data Privacy d’Acuna GRC, chaque activité de traitement est un enregistrement relié aux actifs et aux tiers qu’elle utilise, et les responsables métier peuvent compléter leur propre activité via un lien de questionnaire, afin que les personnes les plus proches des données tiennent le registre à jour.

L’Analyse d’Impact relative à la Protection des Données (AIPD) est obligatoire en vertu de l’article 35 du RGPD lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. L’article 35(3) cite trois cas qui en exigent toujours une : le profilage systématique et étendu produisant des effets juridiques, le traitement à grande échelle de données sensibles, et la surveillance systématique à grande échelle d’une zone accessible au public. Le Comité européen de la protection des données (CEPD) ajoute neuf critères ; en cumuler deux ou plus impose en principe une AIPD. Data Privacy d’Acuna GRC intègre à chaque activité de traitement un questionnaire de pré-évaluation en neuf questions qui détermine le niveau de risque et si une AIPD est requise, de sorte que la question est tranchée lors de l’enregistrement de l’activité, et non dans un projet séparé.

En vertu de l’article 33 du RGPD, le responsable de traitement doit notifier la violation de données personnelles à l’autorité de contrôle compétente (en France, la CNIL) dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, sauf si la violation est peu susceptible d’engendrer un risque pour les personnes. Lorsque la violation est susceptible d’engendrer un risque élevé, le responsable doit également informer les personnes concernées en vertu de l’article 34. Le délai court à partir de la prise de connaissance, et non de la fin de l’investigation ; l’article 33(4) autorise une notification par étapes au fur et à mesure que les faits se précisent. Toute violation doit être documentée en vertu de l’article 33(5), qu’elle atteigne ou non le seuil de notification.

En vertu de l’article 12(3) du RGPD, le responsable de traitement doit répondre à une demande d’accès aux données personnelles (DSAD) dans les meilleurs délais et au plus tard dans un délai d’un mois à compter de sa réception. Ce délai peut être prolongé de deux mois supplémentaires pour des demandes complexes ou nombreuses, soit un maximum de trois mois, à condition d’informer la personne dans le premier mois et d’en exposer les motifs. L’unité juridique est le mois civil, et non 30 jours. Data Privacy d’Acuna GRC suit chaque demande par rapport à une échéance avec un badge coloré, permet une prolongation, et relie la demande aux activités de traitement qui détiennent les données de la personne.

L’Accord de traitement des données (ATD, ou contrat sous-traitant) est le contrat écrit que l’article 28 du RGPD exige dès qu’un responsable de traitement fait appel à un sous-traitant pour traiter des données personnelles pour son compte. Il doit lier le sous-traitant à des obligations couvrant l’objet, la durée, la nature et la finalité du traitement, ainsi que l’assistance aux droits des personnes, la notification des violations, le soutien aux AIPD, les contrôles sur les sous-traitants ultérieurs et l’accès à l’audit. Sans ATD conforme, la relation de traitement est illicite. Data Privacy d’Acuna GRC génère l’accord en document Word rempli à partir de l’activité de traitement, le suit dans les états Draft, Active et Terminated, et affiche son statut sur la fiche fournisseur du module TPRM.

L’Analyse d’impact sur le transfert (AIT) est l’évaluation exigée par le chapitre V du RGPD avant de transférer des données personnelles vers un pays hors UE ou EEE ne bénéficiant pas d’une décision d’adéquation. Depuis l’arrêt Schrems II de la CJUE, s’appuyer sur les seules clauses contractuelles types ne suffit pas : vous devez évaluer si le droit et la pratique du pays de destination offrent une protection essentiellement équivalente et, en cas de lacune, appliquer des mesures supplémentaires ou interrompre le transfert. Data Privacy d’Acuna GRC préremplit la garantie de l’AIT à partir des transferts déjà enregistrés sur une activité de traitement et calcule le risque de transfert avec une valeur par défaut élevée, de sorte qu’un transfert doit mériter une notation plus faible plutôt qu’être présumé sans risque.

Une bannière cookies conforme ne dépose aucun cookie facultatif avant le choix du visiteur, rend le refus aussi simple que l’acceptation, explique chaque finalité avant le choix et permet de modifier ou de retirer ce choix à tout moment. Dans l’UE, ces règles découlent de l’article 5(3) de la directive ePrivacy et de la définition du consentement du RGPD. Le droit suisse demande moins : informer le visiteur et lui permettre de refuser.

La preuve du consentement aux cookies est un enregistrement qui montre ce que le visiteur a choisi, quand, et sous quelle version de la bannière et de la politique cookies, conservé aussi longtemps que vous vous appuyez sur ce consentement. L’article 7(1) du RGPD exige de pouvoir démontrer le consentement. Une bannière seule ne prouve rien : la preuve, c’est le journal de chaque choix et le texte que le visiteur a vu.

Parfois. Le RGPD s’applique à une entreprise suisse lorsqu’elle a un établissement dans l’UE, ou lorsqu’elle offre des biens ou des services à des personnes dans l’UE ou suit leur comportement dans l’UE (article 3(2)). Elle peut alors devoir désigner un représentant dans l’UE selon l’article 27. Une entreprise suisse qui n’a que des clients en Suisse suit la nLPD. Les données circulent librement de l’UE vers la Suisse, car l’UE reconnaît la protection suisse comme adéquate. Acuna GRC applique les deux lois au même registre des traitements.

La résidence des données désigne le choix du pays ou de la région où vos données sont stockées. Elle compte pour les données de gouvernance, risques et conformité, car une plateforme GRC contient certaines de vos informations les plus sensibles : registres des risques, vulnérabilités ouvertes, incidents, constats d’audit, évaluations de fournisseurs et données personnelles du personnel et des personnes concernées. Le lieu de stockage détermine quelles lois et quelles autorités peuvent y accéder et quelles règles de transfert s’appliquent. Acuna GRC héberge vos données en Suisse, dans l’UE ou aux États-Unis, selon votre choix.

Oui. L’article 37(6) du RGPD permet que le délégué à la protection des données soit un membre du personnel ou exerce ses missions sur la base d’un contrat de service : un DPO externalisé est donc pleinement admis. Le DPO doit avoir une expertise en droit de la protection des données, agir en toute indépendance, rendre compte au plus haut niveau de la direction et n’avoir aucun conflit d’intérêts. Selon la nLPD, nommer un conseiller à la protection des données est facultatif, et il peut aussi être externe. Avec le service DPO externalisé, des experts suisses mènent le travail avec vous dans Acuna GRC.