Comment fonctionne Data Privacy dans Acuna GRC ?

Data Privacy couvre le RGPD et la nLPD suisse. Un administrateur coche les lois applicables sur la page Privacy Laws de l’espace de travail Comply, et ce choix détermine les bases juridiques proposées sur chaque activité de traitement, les onglets de l’assistant de saisie, les chiffres du tableau de bord, les citations des documents générés et le libellé des e-mails du portail. Une entreprise soumise aux deux lois tient un seul registre, avec une base juridique par loi sur chaque activité.

Chaque intervenant a son rôle :

• Le délégué à la protection des données ou le responsable privacy tient le registre, mène les analyses et traite les demandes et les violations.
• Les responsables métier décrivent les traitements qu’ils pilotent, dans l’application ou via un lien de questionnaire à usage unique.
• Les gestionnaires fournisseurs génèrent les accords de sous-traitance et suivent leur statut sur la fiche du fournisseur.
• Les personnes concernées déposent leurs demandes sur le Privacy Portal public, à votre nom et à votre logo, sans compte Acuna GRC.

Data Privacy est un module complémentaire, activé par organisation ; l’administrateur décide ensuite qui y accède et active séparément le Privacy Portal.

Les deux textes exigent un registre des activités de traitement : l’article 30 du RGPD et l’article 12 de la nLPD. Dans Acuna GRC, chaque activité reçoit une référence du type PA-001 et une fiche avec des onglets pour la présentation, la base juridique, les données et personnes concernées, les actifs et destinataires, la conservation et la sécurité, les risques et constats, et un journal d’activité.

Les champs suivent le contenu attendu du registre :

• La finalité et la description dans la présentation.
• Une grille croisant personnes concernées, éléments et catégories de données, où les données sensibles sont mises en évidence.
• Les destinataires, actifs ou tiers, avec le rôle juridique de chaque tiers (responsable, responsable conjoint, sous-traitant ou sous-traitant ultérieur), distinct du chemin que suivent les données.
• Une justification de transfert par destinataire, avec un transfert transfrontière suggéré d’après le pays du destinataire.
• Une durée et un point de départ de conservation, des exceptions par catégorie et les mesures de sécurité.

Le registre s’exporte en CSV, PDF ou XLSX avec les colonnes du registre, y compris les flux et les rôles juridiques. Les mêmes fiches alimentent un inventaire des données par actif, où un système qui héberge un élément de donnée utilisé par une activité apparaît aussi, et un diagramme de flux par activité.

• AIPD. Le questionnaire de pré-évaluation en neuf questions de chaque activité en déduit un niveau de risque et indique si une AIPD est requise ou conseillée. L’assistant AIPD reprend ces réponses, si bien que registre et analyse concordent, et l’AIPD signée est conservée avec son rapport. Voir quand une AIPD est-elle obligatoire ?
• AIT. Lorsqu’un transfert transfrontière est enregistré, l’assistant AIT reprend le type de garantie depuis les lignes de transfert et calcule un risque qui reste à High tant qu’une personne ne l’a pas revu. Voir qu’est-ce qu’une analyse d’impact des transferts ?
• Accord de sous-traitance. L’assistant génère un accord Word pour chaque sous-traitant à partir de la fiche de l’activité ; vous déposez la copie signée et la fiche fournisseur affiche le statut à jour. Voir qu’est-ce qu’un accord de sous-traitance ?
• Demandes. Sept types de demandes, de l’accès à la décision automatisée, suivent une échéance de 30 jours avec une prolongation unique de 60 jours au plus. Le RGPD fixe un mois civil, prolongeable de deux mois, et la nLPD 30 jours. Voir quel délai pour répondre à une demande d’accès ?
• Violations. L’assistant consigne le type de violation, le risque pour les droits et les activités, actifs et tiers touchés, et un compte à rebours de 72 heures suit l’échéance de l’article 33 du RGPD. Une notification à l’autorité est générée pour chaque violation, et une notification aux personnes concernées lorsque le risque est High. La nLPD demande d’annoncer au PFPDT dans les meilleurs délais une violation qui entraîne vraisemblablement un risque élevé. Voir la règle des 72 heures du RGPD.

• Un registre rédigé une fois pour toutes. Les activités passent par Draft, In Review, Approved et Needs Update avec une date de prochaine revue, et chacune revient quand elle est due.
• Un registre tenu par la seule équipe privacy. Le questionnaire confie les faits aux personnes qui pilotent le traitement, et Apply answers to PA intègre leur réponse.
• Une protection des données isolée de la sécurité. Les constats issus de la pré-évaluation deviennent des constats dans l’espace de travail Assure, les risques sont reliés aux activités qu’ils touchent, et les tiers sont ceux du registre fournisseurs.
• Des données historiques perdues. L’équipe Acuna peut importer votre export OneTrust d’activités, de cartographies de données, d’actifs et de liens avec les tiers.