Prouvez votre conformité RGPD à tout régulateur, sans que cela consume votre équipe.

Une Analyse d’impact relative à la protection des données (AIPD) est requise en vertu de l’article 35 du RGPD lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Cela inclut le profilage systématique avec des effets juridiques, le traitement à grande échelle de catégories particulières de données et la surveillance systématique d’espaces publics. Une AIPD doit décrire le traitement, évaluer la nécessité et la proportionnalité, identifier les risques et définir les mesures d’atténuation. Si le risque résiduel reste élevé après atténuation, le responsable du traitement doit consulter l’autorité de contrôle en vertu de l’article 36. Les workflows AIPD figurent sur la feuille de route du module Protection des données d’Acuna ; actuellement, les activités de traitement peuvent être documentées et reliées aux contrôles et aux actifs pour préparer les AIPD.

Le module Protection des données fournit un registre de confidentialité opérationnel centré sur les activités de traitement (registre article 30 du RGPD). Un assistant guidé en 7 étapes couvre la finalité, la base juridique, les personnes concernées, les catégories de données, la conservation et les transferts, avec un flux de travail en quatre états (Brouillon, En revue, Approuvé, À mettre à jour). Les activités sont reliées aux actifs via un inventaire de données avec des grilles de données personnelles, aux tiers avec le statut de l’accord de traitement des données (ATD) et le suivi des pays de transfert, et aux référentiels (RGPD et LPD suisse préconfigurés). Un diagramme de flux de données interactif visualise la circulation des données personnelles au sein de l’organisation. Un tableau de bord de confidentialité affiche la distribution des statuts des activités de traitement, la couverture de l’inventaire, la complétude des ATD et les affectations de référentiels. Le module prend également en charge la migration structurée depuis OneTrust.

Le Registre des Activités de Traitement (RAT, ou ROPA en anglais) est le registre interne exigé par l’article 30 du RGPD. Il documente comment votre organisation traite des données personnelles : finalités, catégories de données, destinataires, transferts hors UE ou EEE, durées de conservation et mesures de sécurité. Responsables de traitement et sous-traitants doivent le tenir par écrit et le présenter à l’autorité de contrôle sur demande — en France, la CNIL. C’est la source de vérité dont une AIPD, une demande d’accès, une évaluation de violation et une analyse de transfert tirent leurs informations. La gestion de la confidentialité d’Acuna traite chaque activité de traitement comme un enregistrement vivant relié à votre inventaire d’actifs et de fournisseurs, afin que les personnes les plus proches des données maintiennent le registre à jour.

L’Analyse d’Impact relative à la Protection des Données (AIPD) est obligatoire en vertu de l’article 35 du RGPD lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. L’article 35(3) cite trois cas qui en exigent toujours une : le profilage systématique et étendu produisant des effets juridiques, le traitement à grande échelle de données sensibles, et la surveillance systématique à grande échelle d’une zone accessible au public. Le Comité européen de la protection des données (CEPD) ajoute neuf critères ; en cumuler deux ou plus impose en principe une AIPD. La gestion de la confidentialité d’Acuna intègre un filtre automatique sur ces critères CEPD pour chaque activité de traitement, de sorte que la question est tranchée lors de l’enregistrement de l’activité, et non dans un projet séparé.

En vertu de l’article 33 du RGPD, le responsable de traitement doit notifier la violation de données personnelles à l’autorité de contrôle compétente — en France, la CNIL — dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, sauf si la violation est peu susceptible d’engendrer un risque pour les personnes. Lorsque la violation est susceptible d’engendrer un risque élevé, le responsable doit également informer les personnes concernées en vertu de l’article 34. Le délai court à partir de la prise de connaissance, et non de la fin de l’investigation ; l’article 33(4) autorise une notification par étapes au fur et à mesure que les faits se précisent. Toute violation doit être documentée en vertu de l’article 33(5), qu’elle atteigne ou non le seuil de notification.

En vertu de l’article 12(3) du RGPD, le responsable de traitement doit répondre à une demande d’accès aux données personnelles (DSAD) dans les meilleurs délais et au plus tard dans un délai d’un mois à compter de sa réception. Ce délai peut être prolongé de deux mois supplémentaires pour des demandes complexes ou nombreuses, soit un maximum de trois mois, à condition d’informer la personne dans le premier mois et d’en exposer les motifs. L’unité juridique est le mois civil, et non 30 jours. La gestion de la confidentialité d’Acuna suit chaque DSAD par rapport à une échéance de réponse avec un compte à rebours codé par couleur, enregistre la prolongation autorisée avec sa justification, et relie la demande aux activités de traitement qui détiennent les données de la personne.

L’Accord de traitement des données (ATD, ou contrat sous-traitant) est le contrat écrit que l’article 28 du RGPD exige dès qu’un responsable de traitement fait appel à un sous-traitant pour traiter des données personnelles pour son compte. Il doit lier le sous-traitant à des obligations couvrant l’objet, la durée, la nature et la finalité du traitement — ainsi que l’assistance aux droits des personnes, la notification des violations, le soutien aux AIPD, les contrôles sur les sous-traitants ultérieurs et l’accès à l’audit. Sans ATD conforme, la relation de traitement est illicite. La gestion de la confidentialité d’Acuna génère un accord article 28 prérempli à partir de l’activité de traitement couverte et suit chaque ATD tout au long de son cycle de vie sur la fiche fournisseur correspondante dans la gestion des risques tiers.

L’Analyse d’impact sur le transfert (AIT) est l’évaluation exigée par le chapitre V du RGPD avant de transférer des données personnelles vers un pays hors UE ou EEE ne bénéficiant pas d’une décision d’adéquation. Depuis l’arrêt Schrems II de la CJUE, s’appuyer sur les seules clauses contractuelles types ne suffit pas : vous devez évaluer si le droit et la pratique du pays de destination offrent une protection essentiellement équivalente et, en cas de lacune, appliquer des mesures supplémentaires ou interrompre le transfert. La gestion de la confidentialité d’Acuna construit l’AIT à partir des destinataires transfrontaliers déjà enregistrés sur une activité de traitement et part du principe d’un risque plus élevé, de sorte qu’un transfert doit mériter une notation plus faible plutôt qu’être présumé sans risque.