|
Cadre juridique
La protection des données personnelles
– Les données et les fichiers de données
– Le traitement des données
– La violation de données
– Les personnes concernées par le traitement
– Les intervenants (Destinataire, responsable traitement, sous-traitant, tiers autorisés)Rappel des formalités préalables à la mise en oeuvre des traitements de données à caractère
personnel
– Fondamentaux sur la CNIL : son rôle, ses missions, ses pouvoirs sur le territoire français
– Les différents régimes de formalités préalables
– Les modalités pour accomplir les formalités auprès de la CNIL
– Les modifications des régimes déclaratifs par le règlement
– Les registres (responsables des traitements et sous-traitants)
La GDPR (ou RGPD) et ses conséquences pour les entreprises privées et organismes publics
Le contenu règlement européen
Le DPO (Délégué à la Protection des Données Personnelles), cheville ouvrière de la conformité au
RGPD
Les fonctions du DPO et le processus de certification
Les enjeux pour l’entreprise : gestion des risques, meilleure maîtrise du contenu et de l’organisation des données de son SI, adaptation des mesures au contexte et à la nature des informations traitéesGouvernance et protection des données personnellesPrincipes fondamentaux de la GDPR
– Licéité et loyauté dans les traitements
– Transparence
– Finalité des traitements
– Pertinence et adéquation des données à la finalité poursuivie
– Conservation limitée des données
– Sécurité et de confidentialité des données
– Traitement des données sensibles
– Droits des personnes
Périmètre de mise en application de la GDPR : situation existante et enjeux du SI
– Périmètre d’entreprise étendue : l’organisation privée ou publique et ses multiples partenaires
– Les impacts sur les référentiels internes des personnes physiques
– La cartographie et l’inventaire des données personnelles (Données collectées, données traitées, données transmises et partagées, données internes et externes, …)
Gestion et cycle de vie de la donnée
Des processus métier parfaitement maîtrisés
– Définition des personnes concernées, au sens de la GDPR (clients, prospects, utilisateurs, salariés, fournisseurs, etc.)
– Recensement de la nature des données personnelles collectées par l’entreprise
– Suivi des flux de données : leurs points d’entrée et de transfert
– Identification des traitements effectués sur ces données
Des procédures informatiques traçant les données personnelles (Acquisition, conservation, transformation et exploitation)
– Définition des processus internes et externes en interaction avec les personnes concernées
– Recensement des systèmes d’information sur lesquels reposent directement ces processus
– Identification des flux et traitements de données personnelles supportés par ces systèmes
– Remontée des flux et traitements de données connexes externes à ces systèmes
Diffusion aux stagiaires d’un questionnaire sur les forces et faiblesses de leur organisation actuelle, au regard des points réglementaires de la GDPR. Ce support servira de source de réflexion et de partage. Il permettra d’accentuer les échanges sur les points récurrents et prioritaires des différents représentants des entreprises inscrits à la formation.
* Selon les souhaits des participants, dans le cadre de formations inter-entreprises, ces résultats pourront être restitués de façon anonyme.
Réflexions prospectives sur la stratégie à adopter
Comment définir les besoins au niveau de l’entreprise ou de l’organisation publique ?
Comment se garantir du respect des règles de protection des données personnelles ?
Comment mettre en place une gouvernance des données, en adéquation avec la réglementation ?
Anticipation des évolutions organisationnelles
Les acteurs garants du respect de la réglementation
– Rôles et fonctions respectives vis-à-vis des données (Décideurs, profils métier,personnels des activités de support : informatique, RH, …)
– Rôle du DPO/Correspondant Informatique et Libertés
Détermination du périmètre SI impacté
Systèmes opérationnels :
– SI interne (Infrastructure, base de données, applications internes et progiciels)
– SI partagé, mutualisé (Partenaires, sous-traitants, responsabilités et propriétés des données) |
