SERVICES INCLUS DANS L'OFFRE

• Récupération sur place et analyse des documents liés aux données personnelles que vous récoltez
• Identification des besoins selon les parties prenantes internes et externes
• Réalisation des audits sur la protection des données personnelles
• Adaptation des référentiels d’audits selon le secteur d’activité
• Rédaction des conclusions de conformité et remise d’un tableau de conformité ou de non-conformité – Reporting
• Conseil sur les process de mise à niveau
• Plan d’action détaillé et adapté
• Mise en relation avec un spécialiste technique
• Fourniture des outils de mise en conformité
• Possibilité de rédaction de supports juridique (Mentions légales, CGU, Charte de Données Personnelles *)

* Prestations faisant l’objet d’une tarification supplémentaire (Prestations réservées au GROUPE INVICTUS & ses filiales). 

Vos enjeux

Plus que jamais, les données et l’information sont traitées comme un actif patrimonial et stratégique pour les entreprises & associations.
Les entreprises & associations font face à une croissance exponentielle des données et des cas d’usages autour de ces données du fait de l’essor de l’intelligence artificielle, du cloud, des objets connectés et du Web 3.0. L’exploitation de ces données est cruciale pour améliorer sa productivité et devenir leader sur son marché mais l’usage des données n’est pas sans risques pour les individus, pour l’entreprise et même pour la société et la démocratie.

Parce que les entreprises & associations recueillent et exploitent de plus en plus de données personnelles, les organismes régulateurs ont mis en place de nouvelles législations encadrant de manière plus stricte la collecte et la gestion de ces données. Il est donc de la responsabilité de votre entreprise et/ou association de vous mettre en conformité. Pour ce faire, être accompagné est gage de sécurité & de sérénité.

Le règlement nᵒ 2016/679, dit Règlement Général sur la Protection des Données (RGPD), est un règlement de l'Union Européenne qui constitue un des textes de référence en matière de protection des données à caractère personnel. Il renforce et unifie la protection des données personnelles pour les individus au sein de l'Union Européenne.

Le RGPD est entré en vigueur dans l’ensemble des pays de l’Union Européenne le 25 mai 2018. La loi sur la protection des données n°2018-493 du 20 juin 2018 et son décret d’application n°2018-687 du 1er août 2018 viennent adapter le RGPD à notre droit national.
L’entrée en vigueur du RGPD force les entreprises & associations à se mettre en conformité avec ses dispositions.

Ainsi, un audit de conformité RGPD aura pour but de permettre aux entreprises & associations de vérifier dans quelles mesures elles le respectent, notamment, sur les points suivants :

• Fonctionnement du système d'information et traitement des données personnelles
• Documentation mise en place par l'entreprise (registre, charte, mentions légales...)
• Sécurité et fiabilité du système d'information.

Il est désormais temps, pour ne pas dire urgent, pour une entreprise ou association qui traite d’une façon ou d’une autre des données personnelles, de mettre ses traitements de données en conformité avec la législation, et ce, afin de ne pas risquer de sanctions en cas de contrôle par la CNIL. Pour information, le montant des sanctions pécuniaires peut s'élever jusqu'à 20 millions d'euros ou dans le cas d'une entreprise jusqu'à 4 % du chiffre d'affaires annuel mondial.

RGPD : de quoi parle-t-on ?

Qu'est-ce qu'une donnée personnelle ?

La notion de « données personnelles » est à comprendre de façon très large.
Une « donnée personnelle » est « toute information se rapportant à une personne physique identifiée ou identifiable ».

Une personne peut être identifiée :

• directement (exemple : nom, prénom)
• indirectement (exemple : par un identifiant "n° client", un numéro "de téléphone", une donnée biométrique, plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale, mais aussi la voix ou l’image)

L’identification d’une personne physique peut être réalisée :

• à partir d’une seule donnée (exemple : numéro de sécurité sociale, ADN)  
• à partir du croisement d’un ensemble de données (exemple : une femme vivant à telle adresse, née tel jour, abonnée à tel magazine et militant dans telle association)

Exemple : une base marketing contenant de nombreuses informations précises sur la localisation, l’âge, les goûts et les comportements d’achats de consommateurs, y compris si leur nom n’est pas stocké, est considérée comme un traitement de données personnelles, dès lors qu’il est possible de remonter à une personne physique déterminée en se basant sur ces informations.

Qu’est-ce qu’un traitement de données personnelles ?

Cette notion est également très large.
Un « traitement de données personnelles » est une opération, ou ensemble d'opérations, portant sur des données personnelles, quel que soit le procédé utilisé (collecte, enregistrement, organisation, conservation, adaptation, modification, extraction, consultation, utilisation, communication par transmission diffusion ou toute autre forme de mise à disposition, rapprochement). 

Exemple : tenue d’un fichier de ses clients, collecte de coordonnées de prospects via un questionnaire, mise à jour d’un fichier de fournisseurs, etc.

Par contre, un fichier ne contenant que des coordonnées d’entreprises (par exemple, entreprise « Compagnie A » avec son adresse postale, le numéro de téléphone de son standard et un email de contact générique « compagnieA@email.fr ») n’est pas un traitement de données personnelles.
Un traitement de données personnelles n’est pas nécessairement informatisé : les fichiers papier sont également concernés et doivent être protégés dans les mêmes conditions.

Un traitement de données doit avoir un objectif, une finalité, c’est-à-dire que vous ne pouvez pas collecter ou traiter des données personnelles simplement au cas où cela vous serait utile un jour. A chaque traitement de données doit être assigné un but, qui doit bien évidemment être légal et légitime au regard de votre activité professionnelle.

Exemple : vous collectez sur vos clients de nombreuses informations lorsque vous effectuez une livraison, éditez une facture ou proposez une carte de fidélité. Toutes ces opérations sur ces données constituent votre traitement de données personnelles ayant pour objectif la gestion de votre clientèle.

Qui est concerné par le RGPD ?

Toute entreprise & association, quels que soient sa taille, son pays d’implantation et son activité, peut être concernée.
En effet, le RGPD s’applique à toute organisation, publique et privée, qui traite des données personnelles pour son compte ou non, dès lors :

• qu'elle est établie sur le territoire de l’Union européenne
• que son activité cible directement des résidents européens

Par exemple, une société établie en France, qui exporte l’ensemble de ses produits au Maroc pour ses clients moyen-orientaux, doit respecter le RGPD.
De même, une société établie en Chine, proposant un site de e-commerce en français livrant des produits en France, doit respecter le RGPD.

Le RGPD concerne aussi les sous-traitants qui traitent des données personnelles pour le compte d’autres organismes.
Ainsi, si vous traitez ou collectez des données pour le compte d’une autre entité (entreprise, collectivité, association), vous avez des obligations spécifiques pour garantir la protection des données qui vous sont confiées.