Comprendre le RGPD - Partie 2 : Organiser et piloter son plan d’actions pour se mettre en conformité

Dirigeants, DPO, responsables juridiques, responsables informatiques, DSI, RSSI, responsables conformité, responsables RH - Toute personne impliquée dans un projet de mise en conformité RGPD

Avoir une première compréhension des principes et notions clés du RGPD (ou avoir suivi la formation « Sensibilisation au RGPD »).

Mesurer les impacts du RGPD sur l’organisation, les processus et les outils internes - Structurer une gouvernance RGPD et un référentiel documentaire (registre, politiques, procédures) - Identifier les enjeux de sécurité, d’analyses d’impact et de gestion des violations de données - Savoir préparer et piloter un plan d’actions de mise en conformité adapté à son organisme

Organiser la gouvernance RGPD dans son organisme

Définir la gouvernance RGPD : rôles, responsabilités, circuits de décision et de validation
Positionner le DPO par rapport à la direction, aux métiers, à la DSI et au RSSI
Identifier les comités et instances utiles pour suivre la conformité RGPD
Structurer la collaboration entre juridique, SI, RH, métiers et DPO

Atelier fil rouge : dessiner le schéma de gouvernance RGPD de son organisme ou de son service

Mettre en place le registre des traitements et le référentiel documentaire

Comprendre le rôle central du registre des traitements dans la démonstration de conformité
Identifier les informations à collecter pour chaque traitement : finalité, base légale, catégories de données, durées, destinataires, transferts, mesures de sécurité
Constituer le référentiel documentaire : politiques, procédures, modèles de mentions, modèles de réponses aux droits, clauses contractuelles
Prioriser les traitements à cartographier en premier : données sensibles, volumes importants, exposition externe, sous-traitance

Atelier fil rouge : compléter une fiche registre simplifiée pour un traitement prioritaire de son organisme

Renforcer la sécurité des données et réaliser des analyses d’impact

Relier les exigences du RGPD à la sécurité technique et organisationnelle du SI
Identifier les mesures de sécurité adaptées : contrôle d’accès, chiffrement, journalisation, sauvegardes, anonymisation, formation des utilisateurs
Comprendre le principe et les objectifs de l’Analyse d’Impact relative à la Protection des Données (AIPD / DPIA)
Déterminer les traitements nécessitant une DPIA et les grandes étapes de sa réalisation

Atelier fil rouge : repérer, pour un traitement prioritaire, les principaux risques et les mesures de sécurité à renforcer

Gérer les violations de données et la relation avec l’autorité de contrôle

Définir ce qu’est une violation de données à caractère personnel et distinguer incident de sécurité et violation notifiable
Organiser le processus interne de gestion des violations : détection, qualification, documentation, notification éventuelle
Comprendre les obligations de notification à l’autorité de contrôle et, le cas échéant, aux personnes concernées
Mettre en place une documentation permettant de démontrer la bonne gestion des incidents

Atelier fil rouge : construire un mini-processus de gestion d’une violation de données avec les rôles de chacun

Construire et piloter son plan d’actions de mise en conformité

Structurer les étapes clés d’un projet de mise en conformité RGPD (diagnostic, priorisation, mise en œuvre, suivi)
Prioriser les actions en fonction des risques, des enjeux métiers et des moyens disponibles
Définir des indicateurs de suivi et des éléments de preuve de conformité : registres, procédures, comptes rendus, rapports, logs
Élaborer un plan d’actions opérationnel à court, moyen et long terme, incluant communication et formation interne

Atelier fil rouge : formaliser un plan d’actions RGPD synthétique pour son organisme avec 3 à 5 priorités majeures

Active Learning

contrôle continu ou certification si prévue dans le financement

Support de cours + sources des exemples