Processus et organisation de la RGPD au sein d'un organisme

Dirigeant, responsable ou opérationnel ayant une culture générale SI ou digitale Toute personne dont l'ambition ou la mission est d'assurer le respect de la protection des données personnelles, au sein de son organisation privée ou publique Profils impliqués dans des projets sensibles, manipulant des données personnelles ou responsables de la sécurité du SI

Connaissance et/ou implication dans des projets SI ou digitaux

Mettre en place une démarche adaptée au contexte de la GDPR - Identifier les besoins - Délimiter le périmètre de mise en application - Mettre en place un plan d'action - Intégrer et piloter la démarche dans le cadre des projets en cours - Communiquer et conseiller les parties prenantes non informatiques.

Cadre juridique

La protection des données personnelles

• Les données et les fichiers de données
• Le traitement des données
• La violation de données
• Les personnes concernées par le traitement
• Les intervenants (Destinataire, responsable traitement, sous-traitant, tiers autorisés)

Rappel des formalités préalables à la mise en œuvre des traitements de données à caractère personnel

• Fondamentaux sur la CNIL: son rôle, ses missions, ses pouvoirs sur le territoire français
• Les différents régimes de formalités préalables
• Les modalités pour accomplir les formalités auprès de la CNIL
• Les modifications des régimes déclaratifs par le règlement
• Les registres (responsables des traitements et sous-traitants)

La GDPR (ou RGPD) et ses conséquences pour les entreprises privées et organismes publics
Le contenu règlement européen
Le DPO (Délégué à la Protection des Données Personnelles), cheville ouvrière de la conformité au RGPD
Les fonctions du DPO et le processus de certification
Les enjeux pour l’entreprise: gestion des risques, meilleure maîtrise du contenu et de l’organisation des données de son SI, adaptation des mesures au contexte et à la nature des informations traitées

Gouvernance et protection des données personnelles

Principes fondamentaux de la GDPR

• Licéité et loyauté dans les traitements
• Transparence
• Finalité des traitements
• Pertinence et adéquation des données à la finalité poursuivie
• Conservation limitée des données
• Sécurité et de confidentialité des données
• Traitement des données sensibles
• Droits des personnes

Périmètre de mise en application de la GDPR: situation existante et enjeux du SI

• Périmètre d’entreprise étendue: l’organisation privée ou publique et ses multiples partenaires
• Les impacts sur les référentiels internes des personnes physiques
• La cartographie et l’inventaire des données personnelles (Données collectées, données traitées, données transmises et partagées, données internes et externes,...)

Gestion et cycle de vie de la donnée

Des processus métier parfaitement maîtrisés

• Définition des personnes concernées, au sens de la GDPR (clients, prospects, utilisateurs, salariés, fournisseurs, etc.)
• Recensement de la nature des données personnelles collectées par l’entreprise
• Suivi des flux de données: leurs points d’entrée et de transfert
• Identification des traitements effectués sur ces données

Des procédures informatiques traçant les données personnelles (Acquisition, conservation, transformation et exploitation)

• Définition des processus internes et externes en interaction avec les personnes concernées
• Recensement des systèmes d’information sur lesquels reposent directement ces processus
• Identification des flux et traitements de données personnelles supportés par ces systèmes
• Remontée des flux et traitements de données connexes externes à ces systèmes

Diffusion aux stagiaires d’un questionnaire sur les forces et faiblesses de leur organisation actuelle, au regard des points réglementaires de la GDPR. Ce support servira de source de réflexion et de partage. Il permettra d’accentuer les échanges sur les points récurrents et prioritaires des différents représentants des entreprises inscrits à la formation.

• Selon les souhaits des participants, dans le cadre de formations inter-entreprises, ces résultats pourront être restitués de façon anonyme.

Réflexions prospectives sur la stratégie à adopter

Comment définir les besoins au niveau de l’entreprise ou de l’organisation publique?
Comment se garantir du respect des règles de protection des données personnelles?
Comment mettre en place une gouvernance des données, en adéquation avec la réglementation?

Anticipation des évolutions organisationnelles

Les acteurs garants du respect de la réglementation

• Rôles et fonctions respectives vis-à-vis des données (Décideurs, profils métier,personnels des activités de support: informatique, RH,...)
• Rôle du DPO/Correspondant Informatique et Libertés

Détermination du périmètre SI impacté
Systèmes opérationnels:

• SI interne (Infrastructure, base de données, applications internes et progiciels)
• SI partagé, mutualisé (Partenaires, sous-traitants, responsabilités et propriétés des données)

Active Learning

contrôle continu ou certification si prévue dans le financement