La plupart des entreprises traitent le RGPD comme un examen de permis de conduire. Étudier dur, réussir une fois, obtenir le certificat, puis passer à autre chose après cet exercice ponctuel. Mais se conformer au RGPD n’est pas la même chose que de réussir un simple test.
Imaginez ceci : une lettre de l’Autorité de protection des données atterrit sur votre bureau. La demande ne semble pas trop compliquée : « fournir des preuves de la manière dont l’organisation a géré la vie privée au cours des deux dernières années. » Assez facile, sûrement. Il suffit de consulter les historiques de décisions, les résultats de DPIA, les dossiers de formation, les revues des fournisseurs, la gestion des violations…
Puis les difficultés commencent réellement. Politique de confidentialité ? Vérifié ! Bannière de cookies ? C’est fait ! Au-delà de ça, tout s’effondre. Personne ne peut fournir de preuves que quelque chose se passe de façon cohérente. Les politiques existent mais rien ne montre qu’elles aient jamais été utilisées. Le DPO est parti il y a huit mois, et son remplaçant reconstitue les éléments à partir de fils d’e-mails.
Vous l’avez deviné. Qu’est-ce qui manquait ? Un programme de protection de la vie privée !
Qu’est-ce qu’un programme de protection de la vie privée ?
Un programme de protection de la vie privée (également appelé “privacy programme” ci-après) est la manière dont une organisation gère la vie privée au quotidien. Il couvre la gouvernance, les processus, les contrôles, les rôles, la documentation et la culture associée. Ensemble, ces éléments font de la protection des données une activité réelle et continue, et non un simple dossier de PDF stockés.
Il est utile d’être clair sur ce qu’un privacy programme n’est pas. Ce n’est pas une AIPD, un registre des activités de traitement ou un ensemble de politiques. Ce n’est pas non plus un projet de mise en conformité qui s’arrête une fois les constats corrigés.
L’analogie la plus proche est celle d’un système de gestion de l’information. Un privacy programme est pour le RGPD ce qu’un ISMS est pour ISO 27001 : un système de gestion pour gérer la vie privée au sein de votre organisation (pas seulement documenté).
Avons-nous besoin d’un programme de protection de la vie privée ?
On peut répondre oui pour quatre raisons. Les deux premières sont juridiques, les deux dernières sont pratiques.
La responsabilité est une obligation au niveau du programme.
Lisez attentivement l’article 5(2) et l’article 24 du RGPD. Ils ne vous demandent pas d’être conforme. Cependant, il vous demande de démontrer votre conformité de façon continue. Cela ne peut pas être atteint par un seul document, ni même par un large éventail d’informations. Elle réside dans le fonctionnement quotidien de l’organisation.
Preuve d’une gestion continue
Lorsque l’APD belge ou une autre autorité ouvre un dossier, elles se soucient rarement que votre déclaration de confidentialité soit élégante ou bien rédigée. Elles veulent des historiques de décision, des workflows de DPIA, des délais de notification de violation, des registres de formation et des revues de fournisseurs. Les organisations sans programme ont tendance à rencontrer des difficultés ici, car les preuves n’existent pas ou ne peuvent pas être produites sous une forme utilisable.
L’approche ad hoc empêche de faire croître votre entreprise
Un produit, un responsable de traitement, un sous-traitant, un pays ? Gérer la vie privée de manière réactive peut encore fonctionner. Mais dès que s’ajoutent plusieurs responsabilités de traitement, des transferts internationaux, un portefeuille de produits diversifié et des systèmes d’IA, le modèle ad hoc s’effondre. Il devient un frein à la croissance plutôt qu’un support.
La convergence avec l’IA Act arrive.
L’article 9 de la loi sur l’IA exige un « système de gestion des risques » pour l’IA à haut risque : il s’agit d’un processus itératif continu qui s’étend sur tout le cycle de vie du système d’IA, avec des examens et des mises à jour réguliers. C’est structurellement très proche de ce que fait un programme mature de protection de la vie privée. Si vous en avez un, l’étendre à l’IA est difficile mais réalisable. Sinon, vous construisez deux modèles de gouvernance en même temps. La plupart des organisations n’ont ni le budget ni les ressources pour cela.
Qu’y a-t-il dans un programme de protection de la vie privée ?
Chez CRANIUM, nous travaillons avec notre propre cadre (basé sur l’ISO 27701) pour construire un programme de protection de la vie privée. Ce cadre repose sur huit éléments de construction, le programme lui-même étant le neuvième qui les relie. Cela pourrait aussi vous servir de base :
- Sensibilisation et communication. Pensez à la formation, aux personnes en charge de la défense de la vie privée, aux conseils spécifiques en fonction des rôles, aux communications internes etc. Une partie importante de la sensibilisation et de la communication consiste à confier aux personnes la responsabilité du programme afin de l’intégrer à la culture de votre entreprise.
- Registre des activités de traitement. Votre inventaire des données que vous traitez, pourquoi, sur quelles bases légales, et où elles sont envoyées…
- Droits de la personne concernée. Comment sont gérées les demandes d’accès, de suppression, d’opposition et de portabilité. Idéalement de façon automatisée et avec une période de conservation définie.
- Relations avec des parties extérieures. Accords de sous-traitance, répercussion sur les sous-traitants et évaluation des fournisseurs avant l’entrée en vigueur du contrat.
- Transferts de données internationaux. Mécaniques du chapitre V : SCC, TIA, BCR.
- Gestion des violations de données. Détection, escalade interne, notification à l’APD et aux personnes concernées si nécessaire, ainsi que la revue post-incident pour continuer à améliorer vos traitements.
- Privacy by design et by default. La protection de données est intégrée dans la manière dont les nouveaux processus, produits et outils sont construits, plutôt que de l’ajouter à la fin.
- Des mesures techniques et organisationnelles. Chaque contrôle (organisationnel, personnel, physique et technologique) mis en œuvre pour réduire, minimiser et/ou éradiquer les risques.
Alors que beaucoup d’entreprises cherchent à respecter la conformité, les « preuves » sont souvent oubliées. « Nous avons une politique » n’est donc pas suffisant lorsque vous régissez la protection de vos données.
Les preuves ressemblent à ceci : une AIPD complétée avec un journal de décision joint, une demande de personne concernée traitée à temps avec horodatage, un enregistrement de formation lié à un employé nommé, une évaluation de fournisseur signée avant la mise en vigueur du contrat.
La bonne nouvelle, c’est qu’une fois votre privacy programme opérationnel, tout deviant plus fluide. Lorsque les collaborateurs partent ou que les priorités changent, le programme reste stable et peut être mis en œuvre quoi qu’il arrive.
Existe-t-il des cadres de référence ?
Vous n’avez pas besoin d’inventer un privacy programme à partir de zéro. Plusieurs systèmes vous offrent une base de départ. Quatre d’entre eux méritent d’être examinés :
ISO/IEC 27701 est la norme internationale pour un système de gestion des informations relative à la vie privée. Elle étend l’ISO 27001, donc si vous avez déjà la certification 27001, la 27701 est la suite la plus logique.
NIST Privacy Framework est orienté sur les résultats et basé sur les risques. Il est flexible, largement adopté aux États-Unis et correspond parfaitement aux contrôles de sécurité existants. Un bon choix pour les organisations hybrides UE/États-Unis.
AICPA GAPP (Generally Accepted Privacy Principles) est adapté aux audits et repose sur des principes qui se transposent bien au reporting de gestion. Utile si votre organisation est déjà fortement orientée audit.
Les lignes directrices de l’EDPB 07/2020 sur la responsabilité ne constituent pas un cadre au même sens, mais elles constituent la base de référence du régulateur européen pour définir ce qu’est un programme de protection des données solide.
Lequel choisir ? Suivez vos standards existants. Une organisation ISO 27001 va jusqu’à 27701. Une empreinte fortement américaine indique le NIST. Une gouvernance orientée audit est compatible avec GAPP. Un focus purement européen peut s’appuyer sur les lignes directrices de l’EDPB sur la responsabilité tout en reprenant la structure d’un autre cadre.
Par où commencer ?
Une organisation ne peut pas tout faire en même temps et acheter un outil à l’aveugle ne résoudra pas immédiatement tous les problèmes. C’est pourquoi nous recommandons de commencer par une évaluation honnête et interne de maturité. Qu’avez-vous en place ? Points forts, points faibles ? Où s’améliorer ?
Selon ces résultats, vous pouvez commencer à définir vos priorités. Nous recommandons de commencer par la base :
- Registre des activités de traitement
- Droits des personnes concernées
- Gestion des violations de données
- TOMs
Une fois ces éléments en marche, vous pouvez construire les blocs qui mettent plus de temps à mûrir :
- Relation avec des parties externes (due diligence des fournisseur, accords de sous-traitance)
- Transferts internationaux de données
- Privacy by design et privacy by default (la méthodologie AIPD s’applique ici, tout comme l’application de la rétention côté conception)
- Sensibilisation et communication (formation de base en amont, puis accompagnement spécifique en fonction des rôles et un réseau de personnes en charge de la défense de la vie privée par la suite)
Une fois les priorités en place, vous pouvez commencer à les cartographier et déterminer un calendrier réaliste, comme 12 à 18 mois pour passer de « ad hoc » à « géré par le programme ».
Enfin, aller au-delà du privacy programme formel fait partie de la culture de votre entreprise. La façon dont vous et vos collègues réagissez et adaptez un programme est toujours unique et doit être prise en compte en conséquence. Comment mettre en œuvre le changement dans votre organisation, qui en sont les moteurs, quels processus nécessitent plus de soin ? Ces questions doivent être résolues avant que votre programme puisse être adopté.
Conclusion, un piège ?
Les entreprises qui rencontrent des problèmes de confidentialité échouent rarement sur une seule exigence « unique ». Ils échouent parce qu’ils considèrent la vie privée comme un projet, une case de plus à cocher. Les projets peuvent prendre fin, mais la vie privée ne s’arrête pas. Au contraire, plus une entreprise grandit, plus elle devient complexe à gérer (et vos clients, ainsi que les régulateurs, l’exigent), par exemple les systèmes d’IA, les données biométriques, les flux transfrontaliers, etc.
Un programme de protection de la vie privée met fin à la course. Au lieu de réagir à chaque problème au fur et à mesure qu’il arrive, vous construisez un système qui suit votre croissance et reste en avance sur les attentes des régulateurs.
