Pilotage du programme RGPD

L’outil SaaS Superviseur du programme RGPD est un véritable assistant programmateur qui permet de piloter le déploiement des actions à mettre en œuvre permettant d‘implémenter les exigences du RGPD.

Il regroupe l’ensemble des outils développés par le cabinet en mode SaaS, permettant de mener à bien les 20 étapes de mise en conformité, incluant le site web de gestion du déploiement du RGPD et l’ensemble des documents sous forme de Core Model paramétrables.

Le Superviseur du programme RGPD accompagne les organisations dans le cadre de leur mise en conformité au RGPD via la plateforme Lexing Saas et ses outils : diagnostic d’écarts de conformité, cartographie légale, mise en place d’une politique Informatique et libertés, désignation d’un DPO, encadrement des flux hors de l’Union européenne, mise en place de registres, études d’impacts, mise a jour des clauses contractuelles…

Site d’Accountability et workflow

En vertu du principe d’accountability (ou principe de responsabilité), le responsable du traitement est tenu de garantir, et d’être en mesure de démontrer, que le traitement des données à caractère personnel est effectué dans le respect des dispositions du RGPD.

Le terme « accountability » correspond donc à deux concepts :

• • la responsabilité des responsables du traitement ;
• • la preuve de la conformité.

Les outils développés en mode Saas par le cabinet permettent l’implémentation des exigences d’accountability et la mise en œuvre de ce principe en regroupant, sur un seul site, l’ensemble des documents prouvant la politique de conformité Informatique et libertés et la réalisation de la conformité aux exigences du RGPD de ces mesures organisationnelles et techniques, et permettant de gérer l’ensemble des process relatifs à l’accountability.

Tableaux de bord et indicateurs

Les Tableaux de bord et indicateurs conçus en mode Saas par le cabinet Alain Bensoussan Avocats Lexing permettent aux acteurs de la conformité RGPD, au premier rang desquels le Délégué à la Protection des données, de s’assurer de la parfaite implémentation des exigences du RGPD au sein de l’entreprise, et ce à chaque étape de leur déploiement (mesure des écarts de conformité, traitement en cours, bilan annuel, validations, etc).

Chatbot RGPD

L’agent conversationnel ou chatbot du cabinet Lexing Alain Bensoussan Avocats répond à toutes vos questions concernant le Règlement Général sur la Protection des Données.

L’intégration sur les plateformes de messageries instantanées ou via les enceintes connectées facilitent les échanges pour une plus grande interactivité.

Chacun est invité à formuler sa demande en langage naturel (voix ou texte), celle-ci est alors affinée par un dialogue convivial grâce à l’intelligence artificielle.

Le chatbot apprend chaque jour sur les sujets du droit des technologies afin de vous informer sur vos nouvelles obligations.

Diagnostic de conformité RGPD

Le Diagnostic de conformité RGPD et Informatique & libertés est un outil simple d’utilisation et intuitif, permettant aux entreprises privées et organismes publics d’évaluer leur conformité Informatique et libertés en mesurant les écarts entre l’existant et les exigences de la protection des données à caractère personnel.

L’outil consiste en :

• • un rapport de diagnostic de conformité basé sur plus de 100 questions avec une analyse d’écart,
• • un tableau de synthèse de conformité par thématique (principes fondamentaux notamment le consentement ou la transparence),
• • une « feuille de route » en 20 étapes proposant, de manière détaillée, cadencée et par ordre de priorité, les actions à mener, tant sur le plan juridique qu’organisationnel.

Le Diagnostic de conformité permet ainsi de procéder à un véritable état des lieux et d’évaluer l’état de conformité au RGPD dans ses trois dimensions : juridique, organisationnelle et technique.

Il s’agit de l’étape préalable indispensable à toute mise en conformité Informatique et libertés.

Cartographie

Les registres développés par le cabinet en mode SaaS (Registres Responsable du traitement, Sous-traitant et Violation de données), outre qu’ils permettent de mesurer l’impact du RGPD sur la protection des données collectées et traitées et surtout de documenter la conformité de chaque traitement, peuvent également être utilisés dans le cadre des audits de traitement, en vue élaborer la cartographie.

L’outil en mode SaaS développé par le cabinet permet en effet de dérouler l’ensemble des questions d’une manière logique.

A l’issue d’entretiens en interne avec les responsables d’activité, les fiches de traitement sont enregistrées directement dans l’outil en mode brouillon.

A charge ensuite pour le ou les responsables de les valider.

Cette opération évite d’avoir à ressaisir l’ensemble des informations collectées au cours de l’audit, et de générer automatiquement un document en format PDF comportant l’ensemble des informations relatives au traitement.

Celui-ci peut ensuite être joint au rapport d’audit.

Ce process permet d’économiser du temps de saisie et de disposer directement en interne d’un registre à l’issue de la mission.

Gestion des données sensibles

les données dites « sensibles », qui révèlent les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses, l’appartenance syndicale, la santé ou la vie sexuelle d’une personne, bénéficient d’une protection particulière.

La collecte et l’utilisation de ces données est interdite, sauf dans certains cas, notamment :

• • si la personne concernée a donné son consentement exprès (démarche active, explicite et de préférence écrite, qui doit être libre, spécifique, et informée) ;
• • si les informations sont rendues publiques par la personne concernée ;
• • si elles sont nécessaires à la sauvegarde de la vie humaine ;
• • si leur utilisation est justifiée par l’intérêt public et autorisé par la Cnil ;
• • si elles concernent les membres ou adhérents d’une association ou d’une organisation politique, religieuse, philosophique, politique ou syndicale.

Diagnostic d’un traitement

A l’instar de l’outil Macro Diagnostic, le Diagnostic d’un traitement est un outil simple d’utilisation et intuitif, permettant aux entreprises privées et organismes publics d’évaluer un traitement à l’aune des exigences du RGPD, soit dans le cadre de sa revue périodique, soit en cas modification substantielle de celui-ci.

L’outil consiste en :

• • un rapport de diagnostic de conformité avec une analyse d’écart,
• • un tableau de synthèse de conformité propre au traitement concerné (principes fondamentaux notamment le consentement ou la transparence),
• • une « feuille de route » proposant, de manière détaillée, cadencée et par ordre de priorité, les actions à mener.

A la différence du Macro Diagnostic de conformité, étape préalable indispensable à toute mise en conformité qui permet de procéder à un véritable état des lieux de la politique informatique et libertés de l’entreprise et d’évaluer l’état de conformité au RGPD dans ses trois dimensions juridique, organisationnelle et technique, le Diagnostic d’un traitement consiste en l’analyse d’un traitement soit dans le cadre de sa revue périodique, soit en cas modification substantielle de celui-ci destiné à aboutir à l’établissement d’une cartographie et ce faisant, à permettre la mise à jour du Registre de traitement.

Contrats responsables de traitement, sous-traitants et co-responsabilité

Le RGPD maintient l’obligation de souscrire un contrat liant le sous-traitant au responsable du traitement, tout en précisant ses contours et en fixant des exigences strictes et plus importantes.

L’acte juridique doit notamment définir les obligations du sous-traitant relatives à confidentialité des données, l’exercice des droits des personnes concernées, l’éventuel recrutement par le sous-traitant d’un sous-traitant ultérieur, d’un nouveau sous-traitant, et l’obtention de l’autorisation préalable écrite du responsable du traitement, la suppression des données concernées à l’issue du traitement.

Le RGPD prévoit également que les responsables conjoints du traitement doivent définir de manière transparente leurs obligations respectives aux fins d’assurer le respect des exigences du règlement.

Le cabinet accompagne les organisations dans le cadre de cette étape étape qui se décompose en trois phases :

• • Recensement des documents de collecte, d’information et des contrats signés avec les sous-traitants ;
• • Etablissement des contrats types et des mentions d’information ;
• • Implémentation des contrats et mentions.

Registre des activités de traitement

Afin de pouvoir mesurer l’impact du RGPD sur la protection des données collectées et traitées et surtout documenter la conformité de chaque traitement, les responsables de traitement peuvent établir le registre exigé par l’article 30 du Règlement à l’aide de notre outil Registre responsable du traitement.

Dans le cadre des nouvelles obligations découlant du RGPD, vous devez documenter les traitements de données à caractère personnel que vous mettez en œuvre (principe de responsabilité ou d’ « accountability »).

Cette obligation de documentation se concrétise notamment par la tenue d’un registre des traitements.

Ce registre doit comporter les informations suivantes :

• • le nom et les coordonnées du responsable du traitement et, le cas échéant, du responsable conjoint du traitement, du représentant du responsable du traitement et du délégué à la protection des données ;
• • les finalités du traitement ;
• • le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, y compris l’identification de ce pays tiers ou de cette organisation internationale et les documents attestant de l’existence de garanties appropriées ;
• • une description des catégories de données traitées, ainsi que les catégories de personnes concernées par le traitement ;
• • dans la mesure du possible, les délais prévus pour l’effacement des différentes catégories de données ;
• • dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles mises en œuvre.

Notre outil en mode SaaS permet par recenser de façon précise les traitements de données personnelles mis en oeuvre.

Les sous-traitants peuvent également créer le registre exigé par l’article 30 du règlement européen à l’aide de l’outil Registre sous-traitant.

Mentions d’information

Le cabinet met à la disposition de ses clients un générateur de mentions d’information qui lui permettront, pas à pas, de construire leurs mentions de manière conforme aux exigences de la réglementation Informatique et libertés.

Le RGPD exige que soient notamment communiquées les informations suivantes lorsque les données sont collectées auprès de la personne concernée :

• • les coordonnées du responsable du traitement et, le cas échéant, celles du représentant du responsable du traitement ;
• • le cas échéant, les coordonnées du DPO ;
• • la base juridique du traitement ;
• • les intérêts légitimes poursuivis par le responsable du traitement ;
• • la durée de conservation des données ;
• • l’existence du droit de demander au responsable du traitement l’accès aux données à caractère personnel, la rectification ou l’effacement de celles-ci ;
• • lorsque le traitement est fondé sur le consentement de la personne concernée, l’existence du droit de retirer son consentement à tout moment ;
• • le droit d’introduire une réclamation auprès d’une autorité de contrôle ;

Afin de permettre de répondre à leurs obligations d’information, tant à l’égard de leurs collaborateurs et partenaires que de leurs clients, le cabinet propose en mode SaaS un générateur de mentions d’information qui permet d’implémenter les exigences du RGPD.

Flux transfrontières, conventions de flux et règles d’entreprise

En vertu du RGPD, les transferts de données à caractère personnel hors du territoire de l’Union européenne sont interdits à moins que le pays ou le destinataire n’assure un niveau de protection suffisant.

Le cabinet propose des garanties appropriées permettant aux entreprises d’encadrer leurs flux transfrontières de données soit sous la forme de convention de flux transfrontières, soit sous la forme de règles contraignantes d’entreprise (BCR) qui permettent de gérer d’un nombre important de transferts de données en intra groupe et, éventuellement, des flux multidirectionnels.

Le registre en mode SaaS développé par le cabinet permet notamment de tracer ces flux et d’avoir une meilleure visibilité sur ces flux traitement par traitement.

Consentement

Le traitement de certaines données est soumis au consentement de la personne concernée. Le RGPD apporte une définition précise du consentement dans le cadre de la protection des données à caractère personnel.

En pratique, le RGPD exige différents types de consentement. Parfois le consentement requis est qualifié d’explicite et parfois il n’est pas qualifié.

Le Règlement exige un consentement explicite pour :

• • la mise en œuvre des flux ;
• • le traitement des catégories particulières de données ;
• • le profilage conduisant à une prise de décision automatique produisant des effets juridiques.

Pour les autres situations, le Règlement ne précise pas que le consentement doit être explicite. Il en est ainsi notamment pour la base juridique du traitement où il est uniquement précisé que « la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ».

Les outils en mode SaaS développés par le cabinet, et notamment les registres, permettent de s’assurer de l’implémentation de ces obligations au regard des exigences du RGPD.

les registres des sous-traitants (RGPD 2016/679) ;

Registre sous-traitant

Le RGPD met de nouvelles obligations à la charge des sous-traitants appelés à traiter des données personnelles pour le compte de leurs clients responsables de traitements.

Les sous-traitants, tenus à des obligations spécifiques en matière de sécurité, de confidentialité et de documentation de leur activité, pourront établir le registre exigé par l’article 30 du Règlement à l’aide de notre outil en mode SaaS Registre sous-traitant.

Ce registre doit, conformément à l’article 30 du RGPD, comporter les informations suivantes :

• • le nom et les coordonnées du ou des sous-traitants et de chaque responsable du traitement pour le compte duquel le sous-traitant agit, ainsi que, le cas échéant, le nom et les coordonnées du représentant du responsable du traitement ou du sous-traitant et celles du délégué à la protection des données ;
• • les catégories de traitements effectués pour le compte de chaque responsable du traitement ;
• • le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, y compris l’identification de ce pays tiers ou de cette organisation internationale et les documents attestant de l’existence de garanties appropriées ;
• • dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles mises en œuvre.

Les sous-traitants peuvent également créer le registre exigé par l’article 30 du règlement européen à l’aide de l’outil Registre sous-traitant.

Analyse d’impact

Parmi les nouvelles obligations qui pèsent sur les responsables de traitement figure la réalisation d’une analyse d’impact (article 35 du RGPD), lorsqu’un type de traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques.

Le cabinet a d’ores et déjà intégré dans sa pratique juridique la possibilité de réalisation d’une analyse de l’impact sur la protection des données personnelles sur les opérations de traitement envisagées, afin de :

• • justifier de la nécessité et de la proportionnalité des opérations de traitement en cause ;
• • identifier les risques pour les droits et libertés des personnes ;
• • évaluer ces risques en termes d’impact et de probabilité d’occurrence ;
• • identifier les mesures additionnelles à mettre en place afin de prévenir les risques ;
• • organiser, le cas échéant, la mise en œuvre des mesures protectrices.

Les outils d’implémentation au règlement européen proposés par le cabinet permettent de telles analyses d’impact au regard des règles applicables en France à la protection des données personnelles, en prenant également en compte les principes issus du règlement.

Ces fonctionnalités de la plateforme Lexing SaaS répondent au déroulé suivant :

• • le périmètre
• • les modalités
• • le contenu
• • la démarche
• • description du traitement des données à caractère personnel
• • identification de la nécessité d’une analyse d’impact
• • évaluation du traitement
• • identification des risques
• • identification et évaluation des solutions
• • Mise en œuvre des solutions et établissement d’un rapport d’analyse d’impact et intégration des résultats de l’analyse d’impact dans le projet.

Violation de données
Lettres et registre

Avec le RGPD, tous les organismes sont soumis à une obligation de notification des violations de données personnelles à la CNIL. Une très grande réactivité est nécessaire en la matière. En outre, la gestion des violations de données à caractère personnel doit être documentée. Pour ce faire, le cabinet propose sur sa plateforme un Registre Violations de données personnelles en mode SaaS.

La caractérisation d’une violation de données à caractère personnel entraîne plusieurs obligations à la charge du responsable du traitement et du sous-traitant, concernant :

• • la notification des violations au responsable du traitement puis à l’autorité de contrôle ;
• • la communication des violations aux personnes concernées.

Le RGPD précise les informations qui devront obligatoirement figurer sur la notification effectuée auprès de l’autorité de contrôle, dans les 72 heures au plus tard de la constatation de la violation de données personnelles.

La notification devra notamment comporter :

• • la description de la nature de la violation de données personnelles ;
• • les mesures à prendre pour atténuer les éventuelles conséquences négatives de la violation de données personnelles ;
• • la description des conséquences de la violation des données personnelles ;
• • les mesures à prendre ou prises pour remédier à la violation de données personnelles.

Une très grande réactivité est nécessaire en cas de violation de données à caractère personnel, qu’il s’agisse de résoudre l’incident ou de notifier et communiquer sur la violation.

La gestion des violations de données à caractère personnel doit être documentée. Pour ce faire, un Registre Violations de données personnelles doit être constitué.

Gestion des droits des personnes

Le RGPD consacre le droit des personnes concernées sur leurs données en leur conférant davantage de contrôle sur celles-ci. Notre outil « Gestion des droits des personnes » incluant un générateur des mentions d’information permet de s’assurer de l’implémentation de cette obligation et de veiller à ce que les données ne soient collectées qu’à la condition que les personnes concernées aient été informées de cette opération.

Les personnes dont les données à caractère personnel sont collectées disposent de certains droits qu’elles peuvent exercer auprès du responsable du traitement :

• • droit d’accès et d’interrogation ;
• • droit de rectification ;
• • droit d’effacement et droit à l’oubli ;
• • droit d’opposition ;
• • droit à la limitation du traitement ;
• • droit de définir les directives post-mortem ;
• • droit à la portabilité ;
• • droit de recours.

Il appartient au responsable du traitement de leur expliquer comment les exercer.

C’est l’objet des mentions informations qui doivent être communiquées aux personnes concernées au moment de la collecte de leurs données personnelles.

Notre outil Gestion des droits des personnes incluant un générateur de mentions d’information permet une procédure de gestion des droits des personnes conforme à la réglementation sur la protection des données à caractère personnel.

Il permet au responsable du traitement de mettre en place en interne un process de gestion des demandes d’exercice des droits et être à même d’y répondre dans les délais impartis.

Formation, sensibilisation et e-Learning

Organisme de formation professionnelle agréé, le cabinet dispense des formations juridiques à destination de ses clients utilisateurs de la plateforme Lexing Saas, s’agissant notamment des outils de gestion de la conformité règlementaire des traitements de données à caractère personnel.

Les avocats formateurs qui animent régulièrement des formations juridiques inter ou intra-entreprises, ont une pratique de très haut niveau en droit du numérique et en droit des technologies avancées.

Grâce à leur expertise, ils dispensent des formations complètes et de qualité et sont à même de répondre avec pertinence aux questions qui leur sont posées, en faisant preuve d’une écoute particulière et d’une grande disponibilité afin de répondre aux objectifs attendus.

Les formations s’appuient sur des outils pédagogiques, tels que glossaire des termes juridico-techniques, cas pratiques, quizz de validation des acquis.

Cette démarche implique, à la convenance des clients et/ou utilisateurs de la plateforme, et en concertation avec eux.

• • une réunion de travail relative aux thèmes à aborder pendant la formation ;
• • la spécification du support de formation ;
• • l’animation de la formation
• • la communication du dossier pédagogique (support de la formation, ainsi que les principaux textes cités).

Documentation (textes, commentaires et jurisprudence)

Le cabinet, qui s’est distingué très tôt par une politique éditoriale très active de publication de sa doctrine dans ses domaines d’activités pour mieux servir les intérêts de ses clients, met à disposition de ceux-ci, sur sa plateforme SaaS, une documentation exhaustive en droit de la protection des données à caractère personnel.

Le cabinet, qui a publié dès octobre 2016 le premier ouvrage entièrement dédié au Règlement européen sur la protection des données (éd. Larcier, 2ème édition parue en déc. 2017), dont une version en anglais est parue au printemps 2017 (Wolters Kluwer), propose sur sa plateforme Lexing SaaS :

• • Un fonds documentaire en ligne mis à jour en permanence ;
• • Le code Informatique et libertés et le Règlement européen annoté en ligne (français et anglais) ;
• • Une documentation de plus de cinq cent pages comprenant notamment les commentaires de chacun des quatre-vingt-dix-neuf articles du RGPD.

Le cabinet dispose d’un service de veille juridique, composé de trois personnes, qui analyse quotidiennement les principales sources d’information publiques : textes parus au JORF (lois, décrets, arrêtés et circulaires) et au JOUE (règlements, directives, décisions, recommandations), projets de texte en cours de discussion devant les Parlements français et européen.

Il dispose également d’un accès aux principales bases de données juridiques : Dalloz bases de données, Dalloz avocats revue, Navis fiscal des Editions Francis Lefebvre, Lamyline, Guide des professions juridiques, Infogreffe, Légipresse/Légicom, Moniteur-Juris, PL&B, Revue Fiduciaire.

Datavision RGPD : Représentation graphique des données juridiques

Le cabinet propose Datavision RGPD, une solution graphique permettant de visualiser les principaux concepts du Règlement Européen sur la Protection des données personnelles et faciliter leur implémentation.

A l’heure de l’infographie et partant du principe qu’un « bon schéma vaut mieux qu’un long discours », le cabinet – qui dispose de solutions graphiques permettant d’analyser le contenu des obligations à implémenter dans un secteur juridique donné – met à disposition des entreprises son outil Datavision, représentation graphique des textes, commentaires et jurisprudence dans le cadre de la mise en conformité au RGPD.

Visualiser les principaux concepts du Règlement.

Une première visualisation du RGPD peut être effectuée à partir d’une classification de ses principes directeurs.

Au sein de ce texte complexe qui comporte près de 400 obligations dont le contenu est précisé dans 99 articles contextualisés dans près de 200 considérants, la distinction n’est pas toujours aisée entre les droits fondamentaux (ex. : la protection des données personnelles ou la libre circulation des données) et les principes directeurs de la protection (ex. : minimisation ou limitation de la durée).

L’analyse de l’outil Datavision RGPD porte principalement sur les 4 principes suivants :

• • principe de légalité (licite, légalité) ;
• • principe de finalité (finalité) ;
• • principe de légitimité (légitimité) ;
• • principe de proportionnalité (proportionnalité) ;

Une aide à la compréhension

Le graphe de Datavision permet de visualiser d’un seul coup d’œil :

• • la répartition des principes au sein du RGPD ;
• • l’importance des principes, mesurée en termes d’occurrences lexicographique.

Intégration de la cartographie dans les registres

Les registres développés par le cabinet en mode SaaS (Registres Responsable du traitement, Sous-traitant et Violation de données), outre qu’ils permettent de mesurer l’impact du RGPD sur la protection des données collectées et traitées et surtout de documenter la conformité de chaque traitement, peuvent également être utilisés dans le cadre des audits de traitement, en vue élaborer la cartographie.

L’outil en mode SaaS développé par le cabinet permet en effet de dérouler l’ensemble des questions d’une manière logique.

A l’issue d’entretiens en interne avec les responsables d’activité, les fiches de traitement sont enregistrées directement dans l’outil en mode brouillon.

A charge ensuite pour le ou les responsables de les valider.

Cette opération évite d’avoir à ressaisir l’ensemble des informations collectées au cours de l’audit, et de générer automatiquement un document en format PDF comportant l’ensemble des informations relatives au traitement.

Celui-ci peut ensuite être joint au rapport d’audit.

Ce process permet d’économiser du temps de saisie et de disposer directement en interne d’un registre à l’issue de la mission.