Mise en œuvre du RGPD
Délégué à la protection des données, le conseiller idéal
ARTICLE EN ACCÈS LIBRE JUSQU'AU 15 OCTOBRE
Pour mettre en place un traitement efficace des données à caractère personnel, encore faut-il disposer des compétences et de l’expertise nécessaire. La solution la plus efficace est de se faire accompagner par un délégué à la protection des données (DPO). Pour les entreprises, la désignation d’un délégué à la protection des données, qu’il soit choisi en interne ou qu’il vienne de l’extérieur, est «fortement encouragée» par la Cnil. Une fois désigné, le DPO «est là pour conseiller, assister, accompagner le responsable de traitement, qui va lui-même assurer tout ce qui concerne la conformité du traitement des données à caractère personnel tant à l’intérieur d’une entreprise qu’envers les clients ou les prestataires de l’entreprise», précise Me Garance Mathias, avocat spécialisé dans les données personnelles et la cybersécurité (lire-ci-dessous).
La réputation de l’organisme en jeu
Pour l’entreprise, l’intérêt de la nomination d’un DPO est de «préserver son savoir-faire, de savoir exactement où se trouvent les connaissances d’un organisme et de vérifier que toutes les personnes qui ont accès aux données ont les droits d’accès nécessaires».
Le DPO est aussi un garde-fou à même de prévenir toute situation potentiellement dangereuse, par exemple en matière de conservation et de transfert des données. «Lorsqu’on fait appel à un tiers comme un hébergeur, par exemple, il est très important d’établir un contrat afin de s’assurer que ce prestataire est en mesure de fournir un niveau de garantie suffisant en matière de traitement sécurisé des données à caractère personnel», illustre Me Mathias. C’est en effet là une des exigences du RGPD. «Il faut se poser la question de la sécurisation: si je confie par exemple mes données de paie à un prestataire basé dans un autre pays, dois-je chiffrer mon flux de données? Que dois-faire de mes données relatives à la R&D?», indique la spécialiste. Dans le cas des géomètres-experts, les informations relatives aux noms des riverains ou à leur état civil nécessitent un encadrement strict en ce qui concerne le stockage, le partage et l’archivage. D’autant que c’est là que peut aussi se jouer la réputation d’un cabinet: «S’il y a une fuite de données, une plainte peut être déposée auprès de la Cnil voire auprès du parquet ou d’un service de police pour défaut de sécurité des données à caractère personnel», rappelle Me Mathias, qui voit là «un risque réputationnel évident».
L’OGE en pointe
En concertation avec les équipes de l’Ordre, un accompagnement juridique relatif à la conformité RGPD est réalisé avec Me Mathias dans le cadre des missions des géomètres-experts. A titre d’illustration, un modèle de procès-verbal de bornage normalisé a été mis à jour afin d’intégrer une mention relative à l’information des personnes concernées sur les enjeux en matière de protection des données. Un registre des activités de traitement des données à caractère personnel recensant les différents traitements mis en œuvre par l’Ordre a également été réalisé. Ce travail sur le registre a permis d’élaborer un modèle de registre pour traitements mis en œuvre par les conseils régionaux afin de faciliter la mise en conformité. Une réflexion a par ailleurs été menée afin de définir des durées de conservations des données à caractère personnel adaptées aux métiers et missions des géomètres-experts. Cet investissement, aux côtés de l’Ordre, avec la mise à disposition d’outils de conformité «protection des données» s’inscrit dans la transparence dans le cadre de la collecte et du traitement des données à caractère personnel de l’ensemble des acteurs concourants à la réalisation des missions. Ce qui renforce également la confiance.
