Conformité au RGPD pour les groupes d'entreprises — de l'analyse des écarts à la préparation pour l'audit

Points clés

Priverion est une plateforme de conformité au RGPD hébergée en Suisse, spécialement conçue pour les groupes d'entreprises multi-entités. Elle automatise les registres des activités de traitement (ROPA), les analyses d'impact relatives à la protection des données (AIPD), les demandes des personnes concernées (DSR), la gestion du risque fournisseurs et les processus de notification des violations. Toutes les données sont stockées dans une infrastructure certifiée ISO 27001 en Suisse. Les clients constatent une réduction de 75 % de la maintenance manuelle du registre des traitements et 3× plus de travail accompli par DPD.

Définitions

Qu'est-ce que le RGPD ?

Le RGPD (Règlement général sur la protection des données (RGPD)) est le Règlement (UE) 2016/679 du Parlement européen et du Conseil, qui régit le traitement des données à caractère personnel des personnes dans l'UE/EEE. Il s'applique depuis le 25.05.2018 et impose des obligations aux responsables du traitement et aux sous-traitants du monde entier qui traitent les données de résidents de l'UE.

Qu'est-ce qu'un registre des activités de traitement (ROPA) ?

Un registre des traitements est un registre obligatoire au titre de l'article 30 du RGPD qui documente chaque activité de traitement, sa finalité, sa base juridique, les catégories de données, les destinataires, les durées de conservation et les mesures de sécurité. Les responsables du traitement comme les sous-traitants doivent en tenir un.

Qu'est-ce qu'une analyse d'impact relative à la protection des données (AIPD) ?

Une AIPD est exigée au titre de l'article 35 du RGPD lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. Les lignes directrices 4/2017 du CEPD fournissent des critères détaillés permettant de déterminer quand une AIPD est nécessaire.

Qu'est-ce qu'un contrat de sous-traitance (DPA) ?

Un contrat de sous-traitance est un contrat exigé au titre de l'article 28 du RGPD entre un responsable du traitement et un sous-traitant. Il doit définir l'objet, la durée, la nature et la finalité du traitement, le type de données à caractère personnel ainsi que les obligations du sous-traitant.

Que sont les clauses contractuelles types (CCT) ?

Les CCT sont des clauses contractuelles types approuvées par la Commission européenne au titre de la décision d'exécution (UE) 2021/914 afin de fournir des garanties adéquates pour les transferts internationaux de données au titre du chapitre V du RGPD.

Statistiques d'application du RGPD

Selon le GDPR Enforcement Tracker, les autorités de contrôle de l'UE/EEE ont prononcé plus de 2'200 amendes depuis l'entrée en vigueur du règlement en mai 2018, pour un montant cumulé de sanctions dépassant 4,8 milliards d'euros. Le rapport IAPP-EY 2023 sur la gouvernance de la confidentialité a révélé que l'organisation moyenne emploie 5,2 collaborateurs à temps plein dédiés à la confidentialité, alors que 60 % des responsables de la confidentialité signalent que les processus manuels demeurent leur principal défi opérationnel. Une action coordonnée d'application du CEPD de 2024 portant sur le rôle des délégués à la protection des données a constaté que de nombreuses organisations peinent encore à doter leur DPD de ressources et d'une indépendance suffisantes.

Foire aux questions

Qu'est-ce qu'un registre des activités de traitement (ROPA) au titre du RGPD ?

Un registre des activités de traitement (ROPA) est exigé au titre de l'article 30 du RGPD. Il documente l'ensemble des opérations de traitement de données à caractère personnel, y compris les finalités, les bases juridiques, les catégories de données, les destinataires, les durées de conservation ainsi que les mesures de sécurité techniques et organisationnelles. Les responsables du traitement comme les sous-traitants doivent tenir un registre des traitements. Priverion automatise la création et la recertification du registre des traitements pour les groupes d'entreprises multi-entités.

Qu'est-ce qu'une analyse d'impact relative à la protection des données (AIPD) ?

Une AIPD est imposée par l'article 35 du RGPD pour les activités de traitement susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes. Elle exige des organisations qu'elles évaluent systématiquement la nécessité, la proportionnalité et les risques du traitement, et qu'elles identifient des mesures d'atténuation. Les lignes directrices 4/2017 du CEPD énumèrent neuf critères indiquant quand une AIPD est requise.

Comment Priverion facilite-t-il la conformité au RGPD pour les groupes d'entreprises ?

Priverion relie les registres des traitements aux analyses de risques, aux contrats fournisseurs et aux flux de données de toutes les entités du groupe. Lorsqu'un élément change, les enregistrements associés se mettent à jour automatiquement. Cela élimine le travail manuel sur les feuilles de calcul et garantit une documentation prête pour l'audit. Les clients constatent une réduction de 75 % de la maintenance manuelle du registre des traitements et 3× plus de travail accompli par DPD.

Les données de Priverion sont-elles hébergées en Suisse ?

Oui. Priverion est hébergé en Suisse avec un stockage de données certifié ISO 27001 en Suisse. Cela offre une couche supplémentaire de souveraineté des données aux organisations préoccupées par les transferts transfrontaliers de données au titre du chapitre V du RGPD.

Quelles obligations RGPD la gestion des fournisseurs couvre-t-elle ?

En vertu des articles 28 et 29 du RGPD, les responsables du traitement doivent s'assurer que les sous-traitants présentent des garanties suffisantes et que les contrats de sous-traitance comportent les clauses requises couvrant l'objet, la durée, la nature et la finalité du traitement. Le module de gestion des fournisseurs de Priverion suit chaque contrat de sous-traitant, sous-traitant ultérieur et contrat de sous-traitance en un seul endroit.

Quelles sont les exigences de notification des violations au titre du RGPD ?

En vertu de l'article 33 du RGPD, les responsables du traitement doivent notifier l'autorité de contrôle dans les 72 heures après avoir pris connaissance d'une violation de données à caractère personnel, à moins que la violation ne soit pas susceptible d'engendrer un risque pour les personnes. L'article 34 impose la notification aux personnes concernées lorsque la violation est susceptible d'engendrer un risque élevé. Les lignes directrices 9/2022 du CEPD fournissent des exemples pratiques de scénarios de notification de violation.

Quel est le lien entre le RGPD et la nouvelle loi sur la protection des données (nLPD) suisse ?

La nLPD révisée, en vigueur depuis le 01.09.2023, a été modernisée pour s'aligner étroitement sur le RGPD. Les deux lois exigent des registres des activités de traitement, des analyses d'impact relatives à la protection des données et la notification des violations. Les organisations actives à la fois dans l'UE et en Suisse peuvent gérer les deux cadres au sein de la plateforme unifiée de Priverion.

Quel rôle joue la norme ISO 27001 dans la conformité au RGPD ?

La norme ISO/IEC 27001 est la norme internationale relative aux systèmes de gestion de la sécurité de l'information (SGSI). Bien que la certification ISO 27001 ne soit pas exigée par le RGPD, elle fournit un cadre structuré pour mettre en œuvre les mesures techniques et organisationnelles requises au titre de l'article 32 du RGPD. L'infrastructure de Priverion est certifiée ISO 27001, et la plateforme prend également en charge les propres programmes de conformité ISO 27001 des clients.

Comparatif des fonctionnalités de conformité au RGPD