Dans les 6 étapes de la CNIL pour se mettre en conformité, une étape cruciale ressort : cartographier vos traitements de données à caractère personnel. D'une certaine manière, il s'agit de faire un état des lieux.

Un état des lieux ? Comme lorsque vous avez emménagé dans votre premier appartement ? … Eh bien oui pourquoi pas, ça y ressemble un tout petit peu.
Côté location, comme le nom l'indique, l'état des lieux (EDL pour faire court) permet de produire un document descriptif faisant l'inventaire d'un espace (on y notera l'état d'usure du lieu, les biens mobiliers présents, etc.). En matière RGPD, l'EDL permet de faire l'inventaire des activités de traitements d'un organisme, ce qui permettra par la suite d'évaluer ces activités.

Comment réaliser un EDL ?
Au sein d'un organisme, en s'appuyant sur l'organigramme, on commencerait par identifier les différents services ou pôles présents (RH, commercial, marketing, qualité, etc.) et par services on pourrait commencer à lister les différentes activités du service. Et après ?

Une question primordiale, sera de vérifier si l’on traite bien des données à caractère personnel pour chacune de ses activités. Si ce n'est pas le cas, on les sortira de l'EDL. Si c'est bien le cas : continuons.

Pour chaque activité, il faudra récupérer les informations suivantes :
• Pourquoi traite-t-on les données : quels sont les objectifs du traitement, ses finalités ?
• Quelles données utilise-t-on ? On prendra le soin de les distinguer (données courantes, données sensibles)
• Qui a accès aux données ? Etape importante : il faudra lister les différents acteurs (destinataires internes et externes : sous-traitant, partenaire, responsable conjoint, etc.) et rassembler les contrats correspondants ! (Contrat de travail, engagement de confidentialité, contrat de prestation de services, conventions, etc.)
• Où sont les données ? Sont-elles traitées sur le territoire de l'Union européenne ? Espace Schengen ? En dehors ? Ces éléments seront également à consigner précieusement et nous seront utiles pour l'évaluation à suivre.
• Pour combien de temps les données sont-elles utilisées ? Les archive-t-on ? Comment sont-elles détruites, purgées ?
Et enfin :
• Quelles sont les mesures de sécurité appliquées à chacune de ces activités de traitements ?

Pour garder le fil, n'hésitez pas à utiliser un modèle de registre des activités de traitement. Ceux fournis par la CNIL sont des trames fiables qui vous permettront de cartographier vos activités et de faire un premier état des lieux.

Et après ? Eh bien... On vous parle de l'audit au prochain épisode 😉 Abonnez-vous pour ne rien manquer !

свернуть