Entré en vigueur le 25 mai 2018, le nouveau règlement européen sur la protection des données personnelles oblige les entreprises à mieux s’adapter aux nouvelles réalités du numérique. Cela s’applique également aux PME « petites et moyennes entreprises ». Toute entité ne respectant pas la mise en conformité RGPD subira donc des sanctions allant de 2 à 4% du chiffre d’affaires mondial.
Comment se déroule la mise en conformité RGPD des PME ?
Bien que les salariés d’une entreprise de petite taille soient dispensés de certaines obligations, le RGPD PME est un passage obligé. À noter que les démarches à suivre peuvent être différentes en fonction de la taille de la société. Pour ce faire, il faudra réaliser une étude d’exposition de l’entreprise au règlement européen. Concrètement, cette action est le point clé pour identifier les responsabilités de l’établissement en question, en tant que sous-traitant et responsable des traitements.
Pour les petites entreprises, cette procédure se traduit par une réunion d’une journée avec les divers acteurs. L’étape suivante consiste à mener un état des lieux des RGPD. Il s’agit ici d’identifier le GAP Analysis entre l’existant et les exigences des nouvelles dispositions, à l’aide d’une cartographie. Ainsi, une étude des risques est établie afin de détecter les grandes priorités de la mise en conformité. Après l’état des lieux, il faudra élaborer un plan d’action par traitement. Les actions seront par la suite regroupées par thématique (actions informatiques, juridiques et contractuelles, etc.).
Pourquoi solliciter un professionnel pour les différentes procédures ?
Il s’agit avant tout d’une procédure complexe. C’est pourquoi il est préférable de faire appel à un expert du domaine. Ce dernier propose un accompagnement sur-mesure afin de permettre aux dirigeants de rester concentrés sur le cœur de leurs activités. L’interlocuteur reste à leurs côtés à chaque étape de leurs projets. Étant donné que ce nouveau règlement bouleverse l’organisation entière de toute société, il est important d’en maîtriser le fonctionnement. Ainsi, il sera plus simple de proposer une solution en adéquation avec les attentes de tout intéressé. Et donc, pour commencer, il faudra réaliser un diagnostic afin d’identifier toutes les étapes de mise en conformité de la boîte en question. Cette analyse va permettre de mesurer le niveau de conformité au règlement. Cela ne veut pas forcément dire que toutes les actions menées seront jetées à la poubelle.
Il s’agit de même d’un processus fondamental pour identifier les risques et mettre en priorité les actions correctives. Un calendrier de mise en conformité en découlera, et il faudra s’en tenir. Le consultant intervient d’ailleurs pour cartographier les processus opérationnels. Aussi, il se charge de définir les ajustements nécessaires. L’étude consiste également à répertorier les traitements de données et à réaliser un suivi de l’évolution du registre de traitement. Le diagnostic a pour objectif d’étudier l’impact des risques identifiés. Autrement dit, il va permettre de faire une étude sur les conséquences potentielles sur la vie privée des personnes dont les données sont collectées. Enfin, il faut solliciter un DPO pour assurer notamment la protection des données personnelles.
