A lire si vous pensez que le RGPD ne vous concerne pas, ou pas trop, ou pas tout de suite.
Vous avez tous entendu parler du RGPD, l’avez évoqué en réunion, avez peut-être désigné un référent interne sur le sujet ou chef de projet chargé de défricher le terrain, voir un DPO mais sans que cela empiète sur le reste de ses missions, forcément prioritaires.
Vous êtes peut-être arrivé à la conclusion qu’il s’agissait d’une réglementation de plus comme les aiment tant nos gouvernants de France et d’Europe, réglementation qui allait surtout cibler les grosses structures ou autres GAFAM. Vous vous êtes convaincus que vous pouviez passer entre les mailles du filet, car vous pensez être trop petits (tout est relatif), votre business modèle ne tourne pas autour de la data, vous et votre équipe avez vraiment autre chose à faire. Et depuis 4 ans ou presque, il ne vous ait rien arrivé.
Arrêtez-vous un instant, juste une minute.
Les états se sont emparés de la protection des données personnelles, devenue un enjeu majeur de sécurité des citoyens, au même titre que la sécurité sanitaire, intérieure ou militaire. Les états comme les seigneurs en leur temps avec leurs châteaux et paysans, doivent d’abord garantir la protection de leurs citoyens s’ils veulent prétendre à lever l’impôt. Mais aussi assurer leur propre sécurité, en évitant le soulèvement des populations et la fameuse « manipulation extérieure ».
Le RGPD résulte ainsi d’une évolution technologique majeure qui bouleverse notre civilisation, et de son corolaire : l’émergence de menaces nouvelles qui ne cessent de se renforcer.
Le RGPD n’est pas qu’une petite réglementation de plus : il répond à des enjeux autrement plus sérieux, des besoins sécuritaires centraux en bonne place dans notre fameuse pyramide de Maslow. Sécurité du citoyen, sécurité de l’état.
L’exploitation à outrance de la data personnelle construit des empires et renverse les états. Et pour cela il faut de la matière première : la donnée qu’il faut aller chercher. Voilà pourquoi le RGPD va s’inscrire dans la durée, inexorablement.
A tel point qu’il a fait des émules dans le monde : tous les pays, tous les continents s’en inspirent depuis 3 ans, avec plus ou moins de conviction et plus ou moins de rigueur. Les lois encadrant la protection des donnés personnelles se répandent comme une trainée de poudre sur toute la planète de long en large, de l’Angola au Groenland, de la Nouvelle-Zélande au Nicaragua en passant par l’Iran qui prépare son texte. Derniers en date, c’est peu dire : PDPL, Personal Data Protection Law, le 24 septembre 2021 dernier en Arabie Saoudite, ou PIPL, Personal Information Protection Law of the People’s Republic of China, qui prendra effet le 1er novembre 2021 en Chine. Les régulations sur la data sont des armes de contrôle massif des flux de données à l’échelle des états, sous couvert de protection des données. Qui contrôle les flux de données contrôle les peuples ?
Conclusion : si vous pensiez que le RGPD finirait aux oubliettes, vous vous êtes mis le doigt dans l’œil. Rassurez vous vous n’êtes pas les seuls depuis le 25 mai 2018, date d’entrée en application du texte il y a déjà plus de 3 ans : il va falloir maintenant juste s’y mettre un peu plus sérieusement.
Vous l’êtes parce que vous rentrez totalement dans le champ d’application territorial du texte, si d’une part vous proposez une offre de services ou de biens qui vous amène, vous ou un sous-traitant, à réaliser des traitements de données personnelles, et il est difficile de faire autrement sauf à se passer de clients, de fournisseurs, de personnels ou de partenaires. D’autre part, si votre organisation est sur le territoire de l’Union, ou que les personnes dont vous traitez les données soient sur le territoire de l’Union, ou que les traitements soient réalisés sur le territoire de l’UE.
Bref, vous êtes concerné.
Ah oui j’oubliais : peu importe que l’activité soit bénévole, peu importe votre taille ou votre statut : toute petite structure, profession libérale, association…
Le texte est malheureusement le même pour tout le monde, il s’impose à tous avec le même niveau d’exigence à quelques aménagements près, par exemple si vous avez moins de 250 salariés, aménagements rares et qui ne changent pas grand-chose dans la pratique.
Pas évident de parler de sanctions, ça n’est pas la meilleure façon d’intéresser sur le sujet.
Quelques faits récents : tout le monde a parlé du presque milliard d’euro d’amende infligée à Amazon (746 millions €) en juillet 2021 par la CNPD, l’autorité luxembourgeoise de protection des données ou les centaines de millions d’amende sanctionnant WhatsApp (225 millions d’euros par la DPC irlandaise en septembre 2021), Google, Facebook et autres GAFAM ces derniers mois et ces derniers jours.
Mais avez-vous entendu parler des récentes amendes de 3 000 à 500 000 euros infligées par notre CNIL bien française à des professions libérales, dentistes, médecins, des TPE et PME de tailles diverses.
D’autant que la mauvaise presse est encore plus problématiques quand les décisions sont rendues publiques avec citation du nom de l’entreprise ou collectivité coupable, information reprises alors en cœur par tous les médias et éditorialistes.
Avec des conséquences durables en terme d’image : impact sur l’interne, le recrutement, la clientèle.
Nous avons évoqué les amendes administratives. Elle se doublent dans certains cas de sanctions pénales qui touchent essentiellement les représentants légaux des organisations concernées mais aussi les membres du comité de direction, selon leur implication dans les traitements incriminés.
Ceux qui ont des clients de taille importante ont de plus en plus la désagréable surprise de recevoir des questionnaires bien copieux sur la compliance, des grilles interminables souvent en anglais et vous demandant plein de choses que vous pensiez réservées à votre organisation interne, et pire sur lesquelles vous ne vous étiez même pas interrogés, et là, difficile de rattraper le temps. Le concept de sous-traitant de traitements de données commence à se traduire dans la réalité, et là encore, ce n’est que le début. Ces questionnaires peuvent vous fermer des marchés, quelque soit la pertinence de votre offre sur votre cœur de métier. Et c’est bien dommage.
Les salariés sont de plus en plus sensibles à l’image employeur et le RGPD s’inscrit totalement dans cette démarche. Les salariés mais aussi les équipes externalisées, sous-traitants et partenaires.
Que dire de l’actionnariat qui par définition se doit de veiller sur la pérennité de son patrimoine.
Tous vos clients, BtoB ou BtoC. Le RGPD vous donne un réel avantage concurrentiel…avant que tout le monde s’y soit mis. Instaurer la confiance est la première phase de la démarche de vente. Incontournable et intemporel.
Le déploiement de la conformité vous permettra de vous interroger sur la réalité puis sur la pertinence de vos processus internes, sur l’intérêt des données qui passent dans votre champ d’intervention, avec en ligne de mire, la simplification des processus métiers.
Et quand on sait qu’une entreprise se définit par un enchaînement de processus successifs générant une valeur ajoutée à partir de données d’entrées, vous êtes au cœur du sujet, de votre sujet : un meilleur pilotage de la performance des processus de l’entreprise, et une meilleure satisfaction du client par le respect de ses attentes en le plaçant au cœur du fonctionnement.
Xavier ESTARELLAS
Pour être accompagné par Openbox Data Privacy dans votre mise en conformité ou pour tout renseignement sur nos offres, n’hésitez pas à nous contacter ici.