Protection des données des clients et des utilisateurs

Les données personnelles que vous traitez, pour quelle finalité, combien de temps vous les conservez, qui y accède et comment vous les protégez. Le sujet est réglementé de façon uniforme en Europe, sans seuil de taille.

Toute entreprise qui a des salariés et des clients traite des données personnelles. Le registre des traitements est obligatoire dès le premier salarié, et c'est la première pièce demandée en cas de contrôle.

Une violation de données sans registre ni procédure de notification. Le délai de notification est court, et l'absence de préparation transforme un incident technique en manquement réglementaire.

Le registre des traitements, tenu une fois, fait l'inventaire de tous les outils qui détiennent de la donnée. Cet inventaire sert la sécurité informatique et la négociation des contrats de service.

Ces données suffisent à parler du sujet honnêtement. Chacune a sa fiche, qui dit où la trouver et sur quelle période elle se compte.

• Existence de politiques formalisées
• Description des politiques
• Pratiques déjà en place

Les formulations varient, la demande sous-jacente est presque toujours l'une de celles-ci.

• Tenez-vous un registre des traitements de données personnelles ?
• Avez-vous désigné un responsable de la protection des données ?
• Avez-vous subi une violation de données au cours des trois derniers exercices ?
• Vos sous-traitants informatiques sont-ils encadrés par un contrat conforme ?

Conserver ces pièces permet de refaire le chiffre l'année suivante et de répondre à une demande de justification sans rien reconstituer.

• Registre des activités de traitement de données
• Politiques écrites approuvées par la direction
• Registre des réclamations et incidents