General Data Protection Regulation - GDPR

Comprendre le règlement européen sur la protection des données personnelles et s'y conformer

  • 4%

    du chiffre d'affaires annuel mondial, c’est l’amende maximale en cas de non-conformité GDPR

  • 40%

    C'est le volume d'augmentation des données chaque année

  • + 60

    entreprises accompagnées par PwC en France dans leur mise en conformité

Le règlement GDPR : une évolution majeure et nécessaire dans la gestion des données personnelles à l’échelle européenne

Le General Data Protection Regulation, entré en application le 25 mai 2018 représente un Big Bang en matière de  protection des données personnelles en Europe. Le délai de mise en conformité (conformité complète à horizon mai 2018) est très court, au regard des évolutions organisationnelles qu’elle peut impliquer et de son impact sur de nombreux domaines de l’entreprise (IT, mais aussi Commercial, RH etc.). Plus gros changement survenu dans le domaine depuis 20 ans, elle est le reflet des préoccupations croissantes des citoyens européens en matière de confidentialité et de protection de leurs données. Au-delà des nouvelles obligations qu’il impose, ce règlement représente également une formidable opportunité de :

  • Transformer l’approche de votre entreprise en matière de confidentialité des données ;
  • Renforcer la valeur de vos données et leur exploitation ;
  • S’assurer que votre organisation est prête pour l’économie digitale.

PwC vous accompagne dans la mise en conformité de vos processus avec ces nouvelles obligations, de la phase de diagnostic à l’accompagnement dans la mise en conformité GDPR, ainsi que dans l’audit de votre dispositif et/ou programme GDPR.

« A ce jour, nous avons accompagné plus de 60 entreprises de toutes tailles issues de plus de 15 secteurs différents. Suite à l'entrée en vigueur du Règlement en mai dernier nous constatons une évolution des besoins de nos clients qui vont au-delà de la réalisation d'un état des lieux et du support : les demandes s’orientent désormais sur la conformité des projets de transformation digitale liés par exemple aux nouveaux sites web, applications mobiles, objets connectés ou encore sur le traitement des demandes d'accès. En complément, les activités liées aux études d'impact, ou Privacy Impact Assessment, ainsi qu'aux audits des programmes GDPR sont aussi en forte croissance. »

Jean-David Benassouli, Associé Data & Analytics, PwC France

Nos experts ont développé un outil de diagnostic GDPR permettant de mesurer en 40 questions la maturité de votre organisation et d'évaluer votre exposition aux risques

Réalisez votre diagnostic !

Comprendre le règlement : les points clés

De la donnée personnelle au traitement : définitions

Toutes les données personnelles sont concernées, c’est-à-dire les éléments les plus communs (identité, numéro de sécurité sociale etc.), mais aussi des informations portant sur les caractéristiques physiques, culturelles, sociales, jusqu’à des éléments comportementaux digitaux comme les adresses IP, les identifiants et mots de passe ou encore les habitudes de navigation Internet.

On définit par traitement de ces données, « toute opération- automatisée ou en partie, ou non automatisée – de données », tels que la collecte, l'enregistrement, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion mais aussi l'effacement ou la destruction.

Un champ d’application géographique étendu

Le règlement est applicable à toute organisation établie sur le territoire de l’Union Européenne (y compris si l’exploitation et le traitement des données sont réalisés depuis l’étranger), mais aussi à toute organisation en dehors de l’Union, traitant de données personnelles de ressortissants européens ou de personnes situées sur le territoire de l’Union.

Les piliers du nouveau règlement GDPR

Droit

L’objectif du règlement est de renforcer les droits des ressortissants en matière de maîtrise de leurs données. Cette maîtrise passe notamment par l’affirmation du droit d’accès à ses propres données, du droit à la portabilité (l’utilisateur récupère, de manière simple et lisible l’ensemble de ses données) et du droit à l’oubli (droit des consommateurs/clients de rectifier ou d’effacer leurs données).

Sécurité

Dans un environnement toujours plus sujet aux cyber-attaques, le règlement vise à renforcer les moyens et contrôles mis en œuvre pour garantir la confidentialité et la disponibilité des données (mesures adaptées aux risques et à la nature des données utilisées, pseudonymisation, cryptage etc.). L’entreprise doit également notifier dans les 72h à l’autorité de contrôle compétente toute violation des données à caractère personnel.

Garanties

L’entreprise doit être en mesure de prouver, par le biais d’une documentation permettant de justifier du déploiement des dispositifs adéquats, sa conformité au règlement. Au-delà de sa propre conformité, le règlement stipule l’obligation pour l’entreprise de garantir, en toute transparence, que le sous-traitant (y compris extra-Union) qui exploite certaines de ces données est en mesure de répondre aux obligations qu’il établit (contractualisation obligatoire dans une logique de coresponsabilité).

Qualité

Le règlement s’efforce également de garantir la qualité de l’exploitation des données à caractère personnel. Il définit comme licite, loyal et transparent le traitement de données réalisé avec le consentement des personnes concernées, et avec une finalité déterminée, explicite et légitime. Le traitement des données sera donc fait dans une optique de minimisation des données, en ce qui concerne leur exploitation et leur conservation dans le temps. L’entreprise doit également garantir l’exactitude (et éventuellement la mise à jour) des données, ou leur effacement immédiat.

Les risques pour votre organisation

Opérationnels

  • Suspension -voire suppression- de l’autorisation du traitement des données (CNIL)

Financiers

  • Jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial en amende administrative
  • Droit à réparation du préjudice matériel et moral potentiellement exercé par les victimes

Image

  • Impact sur l’image de marque et la réputation

Les clés du succès de votre projet GDPR

Impliquer les interlocuteurs clés

Dès le début du projet, le déploiement d’un tel programme avec un large champ d’actions doit impliquer, dans les proportions appropriées, les directions concernées et notamment :

  • Juridique ;
  • DSI / Digital ;
  • Marketing & Ventes ;
  • Sécurité (RSSI) ;
  • Risque et compliance ;
  • Ressources Humaines ;
  • Contrôle interne.

Identifier les grandes étapes du projet

Le déploiement d’un projet d’une telle envergure nécessite l’identification des étapes clés de votre programme de conformité : la réalisation d’un diagnostic en parallèle du parcours de mise en conformité puis la définition d’un dispositif de surveillance et de contrôle permettant de pérenniser votre programme de conformité GDPR.

Adopter une approche par les risques et par les processus

Une approche par les risques vous permet de prioriser une démarche impact/probabilité efficace :

  • Ne traiter en priorité que les données et traitements critiques du périmètre ;
  • Mettre en œuvre une méthodologie adaptée axée sur le « nécessaire », au regard du règlement GDPR ;
  • Identifier les macro-processus puis les processus métiers ;
  • S’appuyer sur des outils pour optimiser et renforcer la mise en place et le suivi dans le temps de la conformité à la règlementation. 

Développer une dynamique d’amélioration opérationnelle

Le nouveau règlement représente de nouvelles obligations pour votre entreprise, mais également l’opportunité pour votre organisation d’optimiser et de valoriser l’utilisation de vos données :

  • Minimisation de la collecte des données ;
  • Pilotage de la qualité des données personnelles ;
  • Rôles et responsabilités associés aux données ;
  • Dispositifs de sécurité IT ;
  • Urbanisation du Système d’Information, etc

Nos rendez-vous

PwC organise des petits déjeuners trimestriels afin d’échanger avec ses clients sur le GDPR et ses applications concrètes. C'est l’occasion de partager des retours d’expérience et d’évoquer les problématiques rencontrées sur le terrain (exemple : GDPR et Ressources Humaines, pilotage du programme de conformité Groupe/Filiale, gestion des sous-traitants...). 

Les participants qui le souhaitent peuvent prendre la parole afin d'apporter leurs témoignages. Les échanges se poursuivent ensuite de manière informelle lors de la session dédiée au networking.

Comment nous pouvons vous aider

PwC, grâce à ses experts pluridisciplinaires et à son réseau international, vous accompagne à chaque étape du déploiement de votre programme GDPR :

  1. Identification des écarts aux exigences du Règlement (diagnostic et gap analysis)
  2. Création, structuration et complétion du registre des activités de traitement
  3. Accompagnement du DPO dans sa prise de fonction et mise en place de l’organisation 
  4. Audit et mise en conformité de la présence digitale : sites web, applications mobiles, mentions légales…
  5. Réalisation d’analyses d’impacts (Data Privacy Impact Assessment)
  6. Gestion des incidents de sécurité et accompagnement dans la notification de faille
  7. Intégration du Privacy By Design dans les projets
  8. Rédaction et mise en place des politiques : confidentialité, conservation des données…
  9. Pérennisation du programme de conformité et conduite du changement dans l’organisation 
  10. Audit de projet / programme GDPR 
  11. Accompagnement de filiales dans la mise en conformité, mesure de l’avancement des entités du périmètre

Des expertises complémentaires pour répondre aux différents enjeux GDPR

Juridique

Nos experts juridiques vous aident à :

  • Qualifier juridiquement le statut de l'organisation, des données ainsi que le régime juridique des activités de traitement associés
  • Structurer le registre des traitements
  • Effectuer les constats de conformité GDPR par apport aux exigences du Règlement
  • Revoir les documents contractuels (procédures, contrats, etc)

View more

Data Governance

Nos experts Data Gouvernance vous aident à :

  • Répertorier et localiser les données personnelles : clients, employés, fournisseurs, partenaires...
  • Cartographier les flux de données
  • Identifier les traitements
  • Contrôler la qualité et l'intégrité des données
  • Identifier les zones de progrès : gouvernance, organisation, IT en lien avec les données personnelles

View more

Cybersécurité

Nos experts Cybersécurité vous aident à :

  • Vérifier les mesures de sécurité IT
  • Identifier les risques non couverts et envisager les mesures de prévention
  • Intégrer le processus de data breach dans les processus existants de traitement des incidents de sécurité et de gestion de crise
  • Mettre en oeuvre les moyens techniques nécessaires à la préservation de la confidentialité, l'intégrité et la disponibilité des données personnelles
  • Contribuer à l'atteinte du Privacy by Design / Privacy by default

View more

Un réseau européen et mondial

Des experts sur le sujet à travers toute l’Europe et une présence mondiale permettant d’accompagner nos clients sur leurs différentes implantations géographiques dans l’UE et au-delà. 

Retrouvez toutes nos actualités

Abonnez-vous à la newsletter Gestion des Risques !

Actualités et plus

Contactez-nous

Jean-David Benassouli

Associé responsable de l’activité Data Analytics et Intelligence Artificielle, PwC France

Tel : +33 1 56 57 72 49

Email

Philippe Trouchaud

Associé Cybersécurité, PwC France

Tel : +33 1 56 57 82 48

Email

Rémi Dusaud

Senior Manager Data Governance, PwC France

Tel : +33 1 56 57 51 53

Email

Sandrine Cullaffroz-Jover

Directeur Avocate spécialisée GDPR

Tel : +33 1 56 57 40 29

Email
Suivez-nous !
Enjeux Transformation digitale Aligner les coûts Expérience client Croissance Risques et croissance Transactions et valeur Cybersécurité et stratégie Innovation Confiance et transparence Transformer par l’humain Data Blockchain GDPR IFRS et Règles Françaises Gouvernance Développement durable
Besoins Audit Conseil Cyber Intelligence Stratégie Gestion des risques Transactions Opérations financières, projets complexes Expertise comptable Operational Support (gestion déléguée) Gestion dématérialisée de la paie et des RH Litiges et investigations Investir à l'international Invest in France Juridique et fiscal Services aux entrepreneurs
Secteurs Aéronautique, défense et sécurité Assurance Automobile Banques et marchés de capitaux Distribution et biens de consommation Energies & Utilities Immobilier et hôtellerie Industries de santé Ingénierie et construction Médias et loisirs Private Equity Technologie Télécommunications Autres secteurs
Régions et marchés Région Hauts-de-France Région Grand-Ouest Région Sud-Ouest Région Sud Région Rhône-Alpes Bourgogne Région Est Afrique francophone
Pour aller plus loin PwC en bref Notre responsabilité sociétale Décryptages Espace Presse Publications Evénements LEAD Academy Carrières Alumni

© 2012 - 2019 PwC. PwC. PricewaterhouseCoopers France et Pays Francophones d’Afrique. Tous droits réservés "PwC" fait référence au réseau PwC et/ou à une ou plusieurs de ses entités membres, dont chacune constitue une entité juridique distincte. Pour plus d'information, rendez-vous sur le site www.pwc.com/structure