Protection des donnees : le guide complet pour les equipes securite et conformite

Qu'est-ce que la protection des donnees ?

La protection des donnees est la discipline qui garantit que les informations personnelles sont collectees, traitees, stockees et partagees conformement aux exigences legales et aux droits individuels. Elle regit les regles relatives a la maniere dont les organisations traitent les donnees personnelles — du consentement a la collecte jusqu'a la suppression — et donne aux individus le controle sur leurs informations.

Dans le paysage reglementaire du RGPD, du CCPA et des lois emergentes sur la vie privee dans le monde, la protection des donnees est devenue une preoccupation de niveau direction generale necessitant des processus, technologies et structures de gouvernance dedies.

Principes de protection des donnees

Principe	Description	Article du RGPD
Licéité, loyauté, transparence	Traiter les donnees de maniere licite, loyale et transparente	Art. 5(1)(a)
Limitation des finalités	Collecter les donnees pour des finalites determinees, explicites et legitimes	Art. 5(1)(b)
Minimisation des données	Ne collecter que ce qui est necessaire	Art. 5(1)(c)
Exactitude	Maintenir les donnees personnelles exactes et a jour	Art. 5(1)(d)
Limitation de la conservation	Conserver les donnees uniquement aussi longtemps que necessaire	Art. 5(1)(e)
Intégrité et confidentialité	Proteger les donnees par des mesures de securite appropriees	Art. 5(1)(f)
Responsabilité	Demontrer la conformite a tous les principes	Art. 5(2)

Bases juridiques du traitement

Base juridique	Quand l'utiliser	Exemples
Consentement	L'individu donne librement son accord eclaire	Emails marketing, cookies, analyses
Contrat	Traitement necessaire a l'execution d'un contrat	Traitement de commandes, fourniture de services
Obligation légale	Traitement requis par la loi	Declarations fiscales, declarations reglementaires
Intérêts vitaux	Protection de la vie d'une personne	Partage de donnees medicales d'urgence
Intérêt public	Traitement pour le benefice public	Sante publique, archivage
Intérêts légitimes	Besoin commercial equilibre avec les droits individuels	Prevention de la fraude, securite du reseau

Droits des personnes concernees

Droit	Article du RGPD	Delai de reponse	Exigences cles
Accès	Art. 15	1 mois	Fournir une copie de toutes les donnees personnelles
Rectification	Art. 16	1 mois	Corriger les donnees inexactes
Effacement	Art. 17	1 mois	Supprimer les donnees lorsqu'elles ne sont plus necessaires
Limitation	Art. 18	1 mois	Limiter le traitement pendant la resolution des litiges
Portabilité	Art. 20	1 mois	Fournir les donnees dans un format lisible par machine
Opposition	Art. 21	1 mois	Arreter le traitement fonde sur les interets legitimes
Décisions automatisées	Art. 22	1 mois	Droit de ne pas faire l'objet de decisions automatisees

Analyse d'impact relative a la protection des donnees (AIPD)

Phase	Activites	Livrable
Criblage	Determiner si une AIPD est necessaire (traitement a haut risque)	Evaluation de la necessite de l'AIPD
Description	Documenter l'activite de traitement, les flux de donnees, les finalites	Description du traitement
Évaluation de la nécessité	Evaluer la proportionnalite et la minimisation des donnees	Analyse de necessite et de proportionnalite
Identification des risques	Identifier les risques pour les droits et libertes des individus	Registre des risques
Atténuation des risques	Determiner les mesures pour traiter les risques identifies	Plan d'attenuation
Consultation du DPD	Solliciter l'avis du Delegue a la Protection des Donnees	Avis du DPD
Documentation	Enregistrer l'evaluation, les decisions et les risques residuels	Rapport d'AIPD

Cadre de conservation des donnees

Categorie de donnees	Conservation typique	Base juridique	Methode de suppression
Contrats clients	Duree + 6 ans	Obligation legale (prescription)	Suppression securisee
Dossiers d'emploi	Duree + 7 ans	Obligation legale (fiscalite, droit du travail)	Suppression securisee
Consentement marketing	Jusqu'au retrait	Consentement	Suppression immediate
Analyses de site web	26 mois	Interet legitime	Purge automatique
Journaux de securite	1 a 5 ans	Interet legitime / obligation legale	Purge automatique
Donnees de sauvegarde	90 jours glissants	Interet legitime	Rotation automatique

Transferts internationaux de donnees

Mecanisme	Cas d'usage	Complexite
Decision d'adequation	Transferts vers des pays offrant une protection adequate	Faible
Clauses contractuelles types (CCT)	Mecanisme le plus courant pour les transferts vers des pays tiers	Moyenne
Règles d'entreprise contraignantes (BCR)	Transferts intra-groupe dans les multinationales	Elevee
Dérogations	Consentement explicite, necessite contractuelle	Au cas par cas
Cadre UE-US de protection des données	Transferts vers des entreprises americaines certifiees	Moyenne

Exigences de conformite

Correspondance avec les referentiels

Exigence	RGPD	ISO 27001	SOC 2	NIS2
Politique de confidentialite	Art. 13-14	A.5.34	P1.1	Art. 21
Gestion du consentement	Art. 6-7	A.5.34	P3.1	—
Droits des personnes concernees	Art. 15-22	A.5.34	P4.1-P8.1	—
Registre des traitements	Art. 30	A.5.34	P1.2	—
AIPD	Art. 35	A.5.34	—	Art. 21(2)(a)
Notification de violation de donnees	Art. 33-34	A.5.24	CC7.3	Art. 23
Transferts internationaux	Art. 44-49	A.5.34	P5.1	—
Delegue a la protection des donnees	Art. 37-39	—	—	—

Preuves d'audit

Type de preuve	Description	Referentiel
Politique de confidentialite	Avis de confidentialite publie et a jour	Tous les referentiels
Registre des traitements (RAT)	Inventaire complet des activites de traitement	RGPD, ISO 27001
Registres de consentement	Preuves de collecte et de gestion valides du consentement	RGPD
Rapports d'AIPD	Evaluations completees pour les traitements a haut risque	RGPD, NIS2
Journal des demandes des personnes concernees	Registres des demandes recues et des reponses apportees	RGPD
Accords de traitement des donnees	Contrats avec les sous-traitants au titre de l'article 28	RGPD
Mecanismes de transfert international	CCT, BCR ou documentation d'adequation	RGPD
Calendrier de conservation	Durees de conservation documentees avec base juridique	Tous les referentiels

Erreurs courantes

Erreur	Risque	Correction
S'appuyer sur le consentement pour tout	Fatigue du consentement, consentement invalide, risque de retrait	Utiliser la base juridique appropriee — le consentement est l'une des six options
Absence d'inventaire des donnees	Impossibilite de respecter le RAT ou les droits des personnes	Creer et maintenir une cartographie complete des donnees
Ignorer les durees de conservation	Stocker les donnees indefiniment augmente l'impact des violations	Mettre en oeuvre des politiques automatisees de conservation et de suppression
Politique de confidentialite comme exercice de case a cocher	Non-conformite, action repressive	S'assurer que la politique reflete les pratiques reelles
Pas de processus d'AIPD	Evaluations de risques manquantes pour les traitements a haut risque	Mettre en oeuvre un processus de criblage et d'evaluation AIPD
Traiter la protection des donnees comme une affaire informatique uniquement	Dimensions commerciales et juridiques manquantes	Programme transversal avec le juridique, l'informatique et les metiers

Comment Orbiq accompagne la conformite en matiere de protection des donnees

Orbiq vous aide a demontrer vos controles de protection des donnees :

• Collecte de preuves — Centralisez les politiques de confidentialite, les AIPD, les RAT et les registres de consentement
• Surveillance continue — Suivez l'efficacite des controles de protection des donnees et les taux de conformite
• Trust Center — Partagez votre posture de protection des donnees via votre Trust Center
• Correspondance de conformite — Reliez les controles de protection des donnees au RGPD, ISO 27001, SOC 2 et NIS2
• Preparation d'audit — Packages de preuves pre-construits pour les auditeurs et les autorites de controle

Pour aller plus loin

• Classification des donnees — Classifier les donnees pour des controles de protection appropries
• Chiffrement — Proteger techniquement les donnees personnelles
• Gestion des identites et des acces — Controler l'acces aux donnees personnelles
• Reponse aux incidents — Procedures de notification de violation de donnees
• Gestion des risques tiers — Gerer les risques lies aux sous-traitants
• SMSI — La protection des donnees au sein du systeme de management de la securite de l'information