Directive et implémentation des procédures RGPD
L’un des concepts essentiels dans le cadre de l’implémentation du RGPD est certainement le mot ”accountability”, qui implique que les entités qui tombent dans le champ d’application de ce règlement doivent pouvoir se justifier lorsqu’elles sont interpellées à ce sujet.
Il est donc important que le cabinet puisse être capable de démontrer qu’il respecte effectivement les dispositions de ce règlement.
Un certain degré de formalisme est donc requis, mais il tombe également sous le sens que ce degré de formalisme et de documentation dépend de la taille du cabinet.
En tout état de cause, il est important que le cabinet rédige des procédures, les implémente et puisse démontrer qu’il applique ces règles écrites.
« Responsabilisation » signifie qu’un cabinet doit pouvoir démontrer qu’il respecte les principes imposés et les règles. Les principes sont énoncés dans le règlement, mais des règles concrètes peuvent également avoir être établies par le cabinet. Ceci, sur la base du profil de risque de l’organisation, lequel doit être évalué selon les exigences spécifiques requises par la protection des données à caractère personnel.
Ces règles internes ne sauraient être à ce point si restrictives qu’aucun incident ne puisse se produire, mais l’organisation doit veiller à ce que le risque d’incidents reste limité et que des mesures appropriées soient prises, le cas échéant.
Passons en revue quelques pistes possibles, des thèmes, des considérations et des préoccupations susceptibles d’être utiles dans la rédaction de ces procédures.
Les cabinets qui ont mis sur pied un cadre de gestion interne de qualité, soit parce que c’est obligatoire, soit dans le cadre d’une démarche volontaire, devront bien entendu y intégrer ces procédures RGPD.
Dès lors que le traitement des données personnelles n’est pas à considérer de façon isolée, il ne suffit pas d’établir une procédure spécifique RGPD : il doit être tenu compte de toutes les autres procédures directement ou indirectement liées à la collecte et la conservation des données personnelles.