Please enable JavaScript.

Coggle requires JavaScript to display documents.

Module 2 : Cadre du programme de protection des données personnelles -…

- - - - Principes de base :
        
        Gouvernance des doonnées personnelles
        
        Procédures de traitement des enquêtes/réclamations
        
        Alignement de l'entreprise avec les lois et culture d'entreprise
      - Obj : concevoir un cadre structuré basé sur des principes et normes ou des lois et réglementations et programmes (ISO, NIST, GAPP)
      - Ce cadre doit :
        
        être documenté
        
        pouvoir être audité
        
        permettre une amélioration continue
      - obj :
        
        fournir une orientation cohérente pour toutes les actions en matière de privacy
        
        servir de référence reproductible pour toutes les étapes du programme
        
        réduire les erreurs ou lacunes
      - Méthode :
        
        Rationaliser les exigences
        
        obj : réduire la complexitépour les organisations opérants dans plusieurs juriductions => simplifier la conformité
        
        = identifier les obligations communes entre les différentes lois
        
        = mettre en place une approche harmonisée
        
        appliquer la norme la plus stricte comme référence
        
        cartographier les écarts
        
        documenter la démarche
    - - Plusieurs standards sont évoqués
        
        ISO 27001/27701
        
        NIST
        
        AICPA/CICA (mmodèle de maturité)
      - le cadre doit être adapté au niveau de maturité de l'organisation
  - - - A quoi cela sert ?
        
        garantir la conformité à la réglmentation
        
        renforcer la sécurité des données
        
        sensibiliser et former les employés
        
        assurer la transparence avec les clients et partenaires
        
        gérer les risques liés aux données personnelles
      - Comment y parvenir ?
        
        Evaluer les risques et les besoins
        
        Quels types de données sont traités ?
        
        personnelles, sensibles, anonymisées
        
        Quels sont les risques ?
        
        pertes de données, violations, accès non autorisés
        
        Quels sont les impacts possibles ?
        
        sanctions, atteinte à la réputation, perte de confiance
        
        Définir les piliers de la stratégie
        
        Gouvernance et conformité
        
        nommer un DPO et une équipe dédié
        
        définir des rôles et des responsabilités clairs
        
        intégrer la protection des odnnées dans la culture d'entreprise
        
        Sécurité des données et protection technique
        
        mettre en place des contrôles d'accès et d'authentification (MFA, SSO)
        
        utiliser le chiffrement et la pseudonymisation
        
        appliquer la journalisation et la supervision des accès
        
        Gestion des droits des personnes concernées
        
        faciliter l'accès, la rectification et la supression des données
        
        automatiser les réponses aux demandes d'exercice des droits
        
        assurer la transparence via des notices de confidentialité claires
        
        Surveillance et amélioration continue
        
        réaliser des audits réguliers de conformité
        
        suivre les indicateurs de performance lié à protection des données
        
        Mettre en place un plan d'action
        
        Définir des indicateurs de suivi (KPI)
      - Eléments à intégrer dans la stratégie
        
        Adhésion de la direction
        
        pour le soutien et les budgets
        
        Comment ?
        
        entretiens informels avec les décideurs
        
        identifier un "sponsor du programme" = dirigeant bien placé
        
        donne de la légitimité au programme + mobilise les ressources nécessaires
        
        impliquer les partenaires internes dès le départ
        
        Implication transversale
        
        pour une exécution efficace
        
        Comment ?
        
        organiser des ateliers réguliers pour les parties prenantes
        
        obj :
        
        favoriser la compréhension communes des enjeux
        
        harmoniser les connaissances
        
        soutenir le lancement et le développement du programme
        
        tenir un registre d'attribution des responsabilités
        
        pour cela : former un comité de pilotage réunissant les parties prenantes internes pour clarifier les rôles et attribuer les responsabilités formellement
        
        Ce registre sert :
        
        d'outil de communication entre les pp
        
        de preuve de conformité lors de l'audit
        
        de support à l'accountability
        
        Plan de communication
        
        Pour diffuser la culture privacy
        
        Comment ?
        
        Formation et sansibilisation
        
        Pour responsabiliser les équipes
        
        Suivi et ajustement
        
        Pour s'adapter aux évolutions
  - - - C'est quoi ?
        
        La déclaration présentant la vision et l'objectif de protection des données personnelle ("finalité" ou "ambition")
        
        = énoncé de valeurs que l'organisation souhaite atteindre = énoncé de mission
        
        doit définir ce que vous faites pour protéger les données personnelles des personnes de manière concrète
        
        doit être facile à comprendre et à mettre en oeuvre par l'organisation
        
        communique de manière concise la position de votre organisation en matière de PDP à toutes les parties prenantes
        
        Exemple
        
        Vision
        
        La commission pour la protection des données se veut une autorité de contrôle et d'application du droit de l'UE en matière de PDP pleinement indépendante et adaptée à sa finalité, internationalement respecté et fiable
        
        Mission
        
        Protéger le droit à la protection des données en favorisant la conformité grâce à des conseils, à des contrôles et à la mise en oeuvre des réglemetations
      - Sa création requiert :
        
        L'acquisition de connaissance sur les approches en matière de protection des données personnelles
        
        L'évaluation du but recherché
        
        L'obtention de connaissance sur les approches en matière de protection des données personnelles
      - Rôle des parties prenantes
        
        soutenir la stratégie en matière de PDP
        
        permet de faciliter l'acceptation et le succès dans le temps des politiques de protection des données personnelles et de gestion de la protection des données personnelles
      - Elements communs (valeur et énoncé de mission)
        
        Valeur de la PDP pour l'organisation
        
        Objectifs organisationnels
        
        Méthodes permettant d'obtenir les résultats désirés
        
        Rôles et responsabilités
  - - - préalable à la mise en place d'une stratégie
      - Définition du champ d'application et de la charte du programme
        
        = Comprendre le contexte qui entoure le programme de PDP
        
        Exigences incombant au secteur d'activité
        
        Types de données personnelles que l'organisation collecte/stocke et comment elles sont utilisées
        
        Difficultés réglementaires
        
        Culture, attentes et perspectives, y compris l'acceptation du risque
        
        Lois, réglementations et standards mondaux et locaux
        
        définit les limites et les objectifs du programme
      - autorisation formelle peut etre nécessaire afin de justifier des investissements financiers et en personnel importants
        
        émane généralement des cadres dirigeants
        
        = étude d'opportunité, charte de programme ou documentation de lancement du programme (Program Initiation Document, PID)
        
        définit le "quoi", "pourquoi", "comment", "qui", "combien" et "quand" + "contexte qui entoure le programme"
    - - Déterminer les types de données couvertes
      - Identifier les réglementation applicables
      - Définir les systèmes et processus couverts
      - Définir les parties prenantes impliquées
      - Délimiter les frontières du programme
- - - - diligence raisonnable et évaluations des risques
      - gestion du consentement
      - traitement des demandes d'accès
      - cartographie des données
      - réponse aux incidents
      - analyse de conformité des cookies et sites Web
  - - - création et distribution de politiques et procédures
      - vérification des contrôles en place et détection des défaillances
      - évaluation et atténuation des risques
      - automatisatin des taches qui seraient autrement manuelles
    - - superviser tous les niveaux de l'organisation
      - aider à maintenir une conformité réglementaire multi-juridictionnelle
      - faciliter une approche cohérente, intégrée et auditable du programme
- - - - pouvoir de décision concentré au sein d'une entité unique
    - - chaque unité ou pays gère localement ses obligations
      - inconvénient : inefficacité
        
        chaque processus doit être reproduit plusieurs fois au lien d'une fois seulement
      - avantage : les employés sont chargés de résoudre les problèmes dans les domaines qu'ils maitrisent le mieux
    - - combinaison des deux, souvent utilisée dans les grandes entreprises
  - - - impliquer les hauts dirigeants
      - impliquer les parties prenantes
      - développer des partenariats internes
- - - - permet de faire remonter les risques + de diffuser les décisions
  - - - responsable stratégique du programme
      - présent surtout dans les grandes entreprises
    - - poste opérationnel
    - - analystes Privacy
      - chef de projet conformité
      - intervenants de première ligne