Services de conformité
Évaluations RGPD pour les organisations présentes sur les marchés européens
Comprenez vos flux de données, identifiez les écarts par rapport aux exigences applicables à votre organisation et planifiez la remédiation. Nos évaluations RGPD vous aident à documenter les travaux nécessaires à votre programme de protection des données transfrontalier.
Qu’est-ce que la conformité RGPD ?
Le Règlement général sur la protection des données (RGPD) régit le traitement de données à caractère personnel relevant de son champ d’application matériel et territorial. Il peut s’appliquer au titre d’un établissement dans l’UE ou à certaines activités exercées hors de l’UE qui proposent des biens ou des services à des personnes se trouvant dans l’UE ou y suivent leur comportement. La nationalité d’une personne, ou la simple détention de données sur un résident de l’UE, ne détermine pas à elle seule son applicabilité.
Les obligations applicables dépendent de l’activité de traitement et du rôle de l’organisation. Elles peuvent inclure la documentation des traitements, l’exercice des droits des personnes, l’application de garanties appropriées, l’évaluation des traitements à haut risque et l’encadrement des transferts internationaux. Une évaluation au périmètre défini doit identifier les exigences applicables et les éléments probants nécessaires pour en démontrer le respect.
Commencez par identifier les entités juridiques concernées, les rôles de responsable du traitement et de sous-traitant, les activités de traitement et les flux internationaux de données. Le périmètre de l’évaluation doit préciser les exigences évaluées ainsi que ce que le livrable permet, ou ne permet pas, d’établir.
Ce qui est inclus
Une évaluation RGPD complète
Cartographie et inventaire des données
Inventaire complet des activités de traitement de données personnelles, des flux de données, des transferts vers des tiers et des bases légales de chaque traitement.
Accompagnement des AIPD
Analyses d’impact relatives à la protection des données pour les traitements à risque élevé, avec stratégies d’atténuation des risques et documentation.
Rapport d’analyse des écarts
Évaluation des exigences du RGPD applicables aux activités de traitement et au rôle organisationnel convenus, avec constatations et recommandations de remédiation hiérarchisées.
Revue des transferts transfrontaliers
Évaluation de vos mécanismes de transfert international de données — clauses contractuelles types (CCT), décisions d’adéquation (dont le cadre EU–US Data Privacy Framework) et règles d’entreprise contraignantes (BCR) pour les flux de données entre l’UE et les États-Unis.
Droits des personnes concernées
Revue de vos processus de traitement des demandes d’accès, de rectification, d’effacement, de portabilité et d’opposition dans les délais fixés par le RGPD.
Revue de la protection des données dès la conception
Évaluation de la manière dont les principes de protection des données (privacy by design) sont intégrés à votre cycle de développement produit et à l’architecture de vos systèmes.
Notre démarche
Votre parcours vers la conformité RGPD
Découverte des données
Cartographier l’ensemble des traitements de données personnelles, identifier les responsables du traitement et les sous-traitants, et documenter les bases légales.
Évaluation
Évaluer les pratiques actuelles au regard des exigences du RGPD, réaliser les AIPD des traitements à risque élevé et revoir les politiques.
Remédiation
Mettre en œuvre les changements recommandés — actualiser les politiques de confidentialité, mettre en place les circuits de traitement des demandes d’exercice de droits (DSAR) et renforcer les mesures techniques.
Constatations de l’évaluation
Documentez le périmètre convenu, les constatations de l’évaluation et les priorités de remédiation. Toute revue de suivi ou tout livrable d’assurance est défini séparément dans les conditions de la mission.
Une évaluation RGPD privée ne constitue pas une approbation réglementaire. La certification RGPD prévue aux articles 42 et 43 relève d’un mécanisme approuvé distinct ; un rapport d’évaluation ne doit pas être assimilé à cette certification.
Questions fréquentes
Qu’est-ce que le RGPD ?
Le RGPD est un règlement de l’UE sur la protection des données qui régit le traitement de données à caractère personnel relevant de son champ d’application. Ses exigences dépendent de l’activité et du rôle de l’organisation. Le champ d’application territorial s’évalue au regard de l’article 3, notamment selon l’établissement dans l’UE et certaines activités concernant des personnes se trouvant dans l’UE.
Le RGPD s’applique-t-il aux entreprises américaines ?
Cela peut être le cas. Évaluez les activités de traitement concernées au regard de l’article 3 du RGPD. Une entreprise américaine peut y être soumise au titre d’un établissement dans l’UE, de l’offre de biens ou de services à des personnes se trouvant dans l’UE ou du suivi de leur comportement dans l’UE. Un sous-traitant peut également avoir des obligations contractuelles envers un client de l’UE, même lorsque ce seul fait ne le fait pas directement entrer dans le champ de l’article 3.
Qu’est-ce qu’une analyse d’impact relative à la protection des données (AIPD) ?
Une analyse d’impact relative à la protection des données évalue un traitement susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Son caractère obligatoire dépend de l’activité, de l’article 35 du RGPD et des orientations de l’autorité de contrôle compétente. Elle n’est pas automatiquement requise pour chaque organisation ou chaque activité de traitement.
Commencer
Abordez le RGPD avec une expertise transatlantique
Notre équipe basée en Suisse et nos qualifications d’audit américaines apportent à votre DPO et à votre programme RGPD l’expertise transfrontalière dont ils ont besoin.