Formation Délégué à la protection des données personnelles (DPO/DPD) - Parcours 5 jours

Déterminer les obligations techniques et organisationnelles des entités concernées par le RGPD

Rappeler le champ d'application, les objectifs et les enjeux du RGPD

• Origine de la directive 95-46 et de la loi Informatique et Libertés et philosophie du RGPD
• Critères d'application territoriale et personnelle
• Acteurs et responsabilités : coresponsabilité des clients et prestataires

Définir les concepts et principes

• Notions de donnée, traitement, finalité, base légale, responsable de traitement, sous-traitant, destinataire, profilage, etc.
• Comment qualifier les protagonistes (responsables de traitement, sous-traitants...) ?
• Principes de licéité/loyauté de la collecte, limitation des finalités, minimisation/exactitude et conservation limitée des données, confidentialité, proportionnalité, responsabilité, transparence, et sécurité des traitements...
• Focus sur le consentement
• Eprivacy : spécificités des données de communications électroniques, cookie consent

Identifier les contraintes techniques et organisationnelles

• Cartographie des traitements, des finalités, des bases légales et des durées de conservation
• Protection structurelle des données, les exigences « Privacy by Design »
• Sécurité des données : mesures de sécurité logicielle/physique (pseudonymisation, certifications, plan d'assurance sécurité)
• Gestion d'une violation de données personnelles
• Analyses d'impact préalable
• Adoption d'une gouvernance interne et sensibilisation des équipes
• Procédures de conformité : gestion des demandes des droits, des violations de données et des AIDP et communiquer auprès des personnes concernées

Définir le rôle pour le délégué à la protection des données (DPD/DPO)

Repérer les raisons de nommer un DPO

• Prévenir les risques et sanctions : amendes/CA, actions des personnes concernées, condamnation et préjudices
• Fonction quasi-obligatoire dans l'entreprise

Mesurer les fonctions du DPO dans l'entreprise

• Tenir le registre
• Limiter les mises en cause de responsabilité
• Expliquer ses missions

Cerner les oblications juridiques

Informer les personnes concernées et gérer leurs droits

• Conception des mentions d'information
• Déploiement des mentions d'information et modalités de recueil des consentements des personnes

Gérer la conformité RGPD sur le plan contractuel

• Thématiques contractuelles
• Clauses et annexes du RGPD

Caractériser les spécificités du traitement des données et les risques

Analyser les flux transfrontaliers de données

• Encadrement des transferts internationaux de données : « BCR », clauses contractuelles types
• Conventions de flux complémentaires

Déterminer les sanctions liées au RGPD

• Sanctions et responsabilités
• Responsabilités contractuelles
• Amendes et sanctions de la CNIL

Définir le rôle du DPO dans l'entreprise

Déceler l'origine du DPO : accountability et fin des déclarations préalables

• Accountability : philosophie de la conformité dynamique et responsabilisation des acteurs (responsable du traitement et sous-traitant)
• Principaux outils de la conformité dynamique : analyse d'impact à la protection des données (AIPD)

Expliquer le rôle du DPO

• Pilotage de la mise en conformité : DPO chef d'orchestre de la mise en conformité, DPO et comité de pilotage
• Conseil de l'organisme pour son maintien en conformité/bilan annuel

Examiner son mode de désignation et ses responsabilités

Désigner un DPO interne, externe ou mutualisé

• Cas dans lesquels la désignation du DPO est obligatoire (UE et États membres)
• Conditions et modalités de la désignation (qualifications et compétences requises)
• Choix entre la désignation d’un DPO interne, externe ou mutualisé, désignation dans un groupe

Analyser le statut et les responsabilités des DPO

• Statut du DPO interne/du DPO externe ou mutualisé
• Responsabilités

Exercer les missions de DPO

Lister les missions du DPO

• Information et conseil du RT ou du ST
• Contrôle du respect du RGPD et des autres dispositions en matière de protection des données
• Conseil sur l'analyse d'impact/coopération et point de contact avec l'autorité de contrôle
• Identification, évaluation et préconisations avec le RSSI des mesures organisationnelles et techniques de sécurité
• Point de contact des personnes concernées pour l'exercice des droits
• Sensibilisation et formation, communication interne et externe (missions complémentaires)

Déployer la fonction de DPO dans l'entreprise

• Participation à toutes les questions de protection des données
• Ressources pour exercer ses missions/accès aux données à caractère personnel, formation continue

Encadrer la fin de mission du DPO

• Circonstances de la fin de mission : à l'initiative du DPO ou de l'organisme
• Cadre juridique
• Droits du DPO

Identifier les mesures de conformité à mettre en place dans l'entreprise

Auditer la protection des données

• Méthodologie, identification des interlocuteurs, interviews, collecte des documents et informations
• Distinction entre les opérateurs (responsables de traitement, responsables conjoints, sous-traitants)
• Identification des bases juridiques des traitements

Mettre en œuvre la cartographie des traitements

• Cartographie des traitements et des données
• Rôle du DPO lors de la cartographie des traitements : aide lors de l’enregistrement des traitements ou seul contrôle des registres ?
• DPO et registres de l’art. 30 (RT et ST)

Mettre en conformité la documentation contractuelle et d’information

• Rôles respectifs de la direction juridique et du DPO
• Identification des réglementations sectorielles
• Focus sur les transferts de données personnelles vers des pays tiers (décisions d’adéquation et garanties appropriées)

Déterminer l’opportunité d'une AIPD (ou DPIA)

• Rappels sur l'AIPD (accountability, finalité, caractère obligatoire)
• Critères sur l’opportunité d’une AIPD
• Notion de risque sur la vie privée
• Réalisation d'un AIPD : méthode et outils à la disposition du RT et du DPO, conseils sur la sous-traitance et sur les mesures organisationnelles et techniques de sécurité

Réagir face aux exigences liées à la protection de données des personnes concernées

Répondre au demandes d'exercice des droits des personnes interessées

• Attributions du DPO
• Mise en place des procédures d’exercice des droits
• Exercice des droits en pratique

Répliquer à une violations de données

• Procédures de détection/de notification : mise en place
• Rôle du DPO en cas de violation de données

Utiliser les ressources pertinentes pour piloter la conformité

Sensibiliser les différentes parties de l'entreprise

• Communication dans l'entreprise
• Élaboration des programmes de formation

Mettre à disposition des outils méthodologiques et logiciels pour l'exercice des fonctions de DPO

• Nécessité de s'appuyer sur des outils de gouvernance des données
• Outils à disposition : CNIL et éditeurs
• Outils et traçabilité des activités de traitement

Préparer en amont un contrôle CNIL

Intégrer le renforcement des contrôles de la CNIL depuis le RGPD

• Renforcement du cadre
• Origine des contrôles
• Typologie des contrôles

Lister les points d’attention lors du déroulement d’un contrôle sur place (au sein de l’entité)

• Vérification de l’identité des contrôleurs habilités
• Informations et droits dans le cadre d’une procédure de contrôle
• Etendue des pouvoirs des agents de contrôle

Evaluation de la compétence : Check-list - Les vérifications à opérer avant et pendant le contrôle CNIL

Adopter les mesures adéquates à la suite d'un contrôle CNIL

Traiter les suites d'un contrôle

• Procès-verbal du contrôle
• Actions à prendre par l'entité contrôlée à la suite du contrôle
• Décision de l'autorité de contrôle
• Point sur la nouvelle procédure simplifiée de sanction CNIL

Examiner les sanctions en cas de manquement et les voies de recours offertes

• Typologie des sanctions et exemples de décisions
• Publicité
• Voies de recours et exemples de décisions
• Coopération renforcée avec le RGPD entre la CNIL et ses homologues européens, exemples de décisions

Evaluation de la compétence : Exercice de synthèse - Récapituler les éléments recueillis lors du contrôle et check-list de la documentation RGPD incontournable

Implémenter des actions de mise en conformité dans l'entreprise

Organiser l'intégration de la conformité dans l'entreprise

• Sensibilisation des directions opérationnelles aux dispositions du RGPD
• Utilisation des ressouces de la CNIL

Bâtir des process

• Process de gestion d'un contrôle
• Diffusion au sein de l'entité

Evaluation de la compétence : Quiz - Construire un plan d'actions pour gérer les contrôles de la CNIL

Définir une politique de protection des données personnelles

Repérer les données à caractère personnel

• IA générative et protection des données personnelles (RIA/IA Act)
• Identification, modélisation des traitements et flux de données métiers
• Localisation des données à caractère personnel dans le SI et/ou dans le cloud

Prévenir les violations de données

• Panorama des cybermenaces et des acteurs de la cybersécurité
• Recensement des mesures de sécurité existantes
• Repérage des vulnérabilités pouvant impacter les biens supports

Évaluer les risques numériques à l'ère de l'IA

Analyser les risques numériques

• Listing des scénarios d'attaque convoitant les données sensibles et les données à caractère personnel
• Quantification des risques numériques en termes de probabilité d'occurrence et d'impacts induits

Être acteur de la conformité

• Sensibilisation des décideurs sur les risques pour leur donner les moyens d'évaluation des risques
• Comment devenir force de proposition sur la stratégie à élaborer ?

Développer des actions de traitement des risques

Agir sur les risques identifiés

• Pilotage des actions : réduction, transfert, acceptation, annulation
• Sélection, implémentation, test et optimisation des mesures de sécurité à même de réduire les risques identifiés

Échafauder des stratégies

• Définition d'une stratégie de réalisation des analyses d'impact
• Outil PIA de la CNIL pour protéger les données personnelles