Comme chacun le sait, dans le monde d’aujourd’hui, le non-respect des exigences du GDPR peut entraîner des sanctions administratives, financières et pénales. Et le montant des sanctions encourues en cas d’infraction au GDPR a de quoi effrayer les entreprises.
Dans cet article, nous mettons en exergue les infractions les plus courantes afin de mettre en lumière les causes et surtout les actions à mettre en œuvre si cela n’a pas encore été fait.
Les 3 principales infractions au GDPR en Europe :
- Base juridique insuffisante pour le traitement des données –[GDPR, art. 6] – (38% du nombre total d’amendes)
- Mesures techniques et organisationnelles insuffisantes pour assurer la sécurité de l’information –[GDPR, art. 32] – (21% du nombre total d’amendes)
- Non-respect des principes généraux de traitement des données –[GDPR, art. 5] – (16% du nombre total d’amendes)
Tout règlement a un côté positif !
Et si le GDPR était un moyen de construire une identité plus forte à mettre en avant auprès de vos employés, clients et partenaires ?
Outre les sanctions imposées par les autorités nationales de protection des données, la réputation de l’entreprise est également en jeu. Et comme si cela ne suffisait pas, l’exposition aux cyber-risques peut être accrue, avec toutes les implications qui en découlent.
Plutôt que de considérer le GDPR comme une contrainte, il devrait être perçu comme un instrument permettant de valoriser et de protéger correctement le capital informationnel des entreprises 2.0 et d’assurer leur trajectoire numérique durable.
Plus que jamais, le temps du bilan est essentiel pour renforcer l’identité de votre organisation, son interactivité avec les acteurs du marché et contractualiser ses engagements à l’ère du numérique.
Bon à savoir :
Pour la période du 25/05/2019 au 20/05/2020, l’Autorité de protection des données (APD) a reçu 937 notifications de fuites de données (par exemple, données perdues, volées ou piratées), et 351 plaintes et demandes (ce chiffre combine le nombre de demandes de médiation et / ou de plaintes).
Exemples de sanctions et de motifs publiés sur le site web de l’APD :
- Traitement illégitime d’images provenant de caméras de surveillance
- Non-respect du droit à l’oubli
- Violations de données
- Utilisation disproportionnée de l’eID pour la création d’une carte de fidélité
- Non-respect des règles relatives aux cookies
Il y a fort à parier que certains sujets apparaîtront ou se développeront, comme par exemple :
- Gestion du consentement et des cookies
- Traitement des images de webcam pendant les téléconférences
- « Schrems II » et ses conséquences pratiques et organisationnelles
- Gestion des données par le biais de l’informatique en nuage
- Ainsi que les raisons mentionnées dans les trois premières sanctions européennes.
Nos recommandations pour minimiser ces risques et surtout consolider votre réputation :
- La sensibilisation doit être incluse dans un programme d’amélioration continue afin que votre personnel comprenne ses responsabilités et la manière dont ses actions contribuent à la réalisation des objectifs de votre organisation.
- La formation permet à vos employés de comprendre et d’appliquer le savoir-faire, combiné à leur expérience, pour assumer leurs rôles et responsabilités.
- Une évaluation régulière vous permettra d’évaluer le niveau de maturité GDPR de votre organisation et de définir et mettre en œuvre un plan d’action dans le cadre d’un processus d’amélioration continue.
- Un audit permet d’approfondir des sujets considérés comme sensibles et peut révéler des questions qui, une fois traitées, pourraient constituer un facteur déterminant de différenciation sur le marché.
- La visibilité sur la sécurité technologique devient centrale pour protéger votre capital informationnel et répondre aux exigences du GDPR.
- La communication à 360° vise à faire connaître les engagements de votre organisation à toutes les parties intéressées, internes et externes, et à instaurer une confiance durable grâce à une bonne gestion de l’information.
« Ce qui n’est pas connu n’est pas géré !
Que faire si vous n’avez pas de DPD ou de RSSI ?
De nombreuses organisations ont décidé de confier la gestion de leur capital informationnel à un partenaire capable de prendre en compte les exigences légales, techniques et organisationnelles propres au contexte du client.
Votre partenaire sera en mesure de vous offrir un service en fonction des objectifs et perspectives souhaités, tant par le conseil que par la mise en œuvre de votre conformité au GDPR.
En résumé, la CONFIDENCE, une bonne COMPRÉHENSION de votre activité et une COLLABORATION de qualité avec votre partenaire seront les garants d’une relation durable.
Rédigé par nos consultants en protection de la vie privée : Olivier Dupont & Alain Brisy
Sources :
https://www.autoriteprotectiondonnees.be/professionnel
https://www.cnil.fr/professionnel
https://www.enisa.europa.eu/
https://www.cybersecuritycoalition.be/
https://www.enforcementtracker.com/
