RGPD : comment réaliser une cartographie des données à caractère personnel ?

Les données à caractère personnel

Depuis son entrée en vigueur en 2018, le Règlement Général sur la Protection des Données (RGPD) est sur le devant de la scène. Il a remplacé une directive du 24 octobre 1995 qui a permis d’harmoniser les législations en la matière au sein des États membres de l’Union européenne. Cette harmonisation était toutefois partielle et à l’origine d’une certaine insécurité au niveau juridique.

Le RGPD a mis en place de nouvelles obligations incombant aux organismes public et privés, relatives à la sécurisation et à l’usage des données personnelles. Il est aujourd’hui essentiel d’être en conformité avec celui-ci, sous peine de lourdes sanctions.

Pour assurer cette mise en conformité, un organisme doit savoir précisément de quelles données il dispose et identifier celles exploitées.

De plus, face à la multiplication des sources de données et la complexification du paysage dans lequel elles circulent, le traçage du parcours d’une donnée s’est fortement complexifié. C'est pourquoi il est important de dresser une cartographie des données à caractère personnel.

La cartographie des données à caractère personnel

Aujourd’hui, tous les organismes traitant ou collectant des données personnelles sont tenus de respecter le RGPD. Dans le cadre de leur plan d'action pour se mettre en conformité avec ce règlement, la tenue d’une documentation complète sur leurs traitements de données personnelles est devenue impérative. 

L’article 30 du RGPD impose la création d’un registre des activités de traitement, essentiel à la conformité au règlement. C’est le premier document demandé par la Commission nationale de l'informatique et des libertés (CNIL) lorsqu’elle procède à un contrôle. Cette obligation concerne tous les organismes, publics comme privés, quelle que soit leur taille, dès qu’ils traitent ce type de données.

La mise en œuvre d’une cartographie des données à caractère personnel permet d’établir ce registre. La Commission nationale de l'informatique et des libertés est venue préciser les différentes informations que la cartographie va venir recenser :

• Les traitements de données personnelles ;
• Les catégories de données personnelles traitées ;
• Les objectifs poursuivis par les opérations de traitements ;
• Les acteurs (internes ou externes) qui traitent ces données ;
• Les prestataires sous-traitants afin d’actualiser les clauses de confidentialité ;
• Les flux en indiquant l’origine et la destination des données ;

La cartographie des données va offrir une vue exhaustive en recensant précisément les données collectées et l’ensemble des traitements mis en œuvre au sein de l’organisme analysé.

En plus de la démarche strictement administrative, la cartographie permet également de s’assurer de la conformité du traitement des informations personnelles, le cas échant, d’identifier les non-conformités, les risques et les mesures correctrices.

Quels sont les objectifs d'une cartographie des données personnelles ?

En donnant une vision à 360 degrés de ces données à un organisme, elle va harmoniser l’information disponible et va faciliter son utilisation. Les collaborateurs disposeront d’une meilleure accessibilité et compréhension des données traitées.

Le traitement des données à caractère personnel

Afin d’accompagner les organismes dans leur mise en conformité, la Commission nationale de l'informatique et des libertés a publié une liste de questions qu’il est essentiel de se poser au préalable :

1. Qui traite les données ?

   Identifier le responsable du traitement, le délégué à la protection des données, les responsables des services traitant les données au sein de l’organisme et les sous-traitants.

2. Quelles données sont traitées ?

   Identifier la nature des données collectées et celles sensibles.

3. Pourquoi ces données sont traitées ?

   Indiquer la finalité du traitement des données.

4. Où sont ces données ?

   Désigner le lieu d’hébergement des données et les états où elles sont transférées.

5. Pendant combien de temps ?

   Indiquer la durée de conservation de chaque catégorie de données.

6. Comment ces données sont protégées ?

   Indiquer les mesures de sécurité prises pour les protéger.

Une fois la cartographie des données à caractère personnel réalisée, l’organisme dispose de toutes les informations nécessaires pour établir ou compléter son registre des activités de traitement. C’est le tout premier levier à actionner avant de démarrer un projet de conformité au RGPD.