Confidentialité et protection des données
GDPR
GDPR (Règlement général sur la protection des données)
Le RGPD est le règlement de l'UE qui régit la manière dont les données à caractère personnel sont traitées. Nous vous aidons à comprendre vos obligations, à mettre en place les contrôles et les registres appropriés, et à démontrer votre responsabilité.
Ce qu'est GDPR
Le Règlement général sur la protection des données est une loi de l'Union européenne qui régit le traitement des données à caractère personnel relatives aux personnes situées dans l'UE. Il repose sur des principes tels que la licéité, la loyauté et la transparence, la limitation des finalités, la minimisation des données et la responsabilité, et il accorde aux personnes des droits sur leurs données, dont l'accès, la rectification et l'effacement.
Le RGPD est un règlement dont vous démontrez la conformité, et non une norme pour laquelle vous êtes certifié. Il s'applique aux organisations situées hors de l'UE lorsqu'elles offrent des biens ou des services à des personnes se trouvant dans l'UE, ou surveillent leur comportement. La responsabilité est centrale : vous devez être en mesure de démontrer, au moyen de registres et de décisions documentées, que votre traitement est licite et que vous disposez de mesures de sécurité appropriées.
L'anatomie du règlement
Article 5 · Principes
Sept principes régissent tout traitement, dont la licéité, la loyauté et la transparence, la limitation des finalités, la minimisation des données, l'exactitude, la limitation de la conservation, ainsi que l'intégrité et la confidentialité.
Responsabilité
Le règlement exige non seulement que vous vous conformiez, mais que vous puissiez démontrer votre conformité au moyen de registres, de décisions documentées et de gouvernance.
Article 6 · Bases légales
Chaque activité de traitement doit reposer sur l'une des six bases légales, du consentement et du contrat à l'obligation légale, aux intérêts vitaux, à la mission d'intérêt public et aux intérêts légitimes.
Articles 15 à 22 · Droits des personnes concernées
Les personnes disposent du droit d'être informées, d'accéder, de rectifier, d'effacer, de limiter, à la portabilité, de s'opposer, ainsi que de protections concernant les décisions automatisées.
Articles 24 à 32 · Obligations du responsable du traitement et du sous-traitant
Obligations relatives à la protection des données dès la conception et par défaut, aux registres de traitement, aux contrats de sous-traitance et aux mesures de sécurité techniques et organisationnelles appropriées.
Articles 33 et 34 · Notification des violations
Les violations de données à caractère personnel doivent être notifiées à l'autorité de contrôle, généralement dans les soixante-douze heures, et aux personnes concernées lorsque le risque est élevé.
Article 35 · Analyses d'impact relatives à la protection des données
Un traitement à haut risque exige une évaluation documentée des risques pour les personnes et des mesures qui y répondent avant le début du traitement.
Chapitre V · Transferts internationaux
Les transferts de données à caractère personnel en dehors de l'UE doivent s'appuyer sur une décision d'adéquation ou sur des garanties telles que les clauses contractuelles types ou les règles d'entreprise contraignantes.
Qui en a besoin
- Toute organisation qui traite des données à caractère personnel de personnes situées dans l'UE, où qu'elle soit établie
- Les entreprises SaaS et B2B agissant comme sous-traitant de données pour des clients de l'UE
- Les équipes qui s'étendent sur le marché de l'UE ou traitent des données de clients ou d'employés de l'UE
Ce que vous obtenez
- Un exercice de cartographie des données et un registre des activités de traitement
- Des bases légales, des mentions d'information, des contrats de sous-traitance et les processus essentiels de protection des données
- Des analyses d'impact relatives à la protection des données lorsque c'est requis
- Des mesures de sécurité techniques et organisationnelles accompagnées de preuves issues de tests d'intrusion
Les délais dépendent du volume et de la sensibilité des données que vous traitez et de votre maturité actuelle. Nous en définissons honnêtement le périmètre en amont plutôt que de promettre un nombre fixe de semaines.
Version actuelle
Le RGPD, Règlement (UE) 2016/679, s'applique depuis le 25 mai 2018 et demeure la loi en vigueur ; son texte n'a pas été substantiellement révisé depuis son entrée en application. Ce qui change plus souvent, ce sont les orientations qui l'entourent, dont les avis du Comité européen de la protection des données et les positions des autorités de contrôle nationales, ainsi que les mécanismes relatifs aux transferts internationaux. Il n'y a pas de nouvelle édition vers laquelle effectuer une transition ; rester conforme consiste donc à garder vos registres, vos bases légales et vos dispositifs de transfert alignés sur les orientations actuelles plutôt qu'à migrer vers une nouvelle version.
Ce que cela coûte
Le RGPD est une loi dont vous démontrez la conformité, et non une norme pour laquelle vous êtes certifié ; il n'y a donc pas de certificat à acheter, et tr3labs n'est jamais certificateur, auditeur ni régulateur. Les coûts correspondent à nos honoraires de conseil et de mise en œuvre, chiffrés en amont une fois que nous comprenons votre taille et votre point de départ, auxquels s'ajoute tout apport indépendant que vous choisissez d'ajouter, comme un audit externe, une revue juridique spécialisée ou un délégué à la protection des données lorsque l'un d'eux est requis ou utile. Ces parties externes facturent séparément selon leur propre grille et restent indépendantes de nous. Nous ne chiffrons pas à l'aveugle ; nous en définissons d'abord le périmètre avec vous.
Comment tr3labs vous y amène
Évaluation du périmètre et des écarts
Nous cartographions votre traitement de données à caractère personnel, établissons votre rôle de responsable du traitement ou de sous-traitant, constituons le registre des activités de traitement et mesurons votre état actuel au regard des exigences du RGPD.
Construire les contrôles et les registres
Nous vous aidons à définir les bases légales, à mettre à jour les mentions d'information et les contrats, à mettre en place des processus pour les droits des personnes concernées et la notification des violations, et à mener des analyses d'impact relatives à la protection des données lorsque c'est nécessaire.
Sécuriser les données
Nous évaluons et renforçons les mesures de sécurité techniques et organisationnelles attendues par le RGPD, et utilisons des tests d'intrusion pour prouver que les données à caractère personnel sont protégées de façon appropriée.
Responsabilité et accompagnement continu
Nous rassemblons la documentation qui démontre la responsabilité et vous gardons prêts à répondre aux clients, aux partenaires et aux autorités de contrôle.
GDPR ou ISO 27701 ?
Les deux traitent des données à caractère personnel, si bien que les acheteurs les confondent parfois, mais l'un est une loi et l'autre un système de management certifiable qui vous aide à la respecter.
| GDPR | ISO 27701 | |
|---|---|---|
| Couvre | Une obligation légale sur les données à caractère personnel des personnes situées dans l'UE | Un système de management des informations relatives à la vie privée que vous exploitez et certifiez |
| Qui le demande | Les autorités de contrôle, les clients et les partenaires | Les acheteurs d'entreprise et les achats qui recherchent une assurance |
| Idée centrale | Démontrer un traitement licite et responsable | Exploiter des contrôles de confidentialité qui étendent ISO 27001 |
| Modèle d'audit | Aucun certificat ; la conformité est démontrée par des registres et des preuves | Certification en deux étapes par un organisme accrédité, puis surveillance |
| Souvent détenu avec | ISO 27001 et les règles sectorielles de confidentialité | ISO 27001 et SOC 2 |
FAQ GDPR
- Peut-on être certifié conforme au RGPD ?
- Le RGPD est un règlement dont vous démontrez la conformité plutôt qu'une norme pour laquelle un organisme accrédité vous certifie. Des mécanismes de certification approuvés existent en principe, mais en pratique les organisations prouvent leur conformité au moyen de registres, de décisions documentées et d'une sécurité appropriée. Nous vous aidons à constituer et à maintenir ces preuves.
- Le RGPD s'applique-t-il à nous si nous ne sommes pas dans l'UE ?
- C'est possible. Le RGPD s'applique aux organisations situées hors de l'UE lorsqu'elles offrent des biens ou des services à des personnes se trouvant dans l'UE, ou surveillent leur comportement. Nous vous aidons à déterminer s'il s'applique, et comment, lors de la définition du périmètre.
- Quelle est la différence entre un responsable du traitement et un sous-traitant ?
- Un responsable du traitement décide pourquoi et comment les données à caractère personnel sont traitées, tandis qu'un sous-traitant agit sur instruction du responsable du traitement. Vos obligations diffèrent selon le rôle ; établir lequel vous êtes, et pour quelles données, fait donc partie des premières choses que nous faisons.
Les services qui vous y amènent
Normes associées
À lire aussi
Le OWASP LLM Top 10, expliqué : un guide en langage clair pour les équipes qui déploient des fonctionnalités d'IA
Un parcours clair et pratique des dix principaux risques du OWASP pour les applications fondées sur de grands modèles de langage, avec une description en langage simple et une mesure d'atténuation concrète pour chacun, destiné aux équipes qui ajoutent des fonctionnalités d'IA pour la première fois.
9 min de lecture
Comment lire un rapport de test d'intrusion (VAPT) : un guide en langage clair pour les équipes
Une présentation pratique du contenu d'un rapport de test d'intrusion, section par section, afin que les fondateurs et les équipes d'ingénierie puissent le lire en confiance et agir sur ce qu'il indique.
8 min de lecture
SOC 2 ou ISO 27001 : une comparaison honnête pour vous aider à choisir
Un guide en langage clair sur les véritables différences entre SOC 2 et ISO 27001 : ce qu'est chacun, qui réclame lequel, comment se déroulent les audits, ce que vous détenez au bout du compte, et s'il vous faut les deux.
8 min de lecture