Règlement UE · Protection des données
Sightadel vous guide à travers les obligations du RGPD – du registre des activités de traitement à la notification des violations de données, en passant par la sous-traitance et les mesures techniques. Avec des modèles sectoriels issus de longues années de conseil, une IA comme aide à la rédaction et de vrais consultants pour les points difficiles.
De quoi s’agit-il
Le règlement général sur la protection des données (RGPD) s’applique directement dans toute l’Union européenne depuis mai 2018. En Allemagne, il est complété par la loi fédérale allemande sur la protection des données (BDSG). Il fixe les conditions dans lesquelles des données personnelles peuvent être traitées et les droits dont disposent les personnes concernées.
Au cœur du règlement figurent les principes de l’art. 5 : licéité, transparence, limitation des finalités, minimisation des données, exactitude, limitation de la conservation ainsi qu’intégrité et confidentialité. S’y ajoute le principe de responsabilité : vous devez non seulement garantir le respect de ces principes, mais aussi pouvoir le démontrer.
La question est donc rarement de savoir si le RGPD s’applique, mais dans quelle mesure. La plupart des organisations disposent quelque part d’un registre, de contrats et de mesures. Le problème est leur état : éparpillés, obsolètes et difficiles à rassembler lorsque l’autorité de contrôle pose une question.
Le registre des activités de traitement date de 2018, la liste des prestataires n’est plus à jour. Sightadel en fait un état tenu à jour, avec des dates de réexamen.
En tant que sous-traitant, vous répondez sans cesse à des questionnaires sur les mesures techniques et les sous-traitants ultérieurs. Le Trust Center répond aux questions habituelles une fois pour toutes.
Les mesures techniques et organisationnelles sont tenues en double, une fois pour la protection des données, une fois pour le SMSI. Une même preuve peut servir aux deux.
Exigences
Résumé avec nos propres mots. Seul le texte original dans sa version en vigueur fait foi.
Chaque traitement nécessite une base légale et respecte les principes. Le responsable du traitement met en œuvre des mesures appropriées et peut en démontrer le respect.
Dans SightadelQuestions guidées sur les principes et les bases légales. L’appréciation au cas par cas reste de votre ressort et de celui de votre délégué à la protection des données ; Sightadel la consigne avec sa justification.
Information, accès, rectification, effacement, limitation, portabilité et opposition – dans les délais et de manière traçable.
Dans SightadelPoints de contrôle sur les mentions d’information, le processus et les délais de traitement des demandes. Des modèles de réponse sont prêts, le traitement est déposé comme preuve.
La protection des données est prise en compte dès la planification et le choix des systèmes ; les paramètres par défaut ne collectent que le nécessaire.
Dans SightadelPoints de contrôle pour les achats et le développement, reliés à vos processus de validation. Les décisions sont documentées avec date et responsable.
Les prestataires qui traitent des données pour votre compte sont choisis avec soin et liés par contrat ; les sous-traitants ultérieurs sont connus.
Dans SightadelDans le module Fournisseurs, vous enregistrez les prestataires avec leur contrat, leurs sous-traitants ultérieurs et leurs preuves accompagnées de leur date de validité. Les contrats manquants deviennent des actions à mener.
Un registre de tous les traitements avec finalité, catégories de données et de personnes, destinataires, transferts, durées de conservation et mesures.
Dans SightadelLe modèle sectoriel propose des traitements types, que vous confirmez, complétez ou supprimez. Des dates de réexamen maintiennent le registre à jour.
Des mesures techniques et organisationnelles adaptées au risque, avec une vérification régulière de leur efficacité.
Dans SightadelLes mesures sous forme de questions guidées reliées aux preuves. Une preuve relative au contrôle d’accès ou à la sauvegarde démontre en même temps des exigences de l’ISO 27001 ou de NIS2.
Les violations soumises à notification sont en principe notifiées à l’autorité de contrôle dans les 72 heures. En cas de risque élevé, les personnes concernées sont également informées. Chaque violation est documentée.
Dans SightadelLe circuit de notification, les responsables et les critères d’appréciation sont définis à l’avance. Les violations sont enregistrées avec leur date, leur appréciation et les mesures prises, même lorsqu’aucune notification n’était nécessaire.
Pour les traitements susceptibles d’engendrer un risque élevé, les risques et les mesures pour y remédier sont évalués au préalable.
Dans SightadelDes questions guides aident à identifier les cas où une analyse d’impact est nécessaire. Vous menez l’évaluation vous-même ; Sightadel fournit la structure et consigne le résultat.
Lorsque c’est requis, un délégué à la protection des données est désigné, communiqué à l’autorité de contrôle et associé en amont.
Dans SightadelLa désignation, la communication et l’association du délégué sont suivies comme preuves. Les délégués internes ou externes travaillent dans Sightadel avec leur propre rôle.
Déroulement
Deux à quatre mois pour une documentation de base solide si une personne en interne porte le sujet. Ensuite, la protection des données est un état permanent, pas un projet avec une fin.
Désigner les responsables, charger les documents existants et les rattacher aux 45 points de contrôle. À la fin, vous savez ce qui est démontré et ce qui manque.
Recenser les traitements avec leur finalité, leur base légale, leurs destinataires et leurs durées de conservation. Les métiers fournissent les informations, la structure vient du modèle.
Recenser les sous-traitants, vérifier les contrats et les sous-traitants ultérieurs, enregistrer les lacunes comme actions à mener.
Démontrer les mesures techniques et organisationnelles, évaluer les traitements à risque et, si nécessaire, réaliser une analyse d’impact.
Définir les procédures pour les demandes des personnes concernées et les violations de données, désigner les responsables, les tester une fois.
Dates de réexamen pour le registre, les contrats et les mesures. Les nouveaux traitements et prestataires sont ajoutés avant leur mise en service.
Prêt à démarrer
Clarifier ces questions tôt fait gagner des semaines par la suite. Dans Sightadel, elles sont prévues comme premières tâches.
Répartition des rôles
Si un logiciel remplissait tout, la norme manquerait son but – et l’auditeur s’en apercevrait. C’est pourquoi ce qui reste de votre ressort est clairement défini.
Retours du terrain
Tirés de longues années de conseil et de certification : ce sont les points qui coûtent le plus de temps ou mènent à des non-conformités lors de l’audit.
Les nouveaux outils et processus y manquent au bout de peu de temps. Fixez une date de réexamen et faites du registre une étape de chaque achat.
Les petits outils et les comptes d’essai sont souvent oubliés. Rapprochez régulièrement la liste des prestataires de celles des achats et de l’informatique.
Le consentement est révocable et n’est souvent pas la base légale appropriée. Vérifiez pour chaque traitement quelle base s’applique et documentez-le.
Une politique de suppression jamais appliquée est un constat d’écart. Planifiez des campagnes de suppression et consignez qu’elles ont eu lieu.
Même les violations non soumises à notification doivent être documentées. Enregistrez chacune avec sa date, son appréciation et les mesures prises.
Qui attend la première demande pour chercher où se trouvent les données manque le délai d’un mois. Définissez au préalable la responsabilité, la vérification d’identité et la validation.
Une preuve, plusieurs frameworks
Nous ne donnons volontairement aucun pourcentage – il dépend de votre périmètre. Là où les exigences se recoupent, une même preuve est rattachée à toutes.
Les mesures techniques et organisationnelles au titre de l’art. 32 RGPD se démontrent avec les mêmes preuves que de nombreux contrôles de l’annexe A. Les bases légales et les droits des personnes concernées n’y ont pas d’équivalent.
NIS2Le processus de gestion des incidents, le contrôle d’accès et le pilotage des fournisseurs servent aux deux. Un incident de sécurité peut déclencher à la fois des obligations de notification auprès de l’Office fédéral allemand de la sécurité des technologies de l’information (BSI) et de l’autorité de contrôle de la protection des données.
SOC 2Les critères de confidentialité et de protection de la vie privée reposent sur les mêmes mesures et les mêmes données sur les prestataires. Utile si vous livrez aussi des clients américains.
ISO 42001Si vous utilisez l’IA avec des données personnelles, vous évaluez les risques pour les personnes concernées dans les deux référentiels. L’analyse d’impact et l’appréciation des risques liés à l’IA peuvent être menées conjointement.
Audit et preuve
Sont compétentes les autorités de contrôle de la protection des données des Länder et, pour certains domaines, le délégué fédéral allemand à la protection des données (BfDI). Elles instruisent les plaintes, demandent des documents et peuvent infliger des amendes. S’y ajoutent les clients qui vous contrôlent en tant que sous-traitant, ainsi que les délégués à la protection des données internes ou externes. Sightadel ne certifie pas et ne fournit pas de conseil juridique.
Quiconque contrôle reçoit dans Sightadel son propre accès, sans droit de suppression. Le journal d’activité montre sans lacune qui a fait quoi et quand, et dans le Trust Center vous présentez à vos clients vos mesures, vos documents et vos sous-traitants ultérieurs. L’ISO 27001 est une base éprouvée et structurée pour les mesures techniques, mais pas une obligation. Pour les contrôles externes, choisissez un contrôleur dans notre réseau de partenaires indépendants ou un contrôleur de votre choix. Aucune commission n’est versée pour les audits – ni à nous ni aux partenaires.
Vers le réseau d’auditeurs indépendantsLa protection des données engendre des coûts récurrents, et non ponctuels. Pour l’outil, la licence Sightadel pour le RGPD est facturée mensuellement selon l’édition, avec une durée minimale d’un an. Si votre licence Sightadel comprend l’ISO 27001 ou l’ISO 9001, vous bénéficiez d’une remise permanente sur le RGPD. Tous les prix et un simulateur se trouvent sur notre page Plans et tarifs.
S’y ajoute le délégué à la protection des données, si vous devez ou souhaitez en désigner un. Il peut être interne ou externe. Un délégué interne a besoin de temps, de formation continue et bénéficie d’une protection contre le licenciement dont il faut tenir compte dans la planification du personnel. Un délégué externe facture selon son propre modèle. Dans les deux cas, c’est indépendant de Sightadel.
Le poste le plus important est l’effort interne pour la documentation de base : registre des activités de traitement, contrats avec les prestataires, mesures techniques et organisationnelles, processus pour les demandes des personnes concernées et les violations de données. Deux à quatre mois sont réalistes si une personne y travaille régulièrement et que les métiers y contribuent. Il s’agit ensuite de maintenir : inscrire les nouveaux traitements, vérifier les contrats, appliquer les durées de conservation, former le personnel. Si vous avez besoin d’aide sur des questions particulières, vous ajoutez du conseil sous forme de forfait directement dans l’application. Sightadel ne remplace pas un conseil juridique.
Le RGPD prévoit deux plafonds d’amende : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, notamment en cas de manquement aux obligations relatives à la sécurité, au registre ou à la sous-traitance, et jusqu’à 20 millions d’euros ou 4 % en cas de violation des principes, des bases légales ou des droits des personnes concernées, le montant le plus élevé étant retenu. Les autorités de contrôle fixent les amendes au cas par cas et tiennent compte notamment du degré de coopération et de préparation de l’entreprise.
Les actions en réparation des personnes concernées sont au moins aussi importantes. Elles peuvent porter également sur un préjudice moral, par exemple après une violation de données ou une réponse tardive à une demande d’accès. S’y ajoutent les injonctions de l’autorité de contrôle, qui peuvent limiter ou interdire un traitement, et, en Allemagne, les mises en demeure adressées par des concurrents (Abmahnungen), dont la recevabilité est discutée au cas par cas.
L’essentiel est le principe de responsabilité. Vous devez non seulement respecter la protection des données, mais aussi pouvoir le démontrer. En cas de plainte, l’autorité de contrôle demande le registre, la base légale, les contrats et les mesures. Celui qui présente ces documents rapidement et de manière cohérente est en bien meilleure position. C’est précisément à cela que sert le niveau de preuve dans Sightadel.
Le RGPD exige expressément certains documents : le registre des activités de traitement, les contrats de sous-traitance, la documentation des violations de données, les analyses d’impact relatives à la protection des données pour les traitements susceptibles d’engendrer un risque élevé et, le cas échéant, la désignation du délégué à la protection des données. D’autres découlent du principe de responsabilité : description des mesures techniques et organisationnelles, mentions d’information, politique de conservation et de suppression, preuves des consentements, mises en balance en cas d’intérêt légitime et preuves de formation.
Le registre en est l’épine dorsale. Il décrit pour chaque traitement la finalité, les catégories de données et de personnes, les destinataires, les transferts vers des pays tiers, les durées de conservation et les mesures. S’il est bien tenu, les mentions d’information, la politique de conservation et les réponses aux demandes d’accès peuvent en être déduites. S’il est établi une fois puis oublié, il décrit deux ans plus tard une autre organisation.
Dans Sightadel, le modèle sectoriel propose des traitements types, que vous confirmez, complétez ou supprimez. Vous gérez les contrats et les sous-traitants ultérieurs dans le module Fournisseurs, et les mesures sous forme de questions guidées avec preuves. Des dates de réexamen garantissent que le registre est vérifié régulièrement.
Au quotidien, deux processus déterminent si la protection des données fonctionne : le traitement des demandes des personnes concernées et celui des violations de données. Vous devez en principe répondre à une demande d’accès dans un délai d’un mois. Pour des demandes complexes ou nombreuses, une prolongation de deux mois supplémentaires au plus est possible, si vous en informez la personne dans le premier délai en motivant la prolongation. L’accès porte sur les données elles-mêmes, les finalités, les destinataires, la durée de conservation et l’origine, ainsi que sur une copie.
Pour que cela fonctionne, il faut savoir clairement qui reçoit les demandes, comment l’identité est vérifiée, où se trouvent toutes les données et qui valide la réponse. Les demandes arrivent souvent par des voies inattendues : au service commercial, via un formulaire de contact, dans le cadre d’un litige prud’homal.
En cas de violation de données, le délai de 72 heures court à compter du moment où vous en prenez connaissance. Définissez qui évalue s’il existe un risque pour les personnes concernées, qui notifie et qui informe les personnes concernées. S’il s’agit en même temps d’un incident NIS2, les deux circuits de notification sont menés en parallèle. Dans Sightadel, les responsables et les modèles sont définis, et les demandes comme les violations sont enregistrées comme preuves avec leur date et leur appréciation.
Rares sont les organisations qui traitent des données uniquement par elles-mêmes. Paie, messagerie, CRM, outil de tickets, mesure d’audience et hébergement sont confiés à des prestataires. Chacun de ceux qui traitent des données pour votre compte doit être lié par un accord de sous-traitance (art. 28 RGPD), et vous devez l’avoir choisi avec soin. Cela implique de connaître ses mesures et ses sous-traitants ultérieurs.
Les transferts vers des pays situés hors de l’Espace économique européen méritent une attention particulière. Ils nécessitent un fondement, par exemple une décision d’adéquation de la Commission européenne ou des clauses contractuelles types assorties d’une évaluation de la situation dans le pays de destination. Même lorsqu’un fournisseur héberge les données dans l’UE, un accès depuis un pays tiers peut être possible, par exemple via le support ou la maison mère.
Dans le module Fournisseurs, vous enregistrez les prestataires avec leur contrat, leurs sous-traitants ultérieurs, les transferts et leurs preuves accompagnées de leur date de validité. Les contrats manquants deviennent des actions à mener. Sightadel est lui-même développé en Allemagne et hébergé en Allemagne, et chaque client reçoit un accord de sous-traitance au titre de l’art. 28 RGPD.
Le RGPD exige la sécurité du traitement, sans préciser en détail comment l’assurer. C’est là qu’un SMSI selon l’ISO 27001 est utile : contrôle d’accès, chiffrement, sauvegarde, journalisation et traitement des incidents y sont encadrés de manière systématique. Les mesures techniques et organisationnelles au titre de l’art. 32 se démontrent avec les mêmes preuves. Ce que l’ISO 27001 ne couvre pas, ce sont les bases légales, la limitation des finalités, les droits des personnes concernées et le registre des activités de traitement.
Les entités soumises à NIS2 utilisent le processus de gestion des incidents, le pilotage des fournisseurs et les formations pour les deux référentiels. Si vous utilisez l’IA avec des données personnelles, vous évaluez les risques pour les personnes concernées dans l’analyse d’impact relative à la protection des données et, le cas échéant, dans l’analyse d’impact selon l’ISO 42001. Les deux peuvent être menées conjointement, mais ne se remplacent pas.
Dans Sightadel, vous reliez une preuve une seule fois à toutes les exigences correspondantes. Votre délégué à la protection des données, interne ou externe, travaille avec son propre rôle. Dans le Trust Center, vous présentez à vos clients vos mesures, vos documents et vos sous-traitants ultérieurs, au lieu de remplir un nouveau questionnaire à chaque demande.
Ce que cela coûte
Vous ne payez que les frameworks dont vous avez réellement besoin. Les éditions diffèrent par leur capacité et leur délai de réponse, pas par leur contenu métier. Gérer plusieurs frameworks vous fait économiser durablement. Tous les prix, remises et un simulateur se trouvent sur la page des tarifs.
L’organisme de certification ou d’audit vous facture directement ses honoraires. Si besoin, vous ajoutez un accompagnement sous forme de forfait dans l’application.
Documents de travail
Vous trouverez des check-lists et modèles pour d’autres frameworks dans la rubrique Ressources.
Aides pratiques, pas de conseil juridique.
Notions clés
Questions et réponses
Plus de réponses dans la FAQ ou directement via notre formulaire de contact.
Presque toujours, dès lors que vous traitez des données de clients, de salariés, de candidats, de fournisseurs ou de visiteurs de votre site web – quelle que soit votre taille. Seule l’utilisation strictement personnelle ou domestique est exclue. Certaines obligations, comme la désignation d’un délégué à la protection des données, dépendent d’autres conditions.
Selon le manquement, jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, et en cas de manquements graves jusqu’à 20 millions d’euros ou 4 %, le montant le plus élevé étant retenu. S’y ajoutent les actions en réparation des personnes concernées et les injonctions de l’autorité de contrôle.
Pas de certificat général. Le RGPD prévoit certes des mécanismes de certification qui doivent être approuvés par l’autorité de contrôle, mais un certificat ne dégage pas de la responsabilité. Ce qui compte, c’est votre niveau de preuve documenté.
Une violation soumise à notification est en principe notifiée à l’autorité de contrôle dans les 72 heures après en avoir pris connaissance. Si elle présente un risque élevé pour les personnes concernées, celles-ci doivent également être informées. Vous devez documenter chaque violation, même si vous ne la notifiez pas.
Non. Sightadel fournit la structure, les modèles et la gestion des preuves. L’appréciation juridique au cas par cas reste du ressort de votre délégué à la protection des données ou de votre conseil juridique. Tous deux peuvent travailler directement dans Sightadel avec leur propre rôle.
En partie. Les mesures techniques et organisationnelles au titre de l’art. 32 recoupent largement l’annexe A. Les bases légales, la limitation des finalités, les droits des personnes concernées, le registre des activités de traitement et l’analyse d’impact n’ont pas d’équivalent dans l’ISO 27001.
Uniquement sous forme de projet. L’IA propose des traitements types de votre secteur et aide à la rédaction. Les finalités, les bases légales et les durées de conservation, c’est vous qui les fixez – sinon le registre décrit une autre organisation que la vôtre.
En Allemagne, en règle générale lorsqu’au moins 20 personnes sont employées en permanence au traitement automatisé de données personnelles. Indépendamment de ce nombre, l’obligation s’applique notamment en cas de traitement à grande échelle de catégories particulières de données, de suivi systématique ou lorsqu’une analyse d’impact est nécessaire. Le délégué peut être interne ou externe.
En principe d’un mois à compter de sa réception. Pour des demandes complexes ou nombreuses, une prolongation de deux mois supplémentaires au plus est possible. Vous devez en informer la personne concernée dans le premier mois, en motivant la prolongation.
La licence Sightadel pour le RGPD est facturée mensuellement selon l’édition ; tous les prix figurent sur notre page Plans et tarifs. S’y ajoutent, le cas échéant, un délégué externe à la protection des données, qui facture de manière indépendante, et votre effort interne pour la documentation de base et sa mise à jour. Si votre licence comprend l’ISO 27001 ou l’ISO 9001, vous bénéficiez d’une remise permanente sur le RGPD.
14 jours, accès complet, sans données de paiement. Tout ce que vous créez est conservé dans l’offre payante.
