Le RGPD ne se résume pas à un registre des traitements. C'est un cadre opérationnel qui exige de protéger réellement les données personnelles, de gérer les violations et de démontrer sa conformité.
Le règlement général sur la protection des données (RGPD) est applicable depuis le 25 mai 2018. Sept ans plus tard, la maturité des entreprises belges est très inégale. Beaucoup ont rempli un registre des traitements et nommé un DPO, sans aller plus loin.
L'Autorité de protection des données (APD) a clairement durci son approche depuis 2022. Les sanctions ne se limitent plus à des avertissements : amendes significatives, mises en demeure publiques, contrôles approfondis se multiplient.
Au-delà des sanctions, le RGPD est devenu un standard de qualité attendu par les clients B2B et un facteur de différenciation commerciale. Démontrer une conformité réelle est désormais un argument de vente.
Une conformité RGPD opérationnelle repose sur six piliers complémentaires. La défaillance d'un seul pilier compromet l'ensemble.
L'article 32 du RGPD impose des mesures de sécurité "appropriées" sans les détailler précisément. L'APD a néanmoins publié plusieurs lignes directrices qui cadrent ses attentes en pratique.
Pour les données sensibles ou les traitements à grande échelle, l'APD attend désormais : chiffrement au repos et en transit, authentification multi-facteurs, journalisation et conservation des logs, sauvegardes testées, plan de reprise d'activité, programme de sensibilisation, gestion documentée des accès et des départs.
Pour les sous-traitants, le contrat doit comporter les clauses de l'article 28, et la sécurité du sous-traitant doit être réellement vérifiée (audits, certifications, questionnaires). L'externalisation ne décharge pas le responsable de traitement.
Une violation de données personnelles est un événement de sécurité (perte, accès non autorisé, modification, destruction) qui affecte des données personnelles. Il peut s'agir d'un ransomware, d'un phishing réussi, d'un e-mail envoyé à la mauvaise adresse, d'une clé USB perdue.
Dès la détection, le compte à rebours commence : vous disposez de 72 heures pour notifier l'APD si la violation présente un risque pour les droits et libertés des personnes. Au-delà de 72 heures, vous devez justifier le retard.
Si la violation présente un risque élevé (données sensibles, volume important, identité usurpée possible), vous devez également informer les personnes concernées, individuellement et dans les meilleurs délais.
La gestion d'une violation s'anticipe. Avoir une procédure documentée, des contacts pré-établis avec votre conseil, une cellule de crise prête à se réunir : c'est ce qui fait la différence entre une violation maîtrisée et une violation aggravée par la panique.
Échange gratuit de 30 minutes avec un consultant senior pour cadrer votre projet.
—