MAÎTRISER ET AUDITER

LES RISQUES LIÉS AU RGPD

Référentiel de contrôle et programme de
travail de la réglementation européenne

'#, ifaci A~~~PEDE

institutfronçaisde l'audit et du contrôle internes
TRAVAIL
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

PRÉAMBULE

Cette production est le fruit des réflexions menées dans le cadre du groupe de travail de l’audit du
RGPD lancé en mai 2019. L’objectif du projet est d’appliquer la démarche d’audit au sujet que repré-
sente le RGPD et de fournir à la communauté des auditeurs un guide pratique d’audit qui permette
à son utilisateur de déterminer son référentiel d’audit (définition d’un cadre de référence, analyse
préliminaire des risques, identification des actions de maitrise et des points de contrôles).

Les échanges au sein du groupe de travail furent riches et variés tant sur le plan méthodologique
que sur le plan pratique. La complémentarité des différents profils composant le groupe de travail
(auditeurs, contrôleurs internes, gestionnaires des risques, juristes, délégués à la protection des don-
nées) a permis d’enrichir la publication de différents points de vue et particulièrement d’aboutir à la
production de livrables qui seront utiles à tous les acteurs qui participent à la maîtrise des risques liés
au traitement des données à caractère personnel d’une organisation.

En termes de livrables, ce guide présente un référentiel pour la mise en conformité au dispositif

RGPD, une démarche d’analyse des risques assez détaillée permettant une appréciation selon les
exigences règlementaires (règlement, lignes directrices, jurisprudence), des actions de maîtrise, une
méthode d’auto-évaluation ainsi que des conseils et orientations pour effectuer les travaux d’audit.
Ces informations sont également utiles pour les autres lignes de maîtrise liées au RGPD.

L’auditeur peut construire son programme de travail sur base de la détermination des risques et des
points de contrôles décrits dans le référentiel, afin de mener à bien les objectifs d’audit définis.
Le contrôleur interne peut effectuer une cartographie des risques et un plan de contrôles associé.

Le Délégué à la Protection des Données peut, quant à lui, effectuer une analyse de sa démarche
(cartographie et plan de contrôle). Il a également la possibilité d’effectuer une auto-évaluation de
son dispositif et de suivre son évolution dans le temps tout en étant en mesure de faire rapport sur le
taux de conformité du dispositif.

Enfin, ce guide mentionne – à titre informatif - références, directives, normes et bonnes pratiques qui
permettront d’approfondir les travaux.

Nous tenons à remercier toutes les personnes qui ont contribué aux différents ateliers, et celles qui
ont interagi via le Workplace de l’IFACI.

2
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

REMERCIEMENTS
Pilot,es
Patrick Soenen, Formateur RGPD, audit, risque & gouvernalilce chez Qualified .Audit
Academy
Secrétaire Général DPO-pro et Administrateur IFA (Institute of Fraud .Auditors), COBIT
2019, CGEIT, CRISC, Certifié ISO 27001
UCL Mons, Master in Business Engineering
GUBERNA, Administrateur agréé AB

Qadi1r .Abdul, Responsable de l'audit ililterne chez B2V Gestion ; Formateur; Enseiglilant
Certifîed Information Systems Auditor, Certified DPO, Certified Prince 2 Foundation
ESCP Business School, MS Risk Management, Audit and Internai Control
Université Paris Dauphine, MSG Finance

Contributeurs au groupe de travail

Vallérie Bonnel, Directnice .Audit interne chez Seqens, baillellr social du grnupe Actiolil
Logement
DPO Certifié ; certirfiée CEFAR et IFACI/ESCP pour le contrôle interne et la maîtrise des
risques ; Membre AFCDP et AMRAE
Institut Supérieur de Gestion

Pascale Chab:rilllat-Trahin, Cheffe de services administratifs et financiers, Déléguée a

la prote·ction des données à caractère personnel de la Caisse des dépôts et consignations
DPO certifiée Sciences Po ExecL1ti1veEducation ; membre de l'AFDCP ; membre de l'IFACI
[Link] de la gestion publique et du développement économique, Cycle des
hautes études pour le développement économique
Université Clermont-Auvergne, CERDI, DEA et DESS d'Economie

3
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Contributeurs au groupe de travail

Maud Choquenet, Expert RGPD chez i-etix Diagnostic, Fonmation, Conseil & Audit
RGPD
DPO certifié, Membre AFCDP ; membre IFACI
SKEMA business school, Master Spécialisé RSE (MSDD)
Ecole supérieure de Commerce de Grenoble, Business Management Marketing
des Services

Gillles Le Beux, Data Privacy Program Manager chez Air Liquide

Université Paris Dauphine, DESS Informatisation des entreprises
Université Paris Sud ,(Paris XI), MIAGE, S.I. de gestion

Marjorie Mengea1ud-Miglio1ri 1 Juriste & consultante chez Cometh Consulting et

Responsable opération11elle de la solution Dataliance
Membre AFCDP
Université Paris Descartes, Droit des affaires : Banque et Finance
MBA ESG - Management droit des affaires
Université Montpellier, Master en Droit des affaires

4
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

DISCLAIMER

Ce document est le fruit d’une initiative des membres du Groupe de travail RGPD de l’IFACI. Les
Groupes de travail de l’IFACI ont pour objectif d’échanger sur des thématiques spécifiques d’un sec-
teur d’activité, d’un domaine, ou d’une fonction. Ces échanges peuvent, le cas échéant, faire l’objet de
publications destinées aux professionnels de la gestion du risque, auditeurs et contrôleurs internes
du secteur concerné.

Ces publications sont réalisées sous la responsabilité des membres du Groupe de travail, et leur
contenu technique n’engage ni les organisations auxquelles appartiennent les participants de ce
Groupe, ni l’IFACI.

Le Groupe de travail RGPD a élaboré ce document à titre informatif et pédagogique. L’IFACI n’a pas
exercé de vérification exhaustive de son contenu. Cette publication n’a pas vocation à apporter de
réponses définitives à des cas précis, et est uniquement destinée à servir de guide.

L’IFACI, ainsi que le Groupe de travail RGPD déclinent toute responsabilité pour les cas où des lec-
teurs se fieraient exclusivement à ce guide ou ne trouveraient pas satisfaction dans cet ouvrage.

5
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

TABLE DES MATIÈRES

Cliquez sur une rubrique pour y accéder.

Chapitre 1 – Introduction
1. Le périmètre et les limitations
2. Objectif & Public visé
3. Le modèle des lignes de maîtrise et le RGPD
4. Le référentiel RGPD

Chapitre 2 - L’approche méthodologique

1. La compréhension du contexte
2. Identification des risques
3. Analyse des risques
A. Détermination de l’impact
B. Échelle de la fréquence
C. Le niveau de risque
D. Évaluation de la maîtrise du risque
4. Les actions de maîtrise
5. L’audit du RGPD
A. Méthodologie d’audit
B. La boîte à outils de l’auditeur
C. Les types d’audit

Chapitre 3 - Le référentiel RGPD

1. Domaine de gouvernance
A1. Engagements du Responsable du Traitement (RT)
A2. Politiques et organisation de la protection des données
A3. Organes de gouvernance, rôles et responsabilités
A4. Délégué à la Protection des Données (DPO)
2. Domaine d’organisation du dispositif
B1. Licéité du traitement (base légale & finalité)
B2. Registre des activités de traitement
B3. Analyse d’impact relative à la protection des données (AIPD)
B4. Protection par conception et par défaut (« Privacy by Design/Default »)
B5. Utilisation et durée de conservation des DCP

6
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

B6. Gestion de la sous-traitance

B7. Transferts hors de l’Espace Economique Européen
3. Domaine de gestion opérationnelle
C1. Pilotage et mise en œuvre
C2. Droits de la personne concernée
C3. Information et transparence
C4. Sensibilisation et formation
C5. Gestion de la continuité des activités et des services (PCA)
C6. Gestion et notification des violations des DCP
C7. Protection et sécurité des DCP
4. Domaine de surveillance et revue
D1. Suivi et revue du dispositif (par le DPO)
D2. Revue du dispositif RGPD (par les acteurs des lignes de maîtrise)
D3. Contrôle par l’Autorité de Protection des Données

Chapitre 4 - Étude de cas RGPD

1. Compréhension du contexte
2. Identification des risques
3. Analyse des risques
4. Actions de maîtrise
5. Audit RGPD

Annexes
1. Les mesures de sécurité de l’information de l’ISO 27xxx.
2. La certification ISO 27701
A. Directives applicables aux Responsables du Traitement
B. Directives applicables aux Sous-Traitants
3. Evaluation de l’aptitude
4. Lexique
5. Liste des abréviations
6. Références
7. Aperçu des tableaux et des schémas

7
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

CHAPITRE 1 - INTRODUCTION
1. LE PÉRIMÈTRE ET LES LIMITATIONS

Cette publication prend en compte le règlement RGPD (UE) 2016/679 du Parlement européen et
du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement
des données à caractère personnel et à la libre circulation de ces données. Les lignes directrices
du groupe de travail 291 (1) (2)2, ainsi que celles du Comité Européen de la Protection des Données
(CEPD) sont également retenues.

Bien que le référentiel RGPD présenté dans cette publication tienne compte des exigences résultant
du règlement RGPD et des lignes directrices, le cadre reste général. En effet, les spécificités décou-
lant des législations nationales ou des déclinaisons en fonction de secteurs d’activité spécifiques,
tels que les soins de santé qui impliquent le traitement d’une grande quantité de données sensibles
n’ont pas été prises en compte de manière spécifique dans cette publication.12

De ce fait, chaque organisation devra adapter ce cadre à son secteur d’activité, aux traitements de
données à caractère personnel qui lui sont spécifiques et à sa taille.

Dans cette démarche, un aspect important concerne la prise en compte de l’étendue du traitement
qui couvre le cycle de vie des données à caractère personnel. Face au flot d’informations disponibles,
l’entreprise devra déterminer quelles sont les données à caractère personnel (DCP) nécessaires au
traitement et conformes au but poursuivi, et ce, à chaque étape du cycle de vie, schématisé ci-après.

CRÉER I STOCKER I UTILISER I PARTAGER I ARCHIVER I EFFACER

Schéma 1 – Cycle de vie de traitement des DCP

1 Le Groupe de travail « Article 29 » (GT art. 29) est le groupe de travail européen indépendant qui traitait les questions relatives à la
protection de la vie privée et aux données à caractère personnel jusqu’au 25 mai 2018 (avant l’entrée en vigueur du RGPD). Toutes les informa-
tions archivées sur le groupe de travail « Article 29 » peuvent être consultées sur le lien (61). À compter de l’entrée en application du Règlement
général sur la protection des données le 25 mai 2018, il est remplacé par le Comité Européen de la Protection des Données (CEPD) (64).

2 Les numéros entre paranthèses renvoient vers les références bibliographiques en annexe.

8
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

En effet, chaque étape du traitement des données du cycle de vie, à partir de la collecte jusqu’à l’ef-
facement, fait l’objet d’exigences spécifiques.

Le RGPD étant un dispositif récent dans les organisations, sa mise en œuvre doit pouvoir s’intégrer et
s’articuler dans les structures et les mécanismes de gouvernance en place. Son impact sur la gouver-
nance des données, la gestion des risques et la sécurité de l’information est conséquent et l’aligne-
ment continu avec les exigences réglementaires est incontournable.

Il en ressort qu’en sus de la mise en place de la conformité, sa pérennité dans le temps doive être
établie. Enfin, il s’agit de garantir que les différents dispositifs de maitrise soient en phase les uns
avec les autres (risques, conformité, contrôle interne, sécurité des systèmes d’information, sécurité
de l’information, gestion des projets, etc.). (3)

9
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

2. OBJECTIF & PUBLIC VISÉ

En partant des exigences du règlement RGPD et des lignes directrices, l’objectif de cette publica-
tion est de proposer une méthodologie pour évaluer les risques, identifier les actions de maitrise
destiné à atténuer ces risques et à effectuer des audits pour s’assurer de l’efficacité du dispositif
RGPD.

Ce guide est destiné aux Auditeurs, Délégués à la Protection des Données31(DPO) et au Contrôle
Interne. Ce cadre de lecture commun et harmonisé permet de réaliser une évaluation objective du
dispositif par les parties prenantes des lignes de maîtrise et les tiers. Pour les organes de gouver-
nance, il facilite la prise de décision, le pilotage et la surveillance (cf. Schéma 2 – Modèle des 3 lignes
de maîtrise).

3 Le Délégué à la Protection des Données est la personne chargée de la protection des données au sein d’une organisation. Dans
cette publication, nous avons opté pour l’abréviation DPO qui correspond au terme anglais « Data Protection Officer ».

Certaines organisations qui ne pas soumises à l’obligation de nommer un DPO choisissent de nommer avec un titre différent tels que « res-
ponsable à la protection des données ». Sans être le représentant légal de l’Autorité de Protection des Données comme le DPO, la plupart des
exigences du DPO s’appliquent également à ces responsables.

10
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

3. LE MODÈLE DES LIGNES DE MAÎTRISE ET LE RGPD

Afin de garantir une gouvernance, une gestion et une surveillance efficaces en matière maîtrise
des risques et de contrôle interne du dispositif RGPD, le modèle des « Trois lignes de maîtrise » (4)
fournit des recommandations utiles quant à la définition claire des responsabilités en matière de
gestion des risques et d’organisation du contrôle interne.

Les organes de gouvernance « donnent le ton » dans l’organisation et doivent souligner l’importance
de la protection des données à caractère personnel auprès de toutes les parties prenantes suscep-
tibles d’interagir avec ces données. Ils sont responsables de la protection des données et doivent
également désigner un DPO et/ou un responsable équivalent (5) (6).

Le modèle des trois lignes de maîtrise aide les organisations à identifier les structures et les proces-
sus optimaux pour réaliser leurs objectifs et renforcer leurs dispositifs de gouvernance et de gestion
des risques, également en matière de gestion des données à caractère personnel.

ORGANEDEGOUVERNANCE
Devoir de rendre compte envers les parties prenantes au sujet de la surveillance de
/'or, anisation
Rôles de l'organe de gouvernance : intégrité, leadership et transparence

MANAGEMENT AUDITINTERNE
Actions (y compris la gestion des risques) qui Assurance indépendante
visent l'atteinte des objectifs de l'organisation

Rôles de première Rôles de deuxième Rôles de troisième

ligne : Fournir des ligne : Apporter une ligne : Donner une
produits/services expertise, une assurance
aux clients ; gérer assistance, un suivi indépendante et
les risques et des critiques objective pour toute
constructives sur les question ayant trait
questions ayant trait à l'atteinte des
aux risques objectifs.

CLÉ: Devoir de Délégation, pilotage, Alignement, coordination

rendre compte, ressources, supervision de la communication,
reporting collaboration

Schéma 2 - Modèle des 3 lignes de maîtrise

11
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

La gouvernance d’une organisation doit reposer sur des structures et des processus appropriés en
matière de gestion des données à caractère personnel permettant aux organes de gouvernance
d’assumer leur devoir de rendre compte ; au management de mener les actions nécessaires pour
réaliser les objectifs, grâce à prise de décision fondée sur les risques et aux ressources disponibles ; et
à une fonction d’audit indépendante.

En particulier, l’approche définit des tâches et responsabilités spécifiques à chaque ligne de maîtrise :
• Des activités de contrôle définies et mises en œuvre par les opérationnels, permettant, entre
autres, la maîtrise des risques au jour le jour ;
• Un dispositif structuré et coordonné par la deuxième ligne de maîtrise, constituée des services
fonctionnels responsables de domaines d’expertise et des fonctions dédiées à l’animation du
dispositif global de maîtrise des risques (fonctions de gestion des risques, de contrôle interne, de
conformité, le DPO, le RSSI4, le responsable qualité...) ;
• Une évaluation globale et indépendante du dispositif conduite par la troisième ligne, assurée par
la fonction d’audit interne indépendante et rattachée au plus haut niveau de l’organisation.

Les responsabilités de la première ligne de maîtrise

L’équipe de gestion opérationnelle (les managers) définit les processus appropriés de protection des
données à caractère personnel, ainsi que les rôles et les responsabilités, et met en place des activi-
tés de contrôle de ces processus. Les moyens de maîtrise peuvent être composés, entre autres, de
politiques, de procédures, de garanties techniques et organisationnelles, d’analyses d’impact sur la
protection des données, de codes de conduite et de certifications en matière de sécurité et de res-
pect de la vie privée.

Les métiers devraient disposer d’une cartographie actualisée des données traitées et des applica-
tions liées à l’utilisation de ces données, voire aux traitements de données. Cette cartographie est
parfois établie conjointement par les DSI et les Directions Métiers, parfois accompagnée par la ges-
tion des risques. Certains départements tels qu’Innovation, Marketing ou Ressources Humaines dis-
posent généralement de traitements manuels ou automatisés de données à caractère personnel
(site web, gestion de la relation clientèle, application commerciale sur internet, gestion de la paie,
suivi des formations, évaluation des compétences, etc…).

4 Responsable de la Sécurité des Systèmes d’Information

12
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

La Direction marketing et/ou Ventes est en lien avec le client au travers d’un site web, de l’envoi de
newsletters ou de toute autre moyen de communication et de collecte de données. Toutes les activi-
tés de prospection commerciale y compris par voie électronique n’est autorisée que moyennant un
consentement préalable5. Dans le cadre de l’analyse des habitudes d’achat, les équipes peuvent être
amenées à réaliser des mesures de trafic. Une attention particulière doit être accordée aux questions
liées au dépôt de cookies afin de s’assurer que toutes les règles applicables dans ce domaine sont
respectées. Le marketing peut également initier des activités avec des partenaires commerciaux en
vue de collecter ou d’échanger des données à caractère personnel.

La Direction des Systèmes d’Information (DSI) constitue un rouage essentiel de la mise en œuvre
du RGPD. Tout développement de logiciel devra assurer une protection adéquate des données et
également respecter la protection par conception et par défaut « Privacy by Design/Default ». Ces
obligations entraînent pour la DSI une attente de conformité « dès la conception du logiciel jusqu’à
sa mise en œuvre opérationnelle ».

La Direction des Ressources Humaines (DRH) collecte dans le cadre de la gestion du personnel des
données à caractère personnel des collaborateurs et des candidats. Dans le cadre de l’exécution de
ses responsabilités (recrutement, paie, etc.) la DRH peut être amenée à échanger ces données avec
plusieurs partenaires différents. Elle assure également la conformité vis-à-vis des règles de droit du
travail, et veille notamment à ce que les obligations d’information des salariés et des instances repré-
sentatives du personnel soient respectées. Elle s’assure également que le personnel externe sur site
(intérimaires, prestataires, etc.) respecte les règles applicables.

La Direction de la Communication doit veiller à ce que les documents utilisés dans le cadre de l’in-
formation ou de la collecte des informations soient mis en conformité et contiennent les mentions
requises.

La Direction Juridique joue un rôle important de conseil et d’accompagnement dans la gestion des
données à caractère personnel. Le juridique doit être en mesure de fournir son expertise concer-
nant l’application conforme du règlement et de mettre en garde contre les risques juridiques. Le
juridique est aussi consulté pour la rédaction d’avis juridiques, de mentions légales, de conditions
générales d’utilisation, de mentions d’information dans les documents commerciaux, les formulaires
de collecte de données, les brochures d’information… Le juridique doit être impliqué dans les dé-
marches de mise en conformité des contrats de sous-traitance ainsi que dans la mise en conformité
des contrats de gestion du personnel.

5 La CNIL a reconnu des codes de déontologie pour la prospection par voie électronique : [Link]
deontologie-pour-la-prospection-par-voie-electronique0-

13
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Les responsabilités de la seconde ligne de maîtrise6

Le Délégué à la Protection des Données (DPO) doit agir dans le respect des principes d’absence
de conflit d’intérêts, de confidentialité, d’indépendance et de secret professionnel, pour assister le
Responsable du Traitement dans l’application conforme des traitements des données à caractère
personnel. Il est chargé de :
• Informer et conseiller le Responsable du Traitement ou le Sous-Traitant sur les obligations qui lui
incombent en matière de protection des données, ainsi que l’ensemble de leur personnel ;
• Contrôler le respect de la législation applicable en matière de protection des données à caractère
personnel et des règles internes du Responsable du Traitement ou du Sous-Traitant en matière
de protection des données à caractère personnel, y compris en ce qui concerne la répartition des
responsabilités, la sensibilisation et la formation du personnel participant aux opérations de trai-
tement, et les audits s’y rapportant ;
• Dispenser des conseils sur demande, en ce qui concerne l’analyse d’impact relative à la protec-
tion des données et vérifier l’exécution de celle-ci ;
• Coopérer avec l’autorité de contrôle : le DPO devra faciliter l’accès par l’autorité aux documents et
informations dans le cadre de l’exercice des missions et des pouvoirs de cette autorité ;
• Faire office de point de contact pour l’autorité de contrôle sur les questions relatives au traite-
ment et mener des consultations, le cas échéant

La Gestion du Risque et le Contrôle Interne facilite la mise en place et le monitoring des mesures de
contrôle afin de maîtriser les risques liés à la conformité avec le règlement RGPD. Il comprend un
ensemble de moyens, de comportements, de procédures et d’actions pour assurer l’efficacité opéra-
tionnelle, l’utilisation efficiente des ressources et la préservation des avoirs (y compris réputationnels)
de l’organisation concernant les traitements de données à caractère personnel.

Le Responsable de la Sécurité des Systèmes d’Information (RSSI) constitue un composant incontour-

nable du système de sécurisation des données à caractère personnel. Le Responsable du Traitement
et le Sous-Traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin
de garantir un niveau de sécurité adapté au risque et en conformité avec les exigences du RGPD
selon les types de données à caractère personnel et les types de traitements. L’équipe de sécurité,
devrait être en position de réaliser les études d’impact sur la vie privée (AIPD) telles que requises par
le RGPD, en collaboration avec le DPO.

6 Dans la version mise à jour du Modèle des Trois Lignes (4), les rôles de première ligne englobent à la fois les activités « cœur de
métier » et les activités de « support » tels que services RH, services administratifs, services généraux, direction des systèmes d’information…,
tandis que les rôles de deuxième ligne intègrent les activités complémentaires axées sur les risques.

14
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

La responsabilité de la troisième ligne de maîtrise

Les fonctions d’audit donnent une assurance indépendante concernant la gouvernance, et l’efficaci-
té et l’efficience des contrôles mis en œuvre pour couvrir les risques liés aux RGPD.

Lors de la conception du programme de travail de l’audit interne, les éléments majeurs du référentiel
RGPD doivent être couverts par des tests.

Un tel audit doit permettre d’évaluer l’adéquation et l’efficacité du système de contrôle interne afin
de minimiser le risque d’infraction au Règlement Général sur la Protection des Données.

Ensemble, les rôles des 3 lignes de maîtrise contribuent à la création et à la protection de la valeur
provenant de la gestion des données à caractère personnel, dès lors que les traitements de celles-ci
seront alignés avec les intérêts des parties prenantes, en particulier des personnes concernées.

15
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

4. LE RÉFÉRENTIEL RGPD

L’adoption d’un référentiel systématique par toutes les parties prenantes concernées a pour ob-
jectif de garantir une approche structurée couvrant les différents domaines d’application du rè-
glement.

Ce référentiel RGPD a été développé en respectant 3 principes :

1. Le référentiel s’appuie sur un modèle conceptuel, qui assure une cohérence entre les 4 domaines
du modèle pour une mise en œuvre organisée et structurée.
2. Le référentiel est conforme au règlement RGPD et les différentes directives émises par l’Article 29
et le Comité Européen de la Protection des Données (CEPD).
3. Le cadre ouvert et flexible permet l’ajout de nouveaux contenus et la possibilité d’aborder de
nouvelles questions de la manière la plus souple possible, tout en maintenant l’intégrité et la co-
hérence du référentiel. Chaque organisation quelle que soit sa taille ou son secteur doit pouvoir
adapter le référentiel à ses propres besoins.

Le référentiel RGPD est structuré en 4 domaines majeurs.

A. [Link] C. Gestion D. Surveillance

Gouvernance du dispositif opérationnelle et Revue
Rôles et Mesures et Processus et Mécanismes de
responsabilités, processus à procédures à surveillance, de
organes de mettre en déployer pour suivi, de revue et de
pilotage, œuvre pour rendre contrôle du dispositif
politiques et répondre aux opérationnel la déployé selon les
directives qui exigences du protection des exigences du
permettent une règlement données à règlement RGPD et
gouvernance RGPD. caractère de ses lignes
adéquate de la personnel de directrices.
protection des manière conforme La surveillance vise à
données à au règlement s'assurer que le
caractère RGPD. dispositif fonctionne
personnel au sein comme prévu et elle
de l'organisation. permettra de vérifier
que la gestion du
risque est efficace
dans la durée. (7)

Tableau 3 - Domaines du référentiel RGPD

16
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Les 4 domaines se déclinent au total en 21 thèmes :

••• A. Gouvernance
•••
Al. Engagements du Responsable du Traitement (RT)
A2. Politiques et organisation de la protection des données
A3. Organes de gouvernance, rôlles et responsabilités
A4. Délégué à la Protectiion des Données (DPO)

@ B. Organisation du dispositif
B1. Licéité du traitement (base légale & finalité)
B2. Registre des activités de traitement
B3. Analyse d'impact relative à la protection des données (AIPD)
B4. Protection par conception et par défaut ( « ~ by Design/Default »)
B5. Utilisation et durée de conservation des DCP
B6. Gestion de la sous-traitance
B7. Transferts hors de l'Espace Economique Européen (EEE)

~. C. Gestion opérationnelle
Cl. Pilotage et mise en œuvre
C2. Droits de la personne concernée
C3. Information et transparence
C4. Sensibilisation et formation
CS. Gestion de la continuité des activités et des services (PCA)
C6. Gestion et notification des violations des DCP
C7. Protection et sécurité des DCP

4- D. Surveillance et revue
D1. Suivi et revue du diispositif (par le DPO)
D2. Revue du disposiitif RGPD (par les acteurs des lignes de maîtrise)
D3. Contrôle par l'Autorité de Protection de Données (APD)

Tableau 4 - Domaines et thèmes

17
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Le référentiel RGPD (cf. Chapitre 3) présente pour chaque thème, les rubriques suivantes :
1. Objectif de contrôle, définissant le but à atteindre ;
2. Exigences du RGPD, sur base des articles du RGPD et des lignes directrices du CEPD ou du
G29, et éventuellement des exigences conditionnelles ;
3. Situations à risque, utiles pour évaluer les situations pouvant impacter négativement l’at-
teinte de l’objectif ;
4. Bonnes pratiques à mettre en œuvre pour atteindre l’objectif de contrôle ;
5. Actions de maîtrise, permettant de réduire soit la probabilité, soit l’impact des évènements
impactant négativement la réalisation de l’objectif ;
6. Points de contrôle, pour s’assurer de la mise en œuvre adéquate des actions de maîtrise ;
7. Techniques d’audit, permet d’évaluer de manière indépendante la réalisation des objectifs
par une conception adéquate des actions de maîtrise et leur mise en œuvre effective ;
8. Sources d’information, renvoyant vers des référentiels ou des publications utiles ;
9. Sanctions, présentées à titre d’exemple.

18
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

CHAPITRE 2 - L’APPROCHE MÉTHODOLO-

GIQUE
L’approche méthodologique se décompose selon les étapes classiques de la gestion du risque, adap-
tée au RGPD.

Com1préhension Identification Analyse Actions de Réalisation

du contexte des risques des risques ma"'trise de l'audit

Une démarche d’évaluation débute inévitablement avec une compréhension du contexte via la
consultation de la documentation et des entretiens avec les acteurs clefs, en autre le DPO, le RT, les
propriétaires des traitements de données, la direction des SI, le responsable de la sécurité (RSSI). Et
n’oublions pas les sous-traitants qui peuvent être des acteurs importants lors des traitements.

L’identification des risques consiste à établir la liste de tous les aspects RGPD potentiellement ex-
posés à un ou plusieurs risques. Cette identification s’appuie sur les situations à risque, qui sont pro-
posées dans le référentiel.

Lors de l’analyse des risques, ces scénarios sont évalués pour en estimer la probabilité et impact.
Les conséquences peuvent être financières à la suite de pertes de revenus ou des amendes ap-
pliquées par l’Autorité de protection des données. Elles peuvent également concerner les impacts
opérationnels résultant de révisions des traitements de données, la réputation ou la performance
opérationnelle. La cartographie des risques permet de déterminer quels risques sont inacceptables
par rapport à l’appétence au risque.

19
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Les actions de maitrise permettent de mettre en œuvre des mesures de contrôle pour mitiger ces
risques.

Finalement, lors la réalisation de l’audit l’auditeur s’assure non seulement de la bonne conception
des mesures, mais évalue également l’efficacité opérationnelle de ces mesures de contrôle et for-
mule des recommandations d’amélioration à partir des constats réalisés.

Un cas pratique est présenté dans le chapitre 4.

La méthodologie de gestion des risques du RGPD

Rappelons la définition de risque selon ISO 31000 : le risque est l’effet de l’incertitude sur l’atteinte
des objectifs.
La méthodologie de gestion des risques est largement inspirée par la norme ISO 31000 (8), représen-
tée dans le schéma ci-dessous.

Identification
du risque

Analyse du
risque

Evaluation du
risque

Schéma 5 - Relation entre la gestion des risques sur base de l’ISO 31000 et la méthodologie du
guide.

La méthodologie de gestion des risques est abordée de manière détaillée dans le standard ISO 31000.
Le groupe de travail s’est penché sur son application pour le RGPD et la présentation d’un cas pra-
tique.

20
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

1. LA COMPRÉHENSION DU CONTEXTE i
De manière similaire à toute gestion des risques, la bonne compréhension du contexte de traitement
des données à caractère personnel est essentielle comme étape préliminaire.

Dans ce cadre, il est utile d’examiner les aspects suivants liés à l’environnement de l’organisation (9) :
• Culture du risque : Quel est le degré d’intégration des risques à tous les niveaux du processus de
décision et de fixation des objectifs de l’organisation ?
• Gouvernance des risques : Dans quelle mesure toute l’organisation participe-t-elle au processus
de management des risques par l’intermédiaire de collaborateurs qualifiés et compétents en la
matière ?
• Processus de management des risques : L’organisation a-t-elle déployé des processus et des pro-
cédures pour l’identification, priorisation, traitement, suivi et reporting des risques dans toute
l’organisation ?

En outre dans le cadre de la protection des données, il a lieu de :

• Comprendre les traitements des données à caractère personnel ;
• Examiner la mise en œuvre du Règlement Général sur la Protection des Données dans l’organi-
sation ;
• Considérer l’environnement de contrôle en prenant en compte les valeurs éthiques et l’intégrité,
la philosophie et le style de fonctionnement de la direction, l’exercice de l’autorité, la structure
organisationnelle, les politiques en matière de ressources humaines.
• Evaluer le niveau d’aptitude des pratiques RGPD7;1

7 cf. Annexe 4 – Evaluation de l’aptitude

21
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Le référentiel RGPD sert également de checklist pour s’assurer de l’exhaustivité des informations
relatives au contexte RGPD dans l’organisation.
____________________________________________________
Dans chaque thème, on se pose notamment les questions génériques suivantes :
• Quels sont les documents, procédures, manuels qui existent ?
• Qui en le propriétaire ?
• Quels sont les rôles et les responsabilités
• Qui assume la responsabilité ultime pour les pratiques du thème ?
• Qui assure la supervision ?
• Comment les pratiques ont-elles été mises en œuvre ?
• Est-ce que les pratiques font l’objet de revues et de mise à jour ?

A l’issue de cette étape les informations recueillies et les documents collectés permettent d’avoir
une compréhension adéquate des traitements des DCP et de la gestion de la protection des don-
nées. Ces informations sont indispensables pour les étapes ultérieures.

22
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

2. IDENTIFICATION DES RISQUES 1

Sur base du contexte, l’identification des risques relatifs à la protection des données à caractère per-
sonnel comprend l’identification (8) :
• Des sources de risque : tout élément qui présente un potentiel intrinsèque d’engendrer un risque ;
• Des événements : occurrence d’un ensemble particulier de circonstances ;

Le référentiel RGPD présente pour chaque thème, sous la rubrique 3 les situations à risque.
____________________________________________________
Ces situations générales sont des exemples de pratiques qui peuvent potentiellement entraîner
des conséquences néfastes pour l’organisme, tels que des conséquences financières à la suite de
sanctions de l’Autorité de Protection des Données, l’arrêt temporaire ou définitif de l’exécution
de certains traitements, des conséquences négatives sur la réputation, ou des révisions majeures
concernant la mise en œuvre des traitements des DCP…. Ces situations représentent des risques
inhérents8 qui doivent être identifiés selon le contexte spécifique de chaque organisation, en uti-
lisant, en adaptant et/ou en complétant les situations proposées dans le référentiel.

Le référentiel ne présente pas un inventaire exhaustif des risques. Chaque organisation doit
prendre en compte les spécificités de ses traitements de DCP pour déterminer si les situations
à risque du référentiel sont pertinentes. D’autre part, des risques spécifiques non répertoriés
peuvent y être rajoutés.

8 Le risque inhérent est le risque existant en l›absence d›action du management qui pourrait en modifier l›impact ou la probabilité
(définition COSO), par opposition au risque résiduel.

23
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

3. ANALYSE DES RISQUES

L’analyse des risques consiste à associer à chaque situation à risque un niveau (8). Elle est matériali-
sée dans une cartographie de risques, comprenant fréquence/probabilité et l’impact de la situation
identifiée à risque. Une représentation additionnelle reprend selon le niveau de risque, le degré de
maîtrise des mesures de contrôle mises en œuvre.

A l’issue de cet étape, l’ensemble des scénarios de risque identifiés à l’étape précédente ont été
évalués. Les probabilités et les impacts, ainsi que les niveaux de maîtrise ont été déterminés. La
cartographie des risques et celle du niveau de maîtrise des risques permettent de présenter vi-
suellement les résultats aux organes de gouvernance.

A. Détermination de l’impact
Critères d’appréciation de l’impact des risques
En prenant en compte les conséquences potentielles liées à gestion des DCP et aux exigences du
RGPD, des critères d’appréciation des risques sont proposées en ce qui concerne l’impact. Ces consé-
quences potentielles peuvent être de nature :
• Financière (F) :
1. Coût des investissements à réaliser pour se mettre en conformité (ressources humaines tels
que le DPO, révision des processus et des procédures, mise à jour des logiciels de gestion des
DCP, mise en œuvre de mesures de protection des données, adaptation des outils de com-
munication tel qu’un site web) ;
2. Perte de revenus à la suite de limitations de la prospection et du ciblage par l’exercice des
droits des personnes concernées en matière de refus de « profiling » ;
3. Perte de revenus à la suite de non-conformités avec le RGPD qui conduisent à des limitations
dans les traitements des DCP ([Link]. non-utilisation volontaire ou imposée d’une base de pros-
pection par absence de preuve de consentement) ;
4. Paiement d’une amende à la suite d’une sanction de l’Autorité de Protection des Données,
etc.
• Réputation (R) : impact sur l’image de la société résultant :
1. De la publicité donnée à une mise en demeure ou des sanctions de l’Autorité de Protection
des Données ;
2. D’un manque de confiance des clients et prospects dans l’utilisation adéquate des données
à caractère personnel ;
3. De failles de sécurité avec impact sur les libertés individuelles des personnes concernées.

24
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

• Performance opérationnelle (P), c.-à-d.. :

1. Lourdeurs de gestion ou ralentissement dans l’exécution des processus, résultant de la mise
en œuvre de nouveaux processus de gestion des traitements des DCP ou de nouveaux
contrôles ;
2. Ralentissement dans le développement de nouveaux traitements de DCP, suite à la mise en
œuvre du « Privacy by Design/Default » ou de l’implémentation de mesures de protection des
données ;
3. Arrêt volontaire d’un traitement non visé en amont par le DPO et s’avérant non conforme
([Link]. : arrêt de tout un sous-processus à cause du déploiement d’un logiciel non conforme
avec le RGPD).

Echelle de l’impact
L’impact est défini selon une échelle à 5 niveaux, dont la signification est différente pour chaque
critère. Certaines organisations peuvent avoir défini une échelle d’impact propre à leur organisation.
Dans ce cas, cette échelle sera utilisée de manière préférentielle, pour autant que les critères d’im-
pact soient adaptés pour évaluer les conséquences liées aux traitements de données à caractère
personnel.

Critères
Financier Performance
Réputation
(C.A.) opérationnelle

Niveau Conséquences
Proche de Pas d'impact sur les
de Négligeable négligeables pour les
0% personnes concernées
risque traitements des DCP

Impact limité à
Des traitements mineurs
Faible <1% quelques personnes
doivent être modifiés
concernées

Impact des personnes

Entre 1 et concernées, sans Des traitements majeurs
Modéré
2% diffusion dans les doivent être modifiés
médias.

Des traitements doivent

Crédibilité impactée
être gelés ou
Entre 2 et par une
Fort définitivement stoppés,
5% communication locale
l'activité est partiellement
et restreinte
bloquée

Crédibilité impactée Des traitements doivent

par la communication être gelés ou
Supérieur à
Critique dans les médias définitivement stoppés,
5%
nationaux ou l'activité est bloquée dans
internationaux une large mesure.

Tableau 6 - Critères d’évaluation de l’impact

25
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

B. Echelle de la fréquence
La probabilité est proposée sous la forme d’une échelle à 5 niveaux, en estimant l’occurrence de l’évè-
nement :
• Négligeable : Inférieur à 15%
• Faible : de 15 à 40 %
• Modérée : de 40 à 60 %
• Elevée : de 60 à 85%
• Certaine : supérieur à 85%

Les organisations qui disposent d’une échelle de probabilité du risque en interne utiliseront de ma-
nière préférentielle leur échelle. Le nombre de niveaux de l’échelle peut d’ailleurs différer.

C. Le niveau de risque
Le niveau de risque déterminé est le résultat de l’impact maximum des 3 critères (financier, réputa-
tion, performance) et de la probabilité (voir le tableau 7)

Critique

Fort

Modéré

Faible

Négligeable Exposition négligeable •• • • • •

Impact 1'
Probabilité ➔ Négligeable Faible Modérée Elevée Certaine

Tableau 7 - Cartographie des risques

La cartographie ci-dessus permet de déduire le niveau d’exposition au risque, de significatif à négli-

geable, présenté dans le tableau 8 ci-après :

26
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Niveau de risque Action attendue

Exposition significative Mitigation immédiate du risque

Exposition modérée Actions de mitigation à moyen terme
Exposition faible Aucune action nécessaire
Exposition négligeable Opportunité pour diminuer les contrôles
Tableau 8 - Explication des niveaux de risque

Le niveau d’exposition au risque est comparé au niveau de risque acceptable pour l’organisation,
déterminée par l’appétence au risque. Et chaque organisation déterminera les actions attendues en
conséquence.

Les organisations qui ont élaboré leur propre échelle l’appliqueront de préférence pour assurer la
cohérence entre leurs évaluations de risque.

L’évaluation du risque peut se faire de manière détaillée au niveau de chaque situation à risque rete-
nu ou peut se réaliser de manière plus globale au niveau de chaque thème.

D. Evaluation de la maîtrise du risque

Pour chaque situation à risque, la maîtrise de ce risque sera évaluée sur base des actions de maîtrise
mises en œuvre :

Niveau de maitrise Explication

Maîtrisé {M} Les mesures adéquates ont été prises pour réduire le
risque à un niveau acceptable
Largement maîtrisé {L} De nombreuses mesures ont été prises, mais des
améliorations sont envisageables.
Partiellement maîtrisé Les mesures prises sont incomplètes et par
{P} conséquent améliorables
Non maîtrisé {N} Aucune mesure de contrôle n'est actuellement mise
en œuvre pour mitiger le risque
Risque accepté par la Les organes de direction acceptent le risque et par
direction {A} conséquent aucune mesure ne sera prise.

Tableau 9 – Explication des niveaux de maîtrise de risques

27
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Cette évaluation est utilisée pour présenter la criticité du risque en fonction de leur niveau de maî-
trise sous forme graphique et permet dès lors de présenter la maîtrise du risque par rapport à leur
criticité de manière visuelle à des organes de gouvernance tels qu’un Comité d’Audit ou un Comité
de Direction.

Criticité du risque
Exposition
sîgnfficative Risquesà piloter Risquesà surveUler
(Plansd'action) (Audit interne)
Exposition modérée

Exposition faible

Exposîtion Risquestolérés Risquesà optimiser

négligeable

Niveau de Non Partie[ll,ement Largement Maîtrisé

1maîtrise maîtrisé maîtrîsé maîtrisé

Tableau 10 – Evaluation de la maîtrise du risque

• Risques à piloter : Risques critiques faiblement maîtrisés et prioritaires pour la mise en œuvre de
plans d’actions.
• Risques à surveiller : Risques critiques à priori adéquatement maîtrisés et qui doivent être surveil-
lés notamment par l’audit interne
• Risques à optimiser : Risques de faible importance où un effort d’optimisation permettrait de
réduire les coûts
• Risques tolérés : Risques de faible importance qui peuvent être acceptés par le Responsable du
Traitement.

28
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

4. LES ACTIONS DE MAÎTRISE

•
Les risques à piloter (cf. Tableau 10 – Evaluation de la maîtrise du risque) doivent faire l’objet de déci-
sions de maîtrise des risques, avec l’objectif de réduire l’exposition au risque à un niveau acceptable
par rapport à l’appétence, défini par les organes de gouvernance de l’organisation. Ces décisions sont
catégorisées selon les 4 types de traitements (4T) des méthodologies de risque :

Schéma 11 - Actions de maîtrise

• Traiter : Le traitement du risque est destiné à réduire l’impact et/ou la probabilité du risque inhé-
rent. Les moyens de traitement du risque généralement mis en œuvre impliquent le renforce-
ment de la gouvernance, de la mise en place d’un dispositif de contrôle interne et du pilotage de
l’activité et des processus.
• Transférer : Le transfert du risque consiste à le transférer à un tiers. Ceci est le cas lorsque pour
la mise en œuvre d’une nouvelle solution de traitement de données à caractère personnel, l’or-
ganisation décide de faire appel à une tierce partie qui dispose de l’expérience et de la compé-
tence pour mettre en œuvre des solutions techniques adéquates, notamment en respectant la
protection par conception et par défaut « Privacy by Design/Default ». Ce transfert ne diminue
pas la responsabilité (« accountability ») du Responsable du Traitement, qui doit veiller à ce que le
risque résiduel soit dans l’exposition au risque acceptable.
• Terminer : L’activité concernée est arrêtée parce que le niveau de risque est trop élevé ou la mi-
tigation du risque est trop onéreuse. Par exemple, suite aux exigences du RGPD, certaines orga-
nisations ont décidé de ne plus recourir à des actions de prospection en utilisation des bases de
données louées ou achetées auprès de courtiers spécialisés.
• Tolérer : L’acceptation du risque consiste pour le management à accepter le risque en l’état. Cette
décision de tolérer le risque se prend en connaissance de cause du niveau de risque. Elle consti-
tue en principe l’action retenue pour les risques inférieurs à l’appétence, tout en mettant en place
une surveillance continue pour s’assurer que le niveau d’exposition reste acceptable.

29
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Le référentiel RGPD propose pour chaque thème, sous la rubrique 5 des actions de maîtrise.
____________________________________________________
Les actions de maîtrise des risques ont pour but de traiter le risque, c-à-d de réduire soit la proba-
bilité de survenance du risque, soit les conséquences (impact).
Etant donné que les situations à risque sont spécifiques à chaque organisation et que les mesures
de maîtrise proposées sont génériques, ces dernières devront être adaptées aux situations spéci-
fiques à chaque organisation.
A l’issue de cette étape, les actions de maîtrise appropriées auront été déterminées.

30
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

5. L’AUDIT DU RGPD

A. Méthodologie d’audit
La méthodologie d’audit préconisée correspond à la conduite d’une mission d’audit telle que décrite
par l’IFACI (10). Le programme de travail de l’auditeur sera structuré comme suit, en se basant sur le
référentiel RGPD du chapitre 3 :

Processus Risques Moyens de Tests ou Constats

maitrise techniques
attendus d'audit
Domaines/ Possibilité de Toute mesure Détermination des Constats
thèmes survenance de contrôle tests pour s'assurer réalisés par
d'un événement visant à traiter de l'efficacité l'auditeur par
qui aura un le risque conceptuelle et de rapport à
impact sur la l'efficacité l'objectif de
réalisation des opérationnelle contrôle.
objectifs

Dans le cadre de ses travaux, l’audit interne devrait coordonner ses travaux avec ceux de la seconde
ligne de maîtrise (11). L’analyse de risque réalisée pourra être utilisée pour éviter les doubles emplois.
En l’absence d’une analyse de risque RGPD ou si celle-ci n’est pas fiable, l’audit interne effectuera sa
propre analyse de risques. L’auditeur reste évidemment pleinement responsable des conclusions et
des opinions de l’audit.

Plutôt que de présenter un programme d’audit complétement élaboré, comme vous pouvez en
trouver dans les références présentées dans les annexes, cette publication fournit une méthode pour
construire votre propre programme d’audit. Celui-ci pourra se moduler selon les objectifs d’audit :
un audit orienté risque ou un audit de conformité. Le périmètre de la mission dépendra du champ
d’application retenu : audit complet ou un audit de la mise en œuvre, selon l’approche : un audit
spécifique ou une intégration dans les audits des processus de l’organisation, selon l’importance
ou la criticité du thème dans votre organisation (volume important des DCP, présence de données
sensibles…).

B. La boîte à outils de l’auditeur

Lorsque les thèmes couverts par l’audit ont été sélectionnés (périmètre), que les risques ont été éva-
lués et que les moyens de contrôle attendus ont été déterminés (référentiel d’audit), le programme
d’audit sera complété par les techniques d’audit à utiliser. Un questionnaire de contrôle interne (QCI)

31
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

peut également être utilisée dans le cadre de la préparation de l’audit.

Schéma 12 – Techniques d’audit

Les techniques courantes sont :

• Analyse du cheminement des processus9 pour comprendre et s’assurer de la bonne conception
des processus de gestion et de traitement des DCP, comme par exemple le schéma d’urbanisa-
tion des systèmes d’information et des flux de données à caractère personnel, expliqué par l’ar-
chitecte d’entreprise ou des propriétaires de processus ;
• Revue des politiques, processus, procédures et pratiques notamment en matière de traitement
des DCP, de l’exercice des droits de personnes concernées, de la conservation des données,
d’identification des failles et de leur notification, etc. ;
• L’examen des documents contractuels avec les Sous-Traitants et les contrats de travail, des for-
mulaires de collecte de DCP, des sites web d’information et le contrôle de conformité des poli-
tiques de protection des données, des processus de traitements relatifs aux DCP, les inventaires
des DCP, le registre des activités de traitement, etc. ;
• La revue de la matrice des responsabilités et des fiches de fonction permet de s’assurer de l’attri-
bution adéquate et complète des rôles et des responsabilités du Responsable du Traitement, du
DPO, des référents, des organes de gouvernance, etc. ;1
• Les entretiens avec les acteurs clés tels que le DPO, le Responsable du Traitement, le RSSI, les
gestionnaires des projets chargés de mettre en œuvre la protection par conception et par défaut
« Privacy by Design/Default », etc. ;
• L’observation permet de vérifier l’application sur le terrain des processus, des procédures, des
contrôles… [Link]. en observant le traitement d’une plainte d’une personne concernée ;

9 Process walkthrough

32
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

• Le testing ou la réexécution d’un processus permet de vérifier le fonctionnement des procédures,

par exemple, en simulant des requêtes fictives, l’audit peut s’assurer de l’exécution des droits des
personnes concernées ;
• L’échantillonnage permet de sélectionner un nombre de cas pour vérifier la bonne application
des procédures, par exemple le suivi en matière d’exercice des droits des personnes, la mise en
en œuvre adéquate des habilitations, la bonne compréhension des politiques de protection des
données par les collaborateurs ;
• L’analyse des données pour réaliser des vérifications dans des bases de données [Link]. la présence
d’une preuve de consentement dans une base clientèle, l’identification des incidents de sécurité
dans les bases des tickets d’incidents, etc. :
• L’analyse des pistes d’audit permet de vérifier le respect des procédures par exemple pour vérifier
les personnes qui ont accédé à des données sensibles dans les bases de données ;

L’évaluation de l’aptitude permet d’estimer l’aptitude de l’organisation à mettre en œuvre les

pratiques du référentiel RGPD10.1

Le référentiel RGPD propose pour chaque thème, sous la rubrique 7 les techniques d’audit.
____________________________________________________
Les informations des rubriques précédentes concernant les objectifs de contrôle, les exigences,
les bonnes pratiques, les actions de maîtrise avec leurs points de contrôle constitueront des infor-
mations fort utiles lors de l’exécution de l’audit.

C. Les types d’audit

En fonction de la taille de l’organisation, du secteur d’activité, de l’importance des données à ca-
ractère personnel, du niveau de la réglementation, diverses combinaisons d’approches d’audit sont
envisagées. Le département d’audit, éventuellement en collaboration avec le Comité d’Audit, déter-
mine l’approche la plus adaptée par rapport aux objectifs d’audit.

1. Audit de mise en place du RGPD orienté risques

Dans les organisations où la gestion des DCP revêt un caractère critique ou une complexité impor-
tante, la réalisation d’un audit de mise en œuvre du RPGD est vivement conseillée. Le périmètre
de l’audit devrait dépendre de l’analyse des risques réalisée. Les thèmes qui ne comportent pas de
risques significatifs (selon l’appétence au risque) retiendront moins d’attention dans le programme
d’audit, ainsi que les risques largement maîtrisés. Lorsque les audits opérationnels réalisent une éva-
luation RPGD systématique (cf. point 3 ci-dessous), le périmètre peut se restreindre aux aspects
10 Cf. Annexe 4. Evaluation de l’aptitude.

33
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

organisationnels en matière de gouvernance et de procédures.

2. Audit de conformité au référentiel RGPD

L’organisation peut choisir de mener un audit de conformité aux exigences règlementaires. Dans ce
cas, l’applicabilité de chaque thème est déterminée après avoir pris connaissance du contexte. Par
exemple, si aucune donnée personnelle n’est transférée à l’étranger, les exigences du thème s’y rap-
portant ne s’appliquent pas, ainsi que les étapes qui correspondent à l’identification et à l’analyse des
risques. Le programme d’audit inclut tous les thèmes applicables avec leurs exigences respectives.
Lors de l’exécution de l’audit, l’application de l’exigence sera vérifiée en s’assurant de son efficacité
opérationnelle et l’audit conclura par un résultat conforme ou non conforme à l’exigence en ques-
tion.

3. Intégration du risque RGPD dans les programmes d’audit opérationnel

Dans cette optique, la conformité ou les risques liés au RGPD sont pris en compte lors de l’audit des
processus de l’univers d’audit.
Lorsque l’auditeur aura la compréhension suffisante du contexte du processus audité, il pourra dès
lors identifier les traitements des DCP et le type de données que le processus traite. L’audit des
risques et des thèmes liés au RGPD et leur mise en œuvre sont intégrés dans les programmes d’audit
des processus de l’univers d’audit.
Pour les processus qui traitent effectivement des données à caractère personnel, le rapport d’audit
contiendra une section consacrée à l’évaluation de la conformité et/ou de la maîtrise des risques par
rapport au RGPD.

4. Audits RGPD techniques

La réalisation d’un audit technique concernant les mesures de protection des données complètera
utilement les audits organisationnels et opérationnels. L’auditeur disposera des compétences tech-
niques en matière de protection des données pour s’assurer du choix adéquat et de l’efficacité opé-
rationnelle de ces mesures [Link]. en matière d’anti-intrusion, de détection des cyberattaques, de chif-
frement des données, de l’encryptage des échanges des données, etc. Les annexes 2 et 3 reprennent
les exigences générales concernant la sécurité de l’information.

Dans le cadre de sa mission d’audit, l’auditeur évalue la conception et l’efficacité opérationnelle des
mesures de maîtrise, mises en œuvre pour gérer les risques et respecter les exigences RGPD, et leur
attribue un degré de sévérité. Le cas échéant, ces constatations donnent lieu à une recommandation.

34
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

CHAPITRE 3 - LE RÉFÉRENTIEL RGPD

Le référentiel RGPD s’applique au cycle de vie des données à caractère personnel et contient les in-
formations requises lors de la mise en œuvre de la méthodologie. Les pages suivantes reprennent
ces informations selon les 4 domaines permettant de gouverner, d’organiser, d’exécuter et de surveil-
ler le RGPD dans l’organisation.

•••
--
GOUVERNER-

ORGANISER •

.l'!'t,
EX~CUTE1R9.

SURVEILLE~

Schéma 13 – Schéma synoptique

35
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Guide de lecture du référentiel RGPD

Le référentiel RGPD comporte les éléments d’informations repris ci-dessous : ces objectifs, selon un
champ d’application structuré en 4 domaines et 21 thèmes, comportant des composants de contrôle
et d’audit.

Pour faciliter la lecture, les informations du référentiel ont été structurées par thème en 9 rubriques :

Catégorf,esd'objectifs
1

tf'
Champs
d'applicaUon

.. Gouverner

Composants
• Org1aniser
de maîtris,e•
• Exécuter

• surveiller

Schéma 14 – Référentiel RGPD

1/ Objectif de Contrôle
L’objectif de contrôle décrit le but poursuivi par thème, c.-à-d. la cible, à atteindre afin d’évaluer l’effi-
cacité conceptuelle et opérationnelle des contrôles en matière de gestion et de protection tant des
traitements et des données à caractère personnel.

2/ Exigences du RGPD
Etant donné que le programme d’audit RGPD doit couvrir l’ensemble des exigences du Règlement
Général sur la Protection des Données, les informations pertinentes du RGPD et des lignes direc-
trices sont identifiées.
A. Articles RGPD : Les articles pertinents du Règlement sont identifiés et repris de manière synthé-
tique.
B. Lignes directrices CEPD & G29 : Les informations provenant du préambule du Règlement, des
lignes directrices publiées par l’Article 29 , le Contrôleur Européen de la Protection des Données

36
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

(CEPD) sont reprises.

Guide de lecture : Le titre du document est mentionné en caractère gras. Lorsqu’une publication
existe en français cette version sera préférée, sinon la version anglais est mentionnée. Le numéro
entre parenthèses renvoie vers les références en annexes. Les libellés précédés de numéros sous
le titre correspondent aux sections pertinentes du document.
C. Exigence conditionnelle : Certaines exigences sont soumises à des critères ou à des conditions.
Des schémas aident à comprendre les alternatives et à effectuer les choix adéquats.

3/ Situations à risque
Ces situations à risque sont des exemples de situations auxquelles les organisations peuvent être
potentiellement confrontées entrainant un risque de ne pas d’être en conformité avec les exigences.
Ces situations à risque sont des risques inhérents qui doivent être validés, adaptés et complétés se-
lon le contexte spécifique à chaque organisation.

4/ Bonnes pratiques
Les bonnes pratiques sont les activités considérées comme essentielles pour atteindre l’objectif et in
fine respecter les exigences RGPD.

5/ Actions de maîtrise
Lorsque la décision consiste à traiter le risque, des mesures de traitement sont proposées. Celles-ci
devront être revues en fonction des risques spécifiques au contexte de l’organisation.

6/ Points de contrôle
Les points de contrôle sont des éléments tels que des documents, des procédures, des registres ou
des livrables qui permettent de s’assurer de la mise en œuvre des processus ou des actions de maî-
trise.

7/ Techniques d’audit
Les activités utilisées par l’auditeur pour donner une assurance sur la conformité et l’efficacité des
pratiques RGPD.

8/ Sources d’information
Des publications, des référentiels y compris ceux des Autorités de Protection des Données, des
guides, des outils, etc. utiles en rapport avec le thème sont référencées. L’annexe 7 reprend l’en-
semble de références.

37
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

9/ Sanctions
Quelques cas de jurisprudence mentionnés qui ont une fonction informative, fournissent des indi-
cations sur les sanctions potentielles. Le montant de l’amende mentionné peut concerner un en-
semble de manquement, alors que seul l’élément correspondant au thème est expliqué.
L’absence de jurisprudence pour un thème donné ne signifie nullement qu’il n’existe pas de risque
de sanction. Les Autorités de Protection des Données se fixent des priorités qui évoluent et s’enri-
chissent au fil du temps.

38
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

1. DOMAINE DE GOUVERNANCE

Rôles et responsabilités, organes de pilotage, politiques et directives qui permettent une gouver-
nance adéquate de la protection des données à caractère personnel au sein de l’organisation.

Al. Engagements du Responsable du Traitement (RT)

Mise en œuvre d'une gouvernance effective des libertés individuellles au niveau
des organes de gouvernance, notamment le conseil! d'administration et la
1/ Objectifs direction.
de contrôle
Traduction de la gouvernance en charte de protection des données à caractère
personnel et en politiques de gouvernance des données.
Chapitre 1 : Le responsable prend connaissance des conditions d'application du RGPD et
analyse les champs d'application matériel et territorial de son entreprise ou groupe
d'entreprise.
Article 4 :
« Responsable du Traitement», la personne physique ou morale, l'autorité publique, le
service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les
finalités et les moyens du traitement ;
2/ Exigences
Article 24 §1 : Le Responsable du Traitement prend des mesures techniques et
RGPD organisationnelles a1ppropriées aux risques pour les droits et libertés des personnes
physiques pour s'assurer et démontrer la conformité de ses tra1itements de données à
a) Articles caractère personnel!.. Si nécessaire, ces mesures sont réexaminées et actualisées.
RGPD
Article 26 § 1 : Lorsque deux Responsables du Traitement ou pllus déterminent
conjointement les finalités et les moyens du traitement, ils sont les Responsables
Conjoints du Traitement.
Article 26 §2 : L'accord qui régit les relations entre les responsables conjoints reflète
leurs 1rôles respectifs dans le traitement et vis-à-vis des personnes concernées.
L'accord n'est pas opposable à l'exercice des droits de la personne concernée à l'égard de
et contre chacun des Responsables.
« Lignes directricesdu CEPD sur les notions de responsable du traitement, de
sous-traitant et de responsabilité conjointe du traitement dans le cad1re du
règlement (UE} 2018/ 1725 » (12)
Le cha1pitre 3 explique la notion de « Responsable du Traitement », définit son rôle et ses
responsabilités, et présente ensuite quelques études de cas ;
b}Lignes Le chapitre s explique la1notion de « responsabilité conjointe du traitement », définit le
directrices rôle et les responsabilités des responsables conjoints du traitement.
CEPD& « Lignes directrices sur la p1rotection des données à caractère personnel pour la
G29 gouvernance informatique et lla gestion informatique des institutions
européennes >>(3)
4. Cadre juridique de la protection des données
4.1. Exigences en matière de protection des données
« Guidelines 3/2018on the te1rritorial scope of the GDPR (Article 3) » ( 13)

39
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Al. Engagements du Responsable du Traitement ( RT)

Etes ..vous Responsable du Traitemient (RT), Sous-Traitant (ST) ou
responsable conjoint du traitement?
Ce schéma1 permet de déterminer vos responsabilités. Dans le cas où un traitement
comporte des activités pour lesquelles les finalités et les moyens sont déterminés de
manière différente, veuillez appliquer le schéma1 à1cha1que ensemble d'activités dont la
finalité et les moyens essentiels sont déterminés de la même maniere.

c) Exigence
condltlonn1e
lie

Voos déterminez VOLISdétermine?

seul l'a finalitè et conjointe ment la fina lite
les moyens et les moyens
du trattement du Ira ltement

Vous êtes
Vous êtes IRT
responsailble
Best ST
con"oint ave,c B

Schéma 15 - Type de responsabifité

Un Sous~Traitant ne détermine pas la finalité du traitement, ni les moyens mais exécute le

traitement en tant que prestataire pour le compte d'un Responsable du Traitement. Le
Sous~Traitant sera très probablement également Responsable du Traitement pour certains
traitements de DCP, par exemple ceux qui concernent lai gestion de ses propres ressources
humaines.
• Absence de prise en compte du sujet par la directiolil et les organes de gouvermrnce
matériallisée par le manque de moyens définis pour le DPO, de soutien de la direction,
de priorisation / connaissance du sujet ou de suivi périodiique.
3/ Situations • Absence de documents ou documelilts incomplets et/ou non diffusés, nolil accessibles,
à risque lilon connus.
• Existence et visibilité d'une démarche de protection des données (prnjet de
déploiement, bilan de la démarche, parcours d'ililtégration, points de contacts).

40
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Al. Engagements du Responsable du Traitement (RT)

• Annexer un code de déontologie, au contrat de travail ou au règlement intérieur,
opposable aux travailleurs
Disposer d'une politique de protection des DCP (intégrée dans le corpus de politiques
de l'organisation).
4/ Bon1nes Présenter la politique et le programme de protection des DCP au comité d'audit du CA/
pratiques CS ou équivalent, au comité de direction.
Disposer d'une Charte confidentialité et/ou mettre à jour le règlement d'ordre intérieur.
Mettre de manière récurrente la protection des DCP à l'agenda du comité exécutif.
En cas de coresponsables du traitement, signer une convention entre lies
coresponsables et rendre public les grandes lignes de !l'accord.

5/ Actions de maitrise 6/ Points de contrôle

Nombre ,de communications ou de réunions réalisées sur le sujet ou
Communicaition de la Direction
l'évoquant par la Direction
Montant du budget est alloué ou des dépenses suivies dans la
Moyens alloués (budget)
comptabilité analytique en % du budget global
Implication de la Direction dans les
réunions périodiques et réactivité Comptes-rendus de réunions signés
sur sollicitation du DPO
Information du DPO des sujets
PV de réunions indiquant la présence du DPO (ou accès du DPO aux
abordés lors des Comités
ordres du jour et PV)
Opérationnels
Rapport annuel du DPO au
Revue annuelle des actions (Plan action/ rapport annuell signé)
Responsable du Traitement
Interview du Responsable du Traitement et des orga11esde direction
Revue de la clharte de vie privée, vérification de l'approbation pa,r les organes de
gouvernance, évaluation de la diffusion et de lla compréhension par l'interview d'un
7 /Techniques échantilllon représentatif des collaborateurs.
d'audit Revue du budget alloué et des missions du DPO.
Évaluation par rapport aux activités du RGPD
Revue des communications, des comptes-rendus, des PV de réunion et du rapport
annuel du DPO

8/ Sources Néant
d 'i nformation1

41
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Al. Engagements du Responsable du Traitement (RT)

Responsable de traitement :
• CNIL (SAN 2017 006) - FACEBOOK: Amende de 150.000€
o Motif : qualité de responsablles de traitement des sociétés FACEBOOKINC.
Et FACEBOOKIRELAND
B.e~ponsabilité
conjointe :
• Cour de justice Européenne - Arrêt dans l'affaire C-40/17 Fashion ID GmbH & Co.
KG/Verbraucherzentrale NRW eV
9/ Sanctions o Explication : Le gestionnaire d'un site Internet équipé du bouton « j'aime »
de Faicebook peut être conjointement responsable avec Facebool< de la
collecte et de la transmission à Facebook des données à caractère personnel
des visiteurs de son site. Le gestionnaire d'un site Internet tel que Fashion
ID, en tant que (co)responsable de certaines opérations de traitement de
données des visiteurs de son site, comme la collecte des données et leur
transmission à Facebook Irela,nd, doit fournir, au moment de lai collecte,
certaines informations à ces visiteurs, comme son identité et lies finalités du
traitement.

Tableau 16 – A1. Engagements du Responsable du Traitement

42
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

A2. Polltlques et organisation de la protection des données

1/ Objectifs Des mesures de protection des données personnelles et de sécurité seront établies à l'aide
de contrôle de politiqL1es et de structures organisationnelles adéquates.

Article 5 §1 : Les données à caractère personlilel doivent être :

• traitées de manière licite, loyale et tralilsparente ;
collectées polir des finalités déterminées, explicites et légitimes ;
adéquates, pertinentes et limirtées ;
exactes et [Link] à jour
conservées pendant une période n'excédant pas celle nécessaire au regard des
2/ Exigences finalités ;
R6PD • traitées de façon à garantir une sécurité appropriée.
Article 5 §2 : Le Responsable du Traitement est 1res:[Link] respect des prindpes
a)Articles de traiitement et est en 111esurede démontrer que cellli-ci est respecté.
RGPD
Article 24 § 1 : Le Responsable dl.l Traitement prend des mesures teohniques et
org,rnisationnelles appropriées aux risques pour les droits et libertés des personnes
physiques pour s'assurer et démontrer la conformité de ses traitements de dolillilées
à caractère personnel. Si nécessaire, ces [Link] sont réexa111inées et actualisées.
Article 24 §2 : Le Responsable dl.l Traitement prend dies mesures teohniques et
organisationnelles appropriées et notamment la mise en œuv1re de politiques
appropriées en matière de protection des données lorsque cela est proportionné au
regard des activités de traitement.
« Lai gouvernance informatique et la1 gestion informatique des institutions
européennes ~.>(3)
3. Gouvernance ililformatique, la gestion informatique et la responsabilité
3.1 Gouvernance informatique et g,estion informatique
b)Lignes
directrices 3.2 Responsabiliité en matière die protection des données
CEIPIDG29 4. Cadre juridiqlle die la protection des donlilées
1k Cl:PD 5. Exigences de protection des données au cours du cycle de vie d'un système
informatique
« Security Measures for Pe1rso:nalData Proc,essing » (14)
1.2.2. Basis of Information Security Risk Managemelilt (ISRM}

• Absence/non complétude des mesures de sécurité techniques et organisationnelles

déclinaison dies politiques et principes.
3/ Situations • Absence de communication des mesures de sécurité
à risque
Les politiques et mesures die sécurité ne sont pas corrnues ou ne sont pas appliquées
par le personnel.
Intégrer la protection des DCP dans la politique de sécurité des systèmes d'information.
4/ Bonnes
Publier les nouvelles poliitiques ou les mises à jour auprès des managers et des
pratiques
responsables de l'organisation afin qu'ils relaient l'information.

43
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

A2. Politiques et organisation de la protection des données

5/ Actions de maîtrise 6/ Points de contrôle
Charte infonmatique ou charte de Vérification du corpus documentaire : existence des documents et
protection des DCP mises à jour régulières {max 2 ans)
Politique de Protection des données et Coliltrôle de l'existence d'une procédure et mise à jour régulière (max
procédure de gouvernance 2 ans) + accessibilirté
Déclaratiolil de confidentialité Vérification de la clause dans le contrat de travail (et/ou charte, si
annexée au règlement intérieur)
Politique de la sécurité des systèmes Coliltrôle de l'existence d'une PSSI et connaissance de celle-ci auprès
d'information (PSSI) et des procédures du personnel
notamment en matière de
sauvegarde, traçabilité, ohiffrement
Revue de la charte informatique
7/
Revue des politiques de sécurité et adéquation par rapport au règlement RGPD
Techniques
• Vérification de la diiffusion des politiques et la connaissance auprès d'un échaliltillon de
d'audit
responsables et/ou de colllaborateurs.
• ANSSI, PSSI - Guide d'élaboration de politiques de sécurité des systèmes
8/ Sources d'infonmation ( 15)
d'information • ANSSI, Charte d'utiilisation des moyens infonmatiques et des outils lilumériques (16)
Absence de politique d'accès aux bases de données des patients
• CNPD - l'établissement hospitalier "Hospitalar Barreiro-Montijo" : Amende de 40 01

000 EUR
Motif : La sanction est justifiée par les 3 raisons suivantes :
9/ Sanctions o Violation des prililcipes d'intégrité et de colilfideliltialité des données € 150
000.-;
o Violation du principe de limitation d'accès aux données : € 150 000.- ; et
o Incapacité pour lie Responsable du Traitement des données à garantir
l'intégrité des données. € 100'000.-

Tableau 17 – A2. Politiques et organisation de la protection des données

44
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

A3. Organes de gouvernance, rôles et responsabilités

Etablisseme11t des pouvoirs de responsabilisation et de priise de décisions au sein des
organes de gouvernance et délégatio11 de manière appropriée et [Link].

1/ Objectifs Etablisseme11t des rôles et des re-Spo11sabilités en matière de pmtection des libertés
individuelles et des traitements des données à c,ar-actère personnel à tous les niveaux de
de contrôle l'organisatio11, avec des cam1ux clairs de communication et l'escalade des matières de
respect de la vie privée. Les risques liés aux traitements des données à caractère personnel
sont examinés dans le contexte des autres risques de l'organisation.

2/ Exigences
RGPD Article 5 §2 : Le Responsable du Traitement est responsable du res:pect des principes
de traitement et est en [Link] de démontrer que celui-ci est respecté.
a)Articles
RGPD
<( [Link] on the ground Part I: Records 1 Registers and when to do Data
Protection Impact Assessme1nts » (17)
2. Responsibilities - who does what?
b)Lignes <( Lignes dir"ectrice.s sur la protectiion des données à caractère personnel pour la
difiectrice ,gouver1nance inforllilatique et la, gestion i1nforimatique des instituUons
s Cl:PD & européennes ~.>(3)
G29
2. Gouvernance informatique, la gestion infonmatique et la respo11sabilité
3.1 Gouvernance informatique et gestion informatique
3.2 Responsabilité en matière de protection des données

3/ • Absence ou incomplétude du disposirtif de pilotage de la protection des données

Situations à (fréquence, membres, modalités de prise de décision, compte-rendu, suivi)
risque
Etablir les rôles et responsabilités en matière de protection des don11ées sous la forme
de matrice de responsabilités (RACI) couvrant les acteurs [DPO, Réseau des DPO ou
représentants du DPO, RSSI, Responsable conformité ...] et les partiies prenantes
[métiers].
Intégrer la protection des DCP dans les :
4/ Bonnes
pratiques c comités de gouvernance de projet SI.
c comités de gouvernance de données.
c activités récurrentes d'audit et de contrôle interne.
Evaluer régulièrement {péniodicité annuelle) le respect des rôles et faire les ajustements
éventuels [DPO, co11trôle Interne, Audit]

5/ Actions de maitrise 6/ Points de contrôle

Comité die pilotage des dlon11éesou Cornillé
Revue des procès-verbaux du comité ou de la fiche projet (visa
de gouvemance des données (analyse des
DPO sur nouveaux projets)
tlux)
Comité dies projets (protection des DCP ; Revue des procès-verbaux du comité projet ou de la fiche projet
décision Go ou NoGo projets ; visa DPO sur
nouveaux pmjets)

45
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

A3. Organ1es de gouvernance, rôles et responsabilités

Vérification des modaliités d'information dans la procédure
Information au Conseil d'Administration et gouvernance et sa mise en œuvre
Comité d'Audit Revue des procès-verbaux du Conseil! d'Administration et du
Comité d'Audit.
• Vérification des rôles et responsabilités des organes de gouvernance et des fonctions
7/ spécialisées (DPO, CISO...)
Techniques Revue des PV des comités et des organes de gouvernance (Conseil d'Administration ou
d'audit Comité d'Audit)
• Vérification des visas du DPO sur les nouveaux projets.

8/ Sources
Néant
d'information

9/ Sanctions Néant

Tableau 18 – A3. Organes de gouvernance, rôles et responsabilités

46
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

A4. Délégué à la Protection des Données (DPO)

Détenmination et déploiement du DPO ou du « champion :t- de la prntection de la vie privée
1/ Objectifs au sein de l'organisation, en rendant compte de manière rég,ulière au Responsable du
de contrôle Trairtement.
Article 37 : Le Responsable du Traitement, ou Sous-Traitant, désig11e un DPO soit
volontai1rement soit par exigence du droit de l'Union ou d'un Etat Membre.
Article 38 §2 : Le Responsable du Traitement et le Sous-Traitant aident le DPO fournissent :
les ressour-ces nécessair,es à l'exercice de ses missions,
l'accès aux données personnelles et aux opératio11s de traitement,
les moyens d'entretenir ses connaissances spécialisées.
Article 38 §3 : Le Responsable du Traitement et le Sous-Traitant veillent a
ce que le Délégué
à la Protection des Données {DPO) ne 1rec;oive .auc,une im;truction dans l'exercice de
2/ Exigences ses missions .. Ils ne peuve11t relever le DPO de ses fonctions ou le pénaliser pour l'exerniœ
de ses missiions.
RGPD
Article 38 §6 : Le Responsable du Traitement et le Sous-Traitant veillent a
ce que le Délégué
a)Artides à la Protection des Données (DPO) exécute ses autres missions et tâches, s'il en a, sans
RGPD -conflit d'inté1rêts avec ses missions.
Article 39 §1 : A minima le DPO
informe et conseille le Responsable du Traitement, le Sous-Traitant et les employés
contr·ôle le respect des dispositions réglementaires en vigueur e11 matière de
protection des données
dispense des conseils, sur dem,rnde, relatifs à !l'analyse d'impact et les conditions
d'exécution
coopère et fait office de contad avec l'autorité de cont1rôle et mène des
consultations.

~( Lignes di1rectrfoes concernant les délégués à la protection des données» (18) :

2. la désignation du déjégué :
2.1 Désiginatio11 d'un DPO (corresponda11t à article 37 du RGPD)
3. la fonction de DPO :
3.2 Ressournes nécessaires (correspondant a artide 38 §2 du RGPD)
b)Lignes 3.3 Instruction et exeroiœ de la mission en toute iindépenda11ce (correspondant
directrice à article 38 §3 du RGPD)
s CEPD &
G29 3.5 Conflits d'intérêts {correspondant à article 38 §6 du RGPD)
4. Mi.ssio1nsdu DPO :
• 4.1 Contrôle du respect du RGPD
• 4.2 Rôle du DPD dans la dispense d'analyse d'impacts
• 4.3 Coopérer avec l'autorité de contrôle
• 4.4 Approche fondée sur les risques

47
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

A4. Délégué à la Protection des Données (DPO)

Faut-il désigner un DPO dans l'ent,reprise?

Pas de
DPO
req1uis

c) Exig,ence
conditionnelle DPO
requis

Schéma 19 - Désignation du DPO

Le DPO est requis si les traitements correspondent à une des trois conditions :
Les traitements des DCP sont réalisés dans le secteur public ;
Les traitements de DCP sensibles sont réalisés à grande échelle ;
Le suivi régulier et systéma,tique des personnes concernées est réalisé à grande
échelle.
Même si le DPO n'est pas requis, les orgianisations peuvent faire le choix d'en désigner un
qui, dans ce cas de figure, devra également répondre à toutes les exigences du [Link],ns
le ,cas où le IDPOn'est pas obligatoire, certaines organisations nomment un « responsable à
la protection des données » pour éviter les exigiences réglementaires, par exemplle en ce qui
concerne le non-cumull avec œrt~,ines autres responsabillités.
• Absence ou mauvaise désignation du DPO {respect des prérequis)
3/ Positionnement non approprié du DPO (visibilité du DPO dans l'organigramme, situations
Situations à de conflits d'intérêts, pas d'appui de la direction, etc.).
risque • Absence ou moyens insuffisants (formaition, temps disponible si double fonction,
accompagnement du DPO dans le déploiement, etc.).

48
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

A4. Délégué à la Protection des Données (DPO)

Détenminer la nécessité ou lilon de nommer un DPO.
Nommer un DPO dans le respect des exigences, des moyens, des compétences et de
missions requises ( 19} et formaliser les missions confiées (lettre de mission,
engagement de confidentialité, budget, charge de tr-avail).
Rattachement du DPO au niveau supérieur de l'organisation et/ou â ses organes de
gouvernance [Conseil d'administration ou Comirté de direction ou Secrétariat Général].
Disposer d'une organisation de la protection des DCP rattachée au DPO et composée de
DPO des entités ou de représentants du DPO (référents RGPD).
Etablir une fiche de poste ou lettre de mission et organigramme
4/ Bonnes Communiquer les coordonnées du DPO aux autorités de contrôle.
pratiques Communiquer la nomination du DPO et de ses représentants au sein des entités de
l'organisation.
Mettre adisposition les coordonnées du DPO et de ses représentants (via l'intranet ou
les moyens de communication habituels de l'organisation).
• Veiller à la participation du DPO aux comirtés de décision de nouveaux projets par
rapport aux mesures de protection des DCP
Faire approuver les décisions de projets impliiquant des DCP par le DPO
Eventuellement nommer des référents RGPD
Permettre au DPO, et également au référents RGPD d'accéder à toutes les informations
et données utiles pour l'exercice de lieur fonction.

5/ Actions de maîtrise 6/ Points de contrôle

Justificatiion du DPO d'au moins 2 ans
d'expérience ou disposirtion d'une Nombre d'année d'expérience du DPO (certification éventuelle)
certification adéquate

Positionnement du DPO : voir fiche de poste ou lettre de mission et

Rattachement du DPO â la Direction organigramme (et rattachement hiérarchique et rattachement
Générale et clairement identifiable dans fonctiionnel}
l1'organigramme en position
Communication de la nomination du DPO au personnel!.
iindépendante.
Déclaration du DPO à l'Autorité de Protection des Données {APD).
Absence de conflit d'intérêt, si le DPO a Nature de la deuxième fon•ction éventuelle du DPO
une seconde fonction (ex. : DSI)
Disponibilité du temps de la part du
DPO (en cas de double fonction)
Répartition du temps entre fonction DPO et autres fonctions
Accès à des formations pertinentes
Nombre d'ETP sur la mission de DPO
Participation à des activités de réseau
(veille règlementaire).

Accompagnement du DPO llors du Nature de l'accompagnement : Binôme 7 Équipe 7 Référents RGPD?

déploiement (Référents RGPD, Consultant externe 7
assistance en interne ou recours à des
compétences externes).

49
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

A4 .. Délégué à la Protection1 des Données {DPO)

• Interview du DPO, et éventuellement de quelques référents RGPD et de la
7/ communication au personnel.
Techniques • Examen des activités du DPO sur base des PV et plans d'action.
d'audit
• Vérification de la nomination et du rôle des référents RGPD

8/ Sources • Charte de déontologie du DPO (20)

d 'i nformatio
• Fiche de poste DPO et llettre de mission (21)
n
Absence de désignation de DPO ou désignation non conforme :
• BfDI - société de gestion, de recouvrement et de traitement des prélèvements
automatiques Rapidata : Amende de 10.000 €
o Motif: Absence de nomination d'un DPO
• APD Belge - Opérateur téléphonique Proximus : Amende de 50.000€
o Motif : DPO en conflit d'intérêt et DPO de paille

Tableau 20 – A4. Délégué à la Protection des Données (DPO)

50
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

2. DOMAINE D’ORGANISATION DU DISPOSITIF ®-

Mesures et processus à mettre en œuvre pour répondre aux exigences du règlement RGPD.

Domaine B. Organisation du dispositif

Thèm,e B1. Llcéité du traitem1ent {base légale & finalité)
Toutes les dmmées à caractère personnel sont traitées de manière licite, équitable et
1/ Objectifs transparente vis-à-vis de la personne concernée, puis collectées et traitées à des fins
de contrôle spécifiées, explicites et légirtimes.
Les catégrories de données spécialles (données sensibles) ont été identifiées.

2/ Exigences Article 5 §1 : Les données à caractère personnel sont tr-aitées de manière licite,. loyales
RGPD et tra1nspa1renlies pour des finalités déterminées, explicites et légitimes.
Article 6 §1 : Un traitement est licite si la personne consent au traiœment ou si le
a)Artldes traitement répond aux conditions de llicéité imposées par la réglementation en vigueur.
RGPD

« Lignes directrices sur lla transpar·ence » (22) :

Introduction
Signification de la transparelilce
Informatiolils à fournir à la personne concemée
Dérogations à l'obligatiiolil de fourniir une information
~( Lignes directrices sur lie co1nsentement » (23} :
1. Introduction
3. Eléments d'un consentemelilt valable
Consentemelilt explicite
Consentemelilt spécifique
Con senteme lilt éda iré
b)Lignes
di rectrices 4. Obtention d'un consentement explicite
Cl!!PID& 6. Consentement et autres bases ,juridiques
G29 « l,jgnesdjrectrjçes relatives à la prise de décisioniodividueHeaL1tomatisée
et
p,roJiilag·e>>: (24)
11. Définitions
111. Disposiitions générales
IV. Dispositions spécifiques
« Lignes directriices du CEPO portant su1r l'évaluation du ca,ractère 1pr·oportionné
des mesures » (25):
IL .Alilalyse juridique : application du critère de lia proportionnalité aux droits à la vie privée
et à la protection des données à caractère personnel
« Ugines di1rectrkes 2/2018 relatives aux dérogations prévues à l''artide 49 du
règlement {EU) 2016f,679 » (26)_:_
2.1 La personne concernée a donné son consentement explicite au transfert envisagé

51
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine B. Organisation du dispositif

Thème B1. Licéité du traitem1ent (base légale & finalité)
• Traitement illicite en raison d'un défaut de fondement légal dl.l traitement {choix de
fondement erroné, mauvaiise qualification, consentement non confonme, etc.).
3/ Situations · Traitement illic,ite en raison de finalité non respectée ou non définie.
à risque Plainte conduisant a l'interruption temporaire OLI défi11itive de trairtement, à la
suppression des DCP.
Surcoût: de mise en confonmité à postériori.

Etabllir le fo11dement légal et la finalité de tous les traitements des DCP [DPO,
Responsable métier, Juridique].
Mettre en œuvre la collecte du consentement de manière conforme au RGPD et
[Link] les preuves de consentement.
4/ Bonnes
Eventuellement, ajuster lies traitemelilts pour se colilformer aux finalités et au
pratiques fondement lég,al, voir arrêter les traitements non confonmes.
• Vérifier l'application de la protection par colilception et par défaut « Privacy by Design/
Default » (sur les aspects fondement llégal et finalité) dalils les comités de projet S[ (et
autres si nécessaires).

5/ Actions de maîtrise 6/ Points de contrôle

Procédures de traitement des données Questionnaire référent RGPD sur la prise en charge des actio11s de
base
Proportiolilnalité et minimisation des Contrôle formulaire de collecte de données
collectes de données.

Colilformité des zones de commentaires Extractiolil zones de commentaires libres : contrôlle (et correction)
libres {ZCL) assurée par prévention ou
iinterdiction des saisies et contrôle
Dictionnaires des données Contrôle de l'existence de la cartographie des DCP et mise a jour
Identification des données sensibles régulière

Formalisatiion des [Link] de Vériification du suivi des consentemelilts (le consentement est
co11sentements et suivi de leur suppression lilotifié sur le traitement le nécessitant) sur toutes les thématiqlles
dans les délais convelilus avec la personne et die l'existence des recueils signés par les personnes concernées
co11cernée.

Gestion des oppositions Contrôle de l'existence d'un suivi fiable des oppositions, coliltrôle
prise en compte des oppositions par échantillonnage par
thématiqlle
Revue des finalités et: des bases légales respectives.
7/ • Vérification de la proportionmjllité et de la minimisatiiolil des données
Techniques Revue de la procédure de recueils de co1ilse11tementet de la gestion des oppositions
d'audit • Vérification de la preuve du colilsentement (échantillonnage par thématique) e11
recourant éventuelllement à l'analyse dies données.

8/ Sources
Néa11t
d'information

52
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine B. Organisation du dispositif

Thèm,e B1. Licéité du traitement (base légale & finalité)
Finalités :
• CNIL, DARTY {SAN-2018-001): Amende de 100 ..000 C
o Motif : .Absence de détermination par la société des finalirtés et des moyens
de traitement pour les activités d'une entité qui propose sur son site web un
formulaire permettant aux clients de la société de déposer une demande de
service après-velilte
• CNIL, OPH de Rennes (SAN-2018-007} : Amelilde de 30.00•0 C
o Motif : un courriel avait été envoyé par l'Office Public de I Habitat de Rennes
à ses locataires au sujet d une décisiolil gouvemementale. Ce traitement
était incompatible avec la finalité pour laquelle ses données étaient
initialemelilt collectées (à savoir la gestion du patrimoine immobilier).
Col]sel]temel]t:
• CNIL (SAN 2017 006} - FACEBOOK : .Amende de 150.000€
o Motif : Manquemelilt à I obligation de disposer d'ulile base légale pour les
9/ Sanctions traitements mis en œuvre ;.
o Motif : Manquemelilt à l'obligation de procéder à une collecte et à un
traitement loyal des dolilnées;
o Motif : Manquemelilt à l'obligation de recueillir le consentement des
personnes concernées pour le traitement de données sensibles relatives aux
opinions politiques ou religrieuses et à la vie sexuelle.
• CNIL (MED-2018-005), DIRECT ENERGIE : Mise en demeure
o Motif : non-respect de certaines conditions de recueil du consentement
concemant les données des compteurs communicalilts
LLœ· é du traite e □t :
• CNIL (SAN 2017 009), BOE : Amende de 1.000 EUR
o Motif : collecte et conservation des données excessives par la mise en œuvre
du système de vidéosurveillanœ qui place les personnes travaillant pour la
société sous une surveillance permanente et constante.

Tableau 21 – B1. Licéité du traitement

53
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine B. Organisation du dispositif

Thèm,e B2. Registre des activités de traitement
1/ Objectifs Des enregistrements des activités de traitement des données à car-actère persmuilel sont
de contrôle maintenues pour tous les proœssus traitant des données personnelles.

2/ Exigences Article 30 §1 ; §2 et §5 : Le Responsable du Traitement tient un registre des activiités

RGPD de traitement., Le Sous-Tr-aitant tient un registre des catégories de traitement effectués
pour le compte de chaque Responsable du Traitement. Sauf exœptions, lies entreprises de
a)Articles moins de 250 employés ne sont pas obligées de tenir un registre. (Voir l'exigence
RGPD co1r1ditiom1elleci-dessous).

« Lignes directrioes conce1rnant les délégués à la protection des données » ( 18) :

b)Llgnes 4. Mission du DPO:

directrices • 4.S Rôle du DPO dans la tenue du registre
CEPD&
G29
« .Accountabfüty on the ground Pa1rt I: Records, Registers and wlhen to do Data
Protection Impact .Assessments » ( 17)

54
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine B. Organisation du dispositif

Thème B2. Registre des activités de traitement
Que:1est le format du registre des activités de traitement?
Le formait du registre est différent selon le type de responsabilité : Responsable du
Traitement ou Sous-Traitant.

Faut-il enregistrer le traitement des données à caractere personnel dans

le registre des activités de traitement?

c) l:xigence
conditionne
lie

Traitement
requis dai1ns
registre

Schéma 22 - Registre des acUvfü}s de traitement

Pour les organisations ayant au moins 250 équivalents temps plein (ETP), tous les
traitements de DCP doivent être repris dans le registre.

Lorsque le nombre d'équivalent temps plein (ETP) est inférieur à 250, le registre ne
comportera que les traitements qui répondent au moins à une des 3 conditions :

Le traitement des DCP est un traitement régulier (non occasionnel) ;

• Le traitement comporte des risques pour les libertés individuelles ;
• Le traitement concerne des données sensibles .
• Absence d'un registre des traiitements ou registre non mis à jour, éve11tuelleme-11tpar
absence de cartographie.
3/ Situations Nature du registire incorrectement identifié : Responsable du Traitement ou Sous-
à risque braitant.
Reg,istre incomplet : traitements manquants, infonmations partielles.
Reg,istre comportant des informations inutiles ..

55
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine B. Organisation du dispositif

Thèm,e B2. Registre des activités de traitement
Détenminer si l'organisation est soumise a l'obligation de tenue d'un reg,istre des
traitements.
Inventorier les traitements existants sur la base des déclarations à l'ADP (sur base de
l'alilcienne llég,islation) et des exemptions de déclarations prévues par l'ADP et/ou les
principaux SI des métiers de l'entreprise pour identifier les traitements et commencer
le registre.,
4/ Bonnes Détenminer l'affectation d'un trairtement (Registre RT, Registre ST, le-Sdeux),
pratiques
Définir le format des registres (Stnctement nécessaire selon Article 30 RGPD ; Mention
non obligatoires pour utilisation pratique) (ex le fondement légral n'est pas requis dans
le registre mais doit être facilement accessible)
Intégrer la mise à jour du(des) registre(s) dans la gestion des projets de SI.
Disposer d'une procédure de mise à jour récurrelilte du(des) registre(s) et de
vérification annuelle.

5/ Actions de maîtrise 6/ Points de contrôle

Reg,istre de traitement exhaustif Contrôle de l'existence du registre Responsable du Traitement et des
(personnes concernées, mesures regiistres Sous-Traitant, le cas éché,mt.
techniques et org,rniisationnelles, durée Contrôle de la mise à jour régulière sur échantillonnage par registre.
de conservation ...) et régulièrement
mise à jour.
S'assurer de l'exhaustivité des Vérification de l'exhaustivité par rapport a la cartographie des
traitements et de la description des processus
traitements, les informatiions devant
être exactes.

Accompagnement des référents RGPD Vérification de la contribution des référents RGPD sur les nouveaux
pour identifier des traitements, fim1lités traitements
ou données à caractère personnel.

Accès du DP0 à toutes les DCP. Déclaration de blocagies rencontrés par le DPO

7 / Techniques · Revue du registre des activités de traitement et de l'exhaustivité des informations et

d'audit de la tenue à Jour

8/ Sources Néant
d'information

56
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine B. Organisation du dispositif

Thème B2. Registre des activités de traitement
Tenue du registre des activités :
• CNJIL(SAN 2019 025}, [Link]- Mlise en demeure
o Motif : non-respect de l'obligation d'établir un registre des activités de
traitement
• Office national pollonais de protedion des données personnelles, Mairie de
9/ sanctions Aleksandr6w Kujawski - Amende de 9.380€
o Motif : omission d'indiquer dans le registre des activités de trairtement de
DCP, pour les activités liées à la publication d'informatiolils sur le site Web
du bureau municipal d'Aleks,mdrôw Kujawslci, les destinataires des données
et omission d'indiquer pour ces activités de traitement la date prévue de
suppression des données de manière a garantir le traitement des données
conformément au prililcipe de stockage limité.

Tableau 23 – B2. Registre des activités de traitement

57
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine B. Organisation du dispositif

Thèm,e B3. Analyse d'impact relative à la protection des données (AIPD)
Assurer la réalisation des analyses d'impact des opérations de traitement elilvisag,ées
1/ Objectifs concerrrnnt la protection des donlilées à caractère personnel, afin de s'assurer que les
de contrôle risques d'atteinte aux droiits et libertés des personnes colilcernées soient atténués.

Article 35 §L §3, §4, §5, §6 et §10 : Le respolilsable de traitement effectue une analyse
d'impact des opératiolils pour les traitements susceptibles d'enge1ndr·er un risque
élevé pour les personnes colilcernées. Le DPO conseille le Respolilsablle de Traitement sur
demande et vérifie la réalisation des AIPD.
2/ Exigences L'analyse d'impact est requise pour certains traitements. A contrario et sauf dispositiolil
RGPD rég,lementaire contraiire, l'analyse d'impact n'est pas requise pour les traitements
liléœssairns au respect d'une obligation légale ou de l'exécution d'une mission d'intérêt
a)Articles public.
RGPD
Artjde 36 : Le Responsable du Traitement consulte l'autorité de contrôle préalablement
au traitemelilt lorsqu'une analyse d'impac.-t indique que le traitement pré,senter-ait Ulil
risque élevé, si le Responsable du Traitement ne prenait pas de mesures pour atténuer le
risque
« Ugines [Link] « Analyse d'impact à,lla, Viîe privée » _(27)_;_
Introduction
3. Analyses d'impact : Explications du RGPD
A. Sur quoi porte une Analyse d'impact
B. Les traitements qui requièrnlilt une Analyse d'impact
C. Comment effectuer Ulile Analyse d'impact

« L!îgnes directrkes relatives à, lla, prise de dé.cision individuelle automatisée et

profilage » l (24)
b)Lignes
directrices 5. Enfants et profilage
Cl:PD &
6. Analyse d'impact et délégué à la protectiolil des données
G29

« Ugines di1rectrioes concernant les délégués à la protection des do1nnées » ( 18) :

4. Mission du DPO :
• 4.2 Rôle du DPO dans les analyses d'impact relatives à la protection des
donlilées
« Accountabmty on the ground Pa,rt I: Reoo1rds1 Registers and when to do Data
Protection Impact .Assessments » ( 17)

« Acc-ountaibility on the grouind Part II: Dat:a Protection Iim1pact Assessments &
Prior [Link] »_(28)

58
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine B. Organisation du dispositif

Thème B3. Analyse d'impact relative à la protection des données (AIPD)
Les lignes directriœs concernant l'Analyse d'Impact relative à la Protection des Données
(AIPD) permettent de déterminer si le traitement est « susceptible d'engendrer un risque
élevé» aux fins du RGPD (27).

Il convient de prendre en compte les 9 critères ci-après et, lorsqu'un traitement satisfait a
au moins 2 critères, une AIPD doit être réalisée :

1. Évaluation ou notation, y compris les activités de profilage et de prédiction, portant

notamment sur des « aspects concernant le relildement au travail de lia personne
concemée, sa situation écolilomique, sa s,rnté, ses préférences ou centres d'intérêt
personnels, sa fiabilité ou son comportement, ou sa localisation et ses
déplacements » ;
2. Prise de décisions automatisées avec effet juridique ou effet similaire significatif~
3. [Link]/fance systématique : traitement utilisé pour observer, surveiller ou contrôler
les personnes concernées, y compris la collecte de données via des réseaux ou par
« la surveillance systématique d'une zone accessible au public » ;
4. Données sensibles ou lies données à caractère hautement personnel {voir lexique
pour la définition exacte des 2 termes) ;
5. Données traitées à grande échelle. Pour la définition de « grande échelle », il faut
tenir compte des 4 facteurs suirvants :
c) Exigence
a. le nombre de personnes concernées, soit en valeur absolue, soit en
conditionne
lie proportion de la population considérée ~
b. le volume de dolilnées eVou l'éventail des différents éléments de données
traitées~
c. la durée ou la permanence de l'activité de traitement de données ;
d. l'étendue géographique de l'activité de traitement.
6. Croisement ou combinaison d'ensembles de données,:
7. Données concernant des personn·es vulnérables : ce type de données est un crirtère
en raison du déséquilibre des pouvoirs accrus qui existent entre les personnes
concernées et le Responsable du Traitement ;
8. Utilisation innovante ou application de nouvelles solutions technologiques ou
organisationnelles ;
9. Traitements en eux-mêmes qui ,.. empêchent les personnes concemées d'exercer un
droit ou de bénéficier d'un service ou d'un contrat».
L'AIPDdoit être effectuée « avant lie trairtement » et l'AIPD doit être considérée comme un
outil d'aide a lia prise de décisions en œ qui concerne le traitement. {29)
a
Lorsque le Responsable du Traitement ne parvient pas id-entïfier des mesures suffisantes
pour réduire les risques à un niveau acceptable (à savoir que les risques résiduels
demeurent élevés), une consultation de l'autorité de Gontrôle est obli;Jatoire.

59
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine B. Organisation du dispositif

Thèm,e B3. Analyse d'impact relative à la protection des données (AIPD)
Non réalisation des AIPD répondant à 2 des 9 critères {risque de sanction en cas
d'incident, mesures de sécurité lilon adéquates car AIPD non ou mal réalisées, risque
3/ Situations d'impact non maîtrisé, conséquences sur les personnes et par répercussion sur
l'i magie).
à risque
• Absence d implication des acteurs clé-s (RSSI, Responsable métier, DPO).
• Absence de procédure de réalisation, de validation et de contrôle des AIPD,

Disposer d'une procédure de réalisation des AIPD. Déterminer les critères applicables à
l'orgianisatio11 et au traitement.
Former le DPO et ses référents RGPD, RSSI, chefs de projets et responsable·s métier à
la réalisation d'AIPD.
4/ Bonnes
Enregistrer les AIPD en annexe du registre des traitements.
pratiques
Inclure la revue des AIPD dans :
• les comités de projet des systèmes d'information (et autres si nécessaires) ~

• la revue régulière du(des) registre(s) de traitement.

5/ Actions de maîtrise 6/ Points de contrôle

Détenmination sur base des critères Vérification die l'exhaustivité des AIPD {par rapport liste CNil)
d'applicabilité des AIPD (30)
Détermination de la méthodologie d'AIPD Fonmalisation de la méthodologie d'AIPD.

AIPD réalisées avec les Responsablles du Vérification dies résu litats AI PD

Traitement et respectant les préconisations.
les impacts sont identifiés de manière
exhaustive pour en cas d'in0ident, être en
mesure de maîtriser les conséquences sur les
personnes et par répercussion sur l'image.

Implication des acteurs clés (RSSI, Junidique, Coliltrôle questionnaire AIPD renseigné pour les nouveaux
DPO) projets
Des mesures de sécurité adéquates sont Coliltrôle adéquation ci'. réduction du risque et mise à jour
définies pour mitiger les risques identifiés. régulière (évolution mesures de sécurité)
• Vérification de l'application adéquate des critères permettant de déterminer les AIPD à
réalliser.
7 / Techniques · Revue de méthodologie d'AIPD mise en œuvre.
d'audit Revue de ll'exéoution des AIPD et du suivi adéquat permettant de gérer les éventuelles
déficiences.
• Vérification de la consultation de l'APD en cas de risque résiduel inacceptable de ll'AIPD
CNil, Anallyse d'impact relative à la protection des donné-es {30}
CNil, Étudie d'impacts sur la vie privée {PIA) {31)
8/ Sources
ICO, Conducting privacy impact assessments code of practiœ (32)
d'information
CNil, liste des types d'opérations de traitement pour lesquelles une analyse d'impact
relative à lia protection des données esit requiise (33)

60
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine B. Organisation du dispositif

Thème B3. Analyse d'impact relative à la protection des données (AIPD)
Absence d'AIPD :
• Data Protection Authority of Sweden - Ecolle a Skelleftea: Amende de 18.630€
9/ Sanctions o Motif : manquement à l'obligation de réaliser une analyse d'impact dans le
cadre de la reconnaiissalilce faciale utilisée pour contrôler l'assiduité des
étudiants

Tableau 24 – B3. Analyse d’impact relative à la protection des données (AIPD)

61
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine B. Organisation du dispositif

B4. Protection par conception et par défaut ( «· Privacy by Design/
Thèm,e
Default »)

1/ Objectifs
Veillera ce que, lors de la conception des activités de traitement des données a
caractère
personnel, les mesures tech11iques et organisationnelles appropriiées soient prises pour
de contrôle protéger de manière adéquate et réduire au mi11imum les données à caractère personnel.
Article 25 §1 : Le Respo11sable du Traiteme11t met en œuvre, a,u moment de la,
2/ Exigences détermination des moyens du traitement comme au moment du traitement, des
mesures techniques et organisationnelles appropriées.
RGPD
Article 25 §2 : Le Responsable du Traiteme11t met en œuvre les mesures techniques et
a)Artides organisationnel les appropriées pour garantir, par défaut, que seules les données
RGPD personnelles nécessaires ne so11t traitées au regard des finalités pour lesquelles elles ont
été collec.1:ées.

« Lignes directric,es concernant les délégués à la protection des données » ( 18) :

2. Désignatio11 d'un DPO :
2.5 Expertise et compét:e11cesdu DPO
3. fonction du DPO :
b)Lignes 3.1 Association du DPO à toutes les questions relatives à la protection des DCP
directrices « lignes directrices sur la p1roliection des données à cara,ctè,re 1personnel 1pour la,
CEIPD& gouvernance informatique et lla gestion informatique des institutions
G29 européennes » (3)
3. Gouvernance informatique, la gestion informatique et la responsabilité
3.3. Protection des données dès la conception et protection des données par défaut
5. Exigences de protection des données au cours du cycle de vie d'un système
iinformatiqu e
• Absence de mise en œuvre d'u11e évaluation de conception des solutions ou de la
3/ Situations miinimiisation du traiteme11t des DCP (coût de la mise en confonmité à posteriori,
à risque annulatio11 livraison projet pour non-conformité).

Inclure la protection dès la conception et par défaut « Privacy by Design/Default :E>dans

la méthodologie de gestion des projets.
former les chefs de projets et autres acteurs clés [développeurs, MOE, MOA] à la
4/ Bonnes protection des DCP.
pratiques Inclure la revue des fondamentaux de la protection dès la conception et par défaut
« Privacy by Design/Default :E> (finalité, fondement légal, minimisation des données,
durées de rétention, données sensibles, ... ) dans les comités de projet SI (et autres si
nécessaires, [Link]. comité d'engagement)

5/ Actions de maîtrise 6/ Points de contrôle

Procédure de gestion des projets intégrant Contrôle die l'explication et l'obligation d'utiliser les fiches projet
lie« privacy by design» da11sla procédure de gouvennance {cf. A-3)
formation des ch•efs de projets et autres Vériification que les fiches projets sont disponibles et connus des
acteurs clés [développeurs, MOE] en ce référents RGPD
qui concerne la protection des do11nées

62
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine B. Organisation du dispositif

B4. Protection par conception et par défaut ( «· Privacy by Design/
Thèm,e
Default »)
Systématisation et traç.abilité de l'analyse Contrôle que les fiches projet sont renseiig,nées pour tous les
des projets dès la conception pour éviter le nouveaux projets
coût de la mise en conformité à posteriori,
ou l'annulatiion de la livraison d'un projet
pour non-conformité.

7/ • Revue de l'approohe « Pnivacy by Design » dans la méthodologie de gestion de projet.

Techniques
• Vérification de la mise en œuvre du « Privacy by Design ~ dans lia méthodologie.
d'audit
8/ Sources · CNIL, Guide RGPD du développeur (34)
d'information · ENISA, Privacy by design in big data (35)

9/ Sanctions Néant

Tableau 25 – B4. Protection par conception et par défaut (« Privacy by Design/Default »)

63
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine B. Organisation du dispositif

Thèm,e B5. Utlllsatlon et durée de conservation des DCP
Toutes les données à caractère personnel doivent être utilisées dans la finalité pour
1/ Objectifs laquellle ellles ont été collectées, et ne pas être traitées ultérieurement d'ulile manière
de contrôle incompatible avec ces finalités et pendant une durée n'excédant pas celle nécessaire au
regard des finalités, sauf justification contraire.

Article 5 §1 : Les données à caractère personnel! sont traitées de manière licite" loyales
et transparentes, pour des finalités déterminées, explidtes et légitimes de manière
à garantir leur intégrité et leur •Confidentiallité.
2/ Exigences
RGPD Les données traitées solilt exactes et tenues a
jour, et collectées de manière adéquate,
pertinente et limitée, et conservées sous une forme permettant l'identification de la
a)Artldes personne pour la durée limitée et nécessaire au traitement ..
RGPD Article 28 §3 : Le Sous-Traitalilt supprime toutes les données à caractère perso1rnel ou les
renvoie au Responsable du Traitement au terme de la prestation de services relatifs au
traitement, et détruit les copies existantes.

b)Llgnes « Lignes directriGes sur lie c-01nsentement » (23} :

directrices
5.2 Retrairt du consentement
Cl:PD &
G29 7 .3 Les droits des personnes colilcernées

Rétention au-delà de la finalité sans raison valable.

Fuirte de données qui auraient dû être •effacées {augmentatiolil de l'impact de la ruite elil
fonction du volume de données}.
• Absence de référentiel des durées de conservation
3/ Situations • Absence de systèmes d'arnhivage et d'effacement des données
à risque
• Absence de mode opératoire d'effacement des donlilées ..
Systèmes non déployés sur la base du référentiel des durées.
• Absence de montée en version des systèmes d'information pour intégrer des
techniques d'effacement manuelles ou automatiques ..

Etablir un guide des durées de rétentiolil pour les principaux métiers [RH, Finance,
Service-S Généraux, Vente & Marketing, etc ...).
• Vérifier l'application de la protection par colilception et par défaut « Privacy by Design/
4/ Bonnes Default » (sur les aspects « donlilées » : mililimisation, sensibilité, rételiltion) dans les
pratiques comités de projet S[ (et autres si néaessaires).
Disposer dune procédure ou d'un mécanisme d'effacemelilt des DCP.
Inclure les durées de rétention et les modalités d'effacement dans les contrats
(nouveau ou en renouvellemelilt) avec les Sous-Traitants.

5/ Actions de maîtrise 6/ Points de contrôle

Existence d'un référentiel des durée·s de Contrôle de l'existence d'ulile procédure d'archivage
conservation et d'une procédure
d'archivage.
Procédure d'archivage, effacement des Contrôle de l'existence de procédures et leur mise à jour
donlilées régulière (max 3 ans)

64
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine B. Organisation du dispositif

Thème B5. Utalisation et durée de conservation des DCP
Déploiement de systèmes d'archivage et Co11trôle de l'existence de règles automatiques (numériques)
d'effacement y compris pour les documelilts
papier
Existence d'un mode opératoire Co11trôle de l'existence d'ulile procédure de suppression des
d'effacement des données donlilées, mise à jour régulière et contrôle de son application

Intégration de techniques d'•effacement Co11trôle de l'existence de règles manuelles et comilaissance des

manuelles ou automatiques dans les collaborateurs
systèmes d'information.

Coliltrôle qu'il n'y pas die rétention au-delà Co11trôle du suivi de l'ardiliivage et des effacements numériques
de la finalité sans raison valable. (échantillonnage}

7/ Revue de la politique et des procédures d'archivage et d'effacement

Techniques
• Vérification par échantiillonnage de l'efficacité opérationlilelle.
d'audit
8/ Sources Néant
d'lnfo rmation
Donlilées incorrectes :
• CNJIL(SAN-2017-001) - CARREFOUR BANQUE : Avertis:sement
o Traiitement de données inexactes de plus de 38 000 personnes pendant 4 ans

• CNJIL(SAN 2017 002) - ALLOCAB : Amende de 15.000C

o Motif : conservation des dolilnées relatiives aux coordonnées bancaires au-delà
9/ Sanctions du temps lilécessaire à la réallisation de la transaction et absence de purge des
données des clients ayant demandé la suppression de leurs comptes ~
• CNJIL(SAN 2017 006} - FACEBOOK : Amende de 150.000C
o Motif : manquement à l'obligatiolil de dléfililir et de respecter une durée de
conservation proportionnée à la finalité du traitement
• CNJIL(SAN 2019 005} - SERGIC : Amende de 400.000C
o Motiif : manquement à l'obligatiolil de conserver les données pour une durée
proportionnée

Tableau 26 – B5. Utilisation et durée de conservation des DCP

65
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

1/ Objectifs Les activités des [Link]-Traitants seront •effectuées pour le compte du Responsable du
de contrôle Trairtement et les responsabilités sernnt dé[Link] LIil contrat de traitement de données.

Article 4 :
« Responsable du Traitement », la personne physique ou morale, l'autoriité publique, le
service ou un autre org,anisme qui, seul ou conjointement avec d'autres, détermine les
finalités et les moyens du traite1111ent:;
« Sou.s-T1raita1nt ►>, la personne physique ou morale, l'autorité publique, le service ou un
autre organisme qui traite des données a caractère personllel pour· le oom1pte du
Responsable du Traitemellt ;
&iide 28 !U, : Le Responsable du Traitement s'assure que les Sous-Traitallts présentent
des garanties suffisantes dans la mise en œuvre et la protectioll des drnits de la
personne concernée.
2/ Exigences Article 28 §2 : Le Sous-Traitant ne recrute pas un autre Sous-Traitant sans l'autoriisation
RGPD éorite préalable du Responsable dl.l Traitement.
Artide 28 §3 : Pour être valide, le traitement effectué par un Sous-Traitallt est ré-gi par un
a)Articles contrat spécifiant qlle.
RGPD Les donllées acaractère personnel ne sont traitées que sur instruction documentée
du Responsable du Traitement;
Les personlles autorisées à traiter les données a caractère personnel s'engagent à
respecter la oonfid·entiallité ;
• Toutes les mesures de sécurité seront prises ;
Une aide est donnée dans le traitement des requêtes ;
Les DCP sont supprimées a la fiin du traitement;
Les audits sont permis.
Artide 29 : Le Sous~Traitant et toute personne agissallt pour le Responsable du Traitement
ou le Sous-Traitant ne peut traiter des données personnellles que sur instruction.
« Ugnes directrices co•n•cer,nant les délégués à la protection des données » ( 18) :
2. Désignation d'un DPO :
2.2 DPO du Sous-Traitant

« Lignes diredrices du CEPD sur les notions de responsable du traitement:,, de

b)Llgnes sous-traiitant et de 1re,sponsa,binté conjointe du traitement dans le cadre du
di rectrices règlement (UE) 2018/1725 » (12)
Cl:IPID&
629 .1. Introduction
3. La notion de « Respollsable du Traitement »
3.1 Définition du [Link] Traitement
3.2 Obligations et responsabilités du Responsable du Traitement
3.4 Quand LIile institutioll ou u11 organe de l'Unioll est-il Responsable du
Trairtement ?

c) l!xigence Voir B.2 ..2 Le type de responsabilirté

condltlonn,el Le type de responsabilirté a également un impact sur le format du registre d'activité (voir
le B2).

66
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

• Absence d'identification d'un Sous-Traitant

Mauvaise qualïrfication des partenaires
• Absence d'inventaire des contrats
3/ Situations
à risque • Absence de clauses ou de mise en œuvre des clauses de sous-traitance.
Défaut d'appréciation de la responsabilité {Sous-Traitant, Responsable du Traitement,
Co-RL.) : la responsabilité du Sous-Tr-airtant ne peut être engagée, perte maîtrise des
DCP
Disposer des clauses type RGPD. [Juridique ~ Achats].
Intégrer les exigences RGPD dans les appels d'offre.
Etabllir des critères de choix intégrant les exigences RGPD et évaluer les offres sur base
d'une dieclc-list
Cartographier les Sous-Traitants par famillle d'achats incluant la sous-traitance de DCP
4/ Bonnes (i.e. traitement de DCP pour le compte du Responsable du Traitement). [DPO ; Achats].
pratiques
Identifier les contrats existants appartenant a
ces familles et inclure la protection des
DCP lors du renouvellement de œs contrats. [Achats]
Former les acteurs responsables des achats [DPO ; Juridique ; .Achats]
• Vérifier l'application des clauses contractuelles par les Sous-Traitants {annuelle, ou en
cas de suspicion de violation).

5/ Actions de maîtrise 6/ Points de contrôle

Inventaire des Sous-traitants et des Contrôle de l'existence de catégories de Sous-Traitants
contrats

Rédaction d'un avenant au contrat pour les Revue de l'avenant-type

contrats en cours
formation dies acteurs responsables dies Vériification de la connaissance des principes et des procédures par
achats les collaborateurs

Suivi de la mise en œuvre die la conformité Contrôle périodique dies Sous-Traitants

des Sous-Traitants
Interview dies acteurs responsables des achats et du service juridique
Revue die l'inventaire des Sous-Traitants
7/
Examen des avenants signés
Techniques
• Vérification die la mise en œuvre effective des obligations
d'audit
Planifier et réaliser les audits des Sous-Traitalilts de DCP en fonction des risques, et
chez les prestataires essentiels

8/ Sources CNIL, Guide du Sous-Traitant {36)

d'information

67
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Sous-traitance :
• CNIL (SAN 2018 010), ALLIANCE FRANCAISE PAR1S : Amende de 30.000€ :
o Motif : Manquement à l'obligation de vigilance renforcée du respolilsable de
traitement sur son sous-traitant. La circonstance selon laquelle une violation
de données ait pu avoiir pour origine une erreur commise par un sous-
traitant est sans influelilce sur l'obligation pesant sur le responsable de
traitement d'assurer Ulil suivi rigoureux des actions menées par ce dernier.
• Data Protection .Authonity of Brandenburg - Nom inconnu - .Amende de 50.000€
o a
Motïrf : Elilfreinte l'obligation de conclure un contrat de traitement de
9/ Sanctions données par écrit, avec un prestataire de serviceaSpour la fourniture
d'informations à des personnes physiques. La correspondance relative à la
fournïrture d'informations a été effectuée sous le logo du prestataire de
services. Les demandeurs d'ïnfonmation ne savaiient pas qu'il s'agissait d'un
prestataire de services, et ils n'ont pas pu identifier le responsable du
traitement des données.
• Office national polonais de protection des données personnelles, Mairie de
Aleksandr6w Kujawskï - .Amende de 9.380€
o Motïrf : fourniture des données personnelles à un prestataire, sans la
conclusion préalable d'un accord de traitement des dolilnées personlilelles.

Tableau 27 – B6. Gestion de la sous-traitance

68
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine B. Organisation du dispositif

Thèm,e B7. Transferts hors de l'Espace Economique Européen (EEE)
Tout tralilsfert de données à caractère personnel vers un pays tiers ou une organisation
1/ Objectifs internationale ne doit avoir lieu que si les garanties appropriiées pour les personnes
de contrôle concernées sont prévues.

Article 44 : Un transfert de données personnelles destinées à faire I objet de tr-aitement ne

peut avoir lieu que dans lies condition5 1requises par la réglementation en vigueur.
Artide_A,5, : Les transfe·rts sont autonisés vers les pays ou org1anisations internationales
faisant l'objet d'une décision d'adéquation de la Commission Européenne.
Article 46 &1 : En l'absence de décision d'adéquation, le responsable peut transférer des
2/ Exigences données personnellles hors Uniolil Européenne s'il a prévu des ga1ranties appro1priées et
RGPD si les personnes concernées disposent de droits opposables et de voies de droit effectives.

a)Artldes Article 47 &1 : En l'absence de décision d'adéquation, le responsable peut transférer des
RGPD données personnelles hors Union Européenne s'il a adopté des irègles d'entreprise
contra [Link].
Article 28 §3 : Le Sous-Traitant ne traite les données a
caractère personnel que sur
instruction documentée du Responsable du Traitement, y compris en ce qui concerne les
transferts de données à caractère persolilnel vers un pays tiers ou a
une organisation
internationale.

<< Lignes directrices 2/2018 relatives aux dérogations 1prévues à l'artide 49 du

règlement (EU) 2016/679 » (26):
1. Généra lités
2. Interprétations particulières de l'article 49

<< Note d'informati,on sur les transferts de données post BREXlT ~;_(37)

b)Lignes
« Règlles d'entreprise contraignantes (Responsable du Traitement) »_(38):
directrices
Cl:PD & Ililtroduction
G29
1. Nlouveaux éléments
2. Modifications à apporter aux BCR déjà adoptées

« Règlle.s d'entreprise contraignantes pou1r les Sous-Traitants » (39):

Ililtroduction
1. Nouveaux éléments
2. Modifi•cations à apporter aux BCR déjà adoptées

• Absence de mesures de sauvegarde des informations lors des transferts hors Union.
3/ Situations · Défaut d'analyse des flux.
à risque • Absence d encadremelilt des transferts.
Règles de transferts non sécurisées.

69
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine B. Organisation du dispositif

Thème B7. Transferts hors de l'Espace Economique Européen (EEE)
Disposer d'une veille légale sur le niveau de protection des DCP par les pays tiers ou les
organisations intemationales tel que validé par les autorités de protection des DCP et la
Commission de l'UE.
4/ Bonnes Identifier les flux de données hors EEE {ou pays adéquat).
pratiques Identifier la mesure de protection adaptée pour chaque traitement (BCR, g,aranties
appropriiées, exceptiion) et l'inscrire au registre.
Inclure la revue des protections des transferts de DCP dans les comités de projet S[ (et
autres si nécessaires).

5/ Actions de maîtrise 6/ Points de contrôle

Identiifü:ation de flux de données hors UE Contrôle de l'existence de la description des flux de données des
Cartographie des données des systèmes DCP ou de la cartographie et mise à jour régulière
d 'iinforma tion

Mesures de protectiion et sécurité Existence d'une procédure ou règles transmission de DCP (ex.
adéquates lors des flux de données plateforme d'e1woi sécurisée)
Clauses contractuelles type ou Règ,les Contrôle de l'existence de « clauses contractuelles type :i>

d'Entreprise Contraignantes (BCR) adéquates pour les transferts hors UE

Revue de la veille légale sur le niveau de protection des pays

7/ Identification des flux de données hors UE

Techniques • Vérification l'identification des transferts dans le registre
d'audit Evaluation des mesures de sauvegarde
Examen des engagements contractuels

8/ Sources Néant
d'information
Tralilsferts hors de l'EEE
• CNIL (SAN 2019 010), FUTURA INTENATIONALE : Amende de 500.000 €
c Motif: manquement à l'obligation d'encadrer les transferts hors de l'union
européenne. La société effectuait un transfert de données vers des États
considérés comme n'assurant pas un niveau de protection adéquat au regard de
1 article 45 du RGPD (Côte d'Ivoire, Maroc, Tunisie) à travers son logiciel
9/ Sanctions Progibos. Compte tenu de l'absence d'adéquation, il revenairt à la société de
prévoir des g,aranties appropriées, colilformément aux dispositions de l'article 4-6
du RGPD. le responsable de traitement a fait le ohoix d'encadrer le transfert des
données personnelles à ses sous-traitants situés hors du tenriitoire de l'Union
européenne par des clauses contractuelles. Ces clauses ne répondent pas aux
exigences posées par le RGPD puisqu'elles n'ont été adoptées ni par la
Commission européenne ni par une autorité de contrôle, coliltrnirement à ce
qu'impose l'article 46 du RGPD.

Tableau 28 – B7. Transferts hors de l’Espace Economique Européen

70
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

3. DOMAINE DE GESTION OPÉRATIONNELLE

Processus et procédures à déployer pour rendre opérationnel la protection des données à caractère
personnel de manière conforme au règlement RGPD.

Domaine
Thèm,e Cl .. Pilotage et mise en œuvre
1/ Objectifs Un pillotage disposant des moyens nécessaires est mis en place pour garaliltir la mise en
de contrôle œuvre du dispositif.

Article 37 : Le Responsable du Traitement, ou Sous~Traitant, désigne un Délégué à la

Protection des Dolilnées (DPO) soirt volontairement soit par exigenoe du droit de l'Union
ou d'un Etat Membre.
Article 38 §2 : Le Responsable du Traitement et le Sous-Traitant aident le Délégué à la
2/ Exigences Protection des Données {DPO)en foumissant :
RGPD Le:s 1r,essour,cesnécessaires à l'exercice de ses missions,
L'a,coès aux données persolilnelles et aux opérations de traitement,
a)Artldes
RGPD Le:s 1,-oyens d'entretenir ses connaissances spécialisées.
Article 38 §3 : Le Responsable du Traitement et le Sous-Traitant veillent à ce que le
Délégué à la Protectiolil des Donlilées (DPO}ne reçoive aucune instruction dans
l'exerdce de ses missions, et ne peuvent relever le DPO de ses fonctions ou le pénalliser
pour l'exercice de ses missions.

« Lignes directrioes concernant les délégués à la prollection des données » ( 18) :

2. Désignatiolil d'un DPO
3. Fonction du DPO
b)Lignes 3.1 Association du DPO à toutes les questions relatives à la protection des DCP
directrices
3.3 Instruction et exercice de « leurs folilctions et miissions elil toute
Cl:PD &
indépendance »
G29
3 .5 Conflits d 'i nté rêts
4. Les missions du DPO :
• 4.1 Contrôle du respect du RGPD

• Absence de dispositirf ou diispositif non approprié

3/ Situations Risque lié à la planification et à la mise en œuvre du dispositif
à risque
Risque de non-maitrise ou de mauvaise mairtrise du dispositif
Définir et réaliser un programme de construction du dispositif RGPD {Pol itiique,
Organisation, Registre, Traitement des réclamations et requêtes, Formation, Protection
par conception et par défaut, « Privacy by Design/Default », Audit et Contrôle Inteme).
4/ Bonnes Définir et suiivre des tableaux de bord :
pratiques
• du dispositif RGPD.
• de$ actions de mise en conformité par le Responsable du Traitement et des parties
prenantes.

71
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine

Thème CL Pilotage et mise en œuvre

5/ Actions de maîtrise 6/ Points de contrôle
Planification de la mise en conformité Contrôle de I existence d'un plalil d'action global, revue annuelle.

Intégration des processus externalisés Vériification de la couverture des processus externalisés par le plalil
dans les plans. d'action

Gouvemance des données : Capaciité de Vériification de la couverture de tout le cyole de vie des données.
rendre opérationnel les exigences RGPD
dans tout le cycle de vie.
Animation d'un réseau de Référents RGPD Contrôle de l'existence de référents RGPD, vérification de
pour lie déploiement l'acculturation des référents et prise en charge de leur miission

Dispositif de suivi (feuille de route, Contrôle de l'existence de plans d'actions par métiers ou/et de
responsables, échéances, actions à fiches pratiques par processus, mises à Jour régulièrement
réaliser, etc.) : infonmation régulière,
contrôle des changements planiifiés et de
lieurs conséquences.

Tableau de bord du dispositif RGPD Contrôle de l'existence d'indicateurs de la confonmité revue

(globaux et détaillés) annuelle.

7/ Revue du plan d'action, des indicateurs et du suivi

Techniques Revue des comptes-rendus des réunions de mise en œuvre
d'audit Interview des acteurs du pilotage

8/ Sources CNIL, RGPD : se préparer en 6 étapes (40)

d'information · ISACA, Implementing a Privacy Protection Progiram ( 41)

9/ Sanctions Néa11t

Tableau 29 – C1. Pilotage et mise en œuvre

72
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine
Thèm,e C2. Droits de la pe1rsonne concernée
Des mesures appropriiées sont prises pour permettre l'exercice des droits d'accès, de
1/ Objectifs rectirfü:ation, d'effacement, de limitation du traitement et pour garantir la portabBité dies
de contrôle données personnelles de la personne oonœmée,

Article 15 : Sur demande, et sauf disposirtion réglementaire contrnire, le Respolilsable du

Traitement ouvre l'accès aux dlolilnées à caractère personnel du demalildeur.
Article Hi : Sur demande, et sauf disposition régllementaire contraire, le responsable
rectifie ou oom1plète les données a
caractère personnel du demandeur,
Article 17 : Sur demande, et sauf disposition régllementaire contraire, le responsable
[Link] les données à caractère personlilel du demandeur.
Article 18 : Sur demande, et sauf disposition régllementaire oontraire, le responsable
2/ Exigences
limite le traiitement dies données à caractère personlilel du demandeur.
R6PD
Article 20 : Sur demande, et sauf disposition réglementaire contraire, le Respolilsable du
a)Artides Traitement transpo1rte les données a
caractère personnel de lia persom1e colilcernée a
un
RGPD autre responsable, dans un format structuré, couramment utilisé et lisible par machine.
Articl 21 : Sur demande, et sauf disposirtion réglementaire contraire, le Respolilsable du
Traitement arrête le traitement dies données à caractère personnel de la personne
colilcernée . .A contrario, la personne concernée a le droit de s'opposer, à tout 1mo1men~ au
traitement de données à des fins de prospection, y compris pour le profilage.
Article 22 : Sur demande, et sauf disposition régllementaire contraire, le responsable
reti1re le demandeur dies processus permettant la prise de décision [Link]é·e
exclusivement sur un traitement automatisé.

73
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine

Thème C2., Droits de la pe1rsonne concernée

« Lignes [Link];es sur lla1transparence » (22) :
Exercice des droits des personnes concernées

« Lignes [Link];es sur lie c-0insentement » (23} :

7 .3 Les droits de personnes concernées

« lignes directrices relatives à la prise de décision individueHe automatisée et

prolHage ~.>: (24)
III.D. Droits de la personne concemée
IV.E. Droits de la personne concemée
V. Enfants et profilage

(( Security Measures for Pe1rso:nalDa1ta1Proc,essing ►► (14)

b)Lignes
2. Interpretation of Article 22 of the Regulatiio11
directrices
CEIPID&
G29 « Lignes di [Link] rellatives au droit à Ia portabilité des données » ( 42) :
1. Introduction
2. Quels sont les principaux éléments de la portabilité des données ?
3. Quand la portabilité des données s'applique-t-elle ?
4. De quelle manière les règles générales régissant l'exerciGe des droits de la
personne concernée s'appliquent-elles à la portabillité des données ?
5". De quelle manière les données portables doivent-elles être fournies ?

« Lignes [Link];es concernant les délégués à la protection des données » ( 18) :

2. Désignatiolil d'un DPO :
2.5 Expertise et compételilces du DPO

Liooes directrices « Web services »

5. Server· side processing, tracking1 and p1rofiliing
Incapacïité à répondre aux demandes d'exercice de droit.
3/ Situations Non-respect des déliais de réponse
à risque
Réponse inappropriée ou illlégitime.

Disposer d'une procédure de réponse aux demandes d'exercice de droits.

Disposer d'un kit de réponses « standardisées ~ préparées avec le département
juridique.
4/ Bonnes • Vérifier systématiquement les iidentités des dema11deurs (par rapport aux éléments
pratiques colilnus de l'organisation).
Disposer d un outil de collecte ordmmée et de suivi des demandes d'exercice de droits.
Disposer d'un reporting sur les temps de résolution.

74
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine
Thèm,e C2. Droits de la pe1rsonne concernée
5/ Actions de maîtrise 6/ Points de contrôle
Procédure d'exercice des droits (accès, Contrôle de l'existence d'une procédure et mise à jour régulière
rectirfiœtion, effacement, limitation,
portabilité, oppositio11).
S'assurer que la procédure est connue. Vériification de la connaissa11ce des règlles par les collaborateurs
Formation du personnel e11contact avec
lies personnes concernées {clie11ts ou
collaborateurs).

Mettre en place un récépissé de demande Contrôle de I application de la procédure et suivi des demandes
pour lie suivi des demandes notamme11t dans les délais sur échantillon de 3 demandes et au-delà de .20
calcul du délai de réponse. demandes par an sur 10% des demandes
Recenser les tables de do11nées Contrôle de I existence d'une cartographie des données et
personnelles et identifier les DCP à vérification de l'exhaustivité dies DCP co11tenues dans les systèmes
commuliliquer aux person11es concernées d'information.

Procédure encadrant la gestiolil d'une Contrôle de l'existence de consiig,nes de gestion des plaiintes dans
plai11te la Procédure Droit des Perso111iles
Revue de la procédure de l'exercice des droits
• Vérification de la commulilicatio11 die l'exercice des droits dans les docume11ts,
7/ formulaires, sites web, etc.
Techniques • Vérification par échantillonnag,e de la bo111ileexécutio11 des droits et du respect des
d'audit délais, et éve11tuellement en recourant à l'analyse des dolilnées.
• Tester, sur base de quelques exemples, le f.onctio1111•ement opératio1111el de la
procédure.

8/ Sources CNIL, Les droits pour maîrtriser vos do1111éespersonnelles (43)

d'information
Droits d'accès et d'effacemelilt :
• APD de Belgique - une association sans but lucratif spécialisé en des soins
iinfirmiers : Amende de 2.000€
o Motif: Une personne concernée avait demandé l'accès à ses donlilées
personnelles, ainsii que l'effacement de ses données, après avoir reçu un
courriel politique de !l'administrateur délégué de l'organisation. Les éléments
de preuve suggèrent que l'association n'a pas donné suite à ces demandes
9/ Sanctions • APD des Pays-Bas - Bureau Krediet Registratie (BKR): Amende de 830.000€
o Motif : Violation du llibre accès aux données à caractère personlilel. Les
personnes concernées peuvent accéder à leurs donlilées personnellles de
manière électronique contre paiement ou dema11der par voie postale une
copie gratuite.
• CNIL (SAN 2017 008}, Cabinet dentaire : Amende de 10.000€
o non-respect du droit d'accès du patielilt à son dossier médical

Tableau 30 – C2. Droits de la personne concernée

75
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine
Thèm,e C3. Information et transparence
1/ Objectifs Toutes les mesures tech11iiques et organisationnelles nécessaires sont prises pour assurer
de contrôle un niveau approprié de protection et de sécurité des données.

Article 7 §2 : Le responsable apporte la preuve du consentement de la personne concernée

pour les traitements concernés et s'assure que la demande est présentée sous une tlo1rme
distincte, oompréhensible et aisément aicoessible par la personne aoncennée, et
rédigée en des termes clairs et simplles.
Article 12 : Le Responsabledu Tr-airtement i1nform•e les perso1n1nesconcernées sur lleur
traitement de manière concise, t1ranspa,rente, compréhensible et aisément
a,ccessible en des termes clairs et simples surtout si les données sont relatives à un
enfant, par écrit ou voie électronique lorsque c'est approprié ou oralement si le
2/ Exigences demandeur en fait la demande.
RGDP Article 13 : Lorsque le responsable collecte des données à caractère persolilnel, il fournit,
au préalable, de~ informations sur le~ finalités qu'il souhaiterait effectuer ulltérieurement
a)Artldes ainsi que toute information pertinente a
la personne concernée.
RGPD Article 14 : Si le respolilsable de traitement n'a pas collecté les données auprè~ de la
personne colilcernée, il fournit dans un délai raiso1nnablle et un mois au maximum, des
informations sur les finalités qu'il souhaiterait effectuer ultérieurement ainsi que toute
information pertinente a
la personne concernée.
Article 34 §1 : Le responsable de traitemelilt communique une violation présentant un
risque éllevé dans les meilleurs déliais à la persorrne concernée.
Article 34 §2 : La communication d'une viiolation a la personne concernée décrit en des
termes dairs et simples la nature de la violation.

« Lignes directrioes sur lla, transpar·ence » (22) :

Introduction
Signification de la transparence
Informations à fournir à la personne concernée
Dérogations à l'obligation de fournir une infonmation

« Lignes directrioes co•ncer,nant les délégués à la protection des données » ( 18) :

b)Llgnes 2. Désignatiolil d'un DPO :
directrices
CEIPID& 2.4 Joig11abilité et localisatiiolil du DPO
G29 • 2.6 Publication et communication des coordonnées du DPO

« Guidelines on the prntection of pe,rsona,1data 1processinq throuqh web services

proyjdedby EU institutions»(44):
3. Persona! data processed via a web service
4. Consent and informatiolil to users for cookies and other client side techniques
5. Server side processing, tracking, and profiling
6. Proœssing by external organisation and transfers of persona! data

76
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine

Thème C3., Information et transparence

• Traitement illégitime pour défaut d'information et/ou de tralilsparenGe.
Non-respect de l'obligation d'informatiiolil ou mentions d'informations non mises jour. a
3/ Situations Informations nolil conformes, incomplètes, enronées (formulaires, Colilditions Générales
à risque d'utilisation du web, Cookies, etc ..)
Consentement (Base légale) non valide pour défaut d'information et/ou de
transparence.

• Ajouter une annexe (non siglilée) au contrat de travail! informant les salariés sur les
traitements génériques les conGernant {Adminiistration du personnel, Paie, Gestion des
frais, Voyages, Véhicules, Sécurité, Accès aux sites, Evaluation, Formatiolil, annuaires,
systèmes infonmatiques et télécommunication).
Demander systématiquemelilt aux entreprises mettant du personnel à disposition, les
informations personnelles nécessaires à l'exécution du contrat (et non aux personnes
colilcernées). Ajouter une alilnexe au contrat informant sur les traitements concernés
(Sécurité, Systèmes informatiques ...).
4/ Bonnes Mettre â disposition une notiœ d'information (soit papier, soit électrolilique) informant
pratiques les visiiteurs de·s locaux de l'organisation.
Inventorier les supports de collecte de données personnelles (papier, numéri1que,
enregistrement)
• Vérifier systématiquement la présence des clauses d'informations sur les sites internet
et extranet de l'organisation ou les applications ouvertes à des personnes extérieures à
l'organisation avant toute publication et mise â disposition du public. [Clauses revues
avec les juristes etjou le DPO].
• Vérifier les modalités de recueil, conservation et retrait du consentement lorsqu'il est
utilisé comme base juridique d'un traitement.

5/ Actions de maîtrise 6/ Points de contrôle

Inventaire des supports de collecte de Contrôle de l'existence d'un inventaire des supports de collecte
donlilées (elilreg,istrement, papier,
numérique)

Mentions d'informations mises à jour, Contrôle de l'existence et de la disponibilirté d'un répertoire des
conformes et complètes (fonmulaires, mentions légales pour les référents RGPD
Conditions Générales d'Utilisation du
web, Coo l<ies, etc.)

Accessibilité des informations pour les Contrôle de l'existence et de l'accessibilité des informations clients
personnes concemées (et contrôlles à (politique, oharte de confidentialité ...), utilisateurs (Conditions
distance de ll'APD) Générales d'Utilisation et poliitique des cookies} et salariiés
(Conditions Générales d'"Utilisation intranet, info traitements données
RH)
Traçabilité de la transparence apportée Contrôlle des preuves d'information aux personnes mnœrnées clients
aux personnes colilcernées (externe) (liste d'envoi, siglilature contre remise, etc.) ; utilisateurs (opt•ilil)
Traçabilité de la transparence apportée Contrôle des preuves d'information aux personnes mnœrnées {liste
aux personnes colilcernées (interne} d'envoi, signature contre remise- etc.)

77
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine
Thèm,e C3. Information et transparence
• Revue de l'inventaire des supports de collecte et des mentions légales
7/
• Vérification de la présence des mentions requises dans les informations publiées sur
Techniques base d'un éohantillon
d'audit
• Vérification de la traç;abilïrté de la transparence

8/ Sources Néant
d'lnfo rmation
Gestion des cookies :
• CNJIL(SAN 2017 006) - FACEBOOK : Amende de 150.000€
o Motif : Manquement à I obligation d'informer les personnes
o Motif : Manquement à I obligation de mettre à disposition un moyen valable
d'opposition aux informations (cookies) stockées sur l'équipement terminal de
communications électroliliques des utilisate1..1rs
9/ Sanctions
oevojrd'iotocmatioo
• CNJIL(SAN 2019 001), GOOGLE LLC: Amende de 50 000 000€:
o Malilque d'information et de transparence, absence de consentement
• CNJIL(SAN 2019 010), FUTURA INJTENATIONJALE: Amende de 500.000 €
o Motif : manquement à l'obligation de procéder à l'information des personnes
concernées

Tableau 31 – C3. Information et transparence

78
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine
Thèm,e C4. Sensibilisation et formation
Veiller a ce que des activirtés de sensibilisation et de formation des employés soient
1/ Objectifs rég,ulièremelilt organisées concernant la compréhension des risques, les garnnties, les
de contrôle mesures de protection des données et les droits en matière de traitement des données a
carnctère personnel.

Article .24 §1 : Le Responsable du Traitement met en œuvre des mesures techniques et

2/ Exigences org,anisationnellles appropriées pour s'assurer et être en mesure de démontrer que le
RGPD traitement est effectué conformément au présent règlement.
Article 39 § 1 : Le Délégué a la Protectiolil des Données (DPO} contrôle le respect des
a)Artldes dispositions réglementaires en vigueur elil matière de protection des données, y compris
RGPD en ce qui concerne la répartition des responsabilités, la sensibilisation et la formation
du personnel pa1rticipant aux opérations de tra,itement, et les audits s'y rapportant.
« Lignes di1rectrioes concernant les délégués à la protection des données » ( 18) :
2. Désignation d'un DPO
b)Llgnes 2.S Expertise et compétences du DPO
directrices
3. Fonction du DPO :
CEIPID&
G29 3.2 Ressources nécessaires
4. Missions du DPO :
3.2 Approche folildée sur les risques

• Absence ou insuffisance de sensibilisation ou de formation des collaborateurs et

personnels des Sous~Trnitants.
3/ Situations
Manque d'implication ou de portag,e de la fonction Ressources Humaines sur la
à risque problématique de fonmation
Formations inadaptées aux métiers,

Présenter les plans de formation au Comité d'Audit du Conseil d'Administration ou

équirvallent, du comité de direction. (Dans la cadre de la présentation des actions sur la
protection des données personnels).
Suivre et infonmer de l'avancement du plan de formation.
4/ Bonnes Implliquer la fonction RH dans la constmctiolil et le déploiement des formations sur la
pratiques protection des DCP:
Implliquer les métiers dans la construction des scénarios de fonmations adaptés à leur
cas particuliers (RH, Marketing,, Services généraux et Sécurité, Aohats, etc.}.
Faire des tests annuels de vérification de la connaissance.
Inscrire lies obligations de formations dans les contrats des fournisseurs.

5/ Actions de maîtrise 6/ Points de contrôle

Plan de fonmation adapté et continu Contrôle de I existence d'un plalil de formation {éventuellement
(sensibilisation, formatiolil, développement indus dans plan d'action)
des compétences, etc.)

Sensibilisation et formation des acteurs du Audience des formations et personnalisation par rnpport aux
traitement, en particuliier de référents fonctions exercées.
RGPD pour mettre en œuvre et contrôler

79
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine

Thème C4. Sensibilisation et formation

Communication des règles au personnel, Taux de selilsibilisation global sur campagne et taux de
notamment par des actions de sensibilisation des nouveaux arrivés
sensibilisation et des formations

Accessibilité des informations liées au Contrôle de I existence d'un rappel des règles régulier (newsletter
dispositif ou email etc ...)

Traçabilité des sensibilisations. Contrôle de la traçabiliité des formations (attestations par rapport
au nombre de salariés) et de l'exhaustivité de lia sensibilisation des
nouveaux arrivants

Evaluation régulière et suivi en lien avec Vériification de la connaissance des règlles par les collaborateurs ~
lies revues du dispositif. vérification par quizz

Vérification de l'appropriation par enquête Vérification de l'appropriation (fréquence 2 ans)

ou quizz
Mise à disposition d'une veille Publication de fiches pratiques, actualisé-es suivant la
règlementaire règlementa tiion

Interview des responsables de sensibilisation et de lia formation

Revue du plan de formation
7 / Techniques · Vérification des supports de sensibilisatiion et de formation
d'audit Revue des feuill-es d'émargement
• Vérification de l'appropriation par la rev1..1e
des quiz
Revue de la veille règlementaire

8/ sources CNIIL-BPifrance-Le Lab, Guide Pratique de sensibilisation au RGPD (45)

d'information
9/ Sanctions Néant

Tableau 32 – C4. Sensibilisation et formation

80
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine
Thèm,e es. Gestion de la continuité des activités et des services (PCA)
1/ Objectifs Les mesures appropriées sont prises pour assurer la continuité dies activités relatives aux
de contrôle données à caractère persolilnel a
l'égard des personnes concernées.

2/ Exigences
8rtide 5 §1 : Les données à caractère personnel sont traitées de de façon à garantir une
RGPD sécurité appropriée des données a caractère persolilnel, y compris la protection contre la,

a)Artldes
perte 1 la destruction ou les dégâts d'oriigine accidentelle, a
l'aide de mesures
techniques ou org ,misationnelles appropriées
1

RGPD
b)Llgnes
directrices « Guideliines on 1personal da1ta and electronic c,ommunicatfons in the EU
CEIPID& institutions » (46)
629
Risque de perte ou indiisponibilité des do1rnées.
3/ Situations
Risque de perte de confidentialité due aux mesures de coliltournement mise en œuvre
à risque
pour assurer la continuité d'activité.

Identifier dans les tr-airtements les besoins de continuité d'activité au regard de la

protection des DCP.
4/ Bonnes Inclure les traitements correspondants dalils le PCA de l'organisation.
pratiques
• Vérifier la conservation du niveau de protection des DCP dans le cadre de la mise elil
œuvre du PCA.

5/ Actions de maîtrise 6/ Points de contrôle

Existence d'un Plan de Continuité d'Activité Coliltrôle de l'existence d'un PCA mis à ,jour régulièrement
(PCA) actualisé en intégrant les éléments du
dispositif de protection des données.
Test du PCA réalisé régulièrement. Coliltrôle que le PCA a été testé et que les corrections
néœssaires ont été apportées

Complétude du PCA qui doit permettre de se Vérification par rapport à la cartographie des données
prémunir contre toute perte ou indisponibilité (cartographie des systèmes d'information) de l'adéquation et de
des données (et tout impact pouvant l'exhaustivité du PCA.
potentiellement conduire à une notificatiolil
obligatoire {à l'APD et aux personnes
concernées)

Evaluation du Bilan de l'Impact sur !'Activité (BIA) et de la détermination de la « perte

de données maximale admissible » {PDMA ou RPO en anglais) et la « durée maximale
d'interruptiion admissible ~ (DMIA ou RTO en anglais}.
7/ Revue du Plalil de Continuité d'Activité {PCA} et évaluation de la conformirté au [Link]
Techniques DMIA.
d'audit
Revue des comptes rendus des tests de PCA.
Evaluation de la mise a jour régulière et adéquate par rapport aux évolutions de
l'organisation.

81
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine

Thème CS., Gestion de la continuité des activités et des services (PCA)

• CNIL, La sécurité des données personnelles (47)
8/ Sources o Ficlle 10 : Sauveg,arder et prévoir la continuité d activité
d'lnfo rmatlon
• Guide de l'ANSSI

9/ Sanctions Néant

Tableau 33 – C5. Gestion de la continuité des activités et des services

82
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine
Thèm,e C6. Gestion et notification des violations des DCP
La gestion des incidents oontient les dispositions permettant d'identifier et de diagnostiquer
les défaillances de protection et de sécurité. En [Link] de violation des données à caractère
1/ Objectifs
personnel, le Responsable du Traitement notifie la violatiolil de données acaractère
de contrôle personnel à l'autorité de oontrôle compétente, ainsi qu'aux personnes concernées, en cas de
risque potentiel pour les droits et libertés des personnes physiques.

Article 33 §l : En cas de violatiolil des données personnelles susceptibles d'engendrer un

risque pour la personne concernée, le responsable le notifiie à l'autorité compétente
dans les 721h suivant la prise de aonnaissance ou motive les raisons de son retard.

2/Exigences Article 33 §.2 : Le Sous·-Traita,nt notifie au Responsable du Traitement toute violatiolil de

RGPD donlilées à caractère perso1rnel dans les meilleurs délais après en avoir pris connaissance.
Article 33 §5 : Le Responsable du Traitement documente [Link] violation en indiquant les
a)Artldes faits, les effets et les mesures prises pour y remédier et permet à l'autorité compétente de
RGPD vériifier le respect des obligations de notification.
Article 34 §1 et §2 : Le Re-Sponsable du Traitement informe la personne concernée,
dans des termes clairs et simplles, de la violation de données susceptibles d'engendrer
un risque élevé pour elle, dans les meilleurs délais.

« Lignes directric,es sur la notification de vio'lations de données à caractè1re

personnel » : ( 48)
l. Notification d'une violation de données
2. Notification à l'autorité de contrôle
3. Notification à la personlile concernée
4. Evaluatiolil de ll'existelilce d'un risque élevé
5. Responsabilité et tenue de registres

« Ugines [Link] sur la transparence» (22) : :

b)Lignes Transparenae et violation de donlilées
directrice
s CEPD &
G29 « Ugines di1rectrioes concernant les délégués à la protection des données » ( 18) :
2. Désignation du DPO :
2.5 Expertise et compétences du DPO
2. Approche fondée sur les risques

« Guidellines on the protection of persona,! data processing t1hrouqh web services

provided lbyEU institutions» (44)_;_
4. (Risks of') data breaohes and relevant incidents

« 6-ui<lellin_eson p_ers,01na.l
da:taLbce·ad1_m:d:ificatiom» ( 49)

3/ Non détection d'une violation de DCP.

Situations à Non traitement ou traitemelilt inadéquat d'une viiollation de DCP
r1isque Répétition d'une violatiolil.

83
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine

Thème C6. Gestion et notification des violations des DCP

Disposer de mesures techniques et organisationnellles de détection des violations
(Sécurité IT, Cyber Threat Ililtelligence, etc.).
Disposer d une procédure
• de gestion de crise « cybersécurité >1>.

4/ Bonnes • de gestion des violations incluant plus particulièrement une évaluation (risque
organisation, risque individu, sévérité, etc.) et la préparation des réponses aux APD
pratiques
et aux personnes.
Disposer d'un outil d'enregistrement et de suivii des viollations et d'un reporting inteme
des violations.
Inclure les violations {sous forme générique) dans les actions de sensibilisations des
personnes.

5/ Actions de maîtrise 6/ Points de contrôle

Système d'identification des incidents Contrôle de l'existence d'un système d'identification des incidents
externes et/ou internes (email dédié, formulaiire à disposition, gestion
des tidkets ...)

Mécanisme d'identification et de Règles d'identification, de catégorisation et de priorisation des

qualification des incidents inc+dents
Dispositif de réponse aux incidents. Contrôle de l'existence d'une procédure notification de faille, à jour

Test de lia gestion d'un incident de Contrôle que la procédure et les processus sont réguliièrement testés
sécurité
Ressources techniiques et humaines Contrôle de la procédure l'identification des acteurs de la gestion de
pour gérer les incidents crise
Revue de la procédure de gestion et de notiflc,ation des violations de données a
caractère personnel
• Vérification des compétences en matière d'identification, de diagnostic et de notification
7/ des failles de sécurité.
Techniques • Vérification de l'engagement de notiification des Sous·-Traitants des failles de sécurité ou
d'audit llors de responsabilirtés conjointes.
Revue du registre des incidents et notifications effectuées à l'APD et éventuellement aux
personnes concernées
Vérification des améliorations réallisées a la suite du diagnostic des failles de sécurité

8/ Sources
d'lnformatio CNJIL,Notifier une violation de données personnelles {50}
n

84
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine
Thèm,e C6. Gestion et notification des violations des DCP
Notification tardive :
• Commission de protection des données (DPC), Tusla l'agence pour l'enfa11ce et la
famiille : Amende de 40.000 €
o Motif : Suite à la divulgation d'i11formations sensibles dans une lettre, la
9/ Sanctions violatio11 des dlo11néesa été notifiée avec 29 semai11es de retard.
• APD de Suède, National Government Service Centre (INGSC) : Amende de 18. 700€ :
o Motif : La divulgation dl"informations relativesades numéros de sécurité
sociale et concennant l'emploi de 280.000 personnes 011tété signalés avec
plusieurs mois de retard à l'APD.

Tableau 34 – C6. Gestion et notification des violations des DCP

85
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine
Thèm,e C7. Protection et sécurité des DCP
1/ Objectifs Veiller à ce que des mesures appropriées soient pnises pour fournir aux personnes
de contrôle concernées des informations sur les données à caractère personnel tr-aiitées les •concernant,

Article 32 §1 : Le Responsable du Traitement met en oeuvre les mesu1res techniques et

org1anisationnelles afin de garantir un nive,au de sécur1ité ada,pté au 1risque, en autres
des moyens penmettant de garantir la confidentialité, l~ntégrité, la disponibilité et la
résilience des systèmes et des serviaes de traitement.

2/ Exigences Article 32 §2 et §j : Pour évaluer le niveau de sécurité, le responsable tient compte en

R6PD particulier des risques que présentelilt le traitement résultant de la destruction 1 de la,
perteif de !l'altération, de la divulg1ation ou de l'a,ccès non a,utori.sé de données, de
a)Artldes manière accidentelle ou illicite.
RGPD Article 32 §4 : Sauf disposition réglementaire coliltraire, le Sous~Tr-aitant et le Responsable
du Traitement prennent des mesures afin de garantir que les personnes agissant pour leur
compte ne peuvent traïrter des donlilées personnelles que sur ililsitructiolil.
Article .28 §3 : Le Sous-Traitant veille à ce que les personnes autorisées à traiter les
donlilées à caractère persmmel s'engage11t à respecter la confidentialité

« La, gouvernance informatique et la gestion informa,tique des institutions

européennes » (3)
3. Gouvernance informatique, la gestion informatique et la 1res1ponsalbilit:é
3.1 Gouvernance infonmatique et gestion informatique
3.2 Responsabilité en matière de protectiolil des données
4. Cadre juridique de la protection des données
5. Exigences de protection des données au couIrs du cycle de vie d'un
systè1,-e infio1rmatique

« [Link]-1) □ thg__p_rnt.edi.o;~f p_,ers.o_naLdlatLprncessing tbrmJgh web~•~iœs

b)Lignes [Link] lby EU institutions» (44)__;_
directrice
s Cl!!PD & 5. Server side pmcessing, tracking and profiling
G29 6. F'roœssing by external organisation and transfers off persona! data
7. Security oblligations and recomme11dations specific to web services

« Ugines dli1rectrices concernant les délégués à la protection des données )> ( 18) :
2. Désignation du DPO :
2.5 Expertise et compétences du DPO

« Avis sur les Techniques d'anonymisation » (50)

« Security Mleasu1res for Persona! Darta P,rocessing » (14)

86
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine

Thème C7. Protection et sécurité des DCP

• Violation des DCP.
3/ Incapacité à démontrer la prise en compte du domaine de la protection et de la sécurité
Situations à des DCP en cas de contrôle ..
r1îsque Sanction majorée en cas de violation des DCP si le Responsable du Traitement ne s'est
pas donné les moyens de limiter la vraisembllance du risque.

Intégrer la protection des DCP dans la politique de sécurité des systèmes d'information.
Identifier pour chaque traitement le niveau de séourité adéquat relatif à la protection
des DCP et les mesures teohniques et organiisationnellles de sécurité adaptées à ce
4/ Bonnes niveau ..
pratiques Définir des clauses standard de sécurité à intégrer par les Sous-Traitants.
• Vérifier périodiquement les mesures de sécurité.
Noter et informer concerne l'effectivité des mesures de sécunité.

5/ Actions de maîtrise 6/ Points de contrôle

Existence d'un Responsable de la Sécurité Contrôle de l'existence d'un RSS[ et/ou d'un plan d'action de
des Systèmes d'Infonmation (RSSI) systèmes d'information RGPD
Existence d'un plan d'action des systèmes
d'iinformation RGPD

Existence d'une charte informatique. Contrôle de l'existence et accessibilité d'une charte informatique,
Assurance que les utilisateurs connaissent revue régulière
lies règles de sécurité à appliquer
(physiques et logiques}

Devoir de Corlfidentialité des Contrôle des clauses de confidentialité darls le contrat de travail
collaborateurs ou engagement opposable
Existence et formalisation des mesures Contrôle de l'existence des documents fonmalisarlt les mesures
techniques de séŒrité techniques de séC1Urité

Existence d'une politique de gestiorl des Contrôle de l'existence d'une politique d'habilitation à jour, et prise
habilitations. en compte de l'éverltueHe gestion de donné-es sensibles.
Contrôle de I existence de la procédure
Procédure de gestion des habilitations
Vériification de la revue régulière des habilitations

Revue régulière des habilitations pour Contrôle des règles appropriées (accès restreint DCP sensibles,
contrôler la mise en œuvrn de la poliitique coilérence habilitations par métier + zone géographique)
d'habilitations (segmentation métier et Extraction des habilitations et comparaison aux fonctions RH pour
géographique). vérification de l'adéquation entre elles.
Procédure transmission des données Contrôle de I existence d'une procédure et de sa mise à jour
régulière (max 2 ans)

Limitation et sécurisation des envois de Contrôle de l'existence d'un pmcessus de limitation et de

donrlées sécurisatiorl d'erlvoi de DCP
Vériification de l'application du processus (échantillon par métier
susceptibles d'envoyer des DCP}

87
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine
Thèm,e C7. Protection et sécurité des DCP
Co11trôle de l'effectivité des mesures de Contrôle de l'existence d'un audit régulier des systèmes
sécurité et de leur adéquation (test d'information (externe}
intrusioll physique et numérique, Audit
sécurité SL.)

Traçabilité des activités. Traçabilité des Vérification du journal des activités sur les DCP
actions sur les DCP
• Vérification de lia dïrffusion des politiques de sécurité et de la mise e11œuvre du plan de
sécunité
Revue de la classification des informations et vérification de la mise en œuvre effective
• Vérification que tout système d'information dispose d'un mécanisme d'[Link] et
d'authentification
• Vérification d'une revue annuelle habilirtations par le management
Revue de la procédure de gestion des habilitations, particulièrement lors de l'entrée, du
changement et de la sortie de fonction.
Revue de la conformiité de la gestion des habillitations par rapport aux DCP et plus
particulièreme11t les DCP sensiblles.
• Vérification par écha11tillonnage des lilabiliitations par rapport. aux fonctions
7/ Evaluation des accès physiques (centre de domilées,
Techniques Evaluation des mesures tech11iiques de protection des DCP tels que pseudonymisation,
d'audit anonymisation, chiffrement,
Revue des résultats des tests de pénétration
• Vérification de la sécurité des flux d'information lilors organisation
• Vériification de l'efficacité des tests d'acceptation des nouvelles solutions ou en cas de
modification des solutions existantes,
• Vérification du chiffrement des données lors des échalilges avec les acteurs externes.
Revue de la journalisatioll des transactions dans les systèmes d''information.
• Assurimce de l'encadrement des développements informatiques en matière de protectio11
des données.
S'assurer de l'effacement de·s données lors du décommissionnement du matériel et des
systèmes.
• Audirt die l'application des mesures de sécurité chez les Sous-Traitants

8/ Sources CNIIL, La sécurité des données personnelles (47)

d'lnformatio • ANSS[, Référentiel général de sécurité (51)
n ENIISA, Guidelines for SMEs Olilthe security of personal data processililg {52)

88
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine

Thème C7. Protection et sécurité des DCP

Le nombre de sanctions liés au manque de sécurité est c<msidéra'ble.

fuite de données :
• CNIL (SAN-2018-002), OPTICAL CENTER : Amende de 250 000 €
o Motif : l'insuffisalilce de sécurité des données clients effectuant Ulile commande
en ligne à partir du site Internet
• CNIL (SAN-2018-011), BOUYGUES : Amende de 250 000 €
o Motif : Possibilité d'accéder sur le site web aux informatiiolils d'autres clients, et
ce, sans que le site lile demande leur authentification.
• CNIL (SAN-2018-010), ALLIANCE FRANCAISE PARIS: Amende de 30.000 €
o Motif : Existe11ce d'un ililcident de sécurité sur le site intennet de l'association qui
conduisait a rendre librement accessibles les don11ées des personnes suivant des
cours de français.
Mesures de sécurité :
• CNIL (SAN 2019 006}, UNIONTRAD COMPANY: Amende de 20.000 €
o Motif : manquement à l'obligatiolil d'assurer la sécurité et la confidentialité des
données. Par exemple, l'accès a
la messagerie professionnelle génénique pour les
échanges avec les dients et la société s'effectuent au moyen d'une adresse de
messagenie générique accessible par l'ensemble des salariés. Les accès aux
postes informatiques des salariés 11esont pas soumis à auth·entification.
9/ Sanctions • CNIL (SAN-2018-012), LIBER: Amende de 400 000 €
o Motif : Manquement à l'obligatiiolil d'assurer la sécurité et la confidentialité des
données. Absence de processus relatif au retrairt des habilitations des anciens
ingénieurs constitue Ulile négligence importante puisque la société était dans
l'impossibilité de garantir que des personnes ayant quitté la société ne
continuaient pas d'accéder aux infonmations. Les identirfiants, permettant de se
connecter de manière sécurisée à des serveurs contenant une grande quantité de
données à caractère personnel, sont stockés dans un fichier nolil protégé.
• BfDI - Telecom : Amende de 9.550.000 €
o Motif : Les personnes qui appelaient le service clientèle de l'entreprise pouvaient
obtenir des informations détaillées sur d'autres données personnelles des clients
en donnant simplement le nom et la date de naissance d'un dielilt. Malgré la
coopération avec l'APD et la mise en place d'un système d'authentification plus
robuste, une amende importante a été appliqué.
• CNIL (SAN 2019 007}, ACTIVE ASSURANCES : Amende de 180.000 €
o Motif : Les comptes des clients de lia société étaient accessibles vi1a des liens
hypertextes référencés sur un moteur de recherche. Les documents et donlilées
des clients étaient également accessibles en modifia11t les numéros figurant à la
fin des adresses URL affichées dans le navigateur. Ces documents comportaient
des copies de permis de conduire, de cartes grises, des relevés d'identité
bancaire ainsi que des documents penmettant de savoir si Ulile personne avait fairt
l'objet d'u11 retrait de permis ou commis un délit de fuite.

89
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine

Thème C7. Protection et sécurité des DCP

• APD des Pays-Bas, Haga Hospital : Menace d'amende de 460.000 €

o Motif : Possibilité de consulter les dossiers patients par du personnel non
autorisé. Une authentification à double facteur et un tmçage des accès aux
dossiers est imposé par l'APD.
Mesuresde sécurité chez le sous-Traitcmt:
• CNIL (SAN-2018-001), Darty : Amende de 100.000 €
9/ Sanctions o Motif : Possibilité d'accéder aux infonmations clients collectées par un formulaire
en ligne. Le formulaire et l'URL litigieux avaient été créés par so11sous-traitant
sans qu'aucune iinstruction n'ait été donnée en ce sens. La CNIL considère que la
finalité du traitement à savoir, le suivi des demandes de service après-vente, a
été définie par la société d'électroménager tout comme les moyens du
traitement. Le manquement à l'obligation d'assurer la sécurité des données à
caractère personnel est caractérisé par l'absence de contrôle du sous-traitant par
la société sanctionnée.

Tableau 35 – C7 Protection et sécurité des DCP

90
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

4. DOMAINE DE SURVEILLANCE ET REVUE

Mécanismes de surveillance, de suivi, de revue et de contrôle du dispositif déployé par rapport aux
exigences du règlement RGPD et de ses lignes directrices.

La surveillance vise à s’assurer que le dispositif fonctionne comme prévu et elle permettra de vérifier
que la gestion du risque est efficace dans la durée.

Domaine D. Survernance et revue

Thème Dl. suivi et revue du dispositif (par le DPO)
1/ Objectifs La miise en œuvre des exigences du RGPD est suivie de manière continue par le DPO. Une
de contrôle revue régulière est organisée afin de garantir une conformité dans !la durée.

Article 24 §1 : Le Responsablle du Traitement prend des mesures techniques et

org1anisationnelles a,ppro;priées aux risques pour les droits et libertés des personnes
physiques pour s'assurer et démontrer la ·conformité des traitements de données à
caractère personnel. Si nécessaire, ces mesures sont réexaminées et actualisées.
2/Exigences Article 40 §1 : Les États membres, les autorités de coliltrôle, le comité et la Commission
RGPD encouragent l'élabora,tion de codes de conduite destinés à contribuer à la bonne
application du préselilt règlement, compte tenu de la spécifïoité des différents secteurs de
a)Artides traitement et des besoins spécifiques des micro, petites et moyenliles entreprises.
RGPD Article 4.2 §1 : Les États membres, les autorités de coliltrôle, le comité et la Commission
encouragent la mise en place de 1mécani.s1111esde certification en matière de protection
de~ données ainsi que de labels et de marques en la matière, aux fins de démontrer que les
opérations de traitement effectuées par les Responsables du Traitement et les Sous-
Traitants respectent le présent règlement.

« Ug1ne·sdi1rectrices concernant les délégués à la protection des do1nnées » ( 18) :

3. Fonction du DPO :
b)Llgnes 3.1 Association du DPD à toutes les questions relatives à la protection des
directrice donlilées
s CEPD &
G29 4. Les missions du DPO :
• 4.1 Contrôle du respect du RGPD
• 4.2 Rôle du DPD dans la dispense d'analyse d'impacts

• Absence de revue du dispositiif entrainant un risque d'inadéquation de ce dernier.

3/ • Absence de plan de contrôle RGPD
Situations à
Plan de contrôle inadapté.
r1îsque
• Absence de suivi et de surveillance des Sous-Traitants.
Prévoir une revue régulière et planifiée du dispositif dans la conception du système de
4/ Bonnes management de la .conformité avec le RGPD.
pratiques Suivre l'évolution des indicateurs des tablleaux de bord afin de faire un bilalil et de
proposer des actions de maitrise à mettre en place.

91
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine D. Surveilllanc,e et r,evue

Thème D1. Suivi et revue du dispositif (par le DPO)
5/ Actions de maîtrise 6/ Points de contrôle
Revue du dispositif régiulière et planifiée Vérification de l'existence de rendez-vous réguliers entre DPO et le
dans la conception du système de Responsable du Traitement et contrôle de l'existelilce de comptes-
management de la conformité avec le rendus
RGPD

Clarifirntiolil des rôles entre les différentes Existence de coliltrôles de 1er (par les opérations) et 2e 11i1veau(par
instances de contrôles (notamment DPO, le contrôle interne).
contrôle interne, Risi< Manager, RSSI, etc.)

Réalisations de revues régulières du Suivi de la mise en œuvre des actions de progrès identifiées
dispositif par le DPO

• Interview du DPO et des référents RGPD

7/ • Revue des plans d'action, des PV de réunions du DPO
Techniques
• Revue des rôles et respo11sabilités de la 2e ligine de maîtrise
d'audit
• Vérification de l'absence de conflit d'intérêt

8/ sources
d'informatio Néant
n
9/ Sanctions Néant

Tableau 36 – D1. Suivi et revue du dispositif (par le DPO)

92
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine D. Surv,eillan,c,e et r,evue

02. Revue du d lsposltlf RGPD
Thèm,e
(par les acteurs des lignes de maitrise)
Des activités de contrôle appropriées par les différents acteurs de lia seconde ligne de
maîtrise sont prévues pour garantiir le respect du règlement général sur la protection des
1/ Objectifs données,
de contrôle
L'audit fournit une assurance raismmable sur la ·Conformité au RGPD en évaluant les
activités de contrôle de la pere et de la 2e ligne de maîtrise, visant à atténuer les nisques ..

Article 24 §1 : Le Respm1sable du Traitement prend des mesures techniques et

organisationnelles appropriées aux riisques pour les droits et libertés des personnes
physiques pour s'assurer et démontrer la conformité de ses traitements de données à
caractère personnel. Si nécessaire, œs mesures sont réexaminées et actualisées.
Article 24 §2 : Le Responsable du Traitement prend des mesures teohniques et
organisationnelles appropriées et notamment la mise en œuv1re de politique.s
2/Exigences a,ppropriées en matière de pr,otedion des données lorsque cela est proportionné au
RGPD regard des activités de traitement.
Article,_28 §3 : Le Sous-Traitant met à la disposition du Responsable du Traitement toutes
a)Artides
les informations nécessaires pour démontrer le re-Spect des obligations prévues et pour
RGPD
permettre la réalisation d'audits par le Responsable du Traitement, et contribuer à ces
audiits.
Article 39 §1 : Le Délégué à la Protection des Données contrôle le respect des dispositions
réglementaires en vigueur en matière de protection des données, y compris en ce qui
co11cerne la répartition des responsabilités, la sensiibiilisation et la formation du personnel
participant aux opérations de traitement, et les audits s'y rapportant.

b)Lignes
directrices
Néant
Cl!IPD &
G29
Non intégratio11 du sujet dans lie dispositif de maiitnise des risques de l'organisation.
• Absence d'audi1t (interne ou externe) du dispositif : dispositif inadapté, non conforme,
3/ Situations non déployé ..
à risque • Absence de plan d'audit
Plan d'audit inadapté du fait de l'absence des connaissances du sujet RGPD (absence
de fonm ation).

Intégrer l'évaluation du dispositif RGPO dans le dispositif de maitrise des risques.

Clarifier les rôles entre les différentes instances de contrôles (notamment DPO,
4/ Bonnes Contrôle interne, Risk Manager, RSSI, Audit, etc.).
pratiques
Réaliser de revues régulières du dispositif.
Former les auditeurs ( ou faire app e I a des a ud iteu rs externes fonmés) .

5/ Actions de maîtrise 6/ Points de contrôle

Intégration de l'évaluation du dispositif Vérification de la prise en corn pte du risque RGPD dans
RGPD dans le disposiitif de maitrise des cartographie des risques globale
risques

93
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine D. Surv,eillan,c,e et r,evue

D2. Revue du d lsposltif RGPD
Thèm,e
(par les acteurs des lignes de maitrise)
Clarïrficatiiolil des rôles entre les différentes Existence de contrôles de 1er et 2e niveaux
iinstances de contrôles (notamment DPO,
contrôle interne, Risi< Manager, RSSI, etc.)

Formation des instances de contrôle et des Vériification de la maîtrise du RGPD par les instances de contrôle et
auditeurs par l'audit interne

Réalisations de revues régulières du Rapport d'audïrt interne ou externe régulier

dispositif (par des auditeurs internes ou
faire appel à des auditeurs externes Rapport d'audit externe tous les 3 ans
expérimentés

Interview des acteurs de la 2e ligne de maîtrise

Revue de l'évaluatiion des risques et de la pnise elil compte des risques RGPD
7/ Revue des contrôles RGPD du 1er et du 2e niveau
Techniques
Examen des derniers rapports d'audit relatif au RGPD (périmètre, fréquence,
d'audit
couverture ...) de manière indépendante
Intégration de compétences externes en RGPD, si nécessaire au seilil de l'équipe d'audit

8/ Sources Néant
d'information
9/Sanctioins Néant

Tableau 37 – D2. Revue du dispositif RGPD

94
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine D. Surveilllanc,e et r,evue

Thèm,e Dl. Contrôle par l'Autorité de Protection des Données
1/ Objectifs Des mesures apprnpriées sont prises pour permettre la surveillance et les inspections par
de contrôle l'Autorité de Protection des Données.

Article 31 : le Responsable du Traitement et le Sous-Traitant ainsi que, le cas échéant,

leurs représentants coo1pèrent: a,vec l'autorité de contrôle, à la demande de cellle-ci,
dans l'exécution de ses missions ..
Article 36 §1 : le Responsable du Traitement consulte l'autorité de contrôle préalablement
au traitement lorsqu'une analyse d'impact relative â la prntection des données effectuée
au titre de l'article 35 indique que le traitement présenterait un risque élevé si le
Responsable du Traitement ne prenait pas de mesures pour atténuer le risque.
2,rticle 57 : Sans préjudice des autres missions prévues au titre du présent règlement,
chaque autorité de contrôle, sur son territoire :
a) contrôle l'application du présent règlement et veille au respect de celui-ci ;
lil) effectue des enquêtes sur l'application du présent règlement, y compris sur la base
2/Exigences d'informations reçues d'une autre autorité de contrôle ou d'une autre autorité
RGPD publique.
Article58 : Chaque autorité de contrôle dispose de tous les pouvoi1rs d'enquête suivants :
a)Artldes
a) ordonner au Responsable du Traitement et au Sous~Trairtant, et, le cas échéant, au
RGPD
représentant du Responsable du Trairtement ou du Sous-Traitant, de lui communiquer
toute information dont elle a besoin pour l'accomplissement de ses missions ;
b) mener des enquêtes sous la forme d'audits sur la protection des données ;
d) notifier au Responsablle du Traitement ou au Sous-Traitant une violation alléguée du
présent règlement ;
e) obtenir du Responsable du Traitement et du Sous-Traitant l'accès à toutes les
données à caractère personnel et â toutes les informations nécessaires à
l'accomplissement de ses missiions ;
f) obtenir l'accès à tous les locaux du Responsablle du Traitement et du Sous-Traitant,
notamment â toute installation et à tout moyen de traitement, conformément au
droit de l'Union ou au droit procédural des États membres.

« Ugines di1rectrioes concernant: les délégués à la protection des données » ( 18) :

4. les missions du DPO :
• 4.3 Coopérer avec l'autorité de contrôle
b)Llgnes
directrice
s Cl!!PD & « [Link]üty on tihe ground Pa1rt I: Records, Registers a,nd when to do Data,
G29 Protection Impact Assessments » ( 17)

« Accountaibility on the groundl Pa1rt II: Data Protection 1,mpact Assessments &
Prior Con,sultation »_(28)

3/ l'impréparation par le DPO et le Responsable du Traitement d'un contrôle par l'APD.

Situations à Risques liés à l'abselilce de confonmirté, au manque de preuves ou de formalisation des
r1isque procédures,

95
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Domaine D. Surveilllanc-e et r-evue

Thème D3. Contrôle par l'Autorité de Protection des Données
Disposer d'u11e procédure de réponse à une demande écrite de l'Autorité de Protectiolil
des Données.
Disposer d'une procédure en cas de contrôle sur place de [Link]é de Protection des
Données : accueil des agents, personliles a
contacter (DPO, légal, Conseil externe),
4/ Bonnes charte, règles de bonne conduite.
pratiques Former le DPO et les personnes à contacter à l'accueil et au suivi d'un contrôle par
l'Autorité de Protection des Données.
Id·entifier lies autres autorités pouvant faire un contrôle dans les cas d'adhésion à Ulil
code de conduite ou de certirficatiiolil.

5/ Actions de maîtrise 6/ Points de contrôle

Existence d'une Procédure en cas de Contrôle de l'existence d'u11e Procédure en cas de contrôle par
contrôle de l'APD (gestion pré contrôle, l'autorité de contrôle à jour
contrôle et post-contrôle)
Désignatiiolil d'un ou plusieurs poililts de Vériification de la liste des responsables des lieux (à jour)
contact ("responsables des lieux")

Conduite à tenir, connue par l'ensemble Vériification de l'information disponible pour tous les collaborateurs
des collaborateurs (pas d'accès aux et compréhension des règles à suivre (test dans un ou qqs points
donlilées avalilt vérification identité des d'accueil du public)
agents}
Clarirficatiiolil du rôle des responsables des Vériification des rôles, clairement définis dans la procédure en cas
lieux, des ililterlocuteurs privilégiés et du de contrôle par l'Autorité de Protection des Données.
DPO dans l'accompagnement du co11trôle. Vérification de l'existence d'une alternative en cas d'abselilce d'un
acteur clef

• Analyse des procédures mises en œuvre

7/ Interview pour vérifier la compréhension et la connaissance des procédures
Techniques • Vérification de la formalisation de la documentation et de l'existence des preuves des
d'audit procédures et des activités réalisés (consentement, réponses foumies aux persolilnes
concernées, notifirntiolil des failles, etc.)

8/ Sources CNil, Charte des contrôles (53)

d'ln1formatlon1
Coogération avec l'APD :
• Romanian National Supervisory Authority for Persona! Data Processing - SOS
Infertility Assoeèiation: Amende de 2.0,ooc
o Motif : Coopération insuffisante avec l'Autorité de Protection des Données, suite
à des demandes d'information concernant des traitements de DCP
9/Sanctioins • CNil (SAN 2019 010), FUTURA INTENATIONAlE : Amende de 500.000 €
o Motif : manquement à l'oblligatiolil de coopérer avec l'autorité de contrôle. La
société lil'a pas répo11du de manière satisfaisante à la mise en demeure qui lui a
été 11otifiée puisque la réponse n'était pas accompagnée des éléments
justificatifs demandés. la sociiété n'a communiiqué qu'une très faible proportion
des éléments demandés.
Tableau 38 – D3. Contrôle par l’Autorité de Protection des Données

96
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

CHAPITRE 4 - ÉTUDE DE CAS RGPD

Cette partie présente un cas fictif permettant d’illustrer de manière pratique l’application du référen-
tiel RGPD selon l’approche méthodologique.

1. COMPRÉHENSION DU CONTEXTE
i
Les informations relatives au traitement des données à caractère personnel et leurs acteurs sont
identifiés et décrits.

Étude du cas ASSist

La société d’assurance ASSist couvre l’assistance médicale et le rapatriement aux personnes dans
le cadre des séjours à l’étranger. Les polices d’assistance sont commercialisées en direct auprès
des personnes physiques et des familles. Ces assurances sont également vendues auprès des
sociétés offrant des services touristiques, en intégrant la couverture dans leur propre proposition
commerciale. La société commercialise ses services dans plusieurs pays européens et la couver-
ture couvre tous les déplacements dans le monde entier, à l’exception des zones de conflit.

Une brève présentation des activités d’ASSist :

• Les campagnes de prospection commerciale sont largement basées sur des actions dans des
journaux toutes boîtes et auprès d’un réseau de partenaires, composé de sociétés de voyage,
location de vacances, constructeurs automobiles... En renvoyant un coupon ou en téléphonant
au centre d’appel, des propositions contractuelles sont envoyées aux prospects. Lors de ce
courrier, le consentement est demandé pour l’envoi du magazine aux clients. Les coordon-
nées des clients et des prospects sont communiquées aux partenaires dans le cadre de leurs
activités marketing.
• Un sinistre est généralement communiqué par téléphone au centre d’appel interne permet-
tant de réagir rapidement et efficacement à l’urgence de la situation. Des intervenants médi-
caux et/ou de rapatriement externes et localisés dans les pays concernés sont immédiatement
activés pour traiter le sinistre.
• Des systèmes d’information ont été développés en interne pour gérer la prospection, la dé-
marche commerciale et la gestion des sinistres.

97
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Considérant qu’elle traite beaucoup de DCP et y compris des données sensibles, la direction a
nommé un DPO, qui a été déclaré à l’Autorité de Protection des Données et qui rapporte directe-
ment au Comité de Direction.

Le DPO a obtenu le soutien des membres du Comité de Direction, à l’exception du directeur mar-
keting. Celui-ci s’oppose à la mise en œuvre de mesures de conformité au motif qu’elles nuisent à
l’efficacité de la prospection commerciale.

Le DPO a obtenu l’accord du Comité de Direction pour exécuter un audit de conformité sur le pé-
rimètre des activités de cœur de métier.

98
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

2. IDENTIFICATION DES RISQUES

En se basant sur les situations à risque du référentiel, les évènements potentiels pouvant impac-
ter négativement le traitement des données à caractère personnel sont identifiés dans le tableau
ci-dessous.

Étude du cas ASSist

Etant donné qu’aucune analyse de risque n’a préalablement pas été réalisée concernant la
conformité au RGPD, l’auditeur externe procède à une identification des risques après la prise de
connaissance des activités de traitement au travers de documents et d’interviews avec les parties
prenantes. Une synthèse des risques identifiés est présentée ci-dessous sous la forme d’un ta-
bleau reprenant les domaines et thèmes du référentiel RGPD.

Al. Engagement du
Responsable du
Traitement

A2. Politiques et
organisation de la
protection des données
A3, Organe de
gouvernance, rôles et
responsabilités

A4!. Délégué à la
Protection des Données
(DPO)

99
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

B2. Registre des

activités de traitement

B3. Analyse d'impact

relative à la protection
des données (AIPD)

B4. Protection par

conception et par défaut

BS. Utilisation et durée

de conservation des DCP

B6. Gestion de la sous-

traitance

B7. Transferts hors de

l'Espace Economique
Européen

100
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

CI. Pilotage et mise en

œuvre

C2. Droiits de lia

personne conœrnée

C3. Information et
transparence

C4. Sensibilisation et
formation

CS. Gestion de la
continuiité des activités

C6. Gestion et
notification des
violations des DCP

Cl. Protection et
sécurité des DCP

DOMAINE D. SURVEILLANCE ET REVUE

Dl. Suivi et revue du

dispositif (par le DPO)

D2. Revue du dispositif

RGPD

D3. Contrôle par l'APD

101
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

3. ANALYSE DES RISQUES

L’analyse des risques permet d’évaluer le niveau de risque potentiel (risque inhérent avant la prise en
compte des mesures) et de risque résiduel (en prenant en compte les mesures mises en œuvre et
fonctionnant effectivement).

Étude du cas ASSist

L’objectif étant d’évaluer l’exposition actuelle aux risques, l’estimation du risque a été réalisée en
prenant en compte les mesures de contrôle déjà effectivement en place.
Les couleurs de l’exposition au risque (Probabilité x impact) correspondent au tableau 8 (Explica-
tion des niveaux de risque).
Les couleurs du niveau de maîtrise correspondent au tableau 10 (Evaluation de la maîtrise du
risque).

Al, Engagements
du Responsable du • •
Traitement

A2. Politiques et Modérée * Modéré = Modérée Largement maîtrisé

org,anisation de la
protection dies
données
A3. Organe de
gouvernance,
rôles et
responsabilités

A4. Délégué à la
Protection des
Données (DPO)

102
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

traitement

B2. Registre des

activités de
traitement

B3. Analyse
d'impact relative à
lia protection des
données
B4. Protection par
conception et par
défaut

BS. Utilisation et
durée de
conservation des
DCP

B6. Gestion de la
sous-traitance

B7. Transferts
hors de 1'Espace
Economique
Européen

103
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Cl. Pilotage et: Modérée

mise en œuvre ""Fort =Significative
C2. Drnits de la Modérée * Modéré = Modéré Largement maîtrisé
personne
concernée

C3. Information et
transparence

C4. Sensibilisation
et formation

CS. Gestion de la
cont:inuiité des
activités
C6. Gestion et Largement maîtrisé
notification des
violations des DCP

Dl. Suivi et revue

du dispositif (par
le DPO)

02. Revue du
dispositif RGPD

03. Contrôle par Faible

l'APD Faible =Faible

104
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

La cartographie des risques permet de visualiser les thèmes et pratiques selon le niveau de risque.

IMPACT
[Link].
[Link]
Consent.
[Link] [Link]
[Link]
[Link] [Link]
[Link]é
[Link] [Link] [Link]
[Link]
[Link]
A3.R&R B5.Rétention
[Link]
[Link] DPO C2. Retrait
C3. Droits
[Link].
[Link]
[Link] [Link] [Link] [Link]és
[Link]

[Link]

105
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

4. ACTIONS DE MAÎTRISE
•
Le but est de déterminer les mesures de contrôle adéquates permettant de réduire le risque au ni-
veau acceptable et d’établir un plan d’action pour veiller à la mise en œuvre effectives des mesures.

Étude du cas ASSist

Les actions de maîtrise ont été discutés avec le DPO , les référents RGPD et les audités. Une colla-
boration a été obtenue avec le département marketing permettant de mitiger les risques relatifs
aux actions commerciales. Un plan d’action avec été élaboré pour tous les risques non totalement
maîtrisés. Le DPO et les référents se chargent de la réalisation et du suivi du plan d’action. Une
feuille de route pour les 9 prochains mois a établie et présentée au Comité de Direction. Seules
les actions liées à la révision des systèmes d’information devraient s’étaler sur une plus longue
période. Le Comité de Direction a chargé le DPO de leur présenter une fois par trimestre l’avan-
cement de la mise en œuvre.

Les couleurs du niveau de maîtrise correspondent au tableau 10 (Evaluation de la maîtrise du

risque)

Al, Engagements ~œi~=:~=?l~::=~

du Responsable du • •
Traitement

A2. Politiques et Largement

organisation de la maîtrisé
protection des
données

A3, Organe de
gouvernance,
rôles et
responsabilités
A4i. Délégué à la
Protection des
Données (DPO)

106
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

traitement

B2. Registre des

activités de
traitement

B3 . .Analyse-
d'impact relative à
t:m=.::==;!~~~f:~
•
la protection des
données

B4. Protection par

conception et par
défaut

B5. Utilisation et
durée de
conservation des
DCP

B6. Gestion de la
sous-traitance

B7. Transferts
hors de l'Espace
Economique
Européen

107
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Cl. Pilotage et
mise en œuvre

C2. Drnits de la
personne
concernée

transparence

C4. Sensibilisation
et formation

CS. Gestion de la
continuité des
activités
C6. Gestion et Largement
notification des maîtrisé
violations des DCP

Dl. Suivi et revue

du dispositif (par
le DPO)

02. Revue du
dispositif RGPD

03. Contrôle par

l'APD

108
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

5. AUDIT RGPD

L’audit a pour objectif d’évaluer de manière indépendante la conformité des pratiques en place rap-
port aux exigences règlementaires du RGPD.

Étude du cas ASSist

L’audit a démarré avec une large séance de prise de connaissance des systèmes d’information sur
base des explications fournies par l’architecte d’entreprise. Le flux des données entre les différents
logiciels notamment le CRM pour la gestion des relations avec les prospects et les clients, l’appli-
cation gestionnaire du centre d’appel, et l’application de gestion et de suivi des sinistres.

Les entretiens ont débuté par le DPO qui a pu expliquer le programme de mise en conformité et
fournir les éléments d’information utiles tels que le registre d’activité, le registre des requêtes des
personnes concernées, le suivi des plaintes.

Les directeurs et les personnes clés des différents départements ont été interviewés et une séance
d’observation du centre d’appel a permis de comprendre les types d’appels et les interventions
des opérateurs.

Comme mentionné, l’auditeur a réalisé l’identification et l’évaluation des risques pour établir le
programme de travail. Sur base des constats issus des entretiens et de l’analyse des informations
recueillies, l’évaluation du niveau de risque et maîtrise a mené à la rédaction des recommanda-
tions.

Quelques réunions de travail avec le DPO et les référents RGPD nouvellement nommés, et faci-
litées par l’auditeur, ont permis de décider et de planifier les actions de maîtrise (plans d’action).
Une feuille de route couvrant 9 mois a été établie.

Une synthèse de l’audit (cartographie des risques, maitrise des risques, action de maitrise et feuille
de route) et les conclusions ont été présentées au Comité de Direction et au Comité d’Audit.

109
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

ANNEXES
1. LES MESURES DE SÉCURITÉ DE L’INFORMATION DE L’ISO
27XXX.
Les mesures proposées ci-dessous proviennent des recommandations des autorités de protection
des données (54) (55) et des exigences complémentaires de l’ISO 27701 (56).

1. Politique de sécurité d,e l'information

lSO L'organisme traitant dies données à caractère personnel doit disposer d'une politique de
27001 sécurité de l'information précisant les stratégies et mesures retenues pour sécuriser ces
données. Cette politique formel le et actualisée sera approuvée par le responsable de la
g1estionjouma1lière de l'organisme.
La politique de sécurité de l'information comprendra :
• L'exposé de la démarche d'analyse des risques relatifs aux données à caractère
personnel ;
• Les priorités retenues et les mécanismes mis ou à mettre en place consécutivement
à cette analyse des risques ;
• Le planning de mise en œuvre ;
• La description des différentes responsabilités et des règles organisa,tionnelles mises
en place ;
• La description du processus de gestion des incidents de sécurité ;
• La description du processus de sensibilisation de l'organisme à cette politique ;
• Les dispositions retenues afin de maintenir à jour le système de sécurisation après
installation.
L'organisme doit pour tout processus et pour tout projet réaliser une évaluation des risques
au niveau de la sécurité de l'infonnation et de la vie privée, la valider, la communiquer et
la maintenir. Elle doit communiquer toutes les évaluaitions de risque contenant un risque
résiduel majeur à la Direction afin de les examiner et de prendre une décision à ce sujet.
ISO Toute organisation qui traite des DCP, qu'i I s'agisse d'un Responsable du Traitement ou d'un
27701 Sous-Traitant, doit tenir compte de la législation et/ou de la réglementation applicable lors
de l'élaboration et de la mise à jour des politiques de sécurité de l'information.

2. Organisation de la sécurité d,e l'information

ISO En fonction de la nature des données à caractère personnel traitées, un responsable en
27001 sécurité des systèmes d'information (RSSI) doit etre désigné au sein de l'organisme en
tant que responsable de l'exécution de la politique de sécurité de l'information.
ISO un point de contact concernant le traitement des données à caractère personnel sera
27701 désigné, qui sera le DPO s'il est nommé par l'organisme.
L'organisme doit s'assurer que l'utilisation d'appareils mobiles ne compromet pas les DCP.

110
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

3. Organisation et aspects humains de la sécurité de l'ïnformatïon

ISO Les responsabilités et les processus de gestion en matière de sécurité des données à
27001 caractère personnel sont définis et intégrés adéquatement dans l'organisation générale et
le fonctionnement de l'[Link].
ISO Tout organisme doit organiser des campagnes de sensibilisation ou des sessions
27701 d'information relatives à la sécurité de l'information et à la vie privée, et en assurer le
suivi. Elle doit également réaliser une évaluation annuelle du respect de la présente
politique dans la pratique.

4. Gestion des actifs

ISO Une classification des informations .sera appliquée selon un schéma de classification
27001 interne. le RSSI et/ou le DPO contrôleront les classifications de tous les systèmes critiques
au moins une fois par an.
ISO Le système de classification doit intégrer les DCP et plus particulièrement les données
27701 sensibles.
Des procédures appropriées et des registres en vue die la labellisation (étiquetage) de
l'ensemble des collectes et des traitements doivent être mis en œuvre.
ISO Des mesures de prévention contre la perte, l'endommagement, le vol ou la compromission
27001 des actifs die l'entreprise doivent être prises.

ISO Toute utilisation d'un support amovible pour le stockage des DCP sera documentée et si
27701 possible, le contenu du support sera chiffré.
Tout transfert de supports contenant des DCP sera chiffré et tout mouvement entrant et
sortant sera enregistré. Des procédures d'autorisation de transfert seront mises en œuvre.

S. Sècurïsation 10,gi,quedes accès

ISO L'organisme doit s'assurer que les données à caractère personnel ne soient accessibles,
27001 conformément à leur classification, qu'aux personnes et aux applications qui en ont
explicitement l'autorisation. l'accès doit être sécurisé par un système d'identification,
d'authentification et d'autorisation.

ISO Les procédures d'enregistrement des utilisateurs qui administrent des systèmes et des
27701 services qui traitent des DCP doivent prendre en compte les situations dans lesquelles le
contrôle d'accès de ces utilisateurs est compromis.
L'organisme doit tenir un registre précis et actualisé des profils d'utilisateurs autorisés à
accéder aux systèmes d'information et aux DCP qui y sont contenues. Ce profil comprend
les données nécessaires pour mettre en œuvre les contrôles techniques permettant
d'accorder à l'utilisateur un accès autorisé.

111
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

6. Cryptographie
ISO L'utilisation de la cryptographie peut être requise légalement pour protéger des DCP
27701 particulières, tels que les données de santé, les numéros de sécurité sociale ou
d'identification nationale.

7. Sécurité physi,que et de l'environnement

ISO L'organisme doit limiter l'accès aux bâtiments et locaux aux personnes a,utorisées et
27001 effectuer les contrôles appropriés tant pendant qu'en dehors des heures de travail.

ISO Pour une élimination ou une réutilisation sûre des équipements, les DCP doivent être
27701 effacées de manière sécurisée des supports.
L'utilisation de documents papier contenant des DCP sera réduite au strict minimum et la
gestion sera intégralement contrôlée.

8. Gestion opérationnelle
ISO Tout développement ou test doit être réalisé dans des environnements sécurisés et séparés
27001 de l'environnement de production ..
Des procédures pour la mise en production de nouvelles applications et la réalisation
d'adaptations aux applications existantes doivent être établies.
L'organisme doit disposer de systèmes actualisés pour se protéger contre des logiciels
malveillants et des codes nocifs.
La mise en œuvre du système de sauvegarde doit être en phase avec le plan de continuité
d'activité (PCA). Les sauvegardes réalisées dans ce cadre seront contrôlées régulièrement.
ISO Lorsque l'organisation foumit des services de sauvegarde et de restauration aux clients,
27701 elle doit leur fournir des informations claires sur leurs capacités en matière de sauvegarde
et de restauration des DCP.
L'organisme sera attentif aux éventuelles exigences réglementaires spécifiques en matière
de sauvegarde et restauration des DCP.

ISO Des mécanismes de journalisation et de traçage doivent être mis en œuvre ...
27001

ISO un processus devrait être mis en place pour analyser les journaux d'événements afin
27701 d'identifier les irrégularités et de proposer des mesures correctives.
Des mesures (par exemple, un contrôle d'accès) doivent être mises en place pour garantir
que les journaux enregistrés ne sont utilisés que comme indiqué.
Une procédure doit être mise en place pour garantir que les informations personnelles
enregistrées sont soit supprimées soit dépersonnalisées, comme indiqué dans le calendrier
de conservation.

112
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

9. Sècurïsatïon des réseaux et d,es communications

ISO Les réseaux auxquels sont connectés les équipements impliqués dans le traitement des
27001 données à caractère personnel doivent garantir la confidentialité et l'intégrité de celles-ci,
ainsi que leur continuité.

ISO L'organisme doit veiller à ce que les personnes qui ont accès aux DCP soient soumises à
27701 une obligation de confidentialité.

10. Achat, co,nception, développement et maintenan,ce d'applications

ISO Des mesures de contrôle permettent de s'assurer que l'ensemble des directives relatives à
27001 la sécurité de l'information et à la vie privée sont correctement évaluées et sont mises en
œuvre durant la phase de développement du projet.

ISO Les politiques de développement et de conception des systèmes doivent inclure des
27701 directives pour le respect des principes de la protection par conception et par défaut
''Privacy by Design/Default".

ISO L'organisme doit prendre les mesures nécessaires pour assurer la sécurité au niveau
27001 applicatif dans le but de minimiser les brèches potentielles en matière de sécurité de
l'information (confidentialité, intégrité, disponibilité) ..

ISO Les DCP de production ne doivent pas être utilisées à des fins de test ; des DCP artificiel les
27701 doivent être utilisées.

11. Relations avec les fournisseurs

ISO Les conditions relatives à la sécurité de l'information et à la vie privée sont éta,blies
27001 contractuellement avec les tiers et elles son documentées afin de réduire les [Link]
relatifs à l'accès des tiers aux moyens d'information.

ISO Les mesures techniques et organisationnelles minimales que le fournisseur doit respecter
27701 pour que l'organisme puisse remplir ses obligations en matière de sécurité des
informations et de protection dies DCP doivent être intégrées dans les engagements
contractuels.

ISO La prestation de service des tiers doit être surveillée et sera évaluée régulièrement. Si
27001 nécessaire, la prestation de service sera auditée.

113
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

12. Gesuon des incidents de sécurité

ISO Un plan de gestion des incidents de sécurité doit permettre de détecter les violations de
27001 sécurité, de les rapporter et si nécessaire de les notifier a,ux autorités.

ISO L'organisme doit êtabl ir des responsabilitês et des procédures pour l'identification et
27701 l'enregistrement des violations des DCP.

ISO Tout incident relatif à la sêcuritê doit être évalué de manière formelle, de sorte que les
27001 procédures et mesures de contrôle puissent être améliorées.

ISO Un incident impliquant des DCP doit déclencher une revue par l'organisme afin de
27701 déterminer si une réponse adéquate a été apportée.
Les dispositions relatives à la notification d'une violation impliquant des DCP doivent faire
pa1rtiedu contrat entre l'organisme et le Sous-Traitant.

13. Gesuon de la continuité

ISO Un plan de continuité d'actMtê ( PCA) décrit pour tous les processus critiques et systèmes
27001 d'information essentiels l'ensemble des activités, mesures et données essentielles, ayant
pour but de limiter le temps d'interruption et la1perte d'information à des niveaux
acceptables.

14. Conformité aux disposïUons légales et normatives

lSO L'organisme doit respecter à tout moment les règles et lois en vigueur en matière de
27001 traitement et de protection des données à caractère personnel.

ISO L'organisme doit identifier toute sanction légale potentiel le liée à des traitements non
27701 conformes des DCP.

lSO Les mesures de sécurité techniques ou organisationnelles doivent être validées et seront
27001 revues régulièrement.

ISO Dans le cadre des revues techniques de la conformité aux politiques et aux normes de
27701 sécurité, l'organisme doit inclure des méthodes de revue des outils et des systèmes liés
aux traitements des DCP.

lSO L'organisme doit disposer d'une documentation complète et régulièrement mise à jour
27001 concernant la sêcuritê des informations.

ISO L'organisme doit conserver des copies de ses politiques de protection de la vie privée et
27701 des procédures associées pendant une période spécifiée dans son c-alendrier de
conservation. Cela inclut la conservation des versions précédentes de ces documents
lorsqu'elles sont mises à jour.

Tableau 39 – Mesures de sécurité de l’information

114
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

2. LA CERTIFICATION ISO 27701

Dans le cadre d’une certification, un évaluateur indépendant garantit que l’organisation certifiée
respecte les exigences en matière de protection des données à caractère personnel. Elle permet
primairement aux prestataires spécialisés en traitement de DCP de fournir aux Responsables du
Traitement la preuve du respect de ces exigences en tant que Sous-Traitant. D’autre part, cette cer-
tification permet également aux Responsables du Traitement de volumes importants de données à
caractère personnel ou de données sensibles de fournir la confiance aux personnes concernées que
leurs données seront traitées dans le respect des libertés individuelles.

La norme ISO 27701 (56) comporte les exigences pour la mise en œuvre d’un système de gestion de
respect de la vie privée et constitue un complément à la norme ISO 27001 de gestion de la sécurité
de l’information.

Les normes ISO 27k préconisent une approche fondée sur les risques, de sorte que chaque organi-
sation traite les risques spécifiques auxquels elle est confrontée, ainsi que les risques concernant les
données à caractère personnel et la vie privée.

La prévention de la divulgation, de la perte ou de la corruption de données personnelles ne peut être

efficace que si l’ensemble du cycle de vie du traitement des données personnelles est protégé par
des contrôles de sécurité de l’information. Les normes ISO 27k définissent la sécurité de l’information
comme le résultat de contrôles adéquats visant à préserver la confidentialité, l’intégrité et la dispo-
nibilité des informations.

Les bonnes pratiques soutiennent l’identification d’objectifs de contrôle pour faire face aux risques
d’atteinte à la vie privée. Chaque objectif de contrôle nécessite la conception d’une série de contrôles
- certains organisationnels, d’autres techniques - qui, en fonctionnant efficacement, permettent de
faire face au risque d’atteinte à la vie privée.

La mise en œuvre du système de gestion exige de :

• Identifier et évaluer les risques de sécurité associés à la perte de confidentialité, d’intégrité et de
disponibilité des données à caractère personnel ;
• Identifier et évaluer les risques liés aux traitements des données à caractère personnel ;
• S’assurer que la relation entre la sécurité de l’information et la protection des données person-
nelles est gérée de manière appropriée.

115
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

La norme ISO 27701 comporte des directives spécifiques tant pour les Responsables du Traitement
(RT) que pour les Sous-Traitants (ST).

A. Directives applicables aux Responsables du Traitement

Le tableau ci-dessous présente les objectifs de contrôle provenant de la norme ISO 27701 concernant
la mise en œuvre d’un système de gestion de la vie privée (« Privacy Information Management Sys-
tem »). La dernière colonne établit le lien avec les thèmes du référentiel RGPD.

[ Caté,go,rîe Mesures de contrôle Thèmes

A., conditions de 1. Identifier et document le but B1. Ucéité du traitement (base légale &
collecte et de du traitement finalité)
traitements des DCP 2. Identifier la base légale
Objectif: 3. Déterminer quand et
Déterminer et comment le consentement est
documenter que le obtenu
traitement est légal, 4. Obtenir et enreg1istrer le
avec une base juridique consentement
légale, et avec des
objectifs clairement S. Evaluer l'impact en vie privée B3. Analyse d'impact relative à la
définis et légitimes (AIPD) protection des données (AIPD)
6. Contrats avec les Sous- B6. Gestion de lai sous-traitance
Traitants (en DCP)
7. R.T conjoints
8. Enregistrements concernant B2. Registre des activités de traitement
les DCP et leurs traitements
(reg1istre)
B., Obligations par 1. Déterminer et remplir les C2. Droits de la personne concernée
ra1pport aux obligations des personnes
personnes concernées
concernées 2. Déterminer l'information à
fournir aux personnes
Objectif: concernées
Veiller à ce que les
personnes concernées 3. Organiser la fourniture de
reçoivent des l'information aux personnes
informations appropriées concernées
sur le traitement de leur 4. Fournir le mécanisme pour
DCP et respecter toute modifier ou retirer le
autre obligation consentement
applicable aux personnes
concernées liée au 5. Fournir le mécanisme pour
traitement de leur DCP, s'opposer au traitement des DCP
6. Permettre l'a1ccaès,la
correction et l'effacement des
DCP

116
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Catégo,rie Mesures de contrôle Thèmes

7. Obligation d'information des
parties tierces
8. Fournir une copie des DCIP
traitées
9. Traiter les requêtes
10. Prise de décision
automatisée

c. Vie privée pair 1. Limiter la collecte B4. Protection par conception et par
conception et par défaut ,{ Ptivacy by Design/Default »
2. Limiter les traitements
défaut
3. Exactitude et qualité
Objectif:
4. Objectifs de minimisation
Veiller à ce que les
processus et les S. Désidlentifier et supprimer à B5. Utilisation et durée die conservation
systèmes sojent conçus la fin dlu traitement des DCP
de telle sorte que la
collecte et le traitement 6. Gérer les fichiers temporaires
soient limités à ce quj 7. Gérer la rétention des DCP
est nécessaire pour
l'objectif identifié. 8. Décommissionner les DCP
9. Contrôles de transmission des C7. Protection et sécurité des DCP
DCP

D,. Partage, transfert L Identification de la, base pour B7. Transferts hors de l'Espace
et divulgation de le transfert des DCP entre Economique Européen (EEE)
DCP juridictions

Objectif: 2. Transferts des DCP à des pays

et des organisations
Déterminer et internationales
documenter quand les
DCP sont partagées 1 3. Enregistrements des B2. Registre des activités de traitement
transférées à d'autres tra [Link] de DCP
juridictions ou à des tiers 4. Enregistrements de la B2. Registre des activités de traitement
et/ou divulguées divulgation de DCP à des tiers
conformément aux
obligations applicables.

Tableau 40 – Directives ISO 27701 applicables aux Responsables du Traitement

117
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

B. Directives applicables aux Sous-Traitants

Les mêmes catégories de directives sont développées pour les Sous-Traitants.

Caté,gorîe Mesures de contrôle Thèmes

A., Conditions de 1. Contrat (rôle d'assistance) Bl. Ucéité du traitement (base
collecte et de légale & finalité)
2. But (instructions documentées)
traitements des
DCP 3. Utilisation marketing (moyennant
consentement)
Objectif:
4. Devoir d'information en cas B6 .. Gestion de la sous-traitance
Déterminer et d'infraction
documenter que le
traitement est légal, S. Obligations R.T. (fourniture
avec une base juridique d'informations pour démontrer la
légale, et avec des conformité)
objectifs clairement
6. Enregistrements des traitements de B2. Registre des activités die
définis et légitimes
DCP (registre) traitement

B. Obligation par 1. Obligations (fourniture d'informations B6 .. Gestion de la sous-traitance

ra1pp,ortaux au R.T.)
personnes
concernées
Objectif:
Veiller à ce que les
personnes concernées
reçoivent des
informations
appropriées sur le
traitement de leur DCP
et respecter toute autre
obligation applicable
aux personnes
concernées liée au
traitement de leur DCP.
c. Vie privée pair 1. Gérer les fichiers temporaires B5. Utilisation e durée de
conception et par conservation des DCP
défaut 2. Retour, transfert et décommissions B6 .. Gestion de la sous-traitance
Objectif: des DCP

Veiller à ce que les 3. Contrôles de transmission des DCP Cl. Protection et sécurité dies
processus et les DCP
systèmes soient conçus
de telle sorte que la
collecte et le traitement
soient limttés à ce qui
est nécessaire pour
1robjectif identifié.

118
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Catégo,rie Mesures de contrôle Thèmes

D- Partage, 1. Identification die la base pour le B7 ..Transferts hors de l'Espace
transfert et transfert des DCP entre juridictions Economique Européen (EEE)
divulgation de DCP 2. Transferts des DCP à des pays et des
Objectif: organisations Internationales

Déterminer et 3. Enregistrements de la divulgation die B2. Registre dies activités die

documenter quand les DCP à des tiers traitement
DCP sont partagées, B6 .. Gestion de la sous-traitance
4. Notification des requêtes de
transférées a d'autres
divulgation de DCP
juridictions ou a des
tiers et/.ou divulguées S. Gestion des divulgations en accord
conformément aux des obligations légales
obligations applicables.
6. Divulgation préalable des Sous-
Traitants ultérieurs
7. Respect contractuel avec les Sous-
Traitants ultérieurs
8. Changement de Sous-Traitant
ultérieur

Tableau 41 – Directives ISO 27701 applicables aux sous-traitants

119
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

3. ÉVALUATION DE L’APTITUDE

Le Capability Maturity Model Integration (CMMI)® constitue un ensemble éprouvé de meilleures pra-
tiques mondiales qui stimule la performance des entreprises par le développement des aptitudes
clés (57).

Les niveaux d’aptitude s’appliquent à l’amélioration des processus dans les différents domaines de
pratique et peuvent s’appliquer aux thèmes du référentiel RGPD. Un niveau d’aptitude («Capability
level) mesure l’atteinte des objectifs d’un processus pour le niveau donné. Au sein des domaines de
pratique, les niveaux d’aptitude s’échelonnent du niveau 0 au niveau 5, qui fournissent un chemin
évolutif vers l’amélioration des performances.

Le modèle CMMI définit une échelle de mesure de l’aptitude à cinq niveaux pour évaluer les activités
menées par rapport à cette échelle.

Optimisé

qu ntlt tlv ment

Initial

Incomplet

Schéma 42 – Echelle de l’aptitude CMMI

Niveau Description
0 Incom1plet Certaines exigences du RGPD ne sont pas respectées dans l'organisation.

1 Initial Toutes les exigences solilt prises en compte, mais les pratiques sont
incomplètes et réaliisées de manière ad hoc ou basique.

2 Géré Les pratiques pour répondre aux exigences sont décrites et planifiés.

3 Défini Ce niveau se caractérise par une gestion centralisée du référentiel RGPD. Les
pratiques et leur déploiement sont formalisés au moyelil de directives.

4 Géré Le déploiement du dispositif RGPD est piloté par des objectifs pour répondre
quantitativement aux attentes de l'organisation. La réalisation des objectifs est mesurée et
contrôlée.

5 Optimisé La réalisation des thèmes RPGD est améliorée de manière continue en

intég,ra11tdes nouvelles pratiques.

Tableau 43 – Description des niveaux d’aptitude CMMI

120
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

L’évaluation CMMI permet de manière rapide d’avoir une évaluation de l’aptitude de l’organisation
en ce qui concerne la mise en œuvre du RGPD, et peut également de servir de base à une approche
d’amélioration. Elle permet d’identifier les processus dont les aptitudes sont insuffisantes et pour
lesquelles un projet d’amélioration devrait s’envisager.

121
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

4. LEXIQUE

Lorsqu’une abréviation est utilisée pour le terme dans cette publication, celui est mis entre crochets
[ ]. Les termes sous-lignés renvoient vers d’autres termes du Lexique. Les remarques sont indiquées
en italique dans la définition.

Terme Défi1nition
Analyse Étudie qui doit être menée lorsqu'un traitement de données a
caractère personnel! est
d'I1111pactsur la susceptible d'engendrer un risque élevé pour les droits et libertés des personnes
Protection des concernées. [Source : CNIL]
Don1nées (AIPD)

Article 29 (G29) L'article 29 de la directive du 24 octobre 1995 sur la protection des dlomilées et la libre
circulation de celles-ci a institué un groupe de travail rassemblant les représentants de
chaque autorité indépendante de protection des données nationale. Cette organisatiolil
réunissant l'ensemble des CN[L européennes a pour mission de contribuer à l'élaboratiolil
des normes européennes en adoptant des recommandations, de rendre des avis sur le
niveau de protection dans les pays tiers et de conseiller la Commission européenne sur
tout projet ayant une incidence sur les droits et libertés dies personnes physiques à l'égard
des traitements de données personnelle·s. Le G29 a été remplacé par le Comité Européen
de la Protection des Données {CEPO}
[Link] it i nteme Une activité indépendante et objective qui donne à une organisation une assurance sur le
degré de maîtrise de ses opérations, lui apporte ses conseils pour les améliorer, et
contribue à créer de la valeur ajoutée.
Il aide œtte organisation à atteindre ses objectifs en évaluant, par une approche
systématique et méthodique, ses processus de management des risques, de contrôle, et
de gouvernance, et en faisant dies propositions pour renforcer leur [Link]·cité. [Source :
IIA]

Autorité de Autorité publique indépendante qui est instituée par un État membre en vertu de l'article
contrôle 51 du RGPD.. [Source : RGPD]
Remarque : Dans la publication le terme « Autorité de Protection des Données» (APD) est
utilisé.

Base !légale La base légale d'un traitement est ce qui autorise légalement sa mise en œuvre, ce qui
donne le droit à un organisme de traiter des données à c~ractère personnel. On peut
également parler die « fondement juridique » ou de ~ base juridique » du traitement.
Six bases légales sont prévues par le RGPD
e consentement ;
1

le contrat;
l'obligation légale ;
la sauvegarde des intérêts vitaux ~

l'intérêt public ~

les intérêts légitimes.

Certi fiication Procédure par laquelle un organisme d'évaluation exteme (appelé également tiers
certificateur) va donner l'assurance écrite qu'une personne, un produit, un processus ou
un service est en conformité avec lies exigences données dans Ulil référentiel. [Source :
CNIL]

122
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Terme Définition
Clause.s Il s'agit de modèles de clauses contractuelles adoptés par la Commission européenne
Contractuelles permettant d'encadrer Ies transferts de données personnelles effectués par des
Types Responsables du Traitement vers des destinataires situés hors de l'Union européenne,
Elles ont pour but de faciliter la tâche des Responsables du Traitement dans la mise en
œuvre de contrats de transfert. On distingue les transferts de Responsable du Traitement
à Responsable du Traitement et les transferts de Responsable du Traitement à Sous-
Traitant. [Source : CNIL]

Codes de Application concrète de la réglementation sur la protection des donlilées à un secteur

conduite d'activité donné et se composent de bonnes pratiques (durée de conservation, mention
d'infonmation, modes opératoires ...}. [Source : CNIL]

Commission Autorité de contrôle franç.aise, l'autorité administrative indépendante chargée de faire

Nation aile de appliquer loi n°78-17 du 06 janvier 1978 modifiée relative à l'informatique, aux fichiers et
!'Informatique et aux libertés,
de.s Uberté.s
Remarques : En Belgique, l'autorité s'appelle Autorité de Protecüon des Données (APD).
[CNlL]
Au Luxembourg, l'autorité s'appelle Commission nationale pour fa protection des donné.es
(CNPD)
Con sentem e1nt Toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la
personne concemée accepte, par une déclaration ou par un acte positif clair, que des
données à caractère personlilel la concernant fassent l'objet d'un traitement. (Source :
RGPD]
Contrôle interne Ensemble des processus visant à apporter un degré raisonnable de confiance quant il la
réalisation des objectifs .. [Source : HA]
Contrôleur Organisme qui veiller à ce que les institutions et organes de l'Union Européenne
Europé.en de la respectent le droit des citoyens à la protection de leur vie privée lors du traitement de
Protection des données à caractère personnel. [Source : UE]
Données (CEPD)

Délégué à la Personne ou organisme désignée par l'organisation auprès de l'autorité de contrôle pour
Protection de.s s'assurer que ses pratiques sont en conformité avec la règlementation en matière de
Données (DPD) protection des données.
Remarque ,: Dans cette publication, le terme anglais Data Protecüon Officer (DPO) est
utilisé
Desti nata,ir'e Personne physique ou morale, l'autorité publique, le service ou tout aut1re organisme qui
reçoit communication de données à caractère personnel, qu'il s'agisse ou non d'un tiers.
Toutefois, les autorités publiques quii sont susceptibles de recevoir communication de
données à caractère personnel dans le cadre d'u11e mission d'enquête particulière
colilformément au droit de l'Union ou au droit d'ulil État membre ne sont pas colilsidérées
comme des destinataires. Le traitement de ces données par les autorités publique-S en
question est conforme aux règles appliicables en matière de protection des données en
fonction des finalités du traitement [Source : RGPD]
Données à Toute information se rapportant â une personne physique identifiée ou identifiable [Source
ca1ractère : RGPD]
[Link] (DCP)

Donné,es à Dom1ées à caractère personnel relatives aux condamnations pé11alesou aux infractiio11s
ca1ractèr·e
hautement
personnel

123
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Terme Définition
Données Données à caractère personnel résultant d'un traitement technique spéc:ifique, relatives
biométriques aux caractéristiques physiques, physiologiques ou comportementales d'une personne
physique, qui permettent ou confirment son identification unique, telles que des images
faciales ou des données dactyloscopiques. [Source : RGPD]
Données Domilées à caractère personnel relatives à la santé physique ou mentale d'une personne
concel'inant la physique, y compris la prestation de services de soins de santé, qui révèlent des
santé informations sur ll"état de santé de cette personne. [Source : RGPD]
Données Données à caractère personnel relatives aux caractéristiques génétiques héréditaires ou
génétiques acquises d'une personne physique qui donnent des informations uniques sur la physiologie
ou l'état de santé de cette personne physique et qui résultent, notamment, d'une analyse
d'un échantillon biologique de la personne physique en question. [Source : RGPD]
Données Les données sensibles forment une catégorie particulière des données à caractère
sensibles personnel.
Ce sont des informations qui révèlent la prétendue origine raciale ou ethnique, les
opinions politiques, 1es co nvi ctiiolils religieuses ou phi losoph iqu es ou l 1a ppa rten a nce
syndicale, ainsi que le traitement des données génétiques, des données biométriques aux
fins d'identifier une personne physique de manière unique, des données concernant la
salilté ou des données concernant la vie sexuelle ou !l'orientation sexuelle d'une personne
physique. [Source : CINIL]
Entreprise Personne physique ou morale exerçant une activité économique, quelle que soit sa forme
juridique, y compris les sociétés de personnes ou les associations qui exercent
régulièrement une activité économique. [Source : RGPD]
Etablissement L'établissement principal d'un Responsable du Trairtement dans l'Uniolil devrait être le lieu
pr,i11dpall de son administration centrale dans l'Union, à moins que les décisions quant aux finalités
et aux moyens du trnitement des données à caractère personnel soient prises dans un
autre établissement du Responsable du Traitement dalils l'Union, auquel cas cet autre
établissement devrait être considéré comme étant l'établissement principal. (Source :
RGPD]

Fichier Tout ensemble structuré de données à caractère personnel accessibles selon des critères
déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière
fonctionn·elle ou géographique. [Source : RGPD]

Finailité du Objectif principal de l'utilisation de données à caractère persolilnel. [Source : CNIL]

traitement
Remarque ;· Les DCP doivent être collectées pour des finalités déterminées, explicites et
légitimes.
Grou,pe Entreprise qui exerce le contrôle et les entreprises qu'elle contrôle. [Source : RGPD]
d'entreprises
Loi informatique Loi lil0 78-17 du 06 janvier 1978 modifiée relative à l'informatique, aux fi·chiers et aux
et libertés [LIL)I libertés.
Remarque: La loi ne concerne que la France.

Limitation du Marquage de données à caractère personnel conservées, en vue de limiter leur traitement
traitement futur. [Source : RGPD]
Minimisatio11 Le priine:ipe de minimiisation prévoit que les données à caractère personnel doivent être
adéquates, pertinentes et limitées à ce qui est liléœssairn au regard des finalirtés pour
lesquelles elles sont traitées. [Source : CNIL]

124
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Terme Définition
Objection Objection quant à savoir s'il y a ou non violation du présent règlement ou si l'action
pertinente et envisagée en ce qui concerne le Responsable du Traitement ou le Sous-Traitant respecte le
motivée présent règlement, qui établit clairement l'importance des risques que présente le projet
de décision pour les libertés et droits fondamentaux des personnes concernées et, le cas
échéant, le libre flux des données à caractère personnel au sein de l'Union. [Source :
RGPD]

Organe de Groupe de personnes responsable de la réussite de l'organisation auprès des parties

-gouvernance prenantes. [Source : IIA]
Organisation Organisation internationale et organismes de droit public international qui en relèvent, ou
interna,[Link] tout autre organisme qui est créé par un accord entre deux pays ou plus, ou en vertu d'un
tel accord, [Source : RGPD]

Personne Personne physique identifiable, c.-à-d. une personne physique qui peut être identifiée,
concernée directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom,
un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou
plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique,
psychique, économique, culturelle ou sociale.

Profilage Toute forme de traitement automatisé de données à caractère personnel consistant a

utiliser ces données à caractère personnel pour évaluer certains aspects personnels relatifs
à une personne physique, notamment pour analyser ou prédire des éléments concernant
le rendement au travail, la situation économique, la santé, les préférences personnelles,
les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette
personne physique. (Source : RGPD]
Pseudo- Traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus
nymisation être att1ribuées à une personne concernée précise sans avoir recours à des informations
supplémentaires, pour autant que ces infonmations supplémentaires soient conservées
séparément et soumises a des mesures techniques et organisationnelles afin de garantir
que les données à caractère personnel ne sont pas attribuées a une personne physique
identifiée ou identifiable. [Source : RGPD]
Remarque : Voir personne concernée pour « personne physique identifiée ou identifiable »
Référent RGPD Collaborateurs désignés en interne pour relayer les informations du DPO aux
(ou Relais collaborateurs, les conseiller, veiller au respect des exigences de l'autorité de contrôle au
Info1in1artique et quotidien, appliquer le plan d'action et remonter les demandes ou incidents au DPO.
Libertés [RIL])

Règllement Le règlement no 2016/679 est un règllement de l'Union européenne qui constitue le texte
Europé.en sur la de référence en matière de protection des données à caractère personne.
Protection des
Donné,es [RGPD]

Règlles Règles internes relatives à la protection des données à caractère personnel qu'applique un
d'entreprise Responsable du Traitement ou un Sous-Traitant établi sur le territoire d'un État membre
contraignantes pour des transferts ou pour un ensemble de trnnsfierts de données a
caractère personnel à
[REC] a
un Responsable du Traitement ou un Sous-Traitant établi dans un ou plusieurs pays tiers
au sein d'un groupe d'entreprises, ou d'un groupe d'entreprises engagées dans une
activité économique conjointe. [Source : RGPD]
Remarque : règles d'entreprise contraignantes (ou Binding Corporate Ru/es -BCR).
Rep1résentant Une personne physique ou morale établie dans l'Union, désignée par le Responsable du
Traitement ou le Sous-Traitant par écrit, en vertu de l'artide 27, qui les représente en ce
qui concerne leurs obligations respectives en vertu du présent règlement. [Source : RGPD]

125
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Terme Définition
Responsa1ble du Personne physique ou morale, autorité publique, service ou un autre organisme qui, seul
Traitement [RT] ou conjointement avec d'autres, détermine les finalitês et les moyens du traitement ;
lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de l'Union
ou le droit d'un État membre, le Responsable du Traitement peut être désigné ou les
critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l'Union
ou par le droit d'un État membre. [Source : RGPD]
Sous-Traita nt Personne physique ou morale, autorité publique, service ou un autre organisme qui traite
[ST] des données à caractère personnel pour le compte du Responsable du Traitement. [Source
: RGPD]

Tiers Personne physique ou morale, autoritê publique, service ou un autre organisme autre que
la personne concernée, le Responsable du Traitement, le Sous-Traitant et les personnes
qui, placée,s sous l'autorité directe du Responsable du Traitement ou du Sous-Traitant, sont
autorisées à traiter les données à caractère personnel. [Source : RGPD]
Traitement (de Toute opération ou tout ensemble d'opêrations effectuées ou non à l'aide de procédés
données à automatisés et appliquées à des données ou des elilsembles de données à caractère
ca1ractèr·e personnel, tellles que la collecte, l'enregistrement, l'organisation, la structuration, la
personnel) colilservation, l'adaptation ou la modification, l'extraction, la consultatiolil, l'utillisatiiolil, la
communication par transmission, la diffusion ou toute autre forme de mise à disposition,
le rapprochemelilt ou l'interconnexion, la limitation, l'effacement ou la destruction. [Source
: RGPD]

Traitement a) Traitement de donnêes à caractère personnel qui a lieu dans l'Union dans le c,adre des
tra nsfrontali,er activités d'êtablissements dans plusieurs États membres d'un Responsable du Traitement
ou d'un Sous-Traitant lorsque le Responsable du Traitement ou le Sous-Traitant est établi
dans plusieurs États membres, ou ;
b) Traitement de donnêe·s à caractère personnel qui a lieu dans l'Union dans le c,adre des
activitês d'un établissement unique d'un Responsable du Traitement ou d'un Sous-Traitant,
mais qui affecte sensiblement ou est susceptible d'affecter sensiblement des personnes
concernées dans plusieurs États membres. [Source : RGPD]
Violation de Une violation de la sécurité, entraînant de manière accidentelle ou illlicite, la destruction, la
données à perte, l'altêratiion, la di1vulgation 11011 autonisée de données à caractère personlilel
ca1ractèr·e transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles
personnel données, [Source : RGPD]

Tableau 44 – Lexique

126
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

5. LISTE DES ABRÉVIATIONS

Ce tableau reprend les abréviations utilisées dans cette publication. Les termes anglais sont indiqués
en italique.

Terme Signification
AFAI Association Franç.aise de l'Audit et du [Link] Informatique
En Anglais : ISACA
AFCDP Association Fra1nçaise des Correspondants à la protection des Données à caractère
P€!rsonn@I
AIPD Analyse d'Impact relative à la Protection des Données
APD Autorité de Protection des Données (Autorité de contrôle dans le RGPD)
En anglais : Data Protection Authority {DPA]

BCR Binding Corporate Ru/es ou Règles d'entreprise contraignantes

CEPD Contrôleur Européen de la Protection des Données

En anglais : European Data Protection Supervisor {EDPS}

CNIL Commission !Nationale de !'Informatique et des Libertés, l'APD française

DCP Données à caractère personnel

DPO Data Protection Officer (Délégué à la Protection des Données)

EEE Espace Economique Européen

llA The Institute of Internai Auditors (IFACI en France)

IFACI Institut Français de l'Audit et du Contrôle Interne

En anglais : The Institute of Internai Auditors (IIA)

LIL Loi informatique et libertés

MOE Maî rise d'œuvre

PCA Plan de Continuité d'ActMté

En anglais : Business Continuity Plan (BCP)

PMO Project Management Office (Bureau Projet)

RACI Responsible, Accountable, Consulted, Informed (matrice de responsabilités)

REC Règles d'entreprise contraignantes

En anglais : fünding Corporate Rules (BCR)

RIL Référent (ou Relais) Informatique et Libertés

Le terme « Référent RGPD » est utilisé dans cette publication.

127
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

RGPD Règlement Européen sur la Protection des Données

En anglais : General Data Protectjon Regulahon {GDPR]

RSSI Responsable de la sécurité des Systèmes d'information

En anglais : Chief Information Security Officer [aso]
RT Responsable du Traitement
En anglais : Controller

SI Système d'information
En anglais : Informâtjon System {IS}

ST Sous-Traitant
En anglais : Processor

Schéma 45 – Liste des abréviations

128
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

6. RÉFÉRENCES

Cette annexe reprend les principales références utilisées dans cette publication.

1. Eur-Lex. Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l’égard du traitement des données à caractère personnel et à
la libre circulation de ces données, et abrogeant la directive 95/4. [Online] 2016. [Link]
eu/legal-content/FR/ALL/?uri=CELEX%3A32016R0679.

2. CNIL. Le règlement général sur la protection des données - RGPD. [En ligne] 2018. [Link]
fr/fr/reglement-europeen-protection-donnees ..

3. CEPD. Lignes directrices sur la protection des données à caractère personnel pour la gouvernance
informatique et la gestion informatique des institutions européennes. 2018.

4. The Institute of Internal Auditors. Le Modèle des Trois Lignes de l’IIA. 2020.

5. AFAI-CIGREF-TIF. Données Personnelles et Systèmes d Informations - Les clés d’une application

réussie du GDPR. 2017.

6. Soenen, Patrick. Anticiper la conformité au nouveau Réglement Général sur la Protection des
Données. Audit, Risques & Contrôle. 4ième trimestre, 2016, Vol. 8.

7. IFACI/IIA. Évaluer l’adéquation du management des risques en utilisant la norme ISO 31000. 2010.

8. ISO. ISO 31000:2018 -Management du risque — Lignes directrices. 2018.

9. IIA. Évaluation du processus de management des risques. 2019.

10. IFACI. Méthodologie de conduite d’une mission d’audit interne - Fiches méthodologiques. 2012.

11. IIA. Reliance by interna audit on other assurance providers. 2011.

12. CEPD. Lignes directrices du CEPD sur les notions de responsable du traitement, de sous-traitant
et de responsabilité conjointe du traitement dans le cadre du règlement (UE) 2018/1725 . 2019.

129
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

13. EDPB. Guidelines 3/2018on the territorial scope of the GDPR (Article 3). 2020.

14. EDPS. Security Measures for Personal Data Processing - Guidance. 2016.

15. ANSSI. PSSI — Guide d’élaboration de politiques de sécurité des systèmes d’information. [En ligne]
[Link]
temes-dinformation/.

16. —. Charte d’utilisation des moyens informatiques et des outils numériques. [En ligne] https://
[Link]/actualite/charte-dutilisation-des-moyens-informatiques-et-des-outils-numeriques-
le-guide-indispensable-pour-les-pme-et-eti/.

17. EDPS. Accountability on the ground Part I: Records, Registers and when to do Data Protection
Impact Assessments. 2019.

18. Groupe de travail «ARTICLE 29» sur la protection des données. Lignes directrices concernant
les délégués à la protection des données (DPD). [En ligne] 2017. [Link]
atoms/files/wp243rev01_fr.pdf.

19. CNIL. Correspondant Informatique et Libertés (CIL) - Guide pratique de la prise de fonction. 2015.

20. AFCDP. Charte de déontologie du DPO. [En ligne] 2018. [Link]

du-dpo/.

21. —. Fiche de poste DPO et lettre de mission. [En ligne] 2016. [Link]
et-lettre-de-mission.

22. Groupe de travail «ARTICLE29» sur la protection des données. Lignes directrices sur la trans-
parence au sens du règlement (UE) 2016/679. [En ligne] 2018. [Link]
atoms/files/wp260_guidelines-[Link].

23. —. Lignes directrices sur le consentement au sens du règlement 2016/679. [En ligne] 2018. https://
[Link]/sites/default/files/atoms/files/ldconsentement_wp259_rev_0.1_fr.pdf.

24. Groupe de travail «ARTICLE 29» sur la protection des données. Lignes directrices relatives à la
prise de décision individuelle automatisée et au profilage aux fins du règlement (UE) 2016/679. 2018.

130
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

25. CEPD. Lignes directrices du CEPD portant sur l’évaluation du caractère proportionné des me-
sures limitant les droits fondamentaux à la vie privée et à la protection des données à caractère
personnel. 2019.

26. —. Lignes directrices 2/2018 relatives aux dérogations prévues à l’article 49 du règlement (EU)
2016/679 . 2018.

27. Groupe de travail «ARTICLE 29» sur la protection des données. Lignes directrices concernant
l’analyse d’impact relative à la protection des données (AIPD) et la manière de déterminer si le trai-
tement est «susceptible d’engendrer un risque élevé» aux fins du règlement (UE) 2016/679. 2017.

28. EPDS. Accountability on the ground Part II: Data Protection Impact Assessments & Prior Consul-
tation. 2018.

29. CNIL. Listes des traitements pour lesquels une AIPD est requise ou non. [En ligne] [Link]
[Link]/fr/listes-des-traitements-pour-lesquels-une-aipd-est-requise-ou-non.

30. —. Liste des types d’opérations de traitement pour lesquelles une analyse d’impact relative à la
protection des données est requise. [En ligne] 2019. [Link]
[Link].

31. —. Analyse d’impact relative à la protection des données. [En ligne] 2018. [Link]
default/files/atoms/files/[Link].

32. —. Étude d’impacts sur la vie privée (PIA). [En ligne] 2015. [Link]
pia-guides-outil-piaf-etude-de-cas.

33. ICO. Conducting privacy impact assessments code of practice. [Online] 2014. [Link]
media/about-the-ico/consultations/2052/draft-conducting-privacy-impact-assessments-code-of-
[Link].

34. CNIL. Guide RGPD du développeur. [En ligne] [Link]

loppeur.

35. ENISA. Privacy by design in big data. 2015.

36. CNIL. Guide du Sous-Traitant. [En ligne] 2017. [Link]

131
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

37. CEPD. Note d’information sur les transferts de données post BREXIT. 2019.

38. Groupe de travail «ARTICLE 29» sur la protection des données. Document de travail établis-
sant un tableau présentant les éléments et principes des règles d’entreprise contraignantes. 2018.

39. —. Document de travail établissant un tableau présentant les éléments et principes des règles
d’entreprise contraignantes pour les sous-traitants. 2018.

40. CNIL. RGPD: se préparer en 6 étapes. [En ligne] [Link]

parer-en-6-etapes.

41. ISACA. Implementing a Privacy Protection Program: Using COBIT 5 Enablers With the ISACA Pri-
vacy Principles. 2017.

42. Groupe de travail «ARTICLE 29» sur la protection des données. Lignes directrices relatives au
droit à la portabilité des données. 2017.

43. CNIL. Les droits pour maîtriser vos données personnelles. [En ligne] 2019. [Link]
droits-pour-maitriser-vos-donnees-personnelles.

44. EDPS. Guidelines on the protection of personal data processing through web services provided
by EU institutions. 2016.

45. CNIL-BPIfrance-Le Lab. Guide Pratique de sensibilisation au RGPD. [En ligne] 2019. [Link]
[Link]/sites/default/files/atoms/files/bpi-cnil-rgpd_guide-[Link].

46. CEPD. Guidelines on personal data and electronic communications in the EU institutions. 2020.

47. CNIL. La sécurité des données personnelles. [En ligne] 2018. [Link]
atoms/files/cnil_guide_securite_personnelle.pdf.

48. Groupe de travail «ARTICLE 29» sur la protection des données. Lignes directrices sur la noti-
fication de violations de données à caractère personnel en vertu du règlement (UE)2016/679. 2018.

49. EDPS. Guidelines on personal data breachnotification For the European Union Institutions and
Bodies. 2018.

132
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

50. CNIL. Notifier une violation de données personnelles. [En ligne] [Link]
fier-une-violation-de-donnees-personnelles.

51. Groupe de travail «ARTICLE 29» sur la protection des données. Avis 05/2014 sur les Techniques
d’anonymisation. 2014.

52. ANSSi. Référentiel général de sécurité - version 2.0. 2014.

53. ENISA. Guidelines for SMEs on the security of personal data processing. 2016.

54. CNIL. Charte des Contrôles. 2020.

55. Autorité de Protection des Données (Belgique). Mesures de référence en matière de sécurité
applicables à tout traitement de données à caractère personnel. 2014.

56. Sécurité Sociale (Belgique). Normes minimales sécurité de l’information et vie privée. 2017.

57. ISO. Techniques de sécurité — Extension d’ISO/IEC 27001 et ISO/IEC 27002 au management de la
protection de la vie privée — Exigences et lignes directrices. 2019.

58. CMMI. CMMI Institute. [Online] 2020. [Link]

59. IFACI/IIA. L’audit des risques d’atteinte à la vie privée (2ième édition). 2012.

60. IFACI. Méthodologie de conduite d’une mission d’audit interne - Fiches méthodologiques. 2012.

61. ISACA. IS Audit/Assurance Program - Data Privacy . 2017.

62. European Commission - Justice and Consumers. Article 29 Working Party. [Online] 2018. https://
[Link]/newsroom/article29/[Link].

63. Data Governance Institute. Data Governance Institute. 2020. [Link].

64. CEPD. Concernant le CEPD. [En ligne] [Link]

65. —. Guidelines on the protection of personal data processing through web services provided by
EU institutions. 2016.

133
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

7. APERÇU DES TABLEAUX ET DES SCHÉMAS

Liste de tableaux et schéma repris dans l’ouvrage. Cliquez sur un tableau pour y accéder :

Schéma 1 – Cycle de vie de traitement des DCP

Schéma 2 – Modèle des 3 lignes de maîtrise
Tableau 3 – Domaines du référentiel RGPD
Tableau 4 – Domaines et thèmes
Schéma 5 – Relation entre la gestion des risques sur base de l’ISO 31000 et la méthodologie du guide.
Tableau 6 – Critères d’évaluation de l’impact
Tableau 7 – Cartographie des risques
Tableau 8 – Explication des niveaux de risque
Tableau 9 – Explication des niveaux de maîtrise de risques
Tableau 10 – Evaluation de la maîtrise du risque
Schéma 11 – Actions de maîtrise
Schéma 12 – Techniques d’audit
Schéma 13 – Schéma synoptique
Schéma 14 – Référentiel RGPD
Schéma 15 – Type de responsabilité
Tableau 16 – A1. Engagements du Responsable du Traitement
Tableau 17 – A2. Politiques et organisation de la protection des données
Tableau 18 – A3. Organes de gouvernance, rôles et responsabilités
Schéma 19 – Désignation du DPO
Tableau 20 – A4. Délégué à la Protection des Données (DPO)
Tableau 21 – B1. Licéité du traitement
Schéma 22 – Registre des activités de traitement
Tableau 23 – B2. Registre des activités de traitement
Tableau 24 – B3. Analyse d’impact relative à la protection des données (AIPD)
Tableau 25 – B4. Protection par conception et par défaut (« Privacy by Design/Default »)
Tableau 26 – B5. Utilisation et durée de conservation des DCP
Tableau 27 – B6. Gestion de la sous-traitance
Tableau 28 – B7. Transferts hors de l’Espace Economique Européen
Tableau 29 – C1. Pilotage et mise en œuvre
Tableau 30 – C2. Droits de la personne concernée
Tableau 31 – C3. Information et transparence
Tableau 32 – C4. Sensibilisation et formation

134
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

Tableau 33 – C5. Gestion de la continuité des activités et des services

Tableau 34 – C6. Gestion et notification des violations des DCP
Tableau 35 – C7 Protection et sécurité des DCP
Tableau 36 – D1. Suivi et revue du dispositif (par le DPO)
Tableau 37 – D2. Revue du dispositif RGPD
Tableau 38 – D3. Contrôle par l’Autorité de Protection des Données
Tableau 39 – Mesures de sécurité de l’information
Tableau 40 – Directives ISO 27701 applicables aux Responsables du Traitement
Tableau 41 – Directives ISO 27701 applicables aux sous-traitants
Schéma 42 – Echelle de l’aptitude CMMI
Tableau 43 – Description des niveaux d’aptitude CMMI
Tableau 44 – Lexique
Schéma 45 – Liste des abréviations

135
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
Table des matières
1. Introduction
2. L’approche méthodologique
3. Le référentiel RGPD
4. Étude de cas RGPD
Annexes

À propos
Porte-paroles de la profession d’audit interne, l’Institut Français d’Audit et de Contrôle internes (IFA-
CI) et l’Institut des auditeurs internes (IIA) sont des autorités reconnues dans le domaine de la forma-
tion et de la formulation des normes, lignes directrices et certifications

Copyright
Le copyright de ce guide pratique est détenu par l’IFACI.
Pour l’autorisation de reproduction, prière de contacter l’IFACI à l’adresse suivante :
institut@[Link]

IFACI
98bis, Boulevard Haussman
75008 PARIS, France
Téléphone : 01 40 08 48 00
Fax : 01 40 08 48 20
Site Web : [Link]
Courrier électronique : institut@[Link]

136
Maîtriser et auditer les risques liés au RGPD
Référentiel de contrôle et programme de travail de la
réglementation européenne
 '#, ifaci
institutfrançaisde l'auditet du contrôle internes
lROUPE
/RGPD
DE TRAVAIL

MAÎTRISER ET AUDITER
LES RISQUES LIÉS AU RGPD
Référentiel de contrôle et programme de
travail de la réglementation européenne

Institut Français de l'Audit et du Contrôle Internes - 98bis, Boulevard Haussmann

75008 Paris - Tél. : 00 48 08 40 331+ Fax : 20 48 08 40 331+ - institut@[Link]