CET ARTICLE A INITIALEMENT ÉTÉ PUBLIÉ DANS ARCHIMAG N°387
Au sommaire :
- Cycle de vie de la data : l'affaire de tous !
- Bibliothécaire, documentaliste et data : vers un nouveau métier ?
- La data : un “document” comme un autre pour les veilleurs et les documentalistes ?
- Data librarian, au coeur du cycle de vie des données de la recherche
- Les archivistes se positionnent-ils assez sur le traitement de la donnée ?
- DPO face à la data : un chef d'orchestre qui donne le La
- Entre gouvernance et stratégie data, la DSI en première ligne
Apparue en 2018 à la faveur du Règlement général sur la protection des données, la fonction de délégué à la protection des données n’est pas de tout repos. Un DPO est en effet chargé de mettre en œuvre la conformité au RGPD au sein de l’organisme qui l’a désigné.
À l’échelle du réseau ADMR, cette fonction prend une dimension toute particulière. Ce réseau associatif, présent sur l’ensemble du territoire national dans le domaine de l’intervention sociale et médico-sociale, gère les services à la personne de la naissance à la fin de vie. "Soit plus 2 600 entités juridiques dont je suis le DPO mutualisé", explique Dominique Bricot. "Cela représente 75 000 salariés, qui interviennent chez 700 000 personnes tous les jours, auxquels il faut ajouter les 85 000 bénévoles qui gouvernent ces associations. Cela signifie que nous gérons quotidiennement les données de plus de 4 millions de personnes : membres de la famille, salariés, bénévoles… ".
Lire aussi : Projet de digitalisation : quels sont les professionnels concernés ?
Encadrer les bonnes pratiques
En tant que DPO, Dominique Bricot rappelle et encadre les bonnes pratiques en matière de traitement des données personnelles. Il est en relation avec environ 200 référents départementaux, qu’il forme et réunit une fois par an pour mettre à niveau leurs compétences : "j’interviens notamment sur l’analyse d’impact préalable à la mise en place d’un traitement de données et sur l’exercice des droits complexes". Sa fonction l’amène à gérer directement les données de ces référents et celles des personnes qui exercent des droits d’accès, de modification et de suppression. Mais son rôle consiste surtout à apporter des conseils à l’ensemble du réseau sur la gestion de leurs données (données clients, données salariés, données bénévoles).
Car le DPO, en tant que tel, gère peu de données. "Il y aurait incompatibilité par rapport au RGPD si le DPO gérait les données et il ne peut intervenir directement dans le traitement de la donnée (à l’exception des DPO RSSI)". En effet, le DPO n’est pas le responsable des traitements, comme le rappelle la Cnil. La gestion des données appartient donc aux responsables de traitement qui se trouvent dans chaque entité juridique associative du réseau ADMR. "C’est ainsi que je gère les données d’environ 300 personnes sur les 4 ou 5 millions de personnes", indique Dominique Bricot. "Si le DPO ne met pas les mains dans le moteur, il a, en revanche, un rôle majeur à jouer en matière de préconisations et de vigilance".
Lire aussi : Dossier data gouvernance : prenez le pouvoir sur vos données !
Une collecte de données limitée à l’essentiel
Chez l’éditeur Tessi, la fonction de DPO est assurée par Amine Talbi, qui pilote la conformité RGPD de la société. "La gestion du cycle de vie des données repose sur une gouvernance claire, une cartographie actualisée des traitements et inclut la définition des rôles et des responsabilités ainsi que des mesures appropriées à toutes les étapes du cycle de vie des données", explique-t-il.
En raison de la sensibilité des données personnelles, des précautions particulières sont prises : "la collecte doit être transparente, limitée à l’essentiel et sécurisée (chiffrement des flux, formulaires avec Captcha). L’accès est restreint aux personnes autorisées via des contrôles stricts". Par ailleurs, les données doivent être structurées selon des formats standardisés et conformes. Leur modification doit être documentée, sécurisée et contrôlée et leur usage doit rester légitime. La conservation suit des règles précises, avec hébergement sécurisé, chiffrement des données et anonymisation. Toute transmission doit être protégée. "Ces bonnes pratiques garantissent la sécurité, la qualité et la conformité du cycle de vie de la donnée".
Côté outils, plusieurs solutions ont été déployées pour procéder au traitement des données : chiffrement des données, gestion des identités, permissions, accès et authentification multifactorielle… Sans oublier la solution Sqalia, qui permet de supprimer et d’anonymiser les données personnelles.
