Le Règlement Général sur la Protection des Données (RGPD) est une cause d’interrogation et d’anxiété pour les entreprises qui doivent se conformer au règlement européen au plus tard en mai 2018. Pour les rassurer et les aider, de nombreux éditeurs de sécurité se transforment en conseillers et organisent webinaires et conférences. Ainsi, l’éditeur Sophos a parfaitement huilé la machine, et remplit les salles…
L’éditeur Sophos organisait le jeudi 18 mai une matinée pour ses clients et prospects sur le nouveau Règlement Général sur la Protection des Données (RGPD), les changements qu’ils impliquent et ce qu’ils signifient pour les entreprises. Une des salles du très chic hôtel Le Ritz, Place Vendôme à Paris, était pleine à craquer d’une bonne soixantaine d’entreprises avides de connaître en détail ce que le nouveau règlement européen allait impliquer dans leur organisation et sur les solutions techniques à mettre en place.
Durant 2 heures, Michel Lanaspèze, directeur Marketing Sophos Europe de l’Ouest, a mené la présentation et répondu aux questions sur le vif. Bien entendu, Sophos est un éditeur de solutions de sécurité et pas un cabinet de conseils juridiques, et les interprétations formulées correspondent à ce que l’éditeur pense être “une compréhension raisonnable du texte“, souligne-t-il. Au menu, le contexte historique et législatif de la réforme, le détail du règlement lui-même, les lignes directrices du G29 (groupe des Cnil européennes), les conseils de la Cnil et les mesures techniques à prendre pour être en conformité. Aux outils de sécurité – la protection des données est “plus qu’une mesure de chiffrement mais une gestion des risques” selon Michel Manaspèze – doivent s’associer en particulier la nomination d’un DPO (Data Protection Officer, successeur du CIL, le Correspondant Informatique et Libertés) pour les entreprises du secteur public et pour les entreprises qui font du traitement de données à grande échelle, la mise en place d’un registre des traitements et la réalisation d’études d’impact si nécessaire.
Une conférence qui a permis de faire le point sur des détails importants. Ainsi de la notification en cas de perte de données dans les 72h à la Cnil pour la France, mais la non nécessité de prévenir les utilisateurs qui se sont fait voler leurs données personnelle si ces dernières son chiffrées ou dissimulées. Pour les entreprises de plus de 250 salariés, le suivi par le responsable de traitement des garanties de protection apportées par un sous-traitant ou encore d’un registre des activités de traitement. Enfin, l’obligation d’analyses d’impact pour des fichiers de données de taille importante.
Au passage, Michel Lanaspèze a révélé quelques chiffres d’une étude menée par l’éditeur et qui n’a pas encore été dévoilée officiellement. En ce qui concerne la France, l’étude met en avant une implication qui est plus forte qu’attendue. La moitié des décideurs impliqués comprend l’importance du règlement et de la protection des données. Ils sont 90 % à la considérer comme une priorité. Les entreprises française estiment à 67 % être prêtes en mai 2018. Mais, comme pour d’autres pays européens, les freins à la mise en place du RGPD concernent essentiellement les ressources humaines et le droit à l’oubli, jugé difficile à mettre en œuvre.
