Les entreprises se sont-elles mises au diapason des nouvelles règles européennes de sécurité et de protection des données ? Où en sont-elles dans leurs chantiers ? Wavestone, cabinet de conseil indépendant en France, a interrogé plus de 20 grands comptes présents internationalement dans de multiples secteurs (banque, assurance, transports, énergie, services…), et publié un bilan de leur état d’avancement.
Les acteurs impliqués
Les programmes de mise en conformité impliquent très largement les entreprises, de quelques dizaines à quelques centaines d’acteurs à chaque fois. Les charges consolidées entre ces acteurs vont de 3 à 4 ETP (équivalent temps plein) pour les environnements les plus petits et les plus conformes, et jusqu’à plusieurs dizaines d’ETP pour les environnements les plus complexes et les plus éloignés de la cible.
L’IT et la sécurité prennent en charge 40 % du programme RGPD, mais « contrairement à certaines idées préconçues, la charge pour les équipes juridiques et sécurité reste limitée au regard de la charge globale », indique Raphaël Brun, manager expert de la conformité RGDP, chez Wavestone.
Des investissements de 1 à 50 millions d’euros
Les programmes RGPD se chiffrent aujourd’hui pour de grands groupes internationaux dans des fourchettes allant de 1 à 5 millions d’euros pour les organisations manipulant un nombre raisonnable de données personnelles et peu mobilisé sur le Big Data ou le profiling ; et jusqu’à des fourchettes allant de 20 à 50 millions d’euros lorsque que l’entreprise a plusieurs métiers et de très nombreuses entités/filiales.
« Le facteur de coût le plus important est relatif aux nombres d’applications métier à faire évoluer, chacune d’entre elle pouvant nécessiter des investissements de plusieurs dizaines, voire plusieurs centaines de milliers d’euros », explique Raphaël Brun.
5 points à traiter en priorité pour accélérer la conformité
Que quel que soit le contexte, le secteur d’activité, la nature des données manipulées ou le niveau de conformité existant, ces 5 points durs ressortent chez la majorité des entreprises analysées :
- l’application des délais de rétention et du droit à l’oubli au sein des systèmes informatiques existants ;
- la mise en conformité des nombreux contrats existants ;
- la mise en œuvre d’une méthodologie simple d’accompagnement des projets (Privacy By Design / Privacy Impact Assessment) ;
- la mobilisation des rares ressources expertes du sujet à même de contribuer aux chantiers
- l’organisation de l’équipe DPO.
Des chantiers qui ne seront pas terminés en mai 2018
Les programmes ont mis du temps à se lancer, et la prise de conscience des impacts du règlement, de la taille des programmes et des budgets à déployer en a été retardé. Pour autant, depuis le début de l’année 2017, de nombreux programmes sont à présent dans leur phase de remédiation et des premières solutions émergent. Toutefois, tous les chantiers ne pourront être terminés pour mai 2018. Pour Wavestone “Les grands comptes internationaux ne seront donc pas tous à 100 % conformes en mai 2018, mais les actions majeures et les risques les plus forts seront certainement couverts“.
Auteur : Pierre Saire
