Europe · Protection des données personnelles

Logiciel RGPD : le règlement découpé en exigences que l'on peut prouver.

Le règlement (UE) 2016/679 s'applique depuis le 25 mai 2018 à toute organisation qui traite des données personnelles de personnes situées dans l'Union, où qu'elle soit établie. Ses 99 articles se travaillent mal en bloc. Normetis en pré-charge 15 exigences auditables, chacune référencée sur son article.

Créer un compte

Le cadre

RGPD : Protection des données personnelles.

Toute organisation qui traite des données personnelles de résidents de l'Union européenne, où qu'elle soit établie, PME comprise.

Un règlement de principes, pas une liste technique

Le RGPD fixe des principes et des obligations documentaires, rarement des mesures techniques précises. C'est ce qui le rend difficile à suivre : il ne suffit pas de faire, il faut pouvoir démontrer. L'article 5.2 appelle cela la responsabilité du responsable de traitement.

Les pièces qui se démontrent

Registre des activités de traitement, analyse d'impact quand le traitement est susceptible d'engendrer un risque élevé, information des personnes, notification des violations à l'autorité de contrôle : ce sont des documents datés, opposables, pas des intentions. Chacun se rattache à l'exigence qu'il couvre.

Le sous-traitant a ses propres obligations

Confier un traitement à un prestataire ne transfère pas la question. Le règlement impose un encadrement contractuel de la relation, et le sous-traitant porte lui-même une part des obligations. C'est le point qui remonte le plus souvent dans les questionnaires envoyés par les clients.

Un texte européen, des marges nationales

Le règlement est directement applicable dans tous les États membres, sans loi de transposition. Chacun conserve pourtant son autorité de contrôle et ses marges de manœuvre, notamment sur les données de santé, les relations de travail ou l'âge du consentement des mineurs. Le texte est commun, son application locale ne l'est pas tout à fait.

Couverture fonctionnelle

Ce que Normetis contient pour RGPD.

Exigences pré-chargées

Ce que l'outil contient déjà

Le règlement découpé en 15 exigences auditables et sourcées.
Chaque exigence référencée sur les articles du texte officiel.
Statuts de couverture prêts à l'emploi : conforme, partiel, non couvert.

Ce que vous y faites

Analyse d'écart : Metis confronte vos documents aux exigences.
Rattachement des preuves, exigence par exigence, depuis la GED.
Un écart devient une action corrective assignée, avec échéance.

Ce que vous en sortez

Rapport de conformité RGPD : synthèse, écarts, preuves rattachées.
Plan de traitement des écarts, daté et assigné.

En pratique

Là où RGPD coûte du temps.

Ce qui bloque n'est presque jamais la connaissance du texte. C'est la trace de ce qui a été fait, et le lien entre l'exigence et la pièce qui la couvre.

Le registre vit à part du reste

Il est souvent tenu dans un fichier séparé, par une seule personne, sans lien avec les preuves ni avec le reste du dispositif. Rattaché à ses exigences, il cesse d'être un document orphelin.

Démontrer, pas affirmer

La charge de la démonstration est sur vous. Une exigence sans preuve rattachée est comptée comme un écart, pas comme un point couvert dont la pièce serait quelque part.

Le sujet retombe sans prévenir

Questionnaire client, appel d'offres, incident de sécurité, demande d'exercice de droits. Le RGPD ne revient jamais au moment choisi. Repartir d'un état à jour plutôt que d'une page blanche change la nature de l'exercice, et le temps qu'il coûte.

Ce que l'outil ne fait pas

Il ne remplace pas votre DPO ni l'analyse juridique d'un traitement.
Il ne se substitue ni à l'auditeur ni au régulateur.
Il ne constitue pas un avis juridique.

Questions fréquentes

RGPD dans l'outil, en pratique.

Normetis remplace-t-il un DPO ?

Non. L'outil ne rend pas d'avis juridique et n'apprécie pas la licéité d'un traitement, ce qui reste le travail d'un délégué à la protection des données ou d'un conseil. Il tient l'état de couverture, conserve les preuves et produit le rapport.

Pourquoi 15 exigences alors que le règlement compte 99 articles ?

Parce qu'une large part des articles porte sur les autorités de contrôle, les recours, les sanctions ou la coopération entre États, et n'a pas de traduction opérationnelle dans le plan de conformité d'une entreprise. Les 15 exigences pré-chargées portent sur ce qui se travaille et se prouve au quotidien.

Le RGPD s'applique-t-il à une entreprise africaine ?

Oui, dès lors qu'elle traite des données de personnes situées dans l'Union, par exemple en leur proposant des biens ou des services ou en suivant leur comportement. L'article 3 vise le traitement, pas le lieu d'établissement. Beaucoup d'entreprises d'Afrique francophone y sont soumises par leurs clients européens.

Et les lois nationales africaines de protection des données ?

Elles existent et ne sont pas couvertes ici. Le catalogue pré-chargé porte sur le RGPD, pas sur les lois nationales de protection des données personnelles. C'est une limite de l'outil, énoncée telle quelle.

Texte de référence : Règlement (UE) 2016/679 sur EUR-Lex.

Souvent gérés ensemble

Les organisations soumises à RGPD gèrent souvent aussi :

Les 15 référentiels couverts sont listés sur la page référentiels, et le fonctionnement général sur la page logiciel GRC.

RGPD vous attend, déjà structuré.

15 exigences auditables dès la création du compte.

Créer un compte Voir les tarifs