Registre des activités de traitement en PME : la séquence pour le lancer et relier les bons contrôles

01

Le point de départ : le registre, puis les contrôles

Lorsqu'une PME doit démarrer la protection des données à partir de zéro, il est utile de commencer par un registre des activités de traitement listant la finalité, les catégories de données et les destinataires de chaque activité, puis d'ajouter des mesures organisationnelles (formation, politiques internes, classification des informations) et des mesures techniques (authentification, chiffrement, sauvegardes, limitation des accès). Le niveau de sécurité requis reste le même indépendamment de l'équipement utilisé, y compris les appareils personnels autorisés à accéder au réseau de l'entreprise.

02

Pourquoi partir du registre, pas d'une liste d'outils

Le registre offre une vue d'ensemble des activités qui traitent des données personnelles et relève de la responsabilité du responsable de l'organisation ; il doit rester à disposition de l'autorité de protection des données du pays de l'EEE où elle opère, si demandé. Le construire en premier aide à clarifier quels risques couvrir réellement : d'une atteinte isolée à la disponibilité, l'intégrité ou la confidentialité des données jusqu'à la compromission complète du système d'information par intrusion ou virus.

03

La séquence pour lancer le registre et les contrôles associés

Étapes

1. Lister dans le registre chaque activité qui traite des données personnelles, en indiquant la finalité, les catégories de données et les destinataires avec accès, comme la paie ou la gestion des badges.
2. Noter, lorsque possible, la période de conservation et une description générale des mesures de sécurité déjà en place pour chaque activité.
3. Définir une politique interne contraignante décrivant les règles de protection des données et de sécurité, intégrée dans un règlement interne.
4. Gérer les autorisations d'accès avec des identifiants uniques, une authentification et un réexamen périodique des permissions.
5. Former les gestionnaires de données et protéger les appareils, y compris les appareils personnels autorisés, par chiffrement, sauvegardes et antivirus à jour.

04

Exemple hypothétique : un petit cabinet de comptabilité

Un cabinet hypothétique qui gère la paie de quelques clients pourrait commencer par enregistrer cette activité avec sa finalité, les catégories de données traitées et qui y a accès. Si un collaborateur consulte les données depuis son propre ordinateur portable personnel, le cabinet peut appliquer la même logique suggérée par le CEPD : autoriser l'accès uniquement avec une authentification dédiée et chiffrer les données sur l'appareil, en maintenant le même niveau de protection que pour les ordinateurs de l'entreprise.

05

Checklist pour vérifier que le registre est opérationnel

• Chaque activité qui traite des données personnelles est-elle listée dans le registre avec finalité et catégories de données ?
• Les destinataires ayant accès à chaque activité sont-ils correctement indiqués ?
• La période de conservation, lorsque possible, est-elle notée pour chaque activité ?
• Existe-t-il une politique interne contraignante connue de tous les gestionnaires de données ?
• Les autorisations d'accès obsolètes sont-elles supprimées et les autorisations actives réexaminées périodiquement ?

06

Ce qu'un logiciel de gestion peut soutenir

Un partenaire logiciel peut aider à structurer les informations exigées par le registre : liste des activités de traitement, finalité, catégories de données, destinataires internes et éventuelles périodes de conservation. Il s'agit de choix opérationnels que l'entreprise peut configurer avec son fournisseur, et non d'automatismes juridiques : des rôles d'accès définis, la traçabilité des modifications d'autorisations et un point de révision périodique restent des décisions organisationnelles de la direction.

07

Questions fréquentes

Qui doit tenir le registre des activités de traitement ? La responsabilité incombe au responsable de l'organisation, et le registre doit rester à disposition de l'autorité de protection des données du pays de l'EEE où elle opère, si demandé.

Les appareils personnels des employés doivent-ils être protégés comme les appareils de l'entreprise ? Oui : le niveau de sécurité des données personnelles traitées doit être le même indépendamment de l'équipement utilisé, y compris les appareils BYOD autorisés.

Les activités occasionnelles doivent-elles toujours être enregistrées ? Les organisations de moins de 250 personnes ne sont pas nécessairement tenues de mentionner les activités purement occasionnelles, comme les données traitées pour des événements ponctuels.

08

Prochaine étape pratique

Choisissez une seule activité de l'entreprise qui traite des données personnelles, ajoutez-la au registre des activités de traitement et vérifiez qui y a réellement accès aujourd'hui, avant de passer à la suivante.