Formation RGPD

Tu es assis(e) à ton bureau. Devant toi, sur l'écran, une liste de clients. Sur ton portable, tu vois un e-mail que tu t'apprêtes à envoyer. En arrière-plan, tu parles avec un collègue d'un cas en cours. Une journée de travail tout à fait normale. Et c'est justement pour ça que c'est facile de l'oublier. À chacun de ces moments, tu traites des données à caractère personnel. Ce sont des données sur des personnes, sur des clients, sur des collaborateurs, sur des interlocuteurs, sur des personnes qui nous font confiance. Et la protection des données signifie que nous traitons ces données de manière à ce qu'elles restent protégées. Pas seulement le service juridique, pas seulement le délégué à la protection des données, mais nous tous. Le RGPD stipule à l'article 4, point 1, que les données à caractère personnel sont toutes les informations se rapportant à une personne physique identifiée ou identifiable. En termes simples, dès qu'une personne peut être reconnue directement ou indirectement, il s'agit de données à caractère personnel. Il ne s'agit pas seulement du nom. C'est aussi un numéro de téléphone, une adresse e-mail, un numéro de client, un numéro de contrat, une note de conversation, une photo ou une information qui, combinée à d'autres, permet de savoir de qui il s'agit.

Le RGPD énonce à l'article 5 plusieurs principes, par exemple la licéité, la limitation des finalités, la minimisation des données et la confidentialité. Au quotidien, cela signifie que nous n'utilisons les données à caractère personnel que si nous y sommes autorisés, uniquement pour la finalité prévue, seulement dans la mesure nécessaire et de manière à ce que les personnes non autorisées n'y aient pas accès. Cela peut paraître abstrait. Mais au quotidien, cela se manifeste le plus souvent dans des situations très simples. Première situation : le mauvais destinataire. Tu écris un e-mail. Le programme suggère automatiquement une adresse. Tu cliques rapidement pour continuer et soudain, des données à caractère personnel se retrouvent chez quelqu'un qui n'aurait pas dû les recevoir. Cela peut constituer une violation de la protection des données à caractère personnel selon l'article 4, point 12 du RGPD, c'est-à-dire, par exemple, une divulgation non autorisée. C'est pourquoi il faut s'arrêter un instant avant d'envoyer, vérifier le destinataire, vérifier les pièces jointes, vérifier le contenu. Ces deux secondes peuvent empêcher un incident de protection des données.

Deuxième situation : le mauvais endroit. Les données à caractère personnel doivent être conservées dans les systèmes autorisés de l'entreprise. Pas sur des clés USB privées. Pas dans des boîtes e-mail privées. Pas dans des messageries privées. Pas dans des services cloud non autorisés. L'article 32 du RGPD oblige les entreprises à protéger les données à caractère personnel par des mesures techniques et organisationnelles appropriées. Si les données se retrouvent dans des endroits non prévus, cette protection peut être perdue. C'est pourquoi, lorsque tu stockes, partages ou transfères des données, demande-toi un instant : est-ce le bon endroit, autorisé pour cela ? Troisième situation : l'accès non protégé. Un écran visible par d'autres. Une conversation téléphonique avec des données client dans un café. Des documents laissés ouverts sur le bureau. Ici aussi, il s'agit de confidentialité. L'article 5, paragraphe 1, point f) du RGPD stipule que les données à caractère personnel doivent être protégées contre tout accès non autorisé. En termes simples, tout le monde n'est pas autorisé à tout voir ou à tout entendre.

C'est pourquoi il faut verrouiller les écrans, ne pas avoir de conversations avec des données à caractère personnel en public, ne pas laisser de documents à la vue de tous. Si tu as un doute, une question simple peut t'aider. Ai-je le droit d'utiliser ces données pour cette finalité spécifique et l'autre personne a-t-elle le droit de voir cette information ? Si tu hésites, ne continue pas comme si de rien n'était. Demande à ton supérieur hiérarchique ou au délégué à la protection des données. Tu trouveras les coordonnées sur la plateforme d'apprentissage. Et que se passe-t-il si quelque chose tourne mal ? Un e-mail a été envoyé au mauvais destinataire. Un appareil a été perdu. Un document était visible par des personnes non autorisées. Quelqu'un y a eu accès alors qu'il n'en avait pas le droit. Dans ce cas, une seule règle s'applique : signaler immédiatement. Ne pas attendre. Ne pas dissimuler. Ne pas d'abord vérifier longuement soi-même. Ne pas se taire par honte. L'article 33 du RGPD stipule que, en cas de violation de la protection des données à caractère personnel, le responsable du traitement la notifie à l'autorité de contrôle compétente dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques.

Lorsqu'un risque vraisemblablement élevé existe, une notification aux personnes concernées peut en outre être requise conformément à l'article 34 du RGPD. Pour toi, au quotidien, cela signifie : signale immédiatement tout incident potentiel en interne. De préférence par téléphone au délégué à la protection des données ou via le canal de signalement prévu à cet effet. Tu trouveras plus d'informations sur notre plateforme d'apprentissage et sur le portail libre-service. Plus l'incident est connu tôt, mieux l'entreprise peut réagir. Au final, il s'agit d'une attitude simple. Les données à caractère personnel ne sont pas des informations quelconques. Ce sont des informations sur des personnes. Quiconque travaille avec elles a une responsabilité. Au quotidien, la protection des données signifie : vérifier rapidement, agir consciemment et signaler immédiatement si quelque chose tourne mal. Si tout le monde a ce réflexe, les données à caractère personnel resteront là où elles doivent être : protégées.