02 / Conformité et certification
Le RGPD, là où les documents rencontrent les serveurs
Nous vous aidons à vérifier que ce que vos registres disent des données personnelles correspond à ce que vos systèmes en font réellement, et que la sécurité qui les entoure tiendrait face à une question de l'autorité de contrôle.
Présentation
Ce que le RGPD vous demande
Le règlement général sur la protection des données (RGPD), règlement (UE) 2016/679, s'applique à tout établissement dans l'UE et à quiconque traite des données personnelles de personnes situées dans l'UE pour leur proposer des biens ou des services ou suivre leur comportement. Il vous demande de savoir ce que vous traitez et pourquoi, de le protéger par des mesures techniques et organisationnelles appropriées, et de pouvoir le démontrer.
Une grande partie de cette démonstration est documentaire : registre des activités de traitement, analyses d'impact lorsque le traitement est susceptible d'engendrer un risque élevé, contrats avec les sous-traitants, et une manière de traiter les violations et les demandes des personnes concernées. Une grande partie du risque est technique. Nous examinons les deux et vérifions qu'ils concordent.
Black Fox ne fournit pas de conseil juridique et n'est pas votre délégué à la protection des données. Les questions de base légale, de transferts ou d'interprétation relèvent de votre conseil ou de votre DPO. Nous travaillons à leurs côtés sur la sécurité et les preuves.
À qui s'adresse ce service
Les organisations de toute taille qui traitent des données personnelles de clients, de salariés ou d'utilisateurs dans l'UE, et les sous-traitants qui doivent montrer à leurs clients que les données sont entre de bonnes mains. Également les équipes qui se préparent à un audit d'un client ou des auditeurs officiels.
Le travail, du cadrage aux preuves.
Ce que nous faisons
Registre des activités de traitement
Nous vous aidons à constituer ou à revoir votre registre, pour qu'il décrive les systèmes, destinataires et durées de conservation que vous avez réellement, pas ceux d'il y a trois réorganisations.
Analyses d'impact
Un appui pour les AIPD des traitements susceptibles d'engendrer un risque élevé : décrire le traitement, évaluer les risques pour les personnes et choisir les mesures qui les réduisent.
Sécurité du traitement
Une revue des mesures techniques et organisationnelles autour des données personnelles, par exemple contrôle d'accès, chiffrement, journalisation, sauvegardes et tests, vérifiées sur les systèmes eux-mêmes.
Sous-traitants et contrats
Une revue de vos sous-traitants et sous-traitants ultérieurs, des contrats conclus avec eux, et de l'adéquation entre leur sécurité et ce que le contrat promet.
Gestion des violations
Une procédure pour détecter, évaluer, documenter et notifier les violations de données personnelles, avec un exercice pour voir si elle fonctionne un mauvais jour.
Droits des personnes
Un processus praticable pour l'accès, la rectification, l'effacement et les autres droits, y compris la façon de retrouver les données d'une personne dans tous vos systèmes.
Déroulement de la mission
Lancement
Nous convenons du périmètre, des interlocuteurs et de l'identité de votre conseil ou de votre DPO, et signons d'abord un accord de confidentialité si vous le souhaitez.
État des lieux
Entretiens, revue documentaire et examen des systèmes où vivent réellement les données personnelles.
Analyse d'écarts
Une comparaison de votre documentation et de vos mesures avec les exigences du règlement, avec à la clé une liste d'écarts priorisée.
Accompagnement à la remédiation
Nous travaillons avec vos responsables sur le registre, les AIPD, les contrats de sous-traitance, les mesures de sécurité et les processus de violation et de demandes.
Tests
En option, des tests techniques des systèmes qui détiennent les données les plus sensibles, avec preuves de concept à l'appui.
Restitution
Recommandations, rapport de synthèse avec appréciation des risques et rapport technique, puis une réunion de clôture pour recueillir votre avis.
Ce que vous recevez
- Analyse d'écarts RGPD et plan d'action priorisé
- Registre des activités de traitement revu ou créé
- Appui aux AIPD et analyses réalisées si nécessaire
- Revue de la sécurité du traitement avec constats techniques
- Revue des sous-traitants et liste de contrôle contractuelle
- Procédures de gestion des violations et des demandes des personnes
Black Fox vous prépare et vous accompagne, mais ne délivre pas elle-même de certificats, de rapports d'attestation ni d'évaluations officielles. Lorsqu'un certificat ou un rapport est l'objectif, nous coordonnons l'audit avec nos partenaires de certification de longue date ou un organisme de votre choix, pour que le travail se déroule de bout en bout dans une seule mission.
Questions
Pouvez-vous être notre DPO ?
Pas dans le cadre de ce service. Nous travaillons avec votre DPO, ou avec la personne qui gère la protection des données chez vous, sur la sécurité et la documentation. Pour désigner un DPO ou obtenir un conseil juridique, adressez-vous à un spécialiste ou à votre conseil.
Dans quel délai notifier une violation ?
Le responsable du traitement notifie la violation à l'autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si elle n'est pas susceptible d'engendrer un risque pour les personnes. En cas de risque élevé, les personnes concernées doivent aussi être informées.
Existe-t-il une certification RGPD ?
Le règlement prévoit des mécanismes de certification approuvés, mais ce n'est pas la voie habituelle et il n'existe pas de certificat RGPD unique. Notre certificat de mission réussie atteste qu'une mission a eu lieu. Ce n'est pas une certification de conformité.
Avons-nous besoin d'une AIPD ?
Lorsque le traitement est susceptible d'engendrer un risque élevé pour les personnes, par exemple un traitement à grande échelle de données sensibles ou une surveillance systématique. Les autorités de contrôle publient des listes de traitements concernés. Nous vous aidons à décider et, si besoin, à la mener.
Services associés
- Conformité et certificationISO/IEC 27701ISO/IEC 27701 avec Black Fox Security : périmètre du PIMS, rôles de responsable de traitement et de sous-traitant, risques vie privée et préparation à la certification.
- Gouvernance et risquesAudit de sécurité de l'informationAudits indépendants de sécurité de l'information par Black Fox Security selon l'ISO/IEC 27001, la 27002, le RGPD, PCI DSS, vos politiques ou un questionnaire client.
- Gouvernance et risquesGestion des risques tiersRisques fournisseurs avec Black Fox Security : inventaire, classement, questionnaires, revue des preuves et clauses contractuelles, en lien avec NIS 2 et DORA.
- Conseil et réponseInvestigation numérique et réponse à incidentForensique et réponse à incident par Black Fox Security : analyse post-incident, réseau et stockage, rétro-ingénierie, récupération de données, exercices.
Vérifiez ce que vos registres promettent
Dites-nous quelles données personnelles vous traitez et où elles se trouvent. Nous les comparerons à ce que disent le règlement et vos documents.