Deux ans après le RGPD, une norme vient en aide aux entreprises
Depuis l’entrée en vigueur dans l’UE du règlement européen sur la protection des données (RGPD) en mai 2018, beaucoup d’entreprises peinent à se mettre en conformité. Non pas par paresse et désintérêt, mais par difficultés. L’Organisation internationale de normalisation (ISO) leur vient en aide.
Pour beaucoup d’entreprises confrontées à la gestion et à la protection des données personnelles de leurs clients, le casse-tête dure depuis bientôt deux ans. La raison? Le 25 mai 2018 le règlement européen sur la protection des données (RGPD) est entré en vigueur dans l’Union. Il vise ni plus ni moins à redonner le pouvoir aux citoyens de l’UE en matière de données personnelles. Dans les grandes lignes, la RGPD accorde davantage de droits aux particuliers comme le droit à l’oubli et à la portabilité.
En d’autres termes, chaque européen peut désormais exiger de connaître quelles entreprises collectent ses données, dans quel cadre et à quelles fins. Il peut décider de transférer ses informations personnelles à la plateforme ou l’entreprise de son choix. Prenons l’exemple du client d’Amazon qui veut faire ses courses en ligne sur Zalando. Ce dernier pourra transférer ses données de l’un à l’autre (portabilité) et d’exiger qu’Amazon efface toutes ses données (droit à l’oubli). Où est le mal?
Un réveil tardif
Si le règlement donne le pouvoir aux citoyens, il contraint les entreprises à s’assurer du consentement éclairé et informé des individus quant à la collecte et au traitement de leurs données. Un changement de mentalités et de pratiques dont les entreprises peinent depuis à prendre la mesure. En effet, l’échéance du 25 mai 2018 était connue depuis longtemps. Mais au moment de la mise en application du RGPD, seule une poignée d’entreprises qui gèrent, collectent et monétisent les données personnelles se sont mises en conformité. Encore aujourd’hui.
Ne leur jetons pas la pierre. Le RGPD est un texte complexe, sujet à de multiples interprétations. De plus, les autorités en charge de la question ont brillé par leur manque de communication. Du moins, en ce qui concerne les sociétés hors de l’UE. Difficile dans ce contexte de mobiliser les entreprises qui peinent à s’y retrouver. En Suisse particulièrement.
Car si le règlement est européen, il concerne aussi les entreprises suisses – les TPE comme les multinationales. Mais lesquelles? Pour quels services? Dans quel secteur? Et qu’entend-on par données personnelles ? Comment traduire ce changement législatif dans les faits? Quels sont les coûts d’une mise en conformité au règlement européen?
Un changement culturel profond
L’Organisation internationale de normalisation (ISO) vient en aide aux entreprises afin qu’elles respectent davantage le nouveau règlement. Elle vient de publier une nouvelle norme ISO/IEC 27701. Celle-ci précise les exigences et les lignes directrices à suivre par tout organisme en matière de management de la vie privée à l’ère numérique, et de sa protection. Cette norme a donc pour objectif la sécurité de l’information, la cybersécurité et la protection de la vie privée.
En outre, elle accompagne les entreprises de toutes tailles en difficulté avec l’application du RGPD dans la mise en place d’une stratégie certifiante de leurs différents organismes. Mais pourquoi? Parce que le RGPD n’est pas un simple alibi protégeant le citoyen-consommateur. Il s’agit d’un règlement qui chamboule en profondeur les processus, le management et la politique de sécurité des entreprises. En bref, c’est un changement culturel profond. Une vraie opportunité pour les entreprises suisses de s’adapter à la nouvelle donne numérique pour mieux l’affronter.
