RGPD : vers un écosystème de la gestion de la donnée

Alors que certaines entreprises vont jusqu'à fonder leur modèle sur la valeur de leurs données, il est plus que jamais nécessaire d'en maîtriser la circulation et de mettre en place une véritable gouvernance de la donnée. Le nouveau règlement européen de gestion des données personnelles (RGPD), entré en application le 25 mai dernier, en est une brique essentielle. "L'Europe a voulu un texte unique pour éviter une fragmentation des textes au niveau des différents pays membres. Et, s'il n'est pas si facile d'accès en première lecture, par ce qu'il a été écrit sur plusieurs années, il concerne tous les acteurs économiques", rappelle Sophie Nerbonne, directrice de la conformité à la CNIL, invitée par le CNA dans le cadre des derniers Jeudis de l'expertise achats qui ont eu lieu la veille de l'entrée en vigueur du RGPD. "Nous sommes aux prémices d'une société nouvelle où la notion même de vie privée a évolué et implique désormais des enjeux économiques, sociétaux et sociaux."

Une réglementation qui fait sens donc, d'autant que les Etats-Unis viennent de voter le Cloud Act. "Nous avons une arme juridique mais la crédibilité du RGPD tient dans sa capacité à la faire appliquer, souligne Sophie Nerbonne. L'Europe a porté un message fort maintenant il faut passer à l'application mais on n'y arrivera qu'en s'appuyant sur un écosystème impliquant tant les organes de contrôle gouvernementaux des Etats membres que les acteurs économiques aux-mêmes afin de créer un outil de gouvernance innovant et durable dans le temps." Le terme est lâché : écosystème.

Plus qu'un organe de contrôle qui réforme par la sanction, la CNIL préfère la voie de l'accompagnement et de la sensibilisation. "Bien sûr le RGPD inclut le renforcement des sanctions pour éviter un arbitrage des risques pris trop à la légère. Mais nous ambitionnons d'ancrer la CNIL comme facilitateur de la transition numérique et souhaitons nous appuyer sur toutes les têtes de réseaux", indique Sophie Nerbonne. C'est pourquoi elle s'adresse à l'ensemble des métiers de l'entreprise qui s'intéressent aux données, dont la fonction achats. "Le RGPD ne peut fonctionner qu'en coopération et ne peut pas être supporté par un seul service", estime-t-elle.

Bien sûr son interlocuteur privilégié sera le DPO mais la CNIL vise l'intégration d'une logique globale de responsabilisation des entreprises. Elle a donc développé un certains nombre d'outils dont certification et packs conformité font partie. La CNIL a également publié un guide pratique avec des exemple de clauses contractuelles à intégrer aux contrats. Mais c'est surtout sur le développement de codes de conduites par secteur que la CNIL mise. "Des codes de conduite dans le secteur de la banque, de l'assurance, de l'automobile intelligente et du smart grid existent déjà mais nous comptons en créer d'autres. C'est un très bon outil car ce sont les acteurs des filières qui sont moteurs sur la question et c'est ce qui donnera un effet démultiplicateur dans l'application du RGPD", conclut la directrice de la conformité de la CNIL.