Contenu du sommaire : Entre contraintes et innovation : les défis de la mise en conformité

La loi Informatique et Libertés, adoptée le 6 janvier 1978 n'existe plus. En vigueur en France depuis plus de quarante ans, ce texte a longtemps été salué pour la clarté, la clairvoyance et la forte adaptabilité de ses dispositions qui, interprétées par la Commission nationale de l'informatique et des libertés (CNIL), ont su faire la preuve de leur efficacité jusque dans les années 2000 sans adaptation réglementaire notable. Néanmoins, pour tenir compte de la place désormais prépondérante de l'informatique et des technologies avancées dans nos vies quotidiennes, le législateur européen a souhaité, au travers de l'adoption du Règlement général sur la protection des données (RGPD), renforcer le cadre juridique applicable en France et en Europe.

Le RGPD introduit de multiples mesures contraignantes, au bénéfice des personnes concernées - à savoir les personnes dont les données sont traitées, suscitant ainsi un réel changement de paradigme dans la manière d'appréhender le traitement de données personnelles européennes. Cette visée protectrice soulève naturellement la question de la redéfinition de l'étendue de la responsabilité des acteurs appelés à effectuer un traitement de données personnelles.

La Commission nationale de l'informatique et des libertés (CNIL) accompagne les acteurs professionnels dans la mise en conformité au RGPD. Un an après la mise en vigueur le 25 mai 2018, nous avons demandé à son directeur de la conformité de faire le point sur les grands enjeux pour les organisations, les missions et les actions de la CNIL, le dispositif d'évaluation au niveau national et européen, le déroulement en France, les freins, et les clés d'une bonne gouvernance en la matière.

Le Marché unique numérique (MUN), lancé en 2015, vise d'abord à stimuler l'offre de services dans l'ensemble de l'Union européenne, via la transition numérique vers une société digitale inclusive, grâce au développement de standards pour l'interopérabilité sur la Toile. En matière de services à la personne, le MUN doit notamment aider les pays de l'UE à répondre aux défis de santé publique en favorisant l'accès numérique des patients et des professionnels aux données de santé. Mais l'ouverture du MUN en ce domaine se heurte à de nombreuses barrières, tant opérationnelles que réglementaires, qui freinent l'échange des données de santé entre ces pays. Si le Règlement sur l'accès aux données électroniques (UE2018/1807) a pour objet la levée de ces barrières, le Règlement général pour la protection des données (UE2016/679) réaffirme le caractère hautement sensible des données de santé et la nécessité de les sécuriser par des actions spécifiques.

Le Règlement général sur la protection des données (RGPD) est entré en application le 25 mai 2018. Plaçant l'Europe à l'avant-garde de la protection des données à caractère personnel, il constitue à ce titre une avancée majeure en la matière. Il serait cependant dommage de s'arrêter en si bon chemin, en pensant que les questions de privacy sont désormais réglées. En particulier, ce nouveau règlement ne doit pas nous dissuader de nous interroger en profondeur sur la question des identités, dont les contours se sont redéfinis à l'ère numérique : il convient alors de conserver une approche critique envers le RGPD et ses propres limitations.

Dans une société où la donnée est un élément de plus en plus central, la mise en place du RGPD sera portée par une transition numérique - qui risque d'être longue et coûteuse, et par la mise à disposition de ressources claires et complètes auprès des salariés. Le point de vue d'une consultante spécialisée dans ces questions.

Comment les collectivités se sont-elles approprié le RGPD ? Quels sont les enjeux d'un accompagnement pour favoriser leur conformité ? Retour sur les perceptions, les réalités du terrain et l'accompagnement de proximité fourni par le Centre de gestion du Pas-de-Calais (CdG62). Au programme : adaptation constante, mutualisation et aspects managériaux dans la gestion du projet.

Le Délégué à la protection des données (DPD) à l'Université travaille en réseau avec une diversité d'acteurs : ses pairs dans d'autres universités et institutions, mais aussi à l'interface entre tous les acteurs de l'université elle-même : les enseignants, les étudiants et les administratifs. Fabrice Leclere, DPD de l'Université de Paris 8, nous explique comment il contribue à mettre en œuvre le RGPD à l'Université.

Depuis l'entrée en vigueur en mai 2018 du Règlement général sur la protection des données (RGPD), la protection des données personnelles est une obligation pour toutes les entreprises de l'Union européenne. Comment faire face à cet enjeu majeur, difficile à traiter ? Plusieurs mesures techniques sont prévues, en particulier l'anonymisation et la pseudonymisation.

En tant qu'association des professionnels de l'information et organisme de formation, l'ADBS a à cœur de se montrer exemplaire dans la mise en conformité au Règlement général sur la protection des données (RGPD). L'enjeu est de sécuriser le traitement des données mais aussi de responsabiliser en amont tous les acteurs qui gèrent ces données, pour assurer la pérennité de la démarche. Nous avons demandé au Cabinet TOUATI – LA MOTTE ROUGE Avocats, qui accompagne l'ADBS dans sa mise en conformité, de témoigner de son expérience auprès des organisations, et de l'ADBS en particulier.

S'il est bien une personne grâce à laquelle un organisme a une chance d'atteindre la conformité au Règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés, c'est bien le Délégué à la protection des données (DPD, ou DPO pour Data Protection Officer). Le RGPD lui réserve trois articles (37, 38 et 39) et un considérant (le 97). Véritable chef d'orchestre des données, il peut créer de la valeur en aidant les organisations, publiques ou privées, à atteindre leurs objectifs stratégiques.

Avec plus de 450 apprenants formés chaque année, le CNAM est désormais le premier organisme public de formation français au droit à la protection des données personnelles. Le certificat de spécialisation Délégué à la protection des données qu'il délivre atteste, à l'issue d'une formation de 100 heures de cours, d'un niveau de connaissance minimum de la réglementation applicable (RGPD et loi française). Son objectif est de permettre à tout professionnel – juriste ou non juriste – de disposer des bases théoriques et pratiques nécessaires à l'exercice des missions de DPD/DPO ou plus largement de « référent » en protection des données.

Le Mastère Spécialisé® Data Protection Management (MS DPM) est une formation professionnalisante très complète et originale, qui s'effectue en alternance. Ce diplôme, qui existe sous sa forme actuelle depuis 2016, a été accrédité par la Conférence des Grandes Écoles (CGE) en tant que Mastère Spécialisé® en décembre 2017, et a obtenu le Prix de l'innovation, Eduniversal 2018. Xavier Strubel, son créateur et directeur, développe ici les enjeux, les objectifs, les prérequis, le programme et les spécificités de cette formation.

Comment définir et mettre en œuvre les durées de conservation des données exigées par le RGPD ? Les bonnes pratiques d'archivage au service de l'entreprise, fondées sur des concepts archivistiques adaptés à l'environnement numérique, apportent des réponses.

Comment populariser le RGPD au sein de son entité ? Comment déployer des mesures pérennes qui s'insèrent dans l'existant ? Alors que le RGPD souffle sa première bougie, les actions de mise en conformité au sein des entreprises bouleversent les pratiques et usages des opérationnels. Sylviane Ruiz, Data Privacy Manager (DPM) au sein d'Axima Concept, entreprise de génie climatique, réfrigération et sécurité incendie, nous fait part de son analyse et de son expérience. Elle nous donne des clés pour réussir la mise en conformité.

Ce travail interroge la classe inversée du point de vue de la médiation numérique des savoirs qui la caractérise. Il analyse les modes d'appropriation de l'information numérisée contenue dans une capsule vidéo visionnée par les apprenants en amont de la classe et explore la manière dont la classe inversée peut favoriser la construction du sens et des connaissances. L'article mobilise et privilégie les concepts d'information, d'appropriation et de médiation issus des sciences de l'information et de la communication (SIC). La partie empirique du travail se fonde sur le croisement de données quantitatives et qualitatives recueillies lors d'une séquence d'enseignement sur le concept « information ». Les résultats présentent des modes d'appropriation multiples de l'information numérisée contenue dans la capsule vidéo mais soulignent un faible état de connaissances construites lors des activités réalisées à la maison.

Quelle est la place de l'information dans les pratiques professionnelles des diététicien.ne.s ? Nous présentons une étude exploratoire sur ce sujet, qu'il s'agisse de s'informer soi-même ou d'informer les patients, malades ou en bonne santé, sur des questions d'alimentation et de nutrition. Une enquête par questionnaire a été conduite auprès de 44 professionnels de la diététique de la région Auvergne-Rhône-Alpes, adhérents de l'Association française de diététique et nutrition (AFDN). Les résultats montrent une diversité de pratiques informationnelles dans un contexte marqué par une forte spécialisation, qui nécessite de s'informer dans des sources très spécialisées. Paradoxalement, alors que les diététiciens détiennent un savoir de plus en plus spécialisé, ils sont interrogés sur des questions très grand public : les demandes d'informations de la patientèle portent souvent sur l'actualité, ce qui induit des tensions à différents niveaux.