> Les démarches de privacy by design et de security by default impliquent une modification profonde des outils de collecte de données utilisés par les entreprises. Quelles démarches le Daf doit-il entreprendre auprès de ses éditeurs de logiciels?

L'entreprise doit dès à présent interroger ses fournisseurs, qu'il s'agisse des éditeurs logiciels, des éditeurs de SaaS et autres services cloud, et des ESN qui interviennent en son sein pour déployer qui un ERP, qui un CRM, qui un système de communications unifiées, afin de connaître leur niveau d'expertise et de conformité au RGPD. Mais on ne doit pas s'illusionner: ces ESN ne sont pas encore toutes conformes, et elles-mêmes doivent investir un temps et une énergie considérable pour actualiser leurs organisations et leurs produits. Et l'entreprise cliente elle-même ne peut se contenter de s'en remettre aux travaux de son fournisseur (éditeur ou ESN) car elle-même doit adopter des processus et des règles internes de protection des données personnelles, indépendamment des produits acquis.

Les parties doivent dialoguer et ne pas s'en tenir à des clauses monolithiques dans les contrats

Ce recâblage va en effet impacter les modes d'utilisation par le personnel des outils qui leurs sont confiés, et modifier les règles de confidentialité des données au sein de l'entreprise. À l'instar de la coresponsabilité voulue par le RGPD entre "responsables de traitements" et "prestataires sous-traitants", une "coresponsabilité" doit advenir et implique donc une réflexion conjointe des parties dans les contrats, et une démarche de mise en conformité progressive. Car au-delà de cette coresponsabilité, le primat du client qui décide de la nature et de la finalité de ses traitements, et le conseil dû par le professionnel, restent de leurs responsabilités respectives. Les parties doivent donc abondamment dialoguer et ne pas s'en tenir à des clauses monolithiques dans les contrats, qui pour l'heure ne rendraient compte qu'imparfaitement de la réalité de la protection des données personnelles.

> Qu'en est-il des données personnelles collectées avant l'entrée en vigueur du RGPD?

Elles devront clairement être traitées à l'avenir conformément aux nouvelles exigences du RGPD. C'est notamment pour cela que le Règlement a accordé un délai de 2 ans à tous les acteurs du marché pour se mettre en conformité: demain, toutes les données personnelles traitées dans l'entreprise devront bénéficier des règles du privacy by design, du security by default, et toutes les personnes physiques concernées (prospects, clients, fournisseurs, salariés...) devront bénéficier des nouveaux droits mis en place.

Il faudra donc prévoir des vagues de régularisations à déployer auprès des populations concernées, afin de préciser l'information qui leur est due, et de collecter des consentements complémentaires, notamment dans le cadre des traitements big data et onboarding qui se déploient en big bang actuellement sur le marché, y compris au sein des industries les plus sensibles à la sécurité de la data (banques, santé, telcos...).