Privacy by design – Les mesures organisationnelles

• Formaliser un cahier des charges traduisant les contraintes juridiques en matière de protection des données personnelles en contraintes techniques devant être respectées pour tout nouveau projet,
• Rédiger une charte dédiée à l’encadrement de l’utilisation des systèmes d’information de l’entreprise,
• Sensibiliser le personnel aux enjeux de sécurité et de confidentialité des données,
• Mettre en place une politique de gestion des incidents liés aux systèmes d’information, d’archivage et de conservation des données…

L’article 25, 1 du RGPD prévoit que le responsable du traitement doit mettre en œuvre, tant au moment de la détermination des moyens du traitement qu’au moment du traitement lui-même, des mesures techniques et organisationnelles appropriées afin d’assurer un niveau de protection élevée des données à caractère personnelles.

Selon le considérant 78, ces mesures techniques et organisationnelles peuvent consister à:

• Réduire à un minimum le traitement des données à caractère personnel
• Pseudonymiser les données à caractère personnel dès que possible
• Garantir la transparence en ce qui concerne les fonctions et le traitement des données à caractère personnel
• Permettre à la personne concernée de contrôler le traitement des données
• Permettre au responsable du traitement de mettre en place des dispositifs de sécurité ou de les améliorer.

Les mesures techniques et organisationnelles doivent être prises au regard de :

• L’état des connaissances
• Des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement
• Des risques, dont le degré de probabilité et de gravité varie, que présente le traitement pour les droits et libertés des personnes physiques,

Le droit à la protection des données lors de l’élaboration et de la conception de tels produits, services et applications et, compte dûment tenu de l’état des connaissances, à s’assurer que les responsables du traitement et les sous-traitants sont en mesure de s’acquitter des obligations qui leur incombent en matière de protection des données.