À partir de mai 2018, les organisations de l'UE devront resserrer leur approche de la protection des données. Le règlement général sur la protection des données (RGPD) est la législation sur la protection des données la plus complète que l'UE ait jamais connue, et sa plus grande refonte en plus de 20 ans .

Le non-respect pourrait entraîner des amendes de 22,7 millions de dollars, soit 4% du chiffre d'affaires total d'une organisation . Malgré cela, un quart des conseils au Royaume - Uni n'ont pas encore nommé de délégué à la protection des données, une exigence en vertu des nouvelles règles. (Au moins jusqu'à ce que le Royaume-Uni quitte l'UE, il doit se conformer aux nouvelles réglementations.)

"Le RGPD n'est pas destiné à susciter la peur et à imposer des restrictions inutiles sur la façon dont les données peuvent être partagées et utilisées", a déclaré Peter Wells , responsable des politiques à l' Open Data Institute (ODI). "Le secteur public doit d'abord travailler ensemble pour surmonter les faux récits, comprendre comment se conformer à la législation et comment en faire une opportunité."

Aux côtés des spécialistes de la protection des données, le RGPD exige que les organisations privées et publiques qui traitent les données personnelles mettent en place des garanties, dispensent une formation et développent un processus pour faire face aux violations de données. Comment les organisations du secteur public devraient-elles se préparer aux changements? Apolitical s'est entretenu avec Anulka Clarke , responsable de l'assurance à l' Information Commissioner's Office (ICO) du Royaume-Uni, pour lui demander ce que le gouvernement doit faire maintenant pour se préparer au RGPD.

Le gouvernement, en particulier le gouvernement local, est-il au courant des changements de loi à venir avec le RGPD?

Il y a certainement une prise de conscience du RGPD et du fait qu'il se profile à l'horizon. Avec le gouvernement local, nous constatons qu'il est difficile de savoir si ce message est diffusé dans l'ensemble de l'organisation, ou s'il est uniquement destiné à ceux qui ont cette connaissance spécialisée de la gouvernance de l'information.

Il y a une prise de conscience dans ces rôles de gouvernance de l'information, mais y a-t-il une sensibilisation plus large au sein des organisations et entre elles? Nous ne recevons pas vraiment ce message.

Que doit faire le gouvernement pour se préparer aux changements? Quelles sont les priorités?

Nous espérons que les organisations ne partiront pas de zéro. Nous avons déjà une législation en vigueur sur la protection des données au Royaume-Uni, de sorte que les organisations qui se conforment déjà au Data Protection Act 1998 devraient être en très bonne position pour se conformer au RGPD à l'avenir.

Ce que fait le RGPD, c'est de mettre en place de nombreux éléments que nous avons toujours recommandés comme bonnes pratiques sur une base législative. Par exemple, la question de la nomination d'un délégué à la protection des données: nous l'avons toujours recommandé en tant que pratique, et maintenant les autorités publiques seront tenues de le faire dans le cadre du RGPD. De même, signaler les violations de données à notre bureau en tant qu'organisme de réglementation: nous avons toujours recommandé que s'il y a une violation à haut risque et des données sensibles impliquées, elles devraient nous être signalées et les personnes concernées par ces violations devraient être informées.

Ce sont les deux domaines clés, mais un autre est le concept de confidentialité par conception: intégrer les considérations de confidentialité dans les nouveaux projets et les nouveaux processus que les organisations développent - au début du processus, plutôt que comme un module complémentaire à la fin.

Chaque conseil a besoin d'un délégué à la protection des données (DPD) en vertu de la nouvelle législation, mais que doit-il faire?

Il existe un large éventail de professionnels de la protection des données au sein des autorités locales, dont beaucoup ont beaucoup d'expérience - nous le constatons déjà lorsque nous sortons pour leur parler et lorsque nous les auditons.

Je pense que l'élément clé du rôle du DPD dans le cadre du RGPD est qu'il doit se situer à un niveau assez particulier. Il faut que cette responsabilité et ce mécanisme de rapport soient intégrés directement à la haute direction. Le rôle doit être libre et indépendant afin de pouvoir remettre en question les décisions prises au sein de l'organisation concernant les données personnelles et mettre en évidence les risques.

Je pense que c'est la distinction que vous voyez entre beaucoup de rôles en ce moment. Ce sont peut-être des cadres intermédiaires qui conseillent sur la protection des données, mais qui n'ont pas cette ancienneté, cette expérience, cette liberté de parole, et c'est vraiment essentiel et intégré au rôle du DPD.

Les connaissances sont là, il s'agit simplement de s'assurer que lorsque ce rôle de DPD est officialisé dans le cadre du RGPD, il se situe juste au bon niveau au sein de l'organisation.

Le gouvernement doit-il élaborer des plans d'urgence en cas de violation de données?

Il s'agit de l'analyse des risques: comprendre le risque pour les données que vous détenez et de qui proviennent ces données. Il s'agit de comprendre ce risque, d'atténuer le risque là où vous pouvez le faire et de demander s'il est proportionné aux avantages de ce traitement de données que vous faites, non seulement pour des besoins d'information, mais pour l'individu et sa vie privée.

Dans votre pire cas, il s'agit de la planification d'urgence, donc si quelque chose ne va pas, vous savez comment récupérer de cela, récupérer les données et vous assurer que les gens ne sont pas affectés par une violation potentielle. Ils doivent avoir des processus en place pour signaler cela à l'OIC.

Le gouvernement local est-il suffisamment bien protégé contre les violations qui résultent de leurs processeurs de données externes? Comment peut-il se prémunir contre ces derniers?

À l'heure actuelle, en vertu de la législation gouvernementale, toute la responsabilité incombe à l'organisation elle-même, le responsable du traitement des données. Ils sont chargés de s'assurer que le processeur se conforme à leurs instructions.

Le GDPR transfère une partie de cette responsabilité au processeur, il y a donc des responsabilités supplémentaires que les processeurs doivent comprendre. Malgré cela, une grande partie de cette responsabilité incombera finalement au responsable du traitement et celui-ci doit avoir une gouvernance appropriée de sa relation.

De toute évidence, avec le contrat en place, avec tous les processus qu'ils utilisent, les contrôleurs doivent s'assurer que la protection des données, les rapports de violation de la sécurité sont intégrés dans ces contrats, et qu'ils surveillent en permanence la conformité des processeurs de données; en s'assurant qu'ils suivent bien les instructions que le contrôleur leur a données.

Que devrait faire le gouvernement local pour former son personnel?

La formation doit être intégrée culturellement dans toute l'organisation. Nous avons vu un pourcentage d'organisations qui ne dispensaient aucune formation, puis certaines qui ne dispensent pas de formation de recyclage annuelle, ce qui est vraiment essentiel pour renforcer ce message. Vous ne pouvez pas le faire une seule fois et avoir ensuite des employés qui pourraient être là pendant vingt ans sans aucune formation supplémentaire.

C'est cette intégration culturelle de celui-ci. Pour permettre aux gens d'accéder aux systèmes, il s'agit encore une fois de comprendre les risques qui existent. Il peut y avoir certains systèmes de base auxquels le personnel peut avoir accès avant d'avoir suivi une formation complète. Pendant ce temps, certaines autorités locales disent que les gens ne devraient pas avoir accès à ce niveau de données plus sensible sans avoir une formation plus détaillée: cela doit devenir la norme pour les organisations. Ils doivent inculquer cette formation et s'assurer que le personnel la comprend avant d'être autorisé à accéder à des données particulièrement sensibles.

Y a-t-il un risque que le gouvernement local supprime simplement toutes les données personnelles qu'il détient - le RGPD découragera-t-il le partage des données?

Je ne pense pas que cela devrait nécessairement décourager le partage des données et l'analyse des mégadonnées: il y a de réelles économies à réaliser en utilisant de telles données, et de réels avantages du partage de données intra-gouvernemental.

Le RGPD n'arrête pas cela, il fait simplement comprendre aux organisations pourquoi elles partagent et travaillent avec des données: est-ce approprié, est-il juste pour les individus et est-il nécessaire? Ce sont des choses auxquelles ils doivent penser et qui devraient déjà être envisagés en vertu de la loi actuelle.

De façon anecdotique, les organisations viennent de décider qu'il est tout simplement plus facile de tout supprimer et de recommencer. Je ne pense pas que la plupart des autorités locales soient en mesure de le faire et nous n'avons pas vu cela se produire dans la pratique.

Que ne devrait pas faire le gouvernement?

Le message principal pour les organisations n'est pas de paniquer à propos du RGPD. Ils ne partent pas de zéro, ils devraient être en bonne position par rapport à la législation actuelle. En tant qu'organisation, nous essayons de transmettre autant d'orientations que possible aux organisations avant mai de l'année prochaine; il y a beaucoup de choses sur notre site Web et nous proposons également des audits à des organisations telles que les autorités locales pour vérifier leur conformité et faire des recommandations sur la façon de s'améliorer. Les organisations peuvent nous contacter si elles ont des inquiétudes quant à leur conformité et nous pouvons les évaluer.

En fin de compte, le GDPR met cette étape supplémentaire dans l'enregistrement de la prise de décision et l'enregistrement de ce qui se passe avec les données. Je pense que cela oblige les organisations à s'arrêter et à réfléchir à la raison pour laquelle elles font les choses, et garantit qu'elles ont une bonne raison de le faire.

Vous pouvez en savoir plus sur la façon de préparer votre organisation au RGPD sur la page dédiée au responsable du commissaire à l'information ici.

(Crédit photo: Pexels)

Anoush Darabi
anoush.darabi@apolitical.co