RGPD - Assurer la conformité des données

Objectif : Repérer les données personnelles traitées par l'organisme et les inscrire au registre.

• Comprendre ce qu'est une donnée personnelle (directe ou indirecte) et les données sensibles.
• Connaître le contenu d'un registre des traitements conforme aux exigences de la CNIL.
• Identifier les 6 bases légales du traitement (Consentement, Contrat, Intérêt légitime, etc.).

Atelier pratique : Analyse de flux et qualification juridique d'un écosystème de données d'entreprise.

Cas métier : </w:r><w:r><w:rPr><w:i/><w:iCs/><w:rFonts w:ascii="Aptos" w:hAnsi="Aptos" w:cs="Aptos"/><w:sz w:val="24"/><w:szCs w:val="24"/></w:rPr><w:t xml:space="preserve">Audit flash d'une base de données Marketing & RH issues d'un outil CRM.

Compétence acquise : Savoir analyser, classer et inscrire un traitement de données au registre.

Livrable : Un modèle de registre des traitements AMBIA déjà complété.

Objectif : Rédiger des mentions d'information claires et organiser le traitement des demandes.

• Rédiger des mentions d'information claires et compréhensibles (politique de confidentialité, mentions sur les formulaires).
• Organiser la réception et le traitement des demandes (accès, rectification, effacement, opposition).

Atelier pratique : Rédaction de mentions d'information conformes et calibrage de bandeaux de consentement.

Cas métier : </w:r><w:r><w:rPr><w:i/><w:iCs/><w:rFonts w:ascii="Aptos" w:hAnsi="Aptos" w:cs="Aptos"/><w:sz w:val="24"/><w:szCs w:val="24"/></w:rPr><w:t xml:space="preserve">Simulation de crise : Traitement d'un flux de demandes complexes de « Droit à l'oubli » de clients mécontents.

Compétence acquise : Savoir garantir la transparence et répondre aux demandes dans les règles.

Livrable : Un schéma de décision pour traiter les demandes d'exercice des droits.

Objectif : Appliquer la minimisation et la sécurité dès la conception des projets, et gérer une violation de données.

• Protéger les données dès la conception des projets techniques (Privacy by Design).
• Appliquer la procédure obligatoire en cas de violation de données (notification à la CNIL, information des personnes).

Atelier pratique : Choix des mesures de sécurité techniques (chiffrement, gestion des accès, journaux).

Cas métier : Simulation d'incident : « Alerte Faille de Sécurité » à la suite de l'exfiltration d'un fichier client par un ransomware.

Compétence acquise : Savoir gérer une violation de données et protéger les données dès la conception d'un projet.

Livrable : Un kit de gestion de crise comprenant le formulaire officiel de notification CNIL pré-rempli.

Objectif : Encadrer les sous-traitants par contrat (article 28) et conduire une analyse d'impact (AIPD).

• Vérifier la conformité de ses sous-traitants et rédiger les clauses obligatoires.
• Repérer les traitements « à risque élevé » qui exigent une analyse d'impact (AIPD).

Atelier pratique : Revue critique de clauses de sous-traitance incomplètes.

Cas métier : </w:r><w:r><w:rPr><w:i/><w:iCs/><w:rFonts w:ascii="Aptos" w:hAnsi="Aptos" w:cs="Aptos"/><w:sz w:val="24"/><w:szCs w:val="24"/></w:rPr><w:t xml:space="preserve">Évaluation des risques pour le déploiement d'un nouvel outil de pointage biométrique ou de surveillance algorithmique des collaborateurs.

Compétence acquise : Savoir sécuriser sa sous-traitance et mener une analyse d'impact.

Livrable : Une grille d'évaluation de conformité des sous-traitants et une matrice d'AIPD simplifiée.