Editions ENI Livres | Vidéos | e-Formations
Mise en œuvre du système de management
Introduction
La méthode exposée dans ce chapitre permet de disposer au bout de quelques jours pour les petites entreprises et quelques semaines pour les plus grandes :
-
d’un système de management opérationnel
-
de preuves opposables en cas de sollicitations ou de poursuite
Le chef de projet devra faire preuve de tactique en combinant de manière optimale les modes opératoires et les moyens dont il dispose. Un tel projet vient nourrir la transition numérique de l’entreprise et fait bouger les lignes de l’organisation.
Choix de la méthode
Le chapitre Un système de management conclut qu’il faut mettre en œuvre un SMDCP composé de processus, d’outils, qui nécessitent des compétences (internes ou externes) ainsi qu’une structure de gouvernance pour atteindre le but. De plus, en présence de systèmes déjà existants, il doit en être tenu compte dans la phase de conception.
Dans 80 % des cas, c’est le service informatique qui initialise la réflexion auprès de la direction. Le responsable informatique ou la personne qui en prend l’initiative va profiter d’une réunion de direction pour expliquer les enjeux du RGPD et les obligations de l’entreprise.
Quelle que soit l’écoute accordée, le projet RGPD est un projet pour lequel les directions ne souhaitent pas investir beaucoup de temps ni de ressources. La méthode de mise en œuvre s’appuie sur deux principes :
-
Utiliser des cycles courts pour obtenir rapidement des résultats.
-
Capitaliser sur des ressources déjà existantes pour limiter les coûts.
Peu de moyens et beaucoup de résultats
Inspirée du lean startup, la méthode pragmatique du build & run est celle que nous avons retenue. Elle comprend deux phases, conception et réalisation, que nous découpons en cinq étapes pour la conception et trois pour...
Phase de conception
La phase de conception comprend cinq étapes :
|
1. |
Initialiser le projet et définir le périmètre. |
|
2. |
Collecter les activités de traitement. |
|
3. |
Évaluer les éléments du système et projeter une organisation. |
|
4. |
Apprécier le dispositif de sécurité, traiter les analyses d’impacts relatives à la protection des données et rédiger les politiques. |
|
5. |
Valider le plan de progrès, enregistrer les documents à valeur de preuves et clôturer la phase. |
Nous ne rappelons pas les bonnes pratiques de la gestion de projet, elles sont considérées comme connues.
1. Étape 1 : Définir
a. Objectifs
C’est le lancement du projet. Cette étape vise six objectifs :
-
Nommer le chef de projet
-
Définir le périmètre du SMDCP
-
Identifier les acteurs de la gouvernance
-
Définir les critères du registre des activités de traitement
-
Définir un support de sensibilisation
-
Impliquer la direction
b. Activités
Nommer le chef de projet
Le chef de projet porte la responsabilité de conduire le projet jusqu’à l’étape Clôturer le projet. Sa compétence est décrite dans le chapitre Un système de management. Dans un cas sur deux, il s’agit du DPO ou du référent DPO pressenti.
Il est important qu’il dispose de relais internes dans l’entreprise. Il est nécessaire qu’il ait acquis des connaissances minimales sur le RGPD, au travers de lectures, de séminaires thématiques ou encore d’une formation. Dans tous les cas, il doit être averti sur ce qu’est une donnée à caractère personnel et une activité de traitement.
Il est vivement recommandé que le chef de projet dispose d’un réseau interne
Définir le périmètre
La note de cadrage doit reprendre l’objectif du projet, préciser le périmètre, rappeler les phases, les étapes et les livrables attendus, les ressources demandées et un premier de plan de communication qui sera mis à jour au fil du projet.
Il est fondamental que cette note de cadrage soit signée par la direction pour s’assurer de son support.
La première source d’échec...
Phase de réalisation
1. Les trois étapes de la phase de réalisation
Cette phase peut être considérée comme le premier cycle de gestion des DCP. Elle permet de réaliser le premier plan de progrès.
Cette phase de réalisation comprend trois étapes :
|
1. |
Exécuter les actions du plan de progrès |
|
2. |
Mesurer l’efficacité du SMDCP |
|
3. |
Clôturer le projet et passer en mode cycle de vie. |
Au terme de cette phase, un nouveau plan de progrès vient alimenter le modèle PDCA du cycle de vie du SMDCP.
2. Étape 1 : Exécuter
a. Objectif
Exécuter les actions du plan de progrès.
b. Activités
Il s’agit de réaliser le plan de progrès. Sachant qu’a minima une action est attachée à chacun des processus, nous apportons dans cette section un éclairage sur des difficultés qui peuvent être rencontrées ou des points qui peuvent demander quelques précisions.
Accountability
Outre l’implication de la direction, la problématique qui revient souvent est la compétence du DPO et le maintien de ses connaissances. Il existe des formations certifiantes et des formations universitaires.
À moins d’être un grand groupe ou bien une structure publique de grande taille, peu d’entreprises peuvent justifier le financement de telles formations. Cet ouvrage donne les premiers éléments de formation au futur DPO. Il conviendra ensuite qu’il prenne conseil auprès d’experts externes, comme peut le faire le responsable des ressources humaines de l’entreprise auprès d’un avocat spécialisé en droit social.
Enfin, il existe deux associations auprès desquelles le DPO peut se tenir informé :
Traitements et transferts de données hors UE
La question qui se pose souvent est la granularité du registre. Antoine de Saint-Exupéry écrivait : « Il semble que la perfection soit atteinte non quand il n’y a plus rien à ajouter, mais quand il n’y a plus rien à retrancher. » Nous recommandons dans un premier temps de faire l’inventaire des méta-traitements, par exemple la gestion du personnel, la gestion...
Organisation du projet
1. Échéancier du projet
L’échéancier du projet dépend de la taille de la structure, de la nature des activités de traitement, des ressources allouées et de la motivation des acteurs. Un tableur est suffisant pour gérer le calendrier et les échéances. Il est certain que faire appel à une assistance d’ouvrage externe facilitera la réalisation du projet. En effet, au-delà du retour d’expérience, elle fournit des outils d’évaluation et des modèles de documents. Qui plus est, la collégialité, un des quatre principes fondamentaux de la gouvernance, est plus facilement appliquée eu égard à l’absence de relation hiérarchique entre l’assistant et la structure managériale de l’entreprise.
La phase de conception ne doit pas dépasser 2 mois. La durée de la phase de réalisation dépendra de la nature des actions de progrès et des ressources allouées.
Pour les petites structures, le projet de mise en œuvre se déroule sur une période de deux à trois mois. Il peut durer beaucoup plus longtemps pour une autorité administrative ou une entreprise qui offrent essentiellement des services en ligne.
2. Ressources du projet
Les ressources allouées dépendent évidemment...
Cycle de vie du SMDCP
Le système de gestion des données à caractère personnel entre désormais dans la phase cycle de vie.
Le système de management des données à caractère personnel
Planifier
Chaque année, il convient de faire une revue du système et des politiques pour acter un nouveau plan de progrès.
Pour cela, il est nécessaire de prendre en compte l’évolution du périmètre, les nouveaux traitements et les évolutions du règlement et des lois.
Développer
Les bonnes conditions de réalisation de ce nouveau plan restent identiques : s’assurer que les ressources et les compétences ont bien été allouées à l’exécution du plan de progrès.
Contrôler
Sans mesure, pas de progrès. Chaque année, des mesures sont faites pour apprécier la réalisation des actions de progrès, mais aussi pour identifier des sources d’amélioration et de rationalisation des processus.
Ajuster
Cette étape d’ajustement permet de proposer un nouveau plan de progrès et fait l’objet de la production du bilan annuel des activités du DPO.
La cinquième source d’échec est de ne plus allouer de ressources pour maintenir, dans le temps, le système en conditions opérationnelles.
Facteurs clés de succès du projet
Nous rappelons les facteurs de succès du projet de mise en œuvre du RGPD :
-
Une direction impliquée et qui le démontre.
-
Une phase de conception condensée sur quelques semaines.
-
Un plan de communication dynamique orienté bénéfices, et pas contraintes.
-
Une structure de gouvernance représentative et collégiale.
-
Des ressources et compétences appropriées à la réalisation des plans de progrès.
-
La garantie de disposer de moyens pour assurer le cycle de vie du système afin de permettre à l’entreprise de respecter dans le temps les exigences du RGDD et de pouvoir le démontrer.
