Comment débuter le projet de mise en conformité RGPD de Syntec Numérique ?

Quelle est la première étape ?

Au risque de vous faire sourire sur un sujet aussi sérieux, la première étape passe par la direction, en l’occurrence moi, en tant que délégué général. C'est ma responsabilité vis-à-vis de l’association de mettre et d’organiser les moyens nécessaires pour ce projet, dans lequel Syntec Numérique se doit comme toujours, nous l’espérons, d’être exemplaire.

Alors ma première décision a été de recruter une personne supplémentaire pour renforcer notre service juridique dès la fin 2017 avec pour mission principale de gérer le projet de mise en conformité de Syntec Numérique.

L’intérêt de confier cela à une personne nouvelle dans notre organisation est qu’elle aura forcément une approche systémique. Comme elle ne sait pas à priori où sont les données personnelles, qui en utilisent, et pourquoi, sa démarche doit couvrir l’intégralité de nos activités et processus. Une personne "vétéran" de notre organisation serait aller à l’essentiel : les adhérents et le personnel. Avec le risque de passer à côté de pratiques ou d’habitudes de travail des uns ou des autres, non connues même par la direction générale.

Ensuite il s’agit de mettre en place une réunion de lancement en expliquant les enjeux et l’intérêt de vivre ce projet en équipe, tous ensemble. Une occasion unique de revisiter notre fonctionnement et d’améliorer encore nos procédures, de renforcer notre sécurité en termes de système d’information, avec un engagement : faire un point tous ensemble toutes les 2 semaines. Chacun devant jouer le jeu afin de ne pas ralentir les travaux.

Quelles sont les premières démarches ?

Dans un premier temps notre chef de projet a pris l’initiative de prendre l’intégralité des fiches de postes et de missions. Nous avons cela en interne dans le cadre de notre certification AFNOR qualité (référentiel Quali’op). C’est un réel atout car nos fiches de missions sont en permanence à jour et elles reflètent l’intégralité des missions de chaque permanent de Syntec Numérique.

En s’appuyant sur ces fiches qui décrivent les missions, notre chef de projet réalise actuellement des entretiens avec chacun pour comprendre et recenser les cas où des données personnelles sont traitées ou archivées.

Les résultats risquent de nous surprendre car nous ne soupçonnons pas toujours tous les cas en pensant juste CRM et système de gestion RH !

Quel outil ?

En parallèle notre chef de projet recense les outils existants et va sans doute aller assister à des démonstrations de logiciels servant à cartographier les données. Je reviendrai sur ce point ultérieurement pour suggérer des critères de choix, sans évidemment faire de recommandation car nombreuses sont les solutions présentes sur le marché, chacune avec ses avantages et ses inconvénients. Il faudra donc choisir selon ses critères et sa situation.

Pour conclure ?

Comme me le disent mes responsables juridiques, alors que je les incite à aller encore plus vite dans la démarche : ne pas confondre la finalité et les moyens ! Ne pas confondre vitesse et précipitation pour cette mise en conformité RGPD