Comment Syntec Numérique a construit son registre des traitements de données pour le RGPD ?

Quelle approche ?

L’équipe juridique en charge du projet de mise en conformité de Syntec Numérique a retenu une approche exhaustive pour identifier tous les traitements de données personnelles du syndicat. Comme je l’ai expliqué dans un article précédent, notre chef de projet a choisi de partir des fiches de missions de chacun puis de mener des entretiens avec les personnes clefs du syndicat.

Cette approche rigoureuse a permis d’identifier 100% des traitements des données personnelles dans tous les processus du syndicat. Et pour Syntec Numérique, syndicat professionnel, les données personnelles sont principalement celles des représentants des adhérents et des salariés du syndicat.

Pour construire le registre, nous avons cherché un outil et pour finir nous avons construit le nôtre en nous inspirant des documents mis en ligne par la CNIL et surtout son homologue belge. Je rappelle que pour les adhérents de Syntec Numérique, un espace sur le site leur donnera toutes les informations pratiques pour aller plus loin dans leurs propres démarches.

Notre choix a été d’établir un tableur listant toutes les actions impliquant des données personnelles. Par exemple : les éléments variables de la paye pour les collaborateurs ou le suivi des mandats pour les adhérents. Et ensuite pour chaque ligne, de préciser de nombreuses informations. Comme par exemple, le service concerné, la finalité du traitement, l’information à donner aux personnes concernées ou comment les données personnelles sont enregistrées. Le fichier a ensuite été transmis à l’ensemble des collaborateurs de Syntec Numérique pour qu’ils puissent compléter, modifier ou valider lesdites informations. Il s’agit en effet d’un travail collectif impliquant l’ensemble des salariés du syndicat qui « manipulent » ces données personnelles au quotidien et doivent in fine adopter les bons réflexes. Cette phase essentielle consistant à informer, sensibiliser et surtout à impliquer les collaborateurs dans la mise en conformité de Syntec Numérique fera évidemment l’objet d’actions particulières et régulières qui seront développées dans le cadre des prochaines étapes de mise en conformité.

Quels enseignements ?

Nous avons été très surpris de constater que notre registre comporte une centaine de lignes. Nous n’avions pas imaginé l’ampleur que prendrait le recensement. Par exemple pour l’administration des ressources humaines de Syntec Numérique, 16 traitements impliquant des données personnelles ont été recensés. Cet enseignement est à méditer car cela sera sans doute expérimenté par les entreprises lorsqu’elles feront le même travail de recensement pour établir leur registre.

Quelles actions ensuite ?

Nous allons maintenant travailler sur deux actions très rapidement. Tout d’abord faire un audit sécurité de nos systèmes d’information en regard du RGPD. Il s’agira pour nous de préciser certains aspects. Et donc de faire un cahier des charges précis pour choisir un prestataire capable de faire cet audit de manière satisfaisante. Ensuite nous allons travailler sur le registre établi pour analyser ligne par ligne et confirmer des choix comme la durée de conservation des données ou l’information faite aux personnes concernées.