Dans le cadre de leurs activités, les entreprises et collectivités territoriales disposent d’un accès particulièrement important aux données personnelles, qu’il s’agisse des données relatives au personnel mais également, celles des usagers et plus largement, des administrés, des fournisseurs, sous-traitants, etc.

Le registre des traitements
Le registre de traitement - prévu à l’article 30 du RGPD - permet de recenser et de disposer d’une vue d’ensemble de toutes les données personnelles traitées au sein d’une structure.
Il répond donc à l’obligation prévue par le RGPD, mais s’inscrit surtout dans une logique d’ensemble que l’on retrouve en fil rouge dans le RGPD, celle de documenter sa mise en conformité.

Par définition, le registre est à géométrie variable, selon la taille des différents acteurs et la la nature de leurs activités. Celui par exemple, des petites communes pourra contenir moins d’une dizaine de traitements (gestion de l’état civil, de la liste électorale, du cadastre, des prêts de la bibliothèque, etc.), là ou les registres de traitement d’établissements publics de coopération intercommunale (EPCI), seront évidemment beaucoup plus importants.

Types de données
Concrètement le registre doit contenir :
– les différents acteurs intervenant dans le traitement des données ;
– les différentes catégories de données traitées ;
– la destination des données collectées, qui y ont accès, et à qui sont-elles communiquées ;
– la durée de conservation ;
– les protocoles de sécurisation.

Le cadre réglementaire
Le RGPD prévoit 6 bases légales : le consentement, le contrat, l’obligation légale, la sauvegarde des intérêts vitaux, l’intérêt public et l’intérêt légitime.

Les collectivités territoriales sont le plus souvent concernées par les bases légales suivantes : intérêt public et obligation légale.
Dans la majorité des cas, les collectivités - à la différence des entreprises -, n’auront donc pas à recueillir le consentement.
Toutefois, certains traitements des collectivités devront tout de même reposer sur le consentement des personnes.

L’exploitation
Ce registre doit être rédigé puis alimenté et mis à jour de manière dynamique et continu, tout en se posant les questions suivantes :
– les données sont-elles suffisamment protégées ?
– les données sont-elles nécessaires dans le cadre de nos activités ?
– est-il pertinent de conserver aussi longtemps ces données ?
– etc.

Nexsens et Odoo-ERP
Dans le cadre du projet de déploiement de l’ERP Odoo, pour la société R3S-France, il a été prévu d’étudier, de concevoir et de développer un module RGPD, capable :
– d’optimiser des processus internes de gestion – au sens large -, des données,
– de répondre à la diversité des exigences fonctionnelles imposées par le cadre réglementaire.

Une attention particulière portée aux sous-traitants
Une des particularités notable pour les entreprises et collectivités territoriales est de devoir trouver l’équilibre entre :
– les obligations imposées par le RGPD et,
– celles liées aux conditions de passation des marchés publics ou privés.

Ainsi pour faire face à leurs obligations de protection des données, les entreprises et collectivités utilisatrices de Odoo-ERP, peuvent désormais disposer d’un module de gestion des données leur permettant de démontrer la conformité de leurs opérations de traitement au RGPD.

Découvrir les fonctionnalités du Module RGPD pour Odoo. (Bientôt accessible)