# data[].attributes.attachment_link.readable_text
Irriguer la culture de la sécurité dans toute l'entreprise. C'est ce que prônent les auteurs de "#RGPD et Marketing : de la contrainte à l'opportunité". Les consommateurs, de plus en plus inquiets sur l'exploitation de leurs données personnelles, gratifieront les marques qui en feront un bon usage.

Comment conduire des programmes marketing efficaces si vos clients ou prospects s'inquiètent de la sécurité de leurs données? "Aucun secteur économique ne serait à l'abri" d'une cyber attaque selon le rapport sur l'étendue de la cyber-menace en France, publié ce mois-ci par le ministère de l'Intérieur. La prise en compte du risque cyber est devenue un défi majeur pour toutes les entreprises.

La perception de la sécurité des données n'est pas partagée: 85% des consommateurs expriment des inquiétudes, alors que 62% des organisations victimes d'une cyberattaque reconnaissent ne pas avouer à leurs clients que leurs données personnelles ont été compromises... L'écart est fort; la confiance est loin d'être établie!

Sous l'effet conjugué des attaques massives et mondiales qui ont défrayé l'actualité et du RGPD, les entreprises doivent bâtir une nouvelle forteresse autour des données personnelles. La sécurité et la confidentialité des données s'invitent à la table des marketeurs.

Check-list de mise en conformité "sécurité"
Coopération à l'audit initial
Comme toujours la mise en conformité "sécurité" passe par l'audit de l'existant. Marketeurs, vous serez impliqués dans ce volet sécurité qui permettra d'identifier les risques et de définir les efforts à fournir pour la mise conformité. Voici une liste de questions essentielles qui vous sera (probablement) soumise :
- Votre action porte-elle sur des données personnelles sensibles?
- Savez-vous tracer le parcours des données personnelles sur lesquelles vous intervenez en interne et en externe avec vos sous-traitants?
- Vos données transitent-elles hors UE?
- Connaissez-vous les processus de gestion des risques pour les données personnelles?
- Connaissez-vous les processus de détection et de surveillance des fuites?
- Disposez-vous de clés d'accès sécurisées?
- Les contrats avec vos sous-traitants disposent-ils de clauses de sécurité?
- Avez-vous testé et mis en oeuvre un plan d'intervention, y compris les notifications et la communication externe?
- Place du marketing dans le plan d'action d'entreprise : la mise en place d'un process de "gestion des failles de sécurité & anticipation des risques" conforme au RGPD sera conduit par le Délégué à la Protection des Données, en collaboration avec les équipes IT et RSSI. Selon le niveau d'avancement sur le sujet, il est possible que la mise en conformité RGPD ne soit qu'un volet parmi d'autre du plan d'action "cybersécurisation" défini par notre entreprise. Pour apprécier votre rôle, voici les plans d'action généralement préconisés.
Formaliser une procédure de gestion des failles de sécurité décrivant les grandes étapes
- Procédure d'identification et correction "technique" de la faille,

- Constitution d'un dossier de preuves techniques et juridiques,

- Procédure de dépôt de plainte,

- Procédure de déclaration de sinistre auprès de l'assurance,

- Procédure de notification à la CNIL et procédure de communication aux personnes : en cas de violation de données personnelles, il faudra faire preuve de transparence en la déclarant sous 3 jours à l'autorité de contrôle, voire aux personnes concernées.
Rédiger des modèles types
- Modèle de notification à l'autorité de contrôle,
- Communication aux personnes concernées (mail, sms, n°vert...),
- Communiqué de presse, etc.
Elaborer un registre documenté de la sécurité : collaboration entre le DSI, le RSI et le délégué à la protection des données
- S'assurer que les prestataires ayant accès aux données ou en lien avec la gestion des données respectent les obligations de sécurité et de protection des données,

- Garantir que, par défaut, seules les données nécessaires au regard de la finalité de chaque traitement sont traitées : limiter la quantité de données collectées, anonymiser les données, limiter la durée de conservation, etc. (Privacy by Default),

- Réaliser régulièrement des tests techniques d'intrusion / accès aux données avec tenue d'un registre des incidents de sécurité détaillés,

- Ajouter dans les contrats de sous-traitance une clause imposant un audit de sécurité,

- Sensibiliser les équipes aux enjeux de confidentialité et de sécurité des données.
Préparer la trame des études d'impact
Les études d'impact sur la vie privée (EIVP ou PIA en anglais) permettent d'évaluer l'adéquation des mesures prises par le responsable de traitement au regard des risques encourus sur la vie privée ; il s'agit en amont de :

- Identifier le traitement objet du PIA tant au plan juridique que technique,

- Identifier les mesures retenues (actuelles ou prévues) pour respecter les exigences légales,

- Évaluer les risques : scénario décrivant l'évènement redouté et toutes les menaces susceptibles de le concrétiser ; définir la gravité et la vraisemblance de l'évènement,

- Prise de décision: évaluer les risques résiduels et les mesures ; si les mesures envisagées sont jugées acceptables et les risques résiduels faibles, le PIA est validé.

De la contrainte à l'opportunité à saisir

Les marketeurs vont devoir revoir leurs pratiques à la lumière des obligations du RGPD, mais aussi des inquiétudes nouvelles des consommateurs sur la cybersécurité. Le Règlement offre d'une part, une opportunité pour les organisations d'instaurer une vraie culture de la sécurité et celle d'augmenter la confiance des clients.

Le constat va émerger de cet audit initial: la sécurité n'est pas qu'une question de moyens techniques, car les failles sont, pour une part, liées aux pratiques quotidiennes de collaborateurs directs ou indirects qui s'autorisent des "petites entorses". La sécurité est une affaire collective dans laquelle, in fine, la responsabilité n'est pas uniquement celle des équipes IT. C'est sans doute l'une des conséquences les plus compliquées à prendre en compte: faire comprendre à tout salarié en contact avec des données personnelles, sa propre responsabilité, à l'instar des hôtesses de caisse qui manipulent des espèces. C'est une étape essentielle de formation qui doit irradier toutes les strates de l'entreprise, depuis les équipes IT ou CRM, jusqu'au vendeur qui collecte des coordonnées en magasin. La démarche de sensibilisation doit aussi prendre en compte les risques liés aux porosités entre les outils professionnels et personnels qui exposent l'entreprise à de multiples risques de perte de données.

Au niveau de la confiance, les attentes des consommateurs sont élevées sur le sujet: 85 % se disent inquiets. En protégeant fortement leurs données personnelles, en augmentant les obligations de sécurité amont et aval, le RGPD oblige les organisations à réévaluer leurs règles de traitement, de sécurité, de confidentialité. Confiance et transparence sont au centre du dispositif imposé.

Les enseignes, les marques doivent donc mettre un point d'honneur à rassurer clients et prospects sur l'usage de leurs données personnelles, mieux faire comprendre comment elles sont sécurisées. Il est vrai que nous laissons plus facilement et plus sereinement des informations lorsque nous savons exactement comment elles sont utilisées.

La confiance repose sur des preuves : comment passer du déclaratif à la preuve? Les normes (ISO 27001), labels, certifications devraient contribuer à cette clarification. Les entreprises pourront décider de communiquer sur le fait qu'elles respectent le RGPD, tout en expliquant à leurs clients ce que cela signifie. Les entreprises proactives sur les questions de cybersécurité seront en mesure de valoriser leurs efforts et d'en faire un avantage compétitif.

Cet extrait est issu de "#RGPD et Marketing : de la contrainte à l'opportunité" paru aux Éditions e-theque, avec Sylvie Brunet, Jean Philippe Arroyo et Roselyne Sage.

# data[].attributes.attachment_link.title
RGPD : intégrer la sécurité des données aux argumentaires marketing

# data[].attributes.attachment_link.description
Irriguer la culture de la sécurité dans toute l'entreprise. C'est ce que prônent les auteurs de '#RGPD et Marketing : de la contrainte à l'opportunité'. Les consommateurs, de plus en plus inquiets sur l'exploitation de leurs données personnelles, gratifieront les marques qui en feront un bon usage.

# data[].attributes.body
Google,Amazon,Facebook,Apple,Microsoft
(les BATX chinois ne font pas mieux ... Baidu,AliBaba,Tencent,Xiaomi)

# data[].attributes.attachment_link.readable_text
Cyrielle Maurice, le 27 novembre 2018

Si la sensibilisation sur la protection des données personnelles à fait son chemin depuis quelques années, il reste parfois difficile de bien mesurer l'ampleur de ce que savent les plus grandes entreprises de la tech à notre sujet. On se doute qu'elles ont en leur possession un grand nombre d'informations, mais lesquelles exactement ? Le site Security Baron détaille en une infographie les données personnelles officiellement récoltées par Google, Facebook, Amazon et consorts.

Numéro de téléphone, adresse email et localisation : tous les géants de la tech possèdent ces données

Pour peu que vous soyez inscrit sur Google, Facebook, Twitter, Amazon, Microsoft ou Apple, vous devez garder à l'esprit que chacune de ces plateformes collecte automatiquement votre numéro de téléphone et votre adresse email, souvent utilisés pour vous identifier sur votre compte, tout comme vos adresses IP. Autre information troublante : vos données de localisation sont aussi amassées, même si pour Twitter Security Baron précise qu'il détecte " seulement " le fuseau horaire.

Facebook, grand collecteur en chef avec Microsoft et Google

On remarque également sur l'infographie la fréquence avec laquelle apparaît le logo de Facebook et Microsoft selon les données citées. Les deux firmes de la Silicon Valley font preuve d'une gloutonnerie redoutable et collectent tout ce qu'elles peuvent : données de reconnaissance faciale, contacts, photos et vidéos uploadées, publicités sur lesquelles vous cliquez... Facebook va encore plus loin en récoltant des informations sur votre travail, votre statut marital, votre niveau de revenus, religion, opinions politiques, vos origines ethniques etc.

Google n'est pas mal non plus. Le géant propose une multitude de services susceptibles de collecter un grand nombre de données. Étonnamment, certaines ne sont pas relevées par Security Baron comme les données vocales, vos données de santé ou de fitness, vos conversations par chat ou les appels téléphoniques. Pourtant Google est bien présent sur ces critères avec respectivement Google Assistant, Google Fit ou encore Google Hangouts.

Amazon, et ses collectes de données problématiques

De son côté, Amazon n'est pas en reste. Security Baron rappelle qu'Amazon peut avoir accès, entre autres choses, à des informations civiles comme les numéros de sécurité sociale ou le numéro de permis. Amazon conserve aussi en mémoire les numéros des cartes de crédit utilisées pour passer une commande. Étant donné que la plateforme fonctionne aussi un peu comme un moteur de recherche, elle en sait beaucoup sur vos achats, vos clics et votre historique de commandes.

Consultez l'intégralité de l'infographie ci-dessous :

# data[].attributes.attachment_link.title
Quelles données personnelles les géants de la tech détiennent sur vous ? - Blog du Modérateur

# data[].attributes.attachment_link.description
Si la sensibilisation sur la protection des données personnelles à fait son chemin depuis quelques années, il reste parfois difficile de bien mesurer l'ampleur de ce que savent les plus grandes entreprises de la tech à notre sujet.

# data[].attributes.body
Comment LA Redoute se met en conformité avec le RGPD

# data[].attributes.attachment_link.readable_text
Chez La Redoute depuis 20 ans, Philippe Huyon connait bien la maison roubaisienne. Passé de CIL à DPO en mai 2018, le spécialiste de la protection des data mène la mise en conformité de la marque au RGPD.

Trempé dans le bain de l'univers client depuis ses débuts à La Redoute, en 1998, Philippe Huyon a fait de la satisfaction des consommateurs son bâton de pluie. Refonte des applications clients, amélioration du système d'information orienté client ou, encore, lancement du site Internet mobile de La Redoute, en 2007, et déploiement du CRM... le professionnel a oeuvré à l'évolution technologique de l'e-commerçant sur fond de changement de siècle. "J'ai connu le passage à l'euro et la gestion des anciennes boutiques La Redoute avant Internet", témoigne-t-il, amusé.

L'expert ès transformations rejoint d'ailleurs la DSI du groupe en 2010 avec pour objectif d'animer et de coordonner la conduite du changement dans le cadre de la refonte de la supply chain. Avec succès, si l'on en croit les résultats affichés par la maison roubaisienne de prêt-à-porter et de produits pour la "maison" : 10 millions de clients, 9 millions de visiteurs uniques mensuels sur son site Web - dont 60 % sur mobile - ou, encore, 15 000 commandes quotidiennes traitées en deux heures reçues par les clients, ainsi qu' un chiffre d'affaires porté à 750 millions d'euros. Une redoutable machine.

J-1. "Ma volonté est de garantir l'intégrité des données clients"

Changement de cap, en 2015 : Philippe Huyon prend la responsabilité de Correspondant Informatique et Libertés (CIL). "La richesse des projets menés dans ma carrière m'a permis d'acquérir une bonne vision des clients et de leurs parcours, confirme-t-il. En acceptant la mission de CIL, mon approche et ma volonté sont de garantir l'intégrité des données clients", explique le professionnel, adepte de la transparence. Au programme, notamment : une bonne dose de veille autour du Règlement général sur la protection des données personnelle s (RGPD) auprès de l'Association Française des Correspondants aux Données Personnelles, d'avocats ou de la CNIL. Mais, aussi, la constitution d'un plan d'actions pour répondre aux nouvelles exigences européennes.

Si la démarche Informatique et Libertés est mise en oeuvre depuis 2011 au sein de La Redoute, Philippe Huyon a travaillé à "sensibiliser le Codir aux nouveaux enjeux du règlement, ainsi qu'une cinquantaine de personnes, du marketing, de la DSI, des data et du Web, plus particulièrement exposées aux changements". Pour adresser le sujet "RGPD" en mode projet, le CIL a monté une équipe dédiée en 2017, composée d'un avocat et de conseillers spécialisés dans la conduite du changement et la constitution du registre des traitements exigés par le règlement.

Jour J. "J'ai écrit les 10 commandements du RGPD pour La Redoute"

Officiellement promu Data Protection Officer (DPO, la nouvelle appellation des CIL), en mai 2018, au moment de l'entrée en vigueur du RGPD, Philippe Huyon voit ses missions évoluer. "Historiquement, nous étions dans une démarche de déclaration de nos traitements de données à la Cnil, contextualise-t-il. Avec le passage du CIL au DPO, je suis dans une démarche d'amélioration continue, via des audits internes de conformité des process, notamment." Le 25 mai 2018, date d'entrée en vigueur du RGPD n'a, pour autant, "pas été un Big Bang", tranche Philippe Huyon. Seul fait marquant en ce Jour J : "Toutes les équipes se sont immédiatement mises en ordre de marche", remarque le DPO. Et pour cause : chaque nouvel arrivant qui travaille dans l'univers data - marketing ou service client, notamment - est sensibilisé à la démarche de l'entreprise et formé aux process. "Pour les aider, j'ai également écrit les 10 commandements du RGPD pour La Redoute, précise Philippe Huyon, qui présentent les bonnes pratiques à suivre au quotidien au niveau de la sécurisation des mots de passe ou du transfert de fichiers contenant des données. Il, est, par exemple, banni d'envoyer, en interne, des informations clients par email."

J+50. "Les actions à mener ont été dispatchées dans une matrice des priorités"

Après un audit d'évaluation des écarts entre la pratique des métiers et les exigences du RGPD, en France et dans les filiales internationales (Angleterre, Belgique, Suisse, Portugal, Suisse, Espagne), un plan d'action visant à répondre à 4 enjeux - éthique, juridique, stratégique, et financier - a été imaginé. "Les actions recensées lors des audits ont été dispatchées dans une matrice des priorités, expose Philippe Huyon. Il est illusoire de penser que la mise en conformité est parfaite au 25 mai 2018."

Pour ce faire, les actions à mener ont été classées en fonction du risque pris par la marque, par la complexité de leur mise en oeuvre, et par leur visibilité par les clients. "L'idée est d'identifier plusieurs types de mesures, précise-t-il. En premier, celles qui prennent peu de temps à déployer, puis celles visibles, sur les sites vitrines de la marque notamment, puisque les premiers contrôles de la Cnil s'effectueront à distance, et enfin, les actions moins urgentes."

Ainsi, la marque a prioritairement déployé un Dashboard sur son site Web, afin de rendre le client autonome dans la gestion de son consentement aux newsletters ou aux cookies... tandis que la mise en conformité des contrats avec ses sous-traitants occasionnels se fait, quant à elle, au fil de l'eau. Un formulaire pour le droit d'opposition ou le droit d'accès à ses données personnelles a été créé spécialement dans le compte client.

J+100. "La sécurisation des data représente d'importants investissements"

Encore en cours, les actions de sécurité de la data. "Les données structurées, dans les logiciels, et non structurées, gérées dans Excel, doivent être maîtrisées et sécurisées. Il s'agit de traçabilité : qui manipule quelles données, pourquoi et comment ? Cela représente d'importants investissements et il a donc fallu dégager des budgets, ce qui prend du temps", fait part le DPO, convaincu que le bon sens est le meilleur moteur de décision.

La sensibilisation continue également auprès des collaborateurs de La Redoute : une vidéo présentant les "RDPO", les DPO déployés dans chaque filiale en relai à l'action de Philippe Huyon, a ainsi été réalisée et présentée aux équipes. Des workshops pour former les experts métiers sont également organisés sur des sujets tels que le droit des personnes, la sécurité ou, encore, le registre des traitements.

J+200. "Il me revient d'auditer de façon régulière les différents services"

Reste, encore, pour La Redoute à sécuriser les contrats avec ses sous-traitants, avec lesquels l'e-commerçant aux 180 ans partage désormais la responsabilité du traitement et de la protection des données clients. Une grande partie de cette mise en conformité contractuelle sera finalisée en 2018, "et un reliquat courra sur 2019", commente Philippe Huyon.

Et après ? Un programme annuel va être déployé. "Il me revient d'auditer de façon régulière les différents services pour voir si les process mis en oeuvre sont toujours respectés ou s'il est nécessaire de les faire évoluer", analyse le Data Protection Officer, engagé dans une démarche d'amélioration continue.

# data[].attributes.attachment_link.title
Comment La Redoute se met en conformité avec le RGPD?

# data[].attributes.attachment_link.description
Trempé dans le bain de l'univers client depuis ses débuts à La Redoute, en 1998, Philippe Huyon a fait de la satisfaction des consommateurs son bâton de pluie. Refonte des applications clients, amélioration du système d'information orienté client ou, encore, lancement du site Internet mobile de La Redoute, en 2007, et déploiement du CRM...

# data[].attributes.body
2-Comment démontrer que mon organisation respecte le RGPD ?

# data[].attributes.attachment_link.provider_name
Commission européenne - European Commission

# data[].attributes.attachment_link.title
Comment puis-je démontrer que mon organisation respecte le RGPD)?

# data[].attributes.attachment_link.description
Outils disponibles pour vérifier que votre organisation respecte la législation de l'UE relative à la protection des données.

# data[].attributes.headline
B-La protection des données personnelles dans les organisations en pratique

# data[].attributes.subject
B-La protection des données personnelles dans les organisations en pratique

# data[].attributes.body
1-Le RGPD au sein de l'entreprise

# data[].attributes.attachment_link.readable_text
Pour toutes les entreprises qui administrent des fichiers de données personnelles, la date du 25 mai 2018 est désormais bien connue : elle marque l'entrée en vigueur du règlement européen sur la protection des données personnelles (RGPD) qui leur impose de modifier leur gestion des données (clients, partenaires ou collaborateurs) afin de leur garantir une protection optimale. Un chantier particulièrement vaste qui nécessite de mobiliser différents acteurs au sein des entreprises !

Un travail d'équipe

Si, dans certains cas définis par le règlement, les entreprises doivent se doter d'un délégué à la protection des données (DPO), " Dans tous les cas, la conformité au RGPD nécessitera d'impliquer plusieurs services ", précise Ariane Mole, avocate et co-head de la pratique internationale de protection des données personnelles chez Bird&Bird. Selon elle, " la protection des données personnelles n'est pas l'affaire d'une seule personne, c'est un travail d'équipe ".

Pourquoi d'équipe ? Parce que l'ensemble des services qui collectent et manipulent au quotidien des données personnelles doivent collaborer de manière transversale pour recenser les fichiers de données qu'ils utilisent. Du service RH (données relatives aux salariés, aux candidats à l'embauche) au marketing (fichiers prospects), en passant par le service client (fichiers clients) et la facturation (fichiers clients, fournisseurs...), tous vont devoir en référer au service juridique et à la DSI, placés naturellement au cœur du pilotage de cette réorganisation. Le service juridique s'attelant, notamment, à l'analyse de l'impact des nouvelles exigences réglementaires sur l'activité de l'entreprise ; les services informatiques mettant, quant à eux, en œuvre les préconisations émises sur les systèmes existants.
Découvrez l'épisode 2 : Quelles sont les forces que je dois mobiliser pour relever le défi ? Pour en savoir plus

# data[].attributes.attachment_link.title
RGPD # 1 : qui mobiliser au sein de l'entreprise ? - Mag des compétences - Comundi

# data[].attributes.attachment_link.description
Pour toutes les entreprises qui administrent des fichiers de données personnelles, la date du 25 mai 2018 est désormais bien connue : elle marque l'entrée en vigueur du règlement européen sur la protection des données personnelles (RGPD) qui leur impose de modifier leur gestion des données (clients, partenaires ou collaborateurs) afin de leur garantir une protection optimale.

# data[].attributes.body
En tant qu'individu, citoyen, consommateur, mais aussi étudiant et futur professionnel, le RGPD s'impose à vous : il faut donc le connaître ...

# data[].attributes.body
Numéro de téléphone, adresse, orientation politique, préférences alimentaires... Aujourd’hui, ces données personnelles constituent une part majeure de l’économie numérique, du marketing, et leur utilisation est encore difficilement contrôlée. Mais depuis 2018 un nouvel outil de surveillance est mis en place : le Règlement général pour la protection des données (RGPD). Sur un certain nombre de points, ce nouveau règlement va plus loin que le droit français actuel, et devrait permettre de protéger un peu mieux les données des utilisateurs. Explications avec Martin Untersinger, journaliste au service Pixels du "Monde".

# data[].attributes.headline
A-Comprendre la protection des données personnelles dans les organisations 

# data[].attributes.subject
A-Comprendre la protection des données personnelles dans les organisations 

# data[].attributes.body
1- Comprendre le RGPD
-> Expliquez le RGPD grâce à la vidéo du journal Le Monde visionnée dans le point 2.
2 - Protection des données : ce que le RGPD change pour les entreprises
-> Réponse aussi dans la même vidéo
3-Les français et le respect de leur vie privée
-> Consultez l'étude Opinion Way ci-dessous. Notez sur votre dossier les principaux points.
(au passage, profitez-en pour regarder la méthodologie d'enquête à la page 3 ...)

# data[].attributes.body
Construisez votre dossier de cours à l'aide des ressources suivantes. Le plan vous est donné, suivez les flèches ...