Comment rater son projet GDPR ? Les 10 pièges à éviter !

1. 1
MATINÉE DÉCOUVERTE
COMMENT RATER
SON PROJET
GDPR?
JEUDI 12 OCTOBRE 2017

2. 2
UN GROUPE DE CONSEIL ET SOLUTIONS INNOVANTES
SPÉCIALISÉ SUR LA DATA & LE DIGITAL
3 AGENCES
EN CHINE9 AGENCES
RÉGIONALES
EN FRANCE
5 PAYS
EN EUROPE
+ 110 M€ DE CA
D O N T 3 0 % A L ’ I N T E R N A T I O N A L
1150
C O N S U L T A N T S M E T I E R S
E T I N G E N I E U R S
NOTRE MISSION
A I D E R L E S E N T R E P R I S E S À S E T R A N S F O R M E R
E N T I R A N T L E M E I L L E U R PA R T I D E L’ I N N OVAT I O N

3. 3
TRANSFORMATION DIGITALE / AGENCE WIDE
Un positionnement unique qui allie expertise Conseil des CMO’s,
excellence technologique et design.
GOUVERNANCE DES DONNÉES
Leader du MDM en Europe.
Plus de 70 projets réalisés.
PILOTAGE DE LA PERFORMANCE
Spécialiste DATA depuis 25 ans.
Leader de la Performance Financière avec plus de 250 projets réalisés.
3 OFFRES COMPLÉMENTAIRES
AU SERVICE DE LA PERFORMANCE DES DIRECTIONS MÉTIERS

4. 4
NOUVELLES SIGNATURES 2016

5. 5
Le nombre de données à gérer et à maîtriser avec des exigences de « compliance »
élevées s’accroît (GDPR, BCBS 239, INCOM, IDMP,…).
PROCESSUS CLIENT DE PLUS EN PLUS AMBITIEUX
En multipliant les canaux et les contextes d’interaction client, le digital et l’omni-canal
permettent/imposent aux entreprises d’innover, voire de se réinventer. La donnée est source
d’innovation.
STRATÉGIE PRODUIT/OFFRE ET DIFFÉRENCIATION
La mise en avant des produits et des offres dans un contexte digital oblige les entreprises à gérer des
informations plus nombreuses et spécifiques aux contextes de diffusion.
PRISE DE CONSCIENCE DE LA VALEUR DES DONNÉES
Les approches Big Data ont fait prendre conscience aux entreprises des potentiels
évolutions/enrichissements de leurs offres de services. Une gouvernance sera nécessaire pour
l’industrialisation de ce nouveau domaine.
CONTRAINTES RÉGLEMENTAIRES CROISSANTES
LES ENJEUX DE GOUVERNANCE DES DONNEES

6. 6
Cadre de contrôle
visant à évaluer,
optimiser, contrôler, et
entretenir les données
de l’entreprise
• Dictionnaire
• Modèle de gouvernance
• Acteurs, rôles et
responsabilités (data
Owner, data Producer, data
consumer, data steward)
• Comitologie de la
gouvernance
• Politiques de sécurité,
• Cycle de vie et processus,
• Traçabilité,
• Indicateur Data Quality
• Règles de qualité
• Règles de priorisation de la
Data Governance
• Segmentation des données
• Data preparation /
exploration
• Data enrichissement
• Traitement Data Quality
• Traitement Data
Stewardship
• Master data Management
• Publication et
synchronisation des
données
Organisation
3. Identify Domain
SMEs and
Stakeholders
8. Mentor
Stewards
6. Recognize Data
Definer, User, and
Producer
Stewards
2.1.1 Build Team
DataQuality
Team-
Business&
DataAnalysts
DataDomain
Steward
LOB/Functional
AreaDataSteward
Coordinator
DataSteward
Committee
Data
Governance
Council
4. Identify SMEs
for Applications
Resource
Checklist
Template
Process
Manual
5. Note Potential
Data Stewards
During Domain
Definition
Resource Checklist
Template
Steady State: DG Council and
Data Steward Committee* are
Established
9. Mobilize Data
Stewards
2.1.2.7
End
1. Select Data
Domain Steward
Resource Checklist
Template
2. Map Data
Domain to Lines of
Business
* If Data StewardCommittee
is not yet Established, LOB
Coordinators (who will
eventually be on it) will serve
this function
7. On-Board
Stewards
Resource
Checklist
Template
2.1.2 Build Common Definition (Continued)
LOB/Functional
AreaDataSteward
Coordinators
DataQuality
Team-Modeler
DataQualityTeam-Business
Analyst
DataDomain
Steward
No
Yes
16. Update
Glossary of Terms
with CLDM Terms
2.1.3
14. Validate Data
Element List and
Conceptual Model
8. Conduct Subject
Area-Focused JAD
Session
11. Update
Conceptual Data
Model
10. Document
Data Standards &
Rules Findings
2.1.2.4
17. Validate
Glossary of Terms
Glossary of
Terms Template
DQ Rules &
Standards Template
9. Document
Business
Definition Findings
Glossary of
Terms
Template
DQ Rules &
Standards
Template
Glossary of
Terms
Template
1.3.112. Update
Subject Area List
15. Initiate
CLDM
Maintenance
Process
2.1.2.7
JAD Session
Guide
13. Have All Subject
Areas Been Sufficiently
Explored?
15. Initiate
CLDM
Maintenance
Process
6. Create JAD
Session Guide and
Draft Element List
2.1.2 Build Common Definition
LOB/Functional
AreaDataSteward
Coordinators
DataQuality
Team-Modeler
DataQualityTeam-Business
Analyst
DataDomain
Steward
5. Obtain
Participant Time
JAD Session
Guide
3.Validate Domain
Scope
Scope
Summary
Template
2.1.1.3
2. Determine
Domain
Boundaries
4. Create
Conceptual Data
Model
Scope
Summary
Template
Data Governance
Council Initiates
Domain Definition
2.1.2.8
CLDM
7. Prepare Pre-
JAD Session
Communications
1. Create Domain
Boundaries Draft
Subject Area List
2.1.2.11
7. Verify DQ Rules
and Standards
4. Create Draft DQ
Rules and
Standards
2. Gather
Information on
Data Elements
8. Validate DQ
Rules & Standards
1. Review
Elements in DQ
Rules & Standards
2.1.3 Build Data Quality Rules and Standards
DataQualityTeam-BusinessAnalyst
9. Capture Dashboard/
Scorecard/Reporting
Requirements/ Scope
LOB/Functional
AreaDataSteward
Coordinators
Data
Domain
Steward
DataQuality
Scorecard
Team
Yes
No
Yes
No
DQ Rules and
Standards
Template
6. Conduct
Additional JAD
Sessions or
Meetings
DQ Rules and
Standards
Template
DQ Rules and
Standards
Template
10. Create Data
Quality Dashboard
Mock-Up
2.1.2.14
DQ Rules and
Standards
Template
DQ Rules and
Standards
Template
1.3.1
2.3.2
DQ Rules and
Standards
Template
12. Mock-Up
Meets Needs?
5. Is More SME
Input Needed?
3. Determine
Application Instances
of Data Elements
DQ Rules and
Standards
Template
11. Validate
Dashboard Mock-
Up
DQ Rules and
Standards
Template
Règles et
politique
Opérations
Gouvernance des Données
LES DIMENSIONS DE LA GOUVERNANCE

7. 7

8. 8

9. 9
La protection des données personnelles est en train de devenir un enjeu majeur aux yeux des citoyens français
des français « préoccupés » par la protection des
données personnelles (+4% depuis 2014)
=> 93% des jeunes !
des français ont déjà effacé ou chercher à faire
effacer leurs données personnelles en ligne
Confiance des français envers les acteurs dans la capacité à protéger les données personnelles :
Source : Enquête CSA Research Sept 2017
Banques
Etat
Telcos Réseaux
sociaux
INTRODUCTION

10. 10
La législation en matière de protection des données personnelles a récemment été renforcée, tant sur le
plan national avec la Loi pour une République numérique (promulguée le 07/10/2016), que sur le plan
européen avec la General Data Protection Regulation – 2016/679 (plus connue sous l’acronyme « GDPR »)
dont l’application sera obligatoire au 25/05/2018.
CADRE LÉGAL DE LA PROTECTION DES DONNÉES PERSONNELLES
***
NATIONAL :
• Loi informatique et libertés (1978)
• Révision de la loi de 1978 en 2004
• Loi pour une République numérique (2016)
EUROPE :
• Directive 95/46/CE
• Règlement 45/2001 (Institutions européennes)
• Directive 2002/58/CE (E-privacy)
CONTEXTE ET ENJEUX

11. 11
Ce nouveau cadre légal renforce les exigences en matière de gestion des données personnelles par les
entreprises et les organisations publiques et dote les autorités nationales (la CNIL dans le cas de la France)
d'un plus grand pouvoir de sanction :
Les conséquences pénales ne doivent pas non plus être négligées, ni celles en terme d’impact sur la
réputation de l’entreprise et sur la confiance des clients et partenaires.
Dès à présent : Passent de 150K€ à 3 millions d’€
En 2018 : Portées à 20 millions d’€ ou 4 % du CA global
(le montant le plus élevé étant retenu)
SANCTIONS PÉCUNIAIRES MAXIMALES CNIL
CONTEXTE ET ENJEUX

12. 12
Qui impliquent pour la plupart des entreprises :
Une refonte des processus métiers et de la gouvernance de leurs données
Un réagencement de l’architecture de leur système d’information
La mise en œuvre de solutions techniques facilitant la mise en œuvre des exigences
Consentements
Minimisation
Droit
à l’information
Droit d’accès
& d’opposition
Analyse
d’impact
Registre
Traitements
Notifications
de sécurité
Data Protection
Officer
Privacy by
Design
Droit
à la portabilitéDroit à l’oubli
Droit à la
limitation
Exigences renforcées par le GDPR
Nouvelles exigences GDPR
Co-responsabilité
avec sous-traitants
EXIGENCES GDPR

13. 13
LES 10 PIÈGES À
ÉVITER DANS VOS
PROGRAMMES
GDPR

14. 14
PIÈGE N°1 : VOULOIR TOUT FAIRE POUR MAI 2018

15. 15
PIÈGE N°2 : SE PASSER D’UN ÉTAT DES LIEUX

16. 16
PIÈGE N°3 : FAIRE TABLE RASE DE L’EXISTANT

17. 17
JURIDIQUE
OU
IT / SÉCURITÉ
PIÈGE N°4 : N’ENVISAGER LE GDPR QUE SOUS L’ANGLE…

18. 18
PIÈGE N°5 : SE PASSER D’UNE VRAIE GOUVERNANCE ET
D’UN SPONSOR FORT & LÉGITIMÉ

19. 19
PIÈGE N°6 : NE PENSER QU’EN QUICK-WINS
(OU QU’À LONG TERME)

20. 20
Droit
à l’information
Droit d’accès
Droit
d’opposition
Droit
de rectification
Droit
à la portabilité
Droit à l’oubli
Droit à la
limitation
Droit ≠ decision
automatique
PIÈGE N°7 : MINIMISER (OU EXAGÉRER) L’IMPACT DE
L’EXERCICE DES (NOUVEAUX) DROITS

21. 21
PIÈGE N°8 : NÉGLIGER L’IMPORTANCE DE LA SENSIBILISATION
ET DE LA COMMUNICATION INTERNE (ET EXTERNE)

22. 22
PIÈGE N°9 : SOUS-ESTIMER L’AMPLEUR ET LA
COMPLEXITÉ DES TRAVAUX D’EFFACEMENT

23. 23
PIÈGE N°10 : NE PAS CAPITALISER SUR LES GRANDS
PROJETS DE L’ENTREPRISE

24. 24
PAR OÙ
COMMENCER ?

25. 25
Audit de sécurité
Analyse d’écart et de risques Priorisation
Feuille de route Trajectoire
Chantiers Organisation Chantiers Process Chantiers IT & Data
Définition des rôles et responsabilités
autour de la figure du DPO,
comitology, etc.
Définition et MAJ des process notamment autour
de la tenue du registre, des PIA, du Privacy by
Design ou encore de la mise en oeuvre des droits.
Conduire les chantiers IT pertinents afin
d’industrialiser la mise en conformité
(Gestion du consentement, digitalisation
de l’exercice des droits, outil de register…)
Sensibilisation Audit de l’existant
Sessions de formation et de
sensibilisation pour la direction et les
équipes impliquées
Analyse des règles, procédures, de la
documentation et de l’organisation
en place au regard du GDPR
Cartographie
Initialisation du recensement des
traitements de données personnelles
et cartographie des DP dans le SI
Exploration des données
Exploration d’un échantillon de
données significatif ou représentatif
avec des outils dédiés
Revue des dispositifs de sécurité
(Chiffrement, anonymisation, habilitations,
traçabilité, surveillance, stockage…)
Priorisation des enjeux en fonction
des risques encourrus et des priorités
du groupe
Etablissement d’une macro-trajectoire
listant les mesures à mettre en oeuvre
par ordre de priorité
Définition d’une feuille de route
précisant les modalités de mise en
oeuvre des mesures convenues
Analyse des risques induits par les
constats d’exigences non-conforme
QUELLE DÉMARCHE ADOPTER ?

26. 26
CONCLUSION

27. 27
Les données personnelles ne produiront la valeur attendue et espérée que si l’entreprise est capable
d’établir et de maintenir un climat de confiance avec ses clients/usagers.
Le GDPR doit être envisagé comme une opportunité d’établir durablement ce lien de confiance.
« Les entreprises qui réussiront à la créer pourraient multiplier par cinq ou dix le volume d’informations auxquelles elles sont
susceptibles d’avoir accès. Sans la confiance du consommateur, l’essentiel des milliards d’euros de valeur économique et sociale que
le Big Data pourrait représenter dans les années à venir risquerait d’être perdu »
Boston Consulting Group, Le Big Data face au défi de la confiance
UN MAÎTRE MOT : LA CONFIANCE

28. 28
MERCI DE VOTRE
ATTENTION
Eliott MOURIER
GDPR Offer Manager
+33 (0) 6 33 05 33 20
emourier@micropole.com
Pour toute demande d’informations complémentaires :