Conformité & Gouvernance
Mise en conformité complète avec le règlement (UE) 2016/679 et le Code italien de la protection des données : du premier état des lieux des traitements au dispositif de gestion qui tient dans la durée, avec des documents exploitables et des collaborateurs formés.
Ce que nous faisons
Nous cartographions les traitements, les flux de données, les systèmes et les fournisseurs ; nous mesurons l’écart par rapport au règlement et aux décisions du Garante (l’autorité italienne de protection des données) et nous en dégageons des priorités d’action claires.
Nous rédigeons le registre (art. 30), les mentions d’information, les actes de désignation des sous-traitants et des personnes autorisées, les politiques et les procédures : des documents adaptés à la réalité de l’entreprise, et non des modèles génériques.
Nous conduisons les DPIA sur les traitements à risque élevé (art. 35), évaluons les mesures techniques et organisationnelles et documentons les choix dans une logique de responsabilité (accountability).
Procédures et registres pour détecter, évaluer et notifier les violations dans les 72 heures, et pour répondre aux demandes des personnes concernées dans les délais prévus.
Nous évaluons les sous-traitants, préparons les accords de sous-traitance (art. 28) et gérons les transferts hors UE avec des clauses et des analyses adaptées.
Nous formons le personnel avec des parcours différenciés selon les rôles et maintenons le dispositif à jour grâce à des audits périodiques et à un appui en cas de contrôle.
Le règlement général sur la protection des données (RGPD) a changé la logique de la protection des données en entreprise : il ne s’agit plus d’une liste d’obligations formelles, mais d’un principe de responsabilité (accountability) qui demande à chaque responsable du traitement de démontrer, preuves à l’appui, qu’il a évalué les risques et adopté des mesures adéquates. À cela s’ajoutent le Code italien de la protection des données, les décisions du Garante sur des sujets spécifiques (vidéosurveillance, marketing, contrôle des salariés, cookies) et les lignes directrices européennes de l’EDPB.
Les sanctions peuvent atteindre 4 % du chiffre d’affaires annuel mondial ou 20 millions d’euros, mais le préjudice le plus fréquent est ailleurs : la perte de confiance des clients et des partenaires, et les coûts d’une violation de données mal gérée.
Nous ne partons pas de modèles types : nous partons de l’entreprise. Chaque projet commence par une cartographie réelle des traitements : quelles données entrent, où elles sont conservées, qui y accède, pendant combien de temps, avec quels fournisseurs. Ce n’est qu’ensuite que nous rédigeons les documents : ils décrivent ainsi ce qui se passe vraiment et résistent à un contrôle.
Nous travaillons aux côtés des fonctions concernées, en particulier la DSI, les ressources humaines, le marketing et les ventes, parce que la protection des données est un sujet transversal. Lorsque c’est nécessaire, nous intégrons la conformité RGPD à la sécurité informatique (mesures techniques, tests de vulnérabilité), au Modèle 231 (le modèle d’organisation et de gestion prévu par le décret législatif italien 231/2001) et aux systèmes de management certifiés comme la norme ISO/IEC 27001, en évitant la duplication des procédures et des contrôles.
Notre méthode
Nous rencontrons la direction et les référents métier, recueillons la documentation existante et définissons le périmètre, le calendrier et les interlocuteurs.
Entretiens structurés et analyse des systèmes pour reconstituer les traitements, les bases légales, les flux, les durées de conservation et les mesures de sécurité.
Un rapport présentant les non-conformités classées par niveau de risque et un plan d’action partagé, avec responsables et échéances.
Nous rédigeons les documents, accompagnons les adaptations des processus et des systèmes, gérons les relations avec les fournisseurs et formons le personnel.
Audits périodiques, mise à jour au fil des évolutions réglementaires et organisationnelles, appui en cas de demande des personnes concernées, de violation de données ou de contrôle.
Bénéfices
Livrables
Questions fréquentes
Oui. Le règlement s’applique à toute organisation qui traite des données personnelles, indépendamment de sa taille. Ce sont la complexité et la proportionnalité des mesures qui changent, et non l’obligation de conformité. Notre approche adapte les obligations à la taille réelle de l’entreprise.
Cela dépend de la taille, du nombre de traitements et du niveau de maturité de départ. Pour une PME aux processus standard, l’audit et la documentation de base demandent en général quelques semaines ; pour les organisations complexes ou multi-sociétés, la démarche est plus longue et plus structurée. Nous fixons des délais précis dans la proposition initiale.
Souvent en partie seulement. La réglementation, les décisions du Garante, les outils numériques et l’organisation évoluent : le registre, les mentions d’information et les mesures de sécurité doivent être réexaminés périodiquement. Un audit ciblé permet de déterminer ce qu’il faut mettre à jour sans tout refaire.
La désignation est obligatoire pour les autorités publiques, pour les organismes qui effectuent un suivi régulier et systématique des personnes concernées à grande échelle et pour ceux qui traitent à grande échelle des catégories particulières de données ou des données relatives à des condamnations pénales. Dans les autres cas, elle est facultative, mais souvent recommandée. Nous évaluons ensemble la situation concrète et, si cela est utile, nous proposons notre service de DPO externe.
Nous accompagnons l’entreprise dans la préparation de la documentation, pendant l’accès sur place et lors de la phase qui suit. Un système de protection des données construit dans une logique de responsabilité permet de démontrer les choix effectués et réduit sensiblement le risque de sanctions.
Services associés
Délégué à la protection des données externalisé : indépendance, compétence spécialisée et suivi continu des obligations issues du RGPD.
En savoir plusMise en conformité avec la directive (UE) 2022/2555 et le décret législatif italien 138/2024 : périmètre, gap analysis, mesures de sécurité, gouvernance et notification des incidents.
En savoir plusContrôles techniques de sécurité sur les réseaux, les applications et les infrastructures : nous identifions les vulnérabilités avant qu’un attaquant ne le fasse.
En savoir plusParlons-en
Parlez-nous des priorités de votre entreprise : lors d’un premier échange sans engagement, nous analysons le contexte et vous proposons un parcours concret, avec des délais et des résultats mesurables.