Article · RGPD et QSE
RGPD et QSE : une seule démarche,
pas deux.
Si vous avez déjà un système qualité, sécurité ou environnement, vous avez déjà la moitié de l’outillage du RGPD. Le piège serait de construire une deuxième usine à côté de la première.
Deux démarches qui se ressemblent plus qu’on ne le croit
Un système de management repose sur des mécanismes simples : savoir ce que l’on fait, désigner des responsables, maîtriser ses fournisseurs, former, auditer, corriger, revoir en direction. Le RGPD demande, pour les données personnelles, des choses voisines : tenir un registre, encadrer les sous-traitants, sensibiliser, détecter et traiter les violations, rendre des comptes.
La différence tient à ce qu’on protège. Un système QSE protège le client, les équipes ou l’environnement. Le RGPD protège les personnes dont on traite les données. Les mécanismes, eux, peuvent être mutualisés.
Ce que vous pouvez réutiliser
| Outil QSE déjà en place | Exigence RGPD qu’il peut porter | Où regarder |
|---|---|---|
| Cartographie des processus | Registre des activités de traitement : une ligne par traitement, rattachée à un processus | RGPD art. 30 ; ISO 9001 §4.4 |
| Gestion documentaire | Preuve de conformité : politique, mentions d’information, procédures | RGPD art. 5 §2 et art. 24 ; ISO 9001 §7.5 |
| Évaluation des fournisseurs | Encadrement des sous-traitants par contrat | RGPD art. 28 ; ISO 9001 §8.4 |
| Tableau des écarts et actions correctives | Gestion des violations de données et des demandes mal traitées | RGPD art. 33 ; ISO 9001 §10.2 |
| Audit interne | Contrôle périodique de la conformité | RGPD art. 24 ; ISO 9001 §9.2 |
| Revue de direction | Point régulier sur les droits, les violations, les contrats et les risques | ISO 9001 §9.3 ; ISO/IEC 27701 §9.3 |
| Sensibilisation | Information des équipes qui accèdent aux données | RGPD art. 39 ; ISO 9001 §7.3 |
| Analyse des risques | Mesures de sécurité adaptées, analyse d’impact quand le risque est élevé | RGPD art. 32 et 35 ; ISO 31000 |
Un plan en quatre temps
- 1. RelierAjoutez deux colonnes à votre cartographie : « traite des données personnelles ? » et « lesquelles ? ». Vous avez l’ossature du registre.
- 2. CompléterPour chaque ligne : finalité, base légale, durée de conservation, destinataires, sous-traitants. Pas plus.
- 3. BrancherAjoutez à votre revue de direction un point de dix minutes : demandes de personnes, violations, contrats à signer, risques nouveaux.
- 4. ProuverRangez les preuves dans le dossier qualité existant, avec les mêmes règles de versions et de revue.
Ce que la fusion ne fait pas
- Elle ne remplace pas la lecture du règlement. Les bases légales, les droits des personnes et les transferts hors Union européenne demandent une analyse propre au RGPD.
- Un certificat ISO ne vaut pas conformité RGPD. L’ISO/IEC 27701 aide à structurer et à démontrer, elle ne se substitue pas à la loi.
- Elle ne supprime pas les rôles. Qui décide des finalités et des moyens est responsable de traitement : la fusion des outils ne fusionne pas les responsabilités.
Pour commencer
Ouvrez votre cartographie des processus et entourez les processus qui manipulent des données de clients, de salariés ou de prospects. Cette sélection est votre périmètre RGPD de départ.
Parlons de votre enjeu.
Un premier échange de 20 minutes, sans engagement. Vous préférez écrire ? Un court message suffit.
Échanger