Chaque année, Data Legal Drive met à jour le baromètre RGPD en partenariat avec Lefebvre Dalloz et l’AFJE. Réalisé auprès de 348 professionnels des data et de la privacy, ce sondage a mis en lumière l’avis de DPO internes, DPO externes et juristes, des secteurs privé et public, de toutes les tailles et de tous les secteurs d’activité.
La crise sanitaire a profité au RGPD
La situation sanitaire aura finalement été favorable à la gouvernance des données personnelles au sein entreprises et des organismes publics : 47% estiment avoir atteint un niveau de complétude supérieur à 70%.
Toutefois, 37% des structures révèlent un taux de complétude inférieur à 50%. Des actions claires, des processus et gammes opératoires transverses et une organisation efficace nécessitent encore d’être améliorés, automatisés, accompagnés afin d’atteindre un meilleur niveau de conformité.
2 fois plus d’entreprises ont renforcé leur sécurité cette année
65% des structures interrogées cette année ont accéléré et renforcé leur sécurité en instaurant de nouvelles mesures, c’est 2 fois plus que l’an dernier.
Les lourdes sanctions émises par la CNIL et la multiplication des risques liés aux cyberattaques et à la sécurité des données ont permis de déclencher des actions de la part des entreprises et organismes publics :
- 1/3 des DPO ont mis en place des mesures de sécurité conformes à l’article 32 du RGPD
- 64% ont réalisé des audits du niveau de sécurité de leur site internet : protocole https, formulaires de recueils de données, etc.
CNIL, Cookies, Privacy Shield : le RGPD, un sujet d’actualité qui demande de l’agilité de la part des entreprises
Alors qu’en 2019 et 2020, seulement 1 site web sur 3 était en conformité avec le RGPD, les nouvelles recommandations de la CNIL améliorent la qualité RGPD des sites web avec plus d’1 site web sur 2 en conformité.
Pour 65% des professionnels de la protection des données interrogés, les dernières lignes directrices et recommandations de la CNIL liées aux cookies ont facilité l’appréhension des règles notamment dans le recueil du consentement des internautes. Pour Sylvain Staub, CEO de Data Legal Drive, c’est « un résultat positif où les efforts pédagogiques de la CNIL ont été nombreux durant une période de « tolérance » de 6 mois. S’ajoutent à cela les récentes et lourdes sanctions émises par la CNIL, notamment celle à l’encontre d’Amazon pour avoir déposé des cookies publicitaires sans consentement préalable et information satisfaisante. »
74% des DPO et juristes n’ont pas renégocié les contrats concernés par la fin du Privacy Shield et l’absence de décision d’adéquation UK lié au Brexit. « Et si 2021 était une année contractuelle RGPD ? L’arrivée imminente d’une décision d’adéquation UK au RGPD va permettre aux entreprises de respirer. Un effet collatéral de la fin du Privacy Shield avec des entreprises qui recherchent la pérennité de leurs engagements contractuels en matière de conformité RGPD : l’essor des Corporate Binding Rules se fait de plus en plus fort notamment au sein des ETI et Grands Comptes », relate Grégoire Hanquier, Directeur Juridique, de la Conformité et des Affaires Publiques chez Data Legal Drive.
Les secteurs Banques/Assurances, Santé et Formation doivent encore progresser
31% des DPO et juristes interrogés ont digitalisé leurs registres des traitements avec exhaustivité et pérennité. Une augmentation de 120% par rapport à mai 2019. Malgré ces résultats encourageants, 62% des DPO et juristes sondés réalisent encore leurs registres de traitements à l’aide d’Excel.
Parmi les secteurs les plus en retard, on retrouve l’éducation, la santé et les banques/assurances où la CNIL a pu déjà sanctionner quelques acteurs.
Les secteurs de l’éducation et de la santé sont très concernés par le RGPD, car de nombreuses données sont collectées dont des données sensibles. Pourtant, l’étude confirme leur retard avec 43% des entreprises du secteur de l’éducation qui réalisent leur cartographie des traitements de données personnelles de manière parcellaire et 38% des professionnels de la santé la réalisent de façon parcellaire et sous forme de tableur Excel.
Des entreprises 2 fois plus nombreuses à former leurs salariés au RGPD
Plus de 7 salariés sur 10 sont de plus en plus attentifs à la protection de leurs données au sein de leur entreprise. Cette année, 60% des organisations ont formé leurs salariés. Selon Sylvain Staub, c’est « Le niveau de maturité des collaborateurs est positif mais le chemin à parcourir reste long pour qu’il soit au centre de l’entreprise. La sensibilisation pourrait être efficace si lors de la formation, l’importance du RGPD était mise en lien avec chaque profession. »
Une multiplication par deux par rapport à l’an dernier qui peut s’expliquer de deux manières :
- La formation représente un avantage pour la sécurité des entreprises : plus le facteur humain est sensibilisé, plus le risque aura une tendance naturelle à se réduire.
- Inculquer aux collaborateurs les réflexes et bonnes pratiques permet à l’entreprise de démontrer son engagement dans le respect du RGPD de manière pérenne.
Afin de former leurs collaborateurs au RGPD, les entreprises ont privilégié les réunions avec les directeurs de chaque département de l’entreprise (27%), la diffusion d’informations sur leur intranet (18%) et la communication interne par email (17%). Elément surprenant, les séminaires dédiés au RGPD, les formations professionnelles et le e-learning restent des leviers encore très peu utilisés par les organisations !