RCMQu’est-ce que ce service ?
Ce service prépare votre organisation à deux situations qui arrivent toujours au mauvais moment : une violation de données personnelles et une demande d’exercice de droits, par exemple une demande d’accès d’un ancien salarié ou d’un client mécontent.
Dans les deux cas, le RGPD impose des délais courts : 72 heures pour notifier une violation à l’autorité compétente lorsqu’elle présente un risque, et un mois pour répondre à une demande de droits. Le service met en place les procédures, les rôles et les modèles qui permettent de tenir ces délais sans improviser.
Détecter
Qualifier
Décider
Notifier si requis
À qui s’adresse-t-il ?
Il s’adresse aux organisations où la sécurité, le support client, les RH, le juridique et la direction n’ont pas encore de circuit commun pour ces situations.
Situations qui déclenchent la mission
- Un incident récent (mail envoyé au mauvais destinataire, ordinateur perdu, accès non autorisé) a montré que personne ne savait qui décidait.
- Une demande d’accès ou d’effacement est arrivée et a été traitée en retard ou de manière incomplète.
- Un client européen exige une procédure de gestion des incidents dans le contrat de sous-traitance.
- Vous préparez une certification ou un audit de sécurité et devez documenter le volet données personnelles.
Problèmes que nous rencontrons souvent
- Les incidents sont traités comme de simples tickets techniques, sans évaluation du risque pour les personnes.
- Aucun registre des violations n’est tenu, alors que le RGPD demande de documenter chaque violation, même non notifiée.
- Les demandes de droits arrivent par plusieurs canaux (mail, formulaire, réseaux sociaux) sans être centralisées ni datées.
- L’identité du demandeur n’est pas vérifiée, ou l’est de manière disproportionnée.
Ce que la mission comprend
La mission couvre les deux circuits, violations et droits des personnes, et peut se limiter à l’un des deux si l’autre existe déjà.
Livrables
- Procédure de gestion des violations : détection, qualification du risque, décision de notifier, communication aux personnes et clôture.
- Matrice de décision : une grille simple pour décider en moins de 24 heures si la violation doit être notifiée.
- Registre des violations : un modèle prêt à l’emploi, conforme à l’article 33.5 du RGPD.
- Procédure de réponse aux demandes de droits : réception, vérification d’identité, recherche des données, réponse et archivage.
- Modèles de réponse : accès, rectification, effacement, opposition et refus motivé, en français et en anglais.
- Exercice de simulation : un scénario réaliste joué avec vos équipes pour tester la procédure.
Ce que le client doit fournir
Les contacts des personnes concernées (IT, support, RH, direction), vos procédures existantes, la liste des canaux par lesquels arrivent les demandes, et deux ou trois incidents passés si vous en avez.
Déroulé type
Cartographier
Canaux, acteurs et incidents passés.
Rédiger
Procédures, matrice et modèles.
Simuler
Un exercice avec vos équipes.
Ajuster
Corrections et version finale.
Le cas des prestataires au Maroc qui travaillent pour l’Europe
Si vous traitez des données pour un client européen, vous êtes en général son sous-traitant. Le RGPD vous oblige alors à le prévenir sans délai injustifié de toute violation, et c’est lui qui décide de notifier l’autorité. Beaucoup de contrats fixent un délai précis, souvent 24 à 48 heures.
La procédure que nous rédigeons distingue clairement ces deux rôles, pour que vos équipes sachent qui alerter, dans quel délai et avec quelles informations, selon que vous êtes responsable du traitement ou sous-traitant.
Limites importantes
Ce service prépare votre organisation ; il ne remplace pas une équipe de réponse à incident en sécurité informatique. En cas d’urgence réelle, la disponibilité et le périmètre de l’intervention sont confirmés avant de commencer.
RCM fournit un accompagnement de conformité et de DPO. RCM n’est pas un cabinet d’avocats. Lorsqu’une consultation juridique spécialisée ou une représentation contentieuse est nécessaire, elle doit être confiée à un professionnel habilité.
Questions fréquentes
Faut-il notifier toutes les violations de données ?−
Non. Une violation doit être notifiée à l’autorité lorsqu’elle présente un risque pour les droits et libertés des personnes, et communiquée aux personnes lorsque ce risque est élevé. En revanche, toutes les violations doivent être documentées dans un registre interne.
Quel est le délai pour répondre à une demande d’accès ?+
Un mois à compter de la réception. Ce délai peut être prolongé de deux mois pour une demande complexe, à condition d’en informer la personne dans le premier mois.
Combien coûte ce service ?+
À partir de 700 € HT pour un circuit simple. Le prix dépend du nombre d’entités, de canaux de demande et de l’option exercice de simulation.
Pouvez-vous nous assister pendant un incident réel ?+
Oui, dans le cadre d’un DPO externalisé ou d’une intervention ponctuelle confirmée au cas par cas. Avoir la procédure en place avant l’incident reste la meilleure protection.
Parler de votre situation
Présentez le contexte, le calendrier et les acteurs. Nous vous dirons si ce service correspond réellement au besoin.
Demander un cadrage →