Le Règlement Général sur la Protection des Données (RGPD) est entré en vigueur le 25 mai 2018. Il s’applique à tout organisme qui collecte des données personnelles sur des citoyens européens.
Comment Total Marketing France s’applique à répondre à ces obligations de conformité ?
Décryptage avec Luc HOBON, délégué à la protection des données (Data Protection Officer) pour TMF et ses filiales.

1 – Qu’est-ce qui change pour Total Marketing France et ses filiales avec le RGPD ?

La protection des données personnelles existe depuis 1978 avec la loi dite « Informatique et Libertés ». Le RGPD renforce le droit des personnes et la responsabilisation des entreprises sur les traitements des données personnelles. Nous devons adapter notre fonctionnement (processus, procédure, applications / outils, pratiques) pour intégrer les nouvelles obligations et être en conformité.

• Renforcement des droits des personnes concernées
  • – Plus de transparence : l’entreprise doit fournir des informations claires et sans ambiguïté sur la façon dont sont traitées les données personnelles
  • – Traçabilité du consentement (acte positif clair par lequel la personne concernée manifeste de façon libre, spécifique, éclairée et univoque son accord au traitement de ses données personnelles)
  • – Droit à l’oubli : obligation d’effacer les données personnelles sous plusieurs motifs dans les plus brefs délais
  • – Droit à la portabilité : récupérer ses données personnelles dans un format lisible pour les stocker ou les transmettre à un tiers
• Responsabilisation de l’entreprise qui traite les données (accountability)
  • – Obligation de rendre compte de sa conformité en documentant les traitements
  • – Tenue d’un registre des traitements
  • – Protection dès la conception avec le Privacy By Design et en plus, pour les traitements à risque, une analyse d’impact relative à la protection de données
  • – Notification en cas de violation des données personnelles
  • – Responsabilisation du sous-traitant
  • – Nomination d’un “Data Protection Officer”
• Sanctions renforcées et graduées
  En plus de la limitation ou de l’interdiction d’un traitement et du risque réputationnel : amendes administratives jusqu’à 20 M€ ou 4% du chiffre d’affaires mondial de l’entreprise

 
2 – Quel dispositif a été mis en place au périmètre de TMF et de ses filiales pour répondre à ces obligations ?

• Désignation des Responsables de Traitement (RT)
  Un responsable de traitement définit les finalités et les moyens du traitement des données. Il donne des instructions et contrôle ses sous-traitants. Il dispose d’une connaissance métier lui permettant de maîtriser le traitement.Au sein de TMF, il y a 9 responsables de traitement : le directeur général et chaque responsable des 8 entités : Commerce Général, Réseau et Cartes Pétrolières, Lubrifiants France, Supply et Logistique France, Secrétariat Général, HSEQ, Ressources Humaines,Communication et Relations Clients.Pour les filiales de TMF, le responsable de traitement est le dirigeant.
• Désignation des Data Privacy Liaison (DPL)
  Chaque responsable de traitement désigne un référent données personnelles, appelé Data Privacy Liaison (DPL), qui est en charge de la mise en œuvre, au sein de son entité, du programme de protection des données personnelles du Groupe.Les principales missions du DPL sont :
  • – tenir à jour le registre des traitements de son entité ;
  • – vérifier que les mentions d’information (transparence) sont à jour et que l’exercice des droits est opérationnel ;
  • – s’assurer que la protection des données personnelles est prise en compte dès la conception d’un produit ou d’un service (privacy by design et analyse d’impact relative à la protection des données) ;
  • – contrôler que les sous-traitants respectent bien le RGPD.

Les DPL peuvent faire appel au DPO pour les aider à accomplir leurs missions.

• Désignation du Data Protection Officer (DPO)
  Pour répondre aux obligations légales, un poste de délégué à la protection des données (ou data protection officer) a été créé pour prendre en charge le périmètre de TMF et ses filiales. Luc HOBON occupe ce poste depuis le 1er juin 2019. Il a pour mission de :
  1. – informer et conseiller les responsables de traitement ou les sous-traitants ainsi que les employés qui procèdent au traitement sur les obligations qui leur incombent ;
  2. – contrôler le respect du règlement et du droit national en matière de protection des données ;
  3. – être le point de contact pour l’autorité de contrôle (CNIL en France) sur les questions relatives au traitement, et à ce titre, coopérer avec elle (en facilitant l’accès par la CNIL aux documents et informations).

3 – Quelles sont les principales actions déjà mises en place ou en cours au sein du périmètre TMF ?

L’inventaire des traitements a été réalisé. Chaque entité de TMF et chaque filiale dispose d’un registre de traitements qui doit être mis à jour dès qu’un changement intervient : ajout d’un nouveau service ou d’une fonctionnalité, changement de fournisseur ou de prestataire, changement d’application / outil, etc.

Une analyse de conformité RGPD des applications / outils existants est menée afin d’identifier puis de réaliser les actions de mise en conformité. La DSI de la branche M&S conduit ces travaux pour les applications où elle est partie prenante. Pour les applications dites locales (non gérées par la DSI MS), chaque responsable de traitement doit mener en direct ces travaux.

4 – Quels sont les prochains chantiers ?

• gestion de l’exercice des droits des personnes concernées ;
• gestion des incidents qui peuvent conduire à la notification d’une fuite de données;
• accueil d’un agent de la CNIL lors d’un contrôle.

TMF et ses filiales doivent décliner de façon très pragmatique les 3 procédures Groupe suivantes :

Pour les “traitements à risque”, une analyse approfondie (appelée analyse d’impact relative à la protection des données) doit être réalisée. Les traitements concernés sont : la vidéosurveillance des stations, la vidéosurveillance des dépôts, la gestion du Handicap au sein de TMF et des filiales, le paiement des amendes (ANTAI) avec la plateforme Total FLEET.

Au-delà des obligations légales, le RGPD est une opportunité pour :
– rationaliser les données que vous collectez,
– optimiser vos traitements,
– renforcer la confiance avec vos prospects, clients, fournisseurs, partenaires, prestataires, salariés, candidats.

Les actions menées peuvent constituer un avantage concurrentiel et améliorer l’image de notre entreprise.
Pour toute question relative à la protection des données personnelles ou au RGPD, n’hésitez pas à contacter Luc HOBON.