Votre client vous a envoyé un questionnaire PDPL. Voici les documents qu'il attend

Pour de nombreuses petites entreprises aux EAU, le premier contact avec le PDPL n'est pas un régulateur. C'est un questionnaire d'achat d'un client plus important. Les questions varient, mais elles tournent autour d'un petit ensemble de documents. Les avoir prêts transforme une semaine d'allers-retours en un après-midi.

Les questions, et le document qui répond à chacune

• « Tenez-vous un registre des activités de traitement ? » Le registre exigé par les articles 7 et 8 : quelles données, pour quelle finalité, sur quelle base juridique, partagées avec qui, conservées combien de temps.
• « Veuillez fournir votre politique de confidentialité. » Une politique rédigée pour le PDPL, qui mentionne le Bureau des données des EAU et les bonnes bases juridiques.
• « Qui est responsable de la protection des données ? » Un DPO nommément désigné lorsque l'article 10 l'exige, sinon un responsable de la vie privée nommément désigné.
• « Faites-vous appel à des sous-traitants ultérieurs ? Où les données sont-elles stockées ? » La liste de vos prestataires et de leurs régions d'hébergement, ainsi que les contrats qui les lient (article 8).
• « Comment géreriez-vous une violation de données personnelles ? » Une procédure écrite couvrant la notification prévue à l'article 9, idéalement avec la preuve qu'elle a été testée.
• « Quelles mesures de sécurité appliquez-vous ? » MFA, chiffrement, contrôle d'accès, sauvegardes, journalisation : les mesures techniques et organisationnelles de l'article 20.
• « Comment traitez-vous les demandes des personnes concernées ? » Une procédure pour l'accès, la rectification, l'effacement et l'opposition (articles 13 à 18).

Ce que les évaluateurs recherchent réellement

La cohérence. La politique de confidentialité, le registre des traitements et la liste des fournisseurs doivent raconter la même histoire. Une politique qui ne mentionne aucun transfert à l'étranger, à côté d'une liste de fournisseurs remplie d'outils SaaS américains, est le genre de contradiction qui déclenche des questions complémentaires.

Du concret plutôt que des formules toutes faites. « Nous prenons la sécurité au sérieux » ne rapporte rien. « La MFA est imposée sur les comptes de messagerie et d'administration ; les ordinateurs portables utilisent le chiffrement intégral du disque » répond à la question.

Constituer l'ensemble

Notre kit PDPL produit tous ces documents à partir d'un seul questionnaire, déjà cohérents entre eux puisqu'ils sont générés à partir des mêmes réponses : rapport des écarts, politique de confidentialité, registre des traitements, procédures de demandes et de violations, accord de traitement des données pour les fournisseurs, AIPD et calendrier de conservation.