Une mise en conformité RGPD réussie avec Elise

Utilisateurs d’Elise au quotidien, vous avez sans doute entendu parler du nouveau Règlement sur la protection des données personnelles, entré en application en mai 2018. Toutes les entreprises et administrations se sont lancées sur un long chemin : celui de la mise en conformité RGPD.

Mais quelles sont les données personnelles stockées dans Elise ? Comment les identifier et surtout garantir leur traitement dans le respect du RGPD ?

Nous vous aidons à y voir plus clair et à répondre à toutes les questions de votre DPO !

Mise en conformité RGPD : mais où sont mes données ?

Qu’est-ce qu’une donnée personnelle ?

La première étape clé vers la mise en conformité RGPD est de pouvoir clairement identifier quelles sont les données personnelles disponibles dans votre ECM – et donc dans Elise, et pour quelle(s) finalité(s) de traitement elles sont utilisées.

La CNIL définit une donnée personnelle ou « Donnée à Caractère Personnel » comme :

« Toute information relative à une personne physique susceptible d’être identifiée, directement ou indirectement. »

Ce sont par exemple : un nom, une photo, une empreinte, une adresse postale, une adresse mail, un numéro de téléphone, un numéro de sécurité sociale, un matricule interne, une adresse IP, un identifiant de connexion informatique, un enregistrement vocal, etc. Et peu importe que ces informations soient confidentielles ou publiques.

En savoir plus : Bien se préparer au RGPD pour en faire un accélérateur de croissance

Les gisements potentiels de données personnelles dans Elise

Au sein d’Elise, plusieurs gisements potentiels de données personnelles existent.

Les données concernant des tiers

Vous pouvez d’abord trouver des données personnelles concernant des tiers avec lesquels vous communiquez au quotidien : citoyens, clients, partenaires ou fournisseurs. Il s’agit essentiellement ici de la base de contacts intégrée à Elise, qui permet de référencer ces tiers. Il peut également s’agir de documents reçus de ou émis vers ces tiers.

Les données concernant des collaborateurs de votre structure

Il s’agit cette fois de l’organigramme, qui structure Elise. Certains attributs de votre annuaire, comme l’adresse email, le nom ou prénom etc. sont par exemple synchronisés vers l’annuaire Elise et son organigramme.

Ce sont également tous les documents qui concernent votre personnel, comme les documents RH par exemple si vous avez choisi de gérer ces documents dans Elise.

Enfin, il y a aussi le journal qui contient la trace de l’ensemble des interactions des utilisateurs avec le système.

Localiser les données personnelles dans Elise

Le point commun de l’organigramme, de la base de contacts et du journal ? Ce sont des sources structurées assez évidentes dans lesquelles retrouver les données personnelles.

En revanche, cela se complexifie lorsqu’il s’agit d’identifier les données contenues dans votre base documentaire. Or, il est impératif de pouvoir le faire, car en cas de demande d’accès ou de rectification de la part d’un tiers ou d’un collaborateur, il vous faut être en mesure d’identifier les données correspondantes. Cela implique de repenser voire faire évoluer en interne les pratiques d’indexation des documents et la structuration des relations dans la base documentaire :

• Vous pouvez lier les documents à un référentiel : C’est le cas par exemple d’un courrier lié à une entrée de la base contact, ou encore d’une pièce d’un dossier adhérent lié à une fiche adhérent. Dans ce cas, il sera possible d’obtenir depuis le référentiel la liste des documents liés au contact. Simple et facile, grâce à l’explorateur d’Elise !
• En revanche, les documents portent parfois des données à caractère personnel dans leur contenu ou dans leurs métadonnées. C’est le cas par exemple d’un émetteur renseigné directement dans un courrier, ou d’un fichier stocké dans la base et qui contiendrait des données personnelles non étiquetées. Elise vous permet alors d’exploiter la recherche plein texte sur des documents océrisés, pour identifier les documents concernant le tiers requérant, puis filtrer et effectuer ensuite une analyse humaine.

En savoir plus : Quel impact du RGPD sur les processus documentaires ?

Répondre aux enjeux RGPD avec Elise

Une fois les données personnelles et les finalités de traitement identifiées, le responsable de traitement doit également faire face à d’autres enjeux, qu’il peut traiter avec Elise.

Les demandes d’accès

Lorsqu’un tiers demande à ce que lui soient communiquées ses données ou à ce qu’elles soient rectifiées, on parle pour le RGPD de SAR (Subject Access Requests). Ces demandes doivent être traitées dans un temps limité de 30 jours, et il paraît assez naturel d’enregistrer ces demandes et de les instruire dans votre solution d’ECM. En effet, Elise présente dans ce cadre de réels bénéfices, comme :

• La traçabilité des demandes et des actions réalisées pour les instruire
• Ou encore la mise en place de processus de traitement et de gestion des délais.

L’archivage

Autre enjeu : l’archivage des données. Le RGPD engage à traiter les données personnelles avec responsabilité, et notamment à les conserver uniquement le temps nécessaire au traitement.

Dans ce cadre, le module d’archivage d’Elise et la mise en place d’un tableau de gestion va permettre d’éliminer automatiquement de la base de données les informations qui ne sont plus nécessaires ou qui ont dépassé leur durée légale de conservation.

En savoir plus : L’archivage avec Elise

La journalisation

La journalisation est un élément essentiel dans le cadre d’une politique de gestion transparente et responsable de l’information, selon le principe fort d’accountability. Lorsqu’elle est activée dans Elise, elle vous permet d’avoir accès à un historique exhaustif des actions effectuées sur les données et documents.

Le contrôle

Enfin, Elise facilite la mission de contrôle du responsable de traitement. La gestion des droits est applicable par type de document, par rôle ou position hiérarchique dans l’entreprise. Cela permet de moduler facilement les droits d’accès et ainsi d’assurer une confidentialité des informations.

De plus, l’accès à des fonctions permettant de faire sortir des informations hors du périmètre d’Elise (export, envoi par email ou impression) peut également être géré avec la gestion des profils. Les envois par mail sont également tracés et insérés dans la fiche documentaire Elise.

Quelles garanties de conformité au RGPD avec Elise ?

En tant qu’éditeur d’Elise, NeoLedge vous propose donc des fonctionnalités permettant de faciliter les obligations imposées par le RGPD dans le cadre du traitement de vos données personnelles.

Afin de vous soulager des contraintes techniques liées au RGPD, NeoLedge vous propose également une offre SaaS : Elise Cloud. Contrairement à une solution installée localement, Elise Cloud vous décharge des responsabilités techniques et prend en charge le stockage, la sécurité physique de votre infrastructure ainsi que de vos données.

En savoir plus : Découvrir l’offre SaaS Elise Cloud

Vos seules responsabilités ? Celles relevant des traitements réalisés par vos équipes et par vos éventuels sous-traitants (dont NeoLedge pour la maintenance) sur ces données. Vous êtes également en charge du recueil et stockage des consentements sur le traitement de ces données.

La sécurité et la maintenance de vos réseaux ne seront plus un problème. Le contenu et le traitement des données au sein de l’application seront vos seules préoccupations.

Alors, prêts pour votre mise en conformité RGPD ?

Pour mettre à jour les données vous concernant : Cliquez ici