Ne nous faisons pas d’illusion au sujet du GDPR : ne tablons pas sur une mise en conformité «rapide et facile». La mise en conformité reste un parcours complexe, prévient Jacques Toulout, Territory Manager BeLux, Veeam Software. 

Le sujet de la protection des données dans le numérique n’en finit pas de faire parler de lui et le cas de Cambridge Analytica en est encore une illustration parfaite. Si l’ampleur du fiasco reste encore à déterminer, une chose est sûre : l’entreprise britannique a pu recueillir les données de millions d’utilisateurs Facebook par le biais d’une application tierce sur le réseau social, et a ainsi pu influencer le comportement de cette audience avec du contenu micro-ciblé.

«En soi, observe Jacques Toulout, le fait que l’entreprise ait exploité, pour le compte de ses clients, des données utilisateurs dans le but d’influencer des comportements n’est pas un secret -c’est en effet ce qu’annonce noir sur blanc la page d’accueil du site de Cambridge Analytica. Ce qui est autrement plus inquiétant, en revanche, ce sont les fabrications de «fake news» et de pièges et scandales sexuels.» En outre, la manière dont l’entreprise a pu exploiter les données de Facebook constitue une violation de la protection des données et représente un «abus de confiance», de l’aveu même de Mark Zuckerberg, PDG de Facebook, qui a présenté ses excuses et admis que l’entreprise avait perdu de vue les données qu’elle avait la responsabilité de protéger.

C’est sans doute là le rappel le plus saisissant de l’incompatibilité croissante entre, d’un côté, la volonté de capitaliser sur les données et, de l’autre, la nécessité de les protéger. Le GDPR arrive donc à point nommé pour tous les consommateurs. Grâce à lui, chacun peut reprendre possession de ses données personnelles, à mesure que les entreprises doivent rendre des comptes et sont passibles, depuis le 25 mai 2018, de lourdes amendes. Il ne s’agit pas là de simples rumeurs alarmistes : il faut s’attendre à ce que certaines entreprises servent d’exemple, avec des sanctions pouvant aller jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires annuel de l’entreprise (le montant retenu étant le plus élevé) dans le cas d’infractions graves.

Les entreprises sont-elles prêtes pour le GDPR ?

Malgré la menace imminente des sanctions de non-conformité, de nombreuses études menées ces derniers mois révèlent qu’une grande majorité d’entreprises en Europe ne seraient toujours pas prêtes, et qu’un quart d’entre elles seulement serait parvenu à s’aligner totalement sur la nouvelle réglementation. Un constat peu rassurant, surtout lorsqu’on prend en considération la portée et la complexité des exigences du GDPR. Sur le web, on trouve une quantité de conseils -malheureusement souvent inexacts ou incomplets- promettant, aux entreprises qui souhaitent prendre des raccourcis, une mise en conformité rapide et facile.

En réalité, quand il s’agit du GDPR, il est illusoire de tabler sur une mise en conformité «rapide et facile», prévient Jacques Toulout. «Dans beaucoup de cas, celle-ci ne pourra se faire que par le biais d’une refonte complète et profonde de la manière dont l’entreprise collecte, stocke et utilise les données qu’elle possède sur les citoyens de l’Union européenne, ce qui inclut également les données sur ses propres employés.»

La technologie joue un rôle important pour atteindre ces objectifs de conformité, mais il s’agit de faire plus qu’activer des solutions technologiques tout azimut et voir ce qui prend. «La réussite des entreprises dans leur adhésion aux nouvelles régulations dépend de leur capacité à conduire des changements de comportement et de procédures de grande ampleur et aucun raccourci ne permet de garantir ce résultat», poursuit Jacques Toulout.

GDPR et avantage commercial

Même si la mise en conformité au GDPR est un parcours complexe, il est important de rappeler qu’un effort mené à l’échelle de toute une entreprise pour améliorer la protection des données représente également une opportunité unique d’un point de vue commercial pour les entreprises qui le font correctement, en particulier la possibilité de rester compétitif et de préparer son entreprise pour l’avenir.

«Dans un monde post-GDPR, enchaîne Jacques Toulout, les entreprises ont un devoir de transparence beaucoup plus exigeant portant sur leurs raisons de collecter des données et l’utilisation qu’elles en font. Plus encore, la réputation et le chiffre d’affaires des entreprises seront eux aussi liés à cette transparence.» La capacité des entreprises à exploiter les données à des fins commerciales reposera d’abord sur leur réputation et la construction d’un lien de confiance avec les consommateurs. Ceci constitue un changement fondamental en termes d’équilibre du pouvoir.

Et Jacques Toulout de conclure : «les entreprises qui comptent emprunter des raccourcis vers la conformité seront confrontées à de grandes difficultés, tandis que celles qui capitalisent sur les opportunités offertes par le GDPR et ont déjà commencé à adopter une approche proactive en matière de protection des données sortiront grandes gagnantes.»