Quel est mon niveau de

maturité RGPD ?

Remplissez ce questionnaire afin d’évaluer votre maturité RGPD au regard des critères de la CNIL. Vos réponses nous permettront de vous proposer les prestations les plus en adéquation à votre situation.
(Quelques minutes à peine suffisent pour remplir ce formulaire).

Lexagone vous propose ce questionnaire en tant que responsable de traitement. Nous collectons vos données personnelles afin de déterminer votre maturité et de vous proposer les prestations correspondantes. Les questions suivies d’un astérisque sont obligatoires pour répondre au mieux à votre demande. Pour plus d’informations sur la protection de vos données à caractère personnel, nous vous invitons à consulter notre politique de confidentialité à l’adresse suivante : https://www.lexagone.fr/politique-de-confidentialite/

1. Avez-vous défini, mis en œuvre, communiqué des procédures relatives à la protection des données ?

Niveau 1 : Quelques bonnes pratiques sont ponctuellement mises en œuvre (minimisation de la collecte, effacement des données obsolètes, mentions d’information). Niveau 2 : Vous avez une documentation sur la protection des données (bonnes pratiques, charte d’utilisation des moyens informatiques) que vous partagez. Niveau 3 : Une documentation formalisée, approuvée par le comité de direction, est communiquée à l’ensemble du personnel. Niveau 4 : Une revue annuelle des politiques et procédures est réalisée. Des indicateurs sont produits (ex : sur la mise en œuvre des règles, sur les difficultés rencontrées, sur leur efficacité, etc..). Niveau 5 : Les politiques et procédures sont mises à jour dès identification d’une amélioration possible.

2. Votre stratégie de protection des données

Niveau 1 : Des compétences relatives à la protection des données sont identifiées au sein de l’organisme (ex : service juridique) et exploitées ponctuellement. Niveau 2 : Vous avez nommé un responsable afin de répondre aux problématiques RGPD. Niveau 3 : Vous avez désigné un DPO pour votre organisme. Niveau 4 : Le DPO produit un bilan annuel de ses actions aux dirigeants de l’organisme. Niveau 5 : Des moyens sont régulièrement alloués afin de mettre en œuvre des plans d’action au regard du bilan du DPO.

3. Le recensement et la tenue à jour de la liste des traitements

Niveau 1 : Vos services sont capables d’identifier les traitements de données personnelles. Niveau 2 : Les traitements de données sont identifiés de manière centralisée. Niveau 3 : Vous tenez, conformément au RGPD, un registre des activités de traitement. Niveau 4 : Vous vérifiez régulièrement la complétude et la qualité du registre. Niveau 5 : Votre registre vous sert d’instrument de pilotage (exemple : suivi des plans d’action, gestion comparative des risques).

4. La conformité juridique des traitements

Niveau 1 : Des mentions d’informations sont insérées sur les principaux endroits de collecte de données. Niveau 2 : Pour chaque traitement, une étude des principes fondamentaux (proportionnalité de la collecte, licéité, droits des personnes…) est réalisée. Des clauses contractuelles sont évaluées et comprennent une partie relative à la protection des données. Niveau 3 : Vous formalisez et utilisez des clauses types pour les contrats avec les sous-traitants. Des AIPD sont menées sur les traitements susceptibles d’engendrer des risques élevés sur les personnes. Niveau 4 : Des revues régulières des mentions légales et des clauses contractuelles sont programmées et réalisées. La qualité de vos AIPD est évaluée par des indicateurs et des plans d’actions sont mis en œuvre. Niveau 5 : Dès l’initiation d’un projet, vous prenez en compte la protection des données. Les améliorations possibles sont régulièrement étudiées. Vous réalisez une veille juridique et technique.

5. Formation et sensibilisation

Niveau 1 : Seulement certains collaborateurs sont sensibilisés à la protection des données. Niveau 2 : Les services sont capables d’identifier et transmettre les sujets relatifs à la protection des données au référent RGPD. Niveau 3 : Des sessions de sensibilisation sont régulièrement organisées pour l’ensemble des collaborateurs. Niveau 4 : Des indicateurs sont produits afin de mesure qualitativement et quantitativement la compréhension des sujets liés à la protection des données. Niveau 5 : Des sensibilisations ou sessions d’information sont régulièrement proposées sur les nouvelles problématiques relatives à la protection des données.

6. Le traitement des demandes des usagers internes et externes

Niveau 1 : Les demandes des usagers sont gérées au cas par cas. Niveau 2 : Vous avez créé des courriers types afin de répondre aux demandes. Niveau 3 : Des réponses types aux demandes d’exercices des droits et questions sont formalisées et utilisées. Une procédure de gestion des demandes d’exercice de droits est définie et communiquée aux salariés. Un formulaire de contact est mis en place sur le site internet toutes les requêtes sont centralisées. Niveau 4 : Le référent RGPD est systématiquement informé de chacune des demandes concernant le droit des personnes. Ces demandes font l’objet d’indicateurs qui apparaissent dans le bilan annuel. Niveau 5 : L’ensemble du processus de gestion des demandes d’exercice des droits fait régulièrement l’objet d’améliorations.

7. La gestion des risques de sécurité

Niveau 1 : Vous avez mis en œuvre des mesures de sécurité élémentaires (ex : habilitations, sécurisation des postes de travail, etc.). Niveau 2 : Des référentiels sont utilisés pour choisir et mettre en place des mesures de sécurité (ex. : Guide sécurité des données personnelles de la CNIL, politique de sécurité interne, etc.). Niveau 3 : Les AIPD comprennent une étude des risques de sécurité. Une méthode est employée pour apprécier les risques des traitements susceptibles d'engendrer des risques élevés sur les personnes concernées et les traiter de manière proportionnée. Les études de risques font l’objet de plans d’action. Niveau 4 : La mise en œuvre de ces plans d’action est vérifiée en termes d’effectivité et d’efficacité. Niveau 5 : Les études de risques et plans d’action font l’objet d’une revue annuelle. Une veille active est réalisée sur les vulnérabilités liées aux supports des données et des actions correctrices sont prises en cas d’impact sur le système d’information.

8. La gestion des violations de données

Niveau 1 : Des incidents sont signalés. Des mesures correctrices sont parfois prises. Une notification de violation de données est parfois effectuée auprès de l’autorité de contrôle. Niveau 2 : La gestion des incidents est mise en œuvre de manière centralisée et inclut les violations de données. Des mesures correctrices sont systématiquement prises. Une communication aux personnes dont les données ont fait l'objet d'une violation pouvant engendrer un risque élevé. Niveau 3 : Vous avez formalisé une procédure de gestion des violations de données. Celle-ci est mise en œuvre de manière systématique. Toutes les violations sont inscrites dans un registre dédié. À la suite d’une violation de données, un plan d’action est prévu afin de réduire le risque qu'elle ne se reproduise. Niveau 4 : Vous vérifiez l'application des mesures correctives et des indicateurs de suivi des violations de données sont créés et communiqués (ex. : dans le bilan annuel). Niveau 5 : Un bilan des violations est régulièrement réalisé afin d'identifier et de mettre en œuvre des mesures permettant d'améliorer la sécurité des données. La gestion des violations de données alimente les études de risques (ex. : AIPD). Une gestion automatique des traces permet de détecter les violations de données dans les plus brefs délais.

9. Quelle est votre adresse email ?

10. Quel est votre nom ?

11. Quelle est votre entreprise ?

12. Souhaitez-vous être recontacté par Lexagone pour une première analyse de vos résultats ?

Oui Non

13. Si vous souhaitez être recontacté par téléphone, merci de préciser votre numéro

Besoin d'un audit complet ?

Lexagone services RGPD, DPO externe & mise en conformité RGPD

Contactez nos experts