La protection des données personnelles nécessite des budgets et un soutien de la direction

Une enquête menée auprès de 471 DPO précise leurs défis et leurs priorités pour 2020. Toutes les entreprises sont encore loin d’être en conformité avec le RGPD. Les budgets nécessaires sont souvent sous-estimés, les programmes mis en place sont considérés comme complexes et tous les métiers ne jouent pas le jeu…

Exécutoire depuis le 25 mai 2018, le RGPD a ouvert la voie à de nouvelles réglementations visant à renforcer la protection de la vie privée des citoyens. Le CCPA en Californie est une réalité depuis le début de cette année et un certain nombre de pays (Brésil, le Canada, le Japon et la Corée du Sud) envisagent de s’inspirer de ces textes.

Résultat, le nombre de DPO ne cesse d’augmenter. Selon The International Association of Privacy Professionals (IAPP), il y avait 75 000 offres de postes de DPO en 2017. En mai 2019, l’IAPP estimait à environ à 500 000 le nombre d'organisations en Europe ayant un tel profil.

Mais au-delà de ces embauches, où en sont les entreprises ? Réalisé par CPO Magazine, ce rapport « Data Protection & Privacy Officer Priorities 2020 » se veut un instantané des objectifs des délégués à la protection des données travaillant dans seize secteurs d’activité.

Premier constat pointé par l’étude vde CPO Magazine, presqu’un tiers (27 %) déclare que leur principal défi réside dans les restrictions budgétaires et l'absence de ressources.

Second constat : la difficulté à convaincre tous les métiers (concernés par les données personnelles) d’intégrer des processus de protection.

Cela peut paraitre surprenant, mais ce sont les grandes organisations qui sont le plus susceptibles de rencontrer des difficultés dans la mise en œuvre de mesures « spécial RGPD » dans les différents services.

Trois raisons principales sont invoquées. Premièrement, une organisation trop rigide (et segmentée). Deuxièmement, la volonté de mettre en place des programmes sophistiqués et donc considérés comme plus difficiles à mettre en œuvre par tout le monde. Enfin, de nombreuses grandes entreprises sous-estiment le coût de leur mise en conformité et allouent des ressources suffisantes.

Selon une récente enquête menée par l'IAPP sur les salaires des DPO, la médiane est de 123 050 dollars. Cela signifie que 57 % des organisations n'ont probablement pas plus de deux spécialistes de la protection de la vie privée en interne.

Seule une organisation sur cinq (21 %) dépense plus de 500 000 dollars par an dans ce domaine, une part qui peut surprendre puisqu’un tiers des répondants travaillent dans les organisations ayant plus de 10 000 collaborateurs…

Comme cela était prévisible, toutes les organisations ayant participé à cette étude sont à différents stades de la conformité. Résultat, elles font face à des défis spécifiques et leurs priorités évoluent en fonction de l’avancée de leur processus.

Cette étude constate différents points clés :

• La moitié (49 %) ont fait de la gouvernance du traitement des données et de la formation d'une culture de la protection de la vie privée une priorité absolue ;

• 20 % estiment que la mise en œuvre de nouvelles technologies de protection de la vie privée sera une priorité lorsqu’elles auront atteint leur maturité. Selon The International Association of Privacy Professionals (IAPP), il y avait, début 2017, 51 fournisseurs de solutions axées sur la protection de la vie privée et les données. Ce nombre est passé à 259 l’année dernière ;

• La moitié (57 %) des organisations disposent d'un budget annuel atteignant au maximum 250 000 dollars pour la protection des données et de la vie privée ;

• 76 % des organisations comptent moins de 10 employés dans des fonctions axées sur la protection des données et de la vie privée.

Le traitement des données transfrontalières et les demandes d’informations des clients sont prioritaires :

Les organisations cherchent avant tout à réduire les risques de fuites ou de vol de données personnelles en mettant en place des processus d'anonymisation et de pseudonymisation. L’étude constate aussi un intérêt pour la gestion des incidents et les outils de surveillance.

En conclusion, cette étude rappelle que le soutien de l’exécutif est déterminant pour obtenir un budget conséquent, mais aussi pour « inciter » les différents métiers à respecter les mesures recommandées par le DPO…