Chargé de mission au service du haut fonctionnaire de défense et de sécurité, Gilles de la Gorce a piloté de A à Z la démarche de mise en conformité au RGPD, pour le compte du secrétariat général des ministères chargés des affaires sociales. Il décrypte cette opération complexe qui a nécessité l’appui du cabinet Bearing Point, titulaire de l’UGAP.
- Comment le secrétariat général des ministères chargés des affaires sociales a structuré sa démarche de mise en conformité au RGPD ?
Rappelons déjà que cette démarche remonte à juillet 2017 lorsque les services du Premier ministre ont demandé à chaque ministère de se mettre en conformité au RGPD, Règlement général sur la protection des données, entré en vigueur le 25 mai 2018. Alors chargé de mission au secrétariat général des ministères des affaires sociales (santé, travail, jeunesse et sports), j’ai eu la responsabilité de coordonner l’équipe de préfiguration mise en place. Face au manque de méthodologie et d’outils en interne pour piloter un tel chantier stratégique, nous nous sommes très vite orientés vers une assistance à maitrise d’ouvrage. Et ce, en recourant à l’UGAP pour satisfaire nos impératifs de calendrier et de rapidité, au vue de nos délais particulièrement contraints. La centrale d’achat nous a alors aiguillés vers son titulaire expert, Bearing Point, pour mener à bien cette opération coup de poing.
- Comment s’est déroulé un tel accompagnement ?
Dès le départ, le prestataire nous a assistés dans la définition de notre cahier des charges, afin de mieux identifier nos besoins. Un travail qui était loin d’être une mince affaire, puisque nous étions alors dépourvus de registre de traitement de données à caractère personnel. L’intervention du prestataire s’est ainsi structurée en plusieurs étapes. D’abord, la formulation d’un corpus méthodologique co-construit avec l’équipe de préfiguration. C’est à partir de ce document de base que les opérations de qualification ont pu être conduites sur plusieurs mois : rassembler les informations obligatoires qui doivent figurer dans les registres de traitement, identifier les risques potentiels avec la mise en oeuvre, si besoin, d’une analyse d’impact et d’actions de mise en conformité,…, etc. Une méthodologie testée dans trois directions pilotes : une direction d’administration centrale (notre DRH) et deux directions régionales, une DIRECCTE* et une DRDJSCS**. Tel fut le cœur du travail de Bearing Point qu’il a su gérer en roue libre avec les entités concernées. Et ce, via l’animation de groupes de travail, avant restitution des travaux, début 2018, sous forme de séminaires, à l’ensemble de nos directions, une cinquantaine au total.- Que vous a concrètement apporté un tel accompagnement ?
L’objectif de disposer d’une méthodologie de mise en conformité a été largement rempli et nous avons pu amorcer ce travail complexe dans de bonnes conditions. Et ce, avec l’élaboration d’outils adaptés permettant à nos agents de s’y retrouver, quoique un accompagnement dans la durée s’est avéré nécessaire. Nous avons pu disposer d’une bonne base pour poursuivre l’action de mise en conformité, notamment sa généralisation dans les autres directions d’administration centrale, les DIRECCTE et les DRDJSCS. L’expertise de Bearing Point s’est avérée précieuse pour nous fournir un accompagnement sur-mesure - s’agissant d’une problématique nouvelle -, propre à s’adapter aux imprévus. Comme un travail préalable plus important que prévu de cartographie de nos données, chantier toujours en cours aujourd’hui. Nos différents services poursuivent ainsi leurs travaux de mise en conformité sous l’égide de notre déléguée à la protection des données, nommée le 1er octobre dernier.
*Direction régionale des entreprises, de la concurrence, de la consommation, du travail et de l’emploi
**Direction régionale et départementale de la jeunesse et des sports et de la cohésion sociale
