Quel est l’impact du RGPD sur la gouvernance des données dans les ERP ?

La gouvernance des données est un cadre stratégique et opérationnel qui vise à garantir que les données d’une organisation sont gérées de manière sécurisée et conforme aux réglementations en vigueur.

Cet ensemble de politiques, des processus et de normes définit la manière dont les données sont gérées, utilisées et protégées, dans le but d’aider les organisations à mieux les comprendre, et à mieux les exploiter.

Une mauvaise gouvernance des données peut avoir de lourdes conséquences pour une entreprise, qu’il s’agisse d’une perte de confiance des clients, d’amendes et de sanctions ou de litiges juridiques. Mal exploiter les données, ou les exploiter de manière non-réglementaire, peut aussi fausser les analyses et la prise de décision, ou entraver la compétitivité.

Depuis 2018, l’entrée en vigueur du Règlement général sur la protection des données (RGPD) est venue placer la gouvernance des données au cœur des préoccupations des organisations. Elle est appliquée par la Commission Nationale de l’Informatique et des Libertés (CNIL), qui est chargée de superviser l’application du règlement et de distribuer les sanctions.

Comment mettre en place un programme de gouvernance des données ?

L’histoire autour de la Factur-X remonte au début des années 2010, et répond à la nécessité de créer un format électronique qui soit à la fois lisible par l’homme et structuré pour les machines. Développé conjointement par la France et par l’Allemagne, il s’agit d’un standard de facture électronique mixte qui correspond à la première implémentation de la Norme Sémantique Européenne EN 16931, publiée par la Commission Européenne le 16 octobre 2017.

Sa particularité – ce fameux « X » qui le distingue des autres factures – tient à son format. En apparence, la Factur-X ressemble à une facture PDF classique, et se lit aisément. Or, elle contient aussi un fichier XML qui encapsule toutes les informations nécessaires à son traitement : la date, le numéro de facture, les montants, les coordonnées de chaque acteur, les informations de paiement… En combinant cette représentation lisible (généralement au format PDF), et cette représentation structurée des données pour les systèmes d’informations (généralement au format XML), elle permet de faciliter les échanges commerciaux.

Les données contenues dans une Factur-X sont conformes aux normes européennes (notamment au standard Cross Industry Invoice). Ce standard permet non seulement d’automatiser les opérations comptables, mais aussi de transmettre à l’administration fiscale les informations relatives à des opérations commerciales : on parle alors « d’e-reporting ».

Ce qu’il faut savoir sur les programmes de gouvernance des données

La mise en place d’un programme de gouvernance des données est complexe, et nécessite une approche méthodique. Il faut :

• Définir les priorités et objectifs : Quelles sont les données les plus sensibles ? Quels sont les défis urgents ? Quels objectifs commerciaux l’organisation souhaite-t-elle accomplir à travers une meilleure gestion de ses données ?
• Impliquer les différents métiers et parties prenantes dans le processus de planification. Par exemple, si les services informatiques définissent des règles de gouvernance sur les données financières, il faudra impliquer les équipes finance.
• Evaluer la situation actuelle : une évaluation approfondie de l’environnement de données d’une organisation est nécessaire pour comprendre ses lacunes, ses risques, et son potentiel d’amélioration. Tenir compte des pertes ou des violations de données permettra d’agir rapidement sur les manquements existants.

Ce qu’il faut faire

Une gouvernance des données efficaces implique de :

• Identifier précisément les rôles de chacun : notamment les responsables de la conformité, les responsables de la sécurité des informations, les propriétaires de données, les responsables de la gouvernance…
• Documenter les responsabilités, processus et définitions, en particulier ceux qui encadrent la collecte, le stockage, l’utilisation, le partage et la confidentialité des données.
• Définir les domaines et sous-domaines de données : pour les données clients, ces sous-domaines peuvent tomber dans la catégorie des informations personnelles, de l’historique d’achat, des préférences…
• Créer un inventaire pour les types de données critiques afin de répertorier chaque actif de donnée. Cela permet d’évaluer leur importance stratégique et leur sensibilité pour l’organisation.
• Déterminer quelles données ou catégories de données personnelles les organisations détiennent, afin de comprendre leur source, leur flux au sein de l’organisation (leur lignée), et d’évaluer les risques liés à leur collecte et à leur traitement (perte, vol, accès non-autorisé).
• Mettre en place des mécanismes de surveillance et d’audit pour vérifier la conformité aux politiques de gouvernance des données personnelles et éviter les sanctions.

En quoi le RGDP influe-t-il sur la gouvernance des données des entreprises ?

Adopté en 2016 et mis en place en 2018, le RGPD encadre la gestion des données à caractère personnel dans le but de protéger la vie privée des citoyens européens. Il s’agit de toutes les données qui permettent d’identifier, directement ou non, une personne : le nom, l’adresse, l’adresse email, l’adresse IP, les identifiants en ligne, le numéro de téléphone…

Les organisations doivent mettre en place une gouvernance des données conformes aux grands principes du RGPD, et fournir la preuve que leurs processus sont adéquats et respectent les réglementations. Elles doivent par exemple obtenir le consentement des individus avant de traiter leurs données personnelles, être transparentes sur leur mode de collecte et sur l’usage de ces données, accorder aux individus un droit d’accès et de rectification, garantir leur droit à l’oubli, leur permettre de supprimer les données les concernant… Cela implique de comprendre précisément les différents types d’informations qu’elles collectent, de garder une trace de leurs stocks, et de savoir qui en est propriétaire.

Lire aussi : Tout ce qu’il faut savoir des défis & enjeux du RGPD quand on est une PME

Comment tenir compte du RGPD dans la gouvernance de ces données au sein de l’ERP ?

Les ERP, qui sont des systèmes informatisés intégrés que les entreprises utilisent pour gérer et automatiser un large éventail de processus commerciaux, peuvent collecter des données qui entrent dans le cadre du RGDP. Par conséquent, ils doivent d’une part s’assurer que leur gouvernance respecte ce dernier, et peuvent d’autre part faciliter la tâche des organisations en matière de respect des réglementations.

En effet, les ERP peuvent faciliter la gestion du consentement des individus grâce à des modules de gestion des clients. Ils permettent notamment :

• de contrôler l’accès en délivrant des autorisations granulaires pour n’autoriser l’accès aux données personnelles qu’aux employés qui en ont besoin pour effectuer des tâches spécifiques
• de faciliter l’anonymisation des données à travers des protocoles de cryptage, en supprimant ou en modifiant les informations personnelles permettant d’identifier directement ou indirectement un individu, afin de protéger contre les accès non-autorisés ou les fuites de données
• de garantir une conformité légale dans la gouvernance des données en intégrant les recommandations de la CNIL, pour éviter d’être sanctionné par celle-ci
• de favoriser le droit à l’oubli en permettant la suppression des données personnelles lorsque celles-ci ne sont plus nécessaires à la finalité pour laquelle elles ont été collectées, afin de mieux respecter la vie privée des individus
• de recueillir et centraliser le consentement explicite des utilisateurs, de manière à ce que ceux-ci puissent s’opposer à l’utilisation de leurs données

Les ERP peuvent aussi faciliter la protection des données en mettant en place des mesures de sécurité appropriées pour le stockage et le traitement de celles-ci.

Ils doivent également documenter le traitement des données d’une manière qui assure sa traçabilité et sa conformité, et intégrer des fonctionnalités qui permettent d’atténuer les risques liés à la confidentialité.

Enfin, pour éviter les sanctions de la CNIL, les ERP doivent fournir des outils permettant d’auditer les processus de traitement de données et générer des rapports de conformité.

Archipelia est un ERP conforme au RGPD qui permet de gérer tous les processus d’une organisation depuis une même plateforme. En tant que pionnier des solutions 100 % web, il est bien placé pour aider les organisations à tenir compte du RGPD dans leur gouvernance des données. Contactez-nous pour en savoir plus !

Découvrez nos derniers articles