RGPD : la Tech française n’est pas prête

Prêtes ou pas (59% des entreprises technologiques ne le sont pas, selon Tech in France), le Règlement général sur la protection des données (RGPD) entre en vigueur ce vendredi 25 mai 2018.

Le texte, rappelons-le, introduit de nouveaux droits pour les personnes (dont la portabilité des données) et des obligations pour les entreprises (dont la notification de toute violation de données à la CNIL).

Il renforce aussi les sanctions à l’encontre des responsables de traitement et des sous-traitants en infraction. Avec des amendes pouvant s’élever de 2 à 4% du chiffre d’affaires annuel mondial de l’entreprise concernée ou 10 à 20 millions d’euros…

Or, en France, près de six entreprises du logiciel et d’internet sur dix ne sont pas encore pleinement en conformité avec le RGPD. Parmi les retardataires, 90% sont des PME. C’est le principal enseignement d’une enquête « compliance » RGPD menée par l’association professionnelle Tech in France auprès de ses adhérents.

82 sociétés (sur 400) ont répondu au questionnaire. Les grandes entreprises sont les mieux préparées au RGPD. Les TPE et PME (moins de 20 M€ de chiffre d’affaires), en revanche, sont les plus nombreuses à indiquer ne pas remplir les critères à ce jour.

Ainsi, 71% des sociétés interrogées déclarent ne pas avoir adressé un avenant type RGPD à leurs clients pour mettre à jour les contrats.

Certification RGPD

80% des répondants disent avoir identifié les mesures nécessaires pour sécuriser leurs serveurs et flux de données. En revanche, une minorité (43%) a rédigé des règles internes applicables en cas de fuite de données. De surcroît, 53% n’ont pas défini de canal de communication pour gérer les demandes relatives à la protection data. Faute de ressources.

Ainsi, 73% des entreprises déclarent être incapables d’évaluer le coût des opérations de mise en conformité au RGPD. Et toutes ne sont pas en mesure de nommer un délégué à la protection des données (DPO).

Dans ce contexte, plus d’une société Tech sur deux (55%) considère ne pas être assez accompagnée. Parmi les pistes proposées, certaines préconisent la création d’une certification RGPD « officielle », ainsi qu’un support en ligne juridique et technique.

Tech in France déclare « compter sur les initiatives et la souplesse annoncées de la CNIL pour développer la mise en conformité des entreprises ». L’organisation dirigée par Bertrand Diard (en photo) veut aussi poursuivre le travail engagé avec d’autres (Afai, Cigref) pour sensibiliser les clients et les fournisseurs. Ils ont notamment concocté une recette conformité RGPD qui tarde à porter ses fruits, semble-t-il.