De la théorie à la pratique

Transcription

1 De la théorie à la pratique Retour d expérience sur la mise en œuvre d un programme de Data Protection Septembre 12, 2014 Olivier Goffard Head of Group Compliance & Ethics Euroclear Group 1

2 Euroclear, une présence internationale Acteur clé du post-trade. Quelques activités: conservation de titre gestion de garanties (collateral) règlement-livraison (settlement) opérations sur titre (votes, dividendes, taxes ) émission et agence de numérotation pour titres 2

3 Euroclear, quelques chiffres clés Le Groupe Euroclear en 2013 Valeurs de titres détenus pour les clients d Euroclear: 24.2 billions* EUR Nombre de transactions règlées: millions représentant une valeur de 572 billions EUR L initiative Collateral Highway a mobilisé chaque jour pour 800 milliards EUR de transactions sécurisées ( collateralised ) Euroclear gère des titres domestiques provenant de 46 marchés Le règlement-livraison s effectue en 54 devises Euroclear détient plus de 1 million obligations, actions ou fonds en conservation Clients émanent de plus de 90 pays, Et finalement, nous sommes régulés par plus de 20 régulateurs. Quelques chiffres sur la protection de la vie privée ~4000 employés +4M clients Actif dans 46 pays ( data transfer ) ~10 data controllers 3

4 Une méthodologie robuste est nécessaire pour un projet d une telle envergure (1/3) 1 Identification des principales poches de risque 2 Evaluation du risque inhérent data protection par département 4

5 Une méthodologie robuste est nécessaire pour un projet d une telle envergure (2/3) 3 Travail de terrain pour identifier les contrôles déficients (risque résiduel) PRIVACY CONTROLS GAP DESCRIPTION Rationalized Requirements Category Rationalized Requirements Sub- Category Rationalized Requirement (Control Control ID Control Activity Inherent Risk Rating 0. Transversal 1. Human Resources 2. Client Management Objective) 3. Supplier Management 4. Control & Governance 5. Data Security 6. Delivery Excellence Residual Risk Rating 2. Supervisory Authority 2.1 Notification, Euroclear has executed Registration, Certification and maintains its and Filing Requirements notification, authorization, registration, certification and or filing requirements in relevant jurisdictions Applicable Data Protection Authorities have been notified of relevant data processing activities (e.g. processing of sensitive data, transfers of personal data outside the country, etc.) in their respective jurisdictions. High There is no specific, documented and Not managed by this coordinated procedure process. within Euroclear on notifications drafting, submission & regular review. Responsibilities have not been assigned in this area. Yet, in practice, Euroclear's departments and HR legal cope very well with this requirement. Not managed by this 2.1: Client admission & process. sponsorship Note: The processing of personal data for the purpose of client admission and sponsorship (and transaction monitoring) has not been notified to the Privacy Commission. Note: - Employee monitoring is not included in the current HR notifications. 6.1 Project Methodology, 6.2 RAC Process Note: DPA notification requirements should be handled in the regulatory compliance review, but no documentation explicitly includes this, which may lead to oversights. 6.3 Partner Management Low Data Protection Authorities are notified if there are changes to data processing activities in local jurisdictions. High There is no specific, documented and Not managed by this coordinated procedure process. within Euroclear on notifications drafting, submission & regular review. Responsibilities have not been assigned in this area. Yet, in practice, Euroclear's departments and HR legal cope very well with this requirement. Not managed by this process. Note: - First declaration of Euroclear s voice recording practices was made in This notification was made at the time and in the name of the previous company, J.P. Morgan, thus not under Euroclear's name. It appears that there has been no update of this declaration ever since. 6.1 Project Methodology, 6.2 RAC Process Note: DPA notification requirements should be handled in the regulatory compliance review, but no documentation explicitly includes this, which may lead to oversights. 6.3 Partner Management Low Catégorisation des exigences légales Objectif de contrôle à atteindre, et son activité de contrôle Risque inhérent Manquement par poche de risque Risque résiduel 5

6 Une méthodologie robuste est nécessaire pour un projet d une telle envergure (3/3) 4 Monitoring systématique de la mise en œuvre des contrôles 5 Formation, formation, formation Politiques écrites Formations E-learning 6

7 Les challenges sont parfois assez surprenants «Toutes les données enregistrées sur mon disque dur privatif sont des données à caractère personnel» «Les données des employés d un de mes clients personne morale ne sont pas des données à caractère personnel» «Les informations de ma fiche de salaire sont sensibles» «Je travaille au département sécurité informatique, je peux donc accéder les courriels suspects envoyés par nos employés».. Ne pas assumer que les concepts de base sont connus, il s agit d un domaine transversal complexe mêlant des aspects juridiques, opérationnels, technologiques 7

8 Exemples de difficultés pratiques (1/2) Monitoring des activités des employés au travail: Enregistrement et archivage des s, conversations téléphoniques, consultations et trafic internet : - Consultation des syndicats (France, Pologne vs autres pays) - Communication/information/consentement des employés - Monitoring individualisé vs statistique - Règles d accès au matériel enregistré - Gestion des signatures autorisées via une app sur internet: - Condition d utilisation de l app référençant l utilisation des données à caractère personnel collectées - Utilisation de l app et donc consultation des données hors de l Europe (différence de point de vue entre CJCE et CNIL) - Consentement des personnes dont la signature est collectée et «mindset shift» 8

9 Exemples de difficultés pratiques (2/2) Utilisation de données système à des fins de test, lorsque ces test sont effectués par des prestataires situés hors de l Europe Contrôle de l audit interne afin de vérifier le respect des règles relatives au temps de travail via une analyse des données de «time tracking» 9

10 10