La CNIL met à disposition des groupes souhaitant mettre en place des règles d'entreprise contraignantes un outil d'auto-évaluation
Les règles d'entreprise contraignantes (BCR) sont des politiques de protection des données adoptées par des multinationales (ou des groupes d'entreprises) pour permettre le transfert de données personnelles en dehors de l'Union européenne (UE) en conformité avec le règlement général sur la protection des données (
Les BCR concernent principalement les multinationales (ou les groupes d'entreprises) qui sont implantées à la fois dans l'UE et hors de l'UE et qui ont besoin de transférer des données personnelles entre leurs différentes entités.
La Commission nationale de l'informatique et des libertés (CNIL) propose des ressources pour aider ces entreprises à préparer et à mettre en œuvre leurs BCR. Cela comprend un questionnaire d'auto-évaluation qui leur permet de vérifier le niveau de maturité de leur projet par rapport aux exigences des BCR.
Ce questionnaire peut être complété par le délégué à la protection des données (DPO) du groupe ou toute autre personne en charge du projet de BCR.
À l'issue du questionnaire, un score de conformité et un plan d'actions sont proposés.
Il est recommandé de tester le niveau du projet avant de le soumettre à la CNIL. Si le projet n'est pas assez mature, il peut être retravaillé sur la base de l'analyse d'écarts et du plan d'action proposé. Si le projet est mature, il peut être soumis à la Commission.
La mise en œuvre des BCR nécessite une procédure d'approbation qui comprend plusieurs étapes, au niveau national avec l'autorité compétente (comme la CNIL en France), et au niveau européen avec le Comité Européen de la Protection des Données (CEPD). Le projet n'est adopté qu'à l'issue de ce processus, et l'avis du CEPD est alors publié.
Pour en savoir plus sur les BCR, cliquez ici.