Plus d’un an après l’entrée en vigueur du RGPD, seul 28% des entreprises déclarent être en conformité

Plus d’un an après l’entrée en vigueur du règlement général sur la protection des données (RGPD), une étude du Capgemini Research Institute révèle que les entreprises ont surestimé leurs capacités à se conformer à la nouvelle législation. Alors qu’une étude réalisée l’année dernière1 montrait que 78% des entreprises interrogées estimaient pouvoir atteindre la conformité avant l’entrée en vigueur du RGPD en mai 2018, elles ne sont que 28% à déclarer l’être à ce jour. Pourtant, ces dernières récoltent déjà les fruits de leurs initiatives : 81% d’entre elles indiquent en effet que la mise en œuvre des principes imposés par le RGPD a amélioré leur réputation et leur image de marque.
L’étude « Championing Data Protection and Privacy - a Source of Competitive Advantage in the Digital Century » montre que les entreprises progressent plus lentement que prévu, freinées par différents obstacles comme la complexité des exigences réglementaires, les coûts de mise en application et le manque de flexibilité de leurs systèmes existants. Afin d’atteindre l’objectif de conformité, les organisations tendent à investir dans la protection et la confidentialité des données, afin d’assurer leur conformité aux règlements d’aujourd’hui et de demain.

Voici les principales conclusions du rapport :

Les entreprises prennent du retard sur leur conformité au RGPD

Le RGPD est en application depuis plus d’un an, cependant un grand nombre d’entreprises sont encore dans le flou quant à leur niveau de conformité. 28% des entreprises interrogées affirment être conformes, et seul 30% des entreprises se déclarent être « presque conformes »2 et doivent encore régler plusieurs problèmes persistants. Sur la question de la conformité, les entreprises américaines sont en tête de file (35%), suivies de près par les entreprises britanniques et allemandes (33%) ; les entreprises espagnoles (21%), italiennes (21%) et suédoises (18%) ferment la marche.

Selon les dirigeants interrogés, les initiatives de conformité sont principalement freinées par leurs anciens systèmes IT (38%), la complexité des exigences à respecter (36%) et le coût prohibitif des projets de conformité (33%). De plus, les entreprises ont déjà reçu un nombre considérable de demandes de la part des personnes concernées : 50% des entreprises américaines concernées par le RGPD indiquent avoir reçu plus de 1 000 demandes, une tendance que l’on retrouve en France (46%), aux Pays-Bas (45%) et en Italie (40%).

Même si les entreprises peinent à atteindre la conformité, elles réalisent des investissements significatifs pour pouvoir faire face aux coûts élevés qu’elle représente : d’ici 2020, 40% pensent dépenser plus d’un million de dollars en frais juridiques, et 44% dans la mise à niveau de leurs outils technologiques.
Par ailleurs, les organisations doivent faire face à un nouveau challenge – l’adoption de nouvelles législations dans différents pays hors de l’Union européenne.

La conformité comme avantage concurrentiel
Il est intéressant de noter que 92% des entreprises conformes affirment avoir obtenu un avantage compétitif, alors qu’elles étaient 28% seulement à s’y attendre l’année dernière. La plupart des dirigeants ayant atteint la conformité indiquent avoir constaté des améliorations en termes de confiance client (84%), d’image de marque (81%) et de motivation des employés (79%). Ils ont également signalé des changements positifs secondaires dans le domaine des systèmes IT (87% contre 62% lors des prévisions de 2018), de la cybersécurité (91% contre 57%), ou encore du changement et de la transformation organisationnels (89% contre 56%).

La technologie joue un rôle clé chez les entreprises conformes
L’étude révèle un écart technologique significatif entre les organisations conformes et les retardataires dans la mise en œuvre de leur programme de conformité au RGPD. Les entreprises conformes au RGPD utilisent davantage les technologies telles que les plateformes Cloud (84% contre 73% pour les entreprises non conformes), le chiffrement des données (70% contre 55%), l’automatisation robotique des processus (35% contre 27%) et l’archivage des données industrialisé (20% contre 15%).
De plus, 82% des sociétés conformes affirment avoir fait les démarches nécessaires afin de s’assurer que leurs fournisseurs technologiques respectent bien la réglementation applicable en matière de protection des données, contre 63% seulement chez les entreprises non conformes. La majorité (61%) des sociétés conformes auditent leurs sous-traitants pour vérifier leur conformité dans le domaine de la protection des données. Les sociétés non conformes ne sont que 48% à le faire.
La protection et la confidentialité des données sont un travail de long cours
Afin d’atteindre leur objectif de conformité, les entreprises doivent inscrire la protection et la confidentialité des données comme une priorité dans leur agenda. La protection des données ne saurait être appréhendée efficacement si elle est traitée comme une simple case à cocher. « Le RGPD n’est pas un règlement ponctuel que l’on peut oublier ou délaisser : pour s’y conformer, il faudra faire des efforts continus, explique Michaela Angonius, vice-présidente et responsable Groupe de la règlementation et de la confidentialité pour Telia Company. Bien avant l’entrée en vigueur de la loi, nous avons commencé à sensibiliser nos équipes internes. Dès le départ, nous savions que nous avions affaire à l’un des plus grands projets de notre histoire en matière de conformité. »
« Cette enquête met en lumière les difficultés auxquelles les entreprises se heurtent sur le chemin de la conformité, mais aussi les avantages pour celles qui réussissent, déclare Zhiwei Jiang, directeur général des activités Insights & Data de Capgemini. Il est clair qu’un grand nombre de dirigeants se sont montrés très optimistes l’année dernière et qu’ils prennent maintenant conscience de l’ampleur des investissements et des changements organisationnels requis pour atteindre la conformité, qu’il s’agisse de déployer des technologies avancées soutenant la protection des données ou de sensibiliser leurs salariés aux bonnes pratiques à adopter. Mais ces efforts porteront leurs fruits : les chefs de file constatent des améliorations qui dépassent toutes leurs attentes dans le domaine de la satisfaction et de la confiance client, de la motivation de leurs équipes, de la réputation de leur entreprise et de leur chiffre d’affaires. Ces réussites représentent une source d’inspiration pour ceux qui ont pris du retard sur leur conformité. »

Méthodologie
L’étude a été menée auprès de 1 100 cadres supérieurs, occupant un poste de directeur ou de niveau supérieur, dans huit secteurs : assurance, banque, biens de consommation, utilities, télécommunications, services publics, santé et distribution. Ils travaillaient pour des entreprises dont le siège se trouve en France, en Allemagne, en Italie, aux Pays-Bas, en Norvège, en Espagne, en Suède, au Royaume-Uni, aux Etats- Unis et en Inde. Capgemini a également réalisé des entretiens avec des leaders et experts du secteur, pour étudier l’état actuel et l’impact de la règlementation sur la confidentialité des données.

1 Capgemini Research Institute, « Seizing the GDPR Advantage: From mandate to high-value opportunity » (« Tirer parti du RGPD : comment une obligation réglementaire peut devenir génératrice de plus-value »), mai 2018
2 Dans cette étude, le terme « conforme » désigne l’évaluation de conformité telle que déclarée par les entreprises interrogées.