MISE EN PLACE DES RGLES INTERNES DENTREPRISE BCR

MISE EN PLACE DES RÈGLES INTERNES D’ENTREPRISE (BCR) AU SEIN DU GROUPE AXA 8 eme Conférence de l’AFAPDP Jeudi 25 juin à Bruxelles (Belgique) Igor BABIC, Responsable Groupe de la Protection des données à caractère personnel du Groupe © AXA 2015

AXA est le premier Groupe d'assurance à avoir des Règles internes d'entreprise (BCR) approuvées AXA est le premier Groupe d'assurance à avoir approuvé des Règles internes d'entreprise (BCR), standard internationalement reconnu pour assurer la protection adéquate des données personnelles dans les entreprises multinationales. Le déploiement est en cours Ces règles ont été revues et approuvées par 16 autorités de protection des données à travers l'Europe Ces 16 pays sont la France, l'Allemagne, l'Autriche, la Belgique, l'Espagne, la Grèce, l'Irlande, l'Italie, le Luxembourg, les Pays-Bas, la Pologne, la République Tchèque, la Roumanie, le Royaume-Uni, la Slovaquie et la Suède Les BCR sont un outil contractuel de protection des données personnelles et définissent les mesures minimales de protection des données personnelles (données des clients, employés, et autres parties prenantes) obtenues dans le cadre de ses activités lorsque de telles données sont transférées dans les entreprises multinationales 2 © AXA 2015 Protection des données à caractère personnel du Groupe

Les Règles Internes d'Entreprise incluent : La nomination d'un responsable de la protection des données (correspondant informatique et libertés) Le traitement des données à caractère personnel dans le cadre légal de la Directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données. Ce cadre étant le plus contraignant au niveau international. Un audit interne régulier pour vérifier la conformité Un programme efficace de gestion des demandes clients ou des employés sur leurs données à caractère personnel Un programme de formation spécifique pour les employés AXA qui sont impliqués dans le traitement des données à caractère personnel La publication des Règles Internes d'Entreprise sur le site Internet public du Groupe AXA (www. axa. com) ainsi que sur l'Intranet d'AXA 3 © AXA 2015 Protection des données à caractère personnel du Groupe

Pourquoi AXA a-t-il lancé le projet de mise en place des Règles internes d’entreprise (BCR) ? Accélérer les projets stratégiques internes et donner un avantage compétitif à nos fournisseurs internes (informatique…) Apporter une preuve tangible à nos clients, employés et partenaires de la volonté du Groupe AXA d’ assurer la protection des données à caractère personnel Réduire les risques de non-conformité par rapport aux lois locales sur la protection des données à caractère personnel Procurer au Groupe AXA un positionnement proactif sur la protection des données à caractère personnel dans le contexte digital: • http: //www. axa. com/fr/gouvernance/confidentialite-des-donnees/ 4 © AXA 2015 Protection des données à caractère personnel du Groupe

Les 3 défis du projet des Règles internes d’entreprise (BCR), les risques et les solutions au sein du Groupe AXA Obtenir l’accord interne du Groupe AXA sur les Règles internes d’entreprise (BCR) Risque: Dans certains groupes internationaux, l’obtention d’un accord interne varie de 2 mois à trois ans. Solution: Soutien de 2 membres du COMEX Gouvernance forte du projet Implication des entités du groupe dans le projet Obtenir l’accord des 16 autorités de protection des données sur les BCR Risque: les BCR lancés avant 2004 n’ont pas bénéficié de la reconnaissance mutuelle et ont mis des années à être négociés en bilatéral avec toutes les autorités de protection des données Solution: la CNIL française est l’interlocuteur unique pour le Groupe AXA dans cette négociation et gère les relations avec les autres autorités (par exemple, filtre et/ou reformule les demandes) Implémenter les BCR au sein du Groupe AXA, passer d’un document à la réalité Risque: Dans certains groupes internationaux l’implémentation des BCR a nécessité beaucoup de temps et d’efforts car certains des processus inhérents aux étaient inexistants avant le lancement du projet BCR Solution: Au sein du Groupe AXA, les processus clés existaient déjà. Il s’agissait d’utiliser ces processus pour implémenter les processus des BCR avec des coûts raisonnables 5 © AXA 2015 Protection des données à caractère personnel du Groupe

Excellente coopération avec la CNIL française Pour obtenir des conseils de la CNIL dans les premières étapes du développement des BCR, partage du document listant les critères nécessaires des BCR (WP 153) avec une colonne détaillant les options envisagées par AXA pour répondre à chaque critère Les options venaient des choix réalisés par d’autres groupes pour leurs BCR, de l’existant au sein du Groupe AXA et des suggestions avisées de la CNIL Les options étaient présélectionnées en interne par le Groupe AXA pour permettre de réutiliser les processus existants pour implémenter les processus des BCR avec des coûts raisonnables Exemple d’un processus préexistant: Le Groupe AXA est doté d'une gouvernance/organisation relative à la protection des Données à Caractère Personnel au niveau international avec (i) un modèle de gouvernance en matière de Données à Caractère Personnel approuvé par le Comité de Direction, (ii) un Chargé de la Protection des Données Groupe, (iii) un Comité de pilotage AXA BCR de la protection des données (iv) un réseau mondial de Chargés de la Protection des Données coordonné par le Chargé de la Protection des Données Groupe et (v) une politique au niveau du Groupe relative à la protection des Données à Caractère Personnel. 6 © AXA 2015 Protection des données à caractère personnel du Groupe