EUne nouvelle étude de Reveal montre que les entreprises européennes peinent à faire face à la multiplication des demandes d’accès aux données personnelles

86 % des organisations ne disposent toujours pas de la technologie nécessaire pour traiter les demandes d’accès aux données personnelles, et plus de la moitié de ces demandes ne sont pas traitées dans le délai d’un mois imposé par le RGPD, et ce malgré l’augmentation des dépenses

CHICAGO--(BUSINESS WIRE)--Une nouvelle étude publiée aujourd’hui par Reveal, un fournisseur de plateformes intégrées natives de l’IA couvrant l’ensemble du cycle de vie du règlement des litiges, a constaté que les grandes organisations européennes traitent moins de la moitié des demandes d’accès aux données à caractère personnel (data subject access requests, DSAR) dans le délai d’un mois imposé par le Règlement général sur la protection des données (RGPD). L’étude attribue ce déficit directement à l’absence quasi généralisée de technologies spécialement conçues à cet effet. En effet, près de neuf organisations sur dix traitent encore les DSAR via des flux de travail manuels ou polyvalents, sans disposer d’outils dédiés.

Le rapport d’étude, basé sur une enquête menée auprès de 213 professionnels du droit et de la protection de la confidentialité travaillant au sein de grandes entreprises européennes, est le premier à comparer la manière dont les organisations de la région gèrent la conformité DSAR à grande échelle.

Les résultats mettent en évidence des incohérences structurelles entre la perception que les organisations ont de leurs processus DSAR et les performances réelles de ces processus. 90 % des personnes interrogées affirment que leur processus résisterait à un examen minutieux de la part de l’Information Commissioner’s Office (ICO) ou d’une autorité spécialisée dans la protection des données. Pourtant, seules 47 % des demandes d’accès aux données sont traitées dans le délai standard d’un mois, tandis que 53 % nécessitent une prolongation. Moins d’un quart (24 %) des répondants décrivent leur processus comme étant entièrement standardisé et reproductible.

Il convient de noter que ces retards ne sont pas dus à un manque d’efforts. Le délai moyen pour fournir une réponse complète est inférieur à sept jours une fois le travail engagé, ce qui indique que les problèmes de coordination et de flux de travail à l’origine de ces goulots d’étranglement constituent la principale cause des retards. En l’absence d’outils dédiés permettant de localiser et d’extraire les données pertinentes de l’ensemble des systèmes, les organisations ne respectent pas le délai légal imparti car elles doivent effectuer des tâches manuelles pour trouver, examiner et coordonner ces données.

« Les entreprises travaillent dur et consacrent des moyens importants à la conformité DSAR, mais, dans de nombreux cas, elles ne parviennent toujours pas à obtenir les résultats exigés par le RGPD », a déclaré Eric Harmon, PDG de Reveal. « La plupart des programmes de DSAR n’ont jamais été conçus pour l’environnement de données actuel, et cela se reflète dans les chiffres relatifs au respect des délais. L’IA ne fait que renforcer ces enjeux. »

Les outils d’IA générative ont encore complexifié la situation. Des applications telles que ChatGPT, Claude et Gemini se rapprochent désormais des messageries électroniques en tant que systèmes les plus couramment utilisés par les organisations pour effectuer des recherches lorsqu’elles doivent répondre à une DSAR. Près de neuf organisations sur dix (86 %) ont déjà reçu une DSAR les obligeant à effectuer des recherches dans les données stockées dans un outil d’IA générative. La plupart des flux de DSAR n’ont toutefois jamais été conçus pour gérer une telle évolution.

Les dépenses illustrent bien ce point. Les organisations consacrent en moyenne 680 000 euros par an au traitement des DSAR. Plus de la moitié d’entre elles (53 %) dépensent plus de 500 000 euros et près d’un quart (23 %) dépassant le million d’euros ; pourtant, elles continuent bien souvent à ne pas respecter les délais.

« Dans toute la région EMEA, le nombre de DSAR dépasse la capacité des processus mis en place par de nombreuses organisations », a déclaré Eugene O’Neill, vice-président exécutif de Reveal pour la région EMEA. « Cette étude montre clairement que la modernisation de ces processus ne peut plus attendre. »

Ce rapport s’inscrit dans le cadre de l’initiative plus large menée par Reveal pour accompagner les équipes juridiques et les équipes chargées de la protection de la confidentialité dans la mise en conformité avec le RGPD dans toute la région EMEA. L’une des plateformes de Reveal est Logikcull, spécialement conçue pour répondre aux DSAR : elle se connecte directement à des systèmes tels que Microsoft 365, Google Workspace et Slack, met automatiquement en évidence les informations à caractère personnel et offre aux équipes juridiques, à celles chargées de la protection de la confidentialité, aux services informatiques et aux ressources humaines un flux de travail fiable pour collecter et examiner les données, et produire des rapports. Plus de 600 équipes juridiques, informatiques, RH et de sécurité de l’information l’utilisent déjà pour répondre plus rapidement et de manière plus cohérente aux DSAR.

Pour en apprendre davantage sur Reveal ou pour consulter le rapport complet, rendez-vous sur www.logikcull.com/industry-reports/dsars.

À propos de Reveal

Reveal est une plateforme de pointe alimentée par l’IA pour l’eDiscovery (ou découverte électronique), l’examen de documents, la conservation à des fins juridiques et les enquêtes. Sa gamme de produits, la meilleure de sa catégorie, comprend Logikcull, Onna, Reveal Hold, Reveal Enterprise et Brainspace. Les logiciels de Reveal combinent technologie et guidage humain pour transformer les données structurées et non structurées en informations exploitables, et aider ainsi les cabinets juridiques, les entreprises, les organismes publics et les prestataires de services à trouver plus rapidement des informations utiles. Pour en savoir plus, rendez-vous sur revealdata.com.

Le texte du communiqué issu d’une traduction ne doit d’aucune manière être considéré comme officiel. La seule version du communiqué qui fasse foi est celle du communiqué dans sa langue d’origine. La traduction devra toujours être confrontée au texte source, qui fera jurisprudence.