Leicester Tigers Vs RGPD : Un match pas gagné d'avance

Du fait de sa grande popularité, le club britannique de rugby à XV de Leicester possède l'une des plus grandes bases de fans du Premiership Rugby. Mais à l'approche de la date de mise en œuvre du RGPD, la base posait un vrai problème de protection. Le Leicester Tigers traite et conserve des données collectées au moment de la vente de billets, en particulier le nom, l'adresse, le numéro de téléphone, l'adresse électronique, la date de naissance et des informations relatives au paiement d'environ 100 000 clients. Le club détient également des données très sensibles, notamment les dossiers médicaux des joueurs et des informations sur les enfants qui participent à ses stages de rugby ou bénéficient du soutien associatif du club.

Un défaut de protection de ces informations sensibles aurait exposé le Leicester Tigers à une amende énorme, sans parler d’une atteinte encore plus dommageable à sa réputation. Pour que toutes les données récoltées et conservées sur les joueurs, les supporters et la communauté répondent aux exigences du RGPD, le Leicester Tigers a fait appel à ThinkMarble, une entreprise de sécurité qui délivre des conseils stratégiques sur la conformité réglementaire. « Nous avons d’abord conclu un contrat exploratoire pour évaluer les lacunes de notre activité en ligne », a expliqué Phil Everitt, responsable de la gestion des SI du Leicester Tigers. « Ce processus consistait à répondre à un questionnaire assez approfondi sur nos données, à savoir où et comment elles étaient conservées, qui en était les détenteurs, les autorisations et les motifs d’accès. Ensuite, ThinkMarble a rédigé un rapport récapitulant les différents domaines de protection des données, évaluant chaque fois notre conformité selon un système de couleur. Les zones vertes indiquaient que nous étions tout à fait conformes, les zones rouges, que nous ne l'étions pas et les zones oranges, que nous étions entre les deux ». Après avoir présenté ce rapport à son conseil d'administration, Phil Everett a conclu un nouveau contrat avec ThinkMarble pour régler tous les défauts de conformité. Au cours des mois qui ont suivi, il a travaillé avec l’entreprise de sécurité pour faire passer tous les indicateurs au vert et mettre à jour les politiques.

Tactiques gagnantes

Les problèmes identifiés par ThinkMarble concernaient essentiellement de nouvelles exigences introduites par le RGPD, absentes de la précédente loi de 1998 sur la protection des données. Le consentement à la collecte des données nécessite désormais une acceptation spécifique pour chaque opération de traitement effectuée par le club ou l'un de ses partenaires, et en particulier de la part de chaque commanditaire souhaitant envoyer aux clients des documents marketing. Le RGPD est également plus strict en matière de stockage des données à caractère personnel, avec davantage de contraintes en terme de réduction du volume d'informations stockées et de durée de conservation.

Le club a retiré de sa base de données tout ce dont il n’avait pas besoin et a mis de l'ordre dans les données qu'il souhaitait conserver. « Nous avons vérifié les données à l'échelle de l'entreprise pour déterminer où elles étaient localisées. Car même si notre base de données principale concerne le système de billetterie, d'autres personnes détiennent des données dans des feuilles de calcul et sur leurs ordinateurs individuels », a expliqué Phil Everitt. « Nous avons vérifié où se trouvaient les données personnelles et pourquoi, ce qui nous permis de faire un grand nettoyage dans nos systèmes ». Après cette opération, ThinkMarble a organisé une session de formation sur le RGPD afin d’informer tout le personnel du club sur le règlement et les anomalies découvertes pendant la vérification des données. Lors de cette session de formation interactive, le personnel a été confronté à une série de scénarios impliquant la protection des données afin d’améliorer ses pratiques. Au moins une fois par an, le personnel du Leicester Tigers recevra une formation supplémentaire sur le RGPD.

Une expérience plus ancienne

Quand il a pris connaissance des exigences du RGPD, Phil Everitt a compris qu’il aurait besoin de l'aide d'experts pour mettre le club en conformité avec ces règles. ThinkMarble lui a été recommandé par plusieurs clubs sportifs, dont une équipe de Premier League avec laquelle il entretient des échanges réguliers via un forum dédié aux responsables informatiques du secteur sportif. C’est l’expérience de ThinkMarble en matière de protection des données qui a fait la différence avec ses concurrents. « L’entreprise avait depuis longtemps acquis une certaine expérience dans la protection des données », a fait valoir Phil Everitt. Beaucoup d'entreprises ont ajouté le RGPD à leurs compétences au moment où le texte règlementaire a été adopté, mais elles n'avaient pas nécessairement d'expertise historique dans ce domaine. « Le fait que ThinkMarble avait déjà de l’expérience dans la protection des données a certainement joué en sa faveur. Autre élément important : elle employait en interne un avocat spécialisé dans la protection des données, ce qui voulait dire que nous pouvions lui poser en direct des questions spécifiques sur les aspects règlementaires du RGPD ».

Plus de six mois après l'entrée en vigueur de la loi sur la protection des données, Phil Everitt est à l'aise avec les pratiques de protection des données de son entreprise, mais il reconnaît que la conformité est un processus continu. « Nous sommes très heureux que les données de nos clients soient en sécurité et de pouvoir les utiliser en conformité avec le cadre règlementaire », a-t-il ajouté. « Notre objectif est de continuer à être à jour à ce sujet. On ne peut pas simplement cocher toutes les cases et considérer l’affaire comme classée. Nous nous tiendrons au courant de ce qui se passe année après année grâce à la formation, mais nous allons poursuivre une surveillance et une vérification régulière des données pour nous maintenir au niveau de protection que nous nous sommes fixés ».