Une démarche mature commence par l’inventaire des renseignements personnels, de leurs finalités, emplacements, accès, fournisseurs et durées de conservation.
Attribuer les responsabilités
Chaque activité devrait avoir un propriétaire métier, un gardien technique et un mécanisme d’escalade. Le responsable de la protection des renseignements personnels doit pouvoir intervenir tôt dans les projets.
Intégrer les EFVP
Les projets d’acquisition, de développement ou de refonte d’un système impliquant des renseignements personnels doivent déclencher la démarche appropriée dès le cadrage.
Produire des preuves
Registres, décisions, revues d’accès, tests de destruction, contrats et exercices d’incident transforment une intention en pratique vérifiable.