Comprendre le RGPD en 7 questions - réponses 

Le RGPD a pour vocation d’être le nouveau texte de référence dans l’Union européenne au sujet des données personnelles, il remplace notre loi française Informatique et Libertés de 1978.  Une réforme de la législation semblait nécessaire compte tenu des évolutions technologiques et du manque d’information sur les multiples usages de nos données personnelles. Ainsi, le RGPD rend aux citoyens le contrôle sur l’utilisation de leurs données.  

Une donnée personnelle (ou donnée à caractère personnel) est une information qui permet d’identifier une personne physique directement ou indirectement. Il peut s’agir par exemple d’un nom, d’une photographie, d’un numéro de téléphone, d’un identifiant de connexion informatique, d’une adresse postale, d’une empreinte, d’un enregistrement vocal, d’un numéro de sécurité sociale, d’un mail, etc. Certaines de ces données sont dites « sensibles » et nécessitent une attention supplémentaire de votre part sur leur gestion. 

Tous les organismes sont concernés en Union européenne, ainsi que les entreprises hors UE qui traitent des données personnelles de résidents européens. Le RGPD concerne aussi les sous-traitants qui traitent des données personnelles pour le compte d’autres entreprises. La taille de l’entreprise, son secteur d’activité ou son caractère public ou privé n’entre pas en ligne de compte. Même une petite Start-up qui se lance dans de l’e-santé doit aussi respecter les exigences du règlement.

• Les données des collaborateurs

• Les données des clients et prospects

• Toutes les autres données manipulées comme : les sous-traitants, prestataires, visiteurs…

• Etre informées de l’utilisation de leurs données  par qui, dans quelles finalités et pour combien de temps (être informées également en cas de fuite de leurs données) ;

• Accéder à leurs données ;

• Vérifier et corriger leurs données à tout moment;

• S’opposer à l’utilisation ou à la diffusion de leurs données.

Le RGPD instaure également le droit à l’oubli pour obtenir le retrait ou l’effacement de données personnelles en cas d’atteinte à la vie privée. Un nouveau droit est celui de la portabilité des données, pour pouvoir passer d’un réseau social à l’autre, ou d’un prestataire à l’autre, sans perdre ses informations. La mise en pratique de ces deux nouveaux droits est un véritable challenge pour les entreprises : par quel moyen prouver l’effacement des données ? Et quels sont les outils et supports pour actionner la portabilité des données ?
Il faudra encore patienter quelques mois pour que la CNIL apporte des réponses techniques à ces questions.

Enfin, les personnes pourront être défendues par les associations dans le cadre d’une action de groupe en vue de faire cesser la partie illicite d’un traitement de données.

• Garantir les droits des personnes concernées et leur exercice – cela passe en premier lieu par l’information et la sensibilisation.

• Dans le cas d'une violation de données personnelles, l'organisme concerné doit aviser l'autorité de surveillance au plus tard 72 heures après l'avoir constatée et l’individu dans les « meilleurs délais »

• La protection des données dès la conception et par défaut – Vous devez vous assurer que, tant dans vos usages que dans la mise en œuvre d'un nouveau produit ou service, les principes RGPD de protection des données soient respectés.

• Responsabilité - un organisme doit assurer et démontrer la conformité avec les principes RGPD de protection de données.

• Garantir que seules les données nécessaires et pertinentes à la finalité du traitement sont collectées et traitées et sont accessibles aux utilisateurs qui en ont besoin.

• Le consentement: il s’agit de veiller à récolter un consentement écrit, clair et explicite de la personne avant tout traitement de données personnelles

• Vos sous-traitants: Vous devez veiller à ce que vos sous-traitants restent bien dans les exigences de la loi en matière de confidentialité et de sécurité, sous peine d’en subir les conséquences à sa place.

Votre entreprise a toutintérêt à se conformer rapidement aux exigences du RGPD car les plafonds des sanctions sont particulièrement élevés: en cas d’infraction, des amendes jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent sont prévues pour l’organisme fautif, sachant que c’est le montant le plus élevé des deux qui sera retenu. Des sanctions pénales sont également possibles.