Qu’est ce que le RGPD ?

L’acronyme RGPD pour Réglementation Général sur la Protection des données (ou GDRR pour Général Data Protection Régulation), désigne le texte de référence Européen en matière de protection des données personnelles pour les résidents de l’Union Européenne. Son objectif est de protéger au mieux les particuliers sur l’utilisation de leurs informations et de régulariser les données personnelles dans l’ensemble des pays membres de l’U.E.

Est considérée comme donnée, toute information se rapportant à une personne physique, identifiée ou identifiable. Il peut alors tout autant s’agir de noms, de prénoms, de numéros de téléphone, que de données de santé ou de casiers judiciaires par exemple.

Les dispositions du Règlement Général sur la Protection des Données sont entrées en vigueur le 25 mai 2018 provoquant une déferlante dans grand nombre d’entreprises.

Les acteurs concernés.   

 Sont concernés par le RGPD toute organisation, publique ou privée, (les entreprises, les associations, les collectivités locales, l’Etat etc.) traitant des données personnelles de résidents Européens. Parmi ces organisations, sont alors également concernées celles basées hors de l’U.E, vendant des biens ou services et traitant des informations de résidents Européens. Par exemple ; les GAFA (Google, Amazon, Facebook, Apple).

• Les sous-traitants

Une des importantes « révolutions » qu’a apportée le RGPD est la responsabilité des sous-traitants. En effet, jusqu’ici, en cas de manquement aux réglementations déjà en vigueur, seule l’entreprise était tenue pour responsable. Depuis le 25 mai 2018, les sous-traitants sont tenus de respecter des obligations spécifiques au sujet du traitement de l’information. Ils ont alors l’obligation d’assurer la sécurité des données qui leur sont confiées. Ils doivent également répondre à une obligation de conseil auprès de leurs clients. Les sous-traitants et leurs clients sont alors tous deux responsables, et pourront être sanctionnés.

• Organismes traitants des données sensibles

Dans le cadre de la RGDP, certains doivent conduire une analyse d’impact relative à la protection des données (AIPD). Cela concerne les organismes possédant des données à caractère dit « sensible ».

Sont considérées comme sensibles toutes données pouvant donner lieu à de la discrimination ou à des préjugés, ces dernières pouvant être susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes concernées. L’AIPD s’applique aux informations suivantes :

• L’origine raciale ou ethnique ;
• Les oignions politiques, philosophiques ou religieuses ;
• L’appartenance syndicale ;
• Les données concernant la santé ;
• L’origine sexuelle ;
• La génétique ou la biométrie ;
• Les infractions ou condamnation pénale.

• DPO

Le DPO ou Data Protection Officer, est le délégué à la protection des données. Toutes les organisations sont en droit de désigner un délégué, néanmoins, il est obligatoire dans certains cas :Pour les organismes publics (ex. mairies) ;

Pour les organisations pour lesquelles les activités exigent la surveillance régulière et systématique, à grande échelle (ex. banques) ;

Les organismes traitant des données sensibles.

Les missions des DPO sont :

• Informer l’organisation ainsi que les employés ;
• Contrôler le respect du RGPD dans la société ;
• Coopérer avec la CNIL, Commission Nationale de l’Informatique et des libertés (Organisme de contrôle).

Les petites et moyennes organisations peuvent faire appel à un DPO externe, en collaboration avec plusieurs entreprises.

Principaux changements et gestion des données.

 Les modifications majeures

Si l’apparition de cette nouvelle loi a fait du bruit, il est parfois difficile de faire le tri et de comprendre, globalement, ce que cela change pour les utilisateurs.

Voici alors les trois principaux leviers du RGPD :

1. L’acte de consentement du mineur : les Etats membres de l’U.E doivent alors choisir une limite d’âge en dessous de laquelle la personne doit avoir le consentement de ses parents (en France, la limite d’âge est fixée à 15 ans). Les réseaux sociaux, par exemple, ne peuvent donc plus traiter ces données personnelles, sans le consentement parental.
2. La portabilité des données : une personne utilisant un service doit pouvoir récupérer ses données, les transférer à un autre service, les modifier etc.
3. Les conditions d’utilisation : Les conditions d’utilisation des entreprises, encadrant la façon dont sont traitées les données personnelles, doivent être présentées de façon claire, précise et concise.

 Justification de conformité

Pour prouver sa conformité au RGPD ; il y a un certain nombre d’actions à mettre en place et à respecter. Les organisations doivent alors remplir des « accountabilities », qui sont des documentations écrites assurant une protection des données, en continu.

Pour pouvoir remplir cette documentation, les entreprises doivent alors répondre à des démarches de conformité qui seront soumises à des contrôles de la CNIL:

• Informer les personnes concernées, de la durée de conservation de leurs données, de leurs droits, de l’auteur de la collecte et de la finalité ;
• Mettre en place un formulaire de contact pour les personnes souhaitant accéder aux données récoltées les concernant ;
• Dans certains cas, demande d’accord de l’utilisation des données ;
• Mettre en place des mesures de sécurité, adaptées à la sensibilité du fichier ;
• Analyse de tout document contenant des données personnelles ;
• Elaborer un registre des traitements des données personnelles (objectif de traitement, inventaire des traitements, durée de conservation, obligations légales) ;
• Vérifier les clauses de confidentialité avec les sous-traitants ;
• Notifier à la CNIL les potentielles violations de données ;
• Analyser l’impact sur la protection des données (pour les organisations en procession des données sensibles).
• Sanctions

Dans le cas où les organisations Européennes ne répondraient pas aux réglementations du RGPD ; des sanctions sont prévues et sont effectives, proportionnées et dissuasives. Elles sont beaucoup plus importantes que les sanctions prévues dans les anciens textes. La CNIL est alors en mesure de prononcer des amendes administratives pouvant aller jusqu’à 4% du chiffre d’affaire annuel mondial pour les plus importantes multinationales, ou 20 millions d’euros.

Il existe une exception pour l’Etat qui ne peut pas recevoir des sanctions financières, mais des sanctions publiques.

Conclusion

 Si la nouvelle Règlementation Générale sur la protection des données a été mise en application récemment (le 25 mai 2018), une loi Européenne encadrant la protection des données personnelles existait déjà, mais datait de 1995.

 Aujourd’hui, la quasi-totalité de nos appareils électroniques récoltent des données ; nos smartphones, nos ordinateurs, nos montres connectées… et toutes les applications associées.

Il était alors indispensable de remettre ces lois « au goût du jour ».

En effet ; cette prise de conscience est arrivée suite, notamment, à des pratiques douteuses des GAFA. Ces derniers parvenaient à trouver des failles dans ces textes de loi datant d’avant l’apogée du numérique. Quand ils ne trouvaient pas de failles, ils préféraient alors payer une amende « dérisoire » plutôt que de se mettre en règle.

L’objectif de l’U.E était alors, avec le nouveau RGPD, d’écrire un texte définissant des obligations, des sanctions, et des critères de contrôle sur le territoire Européen (quel que soit le pays de provenance des organisations). L’U.E souhaite ainsi aider ses habitants à mieux protéger leur vie privée en empêchant la fuite ou l’utilisation frauduleuse de leurs données.

Le RGPD a représenté un grand bouleversement pour les entreprises, qui doivent aujourd’hui être en capacité de donner à n’importe quel moment les informations dont elles disposent, prouver qu’elles sont bien sécurisées, et qu’elles ont été récoltées légalement. Cela représente un nombre important de précautions et de mécanismes à mettre en place.