Le RGPD – Règlement Général sur la Protection des Données – représente une avancée importante en matière de protection des données. Entré en vigueur le 25 mai 2018, le RGPD a profondément transformé l’approche des organisations en matière de traitement des données à caractère personnel.

Il a été conçu pour harmoniser les différentes législations nationales au sein de l’UE. Avant son adoption, chaque État membre appliquait sa propre interprétation de la directive de 1995 sur la protection des données, créant un paysage réglementaire fragmenté. Le RGPD établit désormais un cadre unifié qui s’applique directement dans tous les États membres.

Le RGPD redonne aux citoyens européens le contrôle sur leurs données personnelles. Dans un monde où les données sont devenues une ressource économique majeure, le règlement affirme que les individus restent propriétaires de leurs informations personnelles et doivent pouvoir décider de leur utilisation.

Les défis posés par les évolutions technologiques et la digitalisation croissante imposent un nouveau mode de collecte et d’utilisation des données personnelles, qui inclut le big data, l’IA et Internet.

Le RGPD vise donc à restaurer la confiance des consommateurs envers les organisations qui traitent leurs données. Cette confiance est essentielle au développement de l’économie numérique européenne.

Contrairement au Règlement sur l’IA, le RGPD ne s’applique pas aux fournisseurs et aux producteurs d’application dans la phase d’élaboration, de conception ou de sélection d’applications, de services et produits qui reposent sur l’utilisation des données à caractère personnel. Le RGPD incite, en revanche, les fournisseurs et les producteurs d’application à respecter le droit de la protection des données dans l’élaboration et la conception de leurs services ou produits.

Grands principes du RGPD

Le RGPD énonce six grands principes fondamentaux que toute organisation doit respecter dans le traitement des données à caractère personnel. Il s’agit des principes de :

1. Licéité, loyauté et transparence : Le traitement des données doit être légal, équitable et transparent. Il repose souvent sur le consentement, qui doit être libre, clair, spécifique et éclairé. Le consentement est entouré de diverses garanties :

  • Le responsable du traitement doit démontrer que le consentement a été effectivement donné
  • Si la demande de consentement porte sur d’autres questions que celle du consentement, la formulation de la demande doit être claire et compréhensible
  • La personne concernée doit pouvoir retirer son consentement à tout moment
  • Vérifier que l’exécution d’un contrat n’est pas subordonnée à un consentement non nécessaire.

2. Limitation des finalités : les données doivent être collectées pour des finalités déterminées, explicites et légitimes. Le RGPD interdit :

  • Le traitement des données personnelles qui révèle l’origine raciale ou ethnique des personnes, leurs opinions politiques, les convictions religieuses ou philosophiques ou leur appartenance syndicale
  • Le traitement des données génétiques ainsi que des données biométriques aux fins d’identifier une personne physique de manière unique
  • Le traitement des données concernant la santé, la vie ou l’orientation sexuelle des personnes physiques

Le RGPD autorise des exceptions à l’interdiction de traitement des données dans les cas suivants : lorsque le traitement est essentiel pour protéger les intérêts vitaux de la personne concernée ou d’une autre personne ; lorsqu’il est réalisé dans le cadre des activités légitimes d’une fondation, association ou organisation à but non lucratif, avec des garanties adéquates ; lorsque les données ont été manifestement rendues publiques par la personne concernée ; ou lorsque le traitement est nécessaire pour établir, exercer ou défendre un droit en justice.

3. Minimisation des données : les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.

4. Exactitude : les données doivent être exactes et tenues à jour. Les entreprises concernées doivent adopter des mesures appropriées pour que les données à caractère personnel qui sont inexactes, soient effacées ou rectifiées.

5. Limitation de la conservation : les données à caractère personnel doivent être conservées pendant une durée n’excédant pas les finalités du traitement. Elles peuvent être conservées pour des durées plus longues dans la mesure où le traitement est nécessaire à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou à des fins artistiques.

6. Intégrité et confidentialité : Les données doivent être traitées de façon à garantir leur sécurité, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d’origine accidentelle, à l’aide de mesures techniques ou organisationnelles appropriées.

Pour assurer le respect de ces principes fondamentaux, le RGPD a renforcé des droits existants, tels que le droit de rectification et le droit à l’effacement (droit à l’oubli), tout en introduisant de nouveaux droits. Parmi ceux-ci figurent le droit à la limitation du traitement et le droit à la portabilité des données, accessibles à tout citoyen européen. Il inclut également le droit de ne pas être soumis à un profilage, interdisant qu’une personne fasse l’objet d’une décision individuelle basée sur un traitement automatisé entraînant des conséquences juridiques ou un impact significatif sur elle.

Principe d’accountability  

Le Règlement Général sur la Protection des Données (RGPD) impacte profondément l’organisation des entreprises établies dans l’Union européenne (UE), ainsi que celles situées hors de l’UE lorsqu’elles traitent des données liées aux activités d’entreprises ou d’organisations européennes.

Il introduit le principe d’accountability (responsabilité), qui oblige les organisations à respecter les règles de collecte et de traitement des données personnelles. Ce principe impose aux entreprises d’adopter des mesures techniques et organisationnelles appropriées pour garantir que le traitement des données est conforme aux exigences du RGPD et de démontrer cette conformité à tout moment.

L’accountability promeut une culture de responsabilité dans la gestion des données personnelles. Cette approche proactive renforce la confiance des clients, réduit les risques de sanctions, et améliore la transparence et la traçabilité des données.

Ce principe est renforcé par deux obligations complémentaires :

  • Privacy by Design : intégrer des mesures de sécurité dès la conception des services, produits ou systèmes de traitement.
  • Privacy by Default : limiter le traitement aux seules données strictement nécessaires à une finalité spécifique, assurant une protection optimale.

Le non-respect de ces obligations est sévèrement sanctionné par le Code pénal, avec des peines pouvant atteindre 5 ans d’emprisonnement et une amende de 300 000 €.

Le principe d’accountability s’applique au responsable du traitement, défini comme toute personne physique ou morale, autorité publique ou organisme qui, seul ou conjointement, détermine les finalités et les moyens du traitement. Il concerne également le sous-traitant, à savoir la personne physique ou morale, l’autorité publique ou l’organisme qui traite des données personnelles pour le compte du responsable du traitement.

Gouvernance du dispositif RGPD : Délégué à la protection des données (DPO)

La mise en œuvre du règlement RGPD constitue une démarche structurante qui impacte l’organisation de l’entreprise de manière transversale. En effet, la conformité au RGPD nécessite une collaboration étroite entre toutes les fonctions de l’entreprise, qu’il s’agisse des départements juridiques, informatiques, ressources humaines, marketing ou opérationnels.

Chaque entité doit désigner un délégué à la protection des données (DPO) qui est chargé de définir des politiques et procédures internes, de coordonner et mettre en œuvre le dispositif de conformité au RGPD au sein de l’organisation. Sa désignation est obligatoire dans les trois cas suivants :

  • Le responsable du traitement des données est une autorité ou un organisme public.
  • Les activités principales du responsable du traitement ou des sous-traitants consistent en des opérations de traitement nécessitant un suivi régulier et systématique à grande échelle des personnes concernées. Pour qualifier un traitement comme étant à grande échelle, il convient de considérer : le nombre de personnes concernées, le volume des données traitées, la durée ou la permanence de l’activité de traitement, ainsi que son étendue géographique.
  • Les mêmes organismes traitent à grande échelle des données sensibles, telles que des données de santé, des données biométriques ou des données relatives aux condamnations pénales.

Un groupe d’entreprises peut désigner un unique DPO, à condition que ce dernier soit facilement joignable depuis chaque établissement du groupe.

Le DPO doit disposer de connaissances spécialisées en droit et en pratiques de protection des données, ainsi que des compétences nécessaires pour accomplir ses missions. Il peut être :

  • Un salarié du responsable du traitement ou du sous-traitant.
  • Une personne externe recrutée via un contrat de service.

L’entreprise doit garantir l’indépendance du DPO, lui fournir les ressources nécessaires (temps, personnel, outils) et veiller à ce qu’il ne reçoive aucune instruction concernant l’exercice de ses fonctions. Les coordonnées du DPO doivent être publiées et transmises à la Commission Nationale de l’Informatique et des Libertés (CNIL).

Missions du DPO

Le DPO joue un rôle central dans la conformité au RGPD. Ses missions incluent au minimum :

  • Conseiller et informer le responsable du traitement ou le sous-traitant sur les obligations en matière de protection des données.
  • Contrôler le respect du RGPD, des législations nationales applicables et des politiques internes de l’entreprise.
  • Conseiller sur l’analyse d’impact relative à la protection des données (AIPD) lorsque celle-ci est requise, et veiller à sa mise en œuvre.
  • Collaborer avec les autorités de contrôle, notamment la CNIL, et servir de point de contact principal pour ces autorités.
  • Tenir le registre des activités de traitement, un document clé du principe de responsabilité (accountability), dont les mentions sont précisément définies : coordonnées du responsable du traitement, finalités des traitements, description des catégories de personnes concernées et des données traitées, destinataires des données, éventuels transferts de données vers des pays tiers, délais prévus pour l’effacement des données et description générale des mesures de sécurité techniques et organisationnelles mises en place.

Le DPO n’est pas personnellement responsable en cas de non-conformité de l’entreprise au RGPD. Cette responsabilité incombe au responsable du traitement ou au sous-traitant, qui doivent s’assurer que les mesures appropriées sont mises en œuvre pour respecter la réglementation.

Autres principes clés du RGPD

Le RGPD impose aux entreprises, en tant que responsables du traitement, des nouvelles obligations portant notamment sur la réalisation d’une analyse d’impact (AIPD) et la sécurité des données à caractère personnel.

Analyse d’impact relative à la protection des données (AIPD)

Les entreprises sont tenues dans certains cas de réaliser une analyse d’impact (AIPD) des opérations envisagées sur la protection des données. Les lignes directrices du CEPD (Comité européen de la protection des données) identifient 9 critères pour déterminer si un traitement nécessite une AIPD. Selon le RGPD, une AIPD est obligatoire lorsque, en raison du type de traitement ou de l’utilisation de nouvelles technologies, les droits et libertés des personnes sont exposés à un risque élevé, notamment dans les cas suivants :

  • Évaluation, systémique et approfondie d’aspects personnels concernant la personne physique (profilage basé sur un traitement informatisé)
  • Traitement à grande échelle de données sensibles (catégories particulières de données, telles que données de santé, opinions politiques, etc.)
  • Surveillance systématique d’une zone accessible au public (voie publique, gare, centre commercial)

Cette liste n’est pas exhaustive, d’autres critères peuvent qualifier un traitement comme à risque, tels que : nombre des personnes concernées, le volume des données, la durée et la permanence de l’activité de traitement, l’étendue géographique de l’activité

L’analyse d’impact sur la protection des données (AIPD) doit être effectuée avant le lancement, et inclut au minimum :

  • Une description détaillée des opérations de traitement et de leurs objectifs
  • Une évaluation de la nécessité et de la proportionnalité du traitement
  • Une identification et une analyse des risques engendrés par le traitement

Sécurité des données personnelles

Les entreprises concernées sont tenues également de mettre en œuvre des mesures techniques et organisationnelles appropriées afin de garantir la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes et des services de traitement.

Pour ce faire, il est recommandé aux entreprises d’établir des politiques et procédures de contrôle internes assurant :  

  • La sécurité du personnel de l’entreprise : l’entreprise doit établir différents niveaux d’habilitation selon les responsabilités des utilisateurs et sensibiliser ses salariés et collaborateurs au travers la communication et la mise en œuvre de procédures et protocoles en matière de traitement des données. Elle doit également établir des règles d’authentification et d’accès au matériel informatique (identifiant, mot de passe) qui doivent être fortes et individualisées.
  • La sécurité des locaux : l’entreprise doit se doter de dispositifs de sécurité adéquats, tels qu’alarmes anti-intrusion, des détecteurs de fumée, des extincteurs, badges, codes d’accès, listes des personnes pouvant accéder aux différentes zones de l’entreprise
  • La sécurité du site web : pour se prémunir contre les attaques informatiques, les entreprises doivent se doter de dispositifs et protocoles TLS et assurer une surveillance régulière du site web
  • La sécurité des matériels et outils informatiques : l’entreprise doit mettre en œuvre des mesures visant à garantir la sécurité et l’accès aux serveurs, la sécurité des postes de travail, la sécurité du matériel informatique mobile et des téléphones, les réseaux wifi et l’accès à distance
  • La sauvegarde et l’archivage des données : l’entreprise doit adopter des mesures visant à assurer l’archivage et la sécurité des données afin de se prévenir contre tout vol, sinistre ou catastrophe naturelle, qui toucherait les sites principaux ou l’un des sites de sauvegarde
  • Le suivi des incidents : l’entreprise doit se doter de fichiers journaux ou de logs afin d’enregistrer et de répertorier les violations des données.

Conclusion

Le RGPD constitue un cadre rigoureux visant à protéger les données personnelles tout en responsabilisant les entreprises. En adoptant une approche proactive, incluant des politiques internes claires, des formations régulières et des technologies adaptées, les entreprises peuvent non seulement se conformer au RGPD, mais également renforcer leur résilience face aux menaces numériques et leur réputation auprès de leurs parties prenantes.

gp@giovannellapolidoro.com

 

 

 

 

Leave a comment