LE RGPD, un récapitulatif nécessaire avant sa mise en vigueur le 25 mai 2018
Vous avez sans doute constaté récemment en naviguant sur vos sites ou réseaux sociaux préférés, l’apparition d’un message signalant une mise à jour de la politique de protection de vos données personnelles. Nul doute que ces avertissements soit liés à la mise en vigueur d’une nouvelle réglementation européenne qui fait beaucoup parler d’elle depuis quelques mois déjà : le RGPD, un texte applicable dès le 25 mai 2018.
Le RGPD, qu’est-ce que c’est ?
Le RGPD (Règlement Général sur la Protection des Données) aussi appelé sous l’acronyme anglais GDPR (General Data Protection Regulation) est le nouveau texte européen qui va servir de référence juridique pour tout ce qui concerne la protection des données personnelles des résidents européens. Il vient compléter et renforcer la loi Informatique et Libertés du 6 janvier 1978.
En effet, si les principes fondamentaux de cette loi restent inchangés, de nouveaux droits s’ouvrent aux citoyens afin qu’ils puissent bénéficier d’une meilleure transparence et d’un plus grand contrôle sur l’utilisation des leurs données. L’objectif du règlement, adopté en avril 2016 par l’Union Européenne, est d’harmoniser la protection des données personnelles et de la vie privée des citoyens européens des 28 pays membres.
Qui est concerné par le RGPD ?
Tous les acteurs économiques et sociaux proposant des biens et des services en Union Européenne doivent se conformer à cette réglementation à partir du moment où ces derniers collectent des données à caractère personnel. Autant dire, que ce soit qu’en tant que simple citoyen, salarié ou encore chef d’entreprise, tout un chacun est concerné par ce règlement. Ce nouveau cadre juridique vise aussi bien les entreprises, les sous-traitants que les associations et les organismes publics. Il faut également préciser que cela englobe aussi les sociétés hors Union Européenne qui traitent des données personnelles de citoyens européens : un e-commerce chinois, par exemple, doit se conformer au RGPD s’il exporte en Europe.
Qu’est-ce qu’une donnée personnelle ?
Les données personnelles sont multiples dans la mesure où elles font référence à tout ce qui peut permettre à un individu d’être directement ou indirectement identifié : nom, prénom, plaque d’immatriculation, photographie, mais aussi adresse I.P constituent une liste non exhaustive de données personnelles.
Certaines données sont dénommées sensibles : celles relatives à la santé de l’individu, son orientation sexuelle ou politique, son appartenance ethnique ou religieuse. La collecte de ces données est interdite, même s’il existe des exceptions encadrées et soumises à des restrictions qui doivent être justifiées au cas par cas.
Que faire pour être conforme au RGPD ?
Avec le RGPD, l’organisme concerné, doit être en mesure de savoir précisément quelles sont les données dont il dispose, l’objectif de cette collecte, et le temps de conservation de ces dernières. Autre aspect important de cette nouvelle réglementation : L’idée de minimiser les données collectées, c’est-à-dire de collecter et de stocker uniquement celles qui sont réellement nécessaires au bon fonctionnement de l’entité juridique.
Une dernière notion est fondamentale et s’inscrit directement dans la logique du RGPD : la transparence vis-à-vis des individus dont les données sont collectées mais également une transparence en direction de la CNIL (Commission nationale de l’informatique et des libertés) chargé de veiller à la mise en conformité du règlement européen.
La mise en conformité peut s’avérer plus ou moins difficile selon la structure et le type de données conservées, mais les démarches et les étapes à réaliser sont globalement les mêmes.
Tout d’abord, il faut analyser l’existant : quels sont les moyens mis en place pour protéger et sécuriser les données personnelles ? Quelles sont les optimisations nécessaires à réaliser ?
Ensuite, il faut veiller au respect d’un des grands principes du RGPD qui est l’accountability.
On pourrait traduire ce terme par le principe de responsabilité. Il s’agit, pour la personne physique ou morale d’être apte à démontrer que les obligations ont bien été remplies lors d’un contrôle de la CNIL. Pour bien se préparer à ce chantier, la CNIL recommande, selon les besoins de l’organisme, de désigner un DPO (Data Protection Officer) un délégué à la protection des données qui sera le chef d’orchestre de la mise en conformité avec le RGPD. Il sera également l’interlocuteur privilégié de la CNIL.Ce poste exige des compétences juridiques afin d’être en mesure d’évaluer les actions à mettre en place et des moyens pour y arriver.
Il peut être nommé officiellement ou officieusement en interne mais peut aussi venir de l’extérieur. Parmi ses missions : dresser un registre des données (en précisant notamment le type de données recueillies et la finalité de cette collecte), mener des analyses d’impacts afin d’éviter les risques, et enfin constituer un dossier prouvant la conformité de l’organisme avec le RPGD. La Cnil accompagne les entreprises vers cette mise en conformité avec le RGPD. C’est d’ailleurs la structure à contacter en priorité en cas de question et de doute sur un sujet lié au RGPD.
Les nouveaux droits assurés par le RGPD
Le RGPD confirme les droits existants (droit à l’information droit à l’accès, droit à l’opposition) et ouvre de nouveaux droits aux citoyens européens. Ils bénéficieront de plus de contrôle et de transparence sur leurs données personnelles. Les entreprises devront demander un consentement clair et explicite avant de pouvoir exploiter leurs données.
Le RGPD reconnait désormais 3 grandes nouveautés :
Comme pour tout texte juridique, il existe des exceptions : les missions de services publics, l’archivage scientifique ou historique ne sont pas concernés par ces obligations.
Le RGPD, une bonne nouvelle pour la protection et la sécurisation de nos données ?
Face à la valeur marchande grandissante des données personnelles et aux scandales récents comme celui de Facebook et de la firme britannique Cambridge Analytica les citoyens peuvent se montrer légitimement inquiets quant à l’utilisation de leurs données. Le RGPD arrive à point nommé pour rassurer cette inquiétude en affirmant explicitement que la protection de la vie privée constitue un droit fondamental. Ce nouveau règlement européen nous concerne tous. Il permet de réinstaurer la confiance des résidents européens en invitant les organismes à se responsabiliser et à renforcer efficacement la protection de leurs données tout en faisant preuve d’une véritable transparence sur le sujet.