GDPR

Qu'est-ce que GDPR?

Le Règlement général sur la protection des données (GDPR) est une loi complète sur la protection des données promulguée par l'Union européenne (UE) le 25 mai 2018 pour protéger la vie privée et les données personnelles des citoyens de l'UE et de l'EEE. Elle impose des réglementations strictes sur la manière dont les organisations collectent, traitent, stockent et transfèrent les données personnelles, donnant aux individus un meilleur contrôle sur leurs informations personnelles et améliorant la confidentialité et la sécurité des données.

Présentation du RGPD

• Loi: Règlement général sur la protection des données
• Région: Espace Economique Européen
• Signé le: 14-04-2016
• Entrée en vigueur: 25-05-2018
• Industrie:Les entreprises proposent des produits ou des services aux citoyens de l'UE

Données personnelles selon le RGPD

Le RGPD définit les données personnelles comme toute information permettant d'identifier une personne directement (nom, identifiant) ou indirectement (données de localisation, identifiants en ligne). Même des données apparemment anonymes peuvent être personnelles si elles peuvent être réidentifiées avec d'autres informations.

Identifiants directs : Nom, adresse, numéro de téléphone, adresse électronique, numéro d'identification (par exemple, numéro de sécurité sociale, numéro de passeport).

Identifiants indirects : Données de localisation (adresse IP, coordonnées GPS), identifiants en ligne (noms d’utilisateur, cookies), données de santé, données génétiques, données biométriques (empreintes digitales, reconnaissance faciale), informations d’identité économique, culturelle ou sociale, etc.

Le Règlement général sur la protection des données (GDPR) comprend plusieurs éléments clés qui constituent la base de son cadre global de protection des données. Ces éléments comprennent :

• Fondement juridique du traitement
• Droits des personnes concernées
• Responsabilité et gouvernance
• Principes de protection des données
• Mesures de sécurité des données
• Notification de violation de données
• Transferts transfrontaliers de données
• Évaluations d’impact sur la protection des données (DPIA)
• Autorités de contrôle et contrôle de l'application de la loi

Principe de protection des données

Ces principes constituent le fondement du RGPD, décrivant comment les données personnelles doivent être traitées :

• Légalité, équité et transparence : Le traitement des données doit respecter la légalité, l’équité et la transparence pour les individus.
• Limitation de la finalité: Les informations doivent être recueillies pour des intentions distinctes, claires et licites.
• Minimisation des données : Seules les données personnelles minimales nécessaires à la finalité poursuivie peuvent être collectées.
• Exactitude: L’exactitude des données est primordiale et des mises à jour régulières sont essentielles, le cas échéant.
• Limitation de stockage: Les données doivent être conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire aux finalités du traitement.
• Intégrité et confidentialité : Des mesures techniques et organisationnelles appropriées doivent être mises en œuvre pour protéger les données contre tout traitement non autorisé ou illicite et contre toute perte, destruction ou dommage accidentel.
• Responsabilité: L'organisation assure le respect de tous les principes du RGPD.

Droits en vertu du RGPD

Le règlement général sur la protection des données (RGPD) accorde aux individus plusieurs droits en matière de confidentialité afin de leur permettre de mieux contrôler leurs données. Ces droits comprennent :

• Droit d'accès : Les particuliers peuvent obtenir des organisations la confirmation que leurs données sont traitées et, si tel est le cas, accéder à ces données ainsi qu’aux informations pertinentes sur leur traitement.
• Droit de rectification : Les particuliers peuvent demander la correction de données personnelles inexactes ou incomplètes détenues par des organisations, garantissant ainsi que leurs informations restent à jour et exactes.
• Droit à l’effacement (droit à l’oubli) : Les personnes peuvent demander la suppression de données dans certaines circonstances, par exemple lorsque les données ne sont plus nécessaires à leur finalité initiale ou lorsqu’elles retirent leur consentement.
• Droit à la portabilité des données : Les particuliers peuvent demander le transfert de leurs données d’une organisation à une autre dans un format structuré, couramment utilisé et lisible par machine, permettant un mouvement plus simple entre les fournisseurs de services.
• Droit à la limitation du traitement : Les personnes ont le droit de restreindre le traitement de leurs données dans certaines conditions, par exemple pour contester l’exactitude des données ou s’opposer à leur traitement.
• Droit d'opposition : Les personnes peuvent s’opposer au traitement de données à des fins spécifiques, telles que le marketing direct ou le traitement, sur la base d’intérêts légitimes, à moins que l’organisation ne puisse démontrer des raisons impérieuses qui l’emportent sur leurs intérêts ou leurs droits.
• Droits à la prise de décision automatisée et au profilage : Les personnes ont le droit de s’opposer à toute décision fondée uniquement sur un traitement automatisé ou un profilage. Des exceptions existent lorsque de telles décisions sont nécessaires pour respecter des obligations contractuelles ou avec un consentement explicite.

Qui doit se conformer au RGPD ?

Bien que le Règlement général sur la protection des données (RGPD) s'applique à un large éventail d'organisations qui traitent des données personnelles, indépendamment de leur taille, de leur localisation ou de leur secteur, il ne s'applique pas à tout le monde. Les cas d'utilisation de sa mise en œuvre couvrent divers secteurs et industries, notamment la santé, la finance et la banque, la vente au détail et le commerce électronique, la technologie et ses services, les télécommunications, le marketing et la publicité, l'éducation, le gouvernement et le secteur public, la fabrication et l'industrie, le transport et la logistique, etc. Il s'applique généralement à :

• Organisations établies dans l'UE/EEE
• Organisations non européennes traitant des données de l'UE/EEE.

Exceptions

Il existe quelques exceptions à l'applicabilité du RGPD, comme le traitement de données personnelles pour des activités personnelles ou domestiques. Cependant, ces exceptions sont étroitement définies et il est préférable de consulter un conseiller juridique pour des situations spécifiques.

Risques réglementaires

Le RGPD prévoit deux niveaux d’amendes en fonction de la gravité de la violation :

Niveau 1 : Jusqu'à 10 millions d'euros, ou 2 % du chiffre d'affaires annuel mondial de l'exercice précédent (le montant le plus élevé étant retenu), pour des violations telles que

• Défaut de tenue de registres appropriés des activités de traitement.
• Défaut de mise en œuvre de mesures techniques et organisationnelles appropriées pour garantir la sécurité des données.
• Ne pas nommer de délégué à la protection des données lorsque cela est nécessaire.
• Défaut de réalisation d’analyses d’impact sur la protection des données (lorsque cela est requis).
• Défaut de notification aux autorités de contrôle ou aux personnes concernées d’une violation de données.

Niveau 2 : Jusqu'à 20 millions d'euros, ou 4 % du chiffre d'affaires annuel mondial de l'exercice précédent (le montant le plus élevé des deux), pour les violations les plus graves, notamment :

• Les violations des principes fondamentaux du traitement des données comprennent l’absence de base juridique pour le traitement, le défaut d’obtention du consentement ou le traitement des données au-delà de l’objectif spécifié.
• Traitement de données personnelles sensibles sans garanties ni consentement appropriés.
• Non-respect des demandes de droits des personnes concernées, telles que l’accès, la rectification, l’effacement ou la portabilité des données.
• Transférer des données personnelles vers un pays tiers ou une organisation internationale sans garanties adéquates ni base juridique.
• Violation des conditions d’obtention d’un consentement valable pour le traitement des données.
• Ignorer les ordres ou les sanctions imposées par les autorités de contrôle.

Autorité de conformité pour le RGPD :

L'autorité de contrôle compétente pour le respect du règlement général sur la protection des données (RGPD) relève principalement des autorités de contrôle de chaque État membre de l'Union européenne (UE) ou de l'Espace économique européen (EEE). Voici quelques exemples d'autorités de contrôle :

• Information Commissioner's Office (ICO) – Royaume-Uni
• Commission Nationale de l'Informatique et des Libertés (CNIL)
• Commission de protection des données (DPC) en Irlande
• Autoriteit Persoonsgegevens (AP) aux Pays-Bas
• Commissaire fédéral allemand à la protection des données et à la liberté d'information (BfDI)

En outre, le Comité européen de la protection des données (CEPD) veille à l'application cohérente de la législation dans l'ensemble de l'UE/EEE. Le CEPD fournit des orientations, émet des avis et des recommandations et résout les litiges entre les autorités de contrôle.

Comment éviter les amendes du RGPD ?

Les organisations peuvent minimiser le risque d’amendes lourdes en prenant des mesures proactives pour se conformer au RGPD, telles que

• Réalisation d'une cartographie des données et d'une analyse des lacunes
• Mettre en œuvre des mesures techniques et de sécurité appropriées telles que le masquage des données
• Obtention du consentement explicite pour le traitement des données
• Répondre rapidement et efficacement aux demandes des personnes concernées
• Signalement des violations de données dans les délais prescrits
• Recherche d'un conseil juridique pour obtenir des conseils sur la réglementation relative à la confidentialité des données

En conclusion, l'autorité de contrôle de chaque État membre de l'Union européenne (UE) ou de l'Espace économique européen (EEE) est chargée de veiller au respect du règlement général sur la protection des données (RGPD). Ces autorités jouent un rôle crucial dans le contrôle et l'application du respect du RGPD au sein de leur juridiction, garantissant ainsi la protection des données des personnes. Si les autorités de contrôle sont les principales responsables de l'application du règlement, les organisations doivent également donner la priorité aux efforts de conformité internes pour respecter les normes de protection des données, éviter les amendes et maintenir la confiance des parties prenantes.

QFP