Qu’est-ce que le RGPD ? Définition simple
Le RGPD (Règlement Général sur la Protection des Données) est le texte européen de référence en matière de protection des données personnelles. Entre en application le 25 mai 2018, il harmonise les règles applicables dans l’ensemble de l’Union européenne et renforce les droits des personnes sur leurs données.
Une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable. Le nom, l’adresse email, le numéro de téléphone, l’adresse IP ou encore les données de localisation sont des exemples de données personnelles.
Le RGPD s’applique à toute organisation, publique ou privée, qui traite des données personnelles de résidents européens, quelle que soit sa taille ou son secteur d’activité. Il concerne aussi les organisations situées hors de l’UE dès lors qu’elles ciblent des résidents européens.
Découvrir DPO France
Les grands principes du RGPD
La liceite du traitement
Tout traitement de données personnelles doit reposer sur une base légale. Le RGPD en définit six : le consentement de la personne, l’exécution d’un contrat, le respect d’une obligation légale, la sauvegarde des intérêts vitaux, l’exécution d’une mission d’intérêt public et l’intérêt légitime du responsable de traitement.
La limitation des finalités
Les données ne peuvent être collectées que pour des finalités déterminées, explicites et légitimes. Elles ne doivent pas être traitées ultérieurement de manière incompatible avec ces finalités initiales.
La minimisation des données
Seules les données strictement nécessaires à la finalité poursuivie doivent être collectées. Ce principe interdit la collecte excessive ou préventive de données personnelles.
L’exactitude des données
Les données personnelles doivent être exactes et tenues à jour. Des mesures raisonnables doivent être prisés pour que les données inexactes soient rectifiées ou effacées sans délai.
La limitation de la conservation
Les données ne doivent pas être conservées au-delà de la durée nécessaire aux finalités pour lesquelles elles sont traitées. L’organisme doit définir des durées de conservation pour chaque catégorie de données.
La sécurité des données
Le responsable de traitement doit mettre en place des mesures techniques et organisationnelles appropriées pour garantir la sécurité des données. Cela inclut la protection contre le traitement non autorisé, la perte ou la destruction accidentelle.
Découvrir DPO Suite
Les obligations des professionnels
Tenir un registre des traitements
Toute organisation doit documenter l’ensemble de ses traitements de données personnelles dans un registre. Ce document recense les finalités, les catégories de données, les destinataires, les durées de conservation et les mesures de sécurité pour chaque traitement.
Informer les personnes concernées
Les personnes dont les données sont collectées doivent être informées de manière claire et transparente. L’information porte notamment sur l’identité du responsable de traitement, les finalités, la base légale, les destinataires, la durée de conservation et les droits dont elles disposent.
Respecter les droits des personnes
Le RGPD confère aux personnes plusieurs droits : droit d’accès, droit de rectification, droit à l’effacement, droit à la limitation du traitement, droit à la portabilité et droit d’opposition. L’organisme doit être en mesure de répondre à ces demandes dans un délai d’un mois.
Sécuriser les données
L’organisme doit mettre en place des mesures de sécurité adaptées au niveau de risque. Cela comprend le chiffrement des données, la gestion des accès, les sauvegardes régulières et la sensibilisation des collaborateurs.
Notifier les violations de données
En cas de violation de données susceptible d’engendrer un risque pour les personnes, l’organisme doit notifier la CNIL dans un délai de 72 heures. Si le risque est élevé, les personnes concernées doivent également être informées.
Réaliser des analyses d’impact
Lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes, une analyse d’impact relative à la protection des données (AIPD) doit être réalisée préalablement à sa mise en oeuvre.
Les sanctions en cas de non-conformité
Le RGPD prévoit des sanctions financières significatives. Les amendes peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. En France, la CNIL a déjà prononcé des amendes de plusieurs millions d’euros à l’encontre d’organisations ne respectant pas le règlement.
Au-delà des sanctions financières, la non-conformité expose l’organisme à un risque reputationnel important. La publication des décisions de sanction par la CNIL peut affecter durablement la confiance des clients et des partenaires.
Découvrir Focus RGPD
Comment se mettre en conformité
La première étape consiste à dresser un état des lieux des traitements existants. L’organisme doit identifier toutes les données personnelles qu’il collecte, les finalités associées et les flux de données.
La deuxième étape porte sur la désignation d’un DPO (Délégué à la Protection des Données). Cette désignation est obligatoire pour les organismes publics, les organismes réalisant un suivi systématique à grande échelle et ceux traitant des données sensibles à grande échelle.
La troisième étape consiste à mettre en place les outils de conformité : registre des traitements, mentions d’information, procédures de gestion des droits, politique de sécurité et plan de gestion des violations de données.
La quatrième étape est la formation des collaborateurs. La conformité RGPD repose sur l’implication de l’ensemble des équipes, et non sur le seul DPO.
Article rédigé par Laurent de Cavel, DPO et fondateur de DPO Partage. Accompagnement RGPD sur mesure pour toutes les structures.
