Le RGPD

CORMIER Katell

RGPD

3 semaines

INTRODUCTION

Le règlement général sur la protection des données (RGPD) est un règlement du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données.

Il est entré en vigueur le 25 mai 2018.

Il impose de nombreuses obligations, notamment en imposant des clauses contractuelles détaillées en matière de sous traitance dans les contrats informatiques et de protection des données personnelles, qui doivent être prises en compte pour le développement de logiciels.

Ce règlement européen suit la Loi française Informatique et Libertés de 1978 et renforce le contrôle par les citoyens de l’utilisation qui peut être faite des données les concernant.

Il harmonise les règles en Europe en offrant un cadre juridique unique aux professionnels. Il permet de développer leurs activités numériques au sein de l’UE en se fondant sur la confiance des utilisateurs.

PARTIE 1

Le RGPD protège les données personnelles, mais qu’est-ce qui est considéré comme donnée personnelle ?

Une donnée personnelle est toutes les informations qui se rapportent à une personne physique identifiée, ou identifiable.

Une personne peut être identifiée de deux façons :

        - directement, avec son nom, ou son prénom par exemple ;

        - indirectement, avec un identifiant, un numéro, une donnée biométrique, plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale, mais aussi la voix ou encore l’image.

L’identification d’une personne physique peut être réalisée de deux façons :

        - à partir d’une seule donnée, comme le numéro de sécurité sociale, ou l’ADN ;

        - à partir du croisement d’un ensemble de données, comme une adresse, une date de naissance, un abonnement à tel magazine.

Le RGPD règlemente le traitement de ces données, en quoi constiste-t’il ?

La notion de traitement est très large. Il s’agit d’une ou d’un ensemble d’opérations, portant sur des données personnelles, quel que soit le procédé utilisé.

Les procédés de récupération des données sont les suivants :

        - la collecte ;

        - l’enregistrement ;

        - l’organisation ;

        - la conservation ;

        - l’adaptation ;

        - la modification ;

        - l’extraction ;

        - la consultation ;

        - l’utilisation ;

        - la communication par transmission ;

        - la diffusion ou toute autre forme de mis à disposition ;

        - le rapprochement.

Un traitement de données doit avoir un objectif, une finalité : il est interdit de collecter ou de traiter des données personnelles simplement en cas d’utilité éventuelle.

Attention : un traitement de données personnelles n’est pas nécessairement informatisé, les fichiers papiers sont aussi concernés et doivent être protégés dans les mêmes conditions.

Est-ce que tout le monde est concerné ?

Tout organisme, quel que soit sa taille, son pays d’implantation et son activité, peut être concerné.

Les organisations, publiques et privées, qui traitent des données personnelles, pour son compte ou non, doivent suivre le RGPD dès lors :

        - Qu’elles sont établies sur le territoire de l’UE ;

        - Que leur activité cible directement des résidents européens.

Le RGPD concerne aussi les sous-traitants qui traitent des données personnelles pour le compte d’autres organismes.  

S’il y a collecte de données pour le compte d’une autre entreprise, il y a aussi des obligations spécifiques pour garantir la protection des donnés confiées.

Quelles actions mettre en place pour être conforme au RGPD ?

        1. Solliciter les service d’un DPO

Chaque entreprise concernée par le RGPD doit en tout premier lieu, nommer un Délégué à la Protection des Données (DPO), qui aura pour mission de rédiger et mettre en place l’ensemble des processus de mise en conformité avec ce règlement.

Ses rôles principaux sont notamment :

        - informer et de conseiller le responsable de traitement ou le sous-traitant et leurs employés ;

        - contrôler le respect du RGPD et du droit national en matière de protection dees données ;

        - conseiller l’organisme sur la réalisation d’études d’impact sur la protection des données et d’en vérifier l’exécution ;

        - coopérer avec l’autorité de contrôle et d’en être le médiateur.

Pour ce faire, il doit :

        - s’informer sur les nouvelles obligations ;

        - sensibiliser les décideurs sur l’impact de celles-ci ;

        - réaliser l’inventaire des traitements de données de l’organisme auquel il est affilié ;

        - réaliser des actions de sensibilisation ;

        - gérer la conformité en continu.

        2. Tenir un registre de traitement des données + exemples

Ensuite, il est nécessaire de rédiger un registre de traitement des données. Celui ci concerne tous les organismes, publics ou privés, peu importe la taille, dès lors qu’il y a un traitement de données effectuées. Le registre vise à avoir une vision d’ensemble des données collectées, ainsi que des traitements réalisés au sein d’une organisation.

...