Rapport RGPD

Premiere partie : Réglementation et Organisation

1. Cnil RGPD

Tout d’abord qu’est-ce que la Cnil ?

La Commission Nationale de l'Informatique et des Libertés (CNIL) a été créée par la loi Informatique et Libertés du 6 janvier 1978.

Son rôle est de veiller à la protection des données personnelles contenues dans les fichiers et traitements informatiques ou papiers, qu’ils soient publics ou privés.

Son but est donc de veiller à ce que l'informatique soit au service du citoyen et qu'elle ne porte atteinte ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée, ni aux libertés individuelles ou publiques.

La CNIL est une autorité administrative indépendante (AAI), c'est-à-dire un organisme public qui agit au nom de l'Etat, sans être placé sous l'autorité du gouvernement ou d'un ministre. Elle est composée de 18 membres élus ou nommés et s'appuie sur des services.

Elle a un rôle d'alerte, de conseil et d'information vers tous les publics mais dispose également d'un pouvoir de contrôle et de sanction.

Ensuite que signifie RGPD : Règlement Général sur la Protection des Données (en anglais « General Data Protection Regulation ou GDPR).

Ce règlement encadre le traitement des données personnelles sur le territoire de l’Union européenne.

2. Les étapes

Depuis le 25 mai 2018, toutes les entreprises sont tenues de respecter le RGPD. Pour exemple, une société établie en France, qui exporte l’ensemble de ses produits au Maroc pour ses clients moyen-orientaux, doit respecter le RGPD. De même, une société établie en Chine, proposant un site de e-commerce en français livrant des produits en France doit respecter le RGPD. Le Règlement concerne aussi les sous-traitants qui traitent des données personnelles pour le compte d’autres organismes.

Pour respecter cette lois il faut passer par quatre étapes:

a. Registre

Ce document permet aux entreprises de recenser tous leurs fichiers afin d’avoir une vision d’ensemble.

Le RGPD identifie les activités principales de l’ entreprise qui nécessitent la collecte et le traitement de données.La durée de conservation de ces données est primordiale.

Le registre est placé sous la responsabilité du dirigeant de l’entreprise.

b. Tri

Il faut donc minimiser la collecte de données, en éliminant des formulaires de collecte et des bases de données et toutes informations inutiles.

c. Droits

Il est donc primordiale de permettre aux personnes d’exercer facilement leurs droits

L’entreprise doit donc leur donner les moyens d’exercer effectivement leurs droits. Si elle dispose d’un site web,il faudra produire un formulaire de contact spécifique, un numéro de téléphone ou une adresse de messagerie dédiée.

La mise à disposition d’un compte en ligne doit donner aux clients la possibilité d’exercer leurs droits à partir de leur compte.

d. Sécurité

L’entreprise doit garantir l’intégrité de son patrimoine de données en minimisant les risques de pertes de données ou de piratage.

Des réflexes doivent être mis en place : mises à jour des antivirus et logiciels, changement régulier des mots de passe et utilisation de mots de passe complexes, ou chiffrement des données dans certaines situations.

3. Règlement

Le RGPD s’inscrit dans la continuité de la Loi française Informatique et Libertés de 1978 établissant des règles sur la collecte et l’utilisation des données sur le territoire français.

Il a été conçu autour de 3 objectifs :

a. Renforcer les droits des personnes

Grâce au reglement RGPD, on voit un renforcement et une grande précision sur les droits des personnes physiques titulaires des données personnelles traitées et les obligations des entités qui se chargent du traitement de ces données.

La loi RGPD met l’accent sur les droits existants tout en créant de nouveaux. Les personnes concernées détiennent alors les droits suivants : Information (Art 13 et 14) : lorsqu’une entité recueille des données auprès d’une personne alors elle doit lui remettre diverses informations,notamment l’intérêt du traitement de données ainsi que les différents droits dont elle dispose.

Droit d’accès (Art 15) : la personne a le droit de recevoir la confirmation sur les traitements de ses données et même si les traitements n’auront pas lieu, elle restera informée. Elle a donc accès à ces données.

Droit de rectification (Art 16) : si les données sont inexactes ou encore incomplètes, alors la personne a le droit de requérir une rectification dans les meilleurs délais.

Droit à l’effacement (Art 17) : si la personne a mis fin à son consentement ou si elle s’oppose ou encore si les données ne répondent plus aux finalités du traitement, alors la personne a le droit de solliciter l’effacement de ses données. Même si les données ont déjà été partagées en mode public, il faudra que le responsable du traitement avise les autres responsables de les retirer dans les meilleurs délais.

Droit à la limitation du traitement (Art 18) : si la personne s’est opposée au traitement de ses données, alors elle a le droit de recevoir la limitation. Il en est de même pour un traitement illicite ou une contestation de l’authenticité des données

Droit à la portabilité (Art 20) : si la personne a conclu un contrat ou un consentement pour le traitement et que cela a été accompli par le biais de procédés automatisés, elle a le droit de demander les données et de les recevoir sous la forme d’un format structuré et facile à traiter par une autre machine. Si elle cherche donc à ce qu’un autre responsable visualise ses données, le premier ne doit pas s’y opposer ni représenter un obstacle .

Droit d’opposition (Art 21) : si la personne concernée souhaite s’opposer au traitement de ses données, elle peut le faire à tout moment;

Prise de décision automatisée (Art 22) : la

...