RGPD ou, dans son intégralité, le Règlement général sur la protection des données. Vous avez entendu parler de cette nouvelle législation, mais vous ne savez toujours pas avec certitude de quoi il s’agit et quel est son impact sur les processus organisationnels des entreprises ?
Découvrez tout ce que vous devez savoir sur le nouveau règlement général sur la protection des données et commencez dès maintenant à préparer votre entreprise à se conformer à la nouvelle législation.
Qu’est-ce que le RGPD ?
Le règlement général sur la protection des données a été approuvé par l’Union européenne, introduisant un nouveau régime pour la protection des données personnelles. Elle a été créée pour protéger le citoyen contre le traitement à grande échelle de données personnelles par les grandes entreprises et les services de la société de l’information.
En plus de renforcer la protection juridique des droits des personnes concernées, la DSGP définit de nouvelles règles et procédures d’un point de vue technologique.
Elle remplace la directive européenne sur la protection des données (directive 95/46 / CE) établie en 1995 et abroge les dispositions incompatibles du code de protection des données personnelles (décret législatif n° 196/2003). Le règlement a été adopté le 27 mai 2016 et devrait s’appliquer pendant deux ans, c’est-à-dire qu’il sera pleinement opérationnel dans l’UE le 25 mai 2018.
En France, la Commission nationale de protection des données fonctionnera selon le modèle « ASAE ».
Qu’est-ce qu’une donnée personnelle ?
Le nom, l’adresse, le lieu, les informations sur la santé, le revenu, le profil culturel, les adresses IP des appareils, sont quelques exemples de ce qui est considéré comme des données personnelles. Si, dans votre entreprise, vous collectez, stockez ou utilisez ce type de données, vous devez alors respecter les règles.
Notez que les règles énoncées dans le RGPD s’appliquent aux données à caractère personnel qui peuvent être sous forme numérique ou sur papier.
Changer les règles… pourquoi ?
En pratique, c’est une question de confiance. Le manque de confiance dans les anciennes règles de protection des données influençait l’économie numérique. Selon les données, seuls 15 % des gens estiment avoir un contrôle absolu sur les informations qu’ils fournissent sur Internet.
Les nouvelles règles devraient renforcer la confiance des consommateurs et des entreprises.
Que devrait faire votre entreprise après tout ?
- Communiquez en utilisant un langage simple, vous devez dire à vos clients pourquoi vous avez besoin de ces données. Dites-leur pourquoi vous traitez les données, combien de temps elles seront conservées et qui les recevra. Le client doit être informé de tous ses droits.
- Consentement – Obtenez le consentement explicite de vos clients au traitement de leurs données. Le consentement doit être confirmé par une déclaration non ambiguë ou un autre acte positif. Le consentement ne peut être présumé et les options présélectionnées ne peuvent être utilisées sur les sites web. Si vous collectez des données sur des mineurs, vous devez également vérifier la limite d’âge afin d’obtenir le cas échéant le consentement des parents.
- Supprimer des données – Vous devez accorder le « droit à l’oubli », c’est-à-dire supprimer les données personnelles des personnes qui le demandent.
- Marketing – Donner aux gens le droit de refuser le marketing direct qui utilise leurs données.
- Droit à la portabilité – Vos clients peuvent demander que vos informations soient transmises à une autre organisation ou à un concurrent.
- Droit d’opposition : les personnes concernées peuvent demander que leurs informations ne fassent pas l’objet de certains traitements ou utilisations.
- Droit d’accès : vos clients ont le droit de connaître toutes les données obtenues et leur type d’utilisation.
- Droit de rectification : vos clients peuvent demander que leurs informations soient mises à jour ou corrigées.
- Protection des données sensibles – Disposer de garanties extraordinaires pour les informations sur la santé, la race, l’orientation sexuelle, la religion et les convictions politiques.
- Notification obligatoire des violations de données – Les responsables du traitement des données doivent notifier les autorités locales de contrôle – CNPD, au Portugal – dans les 72 heures après en avoir eu connaissance. Les violations graves doivent être notifiées aux particuliers.
Agent des données… en avez-vous besoin ?
Vérifiez si vous avez besoin d’un délégué à la protection des données (DPD – délégué à la protection des données ou EPD – Data Protection Officer). En termes de profil, cette personne doit avoir des connaissances spécialisées en matière de droit de la protection des données. Il peut s’agir d’un employé ou d’un prestataire de services.
Il n’est pas toujours obligatoire ; tout dépend du type et de la quantité de données que vous collectez, si le traitement des données est votre activité principale et si vous le faites à grande échelle.
Protection des données – que faire ?
Essayez de vous assurer que toutes les données et le système sont sécurisés. Il n’y a pas de formule ou de règle spécifique ici, mais vous devez démontrer qu’il y a une préoccupation et une action
Veiller à ce que les fournisseurs de services, de logiciels et de systèmes connaissent et respectent la directive sur la protection des données et la vie privée en ligne ;
Des audits de données devraient être effectués
Les données doivent être hébergées en Europe
Comment préparer votre entreprise ?
Selon l’étude réalisée par le cabinet de conseil IDC et présentée lors de l’événement « Breaking GDPR : Become a master » de Microsoft France le 30 janvier 2018, « seuls 2,5 % des décideurs des PME européennes sont préparés au nouveau règlement général sur la protection des données ».
Si c’est votre cas, ne perdez plus de temps et commencez à préparer votre entreprise aux nouveaux défis qui vous attendent. Il y a quelques étapes que vous devez garder à l’esprit, dont la première consiste à faire l’inventaire de toutes les données personnelles détenues par votre entreprise. Ensuite, essayez de comprendre d’où viennent ces données et qui y a accès.
Si, par hasard, vous cherchez une aide qui vous aidera à simplifier les processus administratifs et vous permettra de suivre de près l’évolution de votre entreprise, l’idéal est que votre choix s’inscrive dans le cadre d’une aide juridique qui vous aidera à respecter toutes les exigences du nouveau règlement général sur la protection des données.
Juritravail.com est peut-être l’option idéale pour vous. En plus de vous donner les conseils et l’assistance nécessaires pour mettre à jour vos RDPD, le site est hébergé dans l’infrastructure Microsoft Azure, une technologie reconnue sur le marché mondial qui garantit des niveaux élevés de performance et de sécurité, déjà en conformité avec les directives imposées par le RGPD. Vous pourrez trouver via ce lien un code promo Juritravail si besoin.
Le coût de la non-conformité… (amendes)
Les règles adoptées par le Parlement européen, prévues à l’article 83, paragraphe 5, stipulent que les amendes dans les cas moins graves peuvent s’élever à 10 millions d’euros ou 2 % du chiffre d’affaires total.
Certains de ces cas le sont :
- Le défaut de signalement des violations de données à l’autorité nationale régissant ces données, en l’occurrence la CNPD ;
- Manque de coopération avec les autorités
Dans les cas les plus graves, elle peut atteindre 20 millions d’euros ou 4% de la facturation. Certains de ces cas le sont :
- Non-respect des règles de consentement
- Transferts internationaux de données (si les données des clients sont transférées en dehors de l’Union européenne à l’insu et/ou sans consentement)
Le gouvernement français a également décidé de fixer des valeurs minimales pour les amendes dans le projet de loi approuvé par le Conseil des ministres, avec des valeurs spécifiques pour les petites et moyennes entreprises (PME).
En cas d’infraction grave, les amendes minimales sont de 1000 euros pour les PME et de 2500 euros pour les grandes entreprises. Dans le cas d’une infraction administrative très grave, les amendes minimales sont de 2000 euros pour les PME et de 5000 euros pour les grandes entreprises. Le montant de l’amende sera fixé par la CNPD.
Conclusions et mises en garde
Le RGPD est sans aucun doute un grand défi pour les entreprises. Le nouveau règlement définit un ensemble de règles pour le traitement et le stockage des données personnelles et entraînera certainement divers coûts pour les entreprises.
En plus de tous les changements qui se produisent, il y a aussi ceux qui en profitent pour présenter des « solutions » « très coûteuses », qui nécessitent très souvent des contrats importants… alors soyez à l’affût.
Il existe de nombreuses informations sur le sujet sur Internet, mais consultez celles mises à disposition par les organismes compétents, comme le site de la CNPD (Commission nationale pour la protection des données) où vous pouvez trouver la législation et des informations générales. Consultez notamment la publication de la CNPD, « 10 mesures pour préparer la mise en œuvre du règlement européen sur la protection des données ».
Le RGPD n’a pas été conçu pour rendre la vie difficile aux entreprises, mais pour protéger les données personnelles des citoyens… la sécurité des données doit être une priorité à partir de maintenant.
