RGPD : Quels sont les réflexes à avoir pour s’assurer d’être en conformité ?
Afin d’appréhender ce qu’est le Règlement Général sur la Protection des Données personnelles (RGPD), il convient de comprendre ce qu’est une donnée à caractère personnel.
Une donnée à caractère personnel est un élément d’information qui sert de base à l’identification d’un individu, personne physique vivante, identifiée ou identifiable.
L’omniprésence de l’internet, sa nécessité et son immédiateté sont à l’origine d’une volonté d’encadrer l’utilisation des données à caractère personnel appartenant à chaque individu.
A ce jour, l’internet fait partie du quotidien des milliards d’individus sur Terre et son développement infini a conduit à la nécessité de poser les jalons d’un premier cadre juridique, en France.
Ce cadre juridique a débuté avec la loi informatique et liberté du 6 janvier 1978 créant également la Commission Nationale de l’Informatique et des Libertés, visant à faire respecter la loi susmentionnée.
La protection des données personnelles n’est donc pas une nouveauté.
Plusieurs textes notamment européens sont intervenus et ce sont largement inspirés de la loi française du 6 janvier 1978 mais le texte phare est le Règlement Général sur la Protection des Données 2016/679 du Parlement européen et du Conseil du 27 avril 2016 et entré en vigueur le 23 mai 2018.
Ce règlement encadre et contrôle les traitements des données à caractère personnel des citoyens faisant partie des états-membres de l’Union Européenne.
Cette protection a été jugée nécessaire à l’encontre des entreprises qui, à l’aide de l’internet, n’hésitent pas vendre, acheter, et donc donner une dimension pécuniaire aux données personnelles des individus.
La valorisation monétaire de ces données à caractère personnel a provoqué des dérives qu’il a fallu contrer par une protection renforcée et ciblée.
Par conséquent, aujourd’hui, et à l’aune d’une intelligence artificielle grandissante, il était plus que nécessaire de consolider les règles et développer des mesures visant à protéger le traitement des données personnelles des personnes physiques à l’encontre des entreprises et entités personnes morales.
Le respect de ce texte est devenu un sujet essentiel pour les personnes morales dans le cadre de leur activité.
Il importe donc de s’interroger sur les réflexes à adopter pour être en conformité du RGPD et comment s’y conformer.
Les réflexes à adopter en tant que personne morale traitant les données personnelles des citoyens européens
Par réflexe, il faut entendre les réflexions principales à avoir pour s’assurer de respecter les règles du RGPD, avant de s’interroger sur le « comment » s’assurer de ce respect.
Premier réflexe : Avoir à l’esprit que la personne morale ne peut collecter et traiter que les données strictement nécessaires à son activité.
Il faut donc un but déterminé et limité au strict nécessaire pour le développement de son activité.
Par exemple, une entreprise qui vend des meubles n’a aucun intérêt à solliciter le numéro de sécurité sociale de l’individu. En revanche, s’il doit procéder à une livraison de meuble, la collecte de son adresse postale personnelle sera nécessaire pour livrer le bien.
Deuxième réflexe : L’individu doit avoir la possibilité de maîtriser le traitement de ses données personnelles. Cette maîtrise passe par une transparence totale de l’entreprise sur : où trouver ces données ? Comment solliciter leur modification ou suppression ? Quels sont leurs droits et modalités d’exercice de ces droits ? A qui s’adresser ?
La transparence de ces informations passe par la facilité accordée à l’individu de maîtriser le traitement de ses données à caractère personnel.
Troisième réflexe : Il faut fixer un délai strict de conservation des données à caractère personnel. Il n’est pas autorisé, ni même nécessaire de conserver les données à caractère personnel d’un individu plus de temps que nécessaire à l’activité de l’entreprise.
Quatrième réflexe : Il faut s’interroger sur les moyens de conservation sécurisés des données personnelles. Cela passera par une sécurisation physique, informatique ou par tout autre moyen visant à protéger les données personnelles des citoyens européens. Il en va de la responsabilité de l’entreprise de protéger les données qu’elle aura collectées.
Cinquième réflexe : Il faut prendre en compte l’évolution de la collecte des données à caractère personnel et continuellement mettre à jour les mesures mises en œuvre afin de protéger strictement ces données.
Dès lors que ces réflexions sont adoptées par l’entreprise, il appartient de se poser la question du « comment » assurer cette conformité au RGPD.
Comment se mettre en conformité ?
Maintenant que l’entreprise a établi son plan d’action en mettant en exergue les réflexes nécessaires à la protection des données personnelles, il faut qu’elle le concrétise.
A ce titre, la CNIL a développé ce passage à l’action en 4 étapes : .
Lorsque la protection n’est pas informatique mais physique, il en va de l’entreprise de prendre les mesures nécessaires pour assurer cette protection telles que la présence en continu de vigiles, caméras de surveillance et autre mesure.
Il appert évident que le risque zéro n’existe pas mais il en va de la responsabilité de l’entreprise d’adopter ces réflexes, de les mettre en œuvre et surtout de les développer en permanence afin de protéger au mieux les données à caractère personnel des individus des états membres.
A défaut, si l’entreprise n’assure pas une protection des données à caractère personnel qu’elle collecte et traite, elle risque des sanctions pécuniaires pouvant s’élever à 20 millions d’euros ou jusqu’à 4% du chiffre d’affaires annuel mondial.
En outre, ces sanctions peuvent être rendues publiques ce qui nuira lourdement à l’entreprise défaillante.
Enfin, la CNIL est compétente pour :
Les entreprises ont donc tout intérêt à adopter les bons réflexes et surtout à les concrétiser de sorte à être en conformité avec le RGPD.