Le RGPD a beaucoup fait parler de lui en 2017. Le 25 Mai, le nouveau règlement général sur la protection des données personnelles entrera en vigueur. Que faut-il savoir sur ce règlement ? Qu’est ce qui va changer pour les entreprises ?
L’Agence LUSSO vous dévoile les points essentiels à connaître sur le RGPD.
Le cadre juridique
Le RGPD (règlement général sur la protection des données personnelles) sera applicable le 25 mai dans l’ensemble de l’Union Européenne. Il concernera l’ensemble des entreprises mondiales qui traitent les données personnelles de citoyens européens. Autant dire que c’est un énorme changement.
Le terme de donnée personnelle est d’ailleurs bien précis et défini par la loi. C’est une information relative à une personne physique identifiée ou identifiable : adresse IP, numéro d’identification, ou encore les informations relatives à l’identité physique, génétique, économique …
Les sanctions s’annoncent dissuasives : jusqu’à 20 millions d’euros, ou dans le cas d’une entreprise, 4% du chiffre d’affaires annuel, en fonction des infractions commises.
Les changements pour les entreprises
Le point majeur de ce règlement est la transparence. Les personnes utilisatrices des sites Internet auront plus de droit. Elles devront systématiquement pouvoir donner leur accord ou refuser le traitement de leurs données. Les entreprises devront aussi leur mettre à disposition des informations claires, précises et intelligibles sur le traitement de leurs données.
Une personne ayant fourni des données à une entreprise pourra, quand elle le souhaite, les récupérer et les envoyer à un tiers, ou même les récupérer. C’est ce qu’on appelle la portabilité des données. L’utilisateur pourra réaliser ces actions lorsqu’il aura transmis volontairement ses données, ou lorsqu’elles seront collectées par l’entreprise du fait de son activité (comme l’historique d’achat par exemple).
Enfin, la troisième grosse mesure de ce règlement est la protection des mineurs. Avant 16 ans, il faudra obtenir l’autorisation parentale en ce qui concerne l’inscription à un service en ligne, ainsi que le traitement des données personnelles. C’est en quelque sorte l’âge de la majorité numérique.
La notion de responsabilité
Il y a un principe de co-responsabilité entre le responsable de traitement et le sous-traitant, qui traiteront tous deux des données. Les sous-traitants sont notamment les hébergeurs, intégrateurs de logiciels, webmarketeurs, sociétés de sécurité informatique. Ils traitent directement les données pour le compte du responsable.
Ils devront respecter les obligations imposées aux responsables de traitement, comme la tenue des activités dans un registre de traitement ou encore la mise en œuvre de diverses mesures de sécurités.
Le responsable de traitement, lui, est le point de contact de l’autorité. Il devra établir un contrat de sous-traitance rendu obligatoire, qui devra inclure au minimum :
- L’objet et la durée du traitement concerné,
- La nature et la finalité du traitement,
- Le type de données traitées,
- La catégorie de personnes concernées.
Les outils de conformité
Il en existe de nombreux pour aider les entreprises à respecter ce règlement. Certains sont des aides à la bonne conduite, mais il existe aussi des labels, des certifications …
A noter que si un responsable de traitement détecte une violation des données personnelles, il doit en informer l’autorité de protection des données dans un délai de 72 heures.
La CNIL a publié un guide de sécurité des données personnelles, pour aider les professionnels à se mettre en conformité avec la loi. Découvrez-le juste ici. Il peut vous être utile, quand on sait qu’un grand nombre d’entreprises ne seront pas prêtes le 25 mai prochain.