Résumé
Le Règlement général sur la protection des données (RGPD) est une vaste législation européenne sur la protection de la vie privée, entrée en vigueur en mai 2018, qui engage la responsabilité de toute entreprise dans le monde collectant, traitant ou stockant des données concernant des résidents de l’Union européenne. Elle impose un consentement explicite des utilisateurs, accorde aux personnes concernées des droits étendus sur leurs données à caractère personnel et exige que les entreprises désignent des responsables de la conformité tels qu’un délégué à la protection des données (DPO). Le non-respect de la réglementation peut entraîner des amendes importantes, ce qui rend indispensable pour les entreprises d’auditer les contrats avec des tiers, les flux de données et les politiques internes afin de se conformer aux normes du RGPD.
Comprendre la conformité au RGPD et la confidentialité des données
Le RGPD, ou Règlement général sur la protection des données, est entré en vigueur en mai 2018. Il s’agit de l’une des lois sur la confidentialité et la sécurité les plus strictes au monde. Elle est conçue pour protéger la vie privée des citoyennes et citoyens de l’Union européenne ainsi que les données des clientes et clients.
Toute entreprise qui collecte des données sur des citoyennes et citoyens de l’Union européenne doit se conformer au RGPD, même si elle n’a pas de présence directe dans l’UE.
Les entreprises doivent se conformer au RGPD afin d’éviter de lourdes amendes. Le RGPD est l’une des lois sur la protection des données les plus complètes, conçue pour permettre aux personnes privées de mieux contrôler leurs données à caractère personnel et pour renforcer la confiance entre les entreprises et le public en matière de sécurité et de confidentialité des données.
Qu’est-ce que le RGPD ?
En avril 2016, le Parlement européen a adopté le RGPD pour remplacer la directive sur la protection des données de 1995, devenue obsolète. Les entreprises devaient être conformes au RGPD au plus tard le 25 mai 2018.
Le RGPD offre aux consommateurs un meilleur contrôle sur les personnes qui accèdent à leurs données et sur la manière dont celles-ci sont collectées. Toutes les données collectées sur un citoyen de l’Union européenne dans l’un des 28 États membres de l’UE doivent être protégées et sécurisées. Toutes les transactions effectuées au sein de l’UE relèvent du RGPD.
Le RGPD stipule que les entreprises doivent offrir un niveau « raisonnable » de protection des données à caractère personnel et adopte une définition large de ce qui constitue une information permettant d’identifier une personne. Cela fixe une norme très élevée en matière de protection des données à caractère personnel et de droits des consommateurs ; cependant, cela oblige également les entreprises à redoubler d’efforts pour mettre en place des processus et des systèmes afin de rester en conformité.
Pourquoi le RGPD a-t-il été créé ?
Le RGPD répond à l’inquiétude du public concernant la confidentialité des données et le contrôle sur la manière dont les entreprises stockent ces informations et sur leur niveau de sécurité face à d’éventuels acteurs malveillants. Plus de la moitié des Européens s'inquiètent que des cybercriminels accèdent à leurs données à caractère personnel, tandis qu'un peu moins de la moitié ne souhaitent pas partager de données à caractère personnel avec des entreprises privées.
Le RGPD vise à instaurer un niveau de confiance plus élevé entre le public et les entreprises qui stockent des données à caractère personnel. Les réglementations et règles plus strictes concernant la manière dont ces données sont stockées et utilisées visent à protéger les consommateurs.
L’internet est aujourd’hui un espace radicalement différent de ce qu’il était en 1995, lorsque les premières directives sur la protection des données ont été rédigées. Les personnes partagent de plus en plus d’aspects de leur vie privée et de leurs données en ligne, et attendent des entreprises qu’elles déploient tous les efforts nécessaires pour protéger ces informations et leur sécurité.
Les consommateurs ont souvent tendance à tenir l’entreprise pour responsable en cas de brèche de données. Cela a été conçu pour contribuer à la protection des actifs numériques des consommateurs, tout en imposant aux entreprises des normes et des pratiques plus exigeantes.
Qui est concerné par le RGPD ?
Toute entreprise qui traite des données à caractère personnel de citoyens de l’UE au sein d’un État membre, propose des biens ou services à des personnes au sein de l’UE, ou surveille les comportements d’individus dans l’UE est soumise à la conformité au RGPD. Le RGPD s’applique même aux entreprises qui n’ont pas de présence physique dans l’UE mais qui proposent des services ou des biens à des personnes situées dans l’UE (qu’ils soient payants ou gratuits), ainsi qu’à celles qui stockent des informations personnelles concernant des citoyens de l’UE.
Le RGPD s’applique à :
- Toute entreprise disposant d’une présence ou d’une succursale physique dans un pays membre de l’UE.
- Les entreprises qui proposent des services à des personnes au sein de l’UE et celles qui traitent des données à caractère personnel de résidents dans les pays membres de l’UE.
- Les entreprises qui ont plus de 250 employés.
- Petites entreprises de moins de 250 employés qui traitent des données à caractère personnel.
Voici quelques-uns des principaux secteurs concernés par le RGPD :
- Réseaux sociaux
- Détaillants en ligne
- Médical et soins de santé
- Services financiers et banque en ligne
- Services à distance et informatique en nuage
Qui gère la conformité au RGPD ?
Pour rester en conformité avec le RGPD, les entreprises doivent désigner un responsable du traitement, un sous-traitant et un délégué à la protection des données (DPO). Le responsable du traitement détermine la manière dont les données à caractère personnel sont traitées et dans quel but, et veille à la conformité des prestataires externes.
Les sous-traitants traitent et conservent les données à caractère personnel, que ce soit en tant que groupe interne ou société d’externalisation. Ce sont les entités qui seront tenues responsables en cas de violation de données ou de non-conformité au RGPD. Le responsable du traitement et le sous-traitant doivent également désigner une personne chargée de la protection des données (DPO) pour superviser la conformité au RGPD.
| Rôle | Responsabilité principale | Responsabilité |
|---|---|---|
| Responsable du traitement | Détermine comment et pourquoi les données à caractère personnel sont traitées ; veille au respect des obligations par les prestataires externes | Définit les règles d’utilisation des données |
| Sous-traitant | Traite et conserve des données à caractère personnel (en interne ou externalisées) | Responsables en cas de brèche de données ou de non-conformité |
| Délégué à la protection des données | Supervise la stratégie de protection des données, forme les équipes, surveille les transferts de données, assure la liaison avec les autorités de contrôle | Personne de contact pour les autorités de contrôle du RGPD |
Que fait un délégué à la protection des données (DPO) ?
Le DPO sera chargé de superviser la stratégie de protection des données de l’entreprise, de mettre en place des politiques visant à garantir la conformité au RGPD, de former et sensibiliser les collaboratrices et collaborateurs à la conformité, de surveiller les opérations de transfert et de stockage des données, ainsi que d’assurer le rôle d’interlocuteur auprès des autorités de contrôle du RGPD. Les entreprises peuvent recruter un DPO auprès d’une source externe ou dans une autre organisation afin de maintenir leur conformité au RGPD.
Une entreprise doit recruter un DPO afin de respecter le RGPD dans les cas suivants :
- L’organisation est une autorité publique.
- L’entreprise participe à une surveillance à grande échelle et systématique des données personnelles des utilisateurs.
- L’entreprise traite d’importants volumes de données personnelles des utilisateurs.
Comment le RGPD influence-t-il les contrats avec les clients et les tiers ?
Le RGPD impose une forme de « conformité en aval». Cela signifie que les entreprises tierces chargées de traiter les données doivent également se conformer aux politiques RGPD. Même si une entreprise collecte des données conformément aux exigences du RGPD, si l’entreprise à laquelle le traitement de ces données est externalisé n’est pas conforme, l’organisation d’origine reste responsable.
Comment fonctionne la conformité en aval ?
Les sous-traitants et les responsables du traitement au sein d’une entreprise sont chargés de veiller à ce que toutes les entreprises tierces, les services externalisés, les prestataires et les fournisseurs de services respectent en permanence le RGPD, faute de quoi ils peuvent être considérés comme en infraction et exposés à des amendes très élevées. Tous les contrats et interactions avec des tiers doivent également respecter la réglementation RGPD.
Les contrats avec les clients et les tiers doivent être clairement définis, et les entreprises devront savoir précisément comment les fournisseurs traitent et stockent les informations.
Le flux de données doit être protégé et parfaitement compris par toutes les parties concernées. Cela implique de savoir précisément quel type de données est collecté, comment elles sont traitées et comment elles circulent. Les contrats peuvent devoir être renégociés afin de se conformer aux réglementations et exigences du RGPD.
Quels droits en matière de confidentialité des données le RGPD accorde-t-il aux utilisateurs ?
La réglementation RGPD accorde aux consommateurs un meilleur contrôle sur la collecte et le stockage des données à caractère personnel. Cela inclut les éléments suivants :
- Vous avez le droit de consentir à la collecte de données et de savoir quelles données sont collectées.
- Les personnes concernées ont le droit de demander aux entreprises de cesser de traiter leurs données, d’en restreindre l’utilisation ou de s’opposer à la manière dont elles sont utilisées.
- Les utilisateurs ont le droit de supprimer ou d’effacer l’ensemble de leurs données.
- Les utilisateurs et utilisatrices ont le droit d’accéder à leurs données.
- Les utilisateurs doivent pouvoir transférer des données d’un fournisseur de services à un autre.
- Les politiques de confidentialité doivent être clairement présentées dans un langage simple.
- Les utilisateurs doivent être informés d’une brèche de données dans un délai de 72 heures après sa survenue.
- Les utilisateurs ont le droit de demander la mise à jour, la rectification, ou la complétion des données à caractère personnel.
Le consentement de l’utilisateur ne peut plus être implicite. Cela signifie qu’un utilisateur doit donner un consentement explicite pour que les entreprises puissent collecter, stocker et traiter ses données, en utilisant un format « opt-in » plutôt qu’un format « opt-out ». Les utilisateurs disposent d’un droit légal de contester et de faire appel concernant l’utilisation de leurs données par les entreprises.
Qu’est-ce qui est considéré comme des « données à caractère personnel » dans le RGPD ?
Le RGPD protège les « données à caractère personnel » des consommateurs, ce qui inclut les éléments suivants :
- Nom, adresse, numéros d’identification, adresse e-mail et informations de base sur l’ identité
- Données biométriques
- Données Web, telles que l’adresse de protocole Internet (IP), les tags d’identification par radiofréquence (RFID), les données de cookies et la localisation
- Orientation sexuelle
- Données raciales et/ou ethniques
- Données génétiques et de santé
- Opinions politiques
- Toute information relative à une personne vivante identifiée ou identifiable
La catégorie « identité de base » des données à caractère personnel est vaste et peut s’appliquer à tout type de données générées par les utilisateurs. Cela inclut les publications sur les réseaux sociaux, tout contenu personnel mis en ligne sur des sites web, ainsi que toute forme d’information personnelle transmise sur Internet.
Où puis-je trouver des ressources sur la conformité au RGPD ?
- Services conformes au RGPD pour les entreprises — Une liste de services déjà alignés sur la réglementation RGPD, proposée par l’UE, pour aider à éviter les pénalités réglementaires.
- Liste de contrôle RGPD pour les responsables du traitement — Une liste de contrôle destinée à aider les entreprises américaines et les responsables du traitement à vérifier qu'ils remplissent toutes les conditions nécessaires pour rester en conformité.
- Audits de conformité au RGPD : de nombreux prestataires et organisations proposent des services d’audit de conformité. Bien que ces services soient payants, ils peuvent permettre à l’entreprise de réaliser des économies en évitant d’importantes amendes liées à la non-conformité.
Foire aux questions (FAQ)
Le RGPD s’applique-t-il aux entreprises situées en dehors de l’Union européenne ?
Oui. Toute entreprise qui collecte, traite ou stocke des données concernant des résidents de l’UE est soumise au RGPD, que l’entreprise dispose ou non d’une présence physique dans l’UE. Cela inclut les entreprises qui proposent des biens ou des services — payants ou gratuits — aux citoyennes et citoyens de l’UE, ou qui surveillent le comportement des personnes au sein des États membres de l’UE.
Que se passe-t-il si un fournisseur tiers utilisé par votre entreprise n’est pas conforme au RGPD ?
Votre entreprise peut néanmoins être tenue responsable. Le RGPD impose une conformité en aval, ce qui signifie que les responsables du traitement et les sous-traitants sont tenus de veiller à ce que tous les prestataires, sous-traitants et services d’externalisation avec lesquels ils collaborent respectent également les exigences du RGPD. Les contrats peuvent devoir être renégociés afin de refléter ces exigences.
Quand une entreprise doit-elle recruter un Délégué à la protection des données (DPO) ?
La désignation d’un DPO est obligatoire lorsqu’une organisation est une autorité publique, lorsqu’elle effectue une surveillance systématique et à grande échelle des données à caractère personnel des utilisateurs, ou lorsqu’elle traite d’importants volumes de données à caractère personnel. Les entreprises peuvent recruter un DPO auprès d’une source externe ou d’une autre entreprise.
Quels sont les droits dont disposent les personnes concernées sur leurs données à caractère personnel en vertu du RGPD ?
Le RGPD accorde aux utilisateurs un large éventail de droits, notamment le droit de consentir à la collecte de leurs données, le droit d’accéder à leurs données et de les corriger, le droit de demander la suppression de leurs données, le droit de limiter ou de s’opposer à l’utilisation de leurs données, ainsi que le droit de transférer leurs données entre fournisseurs de services. Les utilisateurs doivent également être informés d’une brèche de données dans un délai de 72 heures.
Quelles catégories d’informations sont considérées comme des « données à caractère personnel » au sens du RGPD ?
Le RGPD adopte une définition large des données à caractère personnel. Elle comprend des identifiants évidents comme les noms, adresses et adresses e‑mail, mais s’étend également aux données biométriques, informations génétiques et de santé, données web telles que les adresses de protocole Internet (IP) et les données de cookies, opinions politiques, données raciales ou ethniques, ainsi que toute information pouvant être reliée à une personne vivante identifiable, y compris les publications sur les réseaux sociaux et le contenu mis en ligne.
Quelle est la différence entre un responsable du traitement et un sous-traitant ?
Un responsable du traitement détermine la finalité et les modalités du traitement des données à caractère personnel et veille à ce que tout prestataire externe respecte également le RGPD. Un sous-traitant prend en charge le traitement effectif de ces données, soit en interne, soit par l’intermédiaire d’une entreprise externalisée, et assume une responsabilité directe en cas de violation de données ou de non-conformité.
Références
Qu’est-ce que le RGPD, la nouvelle législation européenne sur la protection des données ? (2022). Proton Technologies AG.
Quel niveau d’inquiétude les européennes et européens ressentent-ils concernant leurs données à caractère personnel en ligne ? (juin 2020), Agence de l’Union européenne pour les droits fondamentaux.
À qui s’applique la loi sur la protection des données ? Commission européenne.
L'impact du RGPD sur les entreprises et les perspectives pour 2020. (février 2020). Business News Daily.
Services conformes au RGPD pour les entreprises. (2022). Proton Technologies AG.
Checklist RGPD pour les responsables du traitement. (2022). Proton Technologies AG.
