Difficile de passer à côté depuis le 25 mai 2018, le Règlement Général sur la Protection des Données (RGPD) est entré en vigueur et applicable pour toutes les sociétés traitant des données personnelles de citoyens européens. Ce dispositif d’harmonisation du traitement des données à caractère personnel s’applique à toutes les structures : entreprises, collectivités, associations…
Ces nouvelles règles sont accompagnées d’un nouvel arsenal répressif piloté par la CNIL en France.
Qu’est-ce qui peut être considéré comme des données personnelles ?
Quelles sont les obligations de ma structure?
Tout d’abord, il faut :
- Lister les données personnelles (nature des données) que vous collectez et vous assurer de la légalité de leur collecte.
- Justifier pour chaque type de donnée les raisons de leur collecte et de leur stockage, et donc l’utilisation que vous pouvez être amené à en faire.
- Le format des données collectées.
- La durée de conservation de ces données.
- Vous assurer d’avoir obtenu le consentement de ces données et en conserver la preuve, tout en définissant la nature de ce consentement et la manière dont vous en avez conservé la preuve.
- La manière dont vous stockez vos données et leur localisation géographique.
Ensuite, vous devez :
- Définir les données qui sont obligatoires pour la réalisation de votre activité (ex. adresse de livraison et nom pour l’expédition d’une commande). Pour ces données, le
- Informer les utilisateurs de leurs droit et mettre à leur disposition des dispositifs vous permettant de répondre à leurs demandes d’exercice du droit d’accès, à des fins de consultation, rectification mais aussi de suppression. C’est une obligation d’information et de conseil des personnes concernées.
- Établir et informer les utilisateurs de votre politique de confidentialité.
- Tenir un registre des traitements de données dès lors que vous stockez les données de plus de 250 personnes.
- Vous assurer de la sécurité des moyens de stockage des données que vous avez mis en œuvre.
- Identifier et inscrire dans des documents légaux les conditions de transfert et de traitement des données personnelles par des tiers, ainsi que pour tout transfert de données vers un pays extérieur à l’Union Européenne. N’oubliez pas que vos outils statistiques (Google Analytics par exemple) et sociaux (Facebook, LinkedIn, …) collectent des données qui sont stockées sur le territoire américain.
- Éventuellement de nommer un DPD (délégué à la protection des données ou DPO aka Data Protection Officer) si votre entreprise est amenée opérer des traitements de données qui exigent un suivi régulier et systématique à grande échelle des personnes concernées, ou si votre entreprise traite des données sensibles (santé, origines raciales ou ethniques, convictions politiques ou religieuses, données pénales et de condamnation etc.). Le choix peut être fait d’internaliser et d’externaliser cette fonction.
Quels sont les risques en cas de non conformité?
Si un de vos clients, prospects ou concurrents adresse une plainte à la CNIL, cette dernière aura l’obligation d’effectuer un contrôle. La CNIL est d’ailleurs en cours de recrutement d’un grand nombre d’inspecteurs pour les affecter à ces contrôles. Le risque est donc réel.
Les infractions sont donc sanctionnées graduellement et en fonction de leur gravité :
- Avertissement ou une mise en demeure de l’entreprise fautive avec rappel du devoir de mise en conformité des traitements de données sensibles au RGPD.
- Injonction de cesser la violation.
- Sanctions administratives en cas de non-respect aux règles du RGPD après injonction vaine de l’autorité de contrôle.
Les sanctions administratives
Les sanctions liées à une exploitation abusive ou illégale des données personnelles sont particulièrement sévères : les amendes prévues peuvent atteindre en cas de manquement grave 4% du chiffre d’affaires mondial de la société ou 20 millions d’euros d’amende (la sanction appliquée sera la plus lourde des deux en fonction de la société).
Les sanctions pénales
Les sanctions pénales peuvent aller jusqu’à 5 ans d’emprisonnement et 300 000 euros d’amende (Article 226-16 du Code pénal).
IMPORTANT : cet article attire votre attention sur le déploiement du RGPD sur les outils en ligne : sites, réseaux sociaux, e-commerce. Une société, pour se mettre en conformité, doit établir un registre des données personnelles et sécuriser leur accès pour toutes les données détenues par la société, quel que soit leur support. Il convient donc de prouver la sécurisation des données mails, mais aussi des dossiers papiers, des données stockées en local ou sur un réseau interne ou autre, de les mettre à disposition des clients/utilisateurs concernés en pouvant expliquer l’utilisation qui peut en être faite, et de veiller à la durée de vie de ces données dans la société.
Nos prestations ne couvrent pas cette partie de la mise en conformité RGPD, un DPO pouvant être formé en interne ou recruté par la société (en internet ou externe) pour lui porter assistance et veiller à la bonne conformité de l’utilisation et du stockage des données personnelles collectées par la société.
