Le règlement général sur la protection des données (RGPD) répond aux évolutions récentes du numérique en imposant un cadre juridique européen plus protecteur en matière de protection des données personnelles des citoyens.
S’il reprend de nombreux grands principes inscrits au sein de la loi “Informatique et Libertés” du 6 janvier 1976 (loi CNIL) et au sein du droit européen, il entraîne une responsabilité accrue des acteurs traitant de données et des entreprises et prévoit des exigences techniques auxquelles ils doivent se conformer.
Qu’est-ce que le RGPD ? Que prévoit-il ? Quelles sont les obligations des entreprises ? Comment se mettre en conformité ?
Qu’est-ce que le Règlement général sur la protection des données (RGPD) ?
Le règlement général sur la protection des données est une réglementation européenne adoptée par le Parlement européen et le Conseil, le 27 avril 2016. Il est devenu directement applicable sur le territoire de tous les membres de l’Union Européenne depuis le 25 mai 2018. Ainsi, les acteurs traitant de données doivent directement se référer au texte et se mettre en conformité sans qu’une reprise au niveau national ne soit nécessaire. Ce règlement propose donc une vision unifiée de la protection des données personnelles au sein de l’UE.
L’esprit du RGPD s’incarne parfaitement dans son premier considérant qui rappelle que la protection des données personnelles est un droit fondamental conformément aux articles 8 de la Charte des droits fondamentaux de l’UE et par 16 du Traité sur le fonctionnement de l’UE (TFUE). Ainsi, le règlement a pour ambition de renforcer les droits des individus sur leurs données personnelles.
Quelles obligations le RGPD impose-t-il aux entreprises ?
En France, c’est la Commission nationale de l’informatique et des libertés (CNIL) qui assure le rôle d’autorité de protection des données. L’organisation a pour mission de vérifier la conformité des entreprises au RGPD. Elle conseille quant aux bons gestes à adopter.
Désigner un délégué à la protection des données
Il est recommandé pour les entreprises de désigner un responsable chargé de piloter la gouvernance des données personnelles. Il devra s’assurer de la mise en conformité des pratiques de l’entreprise en matière de traitement et de protection des données personnelles.
Constituer un registre des activités de traitements des données après un audit
L’identification des activités de l’entreprise qui requièrent une collecte et un traitement de données personnelles est obligatoire pour les entreprises de plus de 250 salariés.
Les données ne doivent être collectées que dans un but déterminé et légitime conformément au principe de minimisation prévu par le RGPD. Le texte impose également un principe de finalité selon lequel les données doivent être traitées conformément au but légitime pour lequel elles ont été collectées. Leur accès ne doit être permis que pour les personnes habilitées.
Fixer des durées de conservation des données
Les données personnelles ne doivent pas être conservées par les entreprises au-delà de ce qui est nécessaire, c’est-à-dire à la réalisation de l’objectif poursuivi. Ensuite, les données doivent être anonymisées et archivées ou détruites conformément aux obligations légales applicables.
Faire preuve de transparence
Les utilisateurs doivent être informés par les entreprises de la collecte et du traitement de leurs données. Cette obligation d’information concerne également les droits et les modalités d’exercice de ces droits : droit à la portabilité de ses données, droit à notification en cas de piratage de ses données personnelles, droit à réparation du dommage matériel ou moral, droit à l’oubli, etc.
Organiser les modalités d’exercice des droits des personnes
Des processus doivent être prévus pour permettre de répondre dans les meilleurs délais aux demandes des utilisateurs de consultation, d’accès, de rectification, de suppression, d’opposition. Ces droits doivent pouvoir s’exercer par voie électronique à partir d’une adresse dédiée.
Sécuriser les données personnelles
Les entreprises sont responsables de la sécurité des données collectées. Ainsi, le règlement général sur la protection des données leur impose de prendre toutes les mesures utiles : droits d’accès informatique, gestion stricte des habilitations, sécurité informatique et physique, etc.
À lire : CYBERSÉCURITÉ : 12 Exemples d’erreurs à ne surtout pas commettre
Comment Applixia vous accompagne pour vous mettre en conformité RGPD ?
Il est souvent nécessaire de se faire accompagner dans sa mise en conformité par des spécialistes de la protection de données. En effet, les enjeux qui gravitent autour des questions de confidentialité, de sécurité et de traçabilité des données personnelles rappellent la sensibilité et la haute valeur stratégique de la conformité réglementaire pour les entreprises.
Les ingénieurs d’Applixia sont qualifiés pour auditer les solutions et procédures mises en œuvre par les entreprises pour traiter des données personnelles et vérifier leur conformité RGPD. Par leur disponibilité et leur grand professionnalisme, ils accompagnent nos clients dans le choix et l’intégration de processus plus performants. En raison de leur expérience éprouvée, ils peuvent conseiller et former les collaborateurs.
