Ce nouveau règlement européen s'inscrit dans la continuité de la Loi française Informatique et Libertés de 1978 et renforce le contrôle par les citoyens de l'utilisation qui peut être faite des données les concernant. Il harmonise les règles en Europe en offrant un cadre juridique unique aux professionnels.
La loi du 20 juin 2018 relative à la protection des données personnelles a modifié la loi « Informatique et Libertés » pour l'adapter aux dispositions du Règlement général sur la protection des données (RGPD), applicable partout en Europe depuis le 25 mai 2018.
Le RGPD est obligatoire dans l'ensemble des 28 états membres depuis le 25 mai 2018. Tous les acteurs ayant recours à des données personnelles doivent se conformer à ce règlement européen.
Entré en vigueur en mai 2018, le règlement général sur la protection des données (RGPD) a révolutionné la collecte et l'usage des données personnelles. Il explique aussi pourquoi depuis, on ne peut plus ouvrir une page Internet sans être assailli de questions…
De prime abord, un projet RGPD ressemble fort à une contrainte supplémentaire qui représente une importante charge de travail. L'entreprise doit cartographier les données personnelles détenues par elle-même et ses sous-traitants, ainsi que les traitements qui les exploitent.
Avec le RGPD (Règlement Général sur la Protection des Données), le montant des sanctions pécuniaires peut s'élever jusqu'à 20 millions d'euros ou dans le cas d'une entreprise jusqu'à 4 % du chiffre d'affaires annuel mondial. Ces sanctions peuvent être rendues publiques.
Quand le règlement ne s'applique pas
Ses clients peuvent utiliser ses services lorsqu'ils voyagent dans d'autres pays, y compris au sein de l'UE. À condition que votre entreprise n'adresse pas spécifiquement ses services aux personnes établies au sein de l'UE, elle n'est pas soumise aux règles du RGPD.
Le Règlement général sur la protection des données (RGPD) s'applique depuis le 25 mai 2018 : à toute organisation, publique et privée, quels que soient sa taille (entreprise, ministère, administration, collectivité, association, etc.);
En pratique, le RGPD s'applique à chaque fois qu'un résident européen, quelle que soit sa nationalité, est directement visé par un traitement de données, y compris par Internet ou par le biais d'objets connectés (ex. enceintes connectées, etc.). Veillez à respecter le principe de minimisation des données.
Le délégué est chargé de piloter la conformité au règlement européen sur la protection des données au sein de l'organisme qui l'a désigné, s'agissant de l'ensemble des traitements mis en œuvre par cet organisme. Sa désignation est obligatoire dans certains cas.
Les traitements non concernés par le RGPD
Les traitements sur des données à caractère personnel d'individus ne résidant pas dans l'union européenne ou n'ayant pas la citoyenneté européenne ne sont pas concernés par le RGPD.
Le responsable d'un traitement de données à caractère personnel est en principe la personne, l'autorité publique, la société ou l'organisme qui détermine les finalités et les moyens de ce fichier, qui décide de sa création. En pratique, il s'agit généralement de la personne morale (entreprise, collectivité, etc.)
Il n'y a donc pas de différences à proprement parler entre le Règlement Général sur la Protection des Données et la loi Informatique et Libertés, le premier complétant désormais la seconde.
Le but du Règlement Général sur la Protection des Données (GDPR) est d'augmenter la protection des utilisateurs en matière de données personnelles ainsi que leurs accès à celles-ci.
L'informatique doit être au service de chaque citoyen. Son développement doit s'opérer dans le cadre de la coopération internationale. Elle ne doit porter atteinte ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée, ni aux libertés individuelles ou publiques.
Les données relatives à l'identité (nom, prénom, adresse, photo, date et lieu de naissance, etc.) Les données relatives à la vie personnelle (habitudes de vie, de consommation, loisirs, situation familiale, etc.) Les données relatives à la vie professionnelle (CV, diplômes, formation, fonction, lieu de travail, etc.)
Une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable. Mais, parce qu'elles concernent des personnes, celles-ci doivent en conserver la maîtrise.
La procédure de sanction de la CNIL
Avec le RGPD (règlement général sur la protection des données), le montant des sanctions pécuniaires peut s'élever jusqu'à 20 millions d'euros ou dans le cas d'une entreprise jusqu'à 4 % du chiffre d'affaires annuel mondial. Ces sanctions peuvent être rendues publiques.
Les sanctions ne peuvent pas être rendues publiques et sont limitées (rappel à l'ordre, amende d'un montant maximum de 20 000 euros, injonction avec astreinte plafonnée à 100 euros par jour de retard).
Le RGPD impose plusieurs conditions afin que le consentement recueilli soit valide. Ainsi, celui-ci doit être univoque, libre, spécifique et éclairé. En effet, le consentement ne peut être contraint et plusieurs informations doivent être communiquées aux personnes concernées avant qu'elles ne donnent leur accord.
Les sanctions
La formation restreinte de la CNIL a sanctionné la société GOOGLE LLC d'une amende de 90 millions d'euros et la société GOOGLE IRELAND LIMITED d'une amende de 60 millions d'euros, rendues publiques.
Pour résumer : La logique de responsabilisation. La coresponsabilité des sous-traitants. Le privacy by design.
Exemples de données à caractère personnel:
une adresse e-mail telle que pré[email protected]; un numéro de carte d'identité; des données de localisation (par exemple: la fonction de localisation d'un téléphone portable)*; une adresse de protocole internet (IP);
D'autres informations sont nécessaires à la gestion du personnel : le RIB et le numéro de Sécurité sociale pour la rémunération et les déclarations sociales obligatoires, le type de permis de conduire et les coordonnées de la personne à prévenir en cas d'urgence pour la gestion administrative du personnel, les ...