La CNIL met également à la disposition des DPO et des organismes (responsables de traitement et sous-traitants) un certain nombre d'outils pour les accompagner dans leur démarche de mise en conformité.
Marie-Laure DENIS | CNIL.
En pratique, le (co)responsable du traitement peut-être un dirigeant, un directeur, un maire, un président d'association, ... les destinataires peuvent être des collaborateurs, des clients, des fournisseurs, des administrés, des organismes publics, ...
Pour piloter la gouvernance des données personnelles de votre structure, vous aurez besoin d'un véritable chef d'orchestre qui exercera une mission d'information, de conseil et de contrôle en interne : le délégué à la protection des données.
Le règlement général sur la protection des données (RGPD) responsabilise les organismes publics et privés qui traitent leurs données.
Le RGPD est obligatoire dans l'ensemble des 28 états membres depuis le 25 mai 2018. Tous les acteurs ayant recours à des données personnelles doivent se conformer à ce règlement européen.
La protection conférée par le présent règlement devrait s'appliquer aux personnes physiques, indépendamment de leur nationalité ou de leur lieu de résidence, en ce qui concerne le traitement de leurs données à caractère personnel.
Toute personne gère ainsi ses propres données de manière autonome et responsable, tandis que les entreprises doivent s'y adapter.
Le Contrôleur européen de la protection des données (CEPD) est l'autorité de contrôle des institutions et organismes européens. Il est chargé de veiller à ce que les libertés et droits fondamentaux des personnes physiques, notamment le droit au respect de la vie privée, soient respectés par les institutions de l'UE.
Dans l'univers numérique, la Commission nationale de l'informatique et des libertés (CNIL) est le régulateur des données personnelles. Elle accompagne les professionnels dans leur mise en conformité et aide les particuliers à maîtriser leurs données personnelles et exercer leurs droits.
Le délégué est chargé de piloter la conformité au règlement européen sur la protection des données au sein de l'organisme qui l'a désigné, s'agissant de l'ensemble des traitements mis en œuvre par cet organisme. Sa désignation est obligatoire dans certains cas.
conseiller l'organisme sur la réalisation d'une analyse d'impact relative à la protection des données et en vérifier l'exécution ; être l'interlocuteur des personnes concernées pour les questions relatives à la protection des données personnelles ; coopérer avec la CNIL et être son point de contact.
Le régime des déclaration CNIL a été aboli par le RGPD qui l'a remplacé par la déclaration au registre interne.
La procédure de sanction de la CNIL
Avec le RGPD (règlement général sur la protection des données), le montant des sanctions pécuniaires peut s'élever jusqu'à 20 millions d'euros ou dans le cas d'une entreprise jusqu'à 4 % du chiffre d'affaires annuel mondial. Ces sanctions peuvent être rendues publiques.
Quand le règlement ne s'applique pas
Ses clients peuvent utiliser ses services lorsqu'ils voyagent dans d'autres pays, y compris au sein de l'UE. À condition que votre entreprise n'adresse pas spécifiquement ses services aux personnes établies au sein de l'UE, elle n'est pas soumise aux règles du RGPD.
En pratique, le RGPD s'applique à chaque fois qu'un résident européen, quelle que soit sa nationalité, est directement visé par un traitement de données, y compris par Internet ou par le biais d'objets connectés (ex. enceintes connectées, etc.). Veillez à respecter le principe de minimisation des données.
La démarche de conformité RGPD ne doit pas être perçue que comme une contrainte technique ou juridique. C'est avant tout l'occasion de faire le point sur l'utilisation des services numériques dans la collectivité et de s'assurer que la protection des données personnelles a bien été prise en compte.
Ce sont les autorités indépendantes de chaque Etat (en France, la CNIL) qui contrôlent l'application de la législation relative à la protection des données. Elles sont dotées de pouvoirs d'enquête et peuvent imposer des mesures correctrices, en cas d'infraction.
Lorsqu'un organisme traite des données personnelles pour le compte d'un responsable de traitement, il est considéré comme son sous-traitant au sens du RGPD.
Pour faire valoir ses droits informatique et libertés, il faut d'abord s'adresser directement aux organismes qui détiennent vos données. En cas de difficultés, de réponse insatisfaisante ou d'absence de réponse, vous pouvez saisir la CNIL.
Ce sont également les données génétiques, les données biométriques aux fins d'identifier une personne physique de manière unique, les données concernant la santé, la vie sexuelle ou l'orientation sexuelle d'une personne physique. Il est interdit de recueillir et d'utiliser ces données.
Si vous mettez à disposition de vos salariés des outils informatiques afin de mener à bien leurs missions, les dossiers, courriels et historiques de recherche sont considérés, a priori, comme ayant un caractère professionnel. Aussi, vous êtes autorisé à en prendre connaissance.
La CNIL est une autorité administrative indépendante (AAI), c'est-à-dire un organisme public qui agit au nom de l'Etat, sans être placé sous l'autorité du gouvernement ou d'un ministre. Elle est composée de 18 membres élus ou nommés et s'appuie sur des services.