Le RGPD : Objectifs, Réflexes, Risques et sanctions

Le 25 mai 2018, le RGPD « Règlement Général de Protection des Données » en anglais « General Data Protection Régulation » rentre en vigueur. Toutes les entreprises de l'Union Européenne, de toutes tailles, ont pour obligation de mettre en pratique le règlement. Comment mettre en place la RGPD dans une entreprise de petite taille ?

On voit bien l'intérêt de la RGPD pour les GAFA (Google Apple Facebook Amazon), les « géants des plateformes numériques internet », mais et pour l'artisan du coin de la rue ? Pourquoi est-ce si important ?  

Pourquoi protéger les données personnelles ou sensibles ? Toute entreprise ou collectivité, publique ou privée travaillant en France, en Europe ou à l'étranger pour un client français ou européen, tout sous-traitant ayant un client en France ou en Europe doit respecter le principe de protection des données personnelles. 

Cette question est cruciale et renvoie à la notion de responsabilité des entreprises vis-à-vis des particuliers mais également donne des armes aux entreprises pour résister aux très grandes structures étrangères. Toutes les entreprises doivent se conformer à la RGPD.

Objectifs

1. Renforcer les droits des personnes 
2. Responsabiliser les acteurs traitant des données 
3. Crédibiliser la régulation (traçabilité des données) 

Réflexes des collecteurs de données

Les données doivent être collectées en fonction de leur pertinence. Le collecteur doit être transparent, assurer une traçabilité des données pour favoriser la mise en confiance. Il doit respecter les droits de l'individu. 

Celui-ci doit pouvoir consulter, rectifier ou supprimer les données détenues par le tiers collecteur. Il doit conserver la donnée en un lieu sûr en toute sécurité et en maîtrisant les risques. 

Pour conclure, nous pouvons dire que la donnée personnelle, sensible est considérée comme un élément tangible qui a une valeur pour celui qui la conserve, mais également pour celui qui est détenteur, c'est-à-dire l'individu lui-même.

Le principe du recueil du consentement 

Le RGPD durcit le principe du recueil du consentement. Il s'agit d'un acte volontaire, explicite, écrit de la personne concernée par le traitement de ses données personnelles autorisant le collecteur de données d'utiliser ses données. 

Le consentement n'est pas obtenu « par défaut ». La charge de la preuve repose sur le responsable de traitement. L'entreprise est donc chargée de la preuve. Le consentement doit être obtenu au préalable à la collecte des informations. 

Le principe repose sur deux articles : 13 et 14 du RGPD : 

• Article 13 Informations à fournir lorsque des données à caractère personnel sont collectées auprès de la personne concernée
• Article 14 Informations à fournir lorsque les données à caractère personnel n'ont pas été collectées auprès de la personne concernée 

On parle de 2 types de pénalités pour les entreprises qui ne respectent pas le RGPD : 

• Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour non-respect des obligations incombant au responsable du traitement et au sous-traitant, à l'organisme de certification et à l'organisme de suivi des codes de conduite (tenue des registres internes, délégués à la protection, etc.) 
• Jusqu'à 20 millions d'euros ou, dans le cas d'une entreprise, 4 % du chiffre d'affaires annuel mondial pour les violations relatives aux infractions aux principes de protection des données (non-respect de l'obligation de consentement), aux conditions de consentement, aux droits des personnes concernées et aux transferts internationaux (non européens) de données. Article 83 du RGPD