Ce qu’il faut savoir sur le RGPD

La protection des données personnelles a depuis toujours fait l’objet de débats animés et passionnés. Internet et notamment l’essor des réseaux sociaux tels que Facebook ou LinkedIn ont amplifié ce phénomène.

Au point d’en avoir interpellé l’Union Européenne qui a décidé d’intervenir depuis peu. Adoptée par le Parlement Européen le 14 avril 2016, le RGPD (ou Règlement Général sur la Protection des Données) entrera en vigueur le 25 mai 2018.

Qu’est-ce le RGPD ?

Le Règlement Général sur la Protection des Données est le nouveau texte qui a pour but de cadrer et de réglementer avec plus de précisions le traitement et la circulation des données personnelles, que ce soit sur internet ou dans la vie réelle. La précédente directive, datant de 1995 sera donc remplacé par ce nouveau règlement. L’essor des nouvelles technologies a rendu indispensable cette mise à jour. Le RGPD aura donc pour objectif d’harmoniser l’aspect juridique de la collecte et du traitement des données. Idée soumise déjà depuis 2012 et provenant de Bruxelles, ce texte s’appliquera donc à la vingtaine de membres que compte l’Union Européenne. C’est le 14 avril 2016 que le Parlement adopte ce texte de façon définitive puis le promulgue quelques jours plus tard au Journal Officiel. Cependant, pour divers raisons, son application ne s’est pas fait directement et il a été décidé de le décaler de 2 ans, soit le 25 mai 2018. Dès lors, toute action contraire au RGPD sera susceptible d’être sanctionné plus ou moins sévèrement.

Rappel de la donnée personnelle

Il est important également de rappeler ce qu’est concrètement une donnée personnelle. Comme son nom l’indique, il s’agit d’une information propre à un individu. Elle permet ainsi à cet individu d’être identifié, que ce soit directement ou indirectement. Il peut s’agir du nom/prenom, de l’âge, d’une photographie, d’une adresse mail, d’une adresse IP voire même d’un identifiant de connexion. Si ces données sont régulièrement demandées sur les sites internet, elles ne sont pas considérées comme dangereuses pour l’individu. Cependant, d’autres renseignements peuvent malheureusement poser problème et sont beaucoup plus sensibles : un engagement syndical, une opinion politique, une sensibilité religieuse ou encore une orientation sexuelle. Ces données, pouvant être reprises peuvent porter préjudice à son émetteur. Les réseaux sociaux sont généralement propices à ce type de divulgation.

Le RGPD pour l’internaute

Les protections des données seront donc beaucoup plus contrôlées. Et cela devenait essentiel, lorsqu’on sait par exemple, que les deux géants du web, à savoir Google et Facebook, reçoivent entre 50 et 75% des dépenses de publicité numérique dans le monde. Cette domination du marché mène forcément à des abus, et ce sont les données personnelles qui en subissent les retombées. Certaines règles vont changer. Par exemple, l’internaute devra fournir un document écrit, clair et explicite, dans lequel il accepte de son plein gré le traitement des données. Autre précaution, il faudra un accord parental pour qu’un enfant mineur s’inscrive sur un réseau social. Ce point sera très important, surtout à la vue des différentes dérives que l’on connait sur ces plates-formes.

Si vous possédez un compte sur certains sites marchands ou sites récoltant quelques-unes de vos données personnelles, vous avez probablement dû recevoir un mail d’information de leur part, vous signalant la mise à jour de leur politique de confidentialité. Si cela n’est pas le cas, soit le site concerné est déjà à jour, soit il s’expose à des sanctions plus ou moins dangereuses pour son activité. En effet, ce règlement va s’appliquer à toutes les entreprises, quelques soit leur taille. Les géants comme Facebook ou Amazon seront dans la même obligation que la petite start-up du coin. De même si vous gérez vous-même une entreprise qui manipule des données personnelles, il est conseillé d’agir rapidement.

Se mettre à jour pour le RGPD

Dans un premier temps, il sera nécessaire de nommer un « déléguée à la protection des données » (DPO), qui aura pour objectif d’informer, de conseiller et de contrôler en interne sur l’utilisation de ces données. Rattaché directement à la direction, il ou elle devra avoir des compétences à la fois juridiques et techniques.

Il est ensuite conseiller de passer en revue le traitement des données personnelles que vous récoltez, qu’elles soient informatisées ou sur support papier. Vous pourrez ainsi déterminer notamment le but de chaque donnée récoltée ou encore le temps de conservation de ces données. L’objectif étant ensuite de mettre ces processus en comparaison avec le RGPD afin d’identifier les points à retoucher dans votre politique de confidentialité. A la suite de cette prise de conscience, il sera important de mettre en place un plan d’action, afin de garantir l’intégrité de la donnée de sa récolte à sa suppression.

Enfin, pensez à sensibiliser le reste de vos employés, car chaque fichier peut être une donnée. Il sera donc important de ne pas en faire n’importe quoi…

Quelles sanctions en cas de non-conformité au RGPD ?

Comme signalé tout au long de l’article, les sanctions risquent de tomber rapidement. Et elles ne sont pas à prendre à la rigolade. Si infraction il y a, les amendes peuvent atteindre les 20 millions d’euros. Les géants du net y sont déjà préparés, au travers du travail d’experts et de juristes faisant le nécessaire pour répondre parfaitement au RGPD. Cependant le risque est plus grand pour des PME, TPE ou associations. La CNIL fait partie des organismes à consulter pour obtenir plus de renseignement sur ce sujet.