Obligations en matière de protection des données personnelles

Il s'agit de toutes informations se rapportant à une <a href="https://www.brigueuil.fr/les-demarches-administratives-pour-les-entreprises/?xml=R60417">personne physique</a> identifiée ou identifiable, directement ou non, grâce à un ou plusieurs éléments permettant de le rattacher personnellement à une donnée.

C'est le cas par exemple d'un nom, d'un prénom, d'un numéro de téléphone, d'une adresse électronique, d'un numéro de carte d'identité et/ou de sécurité sociale, d'une adresse IP, d'une photo, d'un profil sur un réseau social.

Les règles de protection des données personnelles s'appliquent en cas de <span class="miseenevidence">collecte</span>, <span class="miseenevidence">d'utilisation et de conservation</span> quelque soit le support adopté (papier, numérique,...).

Le traitement de données personnelles consiste en <span class="miseenevidence">toute opération portant sur des données personnelles</span>, quel que soit le procédé utilisé (enregistrer, organiser, conserver, modifier, rapprocher avec d'autres données, transmettre, etc...ces données).

Par exemple, il peut s'agir d'une intégration dans un mailing pour un démarchage commercial, d'envoi d'informations ciblées ou d'une newsletter ou de cookies de navigation, etc.

Pour mettre en œuvre le traitement, le professionnel doit, le plus souvent, <span class="miseenevidence">recueillir le consentement</span> de la personne dont les données sont collectées.

Toutefois, le recueil du consentement <span class="miseenevidence">n'est pas toujours exigé</span>. C'est le cas notamment lorsque le traitement est nécessaire à l’exécution ou à la préparation d’un <span class="miseenevidence">contrat</span> avec la personne. Il en va de même lorsque le traitement est imposé par un <span class="miseenevidence">texte de loi</span>.

De plus, les données personnelles doivent répondre aux <span class="miseenevidence">conditions</span> suivantes :

• Traitées de manière licite, loyale et transparente
• Collectées pour une ou plusieurs finalités précises (une connaissance client, traitement plus efficace)
• Adéquates, pertinentes et limitées aux finalités du traitement
• Exactes et tenues à jour
• Conservées de façon temporaire (elles doivent être supprimées au bout d'un certain temps ou anonymisées pour un traitement statistique) et sécurisée (mesures de protection prises pour l'accès à ces données, habilitation...).

Le RGPD s'applique à <span class="miseenevidence">tous les organismes</span> qui procèdent au traitement de données à caractère personnel, quelle que soit leur implantation géographique.

Les personnes suivantes sont ainsi concernées :

• Responsables de traitement et leurs sous-traitants (hébergeurs, intégrateurs de logiciels, agences de communication entre autres) établis dans <a href="https://www.brigueuil.fr/les-demarches-administratives-pour-les-entreprises/?xml=R41270">l'Union européenne (UE)</a>, quel que soit le lieu de traitement des données

• Responsables de traitement et leurs sous-traitants établis hors de l'UE, quand ils mettent en œuvre des traitements visant à fournir des biens ou des services à des résidents européens. C'est également le cas lorsqu'ils les ciblent avec des techniques d'intelligence artificielle (par exemple : profilage).

En pratique, le règlement de protection des données s'applique donc à chaque fois qu'un résident européen, quelle que soit sa nationalité, est directement visé par une collecte ou un traitement de données. Y compris par internet ou par le biais d'objets connectés (appareils domotiques, objets mesurant l'activité physique par exemple).

Obligation générale de sécurité et de confidentialité

Le responsable du traitement des données doit mettre en œuvre les mesures de sécurité des locaux et des systèmes d'information pour empêcher que les fichiers soient déformés, endommagés ou que des tiers non autorisés y aient accès.

Le responsable doit prendre toutes les mesures nécessaires au respect de la protection des données personnelles <span class="miseenevidence">dès la conception</span> du produit ou du service.

Ainsi, il est obligé de limiter la quantité de données traitées dès le départ (principe dit de <span class="expression">minimisation</span>) et doit démontrer cette conformité <span class="miseenevidence">à tout moment</span>.

L'accès aux données est réservé <span class="miseenevidence">uniquement</span> aux personnes désignées ou à des tiers qui détiennent une autorisation spéciale et ponctuelle (service des impôts par exemple..

Le responsable des données doit fixer une durée raisonnable de conservation des informations personnelles.

Obligation d'information

L'entreprise qui détient des données personnelles doit informer la personne concernée des informations suivantes :

• Identité du responsable du fichier
• Finalité du traitement des données
• Caractère obligatoire ou facultatif des réponses
• Droits d'accès, de rectification, d'interrogation et d'opposition
• Transmissions des données
• Utilisation des données de navigation (<span class="expression">cookies</span>)

La personne qui traite les données personnelles (un commerçant en ligne par exemple) doit respecter certaines obligations. Notamment :

• Recueillir l'accord <span class="miseenevidence">préalable</span> des clients
• Informer les clients de leurs droits d'accès, de rectification, d'opposition et de suppression des informations collectées
• Veiller à la sécurité des systèmes d'information
• Assurer la confidentialité des données
• Indiquer une durée de conservation des données

L'objectif de la collecte d'informations doit être déterminé, et les données collectées doivent correspondre à cet objectif.

Réalisation d'analyse d'impact

Dès lors que le traitement des données présente un risque pour les droits et libertés des personnes, le responsable du traitement doit mener une <span class="miseenevidence">analyse d'impact sur la vie privée</span> (PIA).

Cette analyse d'impact vise à évaluer l'origine, la nature, la particularité et la gravité de ce risque sur les droits et les libertés des personnes.

Si l'étude d'impact met en évidence un risque élevé (par exemple : utilisation de données bancaires ou usurpation d'identité) pour les personnes malgré les mesures mises en place pour en diminuer l'impact, <span class="miseenevidence">la</span> <a href="https://www.brigueuil.fr/les-demarches-administratives-pour-les-entreprises/?xml=R34268">Cnil</a> <span class="miseenevidence">doit</span> <span class="miseenevidence">être informée</span>.

L'évaluation dans le cadre de l'analyse d'impact doit porter sur les éléments suivants :

• Collecte d'Informations sensibles (origine, opinions politiques, religieuses, syndicales, habitudes sexuelles, santé), biométriques ou génétiques notamment
• Existence d'une évaluation des personnes (profilage par exemple)
• Réalisation de fichiers ayant une finalité particulière (études statistiques de l'<a href="https://www.brigueuil.fr/les-demarches-administratives-pour-les-entreprises/?xml=R12417">Insee</a>, traitements de recherche médicale par exemple)
• Transferts de données hors de l'Union européenne

Désignation d'un délégué à la protection des données (DPO)

L'entreprise qui réalise des traitements de données et les sous-traitants <span class="miseenevidence">doivent</span> désigner un délégué à la protection des données (DPO) dans les cas suivants :

• Leur activité fait partie du secteur public
• Leur activité principale amène un suivi régulier et systématique de personnes à grande échelle
• Leur activité principale amène le traitement à grande échelle de données sensibles ou relatives à des condamnations pénales et infractions

Le DPO est chargé des missions suivantes :

• Informer et de conseiller le responsable de traitement (ou le sous-traitant) et ses employés
• Contrôler le respect du règlement européen et du droit français en matière de protection des données
• Conseiller l'organisme sur la réalisation d'une analyse d'impact et d'en vérifier l'exécution
• Coopérer avec l'autorité de contrôle et d'être son contact.

Le DPO doit avoir les qualités et compétences suivantes :

• Communiquer efficacement et exercer ses fonctions en toute indépendance (ne pas avoir de de conflit d'intérêts avec ses autres missions)

• Avoir une expertise en matière de législations et pratiques (protection des données), acquise notamment par une formation continue
• Avoir une bonne connaissance du secteur d'activité et de l'organisation de l'organisme (opérations de traitement, systèmes d'information et besoins de l'organisme en matière de protection et de sécurité des données)
• Avoir une position efficace en interne pour faire un rapport au niveau le plus élevé de l'organisme
• Animer un réseau de relais au sein des filiales d'un groupe par exemple et/ou une équipe d'experts en interne (expert informatique, juriste, expert en communication, traducteur par exemple)

Le DPO peut être une personne issue du domaine technique, juridique ou autre.

Tenue d'un registre des traitements des données

La Cnil propose un <a href="https://www.cnil.fr/fr/RGDP-le-registre-des-activites-de-traitement" target="_blank">modèle de registre</a>.

Les personnes dont les données sont collectées bénéficient de plusieurs droits.

Elles peuvent les exercer auprès du <span class="miseenevidence">responsable de traitement</span>.

Le nom et l'adresse de ce dernier doivent figurer sur les sites visités et dans les contrats conclus.

Elles peuvent également engager une action de groupe devant les tribunaux.

Droit d'accès

Les personnes dont les informations sont collectées et traitées peuvent demander l'accès aux données les concernant <span class="miseenevidence">à tout moment et sans limitation</span>.

Droit de rectification et d'opposition

Les personnes dont les données sont collectées et traitées peuvent demander la rectification des données conservées.

Ils peuvent également s'opposer à leur utilisation.

Droit à la portabilité

Toute personne peut récupérer, sous une forme réutilisable, les données qu'elle a fournies, et les transférer ensuite à un tiers (réseau social par exemple).

Droit à l'oubli

Toute personne a droit à l'effacement de ses données et au déréférencement (droit de demander à un moteur de recherche de supprimer certains résultats associés à ses noms et prénoms).

Droit à notification

En cas de violation de la sécurité des données comportant un risque élevé pour les personnes, le responsable du traitement doit les avertir rapidement, sauf dans certaines situations (données déjà chiffrées par exemple).

Il doit également le notifier à la <a href="https://www.brigueuil.fr/les-demarches-administratives-pour-les-entreprises/?xml=R34268">Cnil</a> dans les <span class="miseenevidence">72 heures</span>.

Tel est le cas d'une banque, victime d'une intrusion dans son système informatique client. Elle doit informer ces derniers que des tiers ont pu accéder à leurs données personnelles.

Droit à réparation du dommage matériel ou moral

Toute personne qui a subi un dommage matériel ou moral du fait de la violation du règlement européen peut obtenir du responsable du traitement (ou du sous-traitant) la réparation de son préjudice.

Tel est le cas par exemple d'une personne dont un problème de santé aurait été révélé.

Action de groupe

Toute personne peut mandater une association ou un organisme actif dans le domaine de la protection des données pour faire une réclamation ou un recours et obtenir réparation en cas de violation de ses données.

En cas de violation du règlement, la <a href="https://www.brigueuil.fr/les-demarches-administratives-pour-les-entreprises/?xml=R34268">Cnil</a> peut prononcer des <span class="miseenevidence">amendes administratives</span> qui peuvent atteindre, selon la catégorie du manquement, <span class="valeur">2 %</span> à <span class="valeur">4 %</span> du chiffre d'affaires annuel mondial de l'exercice précédent.

C'est la Cnil qui adresse un courrier au responsable de traitement lui indiquant la sanction.

Des <span class="miseenevidence">sanctions pénales</span> peuvent également s'ajouter à ces sanctions administratives. C'est le cas des infractions liées à la discrimination, des infractions de mise en danger en cas de mesures de protection insuffisantes (exemple : révélation de l'adresse d'une personne).

Enfin, les victimes peuvent demander des <a href="https://www.brigueuil.fr/les-demarches-administratives-pour-les-entreprises/?xml=R12532">dommages et intérêts</a> devant les juridictions civiles ou pénales.