RGPD

Règlement Général sur la Protection des Données

Ce règlement européen a pour effet d’apporter de nombreux changements concernant la protection des données, la gouvernance des données personnelles et le traitement des données personnelles au sein de l’Union Européenne.

En raison de son impact sur les mesures de protection des données à caractère personnel, il convient d’en aborder les différents aspects.

Définition du RGPD : la mise en place du nouveau règlement européen

Chacun a droit à la protection de ses données personnelles. C’est ce que prévoit la loi informatique et libertés 78-17 du 6 janvier 1978. Dans l’article 2, il est précisé que les renseignements relatifs à une personne permettant de l’identifier « directement ou indirectement, par référence à un numéro d’identification ou à un ou plusieurs éléments qui lui sont propres », doivent être soumis à des mesures de sécurité.

Avec les évolutions numériques, un renouveau juridique était souhaitable. La législation européenne a pris en compte ces bouleversements technologiques afin de garantir à chaque citoyen un contrôle de ses données personnelles, une meilleure sécurité informatique et une simplification de la réglementation qui régit la vie des entreprises.

C’est dans ce contexte qu’a été créé le règlement européen 2016/679 du 27 avril 2016, intitulé General Data Protection Regulation ou GDPR, ou réglement général de protection des données, RGPD en français. Il a pour effet d’actualiser la directive 1995/46/CE du 24 octobre 1995.

Entre une directive et un règlement européen, le choix s’est porté sur ce dernier pour imposer aux États membres une nouvelle législation en matière de protection des données.
En effet, cet instrument juridique est idoine pour garantir l’uniformisation des dispositions qu’il contient : le RGPD sera d’application directe dans les États membres de l’Union Européenne, sans la nécessité d’une transposition.

En outre, afin d’opérer une régularité optimale de la législation interne, le gouvernement français souhaite réviser la loi informatique et liberté du 6 janvier 1978. Un projet de loi a notamment été adopté en ce sens par l’Assemblée Nationale le 13 février 2018.

Les objectifs poursuivis par le RGPD

Le Règlement Général de Protection des Données a pour vocation de répondre à trois objectifs.

Il s’agira tout d’abord d’améliorer les droits des personnes via la mise en place d’un droit à la portabilité des données personnelles. D’une part, toute personne aura une parfaite maitrise de ses données personnelles en ayant la possibilité de les récupérer et de les transmettre à un tiers.
D’autre part, chaque information concernant le traitement de données personnelles à l’égard des mineurs devra être clairement rédigée pour faciliter sa compréhension et pour assurer une meilleure protection des données personnelles.

Le RGPD prévoit également de sensibiliser davantage les responsables de traitement des données personnelles et leurs sous-traitants. Un délégué à la protection des données, dit « DPO », aura pour mission de vérifier le respect du règlement à travers un rôle de conseil, et de faire l’intermédiaire entre l’autorité de contrôle et les particuliers. Cela impose donc la mise en place effective d’une gouvernance des données personnelles.

Enfin, le GDPR souhaite affermir la coopération entre les autorités de protection des données personnelles en vue de renforcer les pénalités. Par conséquent, ces autorités seront capables de prendre des décisions collectivement et de prononcer des sanctions plus sévères.
Les amendes administratives pourront atteindre des montants lourdement pénalisants pour les entreprises. Selon la gravité de l’infraction perpétrée, l’amende sera comprise entre 2 et 4% du chiffre d’affaires annuel mondial.

Les entreprises visées par le RGPD

La loi informatique et libertés de 1978 se fondait essentiellement sur le lieu d’établissement de l’entreprise et les moyens de traitement de ces données.

Dorénavant, toute entreprise privée ou publique installée dans l’un des États membres de l’Union Européenne doit respecter les règles du GDPR.
À ce titre, ce règlement deviendra obligatoire pour les structures présentant des biens et services au sein de l’Union Européenne et pour celles qui récupèrent et traitent des données à caractère personnel.

Si aucun critère de taille n’est mis en avant, des obligations allégées sont néanmoins prévues pour les entreprises de moins de 250 salariés. Par exemple, la tenue d’un registre d’activités de traitement des données personnelles ne sera nécessaire que lorsque la confidentialité des données s’avèrera indispensable pour la protection des droits et libertés des personnes.

Avant le 25 mai 2018, chaque entreprise concernée devra être en conformité avec les dispositions de ce règlement.