Le Règlement Général sur la Protection des Données, ou RGPD, a remanié la manière dont les entreprises traitent les données. Malgré une période de transition qui a laissé le temps aux entreprises et aux organisations de changer leurs politiques, il y a toujours eu beaucoup de confusion autour de ces règles. Afin de garder votre site web aux normes, voici notre article guide pour comprendre le RGPD et ses bonnes pratiques.
Le RGPD issu de l'acronyme Règlement Général sur la Protection des Données, représente le cœur de la législation européenne sur la confidentialité numérique. En janvier 2012, la Commission européenne a présenté des plans de réforme de la protection des données dans toute l'Union Européenne (UE) afin de rendre l'Europe apte à l'ère numérique.
Le RGPD est un nouvel ensemble de règles conçues pour donner aux citoyens de l'UE plus de contrôle sur leurs données personnelles. Il est mis en place pour simplifier l'environnement réglementaire des entreprises afin que les citoyens et les entreprises de l'Union européenne puissent pleinement profiter de l'économie numérique.
Les réformes sont conçues pour refléter le monde dans lequel nous vivons actuellement et mettent les lois et les obligations - y compris celles relatives aux données personnelles, à la vie privée et au consentement - à travers l'Europe à l'ère d'Internet.
Fondamentalement, presque tous les aspects de notre vie tournent autour des données. Des entreprises de médias sociaux aux banques, aux détaillants et aux gouvernements - presque tous les services que nous utilisons impliquent la collecte et l'analyse de nos données personnelles.
Les types de données considérées comme personnelles en vertu de la législation en vigueur comprennent le nom, l'adresse et les photos. Le RGPD étend la définition des données personnelles afin que quelque chose comme une adresse IP puisse être des données personnelles. Il comprend également des données personnelles sensibles telles que des données génétiques et des données biométriques qui pourraient être traitées pour identifier de manière unique un individu.
Le RGPD est entré en vigueur le 25 mai 2018, s'appliquant automatiquement à tous les États membres et à toute organisation internationale qui traite avec des clients et des clients résidents de l'UE. En France, c'est la CNIL (Commission nationale de l'informatique et des libertés) qui est chargée de veiller à la protection des données personnelles et de mettre en place les outils pour engager une démarche de conformité.
Le RGPD s'applique à toutes organisations opérant dans l'UE, ainsi qu'à toutes les organisations en dehors de l'UE qui offrent des biens ou des services à des clients ou des entreprises dans l'UE. Cela signifie finalement que presque toutes les grandes entreprises du monde ont besoin d'une stratégie de conformité au RGPD.
Il existe deux types différents de gestionnaires de données auxquels la législation s'applique: les «responsables du traitement» et les «sous-traitants».
Le RGPD impose en fin de compte à un sous-traitant des obligations légales de conserver des enregistrements des données personnelles et de la manière dont elles sont traitées, offrant un niveau de responsabilité juridique beaucoup plus élevé en cas de violation de l'organisation.
Le RGPD définit sept principes clé. Ceux-ci inclus :
Il est conseillé que ces principes soient au cœur de l'approche des données de votre organisation. Avant de passer à la suite de l'article, vous pouvez regarder cette vidéo récapitulative qui résume les bases du RGPD.
Les individus ont le droit de savoir comment leurs données sont traitées, stockées et réglementées. Le fardeau du suivi des données n'appartient plus à la personne concernée, mais au sous-traitant (l'organisation ou le représentant d'une organisation capturant ou stockant des données).
À cette fin, le RGPD exige que chaque sous-traitant dispose d'un responsable de la protection des données (également appelé délégué à la protection des données). La responsabilité principale de ce responsable de la protection des données est similaire à celle d'un responsable de la conformité et est censée gérer toutes les données au sein d'une organisation, y compris, mais sans s'y limiter : les processus informatiques, un registre des activités, un registre des traitements, les problèmes de confidentialité des informations, le stockage et la protection des données, les cyberattaques, les violations de la protection des données et des données personnelles et sensibles.
Le RGPD permet aux régulateurs d'affiner et de moderniser les définitions des données en ce qui concerne un individu. Les données sensibles et personnelles sont protégées par le RGPD, bien que des amendes plus élevées soient infligées pour violation de la protection des données en ce qui concerne les données personnelles sensibles.
Les données personnelles sont toutes les données relatives à une personne vivante qui peuvent aider à l'identification de la personne. Par exemple, des numéros de téléphone, des adresses de domiciles actuels ou anciens, des adresses e-mail ou des données numériques telles que des cookies non anonymisés ou des adresses IP. Les données personnelles sensibles sont un type spécifique de données personnelles qui incluent des détails sur la race, l'appartenance ethnique, les affiliations politiques, la biométrie de la santé, la vie sexuelle ou le casier judiciaire.
En tant qu'individu, le règlement européen sur la protection des données confère à un individu des droits distincts en ce qui concerne les données personnelles. Certains de ces droits comprennent :
Des violations de données se produisent inévitablement. Les informations sont perdues, volées ou autrement rendues entre les mains de personnes qui n'avaient jamais eu l'intention de les voir - et ces personnes ont souvent des intentions malveillantes.
L'un des éléments les plus importants du RGPD et dont on parle le plus, est la capacité des régulateurs à frapper les entreprises qui ne se conforment pas à d'énormes amendes.
Selon les termes du RGPD, non seulement les organisations doivent veiller à ce que les données personnelles soient collectées légalement et dans des conditions strictes, mais ceux qui les collectent et les gèrent sont tenus de les protéger contre les abus et l'exploitation, ainsi que de respecter les droits des données.
Le non-respect du RGPD peut entraîner une amende allant de 10 millions d'euros à 4% du chiffre d'affaires mondial annuel de l'entreprise, un chiffre qui pour certains pourrait signifier des milliards. Les amendes dépendent de la gravité de la violation et du fait que l'entreprise est réputée pour avoir pris suffisamment au sérieux la conformité et les réglementations en matière de sécurité.
L'amende maximale de 20 millions d'euros ou 4% du chiffre d'affaires mondial, selon le montant le plus élevé, concerne les violations des droits des personnes concernées, le transfert international non autorisé de données à caractère personnel et le défaut de mise en œuvre de procédures ou d'ignorance des demandes d'accès des sujets pour leurs données.
L'exemple d'amende la plus connu est certainement celle infligé à Google par la CNIL avec une amende de 100 millions pour non-respect des réglementations sur les cookies. Mais plus récemment, c'est le groupe Carrefour a écopé d'une amende de 3 millions euros pour non-respect des données client.
Le RGPD est une question complexe. Nous vous partageons les éléments suivants, qui ne sont que cinq des principaux points à retenir pour que vous puissiez rester conforme au RGPD.
Le RGPD énonce six justifications pour le traitement des données. Cela signifie collecter, stocker ou partager des informations privées. Ces justifications sont les suivantes :
Pour de nombreuses entreprises, c'est en sollicitant le consentement qu'elles peuvent justifier la collecte ou l'utilisation de données personnelles. En vertu du RGPD, l'autorisation doit être librement donnée et sans ambiguïté. Les demandes de consentement doivent donc être rédigées dans un langage clair et simple.
C'est pourquoi vous recevez des demandes de consentement pour utiliser vos données lorsque vous achetez quelque chose, du logiciel de centre de contact à l'épicerie en ligne.
L'article 25 du RGPD stipule que les entreprises doivent par conception et par défaut envisager la protection des données dans tout ce qu'elles font. Cela signifie que chaque nouveau produit, service ou activité doit tenir compte de la protection des données. Pas comme une réflexion après coup, mais comme une évidence.
Toutes les entreprises doivent gérer les données en toute sécurité. Cela signifie la mise en œuvre de mesures techniques et organisationnelles appropriées. Cela peut aller du cryptage de toutes les transactions financières à la rédaction et à l'adhésion à une politique de confidentialité des données.
Toutes les organisations couvertes par le RGPD doivent toujours démontrer leur conformité. Si vous ne pouvez pas produire de preuve de conformité, votre entreprise n'est pas conforme. Voici quelques suggestions courantes pour maintenir la responsabilité :
Le RGPD est une législation essentielle pour le monde moderne. Si vous avez une présence en ligne, vous rencontrerez des informations sensibles et des données privées. Cela vous soumet à la réglementation. Vous devriez maintenant avoir une idée de ce que cela implique. Pour garantir la mise en conformité, nous vous conseillons de lire la documentation RGPD dans son intégralité.
Une question, un doute, un retour d'expérience ou un simple "coucou", nous lisons et répondons à tous vos messages.
