QUELLES DONNÉES ?

Cela concerne toute information se rapportant à une personne physique identifiée ou identifiable. Il peut s’agir par exemple des noms et prénoms, adresses, reproduits sur un fichier client, mais il peut également s’agir dans le domaine RH, des numéros de sécurité sociale, de la rémunération, des données bancaires des salariés… Sans oublier les données concernant le comportement numérique des internautes.

QU’EST-CE QUE ÇA CHANGE CONCRÈTEMENT ?

• On est passé d’un système fondé sur une logique de déclaration préalable du mode de traitement auprès de la CNIL à un système de responsabilisation des entreprises, qui doivent être en mesure de justifier, en cas de contrôle, de leur conformité en matière de protection des données à caractère personnel.

QUELS SONT LES MOYENS D’ASSURER LA PROTECTION DES DONNÉES À CARACTÈRE PERSONNEL ?

Plusieurs possibilités sont envisagées au sein du RGPD, dont certaines sont parfois imposées :

• consentement individualisé préalable ;

• établissement d’un registre des activités de traitement ;

• désignation d’un DPO – un « délégué à la protection des données » ;

• installation d’un haut niveau de protection des données personnelles collectées ;

• l’entreprise doit également s’assurer que ses sous-traitants garantissent de la même manière leurs obligations. Prestataires de services informatiques ou agences de marketing ou de communication qui traitent les données personnelles pour le compte de leur client. Sans oublier, naturellement, des « sous-traitants ultérieurs », à qui le sous-traitant lui-même a fait appel pour mener des activités spécifiques – ce qui est un cas de figure fréquent.

SANCTION

Les sanctions prévues par la loi étaient déjà dissuasives avant, mais elles le sont d’autant plus à présent : les amendes administratives pouvant aller, selon les cas, jusqu’à 4 % du chiffre d’affaires mondial.

Malgré le coût élevé que cela peut représenter pour les entreprises de taille plus raisonnable, la CNIL, tout en restant intransigeante, prévoit des recours en cas de bonne foi manifeste.

L’avis de l’expert