RGPD : définition et obligations pour les entreprises

RGPD : définition et obligations pour les entreprises

Le RGPD (Règlement général sur la protection des données) est un règlement européen qui encadre l'utilisation des données personnelles et impose des obligations aux entreprises pour protéger la vie privée des personnes.

Sommaire

1. Qu'est-ce que le RGPD ?
2. Qui est concerné par le RGPD ?
3. Quelles sont les données personnelles protégées ?
4. Quels sont les grands principes du RGPD ?
5. Quels sont les droits des personnes concernées ?
6. Quelles sont les obligations des entreprises ?
7. Comment mettre son entreprise en conformité ?
8. Quelles sont les sanctions prévues ?

Qu'est-ce que le RGPD ?

Le RGPD est le règlement européen 2016/679 du 27 avril 2016, applicable depuis le 25 mai 2018. Il établit un cadre juridique commun pour la collecte, l'utilisation et la conservation des données à caractère personnel, notamment au sein de l'Union européenne. Ce texte permet aux citoyens de mieux contrôler l'usage de leurs informations.

Un traitement correspond à toute opération réalisée sur ces informations, comme leur enregistrement, leur consultation, leur modification ou leur suppression.

Le RGPD couvre les traitements automatisés, mais aussi les traitements manuels de données personnelles contenues dans un fichier ou destinées à y figurer, sous réserve des exceptions prévues par les textes.

En France, il s'articule avec la loi Informatique et Libertés du 6 janvier 1978.

Qui est concerné par le RGPD ?

Le RGPD concerne les entreprises, les indépendants, les associations et les organismes publics qui traitent des données personnelles dans le cadre de leurs activités, dès lors qu'ils entrent dans son champ d'application.

Une TPE est notamment concernée lorsqu'elle gère des fichiers clients, conserve les coordonnées de ses salariés, recueille des informations sur son site internet ou réalise des opérations de prospection commerciale.

Le règlement peut également s'appliquer à certaines organisations établies hors de l'Union européenne.

Quelles sont les données personnelles protégées ?

Une donnée personnelle est une information permettant d'identifier directement ou indirectement une personne physique.

Il peut s'agir :

• du nom et du prénom.
• d'une adresse électronique nominative.
• d'un numéro de téléphone.
• d'une adresse postale.
• d'un identifiant de connexion.
• d'une adresse IP permettant une identification.
• d'informations de géolocalisation.

Certaines données font l'objet d'une protection renforcée, notamment celles concernant la santé, les convictions religieuses, les opinions politiques ou les données biométriques utilisées pour identifier une personne de manière unique.

Les informations concernant uniquement une société ou une autre personne morale ne relèvent pas, en elles-mêmes, du RGPD.

Quels sont les grands principes du RGPD ?

Le RGPD repose sur sept grands principes : 

• Licéité, loyauté et transparence : les données doivent être utilisées de manière légale et les personnes informées de leur utilisation.
• Limitation des finalités : les données doivent être collectées pour des objectifs précis et ne peuvent pas être réutilisées librement à d'autres fins.
• Minimisation des données : seules les informations nécessaires à l'objectif poursuivi doivent être collectées et utilisées.
• Exactitude : les données doivent être tenues à jour et corrigées si nécessaire.
• Limitation de la conservation : les données ne doivent pas être conservées plus longtemps que nécessaire, sauf exceptions prévues par les textes.
• Sécurité et confidentialité : des mesures adaptées doivent protéger les données contre les accès non autorisés, les pertes et les destructions accidentelles.
• Responsabilité : chaque organisme doit pouvoir démontrer qu'il respecte ses obligations.

Quels sont les droits des personnes concernées ?

Le RGPD permet à chacun de contrôler l'utilisation de ses données personnelles, notamment en demandant à y accéder, à les faire corriger ou, dans certains cas, à les faire supprimer.

Il leur reconnaît plusieurs droits :

• Le droit d'accès : connaître les données détenues à son sujet et en obtenir une copie dans les conditions prévues.
• Le droit de rectification : demander la correction de données inexactes ou incomplètes.
• Le droit à l'effacement : demander leur suppression lorsque les conditions légales sont réunies.
• Le droit d'opposition : refuser certaines utilisations, notamment à des fins de prospection commerciale.
• Le droit à la limitation : obtenir la restriction temporaire de certains traitements.
• Le droit à la portabilité : récupérer certaines données dans un format structuré et les transmettre à un autre organisme, sous certaines conditions.
• Les droits relatifs aux décisions automatisées : ne pas faire l'objet, sauf exceptions, d'une décision reposant exclusivement sur un traitement automatisé et produisant des effets juridiques ou affectant la personne de manière similaire et significative.

Lorsque le traitement repose sur leur consentement, les personnes peuvent également le retirer à tout moment.

En principe, l'entreprise doit répondre aux demandes dans un délai d'un mois. Ce délai peut être prolongé de deux mois supplémentaires dans certains cas, à condition d'en informer la personne concernée dans le délai initial.

Quelles sont les obligations des entreprises ?

Les entreprises soumises au RGPD doivent respecter plusieurs obligations pour encadrer l'utilisation des données personnelles et garantir leur traitement conformément à la réglementation.

Les principales obligations sont les suivantes :

• Justifier chaque traitement : disposer d'une base légale valable, comme l'exécution d'un contrat, une obligation légale ou le consentement lorsque celui-ci est requis.
• Informer les personnes : expliquer pourquoi leurs données sont collectées, comment elles sont utilisées et quels sont leurs droits. Certains cookies et traceurs nécessitent également leur consentement préalable.
• Tenir un registre des traitements : recenser les activités de traitement, sous réserve des dérogations limitées prévues notamment pour les structures de moins de 250 salariés.
• Sécuriser les données : prévoir des mesures adaptées contre les accès non autorisés, les pertes ou les destructions.
• Encadrer les prestataires : prévoir un contrat conforme au RGPD lorsqu'un prestataire traite des données personnelles pour le compte de l'entreprise.
• Gérer les violations de données : documenter les violations et notifier celles présentant un risque à la CNIL, si possible dans les 72 heures. En cas de risque élevé, les personnes concernées doivent également être informées, sous réserve des exceptions prévues.
• Désigner un délégué à la protection des données (DPO), dans certains cas : cette obligation concerne notamment les entreprises dont les activités principales impliquent une surveillance régulière et systématique des personnes à grande échelle ou le traitement à grande échelle de données sensibles.

Pour approfondir ces règles, consultez notre article sur les obligations des entreprises en matière de RGPD.

Comment mettre son entreprise en conformité avec le RGPD ?

Pour mettre son entreprise en conformité avec le RGPD, il faut examiner l'utilisation des données personnelles, identifier les éventuels manquements et mettre en place les mesures nécessaires pour y remédier.

Concrètement, cette démarche s'organise en cinq étapes :

Faire l'inventaire des données : identifier les fichiers utilisés, les catégories de données traitées, leurs finalités et les personnes qui y ont accès.

Évaluer les pratiques existantes : repérer les traitements injustifiés, les données inutiles ou les durées de conservation excessives.

Mettre à jour les documents : vérifier les mentions d'information, les contrats avec les prestataires et le registre des traitements lorsqu'il est requis.

Adapter les mesures de sécurité : renforcer les mots de passe, limiter les accès aux fichiers et organiser des sauvegardes régulières selon les risques.

Organiser le suivi : désigner les personnes chargées de répondre aux demandes et réexaminer les pratiques lorsque l'activité évolue.

Pour une TPE, la protection des données repose avant tout sur des pratiques adaptées à son activité, régulièrement vérifiées et mises à jour.

Certains traitements susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes nécessitent également une analyse d'impact préalable (AIPD).

Pour vérifier la conformité de vos pratiques et bénéficier de conseils adaptés à votre entreprise, n'hésitez pas à faire appel aux avocats de FIDUCIAL Sofiral Avocats.

Quelles sont les sanctions en cas de non-respect du RGPD ?

Le non-respect du RGPD peut entraîner des amendes administratives et des mesures correctrices, dont la nature et la gravité dépendent des manquements constatés.

Le règlement prévoit deux niveaux de plafonds pour les amendes :

• Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent pour certaines violations des obligations.
• Jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial total de l'exercice précédent pour les manquements les plus graves, notamment ceux concernant les principes fondamentaux et les droits des personnes.

Pour une entreprise, le plafond applicable correspond au montant le plus élevé entre la somme fixe et le pourcentage du chiffre d'affaires. L'amende n'est toutefois pas automatique : son montant dépend notamment de la gravité des faits, de leur durée et des circonstances de l'infraction. L'autorité compétente peut aussi imposer d'autres mesures, comme une injonction de mise en conformité ou une limitation des traitements de données concernés.