Tout savoir sur le RGPD

Vous avez sans doute entendu parler de ce nouveau règlement communautaire relatif à la protection des données personnelles.

Depuis quelques temps, des signaux quant à son existence vous sont envoyés : lorsque vous naviguez sur le web, il vous est demandé d’accepter l’utilisation de cookies, ou bien vous recevez des mails vous demandant de donner votre consentement à l’utilisation de vos données personnelles.

Vous acceptez souvent sans vraiment comprendre, pourtant l’enjeu est grand : il en va de l’utilisation de vos données personnelles à des fins commerciales notamment.

Ce règlement est le texte le plus abouti à l’heure actuelle en terme de protection des données.

Mais, chers internautes êtes-vous informés de son contenu ?

1. Historique de la protection des données

La séparation entre le domaine public et le domaine privé n’est pas étanche : vos données à caractère personnel peuvent franchir cette barrière et ce de plus en plus facilement avec l’existence et le progrès d’Internet.

Selon la Commission Nationale de l’Informatique et des Libertés (CNIL), sont considérées comme des données à caractère personnel, toutes celles qui permettent de rendre identifiable une personne (coordonnées bancaires, couleur de la peau, des yeux etc.)

Mais, il existe en réalité de nombreuses données à caractère personnel, que l’on distingue communément en deux catégories :

• Les données personnelles sensibles
• Les données qui conduisent à tracer une personne mais qui ne sont pourtant pas considérées comme sensibles car ne sont pas intrinsèques à la personne

Dans les années 1970, seule l’Administration fiscale et judiciaire pouvaient centraliser ces données personnelles.

Mais dès la fin des années 1970 et au début des années 1980, l’enjeu est tout autre : les entreprises de droit privé et notamment les banques vont commencer à s’emparer de telles informations pour améliorer leur chiffre. Ainsi, les programmes de fidélité vont notamment regorger d’informations personnelles que les entreprises n’hésiteront pas à revendre à d’autres sociétés.

Face à ce problème naissent beaucoup de préoccupation juridiques, ainsi la France adoptera la Loi Informatique et Libertés en 1978, qui demeure toujours en vigueur. Celle-ci apporte un réel éclaircissement sur la notion de vie privée, et pose différents principes : le principe de loyauté des traitements des données, le droit à l’information, à la rectification et à l’opposition du traitement des données.

Quelque temps après, une directive de l’Union européenne de 1995 vient cibler cette précaution, et encadrer l’usage des données à caractère personnel au niveau communautaire. Il s’agit du premier texte communautaire portant protection des données personnelles et qui vient en donner une définition large.  

Mais celle-ci a été abrogée par le Règlement Général sur la Protection des Données (RGPD) qui vient accroître davantage la protection des données personnelles et harmoniser la protection sur l’ensemble de l’espace communautaire.

2. Le Règlement Général sur la Protection des Données (RGPD)  

Entré en vigueur le 24 mai 2016, le RGPD est la directive européenne qui contraint désormais l’ensemble des secteurs public et privé à respecter certaines règles concernant le traitement des données à caractère personnel.

Quelle est l’aspiration du RGPD ?

1. Adapter le droit communautaire et notamment le droit européen en matière de protection des données personnelles à l’évolution des nouvelles technologies de l’information et de la communication
2. Uniformiser la protection des données à caractère personnel dans l’ensemble de l’Union européenne
3. Accroître encore davantage la protection ainsi que la sécurité des données à caractère personnel
4. Responsabiliser le secteur privé par le biais de procédures internes de contrôle

Quels sont les principaux apports de ce règlement ?

1. Par rapport à la directive 95/46, le RGPD vient élargir le champ d’application territorial. En effet, le règlement devra être respectée par toute entité qui traite des données de citoyens européen devra se conformer audit règlement et cela peu importe qu’elle soit elle-même située en Europe ou en dehors des frontières de la communauté européenne. (Article 3 RGPD)
2. Les responsables de traitement et désormais les sous-traitants (entreprises qui ont à traiter des données à caractère personnel pour le compte d’autrui) pourront voir leur propre responsabilité engagée en cas d’atteinte au droit à la vie privée et de non-respect des obligations prévues par ledit règlement. (Article 27 du RGPD)
3. Le RGPD vient également harmoniser l’ensemble des politiques de protection des données au sein de l’espace européen : désormais, les mêmes règles relatives à la protection des données à caractère personnel seront applicables dans l’ensemble des Etats membres de l’Union.  
4. Autre innovation de 2016, il est donné plus de droits aux individus. En effet, ces derniers disposent de davantage de contrôle et d’emprise sur leurs données privées.
   La communication devra être plus claire et intelligible sur la façon dont les données sont utilisées par les entités, notamment par l’acceptation des cookies sur les sites internet.
5. Aussi, est enfin garanti un droit à l’effacement comme prémisse à un véritable droit à l’oubli que l’on croyait reconnu par la Cour de Justice de l’Union européenne dans son arrêt « Google Spain » rendu le 13 mai 2014.
   Dès lors, la personne qui verrait des informations confidentielles circulaient sur internet a droit d’obtenir du responsable du traitement l’effacement ou le déréférencement de données à caractère personnel la concernant dans de courts délais. (Article 17 du RGPD).
6. Le RGPD vient dans une autre mesure imposer la désignation d’un Délégué à la Protection des Données (DPO) pour toutes les entités dont les activités les engagent à réaliser un suivi régulier des données personnelles.
7. L’article 33 du RGPD impose également aux entreprises et aux organismes de notifier à l’autorité nationale dans un délai maximum de 72 heures toutes les violations graves de données afin que les personnes concernées puissent prendre les mesures nécessaires à les faire cesser.
8. Aussi, le RGPD prévoit de lourdes amendes administratives si jamais il n’était pas respecté par les entités privées et publiques : celles-ci peuvent atteindre jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires annuel de l’organisme concerné.
9. Le RGPD impose concernant le transfert de données entre les pays que des protocoles soient créés pour régir la façon dont les données peuvent être transférées à travers le monde.
10. Enfin, concernant le profilage, le règlement prévoit que les systèmes de création automatisés de profils ne peuvent ni évincer des personnes sans surveillance humaine notamment en matière d’assurances ou de crédits bancaires.

Vous l’aurez compris, le droit communautaire semble vouloir s’armer face aux évolutions d’Internet, qui présente certes de nombreux avantages mais qui peuvent s’avérer être extrêmement dangereuses pour nos droits et libertés.

Pour toute question, n’hésitez pas à nous contacter !