RGPD : Assurez une mise en conformité avec un DPO

On est souvent amené à saisir ses données personnelles sur Internet. Sachez que l’utilisation de vos informations relève d’un traitement de données sensibles. En fournissant des renseignements, vous avez certains droits qui vous sont garantis. Le RGPD prévoit une protection des données à caractère personnel.

Le RGPD : qu’est-ce que c’est ?

Définition du RGPD

En mai 2018, le RGPD, ou Règlement Général sur la Protection des Données, est un règlement européen entré en vigueur. Il consiste à renforcer la protection des données personnelles des citoyens de l’Union européenne (UE). Le RGPD impose des obligations strictes aux entreprises et aux organisations qui collectent, stockent ou traitent des données personnelles. Il confère également aux citoyens de l’UE des droits étendus en matière de protection de leurs données privées. Le non-respect du RGPD peut entraîner des amendes importantes allant jusqu’à 4 % du chiffre d’affaires mondial annuel de l’entreprise ou 20 millions d’euros. Le montant le plus élevé étant celui qui sera applicable.

Objectifs du RGPD

Les principaux objectifs du RGPD sont :

•  renforcer les droits des individus sur la protection des données personnelles : le RGPD renforce les droits des individus en leur permettant de mieux contrôler leurs données personnelles ;
• accroître la responsabilité des entreprises : les entreprises sont désormais tenues de mettre en place des mesures techniques et organisationnelles appropriées pour protéger les données personnelles qu’elles traitent. Elles doivent aussi signaler les cas de violation de données dans les délais impartis ;
• faciliter la coopération internationale : le RGPD facilite la coopération entre les autorités de protection des données de l’Union européenne et des pays tiers. L’objectif est d’assurer une protection cohérente des données à travers le monde ;
• favoriser la transparence : les entreprises doivent être plus transparentes sur la manière dont elles traitent les données personnelles. Elles ont l’obligation d’informer les personnes concernées de manière claire et compréhensible ;
• assurer une application cohérente : le RGPD établit des règles claires et cohérentes pour la protection des données personnelles dans toute l’Union européenne. En effet, les individus et les entreprises doivent avoir une compréhension claire de leurs obligations et droits.

Quels sont les droits des personnes sur leurs données privées ?

Selon le RGPD, voici les 6 principaux droits des personnes sur leurs informations personnelles.

Le droit d’être informé

Les personnes ont le droit d’être informées de la manière dont leurs données sont collectées, utilisées et partagées. Pour en savoir plus sur les droits des individus sur leurs données personnelles, vous pouvez vous rendre sur ce site spécialisé.

Le droit d’accès

Chaque individu a le droit d’accéder à ses données personnelles et de savoir comment elles sont traitées.

Le droit de rectification

Les titulaires des renseignements ont le droit de demander la rectification de leurs données personnelles si elles sont inexactes ou incomplètes.

Le droit à l’effacement

Chaque personne concernée a le droit de demander la suppression de ses données personnelles dans certaines circonstances. Par exemple, elle est habilitée à procéder ainsi si les données ne sont plus nécessaires ou s’il y a traitement de manière illicite.

Le droit à la portabilité

Les individus ont le droit de récupérer et de réutiliser leurs données personnelles pour différents services et à d’autres finalités. Ce doit s’applique seulement pour les données fournies avec un consentement ou un contrat.

Le droit d’opposition

Les personnes ont le droit de s’opposer au traitement de leurs données personnelles dans certaines circonstances, comme le marketing direct. De même, elles peuvent s’opposer aux prises de décision automatisées faites en fonction de leurs informations privées comme le profilage.

Que doit faire l’entreprise pour une démarche de conformité au RGPD ?

Les étapes suivantes sont nécessaires pour une démarche de mise en conformité au RGPD :

Effectuer un audit des données

L’entreprise doit effectuer un audit de toutes les données qu’elle détienne pour déterminer :

• lesquelles sont-elles personnelles ;
• comment elles sont traitées, stockées et utilisées.

Nommer un DPO 

Le RGPD exige que certaines entreprises nomment un DPO pour surveiller la conformité de la protection des données. Le DPO doit être un expert en protection des données. 

Établir une politique de confidentialité

L’entreprise doit élaborer une politique de confidentialité claire et facilement compréhensible pour les utilisateurs de ses services. Cette politique doit expliquer :

• les types de données rassemblées ;
• la manière dont elles sont stockées et utilisées ;
• et les droits des utilisateurs sur la protection de leurs données.

Obtenir un consentement explicite

L’obtention du consentement non ambigu et clair des utilisateurs est primordiale. L’entreprise doit y procéder avant de collecter leurs données privées.

Mettre en place des mesures de sécurité

L’entreprise a l’obligation d’instaurer des mesures de sécurité appropriées pour protéger les données personnelles. Cela inclut par exemple :

• la pseudonymisation ou l’anonymisation des données ;
• la limitation de l’accès aux données ;
• et la mise en place de contrôles d’accès pour s’assurer que seules les personnes autorisées ont accès aux données.

Gérer les violations de données

Si une violation de données se produit, l’entreprise doit informer les autorités compétentes et les personnes concernées dans les 72 heures suivant l’acte.

Former le personnel

L’entreprise est tenue de former ses employés sur les bonnes pratiques en matière de protection des données. Elle doit aussi les initier sur la façon de détecter et de signaler les violations de données.

Réaliser des audits de conformité

L’entreprise doit régulièrement effectuer des audits de conformité pour s’assurer que toutes les mesures de protection des données sont mises en place et sont efficaces.

Qu’est-ce qu’un DPO ?

DPO signifie : « Délégué à la Protection des Données » en français, ou « Data Protection Officer » en anglais. Il s’agit d’une personne désignée par une organisation pour être responsable de la protection des données personnelles. Il est à noter que le DPO peut être une personne physique ou une entreprise.

Quels sont les autres rôles d’un DPO ?

Le DPO est responsable de la conformité de l’organisation avec les lois et réglementations relatives à la protection des données personnelles. Les principaux rôles d’un DPO sont les suivants :

Conseiller l’organisme

Le DPO conseille l’organisation sur les questions liées à la protection des données personnelles, notamment sur :

• les obligations légales ;
• les politiques de confidentialité ;
• les contrats avec les sous-traitants, etc.

Surveiller la conformité

Il doit surveiller la conformité de l’organisation avec les lois et réglementations en matière de protection des données personnelles, notamment le RGPD. Pour cela, il effectue des audits réguliers et propose des mesures correctives si nécessaire.

Former le personnel

Le DPO a aussi pour rôle d’éduquer le personnel de l’organisme sur les meilleures pratiques en termes de protection des données personnelles. À cet effet, il organise des séances de formation et met à disposition des ressources utiles.

Gérer les demandes

Il assure la gestion des demandes des personnes concernées. Il s’agit, par exemple, des demandes d’accès, de rectification ou de suppression de données personnelles. En outre, il doit s’assurer que l’organisation y répond de manière appropriée et dans les délais impartis.

Se lier aux autorités de contrôle

Le DPO est le référent ou l’interlocuteur principal qui coopère avec les autorités de contrôle existantes (par exemple, la CNIL en France). Il est tenu de leur fournir les informations sur la conformité de l’organisation au RGPD.