RGPD: L’Europe s’attaque à la protection des données

Le ‘Réglement Général sur la Protection des Données’ décrypté

A compter du 25 Mai 2018, le règlement européen sera applicable. De nombreuses formalités auprès de la CNIL vont disparaître. En contrepartie, la responsabilité des organismes sera renforcée. Ils devront en effet assurer une protection optimale des données à chaque instant et être en mesure de la démontrer en documentant leur conformité.

Tout les acteurs qui traitent des données à caractère personnel de citoyens européens, que ce soit les entreprises (start-up, PE, PME,…) mais également les associations, les organismes publics, les sous-traitants, etc.

Sont considérées comme données à caractère personnel, toutes les informations identifiant directement ou indirectement une personne physique.

– Renforcer les droits des personnes, notamment par la création d’un droit à la portabilité des données personnelles et de dispositions propres aux personnes mineures

– Responsabiliser les acteurs traitant des données (responsables de traitement et sous-traitants)

– Crédibiliser la régulation grâce à une coopération renforcée entre les autorités de protection des données, qui pourront notamment adopter des décisions communes lorsque les traitements de données seront transnationaux et des sanctions renforcées

En cas de non respect du RGPD, les autorités de protection pourront selon le contexte :

– Prononcer un avertissement ;

– Mettre en demeure l’entreprise ;

– Limiter temporairement ou définitivement un traitement ;

– Suspendre les flux de données ;

– Ordonner de satisfaire aux demandes d’exercice des droits des personnes ;

– Ordonner la rectification, la limitation ou l’effacement des données;

– Délivrer une amende administrative. Plusieurs possibilités ; seul le montant le plus élevé sera retenu. Ce dernier peut aller de 2 à 4% du chiffre d’affaires annuel ou de 10 à 20 millions d’euros.

A RETENIR: si l’entreprise est dans l’impossibilité de prouver qu’elle respecte le RGPD, la CNIL peut tout de même appliquer des sanctions même s’il n’y a pas eu  violation des données.