10 questions autour du RGPD

Qu’est-ce qu’un DPO ?

Le DPO – Data Protection Officer ou le DPD – Délégué à la Protection des Données en français, a pour missions d’informer et de conseiller les collaborateurs, mais aussi et surtout de valider la conformité des traitements et d’exercer un contrôle continu. En effet, le DPO est le garant de la tenue à jour du registre des traitements ainsi que du respect de la conformité des pratiques de l’entreprise vis-à-vis des données personnelles. Le DPO est l’évolution du Correspondant Informatique et Libertés (CIL).

Qu’est-ce qu’une donnée personnelle ?

Sont considérées comme données personnelles, les informations se rapportant à une personne physique vivante identifiée ou identifiable, dont le regroupement permet d’identifier cette personne en particulier, directement ou indirectement.
Il y a 7 catégories de données personnelles :

• Les données relatives à l’identité (nom, prénom, adresse, photo, date et lieu de naissance, etc.)
• Les données relatives à la vie personnelle (habitudes de vie, de consommation, loisirs, situation familiale, etc.)
• Les données relatives à la vie professionnelle (CV, diplômes, formation, fonction, lieu de travail, etc.)
• Les informations économiques (revenus, impôts, données bancaires, droits sociaux, situation financière, etc.)
• Les données de localisation (coordonnées GPS, géolocalisation véhicule ou téléphone, badges bâtiments, télépéages, etc.)
• Les données judiciaires (casier judiciaire)
• Les données sensibles

Le DPO est-il obligatoire ?

Il faut savoir que le recours à un DPO n’est pas systématique. Cependant il est obligatoire dans 3 cas :

• Les établissements publics
• Les organisations dont l’activité principale est le traitement de données en masse
• Les organisations dont l’activité principale traite des données sensibles

Contrairement à certaines idées reçues, le recours à un DPO n’est pas obligatoire pour les entreprises de 250+ collaborateurs (sauf pour celles qui font partie d’au moins une des 3 catégories ci-dessus) mais il est tout de même fortement conseillé, en fonction de votre secteur d’activité.

Le DPO doit-il être interne ou externe ?

Qu’il soit obligatoire ou non, le Data Protection Officer peut aussi bien être un collaborateur de l’entreprise qu’un prestataire externe. Dans le cas où votre DPO est interne, vous devez vous assurer qu’il soit pleinement conscient de ses droits et devoirs. En effet en tant que responsable du traitement des données personnelles, il doit être en mesure de dénoncer sa hiérarchie en cas de non respect de la conformité.

Catégories de données personnelles

Il y a 7 catégories de données personnelles :

• Les données relatives à l’identité (nom, prénom, adresse, photo, date et lieu de naissance, etc.)
• Les données relatives à la vie personnelle (habitudes de vie, de consommation, loisirs, situation familiale, etc.)
• Les données relatives à la vie professionnelle (CV, diplômes, formation, fonction, lieu de travail, etc.)
• Les informations économiques (revenus, impôts, données bancaires, droits sociaux, situation financière, etc.)
• Les données de localisation (coordonnées GPS, géolocalisation véhicule ou téléphone, badges bâtiments, télépéages, etc.)
• Les données judiciaires (casier judiciaire)
• Les données sensibles

Qu’est-ce qu’une donnée sensible ?

La CNIL définit une donnée sensible comme une « information concernant l’origine raciale ou ethnique, les opinions politiques, philosophiques ou religieuses, l’appartenance syndicale, la santé ou la vie sexuelle. En principe, les données sensibles ne peuvent être recueillies et exploitées qu’avec le consentement explicite des personnes ». On peut ajouter les données relatives aux condamnations pénales ou aux infractions, les données biométriques et génétiques, ou encore le numéro de sécurité sociale (NIR).

Qu’est-ce qu’un traitement ?

La CNIL définit un traitement de données à caractère personnel comme « toute opération, ou ensemble d’opérations, portant sur de telles données, quel que soit le procédé utilisé (collecte, enregistrement, organisation, conservation, adaptation, modification, extraction, consultation, utilisation, communication par transmission diffusion ou toute autre forme de mise à disposition, rapprochement ou interconnexion, verrouillage, effacement ou destruction, etc.) ».

Un traitement doit comporter un objectif, être associé aux acteurs (internes ou externes) qui y participent, et identifier les flux des données afin d’en donner l’origine et la localisation (UE / hors UE).

Exemples de traitements (liste non exhaustive) :

• Gestion de la paie
• Vente en ligne
• Vidéosurveillance
• Gestion de la facturation
• Gestion d’un fichier client – fournisseurs
• Gestion d’un fichier des employés
• Gestion de fichiers prospects achetés – loués – échangés
• Facturation et gestion des règlements
• Stockage en base de données
• Stockage sous forme de fichiers (Excel, texte, csv,…) / Stockage sous forme papier (factures, fiches de paye, etc…)
• Site Internet – Extranet pour mes clients ou fournisseurs
• Logs de serveurs
• Progiciel de gestion intégré, Logiciel métier
• Gestion d’accès aux locaux (badges, pointeuse, etc )

Qu’est-ce qu’un registre des traitements ?

Un registre des traitements est un document, papier ou électronique, qui recense l’ensemble des traitements de l’entreprise. Le registre associe à chaque traitement ses objectifs, les acteurs (internes ou externes) qui y participent, et les flux des données afin d’en donner l’origine et la localisation (UE / hors UE).

Validation de la conformité des traitements

Une fois la totalité des traitements identifiés et renseignés dans le registre, le DPO, interne ou externe, valide ou invalide leur conformité. En cas de non-validation, il fait un retour et vérifie les actions correctives mises en place afin de valider le(s) traitement(s) en question. Cette étape est cruciale, en effet, il devra, en cas de non-conformité, en informer la CNIL.

Qui est la CNIL ?

La CNIL – Commission Nationale de l’Informatique et des Libertés – est l’autorité chargée de la régulation des données personnelles. Plus d’infos sur : www.cnil.fr

Quelles sont les sanctions ?

En France, l’organisme en charge de contrôler la conformité des entreprises est la CNIL. Et les sanctions en cas de non-respect du RGPD sont assez élevées :

• Jusqu’à 10M€ ou 2% du CA mondial pour des infractions relatives aux (Source CNIL) :
  • Obligations incombant au responsable du traitement et au sous-traitant en vertu des articles 8, 11, 25 à 39, 42 et 43
  • Obligations incombant à l’organisme de certification en vertu des articles 42 et 43
  • Obligations incombant à l’organisme chargé du suivi des codes de conduite en vertu de l’article 41, paragraphe 4.
• Jusqu’à 20M€ ou 4% du CA mondial pour des infractions plus graves relatives aux (Source CNIL) :
  • Principes de base d’un traitement, y compris les conditions applicables au consentement en vertu des articles 5, 6, 7 et 9
  • Droits dont bénéficient les personnes concernées en vertu des articles 12 à 22
  • Transferts de données à caractère personnel à un destinataire situé dans un pays tiers ou à une organisation internationale en vertu des articles 44 à 49
  • Obligations découlant du droit des États membres adoptées en vertu du chapitre IX
  • Non-respect d’une injonction, d’une limitation temporaire ou définitive du traitement ou de la suspension des flux de données ordonnée par l’autorité de contrôle en vertu de l’article 58, paragraphe 2, ou le fait de ne pas accorder l’accès prévu, en violation de l’article 58, paragraphe 1.

Cependant, nous avons constaté qu’au delà du risque pécuniaire, vous risquez davantage commercialement ! En effet, si vous ne pouvez répondre favorablement à la demande de votre prospect, il deviendra client de votre concurrent.

Privacy by design

Le concept de “Privacy by Design” a pour objectif de garantir que la protection de la vie privée soit intégrée dès le début d’un projet. Par exemple, vous installez un système de visioconférence, vous devez, avant l’installation du matériel, prévoir les mesures de conformité RGPD : affichage « vous êtes filmé », définition de la durée de conservation des données personnelles (pour rappel, la photo d’une personne est une donnée personnelle), etc.