RGPD: Nouvelles responsabilités des sociétés et comment les aborder

Le Règlement général sur la protection des données (RGPD) est entré en vigueur le 25 mai 2018 et a considérablement modifié les obligations des sociétés en matière de protection des données personnelles. Cet article vise à vous informer sur les nouvelles responsabilités qui incombent aux sociétés suite à cette réglementation, ainsi que sur la manière dont elles peuvent s’y conformer afin d’éviter des sanctions financières potentiellement lourdes.

Les principes fondamentaux du RGPD

Le RGPD repose sur plusieurs principes clés pour garantir la protection des données personnelles. Parmi ces principes, on peut citer :

• La licéité, loyauté et transparence: les données doivent être collectées et traitées de manière licite, loyale et transparente vis-à-vis des personnes concernées.
• La finalité déterminée, explicite et légitime: les données ne peuvent être collectées que pour des finalités spécifiques, explicites et légitimes, et ne doivent pas être traitées ultérieurement d’une manière incompatible avec ces finalités.
• L’exactitude: les données doivent être exactes et, si nécessaire, tenues à jour. Les entreprises doivent prendre toutes les mesures raisonnables pour effacer ou rectifier toute donnée inexacte sans délai.
• L’intégrité et la confidentialité: les données doivent être traitées de manière à garantir leur sécurité, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d’origine accidentelle.
• La limitation du stockage: les données ne peuvent être conservées que pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées.

Nouvelles responsabilités des sociétés

Afin de se conformer à ces principes fondamentaux, les sociétés doivent assumer de nouvelles responsabilités en matière de protection des données personnelles. Parmi ces responsabilités, on peut citer :

1. Mise en place de politiques et procédures internes: Les entreprises sont tenues d’adopter des politiques et procédures internes pour assurer le respect du RGPD. Cela inclut notamment la désignation d’un responsable de la protection des données (DPO) si l’entreprise effectue un suivi régulier et systématique à grande échelle, ou si elle traite des données sensibles à grande échelle.
2. Information et consentement des personnes concernées: Les sociétés doivent informer les personnes concernées de manière claire et concise sur la manière dont leurs données sont collectées, utilisées et protégées. Elles doivent également obtenir le consentement explicite des personnes concernées avant de traiter leurs données dans certaines circonstances, par exemple pour le marketing direct.
3. Droit à l’oubli et droit à la portabilité des données: Les personnes concernées ont le droit de demander l’effacement de leurs données ou la transmission de celles-ci à un autre responsable du traitement, dans certaines conditions. Les entreprises doivent être en mesure de répondre à ces demandes dans un délai d’un mois.
4. Notification des violations de données: En cas de violation de données personnelles, les sociétés sont tenues de notifier l’autorité compétente (en France, la CNIL) et, si nécessaire, les personnes concernées dans les 72 heures suivant la découverte de la violation.
5. Évaluation d’impact sur la protection des données: Pour certains types de traitement susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes concernées, les entreprises doivent effectuer une évaluation d’impact sur la protection des données avant de mettre en œuvre le traitement.

Conseils pour se conformer au RGPD

Pour respecter ces nouvelles responsabilités et assurer leur conformité au RGPD, voici quelques conseils pratiques :

• Mettre en place une formation régulière pour tous les employés afin qu’ils comprennent les exigences du RGPD et soient conscients des risques liés aux violations de données.
• Réaliser un audit des pratiques actuelles en matière de protection des données pour identifier les lacunes et mettre en place des mesures correctives.
• Créer un régistre du traitement des données personnelles au sein de l’entreprise, incluant la description des finalités, des catégories de données et des destinataires, ainsi que les mesures de sécurité mises en place.
• Établir des processus internes pour répondre rapidement et efficacement aux demandes des personnes concernées relatives à leurs droits (accès, rectification, effacement, etc.).
• S’assurer que les contrats avec les sous-traitants incluent des clauses spécifiques sur la protection des données personnelles et la conformité au RGPD.

En respectant ces conseils et en tenant compte des nouvelles responsabilités imposées par le RGPD, les entreprises pourront non seulement éviter les sanctions financières potentiellement lourdes mais également renforcer la confiance de leurs clients et partenaires en matière de protection des données personnelles.