Depuis son entrée en vigueur le 25 mai 2018, le Règlement Général sur la Protection des Données (RGPD) impose la transparence aux entreprises. En effet cette loi renforce le contrôle par les citoyens de l’utilisation qui peut être faite de leurs données personnelles. Depuis cette date, les entreprises en non-conformité avec la réglementation s’exposent à de lourdes sanctions.
Qu’est-ce que le RGPD ?
A l’heure ou de plus en plus d’entreprises collectent, stockent et analysent une quantité importante d’informations personnelles dans le but de fournir des services personnalisés, le RGPD encadre le traitement des données personnelles sur le territoire de l’Union Européenne. Les citoyens peuvent ainsi s’appuyer sur le texte pour défendre leurs données personnelles, s’ils estiment qu’une organisation les utilise de manière trop intrusive.
3 objectifs :
- Redonner la maitrise de ses données aux clients
- Responsabiliser les entreprises à la gestion de leurs données client
- Mettre au même niveau d’exigence les entreprises qui sont hors Union Européenne (Ex : Google ; Facebook)
A quoi correspondent les données personnelles ?
Une « donnée personnelle » est « toute information se rapportant à une personne physique identifiée ou identifiable ». Une personne peut être identifiée : nom, adresse postale, adresse mail, identifiant client, image, numéro de sécurité sociale…etc.
Exemples : La liste des salariés de votre société ; une base marketing contenant de nombreuses informations précises sur les consommateurs.
Qui est concerné ?
Le RGPD s’applique à toute organisation, publique et privée, qui traite les données personnelles des citoyens de l’Union européenne, et ce quels que soient sa taille, son pays d’implantation et son activité.
Sont donc concernées toutes les grandes entreprises, les PME et les TPE qui remplissent les trois critères suivants :
- Effectuer des traitements de données
- Etre établi sur le territoire de l’Union Européenne
- Avoir une activité qui cible directement des résidents européens
Les sous-traitants des grandes sociétés, les administrations et les associations sont également soumis au règlement.
Ne sont pas concernés les particuliers effectuant des traitements de données à caractère personnel, sans aucun lien avec une activité professionnelle ou commerciale.
Comment s’adapter à la loi ?
Afin de se conformer aux exigences de cette nouvelle réglementation, la CNIL propose une feuille de route complète sur son site internet. La 1ère étape conseillée consiste à établir un bilan interne des registres de traitements au sein de votre entreprise permettant ainsi la rédaction d’un cahier des charges.
https://www.cnil.fr/fr/principes-cles/rgpd-se-preparer-en-6-etapes
Les sanctions encourues ?
Des sanctions lourdes et dissuasives sont prévues pour les organismes publics, les entreprises et leurs sous-traitants qui ne se conforment pas aux exigences du RGPD. Les sanctions varient en fonction des types de règles non respectées. Selon la catégorie de l’infraction, elles peuvent s’élever de 10 ou 20 millions d’euros, ou, dans le cas d’une entreprise, de 2% jusqu’à 4% du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.