Le RGPD (règlement général sur la protection des données, GDRP en anglais) est un règlement européen entré en vigueur le 24 mai 2016. Il deviendra obligatoire le 25 mai 2018, les entreprises ont 2 ans pour se mettre en conformité. C’est un changement majeur à la suite de la directive données personnelles de 1995, au tout début d’Internet alors que des sujets aujourd’hui au cœur du débat législatif : protection de la vie privée, droit à l’oubli, ou encore surveillance n’étaient pas ou peu abordés.
Pour les utilisateurs, les principaux changements sont le droit de refuser le traitement de ses données, d’avoir un droit de regard sur celles-ci, et d’avoir sa vie privée protégée. Pour les entreprises, harmonisation entre pays de l’UE, contraignant également pour les entreprises extra-européennes du moment qu’elles traitent les données de personnes physiques citoyennes européennes, et besoin de protection systématique des données, sanctions plus élevées en cas de non-respect.
Vous devez alors obligatoirement nommer un « Délégué à la Protection des Données » responsable vie privée et sécurité des données. Ce dernier doit être l’interlocuteur privilégié entre votre entreprise et la CNIL, mais également face aux interrogations des employés. Il est possible que ce rôle soit externalisé.
Ce genre d’information est indispensable dans la nouvelle loi, et vous permet également d’avoir une meilleure visibilité sur vos données.
La RGPD touche aussi bien l’entreprise que ses sous-traitants, il est indispensable que la sécurité et la vie privée soient garanties chez les deux acteurs. Prenez-contact avec eux pour savoir quels processus et quels engagements ils respectent, et engagez-le contractuellement.
Si le RGPD ne cible pas spécifiquement les employés, ils devront tous faire bien attention aux modalités de traitement des données, car les erreurs commises risquent de fragiliser toute l’entreprise.
Les services de cookie, analytics, etc. permettent d’identifier les utilisateurs, ils doivent donc être traités en conformité avec la loi. Il n’est plus possible de suivre systématiquement les utilisateurs pour un but aussi large que possible, et sans leur donner la possibilité de refuser.
La CNIL propose gratuitement un outil appelé PIA.
Le départ du Royaume-Uni n’a lieu qu’en 2019, et le RGPD a été voté avant même le referendum donc oui, les entreprises et citoyens britanniques sont également concernés. On ne sait pas si le « repel bill » annulera également ce règlement, mais c’est peu probable, les états de l’EEE comme l’Islande devant également s’y conformer, et le droit national britannique prévoyant déjà la protection des données.
Non, il faudra obtenir leur consentement explicite à l’envoi. Cependant, cela permet une communication beaucoup plus efficace.
Augustin D.
