À l’ère du numérique, les organisations collectent et traitent un volume croissant de données personnelles : formulaires en ligne, inscriptions numériques, enquêtes ou services connectés. Cette accumulation d’informations impose un cadre juridique strict afin de garantir la protection de la vie privée des individus.

Le Règlement Général sur la Protection des Données (RGPD) constitue aujourd’hui le texte de référence au sein de l’Union européenne pour encadrer l’utilisation des données personnelles. Il s’impose à toutes les organisations traitant des données relatives aux personnes physiques.

Il est donc essentiel d’en rappeler les principes fondamentaux.

Qu’est-ce que le RGPD ?

Le Règlement Général sur la Protection des Données (RGPD) vise trois objectifs principaux :

• renforcer le contrôle des individus sur leurs données personnelles ;

• responsabiliser les organisations qui collectent et traitent ces données ;

• harmoniser le cadre juridique de la protection des données au sein de l’Union européenne.

Entré en application le 25 mai 2018, ce règlement européen impose aux organisations une approche structurée et responsable de la gestion des données.

Qui est concerné par le RGPD ?

Le RGPD s’applique à toutes les organisations, publiques ou privées, qui traitent des données personnelles :

• lorsqu’elles sont établies sur le territoire de l’Union européenne, ou

• lorsque leurs activités visent des résidents européens, même si l’organisation est située hors de l’Union européenne.

Ainsi, entreprises, associations, administrations ou collectivités sont concernées dès lors qu’elles collectent ou utilisent des données personnelles.

Qu’est-ce qu’une donnée personnelle ?

Selon l’article 4 du RGPD, une donnée personnelle est :

« toute information se rapportant à une personne physique identifiée ou identifiable ».

Une personne peut être identifiée directement ou indirectement, notamment par :

• un nom ou un prénom ;

• une adresse e-mail ;

• une photographie ;

• une adresse IP ;

• un identifiant numérique ;

• ou toute information permettant d’identifier une personne.

Dès lors qu’une organisation collecte ou traite ce type d’informations, elle est soumise aux règles du RGPD.

Les principales obligations des organisations

Respecter le principe de licéité

Tout traitement de données personnelles doit reposer sur une base légale prévue par le RGPD.

Le règlement prévoit six bases juridiques possibles :

• le consentement de la personne ;

• l’exécution d’un contrat ;

• le respect d’une obligation légale ;

• la protection des intérêts vitaux ;

• l’exécution d’une mission d’intérêt public ;

• l’intérêt légitime poursuivi par l’organisation.

Avant toute collecte de données, une organisation doit être en mesure de répondre à une question essentielle :

sur quelle base légale repose ce traitement ?

À défaut, le traitement est considéré comme illicite.

Définir une finalité précise et légitime

La finalité correspond à l’objectif pour lequel les données sont collectées.

Le RGPD impose que chaque traitement soit associé à une finalité :

• déterminée

• explicite

• légitime

Par exemple : collecter une adresse e-mail pour l’envoi d’une newsletter.

Les données ne doivent jamais être collectées sans objectif précis ou pour un usage indéterminé.

Appliquer le principe de minimisation

Les organisations doivent collecter uniquement les données strictement nécessaires à la réalisation de leur objectif.

Exemple :

Pour l’envoi d’une newsletter, il est généralement suffisant de collecter :

• un prénom ;

• une adresse e-mail.

Collecter des informations supplémentaires (adresse postale, situation familiale, etc.) serait excessif et contraire au principe de minimisation.

Sécuriser les données

Les organisations doivent mettre en place des mesures techniques et organisationnelles appropriées pour garantir la sécurité des données.

Cela implique notamment :

• la protection contre les accès non autorisés ;

• la prévention des pertes accidentelles ;

• la limitation des risques de fuite de données ;

• la sécurisation des systèmes informatiques.

La sécurité des données constitue un pilier essentiel de la conformité au RGPD.

Définir une durée de conservation limitée

Les données personnelles ne peuvent pas être conservées indéfiniment.

Le RGPD impose qu’elles soient conservées uniquement pendant la durée nécessaire à la finalité du traitement.

Par exemple, selon les recommandations de la CNIL, les CV de candidats non retenus ne devraient pas être conservés plus de deux ans dans une base de données de recrutement.

À l’issue de cette période, les données doivent être :

• supprimées ;

• ou anonymisées.

Informer clairement les personnes concernées

Le RGPD impose un principe de transparence.

Les personnes dont les données sont collectées doivent être informées de manière claire et accessible :

• de l’identité du responsable du traitement ;

• de la finalité de la collecte ;

• de la durée de conservation ;

• des destinataires des données ;

• des droits dont elles disposent.

Cette information figure généralement dans une politique de confidentialité.

Faciliter l’exercice des droits

Le RGPD garantit aux individus plusieurs droits sur leurs données :

• droit d’accès ;

• droit de rectification ;

• droit d’effacement ;

• droit d’opposition ;

• droit à la limitation du traitement ;

• droit à la portabilité des données.

Les organisations doivent permettre l’exercice de ces droits facilement et gratuitement.

Par exemple, un utilisateur doit pouvoir se désinscrire d’une newsletter via un lien accessible dans chaque message.

Pourquoi se conformer au RGPD ?

La conformité au RGPD ne constitue pas seulement une obligation légale.

Elle permet également :

• de renforcer la confiance des utilisateurs et partenaires ;

• de limiter les risques juridiques et financiers ;

• de réduire les risques liés aux cyberattaques ;

• d’améliorer la gestion interne des données.

Dans un environnement numérique où la protection de la vie privée devient un enjeu majeur, la conformité au RGPD représente également un avantage stratégique pour les organisations.

Bonnes pratiques pour rester conforme

Plusieurs actions simples permettent d’améliorer la conformité :

• nettoyer régulièrement les bases de données ;

• vérifier les formulaires et mentions d’information ;

• réaliser des audits internes ;

• mettre à jour les procédures de sécurité.

Une démarche proactive permet de limiter les risques et de démontrer l’engagement de l’organisation en matière de protection des données.

Références :

– Règlement (UE)2016/679 du parlement  européen et du conseil du 27 avril 2016  : Règlement – 2016/679 – FR – rgdp – EUR-Lex

– CNIL, RGPD : par où commencer ? | CNIL

– CNIL, Cybersécurité : les bénéfices économiques du RGPD | CNIL

Le Règlement Général sur la Protection des Données (RGPD)

Anonyme