Accompagnement à la mise en conformité RGPD

Non, le RGPD doit être au cœur des préoccupations d'une entreprise, qu'elle soit privée ou publique. Il s'applique aux données numériques (traitées par un site web, un système d'information, etc.), mais aussi aux données stockées sur des supports papier, dans les bureaux.

En 2019, la CNIL a enregistré plus de 14 000 plaintes pour des suspicions de non respect du RGPD. Les sanctions financières et administratives liées au non-respect du RGPD sont réelles et de plus en plus appliquées. Elles peuvent atteindre 4% du chiffre d’affaires consolidé pour une entreprise.

L'article 4 §1 du RGPD indique qu'on désigne par données à caractère personnel, toute information se rapportant à une personne physique identifiée ou identifiable .

Ainsi, est réputée être une personne physique identifiable une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.

Par exemple : est considérée comme DCP toute donnée relative à une personne physique (identité, adresse postale, coordonnées téléphoniques, données ressources humaines, données de nature sociale…) quel que soit son statut (client, fournisseur, prestataire, salarié, prospect…).

Le G29 a par ailleurs ajouté la notion de données à caractère hautement personnel. Ces données à caractère personnel sont considérées comme sensible (au sens commun du terme) dans la mesure où elles sont liées à des activités domestiques et privées (communications électroniques dont la confidentialité doit être protégée, par exemple), dans la mesure où elles ont un impact dans l’exercice d’un droit fondamental (données de localisation dont la collecte met en cause la liberté de circulation, par exemple) ou dans la mesure où leur violation aurait clairement des incidences graves dans la vie quotidienne de la personne concernée (données financières susceptibles d’être utilisées pour des paiements frauduleux, par exemple).

Le RGPD nomme traitement, toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction. Le traitement s'applique aux données numériques mais aussi aux données papier.

Le RGPD précise qu'un traitement est licite si, au moins une des conditions suivantes est remplie :

• La personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques.
• Le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci.
• Le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis.
• Le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique.
• Le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement.
• Le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel.

Suivant votre système de gouvernance, vous pouvez choisir de demander à un DPO externalisé de vous accompagner pour vous mettre en conformité au RGPD ou proposer ces nouvelles responsabilités à un collaborateur de votre entreprise. En tous les cas, piloter un projet tel que la compliance au règlement européen sur la protection des données personnelles nécessite de faire appel à une personne de confiance dont la réputation vous sécurise.

En fonction de votre secteur d’activité, de votre avancée dans les étapes de mise en conformité et du consultant avec qui vous décidez de travailler, les tarifs d’un DPO externalisé pour l’accompagnement à la mise en conformité RGPD pourront varier.

La CNIL veille à la protection des données personnelles contenus dans les fichiers numériques ou papiers aussi bien publics que privés. Ses missions :

• La CNIL vous aide à maîtriser vos données personnelles et à exercer vos droits.
• En cas de difficultés vous pouvez également adresser une plainte ou une réclamation à la CNIL.
• La CNIL a un rôle de conseiller auprès des pouvoirs publics et des professionnels. Pour vous dire comment rédiger ou comment respecter le RGPD et vous assister dans votre mise en conformité.
• La CNIL peut aussi agir en tant qu’autorité de contrôle auprès des organismes et les mettre en demeure ou les sanctionner s’ils ne respectent pas la réglementation en vigueur.

Toute personne renseignant ses données personnelles est soumise à une certaine politique de confidentialité, souvent régie par des règles communes (notamment le droit à l’oubli, la durée de conservation des données, le refus du traitement automatisé de données comme le profilage (qui consiste à traiter les données pour prédire les comportements), etc.) qui la protège en lui garantissant une sécurité et une utilisation appropriée des données.

Le non-respect du règlement entraînera bien entendu des sanctions voire des condamnations. Le montant des sanctions pécuniaires peut s’élever jusqu’à 20 millions d’euros ou dans le cas d’une entreprise jusqu’à 4 % du chiffre d’affaires annuel mondial. C’est pourquoi nous vous recommandons fortement un accompagnement à la mise en conformité RGPD pour être parfaitement irréprochable et ne subir aucune sanction.