Qu'est-ce que le RGPD ?
Le Règlement Général sur la Protection des Données, ou RGPD, unifie les lois sur la confidentialité des données à travers l'Union Européenne (UE). Le Parlement européen a approuvé le RGPD le 14 avril 2016, et il est entré en vigueur le 25 mai 2018.
Le RGPD a remplacé l'ancienne Directive sur la protection des données de l'UE de 1995. Le RGPD se concentre sur la transparence des entreprises et élargit les droits à la vie privée des personnes concernées. Chaque fois qu'une violation de données est détectée, le RGPD exige que l'entreprise informe les autorités de surveillance et toutes les personnes concernées dans les 72 heures.
Il est obligatoire pour tous les citoyens de l'UE et les entreprises qui traitent, stockent ou gèrent les données des citoyens de l'UE de se conformer au RGPD. Cela s'applique également indépendamment du fait qu'ils soient citoyens de l'UE ou non. Le RGPD impose également des pénalités en cas de non-conformité. De nombreuses organisations utilisent des logiciels de gestion de la confidentialité des données pour gérer la confidentialité des personnes concernées et cartographier les données sensibles.
Principes du RGPD
Quiconque traite des données doit le faire conformément aux principes de protection et de responsabilité énoncés dans l'Article 5.1-2. Voici les sept principes de base du RGPD qui guident ses règles et règlements.
- Légalité, équité et transparence. Les personnes concernées doivent être informées de la manière exacte dont leurs données seront utilisées.
- Limitation des finalités. Les données peuvent être collectées et traitées à des fins légitimes. Par exemple, traiter un contrat où la personne concernée est impliquée.
- Minimisation des données. Seules les données essentielles peuvent être collectées.
- Exactitude des données. Les organisations collectant des données doivent garantir leur exactitude et leur actualité. Les données doivent être supprimées ou modifiées à la demande de la personne concernée.
- Limitation de la conservation. Le RGPD déconseille de conserver les données collectées plus longtemps que nécessaire.
- Intégrité et confidentialité. Les données personnelles doivent être protégées par des mesures appropriées. Elles doivent être sécurisées et protégées contre le vol ou l'utilisation non autorisée.
- Conformité des données. Les collecteurs de données sont responsables de garantir la conformité au RGPD.
Plusieurs droits spécifiques des personnes concernées selon les sept principes du RGPD sont discutés ci-dessous.
- Le droit à l'oubli. Les personnes concernées peuvent demander que les informations personnellement identifiables (PII) soient supprimées du stockage d'une entreprise. Cependant, si l'entreprise peut démontrer avec succès une base légale pour conserver les données, elle a le droit de refuser les demandes.
- Le droit d'accès. Les données stockées sont accessibles aux personnes concernées pour examen.
- Le droit d'opposition. Les personnes concernées peuvent refuser l'utilisation ou le traitement de leurs données personnelles. Si une entreprise satisfait aux conditions légales pour traiter les données personnelles, elle peut ignorer le refus. Cependant, elle doit en informer la personne concernée et expliquer son raisonnement.
- Le droit de rectification. Les corrections d'informations personnelles incorrectes sont possibles à la demande des personnes concernées.
- Le droit à la portabilité. L'accès et le transfert des informations personnelles des personnes concernées sont possibles à la discrétion de la personne concernée.
Comment se conformer au RGPD
Le RGPD informe les collecteurs de données sur les résultats attendus d'une gestion des données excellente et responsable. Cependant, il ne définit pas de mesures techniques spécifiques. Voici quelques meilleures pratiques qui aident les entreprises à se conformer au RGPD.
- Il est important de demander avant de collecter des données personnelles. Les personnes concernées doivent être des participants volontaires.
- Les organisations doivent ne collecter que ce dont elles ont besoin. Elles sont responsables de la collecte et de l'utilisation.
- Les entreprises ne doivent pas partager les données avec d'autres sans le consentement des utilisateurs et l'approbation des autorités de surveillance.
- Il est essentiel de chiffrer toutes les données personnelles au repos et en transit.
- Il est préférable d'avoir deux copies de sauvegarde sécurisées des données personnelles à deux emplacements hors site.
- Les entreprises doivent être capables de modifier ou de supprimer facilement des éléments spécifiques de données personnelles en utilisant les outils nécessaires pour vérifier et documenter les actions.
Portée du RGPD
La conformité à la portée du RGPD est relativement large. Par conséquent, qu'une entreprise soit située à l'intérieur de l'UE ou ait un bureau en dehors de l'UE, il est crucial de comprendre comment elle relève du RGPD si elle traite les données des citoyens de l'UE.
Voici deux façons dont une entreprise relève du domaine du RGPD :
- Portée matérielle : L'article 2 définit la portée matérielle du RGPD pour le traitement des données personnelles. Selon la portée matérielle, même si le centre de traitement (un processeur) n'est pas dans l'UE, il relève toujours du RGPD.
- Portée territoriale : L'article 3 du RGPD explique la portée territoriale du RGPD et comment elle est largement classée en deux segments : l'article 3(1) et l'article 3(2). La portée territoriale se réfère au moment où les entreprises situées dans la région de l'UE traitent les informations personnelles des personnes concernées.
Amendes du RGPD pour non-conformité
Les pénalités pour non-conformité sont sévères. Plusieurs critères sont évalués pour déterminer les frais appropriés, y compris la durée de la violation, le nombre de personnes concernées affectées et la gravité de la violation.
Qu'une violation de données soit causée par négligence ou intention influence également les pénalités. Maintenir des dossiers inadéquats de collecte et de traitement des données personnelles peut entraîner une amende de €10 millions d'euros ou 2% du chiffre d'affaires annuel, avec des amendes pouvant atteindre €20 millions ou jusqu'à 4% du chiffre d'affaires annuel pour une non-conformité complète.
RGPD vs. CCPA
Le RGPD et le California Consumer Privacy Act (CCPA) sont des lois de conformité qui protègent les données des utilisateurs contre l'accès et le traitement non autorisés.
Le CCPA est souvent appelé "GDPR lite" dans les communautés de conformité. Alors que le RGPD protège les données et la vie privée de l'UE, le CCPA est la loi sur la protection des données et la vie privée pour les résidents de Californie.
Le RGPD exige que les entreprises aient des bases légales pour le traitement des données, comme le consentement. Le CCPA n'a pas une telle exigence mais se concentre sur la création de transparence et l'éducation des utilisateurs sur leurs droits en matière de données.
En savoir plus sur les logiciels de gestion de la confidentialité des données et combien de temps il faut pour les mettre en œuvre.
Sagar Joshi
Sagar Joshi is a former content marketing specialist at G2 in India. He is an engineer with a keen interest in data analytics and cybersecurity. He writes about topics related to them. You can find him reading books, learning a new language, or playing pool in his free time.
