Qu'est-ce que le RGPD ?

Définition

Une donnée personnelle est toute information sur une personne identifiable. Deux rôles comptent : le responsable du traitement décide pourquoi et comment les données sont utilisées, et le sous-traitant les traite pour son compte.

La géographie peut surprendre. Selon l'article 3, une entreprise hors de l'UE est concernée si elle propose des biens ou des services à des personnes dans l'UE ou y suit leur comportement.

Pourquoi c'est important

L'article 83 permet des amendes allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu, pour les violations les plus graves.

La pression quotidienne vient pourtant souvent des ventes. Les acheteurs veulent un accord de sous-traitance et des informations de sécurité avant de signer.

Comment ça fonctionne

Tenez le registre de vos activités de traitement (article 30). Donnez à chacune une finalité et l'une des six bases légales de l'article 6 : consentement, contrat, obligation légale, intérêts vitaux, mission d'intérêt public ou intérêts légitimes.

Appliquez les principes de l'article 5, informez les personnes de ce que vous faites, et répondez à leurs demandes d'accès, de rectification, d'effacement et autres, en général dans un délai d'un mois (article 12).

Viennent ensuite la sécurité (article 32), les contrats avec les sous-traitants (article 28) et la notification à l'autorité d'une violation à signaler dans les 72 heures (article 33).

Un cas concret

Un cabinet de recrutement inscrit une activité pour les candidatures. La base légale est l'exécution de mesures précontractuelles. La conservation est de deux ans après le dernier contact, avec une note expliquant pourquoi, et le destinataire est son logiciel de suivi des candidats, couvert par un contrat de sous-traitance.

Quand un candidat demande une copie de ses données, la demande est consignée et traitée en trois semaines.

Bonnes pratiques

• Mettez à jour le registre au fil des projets, tant que les gens se souviennent des détails.
• Choisissez la base légale avant le début du traitement, car il est difficile d'en changer ensuite.
• Fixez une durée de conservation pour chaque finalité, puis supprimez réellement.
• Répétez une violation et une demande d'une personne, car les deux arrivent avec un délai.
• Vérifiez où chaque sous-traitant stocke les données et quel outil de transfert s'applique.

Erreurs fréquentes

• Utiliser le consentement partout. Il peut être retiré à tout moment, et une autre base convient souvent mieux.
• Copier une politique de confidentialité qui ne correspond pas à ce que vous faites, ce qui transforme un problème de paperasse en manquement à la transparence.
• Garder des données « au cas où », contre le principe de limitation de la conservation.
• Oublier qu'un ordinateur portable perdu peut être une violation de données personnelles.

Questions

Le RGPD s'applique-t-il aux petites entreprises ?

Oui. La taille n'allège que certaines obligations, comme la dispense limitée de registre prévue à l'article 30(5).

Un délégué à la protection des données est-il obligatoire ?

Seulement dans les cas de l'article 37 : autorités publiques, suivi régulier à grande échelle, et traitement à grande échelle de catégories particulières de données.

Toute violation de données personnelles doit-elle être notifiée ?

Non. Elle est notifiée à l'autorité sauf si elle est peu susceptible d'engendrer un risque pour les personnes, et aux personnes concernées quand le risque est élevé (article 34). Toutes les violations doivent être consignées en interne.

Peut-on transférer des données personnelles hors de l'UE ?

Oui, selon le chapitre V : une décision d'adéquation, des garanties appropriées comme les clauses contractuelles types, ou des dérogations limitées.

Quelle différence entre responsable du traitement et sous-traitant ?

Le responsable décide des finalités et des moyens. Le sous-traitant agit sur ses instructions et a ses propres obligations directes.