GDPR, ce qui changera ou pas !
Pour toute l’UE, ce nouveau texte modifie l’état du droit
relatif à la protection des données à caractères personnels avec une hausse du
niveau d’exigences et de nouvelles obligations.
Quelles sont les nouvelles obligations concernées par la GDPR
? L'essentiel de ce qu'il faut savoir sur une nouvelle réglementation qui ne
change pas fondamentalement la réglementation française actuelle.
Petit rappel : L'entreprise ne peut traiter n'importe comment une donnée à caractère
personnelle (données qui peuvent identifier une personne. Exemple : immatriculation
d'un véhicule, numéro de téléphone, nom, prénom, …). Elles sont protégées. Des
droits sont donnés à la personne et donnent des obligations à ceux qui vont les
traiter.
L'entreprise doit pouvoir justifier les bases légales sur lesquelles elle s’appuie pour collecter les données. Les bases légales sont les suivantes : l'exécution du contrat (je collecte et je traite CES données parce qu'elles sont OBLIGATOIRES pour le SERVICE ou le PRODUIT que je propose), le consentement de la personne (je collecte et je traite CES données parce que la PERSONNE ACCEPTE que j'en fasse tel USAGE LÉGITIME), l'obligation légale (je collecte et je traite CES données parce que je SUIS OBLIGE de le faire LÉGALEMENT).
L'entreprise doit pouvoir justifier les bases légales sur lesquelles elle s’appuie pour collecter les données. Les bases légales sont les suivantes : l'exécution du contrat (je collecte et je traite CES données parce qu'elles sont OBLIGATOIRES pour le SERVICE ou le PRODUIT que je propose), le consentement de la personne (je collecte et je traite CES données parce que la PERSONNE ACCEPTE que j'en fasse tel USAGE LÉGITIME), l'obligation légale (je collecte et je traite CES données parce que je SUIS OBLIGE de le faire LÉGALEMENT).
Principe de finalité : L’entreprise ne doit pas collecter une donnée dont elle n’a pas l’usage. Exemple : un assureur demandant la couleur des cheveux pour établir un devis d’assurance santé.
Le principe de finalité implique que les données soient pertinentes et adéquates vis-à-vis de son activité et que cette finalité soit clairement identifiée et soit légitime.
Les données doivent être pertinentes et non excessives.
Le principe de finalité implique que les données soient pertinentes et adéquates vis-à-vis de son activité et que cette finalité soit clairement identifiée et soit légitime.
Les données doivent être pertinentes et non excessives.
Droit à l’oubli et durée de conservation :
Quand le contrat avec la personne cesse ont doit supprimer les données de la personne.(SAUF si je dois conserver une trace pour une prescription, une garantie qui continue dans le temps, si je dois conserver cette donnée) Il faut surtout penser à définir une durée maximale.
Le risque est une amende basée en pourcentage du CA de la société (2 à 4%)
Quand le contrat avec la personne cesse ont doit supprimer les données de la personne.(SAUF si je dois conserver une trace pour une prescription, une garantie qui continue dans le temps, si je dois conserver cette donnée) Il faut surtout penser à définir une durée maximale.
Le risque est une amende basée en pourcentage du CA de la société (2 à 4%)
Le droit à l’information, le droit d’accès, le droit de
rectification et le droit d’opposition :
Exemple, une personne identifiée qui voit sa navigation sur le site, enregistrée, l’entreprise doit être en mesure de lui fournir ces informations si elle le lui réclame. Le principe est que la personne doit pouvoir accéder à ses informations et doit pouvoir les rectifier. Elle peut également s'opposer à la détention de ses informations et exiger leurs suppressions, si elles ne sont pas nécessaires ou plus nécessaire, (un assureur ne vas pas effacer l'immatriculation d'un véhicule assuré car il ne saurait plus ce qu'il assure).
Exemple, une personne identifiée qui voit sa navigation sur le site, enregistrée, l’entreprise doit être en mesure de lui fournir ces informations si elle le lui réclame. Le principe est que la personne doit pouvoir accéder à ses informations et doit pouvoir les rectifier. Elle peut également s'opposer à la détention de ses informations et exiger leurs suppressions, si elles ne sont pas nécessaires ou plus nécessaire, (un assureur ne vas pas effacer l'immatriculation d'un véhicule assuré car il ne saurait plus ce qu'il assure).
Le volet sécurité : La sécurité des données est à
renforcer selon le risque encouru. Exemple un pacemaker connecté avec une
interface, le risque est la mort si les réglages sont modifiés par un tiers mal
intentionné.
Le droit de réponse passe à 1 mois au lieu de 2.
La portabilité : le droit de récupérer les données (changement d’une banque à une autre, …). Cela oblige les entreprises à mettre à la disposition de ses clients leurs données. Le client peut demander si c'est techniquement possible que ces données soient directement transmises à une autre entreprise en cas de changement de prestataire actionné par le client.
Le droit à l'information des personnes est renforcé avec l’extension du
principe de transparence : Il faudra pouvoir apporter à la personne les informations suivantes : Qui
traite les données ? À quoi elles vont servir ? Combien de temps
va-t-on les garder ? Quelle sont les bases légales qui justifient que
l’entreprise collecte ces données ? Y a-t-il des algorithmes qui les
exploitent ?
La sous traitance : la responsabilité de l'entreprise
est engagée au travers de son sous traitant.
Pour aller plus loin, voici l'excellent article du cabinet d'avocat Metalow, lisez la prose de la CNIL ou l'infographie du site Ecommercemag.fr venant de Sarbacane ci-dessous :
Pour aller plus loin, voici l'excellent article du cabinet d'avocat Metalow, lisez la prose de la CNIL ou l'infographie du site Ecommercemag.fr venant de Sarbacane ci-dessous :
Commentaires
Enregistrer un commentaire
Nous espérons que l'article vous a intéressé et qu'il vous inspirera un commentaire.