Le R\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es a \u00e9t\u00e9 adopt\u00e9 le 27 avril 2016 et est applicable depuis le 25 mai 2018. Il s’agit d’une r\u00e9forme majeure du droit de la protection des donn\u00e9es en Europe. Avec la directive pr\u00e9vention et d\u00e9tection des infractions p\u00e9nales, il compose le \u00ab\u00a0paquet data\u00a0\u00bb qui vise \u00e0 harmoniser les r\u00e8gles de protection des donn\u00e9es, \u00e0 renforcer les droits des personnes et \u00e0 leur rendre le contr\u00f4le de leurs donn\u00e9es, ainsi qu’\u00e0 diffuser la conception europ\u00e9enne de la protection des donn\u00e9es via un effet extraterritorial.<\/p>\n\n
En ce qui concerne le droit fran\u00e7ais, l’un des grands changements introduits par le RGPD r\u00e9side dans le passage d’un r\u00e9gime administratif de formalit\u00e9s pr\u00e9alables \u00e0 un r\u00e9gime de conformit\u00e9 globale.<\/p>\n\n
Le RGPD est applicable au traitement de donn\u00e9es \u00e0 caract\u00e8re personnel. On entend par donn\u00e9es \u00e0 caract\u00e8re personnel toute information se rapportant \u00e0 une personne physique identifi\u00e9e ou identifiable. Il en va ainsi lorsque la personne peut \u00eatre identifi\u00e9e, directement ou indirectement, notamment par r\u00e9f\u00e9rence \u00e0 un identifiant tel qu’un nom, un num\u00e9ro d’identification, des donn\u00e9es de localisation, des \u00e9l\u00e9ments sp\u00e9cifiques propres \u00e0 son identit\u00e9 physique, physiologique, g\u00e9n\u00e9tique, psychiques, \u00e9conomiques, culturelles ou sociales. Les donn\u00e9es anonymis\u00e9es sont exclues du champ d’application du RGPD. En revanche, les donn\u00e9es pseudonymis\u00e9es reste qualifi\u00e9es de donn\u00e9es \u00e0 caract\u00e8re personnel car elles restent attach\u00e9es \u00e0 la personne concern\u00e9e. Les activit\u00e9s purement personnelles ou domestiques sont exclues du champ d’application de la r\u00e9glementation. Le l\u00e9gislateur fran\u00e7ais a utilis\u00e9 de la possibilit\u00e9 qui lui est donn\u00e9e d’introduire des dispositions sp\u00e9cifiques en retenant que le RGPD s’applique d\u00e8s lors que la personne concern\u00e9e par le traitement de donn\u00e9es r\u00e9side en France y compris lorsque le responsable du traitement n’est pas \u00e9tabli en France.<\/p>\n\n
Le responsable du traitement est la personne physique ou morale, l’autorit\u00e9 publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, d\u00e9termine les finalit\u00e9s et les moyens du traitement. Il s’agit donc de l’entit\u00e9 qui d\u00e9cide de la mise en \u0153uvre d’un traitement et qui en assume la responsabilit\u00e9. Le sous-traitant est d\u00e9fini comme la personne physique ou morale, l’autorit\u00e9 publique, le service ou un autre organisme qui traite des donn\u00e9es \u00e0 caract\u00e8re personnel pour le compte du responsable du traitement. Le sous-traitant doit \u00eatre distingu\u00e9 du destinataire des donn\u00e9es car il n’est pas autoris\u00e9 \u00e0 utiliser les donn\u00e9es pour son propre compte ou \u00e0 les communiquer \u00e0 un tiers \u00e0 son initiative, sauf dispositions l\u00e9gislatives ou r\u00e9glementaires le pr\u00e9voyant.<\/p>\n\n
Tout traitement des donn\u00e9es \u00e0 caract\u00e8re personnel doit respecter les principes fondamentaux \u00e9nonc\u00e9s \u00e0 l’article 6 du RGPD. Les donn\u00e9es sont collect\u00e9es pour des finalit\u00e9s d\u00e9termin\u00e9es explicites et l\u00e9gitimes la finalit\u00e9 correspond \u00e0 l’objectif poursuivi par le responsable du traitement. Une m\u00eame collecte de donn\u00e9es peut r\u00e9pondre \u00e0 plusieurs objectifs distincts. La ou les finalit\u00e9s doivent \u00eatre d\u00e9termin\u00e9es, explicite et l\u00e9gitime. Les donn\u00e9es doivent \u00eatre trait\u00e9es de mani\u00e8re licite, loyale et transparente au regard de la personne concern\u00e9e. Pour \u00eatre licite, un traitement doit reposer sur un fondement c’est \u00e0 dire r\u00e9pondre \u00e0 l’une des conditions \u00e9nonc\u00e9es \u00e0 l’article 6 du RGPD. La personne doit consentir aux traitements ou celui-ci doit \u00eatre n\u00e9cessaire\u00a0:<\/p>\n\n
– \u00e0 l’ex\u00e9cution de mesures contractuelles ou pr\u00e9contractuelles prises \u00e0 sa demande,<\/p>\n\n
– au respect d’une obligation l\u00e9gale s’imposant aux responsables du traitement,<\/p>\n\n
– pour la vie de la personne concern\u00e9e ou d’une autre personne,<\/p>\n\n
– \u00e0 une mission d’int\u00e9r\u00eat public ou relevant de l’exercice de l’autorit\u00e9 publique dont est investi le responsable du traitement.<\/p>\n\n
Le responsable de traitement est \u00e9galement tenu d’une obligation de minimiser les donn\u00e9es. Les donn\u00e9es doivent \u00eatre ad\u00e9quates, pertinentes et limit\u00e9es \u00e0 ce qui est n\u00e9cessaire au regard des finalit\u00e9s pour lesquelles elles sont trait\u00e9es. Ce principe est \u00e9galement appel\u00e9 principe de proportionnalit\u00e9.<\/p>\n\n
Les donn\u00e9es doivent \u00eatre exactes et si n\u00e9cessaire tenues \u00e0 jour. Toutes les mesures raisonnables doivent \u00eatre prises pour que les donn\u00e9es \u00e0 caract\u00e8re personnel qui sont inexactes soient effac\u00e9es ou rectifi\u00e9es sans tarder.<\/p>\n\n
Les donn\u00e9es sont conserv\u00e9es sous une forme permettant l’identification des personnes concern\u00e9es pendant une dur\u00e9e n’exc\u00e9dant pas celle n\u00e9cessaire au regard des finalit\u00e9s pour lesquelles elles seront trait\u00e9es. Les donn\u00e9es ne peuvent donc pas \u00eatre stock\u00e9es \u00e9ternellement mais seulement pour une dur\u00e9e d\u00e9termin\u00e9e.<\/p>\n\n
En outre, le responsable de traitement doit respecter le principe d’int\u00e9grit\u00e9 et de confidentialit\u00e9. Les donn\u00e9es doivent \u00eatre trait\u00e9es de fa\u00e7on \u00e0 garantir une s\u00e9curit\u00e9 appropri\u00e9e des donn\u00e9es \u00e0 caract\u00e8re personnel, y compris la protection contre le traitement non autoris\u00e9 ou licite et contre la perte, la destruction ou les d\u00e9g\u00e2ts d’origine accidentelle, \u00e0 l’aide de mesures techniques ou organisationnelles appropri\u00e9es.<\/p>\n\n
Tout responsable de traitement de donn\u00e9es \u00e0 caract\u00e8re personnel doit pour \u00eatre licite reposer sur un fondement. Le consentement des personnes concern\u00e9es est donn\u00e9 pour une ou plusieurs finalit\u00e9s sp\u00e9cifiques et l’un de ces fondements. Le consentement ne constitue pas un fondement juridique valable pour le traitement de donn\u00e9es \u00e0 caract\u00e8re personnel dans un cas particulier lorsqu’il existe un d\u00e9s\u00e9quilibre manifeste entre la personne concern\u00e9e et le responsable du traitement. Le consentement ne pourra pas \u00eatre libre si la personne n’est pas en mesure de refuser ou de retirer son consentement sans subir un pr\u00e9judice. Le consentement doit \u00eatre donn\u00e9 pour une finalit\u00e9 pr\u00e9cise et de mani\u00e8re granulaire. La personne concern\u00e9e doit avoir \u00e9t\u00e9 inform\u00e9e pr\u00e9alablement au recueil de son consentement afin de pouvoir le donner en connaissance de cause. La communication doit \u00eatre effectu\u00e9e dans un langage clair, accessible et compr\u00e9hensible. Le consentement doit \u00eatre donn\u00e9 par un acte positif clair. La personne a le droit de retirer son consentement \u00e0 tout moment et il doit \u00eatre aussi simple de le retirer que de le donner. Le traitement des donn\u00e9es n’est pas licite si l’enfant est \u00e2g\u00e9 de moins de 16 ans.<\/p>\n\n
Parmi les donn\u00e9es, certaines b\u00e9n\u00e9ficient d’une protection particuli\u00e8re car elles sont qualifi\u00e9es de sensibles. Il s’agit des donn\u00e9es r\u00e9v\u00e9lant \u00e0 l’origine raciale ou ethnique, des opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que le traitement des donn\u00e9es g\u00e9n\u00e9tiques, des donn\u00e9es biom\u00e9triques aux fins d’identifier une personne physique de mani\u00e8re unique, des donn\u00e9es concernant la sant\u00e9 ou des donn\u00e9es concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique. Par principe le traitement de ce type de donn\u00e9es est interdit. Il existe n\u00e9anmoins des exceptions lorsque la personne a donn\u00e9 son consentement explicite pour une ou plusieurs finalit\u00e9s sp\u00e9cifiques , si le traitement est n\u00e9cessaire aux fins de l’ex\u00e9cution des obligations et de l’exercice des droits propres aux responsables du traitement ou \u00e0 la personne concern\u00e9e en mati\u00e8re de droit du travail, de la s\u00e9curit\u00e9 sociale et de la protection sociale, dans la mesure o\u00f9 ce traitement est autoris\u00e9 par le droit de l’union, par le droit d’un Etat membre ou par une convention collective ; ou encore si le traitement est n\u00e9cessaire \u00e0 la sauvegarde des int\u00e9r\u00eats vitaux de la personne concern\u00e9e ou d’une autre personne physique.<\/p>\n\n
Le RGPD a introduit un principe dit de accountability<\/em>. Ce principe est souvent traduit en fran\u00e7ais par \u00ab\u00a0principe de responsabilit\u00e9\u00a0\u00bb. L’article 24 du RGPD pr\u00e9cise que le responsable du traitement met en \u0153uvre des mesures techniques et organisationnelles appropri\u00e9es pour s’assurer et \u00eatre en mesure de d\u00e9montrer que le traitement est effectu\u00e9 conform\u00e9ment au RGPD. Le responsable du traitement doit donc mettre en place des r\u00e8gles en interne afin de garantir le respect du RGPD. Les mesures doivent \u00eatre d\u00e9finies en tenant compte de la nature, de la port\u00e9e, du contexte et des finalit\u00e9s du traitement ainsi que des risques, dont le degr\u00e9 de probabilit\u00e9 et de gravit\u00e9 varie, pour les droits et libert\u00e9s des personnes physiques. Il s’agit donc d’un processus dynamique de mise en conformit\u00e9 permanent. Ce principe se traduit par la d\u00e9finition de politique de protection des donn\u00e9es et de s\u00e9curit\u00e9 des syst\u00e8mes d’information, d’un registre des activit\u00e9s de traitement et des violations de donn\u00e9es et par la prise en compte des principes de responsabilit\u00e9.<\/p>\n\n Le RGPD introduit diff\u00e9rents droits pour les personnes concern\u00e9es et notamment\u00a0:<\/p>\n\n La circulation des donn\u00e9es est une des pr\u00e9occupations majeures du l\u00e9gislateur europ\u00e9en. Le RGPD r\u00e9pond \u00e0 cette question au sein de l’Union europ\u00e9enne cependant, ils posent des limites \u00e0 un transfert de donn\u00e9es hors de l’Union europ\u00e9enne. Si le transfert illicite dans l’espace \u00e9conomique europ\u00e9en ainsi que dans l’association europ\u00e9enne de libre-\u00e9change, il est plus compliqu\u00e9 en dehors de ces espaces. Certains pays ont une r\u00e9glementation reconnue comme \u00e9tant \u00e9quivalente par le l\u00e9gislateur europ\u00e9en. Lorsque cela n’est pas le cas, les entreprises peuvent proc\u00e9der au transfert de donn\u00e9es si elles mettent en place des r\u00e8gles internes au groupe les obligeant \u00e0 respecter le RGPD. Ainsi, avec les Etats-Unis, le l\u00e9gislateur europ\u00e9en a d’abord reconnu l’\u00e9quivalence du droit am\u00e9ricain, puis le droit europ\u00e9en est revenu sur cette d\u00e9cision avant que les pouvoirs europ\u00e9ens ne reconnaissent une \u00e9quivalence entre les deux syst\u00e8mes (suite \u00e0 une r\u00e9forme du droit am\u00e9ricain). Il est donc n\u00e9cessaire de veiller r\u00e9guli\u00e8rement \u00e0 l’\u00e9tat du droit lorsque l’on effectue des transferts internationaux de donn\u00e9es.<\/p>\n\n En cas de violation du RGPD, les sanctions peuvent s’\u00e9lever \u00e0 un montant de 2.000.000 d’euros ou de 4% du chiffre d’affaires mondial de l’exercice pr\u00e9c\u00e9dent, le montant sup\u00e9rieur \u00e9tant applicable.<\/p>\n\n Pour toute question concernant le droit des donn\u00e9es personnelles, le cabinet se tient \u00e0 votre disposition.<\/p>\n\n Liens utiles\u00a0:<\/p>\n\n Site de la CNIL\u00a0: RGPD : de quoi parle-t-on ? | CNIL<\/a><\/p>\n\n Etude sur l\u2019impact \u00e9conomique du RGPD\u00a0: Impact \u00e9conomique du RGPD : une recension (la-rem.eu)<\/a><\/p>\n\n\n