Fiche pratique
Vérifié le 01/04/2022 - Direction de l'information légale et administrative (Première ministre), Ministère chargé de la justice
La collecte et le traitement de données personnelles (nom, prénom, adresse, numéro de sécurité sociale, etc.) par les entreprises sont soumis à des obligations destinées à protéger la vie privée et les libertés individuelles des personnes dont les données sont collectées.
Il s'agit de toutes informations se rapportant à une personne physique identifiée ou identifiable, directement ou non, grâce à un ou plusieurs éléments permettant de le rattacher personnellement à une donnée.
C'est le cas par exemple d'un nom, d'un prénom, d'un numéro de téléphone, d'une adresse électronique, d'un numéro de carte d'identité et/ou de sécurité sociale, d'une adresse IP, d'une photo, d'un profil sur un réseau social.
Les règles de protection des données personnelles s'appliquent en cas de collecte, d'utilisation et de conservation quelque soit le support adopté (papier, numérique,...).
Le traitement de données personnelles consiste en toute opération portant sur des données personnelles, quel que soit le procédé utilisé (enregistrer, organiser, conserver, modifier, rapprocher avec d'autres données, transmettre, etc...ces données).
Par exemple, il peut s'agir d'une intégration dans un mailing pour un démarchage commercial, d'envoi d'informations ciblées ou d'une newsletter ou de cookies de navigation, etc.
À savoir
Un traitement de données à caractère personnel peut être informatisé ou non. Un fichier papier organisé selon un plan de classement, des formulaires papiers nominatifs ou des dossiers de candidatures classés par ordre alphabétique ou chronologique sont aussi des traitements de données personnelles.
Pour mettre en œuvre le traitement, le professionnel doit, le plus souvent, recueillir le consentement de la personne dont les données sont collectées.
Toutefois, le recueil du consentement n'est pas toujours exigé. C'est le cas notamment lorsque le traitement est nécessaire à l’exécution ou à la préparation d’un contrat avec la personne. Il en va de même lorsque le traitement est imposé par un texte de loi.
Exemple
En tant qu’employeur, un professionnel être amené à collecter des informations concernant ses salariés pour procéder à des recrutements, calculer les horaires de travail ou encore établir la fiche de paie.
De plus, les données personnelles doivent répondre aux conditions suivantes :
Le RGPD s'applique à tous les organismes qui procèdent au traitement de données à caractère personnel, quelle que soit leur implantation géographique.
Les personnes suivantes sont ainsi concernées :
En pratique, le règlement de protection des données s'applique donc à chaque fois qu'un résident européen, quelle que soit sa nationalité, est directement visé par une collecte ou un traitement de données. Y compris par internet ou par le biais d'objets connectés (appareils domotiques, objets mesurant l'activité physique par exemple).
Le responsable du traitement des données doit mettre en œuvre les mesures de sécurité des locaux et des systèmes d'information pour empêcher que les fichiers soient déformés, endommagés ou que des tiers non autorisés y aient accès.
À savoir
La CNIL met à votre disposition un guide pratique rappellant les précautions élémentaires à mettre en oeuvre pour être en conformité avec le RGPD.
Le responsable doit prendre toutes les mesures nécessaires au respect de la protection des données personnelles dès la conception du produit ou du service.
Ainsi, il est obligé de limiter la quantité de données traitées dès le départ (principe dit de minimisation) et doit démontrer cette conformité à tout moment.
L'accès aux données est réservé uniquement aux personnes désignées ou à des tiers qui détiennent une autorisation spéciale et ponctuelle (service des impôts par exemple..
Le responsable des données doit fixer une durée raisonnable de conservation des informations personnelles.
À noter
Les obligations déclaratives sont toutes supprimées, sauf exceptions prévues par le droit national (certains traitements dans le secteur de la santé ou de la sécurité publique mis en œuvre pour le compte de l'État).
L'entreprise qui détient des données personnelles doit informer la personne concernée des informations suivantes :
À noter
France Num met à votre disposition un mode d'emploi pour garantir la conformité de votre fichier client au RGPD.
La personne qui traite les données personnelles (un commerçant en ligne par exemple) doit respecter certaines obligations. Notamment :
L'objectif de la collecte d'informations doit être déterminé, et les données collectées doivent correspondre à cet objectif.
À savoir
l'âge à partir duquel un mineur peut consentir seul au traitement de ses données personnelles (majorité numérique) pour utiliser un service sur internet (les réseaux sociaux par exemple), est fixée à 15 ans. L'autorisation des parents est nécessaire avant cet âge. L'information sur le traitement de données du mineur doit être rédigée en termes clairs et simples.
Dès lors que le traitement des données présente un risque pour les droits et libertés des personnes, le responsable du traitement doit mener une analyse d'impact sur la vie privée (PIA).
Cette analyse d'impact vise à évaluer l'origine, la nature, la particularité et la gravité de ce risque sur les droits et les libertés des personnes.
Si l'étude d'impact met en évidence un risque élevé (par exemple : utilisation de données bancaires ou usurpation d'identité) pour les personnes malgré les mesures mises en place pour en diminuer l'impact, la Cnil doit être informée.
L'évaluation dans le cadre de l'analyse d'impact doit porter sur les éléments suivants :
À noter
les transferts de données hors de l'UE ne sont plus interdits, mais ils doivent respecter plusieurs conditions, notamment que le pays tiers présente un niveau de protection adapté, selon la Commission européenne.
Une autorisation de la Cnil est nécessaire si des clauses contractuelles diffèrent des clauses de la Commission européenne.
Les données transférées restent soumises au droit de l'UE non seulement pour leur transfert, mais aussi pour tout traitement / transfert ultérieur.
L'entreprise qui réalise des traitements de données et les sous-traitants doivent désigner un délégué à la protection des données (DPO) dans les cas suivants :
Le DPO est chargé des missions suivantes :
Le DPO doit avoir les qualités et compétences suivantes :
Le DPO peut être une personne issue du domaine technique, juridique ou autre.
Elle doit seulement inscrire au registre les traitements suivants :
L'entreprise a l'obligation de tenir un registre de l'ensemble des traitements.
La Cnil propose un modèle de registre.
Les personnes dont les données sont collectées bénéficient de plusieurs droits.
Elles peuvent les exercer auprès du responsable de traitement.
Le nom et l'adresse de ce dernier doivent figurer sur les sites visités et dans les contrats conclus.
Elles peuvent également engager une action de groupe devant les tribunaux.
Les personnes dont les informations sont collectées et traitées peuvent demander l'accès aux données les concernant à tout moment et sans limitation.
Les personnes dont les données sont collectées et traitées peuvent demander la rectification des données conservées.
Ils peuvent également s'opposer à leur utilisation.
Toute personne peut récupérer, sous une forme réutilisable, les données qu'elle a fournies, et les transférer ensuite à un tiers (réseau social par exemple).
Toute personne a droit à l'effacement de ses données et au déréférencement (droit de demander à un moteur de recherche de supprimer certains résultats associés à ses noms et prénoms).
En cas de violation de la sécurité des données comportant un risque élevé pour les personnes, le responsable du traitement doit les avertir rapidement, sauf dans certaines situations (données déjà chiffrées par exemple).
Il doit également le notifier à la Cnil dans les 72 heures.
Tel est le cas d'une banque, victime d'une intrusion dans son système informatique client. Elle doit informer ces derniers que des tiers ont pu accéder à leurs données personnelles.
Toute personne qui a subi un dommage matériel ou moral du fait de la violation du règlement européen peut obtenir du responsable du traitement (ou du sous-traitant) la réparation de son préjudice.
Tel est le cas par exemple d'une personne dont un problème de santé aurait été révélé.
Toute personne peut mandater une association ou un organisme actif dans le domaine de la protection des données pour faire une réclamation ou un recours et obtenir réparation en cas de violation de ses données.
En cas de violation du règlement, la Cnil peut prononcer des amendes administratives qui peuvent atteindre, selon la catégorie du manquement, 2 % à 4 % du chiffre d'affaires annuel mondial de l'exercice précédent.
C'est la Cnil qui adresse un courrier au responsable de traitement lui indiquant la sanction.
Des sanctions pénales peuvent également s'ajouter à ces sanctions administratives. C'est le cas des infractions liées à la discrimination, des infractions de mise en danger en cas de mesures de protection insuffisantes (exemple : révélation de l'adresse d'une personne).
Enfin, les victimes peuvent demander des dommages et intérêts devant les juridictions civiles ou pénales.
Loi n°2018-493 du 20 juin 2018 relative à la protection des données personnelles
art.8 (certaines catégories de données : origine/opinion) ; art. 16 (catégorie particulière de traitement : santé)
Loi n°2016-1321 du 7 octobre 2016 pour une République numérique
cles 48 (entrée en vigueur des dispositions relatives à la portabilité des données) et 65 (sanctions prononcées par la Cnil)
Code de la consommation : articles L224-42-1 à L224-42-4
Récupération et portabilité des données
Code pénal : articles 226-16 à 226-24
Atteintes aux droits de la personne résultant des fichiers ou des traitements informatiques
Demande d'autorisation d'un traitement de recherche dans le domaine de la santé
Formulaire
Formulaire
Désignation d'un délégué à la protection des données (DPO)
Téléservice
Demandes en ligne d'autorisation ou d'avis à la Cnil
Téléservice
Commission nationale de l'informatique et des libertés (Cnil)
Vie-publique.fr
Infographie : obligations pour votre entreprise
Commission européenne
Fichier client et conformité au RGPD
France Num
Outil PIA en téléchargement : faciliter la conduite d'analyses d'impact
Commission nationale de l'informatique et des libertés (Cnil)
Formation en ligne de la CNIL sur le RGPD
Commission nationale de l'informatique et des libertés (Cnil)
Règles à respecter pour le contrôle d'accès biométrique sur le lieu de travail
Commission nationale de l'informatique et des libertés (Cnil)
Le registre des activités de traitement : RGPD
Commission nationale de l'informatique et des libertés (Cnil)
©
Direction de l'information légale et administrative
comarquage developpé par baseo.io