Depuis le 25 mai 2018, le Règlement européen Général sur la Protection des Données - dit "RGPD" (UE 2016/679 du 27/04/2016) et la Loi Informatique et Libertés modifiée (Loi du 20/06/2018) sont entrés en application.
Cette règlementation encadre strictement le traitement des données à caractère personnel qui permettent d'identifier une personne (collecte, stockage, exploitation, archivage) par voie informatique mais aussi sur supports papier : données de clients/patients (dossiers, campagnes e-mailing, site internet, ...), gestion des ressources humaines (candidatures, recrutements, paie, formation, règlement intérieur, ...), gestion des fournisseurs et sous-traitants, vidéosurveillance et géolocalisation, pointeuse, ..., etc ...
Des aménagements sont prévus pour les entreprises/organisations de moins de 250 salariés.
Sanctions de la non-conformité :
- amende de 10 à 20 000 000 € ou 2% à 4 % du CA annuel mondial de l'exercice précédent prononcée par la CNIL après enquête
- risque de contentieux et d'insécurité juridique en matière de gestion des ressources humaines : vidéosurveillance, géolocalisaton, traitement informatisé de données du personnel, ... voire d'autres infractions réprimées par le Code pénal (article 226-1 : vie privée) et dommages & intérêts en réparation d'un préjudice
- risque de contentieux avec des clients, prospects, mauvaise publicité, ...
- sanction des Ordres Professionnels en cas de professions règlementées (juridique, Expert-Comptable, médecine, ...)
La CNIL exerce dorénavant un contrôle a posteriori (plainte, contrôle inopiné, déclaration d'une violation de données personnelles, ...). Les obligations de déclaration antérieure de fichiers à la CNIL n'existent plus. C'est le principe de la responsabilisation des entreprises qui prime maintenant, à charge pour elles de se mettre en conformité !
Entreprises concernées : toutes les entreprises du secteur privé ou public établies sur le territoire de l'Union Européenne (UE) ou hors de l'UE mais assurant un traitement de données d'un résident européen
Les entreprises concernées sont considérées comme "Responsable du Traitement". Les obligations des sous-traitants sont fortement encadrées et renforcées (nouveauté).
Les traitements de données doivent respecter des principes fondamentaux :
loyauté, finalité, proportionnalité, durée de conservation limitée, sécurisation des données, respect des droits et libertés des personnes
Nouveaux droits accordés aux individus : outre le droit à la consultation et rectification, le droit à l'oubli et de portabilité des données - attention à la mise en oeuvre
Quelles sont vos obligations ?
- Cartographier, inventorier les traitements de données à caractère personnel réalisés
- Elaborer un Registre de traitement des Données personnelles et une Fiche de registre pour chaque activité de traitement des données personnelles : objectifs de traitement, catégories de personnes concernées, catégories de données (courantes, sensibles, ...), durée de conservation, destinataires internes et externes, sous-traitants, mesures de sécurisation prises pour éviter des fuites ou pertes de données ...
- Faire le tri dans les données collectées (c'est essentiel) et modifier vos procédures de travail selon l'objectif poursuivi de traitement
- Assurer le droit des personnes par des mentions d'information sur les formulaires utilisés, note d'information, mention sur les sites internet, traiter les réclamations, les demandes de desinscription, ...
- Intégrer le RGPD dans la Gestion des Ressources Humaines : modification du règlement intérieur, charte informatique, politique Informatique et Libertés, ... note d'information, gestion de la paie, ...
- Sécuriser les données personnelles collectées, stockées, exploitées, ... : anti-virus, changement de mots de passe, modifier la durée de mise en veille des écrans d'ordinateur, ... mais aussi les données sur supports papier !
- Selon les situations, réaliser une Analyse d'Impact relative à la Protection des Données (AIPD ou "PIA") lorsque le traitement génère un risque élevé pour les droits et libertés des personnes (mineurs, données de santé, ...), nommer un Délégué à la Protection des Données
- Dans tous les cas, documenter votre démarche de protection des données : mettre en place des procédures écrites de bonnes pratiques, charte informatique, formation, plan d'actions de protection, etc ...
Avec cette nouvelle règlementation, c'est l'occasion de transformer une obligation légale en réelles opportunités :
- Renforcer la confiance et valoriser l'image de l'entreprise : clients, patients, donneurs d'ordre, salariés
- Améliorer l'efficacité commerciale et exploiter des données à jour
- Mieux gérer son entreprise en se posant les bonnes questions en matière de procédures de travail et d'organisation
- Revoir les procédures de sécurisation des données (stockage local, stockage CLOUD, ...)
Nous pouvons vous accompagner dans la mise en conformité avec le RGPD et la Loi Informatique et Libertés modifiée et/ou vous proposer des formules de formation "Se mettre en conformité avec le RGPD".
