Le Règlement Général sur la Protection des Données est un règlement de l’Union européenne qui s’applique à tous les États membres. Il exige que les données personnelles soient traitées dans le respect de conditions strictes. Cela garantit une meilleure protection des personnes concernées et plus de responsabilités pour les acteurs du traitement des données. Découvrez quels sont les acteurs concernés par le RGPD et comment se mettre en conformité.
RGPD– qui sont les acteurs concernés ?
Le Règlement Général sur la Protection des Données s’applique à toute entreprise traitant des données personnelles, quelle que soit sa taille ou sa localisation. Cela inclut les entreprises sans présence physique dans l’UE, pour autant qu’elles y proposent leurs produits ou services.
Toutes les entreprises qui traitent des données personnelles doivent se conformer au RGPD, quels que soient leur taille ou leur secteur.
Le périmètre d’application territorial du RGPD
Les acteurs présents dans l’Union Européenne
Cette réglementation s’applique à toute organisation située dans l’Union européenne. Ainsi, dès que l’organisation est domiciliée sur un territoire européen, elle est concernée par le RGPD. De plus, même si elle ne détient que des données personnelles d’utilisateurs situés en dehors de l’UE, la législation sur le contrôle des données reste applicable. Ainsi, une entreprise basée en France mais qui exporte ses produits à des clients en Chine doit se conformer au règlement.
Les organismes hors de l’Union Européenne
Le RGPD s’applique également aux organisations qui ne sont pas établies dans l’UE mais qui proposent leurs produits ou services à des individus dans l’Union Européenne. C’est le cas, par exemple, d’une entreprise américaine qui vend des produits sur son site internet à un client français. Ainsi, le RGPD exige que la société prenne des mesures spécifiques pour protéger les données personnelles de ses clients.
Le cas des sous-traitants
Le RGPD définit le sous-traitant comme la » personne physique ou morale, l’autorité publique ou tout organisme » qui traite ou collecte des données personnelles pour le compte d’un responsable du traitement (personne physique ou morale, autorité publique ou organisme) dans le cadre d’un service ou d’une prestation. Les profils des sous-traitants peuvent être divers :
- intégrateurs de logiciels informatiques,
- prestataires de services informatiques,
- entreprises de sécurité informatique,
- agences de communication et de marketing.
Le sous-traitant qui exerce seul ou avec d’autres sous-traitants est soumis au Règlement Général de Protection des Données. En vertu du RGPD, les responsables du traitement et les sous-traitants ont tous deux des obligations spécifiques. Le responsable du traitement doit s’assurer que le traitement des données effectué par le sous-traitant est conforme au règlement.
Le sous-traitant doit tenir un registre des traitements de données pour chaque client. Ce registre doit contenir, entre autres, le nom et les coordonnées du responsable du traitement, les finalités du traitement, les catégories de données à caractère personnel traitées, et les destinataires des données. Le sous-traitant doit également prendre des mesures pour protéger les données personnelles des personnes. Il doit notamment en assurer la confidentialité, leur intégrité et leur disponibilité. La responsabilité du sous-traitant peut être engagée en cas de violation des dispositions du RGPD.
L’application du RGPD dans les entreprises
Toutes les entreprises qui traitent des données personnelles doivent se conformer aux dispositions du RGPD. Cela inclut tous les acteurs, quels que soient leur taille ou leur secteur. Les obligations des entreprises au titre du RGPD sont nombreuses et varient en fonction du type de données traitées.
Le règlement impose aux entreprises de prendre des mesures spécifiques pour protéger les données personnelles de leurs clients, employés et partenaires. Elles doivent notamment assurer la confidentialité, l’intégrité et la disponibilité des données. Elles doivent également prendre des mesures pour s’assurer que les données sont exactes et à jour. Enfin, elles doivent mettre en place des procédures permettant aux personnes d’exercer les droits que leur confère ce règlement.
Cependant, les petites et moyennes entreprises sont soumises à des obligations moins strictes que les grandes entreprises. Elles bénéficient d’un certain nombre d’exemptions. Par exemple, elles ne sont pas tenues de désigner un délégué à la protection des données ou de tenir un registre des activités de traitement. Elles doivent néanmoins se conformer aux principes énoncés dans le RGPD.
Le RGPD pour les associations
Les associations doivent se conformer aux dispositions du RGPD lorsqu’elles traitent des données personnelles. Il s’agit notamment de garantir la confidentialité, l’intégrité et la disponibilité des données. Elles doivent également prendre des mesures pour s’assurer que les données sont exactes et mises à jour. Enfin, elles ont l’obligation de mettre en place des procédures pour permettre aux personnes d’exercer leurs droits en vertu de ce règlement. Les petites associations bénéficient toutefois d’un certain nombre d’exemptions.
Les actions à mettre en place pour se mettre en conformité
Délégué à la protection des données personnelles (DPD)
Le RGPD impose aux entreprises de désigner un délégué à la protection des données (DPD) si elles traitent de grandes quantités de données ou si leurs activités principales impliquent le traitement de données à caractère personnel. Le DPD est chargé de veiller à ce que l’entreprise se conforme au RGPD. Il doit également informer et conseiller l’entreprise sur ses obligations au titre de ce règlement.
Analyser les traitements des données personnelles
La seconde mesure à prendre pour se conformer au RGPD est d’analyser le traitement des données personnelles par l’entreprise. Cela inclut toutes les activités de traitement des données, qu’elles soient réalisées par l’entreprise elle-même ou par un prestataire de services. L’analyse doit être menée afin de déterminer la conformité du traitement avec la réglementation.
Il est indispensable de recenser certains points :
- Les catégories de données traitées ;
- Les finalités du traitement des différentes données (le RGPD impose un principe de mesure dans la collecte des données) ;
- Les acteurs internes et externes qui traitent les données.
Mise en place de processus internes pour la gestion des données personnelles
Il est essentiel de mettre en œuvre des processus et procédures internes pour assurer la conformité du traitement des données avec le RGPD. Il s’agit notamment de :
- L’identification des risques de protection des données liés aux activités de l’entreprise ;
- La mise en place de mesures de sécurité pour protéger les données personnelles dès le début de leur collecte ;
- La création d’un registre des activités de traitement. Ce registre doit contenir toutes les informations requises par le GDPR, telles que les catégories de données traitées, les finalités du traitement et la durée de conservation;
- La sensibilisation des collaborateurs au traitement de ces données;
- La prise en compte des réclamations des propriétaires des données.
Documenter les actions internes
Il est nécessaire de documenter toutes les actions entreprises pour se mettre en conformité avec le RGPD. Cette documentation servira de preuve en cas de contrôle de la CNIL ou d’une autre autorité de contrôle. Elle doit contenir toutes les informations requises par le règlement, telles que les catégories de données traitées, les finalités du traitement et la durée de conservation.
La documentation doit également contenir une description des mesures de sécurité mises en place pour protéger les données personnelles. Enfin, elle doit indiquer les coordonnées du DPD.
Qui n’est pas concerné par le RGPD ?
Les organisations qui ne traitent pas de données personnelles ne sont pas concernées par le RGPD. Il existe également des exceptions à l’application de cette réglementation :
- Les traitements réalisés dans un cadre strictement privé n’entrent pas dans le champ d’application du GDPR. Exemple : une personne qui crée un répertoire de ses contacts privés, que ce soit sous format papier, numérique ou téléphonique;
- Les traitements de données personnelles mis en œuvre dans le cadre de la protection des libertés et droits fondamentaux;
- Le traitement des données personnelles effectué dans le cadre de la prévention des infractions.
Toutes les organisations et entreprises, présentes dans l’Union Européenne, qui traitent des données personnelles doivent se conformer au RGPD. Il existe quelques exceptions, notamment lorsque le traitement des données est effectué dans un contexte privé ou pour la protection des droits et libertés fondamentaux.
Nous vous offrons des services de mise en conformité RGPD pour protéger la confidentialité de vos données personnelles. Contactez-nous dès aujourd’hui pour garantir la conformité de votre entreprise.
