Le Règlement Général sur la Protection des Données (RGPD) est entré en vigueur le 25 mai 2018 et a profondément modifié le paysage de la protection des données personnelles au sein de l’Union Européenne. Dans cet article, nous nous penchons sur les nouvelles responsabilités des sociétés découlant du RGPD et les implications pour leur gestion quotidienne.

Les grands principes du RGPD

Le RGPD repose sur plusieurs principes fondamentaux qui guident les responsabilités des sociétés en matière de protection des données. Parmi ces principes, on retrouve notamment :

• La licéité, loyauté et transparence du traitement des données : les entreprises doivent traiter les données personnelles de manière licite et transparente, en informant clairement les personnes concernées de l’utilisation qui sera faite de leurs informations.
• La limitation des finalités : les données ne doivent être collectées que pour un objectif précis, explicite et légitime, et ne pas être utilisées ultérieurement d’une manière incompatible avec cet objectif.
• La minimisation des données : seules les données strictement nécessaires à l’objectif poursuivi doivent être collectées et traitées.
• L’exactitude des données : les entreprises ont la responsabilité de veiller à ce que les données qu’elles détiennent soient exactes et à jour.
• La limitation de la conservation : les données ne doivent être conservées que le temps nécessaire à l’accomplissement de l’objectif pour lequel elles ont été collectées.
• L’intégrité et la confidentialité des données : les entreprises doivent assurer la sécurité des données qu’elles traitent et protéger celles-ci contre tout accès, modification ou divulgation non autorisés.

Toutes ces obligations s’appliquent aux responsables de traitement, c’est-à-dire aux entités qui déterminent les finalités et les moyens du traitement des données personnelles, ainsi qu’à leurs sous-traitants, qui traitent ces données pour leur compte.

Nouvelles responsabilités en matière de gouvernance des données

Le RGPD impose aux entreprises de mettre en place une gouvernance des données efficace, fondée sur une approche responsable et proactive. Les responsables de traitement doivent notamment :

• Désigner un Délégué à la Protection des Données (DPO), dont le rôle est de veiller au respect du RGPD au sein de l’entreprise et d’être l’interlocuteur privilégié des autorités de contrôle.
• Mettre en œuvre des mesures techniques et organisationnelles appropriées pour assurer la protection des données, telles que la pseudonymisation ou le chiffrement.
• Documenter leurs activités de traitement des données, en tenant notamment un registre des traitements et en réalisant des études d’impact sur la protection des données (EIPD) pour les traitements présentant des risques élevés.
• Former leurs employés à la protection des données et les sensibiliser aux enjeux du RGPD.

Responsabilité en cas de violation de données

En cas de violation de données (c’est-à-dire d’accès, modification, divulgation ou destruction non autorisés de données personnelles), le RGPD impose aux responsables de traitement et à leurs sous-traitants une série d’obligations:

• Notifier la violation à l’autorité de contrôle compétente sans tarder et, si possible, dans les 72 heures suivant sa découverte.
• Informer les personnes concernées par la violation si celle-ci est susceptible d’entraîner un risque élevé pour leurs droits et libertés.
• Mettre en place des mesures correctives pour remédier à la violation et prévenir sa récurrence.

Les entreprises peuvent être sanctionnées en cas de non-respect de ces obligations. Les amendes prévues par le RGPD peuvent atteindre jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial, selon le montant le plus élevé.

Le principe d’accountability

Un autre aspect clé du RGPD est le principe d’accountability, qui signifie que les responsables de traitement doivent être en mesure de démontrer, à tout moment, qu’ils respectent les principes énoncés par le RGPD et qu’ils ont mis en place des mécanismes de gouvernance adéquats pour assurer la protection des données.

Cela implique notamment de mettre en œuvre des politiques et procédures internes, de réaliser régulièrement des audits et contrôles internes, ou encore d’intégrer la notion de protection des données dès la conception (Privacy by Design) et par défaut (Privacy by Default) dans leurs projets et systèmes d’information.

Conclusion

Le RGPD a considérablement renforcé les responsabilités des entreprises en matière de protection des données personnelles. Il est essentiel pour elles d’adopter une approche proactive et responsable en matière de gouvernance des données, afin non seulement de se conformer à la législation, mais aussi d’inscrire la protection des données au cœur même de leur stratégie et de leur culture d’entreprise.