Qu'est-ce que le RGPD exactement ?

Qu'est-ce que c'est ?

Dans les actualités, sur internet, dans la presse ou à la télévision. Dernièrement, c'est tout ce dont tout le monde parle. Même dans votre boîte mail, vous avez sans doute reçu de nombreux emails d'entreprises mettant à jour leur politique de confidentialité en prévision du RGPD à venir.

Le RGPD ou Règlement Général sur la Protection des Données est une nouvelle loi européenne visant à protéger les données personnelles et à préserver la vie privée de tous les individus au sein de l'Union européenne. Ce nouveau règlement est entré en vigueur le 25 mai 2018.

Pourquoi a-t-il été créé ?

Le RGPD a été conçu pour mieux protéger les données personnelles dans un monde de plus en plus numérisé.

Il vise à simplifier et unifier toutes les différentes lois sur la vie privée de chaque pays membre européen, minimisant finalement la collecte d'informations personnellement identifiables (IPI).

C'est une victoire énorme pour le droit individuel à la vie privée. Cependant, cela aura aussi un impact important sur presque toutes les entreprises qui font affaire avec les résidents européens.

Qui sera impacté ?

Toute entreprise qui traite des données personnelles d'un individu au sein de l'Union européenne doit se conformer à ces nouveaux règlements. Cela s'applique à la fois aux citoyens et aux personnes d'autres nationalités qui résident actuellement à l'intérieur de l'Union européenne. Les données personnelles incluent toute information relative à un individu (pas une entreprise) qui peut être directement ou indirectement identifié en utilisant ces données, comme le numéro client, l'adresse IP, le numéro de téléphone, l'adresse email, le nom, ... Considérant ces définitions larges des données personnelles, presque toutes les entreprises seront affectées.

Il existe également une catégorie spéciale de données personnelles, appelées données sensibles, qui comportent des conditions supplémentaires pour le traitement. Ce qui peut être considéré comme données sensibles inclut :

Origine raciale ou ethnique

Opinions politiques

Croyances religieuses ou philosophiques

Adhésions syndicales

Données génétiques

Données biométriques à des fins d'identification

Données relatives à la santé

Données concernant la vie sexuelle d'une personne

Orientation sexuelle

Que se passe-t-il si une entreprise ne se conforme pas ?

C'est un changement majeur par rapport à beaucoup des réglementations précédentes sur la vie privée. Le RGPD impose des pénalités sévères aux entreprises qui ne se conforment pas et au lieu d'utiliser un montant fixe, c'est basé sur le chiffre d'affaires. L'amende peut aller jusqu'à 4% du chiffre d'affaires annuel mondial ou 20 millions d'euros, selon le montant le plus élevé. Cela signifie également qu'une filiale de n'importe quelle entreprise peut affecter les résultats de sa société mère.

Il est important de noter que ce sont des scénarios du pire cas. Les montants et amendes seront imposés selon la gravité et la durée de l'infraction. Les efforts entrepris pour mettre en œuvre les mesures et contrôles RGPD, par l'entreprise en question, peuvent être pris en compte par les autorités de contrôle et peuvent jouer un rôle dans la décision de la pénalité.

Vos droits en tant qu'individu

Droit à l'information

Les individus ont le droit d'être informés sur la collecte et l'utilisation de leurs données. Cela inclut la raison pour laquelle elles ont été traitées, qui sont les responsables du traitement, où elles ont été sauvegardées et pour combien de temps.

Droit d'accès

Les individus ont le droit d'accéder aux données que les entreprises collectent sur eux, gratuitement. L'entreprise doit répondre à cette demande dans les 30 jours. Un coût raisonnable peut être demandé si la demande est infondée ou excessive.

Droit de rectification

Un individu peut rectifier des données personnelles inexactes ou compléter les données si elles sont incomplètes.

Droit à l'effacement

Les individus ont le droit à l'oubli et à faire effacer leurs données personnelles. Les données ne doivent être conservées par un responsable du traitement que pour les finalités initialement convenues et seulement pour la durée requise pour ces finalités.

Droit de limiter le traitement

Les individus ont le droit de demander la restriction ou la suppression de leurs données personnelles.

Droit à la portabilité des données

Les individus ont le droit d'obtenir une copie de leurs données personnelles afin de les transférer vers un autre service.

Droit d'opposition

Les individus ont le droit de s'opposer au traitement de leurs données personnelles. Dans ce cas, le responsable du traitement doit arrêter de traiter les données de l'utilisateur, à moins que le responsable du traitement puisse démontrer des motifs légitimes et impérieux pour le traitement qui prévalent sur les droits de la personne concernée.

Droits relatifs à la prise de décision automatisée incluant le profilage

L'article 22 du RGPD établit des règles supplémentaires qui s'appliquent à toute prise de décision automatisée et au profilage basé sur des données personnelles.

Quelles mesures Summa a-t-elle prises ?

La première étape était d'identifier où nous stockons les données personnelles et combien de temps nous les stockons.

Avec le résultat de la première étape, nous avons maintenant créé et continuerons à maintenir un registre de toutes les activités liées au traitement des données personnelles. Ce registre contient ce que nous traitons, pourquoi nous traitons les données, sa base légale, qui y a accès, et combien de temps nous les conservons.

Nous chez Summa avons mis à jour notre politique de confidentialité et avons notifié tous les individus, déjà dans nos bases de données pour obtenir leur consentement. Nos formulaires de contact et d'inscription ont également été mis à jour pour exiger que l'utilisateur lise et accepte notre politique de confidentialité avant de soumettre ses données.

Une autre étape vers la conformité RGPD de Summa était la création de procédures internes pour traiter les demandes d'information, de modification ou d'effacement. Une procédure pour notifier l'autorité de contrôle en cas de violations de données a également été mise en place.

Nous avons aussi mis en œuvre des accords de traitement avec toute entreprise qui pourrait traiter nos données personnelles. (par exemple, les fournisseurs d'hébergement)

De plus, nous avons décidé de faire une analyse d'impact sur la protection des données (AIPD) chaque fois que nous créons de nouveaux processus pour traiter les informations personnelles. Bien que le RGPD concerne principalement les politiques et procédures, nous avons également pris des mesures supplémentaires pour améliorer davantage nos mesures et contrôles de sécurité des données.

Nous chez Summa, ne prenons pas ces développements à la légère et continuerons à nous efforcer d'être conformes pour garder les données de nos visiteurs privées et sécurisées.