RGPD : au secours j'ai rien compris
Connaître les fondamentaux
Face à une société toujours plus digitale et le développement de l’économie numérique, l’Europe a lancé en mai dernier un règlement pour encadrer l’utilisation des données personnelles. Intitulé RGPD, cet outil de surveillance européen n’a pas été compris par tous. A quoi sert-il ? Comment change-t-il notre vie ? Et celle des entreprises ? Petit guide en 5 points pour tout saisir !
- Le RGPD, qu’est-ce que c’est ?
Commençons par le commencement. RGPD désigne le Règlement Général sur la Protection des données. Il s’agit d’une nouvelle loi européenne qui encadre la manière dont les organismes publics et privés (c’est-à-dire les entreprises et les administrations) gèrent et utilisent les données personnelles. Le règlement est valable sur le territoire de l’Union européenne et/ou pour tout organisme en lien avec des résidents européens.
Son but est clair : responsabiliser les organisations et mettre des limites à la manière dont elles exploitent les données. Peu après l’instauration du règlement, entreprises et administrations ont ainsi envoyé des messages à toutes les personnes disposant d’un compte chez elles afin qu’elles acceptent leurs nouvelles conditions d’utilisation. Le RGPD précise en effet l’obligation de disposer du consentement des personnes pour l’utilisation de leurs données.
- Qu’est-ce qu’une « donnée personnelle » ?
La définition du terme est large. Martin Untersinger, journaliste au Monde Service Pixels, explique que « c’est toute information qui permet d’identifier directement ou indirectement une personne : son nom, son adresse, son numéro de téléphone, son adresse e-mail, mais aussi son activité sur Internet, les contenus qu’elle poste sur internet ».
Il peut également s’agir d’une donnée biométrique, d’éléments propres à une identité physique, physiologique, économique, culturelle, etc. L’identification d’une personne peut en effet se faire à partir d’une seule donnée, comme un numéro de sécurité sociale, ou du croisement de plusieurs (par exemple une adresse couplée à une date d’anniversaire et un abonnement à une salle de sport).
- Qu’est-ce que cela change pour les utilisateurs ?
En France, pas grand chose car le nouveau règlement reprend des principes déjà inscrits dans la loi française. Certaines évolutions sont toutefois à noter, comme l’âge du consentement pour le traitement des données personnelles des mineurs. Chaque pays membre doit ainsi fixer un âge en dessous duquel une entreprise ou administration devra obligatoirement disposer du consentement des parents pour utiliser les données personnelles de leur enfant mineur. En France, cet âge est fixé à 15 ans.
Autre changement : le droit à la portabilité des données. Il s’agit de la possibilité de transférer les données d’un service à un autre. Désormais, si vous décidez par exemple de changer de messagerie, vous pourrez récupérer tous les messages écrits et reçus pour les transférer vers la nouvelle messagerie que vous avez choisie.
- Et pour les entreprises ?
Pour les entreprises, le changement est important car celles-ci doivent mettre en place des règles transparentes qui expliquent comment elles utilisent les données personnelles. A ce titre, la CNIL est d’ailleurs claire : « un traitement de données doit avoir un objectif (…) vous ne pouvez pas collecter ou traiter des données personnelles simplement au cas où cela vous serait utile un jour. A chaque traitement de données doit être assigné un but qui doit bien évidemment être légal et légitime au regard de votre activité professionnelle ».
Le RGPD oblige ainsi les entreprises à prouver, à n’importe quel moment, que « toutes les données personnelles dont elles disposent ont été recueillies légalement, qu’elles ont eu le consentement de l’utilisateur, qu’elles les gardent bien sécurisées », explique Martin Untersinger. Cela implique la mise en place de mécanismes et de protocoles un peu fastidieux qui inquiètent parfois mais qui méritent d’être pris au sérieux. En cas de méconnaissance des dispositions du règlement, les responsables de traitement des données (et les sous-traitants) pourront en effet faire l’objet de sanctions administratives importantes.
- Votre entreprise est-elle conforme RGPD ?
Vous vous demandez si vous respectez le nouveau règlement ? Selon la CNIL, plusieurs réflexes doivent être adoptés pour s’en assurer : ne collecter que les données véritablement nécessaires, être transparent avec les utilisateurs sur les données que vous collectez et à quelle fin, respecter le droit des personnes en répondant aussi vite que possible à leurs demandes de rectification ou de suppression des données, assurer une protection systématique et permanente des données, disposer d’un bon système de gestion des risques et enfin prendre des mesures draconiennes en matière de sécurité des données. A vous de jouer !
Sources et notes
