Home » Posts tagged 'données à caractère personnel'

Tag Archives: données à caractère personnel

RGPD : GOOGLE devra payer 50 millions d’euros d’amende

Cette fois, ça y est. La première amende significative infligée par la CNIL et concernant la non-conformité au RGPD vient de tomber. Et c’est GOOGLE qui en est la cible. Le géant américain devra débourser 50 millions d’euros d’amende pour manque de transparence, information insatisfaisante et absence de consentement valable pour la personnalisation de la publicité. Je vais essayer de vous expliquer pourquoi. Mais c’est sans doute aussi pour vous l’opportunité de vous assurer que vous n’êtes pas les prochains sur la liste.

RGPD : La CNIL inflige une amende de 50 millions d'euros à GOOGLE
Crédits © Fotolia 2018

Dès le 25 Mai 2018, les associations « None Of Your Business » (« NOYB ») et « La Quadrature Du Net » (« LQDN ») déposaient des plaintes collectives contre GOOGLE, sur la base du RGPD, auprès de la CNIL. La plainte de LQDN était mandatée par près de 10.000 personnes. Dans ces deux plaintes contre le géant américain, les associations reprochaient à GOOGLE de ne pas disposer d’une base juridique valable pour traiter les données personnelles des utilisateurs de ses services, notamment à des fins de personnalisation de la publicité.

De quoi s’agit-il exactement?

Trois manquements ont été identifiés par la CNIL pour justifier cette amende :

  • un manquement aux obligations de transparence. Les informations fournies par Google ne sont « pas aisément accessibles pour les utilisateurs »
  • une information insatisfaisante, qui n’est pas « toujours claire et compréhensible »
  • et une absence de consentement valable pour la personnalisation de la publicité.

1. Manquement aux obligations de transparence


« Des informations essentielles, telles que les finalités pour lesquelles les données sont traitées, la durée de conservation des données ou les catégories de données utilisées pour la personnalisation de la publicité, sont excessivement disséminées dans plusieurs documents, qui comportent des boutons et liens qu’il est nécessaire d’activer pour prendre connaissance d’informations complémentaires. L’information pertinente n’est accessible qu’après plusieurs étapes, impliquant parfois jusqu’à cinq ou six actions. C’est par exemple le cas si un utilisateur veut disposer d’informations complètes sur la collecte de ses informations pour la personnalisation des publicités, ou pour sa géolocalisation. »


Concernant l’accès à l’information, la CNIL regrette que des « informations essentielles […] sont excessivement disséminées dans plusieurs documents ». Il faut que l’internaute navigue entre plusieurs boutons et liens pour accéder aux indications « pertinentes ». L’Autorité de Contrôle a ainsi recensé cinq ou six actions préalables à effectuer avant d’arriver aux explications adéquates. C’est beaucoup trop.

2. Information non satisfaisante

Par ailleurs, à propos de la qualité de l’information, les traitements réalisés par Google « sont décrits de façon trop générique et vague », tout comme les données concernées. En clair, l’internaute « n’est pas en mesure de comprendre l’ampleur des traitements », alors que ceux-ci «  sont particulièrement massifs et intrusifs, en raison du nombre de services proposés, de la quantité et de la nature des données traitées et combinées. »


« Les utilisateurs ne sont pas en mesure de comprendre l’ampleur des traitements mis en place par GOOGLE. Or ces traitements sont  particulièrement massifs et intrusifs, en raison du nombre de services proposés (une vingtaine), de la quantité et de la nature des données traitées et combinées. »


La CNIL a constaté en particulier que les finalités sont insuffisamment énoncées. Elles sont décrites de façon trop générique et vague, tout comme les données traitées pour ces différentes finalités.  Il en va de même pour l’information délivrée aux utilisateurs. Elle est considérée comme  pas suffisamment claire pour que l’utilisateur comprenne que la base juridique des traitements de personnalisation de la publicité est le consentement, et non l’intérêt légitime de la société GOOGLE. Enfin, les conditions générales d’utilisation de GOOGLE ne mentionnent nulle part la durée de conservation de certaines données.

3. Absence de consentement éclairé pour la personnalisation de la publicité

Au sujet du consentement, la CNIL observe que le consentement des internautes « n’est pas suffisamment éclairé » (du fait des manquements précédents), et que des cases d’approbation sont pré-cochées par défaut (comme l’affichage des publicités personnalisées).


« Certes, lors de la création d’un compte, l’utilisateur a la possibilité de modifier certains des paramètres associés au compte en cliquant sur le bouton «  plus d’options », présent avant le bouton « Créer un compte ». Il est notamment possible de paramétrer les modalités d’affichage des annonces personnalisées.

Le RGPD n’est pas pour autant respecté. En effet, non seulement l’utilisateur doit faire la démarche de cliquer sur « plus d’options » pour accéder au  paramétrage, mais en plus l’affichage d’annonces personnalisées est pré-coché par défaut. Or le consentement n’est « univoque », comme l’exige le RGPD, qu’à la condition que l’utilisateur effectue un acte positif (cocher une case non précochée par exemple). « 


Enfin, GOOGLE présente les conditions d’utilisation de telle façon que l’internaute est obligé de toutes les accepter en bloc. Il ne peut pas le faire au cas par cas comme l’exige le RGPD.

Comment la CNIL a-t-elle pris sa décision?

Ces manquements ne portent pas sur des points anecdotiques. Bien au contraire, ils portent sur « des principes essentiels  » du RGPD. Les utilisateurs sont ainsi privés de garanties fondamentales concernant des traitements pouvant révéler des pans entiers de leur vie privée. Or, « l’ampleur des traitements en cause impose de permettre aux utilisateurs de garder la maîtrise de leurs données. »

La CNIL a aussi tenu compte de certaines particularités, comme le poids du système d’exploitation Android en France.


« Compte tenu de la place prépondérante qu’occupe le système d’exploitation Android sur le marché français, ce sont chaque jour des milliers de Français qui procèdent à la création d’un compte GOOGLE à l’occasion de l’utilisation de leur ordiphone. De même, la formation restreinte rappelle que le modèle économique de la société repose en partie sur la personnalisation de la publicité. Une responsabilité toute particulière incombe dès lors à la société dans le respect de ses obligations en la matière. »


Enfin, l’Autorité de Contrôle fait observer que cette sanction ne punit pas « un manquement ponctuel, délimité dans le temps », mais plusieurs infractions qui sont toujours en cours à ce jour. Ces infractions constituent donc des « violations continues » du RGPD. Pour toutes ces raisons, il apparaissait nécessaire à la CNIL de frapper fort. Cependant ce n’est pas le coup le plus rude que la CNIL aurait pu porter au géant du Web.

S’agit-il d’une sanction record?

La sanction de 50 millions d’euros infligée par la CNIL à l’encontre de Google constitue à ce jour la plus forte peine prononcée par la Commission. C’est aussi la première à ce niveau qui a été rendue dans le cadre du RGPD. Cependant, elle reste extrêmement modeste au regard de la puissance financière du géant du net. En effet, son chiffre d’affaires annuel s’élève à près de 110 milliards de dollars.

À travers le RGPD, la CNIL a la possibilité de prononcer des peines dont le montant peut atteindre 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent (ou 20 millions d’euros pour les organisations de plus petite envergure). L’Autorité de Contrôle doit déterminer quelle échelle il faut suivre. Elle compare les deux montants possibles et garde celui qui est le plus élevé.

Ces montants constituent un maximum. L’autorité de contrôle établit le montant de l’amende de sorte qu’elle soit dissuasive tout en restant proportionnée à l’infraction constatée.

L’amende maximum encourue par GOOGLE s’élèverait donc à plus de 4 milliards d’euros. Cette sanction apparaît donc comme extrêmement modérée.

A quelle suite s’attendre?

La firme de Mountain View ne va pas en rester là. En effet, GOOGLE a annoncé le 23 Janvier avoir décidé de contester la sanction auprès du Conseil d’Etat. Le prochain acte se jouera donc devant le Conseil d’État, la plus haute juridiction française de l’ordre administratif.

Dans un communiqué transmis à la presse, le géant du net explique avoir « travaillé d’arrache-pied pour créer un processus de consentement RGPD pour les annonces personnalisées qui soit le plus transparent et le plus simple possible. (…) Nous sommes aussi préoccupés par les effets  de cette décision (…). Pour toutes ces raisons, nous avons décidé de faire appel ».

Il est clair que l’Entreprise est beaucoup inquiète des effets collatéraux de l’annonce publique de cette sanction que de la somme à payer. En effet en cas de confirmation de la décision, cela risque d’avoir des conséquences importantes. Ces conséquences porteront notamment sur sa crédibilité aux niveau de ses clients et de ses actionnaires. Les 50 millions d’euros risquent donc d’être une goutte d’eau dans les conséquences financières réelles de cette condamnation.

Vous trouvez cette sanction justifiée? Vous êtes inquiet pour vos données personnelles et l’utilisation qui en est faite par les géants de la publicité? Ou au contraire vous pensez que les GAFA (Google-Amazon-Facebook-Apple) prennent toutes les dispositions nécessaires? N’hésitez pas à réagir au travers de commentaires.

RGPD/GDPR : Quels changements le 25 mai 2018?

Le règlement européen en matière de protection des données à caractère personnel ou RGPD (GDPR en Anglais) est la nouvelle réglementation européenne qui s’applique désormais à toute organisation, publique ou privée, traitant des données relatives aux personnes physiques avec lesquelles elles interagissent (clients, prospects, employés, partenaires, …) dans l’Espace Economique Européen. Il y avait déjà, en France, une loi qui protégeait les citoyens contre les traitements abusifs de leurs données personnelles. Il s’agit de la Loi Informatique et Libertés de 1978. Au niveau Européen, il s’agissait de la Directive 95/46/CE qui était en vigueur depuis 1995. Alors, avec le RGPD (GDPR), qu’est-ce qui change vraiment le 25 Mai 2018? Et pourquoi à un peu plus d’un mois de l’échéance, tous les acteurs économiques sont-ils aussi fébriles?

RGPD/GDPR - Les changement au 25 Mai 2018
Crédits : Vasily Merkushev – Fotolia.com

La nouveauté tient essentiellement au fait que le régulateur a prévu des montants d’amendes administratives énormes en cas de non-conformité avec le RGPD (GDPR). Ces amendes doivent être efficaces, proportionnées et dissuasives ainsi que le mentionne la loi. Elles peuvent aller jusqu’à 4% du chiffre d’affaires annuel mondial pour les groupes internationaux. Leur montant peut atteindre jusqu’à 20 millions d’euros pour les PME. Elles seront applicables dès le 25 Mai 2018 en cas de non respect de la loi. J’entends déjà les commentaires « Il ne faut pas paniquer, il y aura un délai de grâce« . Le problème c’est que c’est le délai de grâce qui se termine le 25 Mai 2018. En fait la réglementation est déjà applicable depuis Avril 2016. La Commission Européenne a laissé deux années de grâce avant l’application des sanctions. Son objectif était de permettre aux entreprises et organisations publiques pour se mettre en règle.

Afin de vous guider de façon efficace, nous allons voir pas à pas les obligations principales auxquelles vous devez vous soumettre ainsi que les actions à entreprendre pour mettre votre organisation en conformité avec le RGPD (GDPR). Ce post constitue une introduction à une série d’articles, à venir dans les prochaines semaines, qui détailleront chacune de ces actions.

Une chose est claire. Si vous n’avez pas encore commencé la mise en conformité, vous n’avez aucune chance d’être prêts pour le 25 Mai 2018. Alors il vous incombe de prioriser les actions et d’être en mesure de démontrer que vous avez démarré. Vous pourrez toujours espérer la mansuétude de l’autorité de contrôle.

Trois pièges à éviter

S’agit-il vraiment d’une problématique informatique?

Tout d’abord, essayons d’évacuer un mythe. Le mise en conformité avec le RGPD (GDPR) n’a rien à voir avec une obligation au niveau informatique. Les affaires sont un peu difficiles pour les sociétés spécialisées en informatique qui prolifèrent. Depuis que l’information sur le montant des amendes circule, beaucoup d’entre elles, voyant là un créneau pour se développer, proposent des logiciels vous permettant de réaliser cette mise en conformité. Il s’agit là d’une énorme arnaque. Le problème est d’abord un problème de gouvernance de votre organisation et non un problème informatique. Bien sûr, cela pourra ensuite déboucher sur une mise en conformité des systèmes informatiques que vous utilisez. En aucun cas un nouveau logiciel ne vous permettra d’être en conformité avec le RGPD (GDPR). Donc exit les logiciels estampillés ‘conforme au RGPD’ (GDPR compliant).

Comme d’habitude en pareil cas, le marché foisonne de charlatans.Ils ne connaissent souvent pas le premier mot de la loi et proposent des outils tout faits pour résoudre tous les problèmes. Ils résolvent surtout le problèmes que vous n’avez pas, ignorant ceux que vous avez vraiment. En effet la plupart de ces charlatans sont seulement des informaticiens et en aucun cas des juristes. Leur caractéristique commune est essentiellement qu’ils sont incapables de comprendre la loi. Soyez donc prudents avant de vous lancer dans un chantier périlleux tout autant qu’onéreux!

Votre organisation est-elle concernée par le RGPD (GDPR)?

Le deuxième mythe qu’il nous faut lever c’est celui qui consiste à penser que toutes les organisations sont concernées. C’est archi-faux. Seules les organisations qui manipulent des données personnelles sont concernées. Les données d’entreprise ne sont pas concernées par la réglementation. Il y a aussi une notion de taille de l’entreprise et de cible qui entre en jeu.

Les sanctions prévues seront-elles vraiment appliquées?

amende-GDPR
Crédit : Gilles Paire – Fotolia.com

Le troisième piège consiste à se dire que, compte tenu de l’ampleur de la tâche qui attend les autorités de contrôle nationales (en France c’est la CNIL) et de leur manque de moyens, rien ne se passera vraiment. C’est négliger un élément important. Il s’agit d’une loi européenne. Donc, en cas de non application dans un pays, des sanctions tomberont directement sur le pays. Les autorités de contrôle, indépendantes des gouvernements nationaux, vont simplement devoir prioriser leurs actions. Elles vont aussi devoir prioriser les organisation qui représentent le plus de risques pour les citoyens.

Il peut s’agir d’entreprises d’ores et déjà ciblées et qui vont devoir se mettre en conformité (Mise en demeure de DIRECT ENERGIE). C’est aussi le cas d’Entreprises pour lesquelles les organismes de contrôle reçoivent des plaintes de personnes physiques. Il peut s’agir d’organisations dont la protection des données personnelles a été testée par une publication et pour laquelle les non-conformités ont été rendues publiques (condamnation récente de DARTY). Enfin, il peut s’agir d’organismes publics qui n’auront pas désigné un responsable de la protection des renseignements personnels (DPO).  Ce serait le cas, par exemple, d’une municipalité de quelques milliers d’habitants n’ayant pas nommé de DPO.

Le RGPD (GDPR) s’applique-t-il à mon Entreprise ?

Notion de donnée personnelle et de traitement

Le texte de la loi

La loi fournit quelques définitions aux articles 2 et 4 permettant de mieux comprendre le périmètre du RGPD (GDPR). Vous pouvez consulter le texte intégral de la réglementation en ligne sur le site de la CNIL.


Article 4. Définitions

  1. «données à caractère personnel», toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée «personne concernée»). Est réputée être une «personne physique identifiable» une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale;
  2. «traitement», toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction.

Que faut-il comprendre?

D’après l’article 4, est considérée comme donnée personnelle toute donnée relative à une personne physique identifiée ou identifiable. Le traitement, pour sa part, démarre au moment de la collecte et se termine après la destruction des informations. Le traitement peut donc consister en une action réalisée par le responsable du traitement. Par exemple il peut consister en la collecte, l’enregistrement, l’organisation, l’extraction de données personnelles. Il peut être « passif » comme la mise à disposition, conservation ou diffusion (via un site web ou un réseau social). Le périmètre apparaît donc extrêmement vaste.

Champ d’application matériel du RGPD (GDPR)

Le texte de la loi

L’article 2 précise de façon plus limitée le champ d’application matériel de la loi.


Article 2. Champ d’application matériel

  1. Le présent règlement s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier.
  2. Le présent règlement ne s’applique pas au traitement de données à caractère personnel effectué :
      • a) dans le cadre d’une activité qui ne relève pas du champ d’application du droit de l’Union;
      • b) par les États membres dans le cadre d’activités qui relèvent du champ d’application du chapitre 2 du titre V du traité sur l’Union européenne;
      • c) par une personne physique dans le cadre d’une activité strictement personnelle ou domestique;
      • d) par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre des menaces pour la sécurité publique et la prévention de telles menaces.

Comment l’interpréter?

La loi est donc extrêmement claire quant à son champ d’application. Elle s’applique à tout traitement par une organisation publique ou privée de données personnelles par un moyen informatisé ou non. Seules les données personnelles sont concernées. Les données d’entreprise (sur des processus, des procédures, des produits, etc.) ne sont pas concernées par le RGPD (GDPR). Les personnes physiques qui gèrent leusr contacts téléphoniques sur leur téléphone portable sont également exclues de la réglementation. En d’autres termes, si vous êtes une collectivité, une entreprise, une association à but non lucratif, et si vous recueillez et gérez des noms, prénoms, adresses email, photos, des numéros de sécurité sociale ou des adresses IP, alors le règlement s’applique et vous êtes dans l’obligation de mettre votre traitement en conformité.

Quelles sont les obligations principales du RGPD (GDPR)?

Pour vous mettre en conformité avant le 25 Mai 2018, nous pouvons déjà vous donner 10 recommandations clés à mettre en oeuvre immédiatement. Ce ne sera bien sûr pas suffisant pour être conforme mais cela démontrera au moins que vous avez initié la démarche.

RGPD/GDPR : Les obligations
Crédits : Vasily Merkushev – Fotolia.com

1. Identifiez les données à caractère personnel que vous traitez

Il peut s’agir de données relatives à vos clients, à des prospects, à des membres (dans le cas d’une association), à vos employés , etc. Et identifiez les traitements que vous mettez en oeuvre pour chacune d’entre elles. Les traitements peuvent être manuels (par exemple basées sur des formulaires papier) ou informatisés. Documentez tous ces éléments avec les types de traitements réalisés pour chaque type de données.

2. Etablissez un registre des traitements

La loi exige que vous teniez un registre détaillé de tous les traitements réalisées sur les données personnelles indépendamment du fait que le traitement soit manuel ou informatisé, réalisé en interne ou sous-traité. Ce registre des traitements, obligatoire, vous permettra de démontrer que tous les traitements réalisés sont conformes au RGPD(GDPR).

3. Obtenez le consentement explicite des personnes concernées avant tout traitement

Tout traitement de données personnelles doit être précédé de l’obtention du consentement explicite des personnes concernées. N’oubliez pas que la collecte constitue un traitement. Cela signifie qu’avant de débuter la collecte d’informations personnelles, la personne concernée doit avoir exprimé clairement son consentement. Ceci implique qu’il n’est plus possible d’avoir une simple case à cocher, déjà pré-cochée, à la fin d’un formulaire. Il faut d’abord qu’un écran préalable stipule les raisons explicites du traitement et leur durée. Le consentement doit impérativement être « actif » avant de pouvoir commencer la saisie des informations personnelles. A défaut de consentement, le formulaire de collecte ne doit même pas être présenté à la personne concernée. Tous les consentements doivent être conservés et présentés à l’autorité de contrôle sur simple demande.

4. Conservez une base légale à fournir sur demande à l’autorité de contrôle

On parle beaucoup de la nécessité d’obtenir le consentement des personnes. La réalité juridique c’est que le consentement n’est qu’une des 6 bases légales prévues au règlement (Article 6).

Le consentement n’est donc pas systématiquement nécessaire pour procéder au traitement de données à caractère personnel. Il existe des exceptions clairement définies au RGPD (GDPR) telles que lorsque la loi l’impose comme dans le cas des informations liées au droit du travail, de la médecine du travail ou du code des impôts par exemple. Mais en tout état de cause vous devez être en mesure de fournir tous les éléments au travers d’une base légale. Celle-ci doit être systématiquement tracée et vérifiée pour chaque traitement.

5. Evitez de traiter des données sensibles

Une autre obligation importante tient à l’interdiction de traitement des données sensibles, sauf exception explicitement prévue par la loi (Article 9). La première étape consiste déjà à déterminer si vous traitez des données sensibles. Au sens du RGPD (GDPR), on entend par données sensibles, des données qui peuvent avoir un impact sur les doits et libertés fondamentales des individus. Ainsi par exemple, l’origine ethnique ou raciale est une donnée sensible alors que les données financières ne le sont pas. Donc, en cas de doute, évitez de traiter des données sensibles sauf nécessité absolue et si vous êtes dans un des cas explicitement prévu par le RGPD (GDPR).

6. Pour chaque nouveau traitement important ou chaque nouveau projet réalisez une DPIA

L’analyse d’impact (DPIA) est un outil important pour la responsabilisation des organisations : elle les aide non seulement à construire des traitements de données respectueux de la vie privée, mais aussi à démontrer leur conformité au RGPD (GDPR). Elle est obligatoire pour les traitements susceptibles d’engendrer des risques élevés.

Ainsi, généralement, les traitements qui remplissent au moins deux des critères suivants doivent faire l’objet d‘une analyse d’impact :

  • évaluation/scoring (y compris le profilage) ;
  • décision automatique avec effet légal ou similaire ;
  • surveillance systématique ;
  • collecte de données sensibles ;
  • collecte de données personnelles à large échelle ;
  • croisement de données ;
  • personnes vulnérables (patients, personnes âgées, enfants, etc.) ;
  • usage innovant (utilisation d’une nouvelle technologie) ;
  • exclusion du bénéfice d’un droit/contrat.

Exemple : une entreprise met en place un contrôle de l’activité de ses salariés, ce traitement remplit le critère de la surveillance systématique et celui des données concernant des personnes vulnérables donc la réalisation d’un DPIA sera nécessaire.

7. Organisez vos processus internes en intégrant le RGPD dans chacun d’entre eux

Réorganiser vos processus interne en intégrant les obligations du RGPD implique notamment :

  • de prendre en compte de la protection des données personnelles dès la conception d’une application ou d’un traitement (minimisation de la collecte de données au regard de la finalité, cookies, durée de conservation, mentions d’information, recueil du consentement, sécurité et confidentialité des données, s’assurer du rôle et de la responsabilité des acteurs impliqués dans la mise en œuvre de traitements de données). Pour cela, appuyez-vous sur les conseils du délégué à la protection des données (DPO) ;
  • de sensibiliser et d’organiser la remontée d’information en construisant notamment un plan de formation et de communication auprès de vos collaborateurs ;
  • de traiter les réclamations et les demandes des personnes concernées quand à l’exercice de leurs droits (droits d’accès, de rectification, d’opposition, droit à la portabilité, retrait du consentement) en définissant les acteurs et les modalités (l’exercice des droits doit pouvoir se faire par voie électronique, si les données ont été collectées par ce moyen) ;
  • d’anticiper les violations de données en prévoyant la notification à l’autorité de protection des données dans les 72 heures et, dans certains cas, aux personnes concernées dans les meilleurs délais.

8. Revoyez tous les contrats avec vos sous-traitants et intégrez-y des clauses conformes au RGPD

Le Règlement prévoit que le responsable du traitement est responsable (« accountable ») des traitements. Les traitements qui sont confiés à des sous-traitants sont, bien entendu, inclus. Le RGPD prévoit donc un certain nombre de stipulations impératives devant figurer dans tout contrat de sous-traitance.

RGPD/GDPR : Les contrats de sous-traitance
Crédits : © Viorel Sima – Fotolia.com

Entre autres, parmi les clauses obligatoires :

  • le rappel du rôle du sous-traitant dans la mesure où il « ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement ». Le contrat de sous-traitance doit donc prévoir les modalités pratiques de réception de ces instructions de la part du responsable du traitement. Le sous-traitant devra, pour sa part, conserver les preuves des instructions du responsable du traitement ;
  • le respect de la confidentialité ;
  • le respect des mesures de sécurité imposées par l’article 32 du Règlement ;
  • les modalités de traitement des demandes d’exercices des droits des personnes concernées par le traitement de leurs données personnelles (Chapitre III du Règlement). Il s’agit notamment du droit d’accès, de rectification ou de limitation du traitement. Le Règlement ne met à la charge du sous-traitant qu’une obligation « d’aide » du responsable du traitement ;
  • le sort des données personnelles, en fin de contrat, au choix du responsable du traitement (restitution ou effacement) ;
  • la mise à la disposition du responsable du traitement de toutes les informations nécessaires lui permettant de démontrer le respect du Règlement avec la possibilité de réaliser d’éventuels audits ou inspections.

9. Formez la totalité de votre personnel en commençant par la Haute Direction jusqu’aux opérationnels

La mise en conformité au RGPD concerne l’ensemble des acteurs de l’Entreprise. La responsabilité échoit au Comité de Direction qui est responsable de la mise en oeuvre organisationnelle. Cela se traduira par la mise en oeuvre d’un système de management complet ainsi que son suivi régulier. Les exigences du RGPD sont transversales. Elles concernent absolument tous les métiers de l’Entreprise ainsi que tous les niveaux de management. Les opérationnels sont également concernés car ils auront la charge de la réalisation opérations quotidiennes. C’est donc l’ensemble du personnel qui doit être formé sur le contenu et les exigences du RGPD (GDPR).

Quelles directions sont concernées?

Est concernée au premier chef la Direction des Ressources Humaines qui gère les renseignements personnels relatifs aux salariés. La Direction des Achats est fortement impliquée également pour la mise en conformité des contrats de sous-traitance. La Direction juridique et de la Conformité sera la responsable idéale pour la mise en oeuvre et le suivi de la conformité. La DSI est également concernée, notamment dans le cadre de l’implémentation de la protection dès la conception et de la protection par défaut. Il s’agit là d’une exigence pour tous les systèmes informatiques utilisés pour le traitement de données personnelles. La Direction Marketing sera sans aucun doute également impactée pour déterminer les données personnelles à collecter. En cela, elle devra respecter le principe de minimisation des données. Bien sûr, toutes les équipes impliquées dans les projets et les opérations. Elles seront en charge d’intégrer les principes clés du RGPD dans leurs activités.

Quelles sont les formations disponibles?

Il est donc indispensable de former l’ensemble de ces acteurs sur les contenu de la réglementation. Il convient aussi de les former sur leurs propres responsabilités dans le respect du RGPD au sein de l’entreprise. A ce jour, plusieurs formations certifiantes existent. 2AB & Associates est d’ores et déjà en mesure de vous proposer des sessions de formation accréditées par EXIN et répondant aux besoins de l’ensemble de ces personnels :

  • Session de présentation exécutive (2  heures à 1/ journée) destinée aux membres du Comité de Direction
  • Sensibilisation au RGPD (1 journée) pour les managers en ayant un rôle dans la mise en conformité de l’Organisation
  • RGPD Foundation (2 jours) : formation certifiante destinée aux membres des équipes projets
  • RGPD Practitioner (3 jours) : formation pratique certifiante, basée sur des études de cas, destinée aux membres de l’équipe projet en charge de la mise en conformité et aux praticiens qui ont un rôle dans le suivi de la conformité au RGPD
  • Certification DPO ou Data Protection Officer (8 jours) : formation certifiante destinée spécifiquement aux DPO. Elle est composée des modules RGPD Foundation, RGPD Practitioner et ISO 27001 Foundation
  • Prochainement, nous vous proposerons une formation en e-Learning de sensibilisation pour l’ensemble des autres employés.

Toutes ce formations sont proposées en Français et en Anglais, selon le choix des Entreprises. Elles peuvent se dérouler dans le cadre de sessions internes à l’Organisation ou dans le cadre de nos sessions publiques.

10. Enfin, en cas d’obligation, nommez un DPO et communiquez ses coordonnées à l’autorité de contrôle

L’article 37 du règlement stipule que les organismes chargés de traiter des données désignent « en tout état de cause » un délégué à la protection des données (DPO) lorsque l’une des conditions suivantes est réalisée :

  • Le traitement est effectué par une autorité publique ou un organisme public, à l’exception des juridictions agissant dans l’exercice de leurs fonctions juridictionnelles ;
  • Les activités de base du responsable du traitement ou du sous-traitant consistent en des opérations de traitement qui, du fait de leur nature, de leur portée et/ ou de leurs finalités, exigent un suivi régulier et systématique des personnes concernées
  • Les activités de base du responsable du traitement ou du sous-traitant consistent en un traitement à grande échelle de catégories particulières de données à caractère personnel relatives à des condamnations pénales.

En résumé, les sociétés concernées sont donc celles qui sont amenées à traiter des données personnelles. Il n’y a pas de seuil plancher de taille. Une TPE remplissant les critères énumérés ci-dessus sera donc contrainte de nommer un DPO (data protection officer). En cas de non respect de cette exigence, les sanctions entrent en vigueur à partir du 25 mai 2018.

Vous avez des questions ou des remarques? N’hésitez pas à nous laisser un commentaire et nos experts vous répondront.

Catégories

Archives

Calendrier

mars 2019
L M M J V S D
« Fév    
 123
45678910
11121314151617
18192021222324
25262728293031
%d blogueurs aiment cette page :