Conformité avec le RGPD : 4 actions à mettre en place !

par
5
Consulter un avocat spécialisé en RGPD

Sommaire

  1. Le RGPD expliqué en deux minutes
  2. Voici donc 4 actions concrètes à mener pour être quasiment prêt pour le RGPD !
Consulter un avocat spécialisé en RGPD

Même si la limite de mise en place du RGPD (Règlement Général de Protection des Données) a été fixée à fin mai 2018 et que des adaptations peuvent voir le jour d’ici là, il est plus que conseillé dès maintenant de mettre en place quelques actions concrètes pour être en conformité avec cette loi qui révolutionne la collecte et le traitement des données.

Le RGPD expliqué en deux minutes

 

 

Voici donc 4 actions concrètes à mener pour être quasiment prêt pour le RGPD !

 

1 – Lister toutes les collectes et traitements de données personnelles faites dans l’entreprise

Le RGPD a redéfini ce que sont les données « personnelles », à savoir les données permettant d’identifier une personne : « est réputée identifiable une personne qui peut être identifiée directement ou indirectement (…), notamment par référence à un identifiant, par exemple un nom, un numéro d'identification, des données de localisation, ou un identifiant en ligne, ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale »

Si l’entreprise collecte (en interne -par exemple pour des besoins RH- ou en externe) des données qui permettent d’identifier une personne (adresse, mail, nom, prénom, localisation mais aussi simple adresse IP), que ce soit directement ou via un prestataire, alors elle doit commencer par recenser toutes les actions de collectes de données ainsi que les traitements qui en sont faits.

Pour chaque collecte ou traitement, il faut savoir :

  • ce qui est collecté ou traité (quelles données exactement)
  • d’où les données sont récupérées
  • où les données sont stockées
  • à qui ou à quel traitement les données sont soumises

Pour en savoir plus, découvrez comment nos équipes se sont organisées en interne pour y arriver !

2 – Vérifier si les données que l’on collecte ou traite sont bien uniquement celles dont on a besoin

Ce point est un des plus délicats du RGPD. La loi veut en effet qu’on ne collecte uniquement que les données dont on a besoin dans le cadre de son business. Or en pratique, on collecte souvent plus de données que nécessaire.

Dans un premier temps, avant qu’on ne sache exactement comment va s’appliquer le RGPD concrètement, il est nécessaire de savoir exactement si les données qu’on collecte ou qu’on traite sont celles dont on a besoin pour l’activité de l’entreprise ou si on en récupère ou traite d’autres.

 

3 – Revoir les contrats des sous-traitants qui traitent ou transmettent des données

Les sous-traitants d’une entreprise qui sont concernés par le RGPD peuvent être des prestataires de services informatiques (hébergement, sécurité, sauvegarde, etc..) ou des prestataires de marketing , de communication, de maintenance, etc.

Si de par la nature de leurs travaux, ces prestataires ont accès aux données personnelles de l’entreprise, alors il faut sécuriser ceci et notamment changer la nature du contrat que l’on a avec eux.

Le nouveau règlement européen induit en effet une logique de responsabilisation de tous les acteurs impliqués dans le traitement des données personnelles (qu’ils soient ou non établis au sein de l’UE ), dès lors que ces dernières concernent des résidents européens.

Des obligations spécifiques sont imposées aux sous-traitants qui doivent aider les responsables de traitements dans leur démarche de mise en conformité des traitements.

La loi exige « des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du présent règlement et garantisse la protection des droits de la personne concernée » (article 28 du RGPD).

Ainsi, les contrats avec les sous-traitants doivent mentionner la réalité des dispositions de l’article 28 RGPD (article spécifique aux sous-traitants) avec notamment :

  • l’objet et la durée de la prestation effectuée pour le compte du client
  • le type de données à caractère personnel que vous traitez pour le compte de votre client
  • les catégories de personnes concernées
  • vos obligations et vos droits en tant que responsable de traitement
  • l’engagement du sous-traitant de signaler immédiatement toute fuite de données.

Il est conseillé également de mettre par écrit les instructions données au sous-traitant afin de prouver le cas échéant sa bonne foi et ceci implique de décrire précisément les traitements qui lui sont demandés.

Par ailleurs, il faut que le sous-traitant indique si lui-même fait appel à des sous-traitants ou pas (et dans ce cas, outre le fait de le permettre ou pas, il faut lui demander de garantir qu’il leur a imposé les dispositions du RGPD).

Le sous-traitant doit également garantir que ses outils, applications, services respectent le RGPD notamment en ce qui concerne la quantité de données collectées, l’étendue de leur traitement, la durée de conservation et le nombre de personnes qui y a accès.

A propos de ce dernier point, les employés du sous-traitant doivent être soumis à une obligation de confidentialité.

 

4 - Assurer le respect des droits des personnes concernées par leurs données personnelles (accès, rectification, portabilité, suppression)

Selon le RGPD, toute personne dont les données personnelles sont dans une entreprise a plusieurs droits.

Accès et rectification :
- droit d’accès aux informations et droit de rectification

Portabilité :
- Droit d’obtenir les données dans un format structuré, couramment utilisé et lisible par une machine
- Droit de transférer les données directement auprès d’un nouveau responsable du traitement.
Droit d’opposition :
- La personne peut s’opposer à tout moment, au traitement de ses données y compris pour le profilage
- Le responsable du traitement doit informer la personne concernée de son droit d'opposition « au plus tard au moment de la première communication avec la personne concernée » ;
Il est à noter qu’en ce qui concerne le droit d’opposition, le responsable du traitement évalue le droit de la personne concernée au non traitement de ses données et doit aussi prendre en compte les motifs légitimes à poursuivre ce traitement malgré cette opposition. La décision éventuelle de continuer doit être motivée.

Par ailleurs, si le traitement est « nécessaire à l'exécution d'une mission d'intérêt public », les personnes concernées ne peuvent s'y opposer avec succès.

Maxime

Écrit par

Maxime

Après avoir travaillé en finance à l'international puis dans la grande distribution en France, Maxime est devenu dirigeant d'entreprise. En contact avec de nombreux entrepreneurs, sa mission est de simplifier l'accès au droit grâce au numérique et favoriser le développement de l'entrepreneuriat en France.

Tous les articles similaires

Consultez nos articles pour parfaire vos connaissances

Quelles sont les sanctions en cas de non-respect du RGPD ?

La protection des données est l’une des questions les plus importantes de notre époque ultra ...

Amélie Gautier

Amélie Gautier

RGPD : évaluez en 20 questions la conformité de votre entreprise

Le 25 mai prochain, le nouveau Règlement Général sur la Protection des Données (RGPD) entrera en ...

Maxime

Maxime

L'éditeur de logiciel Saas face au RGPD, par Me Znaty

Vous êtes éditeur de logiciel SaaS et intervenez en tant que prestataire pour le compte de ...

Me Benjamin Znaty

Me Benjamin Znaty

Règlement général sur la protection des données (RGPD) : quel impact sur les conditions générales de vente (CGV) ?

Le Règlement général sur la protection des données (RGPD), applicable depuis le 25 mai 2018, vise à ...

Me Mathilde Lefroy

Me Mathilde Lefroy

La clause de confidentialité dans le contrat de travail

Pour éviter la divulgation d’un secret professionnel par un employé, le droit français a créé un ...

Maxime

Maxime

Accord de confidentialité : pourquoi et comment le rédiger ?

Vous envisagez de transmettre des informations sensibles à un partenaire commercial potentiel ? Au ...

Philippe

Philippe

Les limites de la protection des données personnelles du salarié

Dans le cadre d’une entreprise, de nombreuses informations au sujet du salarié sont conservées pour ...

Maxime

Maxime

Qu’est-ce qu’une charte/politique de confidentialité ?

En raison du fort développement des services en ligne, les données personnelles des utilisateurs ...

Me Julien Smadja

Me Julien Smadja

RGPD : qui est concerné ?

L’Union européenne a adopté le 14 avril 2016 le règlement général sur la protection des données ...

Maxime

Maxime

Commentaires

Laisser un commentaire

Vous avez démarré un dossier de chez nous… Vous pouvez le reprendre dès maintenant !

Reprendre votre dossier