Le RGPD (Règlement Général de Protection des Données) est rentré en vigueur le 25 mai 2018. Mais il a été adopté par l’union européenne le 14 avril 2016.

Mais force est de constater que bon nombre d’organisation (privées & publiques) ne savent pas ce que recouvre ce texte…et encore moins quels sont les impacts. C’est pourquoi, il est toujours bon de commencer par le commencement…à savoir quelques définitions importantes :

Qu’est qu’une donnée personnelle ?

Sur la base de l’article 4 alinéa 1 du Chapitre 1 du RGPD :

« toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée « personne concernée »); est réputée être une « personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale»

Outre le nom, prénom, adresse postale,etc… cela inclut aussi des éléments indirectes comme le numéro de téléphone, adresse IP, numéro de client, numéro de carte bancaires, etc…  mais aussi des éléments encore plus indirects comme des données qui déduisent l’attachement à une personne (achats, déplacements, centre d’intérêts,…). En bref, il n’ y a pas beaucoup d’éléments qui échappent à cette définition. A contrario, parmi les rares exceptions, une adresse email de type « contact@monentreprise.com » n’est pas une donnée de type personnelle car il n’y a pas de personne directement affectée à cet email. Evidemment il peut y avoir une personne qui traite les emails reçus… Mais ce n’est pas forcément la même et cela peut changer.

Qu’est qu’un traitement de donnée ?

Sur la base de l’article 4 alinéa 2 du chapitre 1 du RGPD :

« Un traitement regroupe toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction;»

Remarque importante : Le traitement de données personnelles N’EST PAS le traitement informatique. Il concerne aussi le traitement papier des données. Il faut raisonner en terme de finalité (objectif, à quoi ça sert) et non en applications et logiciels.

Parmi les traitements les plus connus, on peut trouver :

• Sécurité des biens et des personnes : registre à l’accueil, vidéosurveillance, etc.
• Gestion du personnel : formation, gestion administrative, etc.
• Recrutement du personnel : gestion des CV, etc..
• La communication d’informations commerciales : newsletter, publipostage,etc.
• Suivi commercial : CRM, fiches papiers clients et prospects

Qui sont les grands acteurs du RGPD ?

Nous avons 3 grandes catégories d’acteurs :

• «responsable du traitement», la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement; lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de l’Union ou le droit d’un État membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l’Union ou par le droit d’un État membre;
• «sous-traitant», la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement;
• Les autres catégories que l’on regroupe volontairement. Dans ce groupe on trouve les notions suivantes :
  • «destinataire», la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui reçoit communication de données à caractère personnel, qu’il s’agisse ou non d’un tiers. Toutefois, les autorités publiques qui sont susceptibles de recevoir communication de données à caractère personnel dans le cadre d’une mission d’enquête particulière conformément au droit de l’Union ou au droit d’un État membre ne sont pas considérées comme des destinataires; le traitement de ces données par les autorités publiques en question est conforme aux règles applicables en matière de protection des données en fonction des finalités du traitement;
  • «tiers», une personne physique ou morale, une autorité publique, un service ou un organisme autre que la personne concernée, le responsable du traitement, le sous-traitant et les personnes qui, placées sous l’autorité directe du responsable du traitement ou du sous-traitant, sont autorisées à traiter les données à caractère personnel;

Ce qu’il faut retenir :

L’entreprise ou l’organisation est appelée « responsable du traitement » , il porte évidemment la responsabilité de la mise en place des processus qui peuvent être affecté par le RGPD.

La notion de sous-traitant est très importante car bien souvent, au titre du RGPD, il est peu être co-responsable au même titre que le responsable de traitement. Il est important donc de savoir ce que l’on confie à son sous-traitant et surtout comment il sécurise les données qu’il traite. C’est pourquoi, il devient imortant de s’assurer que vos sous-traitants sont bien conformes.

De plus au sein des organisations, on parle souvent de DPO : Data Protection officer ou en français DPD, Délégué à la Protection des Données. Pour résumer c’est la personne référente qui aide le chef d’entreprise à être conforme. Cela peut aussi être fait par une entreprise tierce dans le cadre d’un contrat de service. A noter que pour les organisation de plus de 250 salariés, cette personne est obligatoire. En dessous…c’est fortement apprécié de la CNIL !