Conseil GDPR au Tessin, Suisse

L’acronyme signifie Règlement général sur la protection des données (RGPD) et constitue le nouveau règlement européen sur la protection des données en vigueur depuis le 25 mai 2018.

Elle réglemente le traitement des données à caractère personnel par les entreprises privées, les administrations publiques et d’autres organisations. (Par traitement, on entend toute activité liée à la collecte, à l’agrégation, à l’extraction, à l’analyse, au stockage et au partage de données). Le GDPR exige que les données personnelles soient stockées et traitées en toute sécurité.

Le GDPR est conçu pour protéger les données personnelles de toute personne vivant dans l’Union européenne.

L’Union européenne et ses États membres sont responsables de l’application du GDPR. Chaque pays est tenu de mettre en place une autorité publique et indépendante de protection des données (DPA) chargée de faire appliquer le GDPR, de traiter les plaintes des particuliers, d’imposer des sanctions si nécessaire, d’approuver des codes de conduite et de sensibiliser ses citoyens. Les plaintes des particuliers contre les entreprises seront traitées par les autorités de protection des données et les tribunaux nationaux, ainsi que par la Cour de justice de l’Union européenne si nécessaire.

1 : Elle accorde aux individus de nouveaux droits (par exemple, le droit de transférer leurs données entre différentes entreprises et services et le droit de demander une copie de leurs données détenues par les entreprises) et oblige les entreprises/organisations à être plus transparentes (par exemple, elles doivent vous informer de l’origine et des finalités du traitement des données qu’elles traitent et elles doivent vous informer si elles vous profilent).
2 : Facilite et rend plus efficace le respect de la loi (par exemple en sanctionnant les entreprises ou en permettant aux citoyens de saisir directement la justice en cas d’infraction).
3 : simplifie les règles en appliquant exactement la même législation dans tous les États membres de l’UE et donne aux entreprises une plus grande flexibilité quant à la manière d’assurer la conformité.

Les données personnelles jouent un rôle central dans le GDPR, car le règlement ne s’applique pas indistinctement à toutes les données détenues par les entreprises. En pratique, on entend par données à caractère personnel toute information permettant d’identifier une personne. Étant donné que cette identification peut souvent se faire en regroupant plusieurs informations, la définition des données à caractère personnel est par conséquent assez large. Une pointure de chaussure, un hobby ou une photo, par exemple, peuvent être considérés comme des données à caractère personnel s’il est possible de retrouver la personne à laquelle ces informations appartiennent. Il convient de garder à l’esprit que ce n’est pas nécessairement le responsable du traitement lui-même qui est en mesure de procéder à l’identification.

Le règlement s’applique directement et indistinctement dans les 28 pays de l’Union européenne et concerne toutes les entreprises privées, les institutions publiques et les organisations qui détiennent et traitent des données à caractère personnel. Ces entités ont eu plus de deux ans, depuis le 27 avril 2016, pour se conformer au nouveau règlement. Mais il s’applique également aux entreprises et organisations opérant en dehors de l’UE : si une entreprise ou une organisation traite les données personnelles d’individus vivant dans l’UE, elle doit se conformer au GDPR, quel que soit son lieu d’implantation.

Oui. Dès qu’une entreprise surveille ou suit le comportement d’un utilisateur sur le territoire de l’UE, le règlement sera activé, quel que soit le lieu d’implantation de l’entreprise.

1 : Certains organes de l’État, notamment les services de sécurité nationale, les services répressifs et le pouvoir judiciaire, seront régis par des réglementations nationales distinctes.

2 : Les particuliers sont exemptés s’ils collectent des données pour un « usage personnel ou domestique », par exemple s’ils stockent des contacts personnels dans leur téléphone.

3 : Les églises et les associations religieuses peuvent conserver leurs propres organes de protection des données et leurs propres autorités de contrôle indépendantes, à condition que ces règles soient conformes au GDPR.

Si vous ne vous conformez pas au GDPR, l’Autorité de protection des données peut vous sanctionner. Cela peut se produire à la suite d’une plainte déposée par un particulier ou d’un contrôle décidé par l’Autorité elle-même. L’autorité de protection des données doit veiller à ce que la sanction soit efficace, proportionnée et dissuasive dans chaque cas. Elle tiendra compte, entre autres, de la nature et de la gravité de l’infraction, du degré de négligence qui y est associé, des mesures prises pour atténuer le préjudice et du budget de l’entreprise ou de l’organisation. Les sanctions peuvent atteindre 4 % du chiffre d’affaires annuel de l’entreprise ou 20 millions d’euros, le montant le plus élevé étant retenu.

Afin de pouvoir vous assister au mieux, nos consultants ont suivi des centaines d’heures de formation et ont passé avec succès des dizaines d’examens spécifiques. Nous sommes à votre disposition pour vous fournir des explications sur le règlement GDPR ou pour vous accompagner dans votre démarche de certification.