Le RGPD, pourquoi ?
Un nombre croissant de données sont aujourd’hui collectées, structurées et analysées afin de permettre aux entreprises de comprendre, prévoir et parfois même agir sur leur environnement économique. Ces analyses sont désormais au cœur de l’élaboration de leurs stratégies.
Dans un contexte d’évolution technologique et de mondialisation, il a semblé nécessaire au législateur d’encadrer l’exploitation des données à caractère personnel, afin de veiller au respect des libertés individuelles. De nombreuses technologies permettent aujourd’hui de collecter des informations sur les individus (géolocalisation, réseaux sociaux, achats en ligne, traceurs de navigation internet, objets connectés, etc.), dont l’analyse combinée peut permettre d’établir facilement des profils.
Le RGPD, ou Règlement Général sur la Protection des Données, a pour but de protéger les individus et instaure une harmonisation des règles en la matière au niveau européen.
Qu’est-ce qu’une donnée personnelle ?
Une donnée personnelle est une donnée, ou une combinaison de données, relative à un individu permettant de l’identifier :
- Données directement identifiables : nom, prénom, photo, e-mail nominatif, etc.
- Données indirectement identifiables : numéro de sécurité sociale, empreinte digitale, etc.
Certaines données sont considérées comme sensibles et bénéficient d’une protection particulière : origines raciales ou ethniques, opinions politiques, philosophiques ou religieuses, appartenance syndicale, santé ou vie sexuelle. Une donnée n’est pas forcément numérique : la réglementation s’applique également aux données « papier ». Le champ d’application est large et concerne rapidement de nombreux processus de l’entreprise : ressources humaines, marketing et communication, commercial et relation client, etc.
Concrètement, le RGPD change quoi ?
Le RGPD vient renforcer le droit des individus en responsabilisant les acteurs traitant les données. Il introduit le principe d’accountability, c’est-à-dire l’obligation pour les entreprises de mettre en œuvre des mécanismes et procédures internes permettant de démontrer le respect des règles relatives à la protection des données.
Le responsable de traitement doit s’assurer de sa mise en conformité, de son maintien constant, et se donner les moyens de le prouver. Il faut donc documenter sa conformité, auditer régulièrement son système et sensibiliser ses équipes. Dans son contenu, le RGPD est une réglementation assez complexe, pour laquelle une expertise est nécessaire.
Quelles sanctions en cas de manquement ?
Les manquements sont sévèrement punis, puisqu’ils donnent lieu à des amendes qui, en fonction des infractions commises, peuvent être de l’ordre de 2 % du chiffre d’affaires ou 10 millions d’euros, ou de 4 % du chiffre d’affaires ou 20 millions d’euros. Des sanctions pénales peuvent également être prononcées.
Les données des clients et des salariés sont des données stratégiques : en assurer une maîtrise accrue est une démarche qui doit permettre d’augmenter la performance de l’entreprise. La sécurité de ces données doit être au cœur des préoccupations du dirigeant.
FAQ – RGPD et conformité des entreprises
Quelles entreprises sont concernées par le RGPD ?
Toutes les entreprises qui collectent ou traitent des données à caractère personnel sont concernées, quelle que soit leur taille, dès lors qu’elles ciblent des résidents européens.
Qu’est-ce que le principe d’accountability introduit par le RGPD ?
C’est l’obligation pour les entreprises de documenter leur conformité, de l’auditer régulièrement et de se donner les moyens de prouver le respect des règles de protection des données, plutôt que de simplement les respecter formellement.
Quelles sont les sanctions encourues en cas de non-conformité ?
Les amendes peuvent atteindre 2 % du chiffre d’affaires ou 10 millions d’euros, ou 4 % du chiffre d’affaires ou 20 millions d’euros selon la gravité de l’infraction, auxquelles peuvent s’ajouter des sanctions pénales.
Les données papier sont-elles concernées par le RGPD ?
Oui, la réglementation s’applique aussi bien aux données numériques qu’aux données conservées sur support papier, dès lors qu’elles permettent d’identifier une personne.
Quels processus de l’entreprise sont concernés par le RGPD ?
De nombreux processus sont concernés : ressources humaines, marketing et communication, commercial et relation client, ainsi que tout traitement impliquant des données personnelles de salariés, clients ou prospects.
