lecteurs.ch

Le GDPR est une nouvelle réglementation créée par l’Union européenne. Il a été élaboré pendant quatre ans et a finalement été approuvé le 14 avril 2016. Il remplacera son prédécesseur, la directive 95/46/CE sur la protection des données, qui a été adoptée en 1995.

Le GDPR vise à réglementer le traitement des données personnelles des personnes, ci-après dénommées « citoyens de l’UE », résidant dans l’Espace économique européen (EEE), c’est-à-dire les États membres de l’UE ainsi que l’Islande, le Liechtenstein et la Norvège. Le GDPR est conçu pour avoir une portée plus large et comprend d’autres changements majeurs qui tiennent compte du paysage actuel de la cybersécurité.

En bref, le GDPR s’appuie sur la directive précédente. Certains des principaux changements sont les suivants :

• Un champ d’application territorial élargi : Le GDPR s’applique à toutes les entreprises traitant les données personnelles des personnes concernées résidant dans l’UE/EEE, quelle que soit la localisation de l’entreprise. Pour élaborer, le GDPR s’applique au traitement des données personnelles par les contrôleurs (entreprises) et les processeurs (entités qui traitent les données pour les entreprises) dans l’UE/EEE, que le traitement lui-même ait lieu ou non dans l’UE/EEE. Les entreprises basées hors de l’UE/EEE qui traitent les données de citoyens de l’UE devront également désigner un représentant dans l’UE/EEE. Le GDPR s’appliquera également au traitement des données personnelles des personnes concernées dans l’UE/EEE par un responsable du traitement ou un sous-traitant non établi dans l’UE/EEE. En substance, toutes les entreprises et organisations du monde entier sont concernées dès lors qu’elles traitent des données personnelles de citoyens de l’UE.
• Des sanctions globales en cas de violation du règlement : Les organisations et entreprises jugées en violation du GDPR se verront infliger des amendes en fonction de l’ampleur et du type de leur infraction. Une autorité de contrôle évaluera la violation (par exemple, un manquement, une violation de données) afin de déterminer le type de sanction qui sera imposé. Elle suit une approche par paliers pour les amendes.
• Un consentement plus clair et concis : Les organisations et les entreprises ne seront plus autorisées à utiliser des conditions générales longues et illisibles et des formulaires complexes pour demander le consentement des clients. Ces formulaires doivent être remis dans un format intelligible et facilement accessible, en utilisant un langage clair et simple. Le consentement doit être donné de manière explicite et les clients doivent également être en mesure de retirer facilement ce consentement.
• Notifications de violation : Les organisations et les entreprises doivent notifier les autorités de surveillance et leurs clients en cas de violation de données susceptible de mettre en danger les droits et libertés des personnes. Cette notification, qui doit avoir lieu dans les 72 heures suivant la découverte d’une violation, sera obligatoire. Cela s’applique également aux entreprises de traitement des données qui doivent notifier leurs clients.
• Droits d’accès : Les personnes concernées pourront obtenir des entreprises la confirmation que leurs données personnelles sont traitées ou non, où et dans quel but. L’entreprise doit également fournir gratuitement une copie des données personnelles du client à sa demande.
• Droit à l’effacement : Le « droit à l’oubli » permet à la personne concernée de demander à l’entreprise d’effacer ses données personnelles. Ce droit à l’effacement des données n’est pas absolu et peut être revendiqué sous certaines conditions : retrait du consentement ; les données ne sont plus pertinentes au regard des finalités initiales du traitement. Ce droit est soumis à des préoccupations d’intérêt public ou de sécurité nationale.
• Portabilité des données : La personne concernée pourra désormais recevoir et transmettre dans un format commun et lisible par machine toute donnée personnelle obtenue précédemment (qui la concerne) à une autre entreprise.
• Protection de la vie privée dès la conception et par défaut : Le respect de la vie privée dès la conception est une approche informelle commune – Elle signifie que chaque nouveau service ou processus commercial qui utilise des données personnelles doit prendre en compte la protection de ces données. Le respect de la vie privée par défaut signifie simplement que les paramètres de confidentialité les plus stricts s’appliquent automatiquement lorsqu’un client acquiert un nouveau produit ou service. Cela signifie qu’aucune modification manuelle des paramètres de confidentialité ne doit être requise de la part de l’utilisateur pour sélectionner le paramètre le plus strict. Le GDPR fait de la protection de la vie privée dès la conception une disposition majeure et, par conséquent, l’inclusion de la protection des données comme élément clé de la conception devient un objectif intégral de toute conception de système, dès le départ.
• Délégués à la protection des données : Le délégué à la protection des données (DPD) sera une pierre angulaire importante du GDPR. En plus de soutenir la conformité d’une organisation avec le GDPR, le DPD aura le rôle essentiel de servir d’intermédiaire entre l’organisation et les autorités de contrôle, les personnes concernées, etc. Toutes les organisations/entreprises n’auront pas besoin d’un DPD ; certains critères déterminent si un DPD est nécessaire ou non.