THE GDPR BUZZ : êtes-vous prêt pour le jour J ?

En 2016, lorsque le GDPR, le règlement général de l'UE sur la protection des données, a été voté, tout le monde l'a pris à la légère, étant très probablement peu clair sur son contenu. Même si le jour J avait été annoncé depuis, les chefs d'entreprise ont trouvé d'autres sources de stress, le GDPR étant encore considéré comme une affaire floue. Aujourd'hui, le temps nous est presque compté et cette nouvelle réglementation nous a rattrapés. Ce qu'il faut faire au plus vite, c'est mettre les choses à plat et élaborer un plan d'action. Faisons donc un petit tour dans le GDPR et vérifions le quoi, le qui et un peu le comment de cette affaire.
 

Remettre les pendules à l'heure

Commençons par l'essentiel. Qu'est-ce que cette entreprise GDPR exactement ?

En 2016, l'UE a décidé d'apporter plusieurs changements notables à la loi sur la protection des données déjà existante. Puisque nous parlons d'un texte de loi vieux de 22 ans, la nécessité d'un changement est évidente, d'autant plus que nous nous vantons constamment de la vitesse impressionnante à laquelle la technologie progresse. Le GDPR s'attaque à la manipulation des données personnelles au sein de l'espace européen, plus précisément dans les 28 nations membres.

Lorsqu'on mentionne les données personnelles dans le contexte du GDPR, la référence spécifique concerne tout élément d'information conduisant à une personne physique identifiée ou identifiable. Pour faire simple, le GDPR concerne les personnes et leur droit à la confidentialité des données. Dans un monde gouverné par la technologie, le GDPR intervertit les rôles, en donnant le pouvoir sur les boutons de contrôle aux personnes, en s'assurant qu'elles savent comment les utiliser.

Outre les données à caractère personnel, qui sont un terme clé dans cette nouvelle réglementation, vous avez également le traitement, qui est tout aussi important. Le traitement des données à caractère personnel est une notion large, mais elle est destinée à l'être. Si vous faites quoi que ce soit avec des données personnelles, la collecte, le stockage, l'adaptation, la transmission, vous le nommez, c'est considéré comme un traitement. Maintenant, faites-le dans l'espace de l'UE et vous êtes soumis à ce nouvel ensemble de règlements.

Compte tenu de la charge de travail qu'il implique, le GDPR a été assorti d'amendes pour s'assurer que toutes les entreprises s'y conforment. Pour vous donner une idée du type d'amendes qui ont été fixées, une amende pour non-conformité au GDPR peut atteindre le montant stupéfiant de 20 millions d'euros ou 4 % de votre chiffre d'affaires annuel, le montant le plus élevé étant retenu.

Qui êtes-vous exactement ?

La nouvelle règle de protection des données fait référence aux entreprises qui vendent des biens/services dans l'espace de l'UE. Toutefois, plusieurs interprétations doivent également être prises en compte. Par exemple, votre entreprise pourrait être soumise au GDPR si vous traitez les données personnelles de citoyens européens à des fins de marketing. Vous pourriez être prompt à objecter en mentionnant que votre entreprise est basée en dehors de l'espace européen. Ne vous réjouissez pas trop vite, car le problème est toujours là. Si vous traitez des données de citoyens de l'UE pour quelque raison que ce soit, vous êtes en fait soumis au GDPR.

En plaçant le GDPR dans le contexte actuel, trois groupes ont pris vie.

• Personne concernée : une personne identifiable
•  Responsable du traitement : une personne physique ou morale, une autorité publique, une organisation ou une agence qui détermine la finalité des données collectées.
• Responsable du traitement : une personne physique ou morale, une autorité publique, une organisation ou une agence qui traite des données pour le compte du responsable du traitement.

Il est clair que chacune des catégories énumérées ci-dessus a des droits/obligations différents. Les responsables du traitement et les collecteurs de données ont plus ou moins les mêmes obligations, leur interaction étant régie par un contrat, dans lequel le responsable du traitement doit clairement préciser la nature, la durée et la finalité du traitement des données.

D'autre part, grâce au GDPR, les personnes concernées ont gagné plusieurs droits parmi lesquels on peut citer le droit de se voir demander un consentement, le droit à l'oubli, le droit d'accès aux données, ou encore le droit de recevoir des notifications de violation.

Alors, quelle est la suite ?

Malheureusement, les choses ne s'arrêtent pas à choisir un camp et à décider où votre entreprise s'intègre le mieux. Le plus grand défi de tous n'est pas de lire et de comprendre le GDPR, bien que nous parlions de 88 pages de texte juridique pur et dur. Le plus grand défi de tous est de se mettre en conformité avant le 25 mai 2018. Voici plusieurs points que vous pourriez vouloir étudier en profondeur :

• Mettez-les dans le coup : Vous devez commencer à repenser l'idée de consentement, car désormais, le pouvoir est entre les mains du client. Dans le cadre du GDPR, aucune action liée aux données ne peut être effectuée en l'absence d'un consentement obtenu, clair et direct, qui peut être prouvé à tout moment.
• Une question amusante : les personnes concernées ayant désormais le droit de demander la portabilité des données, les entreprises doivent être en mesure de répondre à ce type de demande. Vous devrez mettre au point un système permettant de porter les données d'un environnement sûr à un autre sans rencontrer de complications.
• Cette fois, tout repose sur vous : Le traitement des données personnelles est devenu une question délicate, très similaire à la manière dont nous traiterions des données sensibles. Le consentement sur les données personnelles est en soi une possession précieuse, et il faut donc mettre en place une documentation plus stricte, y compris des enregistrements de données bien faits.
• Alerte à la violation S.O.S. : En cas de violation de données reconnue comme un risque pour les personnes concernées, affectant potentiellement leurs libertés et leurs droits, les entreprises sont tenues de notifier les individus, ainsi que les autorités habilitées. Ainsi, un plan à cet égard est requis.

Puisque le monde a encore besoin d'informations sur le GDPR, sachez qu'une liste de contrôle de toutes les étapes à prendre en considération pour le GDPR est en cours d'élaboration et sera publiée. Restez donc à l'écoute et commencez à faire vos devoirs sur le GDPR.

Avis de non-responsabilité : veuillez garder à l'esprit que cet article ne doit pas être considéré comme un conseil juridique pour se conformer au GDPR. Le seul objectif de cet article est de faciliter une meilleure compréhension de la loi européenne approuvée sur la confidentialité des données.

Si vous avez besoin d'un conseil juridique en la matière, nous vous invitons à solliciter l'assistance d'un avocat, qui pourra appliquer le GDPR aux besoins spécifiques de votre entreprise.