RGPD

Le règlement (UE) 2016/679, applicable depuis le 25 mai 2018, encadre tout traitement de données à caractère personnel réalisé par une organisation établie dans l'Union ou visant des personnes qui s'y trouvent. Il repose sur des principes : licéité et transparence, limitation des finalités, minimisation, exactitude, limitation de la conservation, sécurité et responsabilité (accountability).

Il confère aux personnes des droits (accès, rectification, effacement, opposition, portabilité, limitation) et impose aux organisations des obligations : registre des traitements, analyses d'impact, notification des violations, désignation d'un DPO dans certains cas, encadrement des sous-traitants et des transferts hors UE. En France, la CNIL en assure le contrôle.

Les amendes peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial. Au-delà, une violation de données mal gérée ou un refus de répondre à une demande d'accès se transforme vite en litige et en atteinte à la réputation. Le RGPD est aussi un prérequis contractuel : clients et donneurs d'ordre exigent des garanties de conformité.

• Tenir un registre des traitements à jour, avec finalités, bases légales et durées
• Informer les personnes (mentions, politique de confidentialité) et recueillir le consentement quand il est requis
• Encadrer chaque sous-traitant par un contrat conforme à l'article 28
• Traiter les demandes d'exercice de droits sous un mois
• Notifier à la CNIL toute violation présentant un risque sous 72 heures
• Réaliser une analyse d'impact pour les traitements à risque élevé

• Règlement (UE) 2016/679 du 27 avril 2016
• Loi n° 78-17 du 6 janvier 1978 modifiée (loi Informatique et Libertés)
• Lignes directrices du Comité européen de la protection des données (CEPD) et référentiels CNIL