Web

Le RGPD, Règlement général sur la protection des données : que faut-il retenir ?

Posted on
Le RGPD, Règlement général sur la protection des données : que faut-il retenir ?

Entré en application le 25 mai 2018, le Règlement général sur la protection des données ou RGPD renforce la responsabilité des organismes, donc les droits des citoyens de l’Union européenne, en matière de protection optimale des données. Ainsi, toute entreprise et association appartenant à l’un des 28 États membres, ainsi que celles issues des pays hors UE collectant et traitant des données de résidents européens doivent être en mesure de prouver à tout moment leur conformité.

 

 

RGPD, principes clés

Transparence

Tout site internet concerné par le RGPD a pour obligation d’indiquer clairement à ses visiteurs les raisons pour lesquelles :

  • Il collecte ses données,
  • La manière dont ces données seront utilisées,
  • Combien de temps elles seront conservées,
  • Les tiers qui y accéderont

Toutes ces informations doivent être écrites de manière compréhensible, dans un format concis, lisible, rédigé de manière à être compris par tous. Exemple : « Ce site utilise des cookies pour vous proposer des contenus adaptés à vos centres d’intérêt et pour réaliser des statistiques de visites.» Concernant le consentement, il ne s’agit pas d’une cache à cocher, mais d’un acte positif (J’accepte)

Le droit des utilisateurs

Tout utilisateur doit bénéficier du droit d’accès à ses données (formulaire, adresse email, courrier…). Parmi les exemples les plus connus, citons Apple, qui permet aux internautes de télécharger toutes les données que l’entreprise possède sur eux. Parlons également :

  • Du droit à l’oubli (par exemple : photo ou information gênante),
  • Du droit à l’effacement (lorsqu’on se désabonne d’un site)
  • Du déférencement sur un moteur de recherche.
  • Du droit à la portabilité, qui permet, une fois ses données personnelles récupérées, de les transmettre à un autre site

Responsabilité des entreprises

Les entreprises sont responsables de deux éléments principaux : des données qu’elle récolte et de celles transmises à des sous-traitants. Néanmoins, il existe un filet de sécurité : ces entreprises doivent à tout instant être en mesure de prouver qu’elles sélectionnent les données collectées ou rejetées et qu’elles sont capables de protéger les données de leurs clients.

Dans le cas échéant, si les données ont été piratées ou diffusées par un tiers, l’entreprise dispose de 72 heures pour le signaler aux propriétaires des informations en question, ainsi qu’aux autorités compétentes.

Toute entreprise qui manque à ces obligations peut être sanctionnée (jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires), à condition évidemment d’être rapportée à la Commission nationale de l’informatique et des libertés ou CNIL en France).

 

Le RGPD, Règlement général sur la protection des données : que faut-il retenir ?

 

Mise en place du RGPD au sein des entreprises

La CNIL (Commission nationale de l’informatique et des libertés) divise la mise en place du Règlement général sur la protection des données en 6 étapes :

Étape 1 – Désignation du délégué à la protection des données

Le délégué à la protection des données est chargé de piloter la gouvernance des données personnelles de toute structure. Ce délégué exerce une mission d’information, de conseil et de contrôle en interne.

Étape 2 – Cartographie du traitement des données personnelles

Cette étape consiste pour l’entreprise à recenser très précisément la méthodologie en place pour traiter les données personnelles. Pour cela, il faut élaborer un registre des traitements, qui reprend notamment les informations suivantes (article 30 du RGPD) :

  • Qui sont les parties prenantes qui interviennent dans le traitement des données ?
  • Quelles sont les catégories de données qui sont traitées ?
  • À quoi servent ces données ?
  • Qui accède à ces informations et à qui sont-elles communiquées ?
  • Combien de temps devront-elles être conservées ?
  • Comment sont-elles sécurisées?

Étape 3 – La priorité des actions à mener

En se basant sur le registre des traitements de données personnelles, l’entreprise est désormais capable d’identifier les actions à mener pour se conformer au RGPD. Cela fait, elle doit prioriser les actions à mener afin de sécuriser le traitement des droits et des libertés des propriétaires de données.

Étape 4 – La gestion des risques

Si certains traitements de données personnelles sont susceptibles d’engendrer des risques élevés pour les droits et libertés des personnes concernées, l’entreprise doit mener une analyse d’impact sur la protection des données (PIA) pour chacun de ces traitements mis en exergue.

Étape 5 – Organisation des processus internes

Pour une protection des données personnelles durable et de haut niveau, la mise en place de procédures internes garantit la prise en compte de la protection des données à tout moment. Pour cela, les procédures doivent prendreen compte l’ensemble des événements susceptibles de survenir au cours de la vie d’un traitement (ex. : faille de sécurité, gestion des demandes de rectification ou d’accès, modification des données collectées, changement de prestataire).

Étape 6 – Documentation de conformité

Afin de prouver sa conformité au règlement, l’entreprise doit constituer et regrouper la documentation nécessaire. Les actions et documents réalisés à chaque étape doivent être réexaminés et actualisés régulièrement pour assurer une protection des données en continu.

 

Le RGPD, Règlement général sur la protection des données : que faut-il retenir ?

 

Qu’en est-il des entreprises hors UE collectant et traitant des données de résidents européens ?

Toute entreprise qui gère les données personnelles des citoyens de l’Union européenne a l’obligation légale d’avoir un registre des traitements. Néanmoins, les PME de moins de 250 salariés peuvent bénéficier d’une dérogation, en inscrivant notamment les données traitées de manière occasionnelle et relatives à la gestion de la paie, aux clients, fournisseurs ou prospects, notamment.

Attention : si les traitements comportent un risque sur les droits et libertés des personnes, cela doit être mentionné dans le registre de la PME.

Les entreprises auxquelles nous confions des informations personnelles en sont responsables. Chaque acteur doit garder en tête que des sanctions existent désormais en cas de non-respect du RGPD. Depuis le scandale Cambridge Analytica, la protection des données n’est plus une option, mais un devoir, une obligation légale, morale et sociale.

 

Ict.io passe également en conformité avec le RGPD !

Le magazine numérique, Ict.io vous garantit une sécurité complète de vos données, se basant sur les normes imposées par le RGPD.  En naviguant sur le site du magazine, vous pouvez accepter ou refuser que les cookies relèvent ou pas vos données. De plus, votre abonnement à notre newsletter par le biais de vos coordonnées (nom ou adresse mail) sont conservées et protégés par la réglementation en vigueur. A savoir qu’à tout moment vous pouvez vous désabonner et demandez que vos données soient complètement effacées de notre système en nous écrivant à l’adresse suivante : hello@ict.io .

Pour toutes informations supplémentaires, n’hésitez pas à nous le notifier. Nous vous invitons aussi à lire notre politique de confidentialité se trouvant sur le site.

 

 

 

 

Related Items:
Web

Le RGPD, Règlement général sur la protection des données : que faut-il retenir ?

Posted on
Le RGPD, Règlement général sur la protection des données : que faut-il retenir ?

Entering into force on May 25, 2018, the General Data Protection Regulation or GDPR strengthens the responsibility of organizations, and therefore the rights of EU citizens, to protect their data to the fullest extent possible. Thus, any company and association from one of the 28 Member States, as well as those from outside the EU collecting and processing data of European residents, must be able to prove their compliance at any time.

 

 

RGPD, key principles

Transparency

Any website affected by the GDPR has an obligation to clearly indicate to its visitors the reasons why :

  • It collects its data,
  • How this data will be used,
  • How long they will be kept,
  • The third parties who will access it

All of this information should be written in an understandable way, in a concise, readable format, written in such a way that it can be understood by everyone. Example: “This site uses cookies to offer you content tailored to your interests and to carry out visit statistics.” Regarding consent, it is not a checkbox, but a positive act (I accept)

The right of users

All users must have the right to access their data (form, email address, mail…). One of the best known examples is Apple, which allows Internet users to download all the data the company has on them. Let’s also talk about :

  • The right to be forgotten (e.g.: embarrassing photo or information),
  • The right to erasure (when unsubscribing from a site)
  • Deferencing on a search engine.
  • The right to portability, which allows, once his personal data recovered, to transmit them to another site

Corporate responsibility

Companies are responsible for two main elements: the data they collect and the data they pass on to subcontractors. However, there is a safety net: these companies must at all times be able to prove that they are selective in what data they collect or discard and that they are able to protect their customers’ data.

If the data has been hacked or distributed by a third party, the company has 72 hours to report this to the owners of the information in question, as well as to the relevant authorities.

Any company that fails to comply with these obligations can be sanctioned (up to 20 million euros or 4% of turnover), provided, of course, that it is reported to the Commission nationale de l’informatique et des libertés (CNIL in France).

 

Le RGPD, Règlement général sur la protection des données : que faut-il retenir ?

 

Implementation of the RGPD within companies

The CNIL (Commission Nationale de l’Informatique et des Libertés) divides the implementation of the General Data Protection Regulation into 6 stages:

Step 1 – Appointment of the Data Protection Officer

The Data Protection Officer is responsible for leading the governance of personal data in any organization. This delegate is responsible for providing information, advice and internal control.

Step 2 – Mapping the processing of personal data

This step consists of the company taking a very precise inventory of the methodology in place to process personal data. To do this, a register of processing must be drawn up, which includes the following information(Article 30 of the RGPD):

  • Who are the stakeholders involved in data processing?
  • What categories of data are processed?
  • What is the purpose of this data?
  • Who has access to this information and to whom is it disclosed?
  • How long should they be kept?
  • How are they secured?

Step 3 – Priority of actions to be taken

Based on the register of personal data processing, the company is now able to identify the actions to be taken to comply with the RGPD. Once this is done, it must prioritize the actions to be taken in order to secure the processing of the rights and freedoms of data owners.

Step 4 – Risk Management

If certain personal data processing operations are likely to result in high risks to the rights and freedoms of data subjects, the company must conduct a data protection impact assessment (DPA) for each of these highlighted processing operations.

Step 5 – Organization of internal processes

For a sustainable and high level of data protection, the implementation of internal procedures ensures that data protection is taken into account at all times. To do this, the procedures must take into account all the events likely to occur during the life of a processing operation (e.g. security breach, management of rectification or access requests, modification of the data collected, change of service provider).

Step 6 – Compliance Documentation

In order to demonstrate compliance with the regulation, the company must compile and consolidate the necessary documentation. The actions and documents taken at each stage should be reviewed and updated regularly to ensure ongoing data protection.

 

Le RGPD, Règlement général sur la protection des données : que faut-il retenir ?

 

What about non-EU companies collecting and processing data from EU residents?

Any company that manages the personal data of EU citizens is legally obliged to have a register of processing. However, SMEs with fewer than 250 employees may benefit from an exemption, in particular by registering data processed on an occasional basis and relating to payroll management, customers, suppliers or prospective customers, etc.

Attention: if the processing operations involve a risk to the rights and freedoms of individuals, this must be mentioned in the SME register.

The companies to whom we entrust personal information are responsible for it. Each actor must keep in mind that there are now penalties for non-compliance with the RGPD. Since the Cambridge Analytica scandal, data protection is no longer an option, but a duty, a legal, moral and social obligation.

 

Ict.io also becomes RGPD compliant!

The digital magazine, Ict.io guarantees you a complete security of your data, based on the standards imposed by the RGPD. By browsing the magazine’s website, you can accept or reject the collection of your data by cookies. In addition, your subscription to our newsletter through your contact information (name or email address) are stored and protected by the regulations in force. Please note that you can unsubscribe at any time and request that your data be completely deleted from our system by writing to us at the following address: hello@ict.io.

If you have any further questions, please let us know. We also invite you to read our privacy policy found on the site.

 

 

Related Items:

Les plus lus

Uncategorized

Hello world!
Overcome your obstacles

Get business coaching today!

Book Consultation