Règlement Général sur la Protection des Données (RGPD)

Depuis le 25 mai 2018, le RGPD a pour but de protéger les données des individus au sein de l’union européenne.

Il s’applique à toute organisation qui traite des données à caractère personnel.

Qu’est ce qu’une donnée personnelle ?

Toute information, identifiant directement ou indirectement une personne physique.

Quelques exemples de données:

• -Nom, n° d’immatriculation, n° de téléphone, n° de SS, date de naissance, commune de résidence….
• ou l’ensemble des informations permettant de discriminer une personne au sein d’une population tels que:
• -donnée physique, physiologique, génétique, psychique, économique, culturelle, sociale, sa profession,son sexe, son âge…

Qu’est ce qu’un traitement ?

La collecte, l’enregistrement, le classement, la conservation, l’extraction, le rapprochement, la destruction, la consultation, la transmission ou toute autre forme de mise à disposition sont des exemples de traitement.

Attention: Un traitement de données personnelles n’est pas nécessairement informatisé : les fichiers papiers sont également concernés et doivent être protégés dans les mêmes conditions.

Qui est concerné ?

Le RGPD s’applique à toute organisation (entreprise, association, collectivité, publique et privée) qui traite des données personnelles.

Le RGPD concerne aussi les sous-traitants qui traitent des données personnelles pour le compte d’autres organismes.

Concrètement la grande majorité des organisations est concernée, puisqu’elles collectent des données de ses salariés ou adhérents (n° de SS, RIB, coordonnées…) et/ou de ses clients (fichiers clients, coordonnées…)

Que devez vous faire ?

Voici quelques étapes résumées ci-dessous:

Etablir un registre de traitement:

• Cartographier  les activités nécessitant la collecte et le traitement de données.
• Préciser pour chaque activité (Les acteurs, les catégories de données, le descriptif du risque, le but, les flux, les mesures de sécurité etc…)
• Identifier et prioriser les actions à mener.
• Documenter, informer, définir les rôles et établir les procédures
• Trier les données collectées et stockées
• Respecter le droit des personnes
• Protéger les données
• Prévenir la CNIL dès qu’il y a une perte de données avérée ou supposée.
• …
   

Les risques en cas de non-conformité

Les amendes administratives peuvent s’élever, selon la catégorie de l’infraction, de 10 ou 20 millions d’euros, ou, dans le cas d’une entreprise, de 2%  à 4% du CA annuel mondial, le montant le plus élevé étant retenu.

Par ailleurs, les autorités de contrôle (en France, la CNIL) peuvent notamment :

• Prononcer un avertissement ;
• Mettre en demeure l’entreprise ;
• Limiter temporairement ou définitivement un traitement ;
• Suspendre les flux de données ;
• Ordonner de satisfaire aux demandes d’exercice des droits des personnes ;
• Ordonner la rectification, la limitation ou l’effacement des données.

Au-delà de la sanction financière, une non-conformité peut nuire gravement à votre image. Car vous êtes dans l’obligation de prévenir tous vos clients, en cas de plainte et/ou de perte de données.

Notre process issu de notre expérience dans l’évaluation des risques est particulièrement adapté au PME/TPE.