Comment réussir sa mise en conformité au RGPD ?

Le règlement général sur la protection des données

Le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, aussi nommé RGPD est relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données. Il renforce les grands principes de la loi Informatique et Libertés. Ce Règlement est ainsi venu abroger la directive 95/46/CE qui régissait auparavant ladite protection des données, au profit de nouvelles dispositions protectrices des internautes.

Le RGPD fixe l’ensemble des règles qui s’appliquent lors du traitement des données personnelles des individus par les différentes entités qui collectent ces données dans le cadre de leurs activités.

Il est applicable depuis le 25 mai 2018 sur l’ensemble du territoire de l’Union Européenne.

Les personnes concernées par le RGPD

Le RGPD trouve à s’appliquer dès lors qu’un organisme collecte ou traite des données personnelles relatives à des personnes physiques. Son application est large puisque sont visés indifféremment personne morale et personne physique, ce dès lors qu'il y a une collecte ou un traitement de données personnelles.

Le champs d'application du RGPD

Le règlement s’applique tant aux organismes qui sont implantés sur le territoire de l’Union Européenne, aux organismes hors Union Européenne, ou encore aux sous-traitants.

• D’abord, le RGPD vise tous les organismes domiciliés sur le territoire de l’Union Européenne, dès lors que ceux-ci traitent les données personnelles de personnes physiques, peu important que ces derniers résident ou non dans l’Union européenne. Ainsi, il peut s’agir de résidents de l’Union Européenne mais également de personnes hors Union européenne.
• Ensuite, le RGPD s’applique aussi aux organismes hors Union Européenne. Seul importe que l’activité de l’entité traite des données de résidents de l'Union Européenne.
• Enfin, le RGPD s’étend également au traitement des données personnelles par les sous-traitants (article 82 du RGPD). Le sous-traitant est analysé comme la « personne physique ou morale, l’autorité publique ou tout organisme » qui traite ou collecte des données personnelles pour le compte d’un responsable de traitement (personne physique ou morale, autorité publique ou organisme) dans la cadre d’un service ou d’une prestation. Sont ainsi qualifiés les agences de communication ou encore les prestataires de services informatiques.

Au regard des obligations mises à la charges des différents acteurs par le RGPD qui engagent leur responsabilité et des sanctions (articles 83 et 84 du RGPD) encourues en cas de manquement à celles-ci, il est important de solliciter un expert juridique afin de s’assurer de la conformité du traitement des données au règlement.

Les données concernées par le RGPD

Le RGPD s’applique dès lors qu’une entité traite ou collecte des données personnelles relatives aux personnes physiques. La notion de données personnelles s’entend comme toute donnée permettant d’identifier la personne physique, que ce soit de manière directe (nom et prénom) ou bien de manière indirecte (adresse postale, numéro de téléphone, adresse IP, numéro de sécurité sociale, etc…).

Tout organisme en possession d’une seule de ces données est soumise à la règlementation générale sur la protection des données, peu importe son activité principale.

Par ailleurs, certaines données sont dites sensibles (voir article 9 du RGPD) dans la mesure où leur utilisation peut conduire à des discriminations (appartenance religieuse, orientation sexuelle, opinion politique, etc…). Il convient de se montrer particulièrement vigilant vis-a-vis de cette catégorie particulière de données à caractère personnel : le RGPD interdit leur traitement par principe. Néanmoins, les organismes peuvent toujours y procéder s’ils se conforment à certaines exigences dont notamment l’obtention d’un consentement écrit, clair et explicite, et pour des finalités précises présentant un intérêt public.

Comment mettre mon site internet en conformité avec le RGPD ? 

L’article 30 du RGPD impose la tenue d’un registre des activités de traitement par le responsable du traitement qui constituera l’élément essentiel de la documentation nécessaire pour démontrer sa conformité au RGPD.

Un autre point essentiel réside dans la demande du consentement au traitement de ses données personnelles des utilisateurs. Ce consentement doit être demandé de manière explicite à tous les internautes, ce qui implique une démarche active de sa part qui doit cliquer sur la case qui correspond ou non à son autorisation (la case ne doit pas être précochée).

Ensuite, le visiteur doit être informé du traitement de ses données personnelles, c’est-à-dire qu’il doit être renseigné sur les données traitées, sur la durée et le but de ce traitement ou encore que le responsable du traitement soit identifié. Pour être conforme au RGPD, ces informations doivent être inscrites et visibles sur votre site.

Le RGPD affecte sensiblement plusieurs mentions présentes sur votre site internet et nécessite d’y prêter une attention particulière ainsi que de procéder à leur modification si cela est nécessaire afin d’être en conformité avec ce nouveau règlement.

La question du dépôt de cookies et du traçage publicitaire des internautes

Si votre site internet dépose des cookies ou autres traceurs sur les outils de l’utilisateur afin de collecter des informations sur les habitudes de navigation de ce dernier, il est nécessaire de l’en informer et d’obtenir son consentement spécifique (voir décision de la CJUE du 1er octobre 2019), et ce, avant tout dépôt sur son matériel.

Les utilisateurs doivent également pouvoir trouver une liste de chaque cookie utilisé sur le site et il doit avoir la possibilité de les désactiver lorsqu’il le souhaite.

Il faut informer les internautes sur la collecte des données personnelles par le biais des cookies utilisés sur le site. De plus, afin de respecter l’utilisateur, il faut lui permettre de continuer sa navigation malgré un refus de sa part de certains cookies, dans la mesure du possible.

La politique de confidentialité : un document indispensable

La politique de confidentialité désigne un document ou contrat qui présente en détails la manière dont sont recueillies et traitées les données personnelles.

Sa rédaction est déterminante pour répondre aux exigences du RGPD. Elle doit présenter les mentions suivantes :

• Coordonnées du délégué à la protection des données (DPO ou DPD) de l'organisme, s'il a été désigné, ou d'un point de contact sur les questions de protection des données personnelles
• Finalité poursuivie par le traitement auquel les données sont destinées
• Caractère obligatoire ou facultatif des réponses et conséquences éventuelles à l'égard de l'internaute d'un défaut de réponse
• Destinataires ou catégories de destinataires des données
• Droits d'opposition, d'interrogation, d'accès et de rectification
• Au besoin, les transferts de données à caractère personnel envisagés à destination d'un État n'appartenant pas à l'Union Européenne.
• Base juridique du traitement de données (c'est-à-dire ce qui autorise légalement le traitement : il peut s'agir du consentement des personnes concernées, du respect d'une obligation prévue par un texte, de l'exécution d'un contrat notamment)
• Mention du droit d'introduire une réclamation (plainte) auprès de la Cnil.

RGPD : quels droits pour les internautes ?

Le RGPD s’inscrit dans la droite ligne d’un renforcement des droits des internautes au regard de la protection de leurs données personnelles. Il se propose à la fois d’améliorer l’information des utilisateurs, mais aussi de faciliter l’exercice de leurs droits.

Ceux-ci bénéficient ainsi :

• d’un droit à l’information qui englobe le fait d’être averti en cas de piratage de ses données personnelles,
• d’un droit à l’oubli par lequel l’utilisateur peut obtenir l’effacement (article 17 du RGPD) ou le retrait de ses données personnelles en cas d’atteinte à sa vie privée,
• d’un droit à la transparence (article 12 du RGPD),
• d’un droit à la portabilité des données afin de pouvoir passer d’un site internet à un autre site de même nature sans perdre ses informations.