Note juridique à propos du Règlement Général sur la Protection des Données - RGPD :

Note concernant le Reglement Général sur la Protection des Données pour les e commerçants et entrepreneurs;

I. Définition :

Le Règlement Général sur la Protection des Données (« RGPD ») adopté le 27 avril 2016 (Règlement (UE) 2016-679 du Parlement Européen et du Conseil) est une nouvelle règlementation qui :

1. fixe des règles pour mieux protéger les personnes physiques à l’égard du traitement de leurs données à caractère personnel ;
   
2. fixe des règles concernant la circulation de ces données ;
   
3. accorde des droits pour les personnes physiques dont les données personnelles sont collectées (droit à l’oubli, droit d’opposition…) ;
   
4. impose de nouvelles obligations et responsabilité aux collecteurs de ces données avec des sanctions importantes en cas de manquement.
   

Ce règlement reprend les principes fixés dans la Loi informatique et Libertés n° 78-17 du 6 janvier 1978 («LIL »). Il remplace également le régime qui avait été mis en place par la directive 95/46/CE de 1995 concernant la protection des données personnelles.

Les entreprises, ou les « organismes » qui collectent des données personnelles ont l’obligation de s’y conformer au plus tard le 25 mai 2018.

Le « RGPD » étend l’application de la Loi Informatiques et Libertés « LIL » à l’ensemble des organismes (entreprises publiques ou privée, professions libérales, Etat…) traitant des données personnelles relatives aux résidents européens, qu’ils soient directement responsables de traitement ou des sous-traitants.

II. Champ d’application :

Le « RGPD » s’applique à toutes les données personnelles collectées par un « organisme » se rapportant à des personnes physiques identités ou identifiables directement ou indirectement, notamment grâce à un identifiant.

Sont visés les traitements automatisés en tout, ou en partie ainsi que les traitements non automatisés appelés à figurer dans un fichier. Tous les responsables de traitement et tous les sous-traitants établis sur le territoire de l’Union Européenne (« UE ») que le traitement ait lieu ou non dans l’Union Européenne doivent impérativement respecter ce Règlement.

Le règlement s’appliquera à chaque fois qu’une personne physique au sein de l’UE sera directement visée par un traitement de données à caractère personnel, même si le responsable du traitement ou ses sous-traitants sont basés hors de l’UE. De plus, le règlement s’applique aux responsables de traitements mais également aux sous-traitants. Le sous-traitant est la personne, l’entreprise, ou l’organisme qui traite des données à caractère personnel pour le compte du responsable du traitement de l’organisme.

III. Les points communs entre le « RGPD » et la loi dite Informatique et Libertés (« LIL ») :

Les même principes et obligations de la loi française dite Informatique et Libertés sont à respecter (art 5) : la finalité du traitement doit être explicite et légitime.

Le rapport entre les données collectées et le traitement envisagé doit être pertinent.

IV. Distinction du « RGPD » entre les données dites « sensibles » et les autres données :

Le « RGPD » distingue le cas des données dites « sensibles », des autres données personnelles.

En tout état de cause, les données (sensibles ou non) doivent être collectées de manière licite, loyale et transparente.

Les collectes de données doivent être adéquates, pertinentes et limitées, à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées : il s’agit du principe de « minimisation de la collecte ».

La durée de conservation de ces données doit être également limitée pendant une durée qui ne doit pas être excessive par rapport à ce qui est nécessaire au regard des finalités du traitement.

Les données « sensibles » sont notamment des données personnelles qui révèlent :

• l'origine raciale ou ethnique,
  
• les opinions politiques,
  
• les convictions religieuses ou philosophiques ou l'appartenance syndicale,
  
• le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique,
  
• des données concernant la santé,
  
• des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique.
  

Le traitement des données « sensibles » est en principe interdit… sauf dans les cas suivants (exceptions) :

• si la personne concernée a donné son consentement explicite au traitement de ces données à caractère personnel pour une ou plusieurs finalités spécifiques, sauf exception du droit de l’Etat membre.
  
• si le traitement est nécessaire aux fins de l'exécution des obligations et de l'exercice des droits propres au responsable du traitement ou à la personne concernée en matière de droit du travail, de la sécurité sociale et de la protection sociale, dans la mesure où ce traitement est autorisé par le droit de l'Union, par le droit d'un État membre ou par une convention collective conclue en vertu du droit d'un État membre qui prévoit des garanties appropriées pour les droits fondamentaux et les intérêts de la personne concernée.
  
• si le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée.
  
• si le traitement est effectué, dans le cadre de leurs activités légitimes et moyennant les garanties appropriées, par une fondation, une association ou tout autre organisme à but non lucratif et poursuivant une finalité politique, philosophique, religieuse ou syndicale, à condition que ledit traitement se rapporte exclusivement aux membres ou aux anciens membres dudit organisme ou aux personnes entretenant avec celui-ci des contacts réguliers en liaison avec ses finalités et que les données à caractère personnel ne soient pas communiquées en dehors de cet organisme sans le consentement des personnes concernées.
  
• si le traitement porte sur des données à caractère personnel qui sont manifestement rendues publiques par la personne concernée.
  
• si le traitement est nécessaire à la constatation, à l'exercice ou à la défense d'un droit en justice ou chaque fois que des juridictions agissent dans le cadre de leur fonction juridictionnelle.
  
• si le traitement est nécessaire pour des motifs d'intérêt public important, sur la base du droit de l'Union ou du droit d'un État membre (droit qui doit être proportionné à l'objectif poursuivi, respecter l'essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée).
  
• si le traitement est nécessaire aux fins de la médecine préventive ou de la médecine du travail, de l'appréciation de la capacité de travail du travailleur, de diagnostics médicaux, de la prise en charge sanitaire ou sociale, ou de la gestion des systèmes et des services de soins de santé ou de protection sociale sur la base du droit de l'Union, du droit d'un État membre ou en vertu d'un contrat conclu avec un professionnel de la santé ;
  
• si le traitement est nécessaire pour des motifs d'intérêt public dans le domaine de la santé publique, tels que la protection contre les menaces transfrontalières graves pesant sur la santé, ou aux fins de garantir des normes élevées de qualité et de sécurité des soins de santé et des médicaments ou des dispositifs médicaux, sous réserves des droits pour la sauvegarde des droits et libertés de la personne concernée prévus par l’Etat membre (notamment en ce qui concerne le secret professionnel).
  
• si le traitement est nécessaire à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques.
  

(Article 9 §1 du « RGPD »)

V. Définition des principes « Privacy by Design » et « Privacy by default » du « RGPD » :

Le « RGPD » doit permettre de « responsabiliser » tous les « acteurs » qui collectent des données personnelles : les organismes doivent être en mesure de prouver à tout moment à la CNIL leur conformité au « RGPD ».

Dans ce cadre, le « RGPD » pose les principes de : « Privacy by Design » et de « Privacy by default » :

Le principe dit de « Privacy by Design » correspond à l’obligation pour l’organisme qui collecte des données de prendre des mesures préventives ayant pour but de limiter les risques d’abus et de violation des données.

Ce principe de « Privacy by Design » est basé sur sept-sous principes :

• la conception de mesures préventives et proactives : mise en place de mécanismes qui assurent une protection effective de la vie privée, et ce sans attendre qu’une atteinte soit constatée,
  
• la protection par défaut (Privacy by default) : les fonctionnalités du traitement doivent protéger la vie privée par défaut sans qu’elles aient à être activées,
  
• la prise en compte des règles sur la protection de la vie privée dans la conception des produits et durant leur utilisation : il convient d’intégrer les questions de vie privée dès la conception des produits, des protocole et des traitements de données (par exemple : la mise à disposition d’un guide juridique indiquant les normes à respecter dès l’étape de la conception d’un produit),
  
• la protection optimale et intégrale : les organismes doivent assurer une protection optimale des données à chaque instant et être en mesure de la démonter en documentant leur conformité au règlement,
  
• la visibilité et la transparence : assurer la visibilité et la transparence, il doit être possible de contrôler les mécanismes de protection de la vie privée.
  
• la sécurité tout au long de la conservation des données : assurer la sécurité des utilisateurs pendant toute la durée du traitement, ainsi que la période de conservation des données,
  
• le respect de la vie privée des usagers ou des cibles du service : le respect de la vie privée des utilisateurs doit être au coeur des préoccupations des responsables de traitement.
  

Le principe dit de « Privacy by default » est le principe selon lequel quiconque traite de données personnelles doit permettre aux personnes concernées d’obtenir très rapidement et facilement le plus haut niveau de protection possible des données.

• Dès qu’un traitement de données personnelles est envisagé et au moment de la détermination des moyens de mise en oeuvre du traitement, le responsable de traitement doit mettre en place des mesures techniques et organisationnelles appropriées pour assurer la protection des données de manière effective (par exemple une pseudonymisation).

• De plus, et par défaut, seules les données personnelles nécessaires pour une finalité déterminée peuvent faire l’objet d’un traitement de données. Ce principe est celui de la minimisation de la collecte des données.
  

Cette exigence s’appliquant à la quantité de données, l’étendue du traitement, la durée de conservation, l’accessibilité des données. Une donnée ne peut être collectée que dans un objectif défini (exécution de la prestation …).

Ainsi, une donnée personnelle ne peut être collectée que s’il y a une « bonne raison », une finalité à sa collecte par l’entreprise et que cette raison soit décrite précisément.

Un délégué à la protection des données est un expert indépendant qui doit être associé à toute question relative à la protection des données personnelles, il est en charge d’informer et conseiller la responsable de traitement ou le sous-traitant, contrôler l’application du règlement, ainsi que de coopérer avec l’autorité de contrôle.

La désignation d’un délégué à la protection des données (DPO) est obligatoire tant pour le responsable de traitement que pour le sous-traitant dans trois cas :

- Cas n°1 : lorsque le traitement est effectué par une autorité publique ou un organisme public.

- Cas n°2 : lorsque les activités de base du responsable du traitement ou du sous-traitant consistent en des opérations de traitement qui, du fait de leur nature, de leur portée et/ou de leurs finalités, exigent un suivi régulier et systématique à grande échelle des personnes concernées (analyse du fichier-client et prospection ciblée en fonction de l’analyse).

- Cas n°3 : lorsque les activités de base du responsable du traitement ou du sous-traitant consistent en un traitement à grande échelle de données dites « sensibles » (données de santé, données biométriques, opinions politiques, convictions religieuses…) et de données à caractère personnel relatives à des condamnations pénales et à des infractions.

Le DPO n’est pas personnellement responsable en cas de non-conformité de son organisme avec le « RGPD ».

Nos Avocats vous assistent et conseillent, ainsi que votre entreprise, dans le cadre de contentieux devant la Cour d'appel de LYON, le Tribunal de Grande Instance, Le Tribunal de Commerce et le Conseil de Prud'hommes.

Nous pouvons vous proposer une convention d'honoraires ou un devis forfaitaire après présentation de votre affaire sur la page dédiée.

Les principaux domaines d'intervention du cabinet sont :

• le droit commercial,
  
• le droit du travail,
  
• le droit des nouvelles technologies de l'information et de la communication,
  
• et le droit civil.
  

Par Maître Timo RAINIO
Avocat

Avocat – Rainio - Lyon
www.avocat-rainio.com
Cabinet d’Avocats

Date de l'article : 13 avril 2018

Nos articles - blog avocat

Page principale

Exposez votre affaire - Obtenir un devis