Qu'est-ce que le RGPD?
Contrairement aux États-Unis, l'Union européenne dispose d'une loi uniforme sur la protection des données. Le Règlement général sur la protection des données (RGPD), entré en vigueur le 25 mai 2018, a une portée intersectorielle étendue et concerne de nombreuses entreprises étrangères, y compris américaines.
Ce règlement concerne à la fois la protection des données et la sécurité des données. La protection des données garantit le droit de contrôler la collecte et l'utilisation des informations, en particulier leur utilisation et leur gouvernance. La sécurité des données, quant à elle, vise à protéger les données contre les attaques et l'exploitation de données volées, par exemple.
Le RGPD s'applique à :
- Les entreprises établies dans l’UE – qui traitent des données personnelles ; et
- Les entreprises situées hors de l'UE – si leurs activités de traitement de données concernent l'offre de biens ou de services à des personnes physiques résidant dans l'UE ou le suivi du comportement de ces personnes.
L'accessibilité d'un site web par un État membre de l'UE ne suffit pas à elle seule à prouver l'intention de proposer des biens ou des services. Le RGPD exige une intention de proposer des biens dans l'UE, et non la simple disponibilité d'un site web. Un site accessible ne suffit pas ; l'intention de commercialiser est essentielle. Par conséquent, le RGPD s'applique si : l'entreprise est établie sur le territoire de l'UE ; l'entreprise commercialise des services dans l'UE ; et la nationalité de l'utilisateur est sans incidence.
Que sont les données personnelles?
Les données personnelles désignent toute information se rapportant à une personne physique identifiée ou identifiable (appelée « personne concernée »). Elles comprennent notamment : le nom ; le numéro d’identification ; les données de localisation ; l’identifiant en ligne ; et un ou plusieurs éléments spécifiques à l’identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale de cette personne physique. Le RGPD encadre plusieurs étapes du cycle de vie des données personnelles, notamment : la collecte, le traitement, le stockage, la transmission et la suppression.
Qui doit se conformer à la loi ?
Plusieurs types d'acteurs collectent et utilisent des données personnelles, notamment les « responsables du traitement » et les « sous-traitants ». Les responsables du traitement sont généralement les personnes ou organisations qui collectent les données. Ils déterminent les finalités et les moyens du traitement des données personnelles. Ainsi, si votre entreprise/organisation décide « pourquoi » et « comment » les données personnelles doivent être traitées, elle est le responsable du traitement. Les employés qui traitent des données personnelles au sein de l'organisation le font pour accomplir les tâches qui lui incombent en tant que responsable du traitement. Les sous-traitants traitent généralement les données personnelles uniquement pour le compte du responsable du traitement. Il s'agit généralement d'un tiers extérieur à l'entreprise. La relation entre responsables du traitement et sous-traitants est régie par un accord de traitement des données.
Comment les organisations peuvent-elles collecter des données ?
Pour collecter ou traiter des données personnelles, il est nécessaire de disposer d'une base légale. Le RGPD exige que toute organisation traitant des données personnelles dispose d'une base légale valable pour cette activité de traitement. Le RGPD prévoit plusieurs bases légales pour le traitement, notamment :
- Consentement;
- Exécution d'un contrat ;
- Intérêt légitime ;
- Intérêt vital ;
- Obligation légale ; ou
- Intérêt public.
Le consentement est donné lorsque la personne concernée autorise l'organisation à traiter ses données personnelles pour une ou plusieurs activités de traitement. Ce consentement doit être libre, clair et facilement retirable. Par conséquent, les organisations doivent être vigilantes lorsqu'elles utilisent le consentement comme base juridique. À titre d'exemple, on peut citer la case à cocher relative à l'âge qu'un utilisateur peut cocher pour accéder à un contenu soumis à une restriction d'âge.
L’exécution d’un contrat a lieu lorsque le traitement des données est nécessaire à la conclusion ou à l’exécution d’un contrat avec la personne concernée. Par exemple, lorsqu’un utilisateur fournit son adresse postale pour un achat en ligne.
L’intérêt légitime se manifeste lors du traitement de données personnelles qu’une personne concernée attend normalement d’un organisme auquel elle communique ses données, comme par exemple des activités de marketing ou de prévention de la fraude. Si l’intérêt légitime est invoqué comme base juridique du traitement, l’organisme doit procéder à une analyse d’équilibre : ce traitement est-il nécessaire à son fonctionnement ? Les risques encourus par la personne concernée sont-ils supérieurs à ceux qu’elle encourt pour ses droits et libertés ? Si la réponse à l’une ou l’autre de ces questions est négative, l’organisme ne peut invoquer l’intérêt légitime comme base juridique du traitement.
L'intervention vitale est une procédure rare qui peut s'avérer nécessaire pour sauver une vie. Elle se rencontre le plus souvent dans les situations d'urgence médicale.
Une obligation légale survient lorsqu'une activité de traitement est nécessaire au respect d'une obligation légale, telle que la sécurité de l'information, le droit du travail ou le droit des transactions de consommation.
L'intérêt public désigne une activité de traitement qui serait effectuée par une entité gouvernementale ou une organisation agissant pour le compte d'une entité gouvernementale.
Si vous souhaitez lire la suite de cet article de blog, cliquez ici. ici.
