RGPD, la protection des données

La protection des données est un enjeu essentiel. La France, contrairement à d'autres pays, y compris européens, a souvent été avant-gardiste en la matière. C'est ainsi qu'en 1978, la CNIL a été créée, afin de veiller à ce que l’informatique et ses usages ne portent atteinte aux droits de l’homme, à la vie privée, aux libertés individuelles ou publiques. C'est la loi du 6 janvier 1978, modifiée le 6 août 2004 qui fixe le cadre de l'exercice de ses missions.

Avec la montée en puissance des outils informatiques et des GAFA, de nombreuses menaces planent sur notre identité numérique, nos données personnelles que l'on stocke dans le nuage, ou encore sur la conservation des données récoltées par des tiers. C'est ce que l'on nomme, parfois pudiquement, le droit à l'oubli. Droit que refuse Facebook ou Google, sauf contrainte.

Objectifs de la directive

Cette directive européenne poursuit 3 objectifs :

• Le renforcement des droits de la personne, en créant un droit de la portabilité des données personnelles ;
• Le renforcement de la coopération entre les différentes autorités de protection des données, avec prises de décision et sanctions unifiées ;
• La responsabilisation des acteurs traitant les données, sous-traitants inclus.

En regardant de plus près, on s'aperçoit rapidement que le cadre juridique est fortement renforcé et que ce sont les individus qui sont au centre de cette directive. Les entreprises qui procèdent à des collectes et des traitements de données de citoyens européens sont les grands perdants. Elles vont avoir d'importantes adaptations à mener dans un laps de temps assez court. Car une des grosses nouveautés de cette directive, c'est qu'elle va s'appliquer à n'importe quelle entreprise dans le monde. Peu importe qu'elle soit en France, en Pologne, au Maroc, aux États-Unis, en Russie ou aux Philippines, du moment que la ou les données ciblent un citoyen européen, le droit européen va s'appliquer.

Si des données de citoyens européens sont collectées, stockées ou utilisées dans un pays non européen, elles resteront soumises au droit de l’Union, non seulement pour leur transfert, mais aussi pour tout traitement et transfert ultérieur. Tout transfert de données hors UE ne sera possible et autorisé que si un outillage assurant une protection suffisante et appropriée des personnes a été mis en place.

En pratique, il va avoir un guichet unique par pays européen pour la saisine. Si le cadre dépasse un pays en particulier, alors il y aura unification du traitement sous la houlette d'une autorité "chef de file", ce qui permettra d'avoir une conduite identique ainsi que des prises de décision et de sanctions unifiées. On ne pourra plus avoir une sanction clémente en France et sévère en Pologne. Ce sera exactement la même. Pour simplifier les circuits de recours, ce seront les juridictions du pays du guichet unique qui instruiront les recours, mais en se référant à la directive. On peut supposer aussi qu'à terme, une jurisprudence commune se construise.

Renforcement des droits des personnes

Cette directive propose un renforcement des droits existants et la création de nouveaux droits, avec une grosse extension aux mineurs.

La directive impose la mise à disposition d’une information claire, intelligible et accessible aux personnes concernées par les traitements de données. Ces derniers doivent être informés de l’usage de leurs données et doivent donner leur consentement pour leur traitement de manière explicite. De plus, les parties en charge de recueillir les données doivent rédiger l'information sur le traitement des données de manière compréhensible pour des enfants. Si la personne a moins de 16 ans, seuls le ou les titulaires de l'autorité parentale peuvent donner leur consentement. Et quand il sera devenu adulte, consentement et données devront obligatoirement être effacés. Cerise juridique, la charge de la preuve du consentement incombe au responsable de traitement.

Désormais, l'usager peut demander l'intégralité des données fournies, sous une forme utilisable.

Autre nouveauté, les actions collectives. Les associations actives dans le domaine de la protection des droits et libertés des personnes en matière de protection des données pourront introduire des recours collectifs en matière de protection des données personnelles.

En termes de sanction, toute personne ayant subi un dommage matériel ou moral du fait d'une violation du présent règlement obtiendra du responsable du traitement, ou du sous-traitant, réparation du préjudice subi. Les sanctions sont graduées. Cela ira du simple avertissement à une amende pouvant aller jusqu'à 20 millions d'euros ou 4% du CA annuel mondial (le montant le plus élevé étant retenu). Les batailles juridiques seront nombreuses et sans doute âpres au vu des enjeux.

Frédéric VERGOZ
Chef de Projet Spark Archives - Klee Group
Suivez Fred sur Linkedin
 

Nous contacter :