RGPD: Vue d'ensemble et champ d'application

Définition Générale du RGPD

• Le Règlement Général sur la Protection des Données (RGPD) a été adopté le 27 avril 2016 et est applicable en France depuis le 25 mai 2018.
• Le RGPD transforme le régime administratif en un régime de conformité globale, obligeant les entreprises à prouver leur respect des principes du règlement à tout moment.
• En 2022, des sanctions s'élevant à plus de 830 millions d'euros ont été prononcées contre des géants du web.
• Les sanctions peuvent inclure des amendes et l'interdiction de collecter et traiter des données.

Champ d'Application Matériel

• Les "données à caractère personnel" désignent toute information relative à une personne physique identifiée ou identifiable, directement ou indirectement.
• Cela inclut :
  • Noms
  • Numéros d'identification
  • Données de localisation
  • Identifiants en ligne
  • Éléments spécifiques à l'identité physique, psychologique, génétique, psychique, économique, culturelle ou sociale
• Les données relatives aux personnes morales sont exclues, sauf si elles permettent d'identifier une personne physique.
• Les données anonymisées et celles recueillies dans un cadre privé sans finalité commerciale sont également exclues.

Champ d'Application Géographique

• Le RGPD s'applique aux organismes établis en Europe, mais aussi à ceux en dehors, si des données de citoyens européens sont traitées, quel que soit le lieu de traitement.
• L'objectif est d'assurer une protection équivalente des données, quel que soit le lieu de traitement.
• Exemple : Des données collectées en Allemagne par Zalando peuvent être exploitées par un site marchand en Chine.

Les Enjeux du RGPD

• Juridique : Conformité obligatoire pour éviter des amendes pouvant atteindre 4% du chiffre d'affaires.
• Éthique : Réponse à la question "Qui a le droit de savoir quoi sur qui ?", soulignant l'importance de la protection de la vie privée.
• Commercial : Nécessité de prouver la conformité RGPD dans les appels d'offres, affectant le choix des sous-traitants.
• Communication : Opportunité de se distinguer en démontrant une conformité réelle pour améliorer l'image de marque.

Notions Fondamentales

• Analyse d'Impact (AIPD) : Étude obligatoire pour les traitements de données susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes.
  • Description détaillée du traitement (technique et opérationnelle)
  • Évaluation de la nécessité et de la proportionnalité concernant les principes et droits fondamentaux (finalité, données, conservation, etc.)
  • Étude des risques sur la sécurité des données (confidentialité, intégrité, disponibilité) et leurs impacts potentiels sur la vie privée
• Accountability : Obligation de mettre en œuvre des procédures internes pour démontrer le respect des règles de protection des données.
  • Objectif : Prouver l'adoption de mesures adéquates pour la conformité au RGPD.
  • Documentation essentielle pour les vérifications des instances de contrôle.
  • Le responsable du traitement est chargé de l'application du principe d'accountability (Article 5-2).
• Privacy by Design : Intégration de la protection des données dès la conception des projets (Article 25 du RGPD).
  • Repose sur sept fondements :
    • Mesures préventives
    • Protection par défaut
    • Protection dès la conception
    • Sécurité tout au long du projet
    • Visibilité et transparence
    • Respect de la vie privée
    • Protection optimale

Les Acteurs

• Responsable du traitement : Personne physique ou morale qui détermine les finalités et les moyens du traitement.
• Sous-traitant : Traite les données à caractère personnel pour le compte du responsable du traitement (Article 4,8° du RGPD).
  • Différent du destinataire, car il n'est pas autorisé à utiliser les données pour son propre compte.
• Délégué à la Protection des Données (DPO) : Acteur central de la conformité au RGPD.
  • Les responsables du traitement ou sous-traitants non établis en Europe doivent désigner un représentant.
  • Mandat écrit faisant du représentant le point de contact pour les autorités et les personnes concernées (Article 27).
• Destinataire : Personne physique ou morale qui reçoit communication des données (Article 4, 9°).
  • Autorisé par le responsable du traitement, selon le principe du moindre privilège et formalisé dans une politique de gestion d'accès.
  • Les autorités publiques dans le cadre d'une mission d'enquête particulière ne sont pas considérées comme des destinataires.

Législation Imposée par le RGPD

• Définition d'une donnée personnelle : Information se rapportant à une personne physique identifiée ou identifiable.
• Définition d'une donnée sensible : Informations révélant l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, les données génétiques, et les données biométriques.
  • Certaines informations sensibles ne doivent pas figurer dans les fichiers, sauf exceptions légales ou autorisation de la CNIL.
• Obligations lors de la collecte et du traitement :
  • Autorisation de la CNIL pour les traitements présentant des risques particuliers.
  • Principe de finalité : Usage déterminé et légitime.
  • Principe de proportionnalité : Collecte des informations pertinentes et nécessaires.
  • Principe de pertinence : Données adéquates, pertinentes et non excessives.
  • Principe de durée limitée de conservation : Durée définie en fonction de la finalité.
  • Principe de sécurité et de confidentialité : Mesures physiques et logiques pour garantir la confidentialité.
  • Principe de transparence : Avertissement des personnes dont les données sont recueillies.
  • Principe du respect du droit des personnes : Information sur la finalité, le caractère obligatoire, les destinataires, et les modalités d'exercice des droits.

Droits des Personnes

• Droit de regard (droit à l'information) : Droit de savoir si une personne est répertoriée dans un fichier, avec communication des informations essentielles.
• Droit d'accès : Droit d'interroger le responsable pour savoir s'il détient des informations sur la personne et d'obtenir communication de ces informations.
• Droit de rectification : Droit de faire actualiser ou supprimer des informations.
  • Preuve d'identité peut être demandée en cas de doutes raisonnables.
• Droit d'opposition : Droit de s'opposer à figurer dans un fichier, sauf exceptions légales.
  • L'organisme doit justifier des motifs légitimes et impérieux pour continuer à traiter les données.
• Droit de retrait : Possibilité de faire effacer certaines données personnelles présentes sur le web.
  • Le retrait du consentement doit être aussi simple que le recueil initial.

Le Consentement

• Définition : Manifestation de volonté libre, spécifique, éclairée et univoque par laquelle la personne accepte le traitement de ses données.
• Le responsable de traitement doit pouvoir démontrer la validité du recours au consentement.
• Le consentement n'est pas toujours obligatoire (ex : administration fiscale).
• Il est systématiquement requis pour le démarchage commercial.

Conditions du Consentement

• Libre : Non contraint ni influencé, offrant un choix réel sans conséquences négatives en cas de refus.
• Spécifique : Correspond à un seul traitement et pour une finalité déterminée.
  • Les personnes doivent pouvoir consentir indépendamment pour chaque finalité.
• Éclairé : Accompagné d'informations communiquées avant de consentir (identité du responsable, finalités, catégories de données, droit de retrait, etc.).
• Univoque : Exprimé par une déclaration ou un acte positif clair, sans ambiguïté.
• Modalités non univoques : Cases pré-cochées, consentements groupés, inaction.

Consentement des Mineurs

• Pour les services de la société de l'information, le consentement de l'enfant est licite à partir de 16 ans.
• En dessous de 16 ans, le consentement doit être donné ou autorisé par le titulaire de la responsabilité parentale.
• La loi française fixe cet âge à 15 ans (consentement conjoint de l'enfant et du titulaire de l'autorité parentale en dessous de cet âge).

Contrôle des Organisations

• Violation de données : Violation de la sécurité entraînant la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès non autorisé aux données (Article 4 alinéa 12 du RGPD).
• Inclut les actes intentionnels et non intentionnels (perte de supports, etc.).
• Exemples : Fuite de données Améli, perte clé USB JO 2024.
• Statistiques 2023 :
  • 30 000 sites piratés quotidiennement mondialement.
  • 71% des violations en ligne motivées par des gains financiers.
  • Coût des rançongiciels : 416 millions de dollars (semestre 2021).
  • Attaque de rançongiciel toutes les 11 secondes (2021).
  • Plus grande cyberattaque : 3 milliards de comptes Yahoo (2013).
  • 500 000 identifiants Zoom vendus sur le Dark Web (2020).

Rôle de la CNIL

• Autorité administrative indépendante chargée de protéger les données personnelles et la vie privée en France.
• En cas de violation de données, le responsable du traitement doit informer la CNIL dans les 72 heures (sauf si absence de risque).
• Missions :
  • Protection des données personnelles : Veille à la conformité légale et transparente.
  • Information et sensibilisation : Sensibilisation du public aux risques et droits.
  • Contrôle et sanction : Surveillance du respect des règles, contrôles, audits, sanctions.
  • Assistance et conseil : Accompagnement des entreprises et des particuliers.

Rôle de la Loi « Informatique et Libertés »

• Précise les principes et modalités du traitement informatique des données personnelles (loi du 6 janvier 1978, modifiée en 2004).
• Le dirigeant est responsable de la sécurité des données contenues dans le système informatique(Article 34).