Webinaire RGPD: Protection des Données 2023

Introduction au Webinaire: RGPD

• Le webinaire porte sur le Règlement Général sur la Protection des Données Personnelles (RGPD).
• Il vise un public large, des initiés aux novices.
• Gérald Libon, consultant chez Novancy et DPO externalisé, anime le webinaire.

Présentation de Novancy

• Novancy est une ESN (Entreprise de Services du Numérique) présente en France.
• Ses domaines d'expertise:
  • Infrastructure et Cloud Service Management
  • Matériels et Outils Collaboratifs
  • Cybersécurité
• Novancy a des sites en France: La Rochelle, Angoulême, Bordeaux, Toulouse, Poitiers, Andorre et Marseille.

Contexte Légal: La Protection des Données Personnelles

• La loi Informatique et Liberté de 1978 est une loi fondamentale en France sur la protection des données.
• Le RGPD (Règlement Général sur la Protection des Données), un règlement européen, est entré en application en 2018.
• Il s'agit du 6e anniversaire de l'application du RGPD.

Enjeux et Avantages de la Conformité au RGPD

• Enjeux:
  • Respecter les droits des personnes concernées (clients, collaborateurs, patients, etc.)
  • Maîtriser et sécuriser les données, un atout précieux pour les entreprises.
• Avantages:
  • Avantage concurrentiel dans les appels d'offres et de candidatures.

Risques de Non-Conformité au RGPD

• Risques:
  • Risque réputationnel: perte de confiance des clients.
  • Risque cybercriminel: les cybercriminels ciblent les données personnelles.
  • Risque financier: sanctions de la CNIL (Commission Nationale Informatique et Liberté).

Résumé des Objectifs du RGPD

• Renforcer les droits des personnes sur leurs données:
  • Droit de décider qui traite les données, pourquoi et comment.
  • Droit de demander la suppression ou la modification des données.
• Responsabiliser les acteurs au sein de l'UE:
  • Inversion de la charge de la preuve: c'est aux entreprises de prouver leur conformité.
• Contrôle et sanctions:
  • La CNIL est chargée de veiller au respect du RGPD.

Termes Clés du RGPD

• Donnée personnell: Toute information relative à une personne physique identifiable, directement ou indirectement.
  • Exemples: Nom, prénom, adresse postale, photographie du visage, taille, couleur des yeux.
• Données sensibles: Des données requérant une protection particulière en raison de leur impact sur les droits et libertés des individus.
  • Exemples: Origine raciale, opinions politiques, données génétiques, données de santé.
• Traitement: Toute opération effectuée sur les données personnelles: collecte, consultation, modification, transfert, enregistrement, conservation, stockage, destruction.
  • La simple consultation ou destruction de données est constitutive d'un traitement.

Sujets soumis au RGPD

• Personnes et entités: Toute personne privée ou publique établie dans l'UE traitant des données personnelles.
• Entités hors UE: Les entités offrant des biens/services dans l'UE et traitant des données personnelles de citoyens européens sont aussi soumises au RGPD.

Principes Clés du RGPD

• Licéité: Tout traitement doit avoir une base légale:
  • Exécution du contrat, obligation légale, mission d'intérêt public, intérêt vital, intérêt légitime, consentement.
• Minimisation: Collecter uniquement les données strictement nécessaires à la réalisation du traitement.
• Exactitude: Assurer l'exactitude des données collectées et stockées.
• Conservation: Stocker les données pendant une durée limitée, nécessaire à leur finalité initiale.
• Confidentialité et sécurité: Protéger les données de tout accès illégitime et garantir leur sécurité.
• Finalité: Utiliser les données uniquement à des fins spécifiques et légitimes, conformément à la finalité initiale de la collecte.

Sanctions de la CNIL

• La CNIL a changé de braquet depuis septembre 2023, en passant d'une approche pédagogique à une approche plus répressifve.
• Sanctions:
  • Amendes : Jusqu'à 10 millions d'euros ou 2% du chiffre d'affaires mondial annuel, ou 20 millions d'euros ou 4% du chiffre d'affaires mondial annuel.
  • Procédure simplifiée: jusqu'à 20 000 €.

Rôle du DPO (Délégué à la Protection des Données)

• Le DPO est considéré comme le chef d'orchestre de la mise en conformité au RGPD.

Illustrations

• Les dessins utilisés dans la présentation sont des œuvres de Tesson, mises à disposition par la FCPD (Fédération des Centres de Documentation Pédagogique).

La procédure simplifiée de l'ACNIL

• La procédure simplifiée de l'ACNIL est activée pour les contrôles qui ne soulèvent pas de difficultés particulières.
• Elle permet de réduire les délais et de sanctionner rapidement une entité avec une amende maximale de 20 000€.
• L'ACNIL a constaté une augmentation significative du nombre de sanctions prononcées depuis 2020
  • 14 sanctions en 2020.
  • 18 sanctions en 2021.
  • 21 sanctions en 2022.
  • 42 sanctions en 2023 (un doublement par rapport à 2022).
• Le nombre de sanctions pour le début de l'année 2024 a presque doublé par rapport à la même période en 2023.

Rôle du DPO (Délégué à la protection des données)

• Le DPO est un acteur clé de la protection des données personnelles au sein d'une entité.
• Ses principales missions comprennent:
  • Veiller au respect de la législation en matière de protection des données personnelles.
  • Émettre des avis sur les traitements effectués par l'entreprise.
  • Tenir le registre des traitements.
  • Répondre aux personnes concernées par les données personnelles.
  • Veiller au respect des règles de transfert de données.
  • Être l'interlocuteur privilégié de l'autorité de contrôle (ACNIL).

Schéma d'action du DPO

• Le DPO met en place un schéma d'action pour accompagner la structure dans sa mise en conformité RGPD.
• Les étapes clés comprennent:
  • Analyse: Réaliser un audit afin de cartographier les données, les traitements, et les processus de collecte, de stockage, de transfert et de destruction des données.
  • Préconisations: Formuler des recommandations et élaborer un plan d'action priorisé en fonction de la criticité de chaque action.
  • Sécurisation: Se concentrer sur la sécurité, les droits des personnes, et l'évaluation et la gestion des risques.
  • Sensibilisation: Sensibiliser les collaborateurs à la thématique de la protection des données personnelles.
  • Rapport annuel: Informer la direction des préconisations et de l'avancement du plan d'action.

Importance du DPO dans une cellule de gestion de crise (cybersécurité)

• Le DPO joue un rôle essentiel dans une cellule de gestion de crise.
• Ses rôles incluent:
  • Notification à l'ACNIL: Notifier l'Autorité de Contrôle en cas de violation de données.
  • Accompagnement du responsable de traitement: Aider le responsable de traitement à déposer des plaintes en cas de cyberattaque.
  • Gestion de la communication: Gérer la communication avec le public, les personnes concernées, et la presse.
  • Réponse aux sollicitations: Traiter les nombreuses demandes d'exercice des droits suite à une cyberattaque.
  • Suivre l'inflation législative: Rester informé des changements législatifs en matière de protection des données personnelles.

Défis du DPO

• Les défis du DPO incluent:
  • Faire appliquer ses préconisations: Certaines préconisations ne sont pas toujours appliquées par les responsables de traitement.
  • Intégration dans la gestion de crise: Le DPO n'est pas toujours intégré à la cellule de gestion de crise.
  • Différence de perception: Les DPO externes sont parfois mieux écoutés que les DPO internes.
  • Inflation législative: Le DPO doit se maintenir à jour sur les changements législatifs.

Conclusion

• L'importance du DPO est de plus en plus reconnue par les organismes.
• Même si des défis restent, la fonction du DPO évolue positivement.
• L'ACNIL met un accent toujours plus important sur son volet répressif concernant la conformité au RGPD.

Ce webinaire aborde le Règlement Général sur la Protection des Données Personnelles (RGPD) et s'adresse à un large éventail de participants. Gérald Libon, consultant en protection des données, discutera des enjeux et des avantages de la conformité au RGPD, ainsi que du contexte légal en France. Rejoignez-nous pour mieux comprendre vos droits et responsabilités en matière de protection des données.