Le 14 mai dernier, les députés ont adopté en lecture définitive le projet de loi relatif à la protection des données personnelles. Ce texte a pour but d'adapter la réglementation française - plus particulièrement la loi Informatique et libertés du 6 janvier 1978 - au règlement général sur la protection des données (RGPD). Ce nouveau règlement européen relatif au traitement et à la circulation des données à caractère personnel est entré en vigueur le 25 mai.
Fin des déclarations auprès de la Cnil
Le RGPD introduit de nouvelles procédures répondant à une logique de responsabilisation des acteurs. Le projet de loi supprime ainsi la plupart des formalités préalables à la mise en place d'un traitement automatisé des données personnelles et notamment les déclarations préalables ou les demandes d'autorisation effectuées par les employeurs auprès de la Cnil.
Seules certaines formalités préalables vont être maintenues pour le traitement de données plus sensibles et gérées par des personnes spécifiques (police, justice).
En contrepartie de la disparition de l'accomplissement de ces démarches administratives auprès de la Cnil, les entreprises traitant des données à caractère personnel sont désormais pleinement responsables des données qu'elles traitent.
L'entreprise doit être en mesure d'assurer la conformité au RGPD du traitement des données personnelles tout au long du cycle de vie et d'être en mesure de démontrer cette conformité.
Un guide pratique pour les TPE et PME
En collaboration avec la Banque publique d'investissement (BPI), la Cnil a élaboré un guide pratique de sensibilisation au RGPD pour les petites et moyennes entreprises. Il présente les grandes étapes pour protéger les données personnelles de votre entreprise. Vous y trouverez des explications sur la raison d'être de ce nouveau règlement, les avantages pour une PME, des explications sur ce que sont des données personnelles ou leur traitement, des conseils sur les actions à mettre en place, etc.
Les conseils de la Cnil
La mise en conformité au RGPD peut parfois être complexe, même si cela est rarement le cas pour une PME. Soyez vigilants : certains acteurs peu scrupuleux profitent du RGPD pour proposer des prestations excessivement coûteuses ou générer des appels surtaxés. Renseignez-vous sur leurs compétences et références avant d'entrer en relation d'affaires. Au préalable, commencez par la lecture du guide ! Il vous sensibilisera et vous donnera les premiers éléments de langage pour échanger avec vos éventuels prestataires.
Comment passer à l'action ?
Pour les PME, la Cnil propose les quatre actions principales à mener avant d'entamer la mise en conformité de l'entreprise aux règles de protection des données. Elles doivent être pérennisées pour être efficaces.
Constituez un registre de vos traitements de données
Ce document vous permet de recenser tous vos fichiers et d'avoir une vision d'ensemble. Vous devez identifier les activités principales de votre entreprise qui nécessitent la collecte et le traitement de données.
La Cnil vous propose un modèle de registre simplifié pour les petites entreprises sur lequel vous pouvez vous appuyer. Vous devez créer et tenir à jour une fiche par activité. Par exemple : gestion de la paie, gestion des prospects, gestion des fournisseurs, vente en ligne, sécurisation des locaux, etc. Vous pouvez vous reporter aux modèles de fiche de registre proposés, à remplir pour chacune de ces activités.
Faites le tri dans vos données
• Pour chaque fiche créée, vérifiez que les données que vous traitez sont nécessaires à vos activités (par exemple, il n'est pas utile de savoir si vos salariés ont des enfants si vous n'offrez pas de service ou de rémunération attachés à cette caractéristique).
• Ne traitez aucune donnée dite sensible.
• Seules les personnes habilitées doivent avoir accès aux données dont elles ont besoin.
• Ne conservez pas vos données au-delà de ce qui est nécessaire.
Respectez le droit des personnes
Le RGPD renforce l'obligation d'information et de transparence à l'égard des personnes dont vous traitez les données (clients, collaborateurs, etc.). À chaque fois que vous collectez des données personnelles, le support utilisé doit comporter des mentions d'information. La Cnil vous propose des exemples de mentions sur son site.
Pour éviter des mentions trop longues, vous pouvez, en fin de document, renvoyer à une politique de confidentialité sur votre site internet. La Cnil précise qu'à l'issue de cette étape, vous avez répondu à votre obligation de transparence.
Les conditions générales de vente de votre établissement doivent expressément comporter un nouvel article sur la collecte des données et leurs différentes utilisations.
Vous devez obtenir le consentement des personnes dont les données sont collectées. L'établissement doit faire cocher une case d'acceptation pour chaque utilisation des données. Vous devez permettre aux clients l'accès à leurs données et la possibilité de les modifier et d'en demander la suppression.
Sécurisez vos données
Vous devez prendre les mesures nécessaires pour garantir au mieux la sécurité des données. Vérifiez la mise à jour de vos antivirus et logiciels. Changez régulièrement de mot de passe et utilisez des mots de passe complexes.
RGPD
Publié par Pascale CARBILLET
Commentaires
