Source: https://www.tubbydev.com/2018/05/rgpd-concr%C3%A8tement-que-faire-dans-votre-soci%C3%A9t%C3%A9-.html
Timestamp: 2019-07-20 03:32:25+00:00
Document Index: 42161742

Matched Legal Cases: ['art 30', 'art 24', 'art 4', 'art 7', 'art 7', 'art 11']

1) Définitions (car beaucoup de gens utilisent les termes du RGPD sans trop savoir de quoi il s'agit )
Fichier : « tout ensemble structuré de données à caractère personnel accessibles selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique ». (Des adresses mails dans votre mailer SONT un fichier)
Traitement : Constitue un traitement de données personnelles, toute opération portant sur des données personnelles, quel que soit le procédé utilisé. Il s’agit aussi bien de l’enregistrement des données, de leur conservation ou encore de leur modification. La visualisation de données EST un traitement
Données personnelles : toute information se rapportant à une personne physique identifiée ou identifiable ; est réputée être une « personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ».
Les adresses IP, les cookies ou autres identifiants, ainsi que la voix sont également une donnée à caractère personnel. --> Une adresse IP que vous avez dans vos logs ou stats EST une donnée personnelle
Responsable traitement : la personne, l’autorité publique, le service ou l’organisme qui détermine la finalité et les moyens du traitement. --> VOUS êtes responsable du traitement si vous êtes le patron de la société ou du site e-commerce
Destinataire : Personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui reçoit communication de données à caractère personnel, qu'il s'agisse ou non d'un tiers. Toutefois, les autorités publiques qui sont susceptibles de recevoir communication de données à caractère personnel dans le cadre d'une mission d'enquête particulière conformément au droit de l'Union ou au droit d'un Etat membre ne sont pas considérées comme des destinataires ».
Sous-traitant : toutes les personnes physiques ou morales qui interviennent pour le compte du responsable du traitement, telles que les sociétés en charge de la conservation des données et les hébergeurs
Principe d'accountability = responsabilisation --> vous devez vous-même vous mettre en conformité RGPD
2) Principes les + importants du RGPD en ce qui concerne le traitement des données
- Licéité, loyauté, transparence : les données doivent être « traitées de manière licite, loyale et transparente au regard de la personne concernée » ;--> le quidam de base doit être au courant de TOUT ce que vous faites de "ses" données (et "vous faites "= "vous + sous-traitants") donc notamment tous vos formulaires doivent prendre ceci en compte à le quidam de base doit être au courant de ses droits (voir plus bas)
- Limitation des finalités : les données doivent être « collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d'une manière incompatible avec ces finalités » ;--> vous ne pouvez collecter QUE les données dont VOUS avez besoin
- Exactitude des données : les données doivent être exactes et, si nécessaire, tenues à jour ;
- Limitation de la conservation des données : les données doivent être « conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées » ;
- Intégrité et confidentialité (l’article 34 de la loi informatique et libertés) les données doivent être « traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d'origine accidentelle, à l'aide de mesures techniques ou organisationnelles appropriées » --> vous ne pouvez pas ou plus avoir des fichiers excel à droite et à gauche, non cryptés, sur des ordi "ouverts".. Les données doivent être autant que possible anonymisées ou pseudonymisées.. Par exemple ce n'est plus pierre 3 rue tataouine, jean 4 rue des chiens, axel 2 rue fowley mais A 3 rue tataouine; B 4 rue des chiens, C 2 rue fowley et dans un autre fichier A=pierre, B=jean C=axel
3) DPO ou DPD Délégué à la Protection des Données
Le responsable du traitement et le sous-traitant désignent en tout état de cause un DPO lorsque :
- le traitement est effectué par une autorité ou un organisme public (sauf fonction juridictionnelle) ;
- le traitement à caractère personnel implique un suivi régulier, systématique et à une échelle importante ;
- les activités consistent en un traitement à grande échelle de données sensibles (origine, génétique, infraction,…) ou des données relatives à des condamnations pénales et à des infractions.
Cartographie, impact, registre, documentation, sécurité, alerte sont les tâches du DPO qui peut être externe et partagé avec d'autres.
ATTENTION: LE DPO N'EST RESPONSABLE DE RIEN, il est juste une sorte de collaborateur transversal du système légal. Le responsable des traitements (donc dans beaucoup de cas le patron de la société) RESTE responsable et coupable s’il y a un manquement à la loi.
4) Attention à la sous-traitance
La sous-traitance est l’aspect le plus négligé dans la mise en oeuvre concrète du RGPD.
Le sous-traitant ne peut agir que sur instruction du responsable du traitement et les parties doivent conclure un contrat précisant, notamment, ce point et détaillant les obligations incombant au sous-traitant en termes de sécurité et de confidentialité.
Le responsable du traitement a toujours pour obligation de veiller au respect de ces mesures même s’il fait appel à un sous-traitant.
Le sous-traitant est tenu pour responsable du dommage causé par le traitement :
- S'il n'a pas respecté les obligations prévues par le présent Règlement qui incombent spécifiquement aux sous-traitants ;
- S'il a agi en-dehors des instructions licites du responsable du traitement ou contrairement à celles-ci.
Le Règlement européen instaure une co-responsabilité entre le responsable de traitement et le sous-traitant. Concrètement, vous pouvez être co-responsable des errements, du manque de rigueur de l'un de vos sous-traitants !
Qui sont vos sous-traitants ? Les connaissez-vous
· Votre hébergeur et tous les services externes dont celui-ci se sert
· Votre système de pare-feu ou de filtres d'url ou de surveillance réseau
· Votre anti-virus
· Votre système de logs
· Votre système de statistiques
· Les plugins ou addons qui communiquent avec un autre service
· Les sociétés à qui vous confiez certaines tâches et qui au minimum VOIENT des données perso (Ca va de la société qui entretient votre réseau ou vos ordinateurs à votre centre d'appel, etc, etc..)
Il est impossible de contrôler concrètement si vos sous-traitants sont en accord avec le RGPD DONC prenez la ceinture et les bretelles juridiques en changeant vos contrats avec eux et en les obligeant à vous certifier qu'ils le sont -> https://www.cnil.fr/fr/sous-traitance-exemple-de-clauses
5) Que devez-vous faire pour être conforme au RGPD ?
Rappel: vous devez vous-même faire les efforts pour être conforme donc MONTRER VOTRE BONNE FOI
Prouver qu’on se conforme bien à ses obligations en matière de protection des données à caractère personnel et que toutes les mesures de protection des données collectées ont bien été prises peut se faire par :
· la tenue d’un registre reprenant les activités de traitement des données (art 30) ;
· la réalisation d’études d’impact sur la vie privée (EIVP ou PIA) ;
· la mise en place de mesures nécessaires à la sécurité et la confidentialité des données comme la tenue d’un registre ou la notification des failles de sécurité ;
· si besoin est la nomination d’un délégué à la protection des données (DPO) et une coopération avec l’autorité de contrôle ;
· l’application d’un code de bonne conduite approuvé notamment par l’autorité de contrôle et comprenant les mécanismes permettant de procéder au contrôle obligatoire du respect de ses dispositions par les responsables du traitement ou les sous-traitants qui s'engagent à l'appliquer (art 24 et 40).
DONC faites déjà les 5 choses suivantes:
1 – Listez toutes les collectes et traitements de données personnelles faites dans l’entreprise
Le RGPD a redéfini que les données « personnelles » sont les données permettant d’identifier une personne : « est réputée identifiable une personne qui peut être identifiée directement ou indirectement (…), notamment par référence à un identifiant, par exemple un nom, un numéro d'identification, des données de localisation, ou un identifiant en ligne, ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale »
Si l’entreprise collecte (en interne ou en externe) des données qui permettent d’identifier une personne (adresse, mail, nom, prénom, localisation mais aussi simple adresse IP), que ce soit directement ou via un prestataire, alors elle doit commencer par recenser toutes les actions de collectes de données ainsi que les traitements qui en sont faits.
- ce qui est collecté ou traité (quelles données exactement)
- d’où les données sont récupérées
- où les données sont stockées
- à qui ou à quel traitement les données sont soumises
2 – Vérifiez si les données que vous récupérez ou traitez sont bien uniquement celles dont vous avez besoin
Les sous-traitants d’une entreprise qui sont concernés par le RGPD peuvent être des prestataires de services informatiques (hébergement, sécurité, sauvegarde, etc..) ou des prestataires de marketing, de communication, de maintenance, etc..
Les contrats avec les sous-traitants doivent mentionner la réalité des dispositions de l’article 28 du RGPD (article spécifique aux sous-traitants) avec notamment :
- l’objet et la durée de la prestation effectuée pour le compte du client
- le type de données à caractère personnel que vous traitez pour le compte de votre client
- vos obligations et vos droits en tant que responsable de traitement
- l’engagement du sous-traitant de signaler immédiatement toute fuite de données.
4 - Respectez les droits des personnes concernées par leurs données personnelles (accès, rectification, portabilité, suppression)
Selon le RGPD, toute personne dont les données personnelles sont collectées par une entreprise a plusieurs droits.
Les personnes doivent être informées de leurs droits LORS DE LA COLLECTE
5 – Lors de la collecte (par exemple pour le remplissage d'un formulaire), vous devez aussi fournir les informations suivantes (Article 13)
- identité et coordonnées du responsable du traitement
- coordonnées du DPO s’il y en a un ;
- finalités du traitement ainsi que la base juridique du traitement ;
- si collecte sur le fondement de l’article 6, I point F : information sur les intérêts légitimes de la collecte ;
- les destinataires ou les catégories de destinataires de la collecte ;
- la durée de conservation (ou si imprévisible : critère de fixation de la durée) ;
- informations sur le droit de la personne sur ses données collectées (accès, suppression, rectification, limitation….) ;
- sur le caractère réglementaire ou contractuel ou si elle conditionne la conclusion d’un contrat et sur les conséquences sur la non-fourniture des données ;
- sur l’existence d’une prise de décision automatisée ;
- si traitement ultérieur : information sur la nouvelle finalité.
INFORMATIONS A FOURNIR LORSQUE LES DONNEES N’ONT PAS ETE COLLECTEES AUPRES DE LA PERSONNE CONCERNEE (ARTICLE 14)
- informations similaires à celles prévues à l’article 13
- si le responsable du traitement a l’intention d’effectuer un transfert des données à un destinataire dans un pays tiers ou à une organisation internationale et les garanties appropriées
- la source d’où proviennent les données (si source accessible ou non au public).
Le délai pour fournir ces informations :
- si les données doivent être utilisées aux fins de communication avec la personne concernée : au plus tard au moment de la communication ;
- la personne concernée dispose déjà de ces informations ;
- la fourniture de telles informations se révèle impossible ou exigerait un effort disproportionné ;
- la collecte est prévue par la loi ; • les données sont confidentielles (ex : obligation légale découlant du secret professionnel).
Pour traiter les données personnelles d’une personne, son consentement préalable doit toujours être obtenu, sauf en cas de :
- contrats et mesures précontractuelles : quand il s’agit d’une relation avec un client ou prospect (par exemple en créant un compte sur internet)
- obligation légale du responsable de traitement (ex : l’employeur) ;
- sauvegarde de la vie humaine ;
- mission de service public (ex : les impôts) ;
- intérêt légitime du responsable de traitement.
- libre (art 4) ;
- démontré : il faut garder une preuve du consentement (art 7-1). Il faut une traçabilité (ex : signature, empreinte vocale, code envoyé par téléphone…) ;
- retiré aussi facilement qu’il a été donné (art 7-3). Cela peut se faire par écrit (y compris voie électronique) ou par oral ;
- éclairé et univoque (art 11 et 40).
En pratique, les points 4 et 5 exigent une refonte partielle de vos formulaires, de vos propositions d’abonnement, newsletters, de la manière dont vous créez les comptes clients, etc, etc.. Tout ceci n’est pas compliqué donc ne payez pas plus que nécessaire !
Une petite conclusion pratique ?
La CNIL, le gendarme du RGPD n’a que 200 employés (contre 600 dans les organismes semblables des autres grands pays européens). L'Assemblée Nationale a baissé de 5% les subventions des associations de consommateurs (après que les députés se soient prononcés contre la réduction initiale voulue par le gouvernement de 40% de ces subventions !) et le nombre de fonctionnaires de la DGCCRF a aussi chuté donc il y a fort à parier que les contrôles de la CNIL seront réservés à certains types de sociétés ou aux dénonciations dans des secteurs où un acteur aura fait des efforts et essaiera « grâce » à une bonne délation à la française à la CNIL de mettre en difficulté ses concurrents qui n’en n’ont pas fait (Au hasard dans le secteur bancaire ? ;-)).
En bref, VOUS, dans votre petite société ou boutique, contentez-vous du minimum indiqué ci-dessus et vous serez tranquille mais ne négligez pas de faire des efforts afin de pouvoir montrer ceux-ci au moindre contrôle ou "client" un peu vicieux !
et Avoir des formulaires conformes au RGPD
RGPD: concrètement que faire dans votre société ? dans RGPD | mai 2, 2018 | Commentaires (0)
Commentaires sur: RGPD: concrètement que faire dans votre société ?
Poster un commentaire sur: RGPD: concrètement que faire dans votre société ?
Commentaire sur: RGPD: concrètement que faire dans votre société ?
« RGPD: bien pratique parfois pour vendre sa soupe; l'exemple Prestashop | Accueil | Wijet, Medium et la censure d'une histoire d'associé blakboulé par ses "amis" »