Protection des données : un règlement européen applicable en mai 2018

La protection des données personnelles est aujourd’hui encadrée par la législation européenne qui veut « harmoniser la protection des libertés et des droits fondamentaux des personnes physiques (…) et assurer le libre flux des données à caractère personnel entre les États membres ».

Bientôt applicable, le nouveau règlement européen adopté par Bruxelles l’an dernier (2016/679 du 27 avril 2016) précise que « la protection des personnes physiques à l’égard du traitement des données à caractère personnel est un droit fondamental. L’article 8, paragraphe 1, de la Charte des droits fondamentaux de l’Union européenne et l’article 16, paragraphe 1, du traité sur le fonctionnement de l’Union européenne disposent que toute personne a droit à la protection des données à caractère personnel la concernant ». Ce texte, paru au Journal officiel de l’Union européenne, entrera en application le 24 mai 2018.

En France, la Commission nationale de l’informatique et des libertés (Cnil) appelle donc les entreprises et les administrations concernées à préparer la mise en place de ce nouveau règlement sur la protection des données personnelles, car il reste un peu plus d’un an pour s’y conformer.

Celui-ci devrait renforcer l’obligation des entreprises et des organismes publics de protéger les données de leurs clients et de leurs utilisateurs. Et ce, à l’heure où les entreprises comme les administrations poursuivent leur transition numérique et où les données font partie de la stratégie des sociétés.

L’objectif de Bruxelles consiste à :

- renforcer le droit des personnes : avec notamment le nouveau droit à la portabilité des données personnelles qui donnera aux individus une meilleure maîtrise de celles-ci. Les utilisateurs doivent être informés de l’usage de leurs données personnelles et délivrer leur accord pour leur traitement ;

- responsabiliser tous les acteurs traitant des données personnelles ;

- unifier cet encadrement au sein de l’Europe ;

- encadrer et renforcer les sanctions, le cas échéant.

Comment s’y préparer

Les entreprises et les organismes effectuant du traitement de données à caractère personnel (en lien avec une activité professionnelle ou commerciale) sur le territoire français devront donc se munir d’outils adaptés pour contrôler et protéger ce type de données.

Ce nouveau règlement européen va, par ailleurs, supprimer les formalités préalables auprès des autorités nationales de contrôle – la Cnil, en France –, sauf exceptions. La Cnil accompagnera les professionnels concernés dans cette démarche, pour être conformes l’an prochain au cadre européen. Elle a publié une méthodologie déclinée en six étapes consultable sur son portail internet, ainsi que des contenus en ligne didactiques.

Les entreprises qui traitent des données personnelles devront donc, d’ici à mai 2018 :

- désigner un pilote responsable de la gouvernance des données personnelles de sa structure ; celui-ci informera, conseillera et contrôlera en interne ;

- recenser les traitements de ces données avec l’aide d’un registre ;

- prioriser les actions à mener concernant les droits et les libertés des personnes concernées par ces données à protéger ;

- analyser l’impact des risques sur la vie privée ;

- mettre en place des procédures internes nécessaires à la protection des données ;

- disposer d’une documentation interne mise à jour régulièrement.
•