Entrée en application du RGPD : quels impacts pratiques ?

10 juillet 2018
Le règlement général sur la protection des données (RGPD)1 est entré en application le 25 mai 2018. Les responsables de traitement doivent désormais mettre en oeuvre des mesures techniques et organisationnelles appropriées pour s’assurer, mais également être en mesure de démontrer, que leurs traitements sont conformes au règlement.
Le RGPD, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, marque un revirement dans la conception du rapport entre les responsables de traitement et les autorités de contrôle.
« Au contrôle a priori des traitements par l’autorité compétente via l’accomplissement de formalités préalables, est substitué un principe de responsabilité selon lequel le responsable du traitement devra justifier de sa conformité aux règles posées par le texte. »
L’un des objectifs principaux de la réforme est d’améliorer l’effectivité de la protection, en permettant une responsabilisation accrue des responsables de traitement.
La règlementation précédemment applicable subordonnait les traitements de données personnelles à l’accomplissement de certaines formalités auprès de l’autorité de contrôle (déclaration ou autorisation préalable de la CNIL2).
Cette approche a fait l’objet de critiques, l’obligation générale de notifier les traitements aux autorités de contrôle générant une charge administrative et financière, sans pour autant systématiquement contribuer à améliorer la protection des données à caractère personnel.
Le RGPD énonce le principe général de responsabilité (accountability)
Le RGPD opte ainsi pour une méthode différente : le responsable du traitement devra désormais mettre en oeuvre des mesures techniques et organisationnelles appropriées pour s’assurer que le traitement est effectué conformément au règlement.
L’accountability implique la mise en place d’une véritable gouvernance des données, qui doit se traduire par le déploiement de diverses mesures concrètes, incluant notamment le renforcement de la sécurité des systèmes d’information, l’adoption de mesures de pseudonymisation, la minimisation des données traitées, la désignation d’un délégué à la protection des données ainsi que la rédaction d’informations et de formulaires de consentement clairs à destination des personnes dont les données font l’objet d’un traitement.
En pratique, ces mesures impliquent de prendre en considération la protection des données dans les projets depuis leur origine, dès le stade de la R&D, et d’assurer la conformité des produits et services proposés aux dispositions du règlement (privacy by design). Ces mesures doivent également garantir que, par défaut, seules les données nécessaires au regard de la finalité spécifique du traitement sont collectées et utilisées (privacy by default).
Se pré-constituer la preuve de la conformité au RGPD
Il ne suffit pas aux entreprises de se conformer au RGPD. Elles doivent se préparer à en justifier auprès des personnes concernées ou de l’autorité de contrôle.
Les entreprises doivent démontrer connaître et maîtriser leurs traitements. A cette fin, il leur incombe d’identifier et de cartographier les flux de données, étape indispensable à l’établissement d’un registre des traitements imposé pour les entités de plus de 250 salariés. Elles doivent avoir sécurisé ces flux par la conclusion de contrats formels avec leurs sous-traitants et, en cas de transfert de données à destination d’Etats tiers à l’espace énonomique européen, avoir mis en oeuvre des mesures permettant de garantir un niveau adéquat de sécurité des traitements. De même, lorsque les données sont traitées sur la base du consentement, le responsable doit conserver la preuve de l’autorisation reçue. Les analyses d’impact des traitements à risque et les contrôles de proportionnalité des traitements basés sur l’intérêt légitime doivent également être documentés.
La conformité au RGPD suppose le déroulement d’un programme de conformité structuré, impliquant des changements de process et parfois même des évolutions des systèmes d’information.
Notes
1 Règlement (UE) 2016/679 du 27 avril 2016.
2 Commission nationale de l’informatique et des libertés.
Auteurs
Anne-Laure Villedieu, avocat associée en droit de la propriété industrielle, droit de l’informatique, des communications électroniques et protection des données personnelles.
Maïté Ollivier, avocat, droit social
Entrée en application du RGPD : quels impacts pratiques ? – Article paru dans La Lettre des Fusions-Acquisitions et du Private Equity supplément du numéro 1467 du magazine Option Finance le 18 juin 2018
A lire également
Les apports de la loi relative à la liberté de la création, à l’architectu... 3 novembre 2016 | CMS FL

Nouvelle convention collective de la métallurgie : quelles nouveautés en matiÃ... 1 juillet 2022 | Pascaline Neymond

Requiem inachevé pour la contribution de 3% sur les distributions... 27 décembre 2016 | CMS FL

Recommandation n°17-02 de la Commission des clauses abusives sur les contrats r... 12 septembre 2018 | CMS FL
Financements structurés et implication des représentants du personnel... 24 décembre 2020 | CMS FL Social

Contrat informatique : absence de déséquilibre significatif en présence de cl... 9 novembre 2016 | CMS FL

Compliance fiscale : faute avouée à moitié pardonnée... 13 juillet 2018 | CMS FL

Brevets : appels et précisions sur les conditions permettant de bénéficier de... 20 février 2017 | CMS FL

Articles récents
- Mise en place du groupe spécial de négociation dans le cadre de la création d’une société européenne : étapes et marche à suivre
- La semaine de quatre jours ou comment flexibiliser l’organisation du travail dans le respect des contraintes juridiques
- Dialogue social dans le secteur des VTC : l’accord fixant le revenu minimum net par course est homologué
- Détachement de travailleurs : modification de la déclaration préalable et de l’attestation de détachement
- Directives sur des conditions de travail transparentes et prévisibles et sur l’équilibre entre vie professionnelle et vie privée : la loi de transposition est publiée !
- Eoliennes en mer : les impacts en droit social de la loi relative à l’accélération de la production d’énergies renouvelables
- Défaut d’information-consultation du CSE sur les conséquences environnementales d’un projet de restructuration d’entreprise : premières décisions des juges du fond
- Le droit du travail adapté au droit de l’Union européenne
- Accord national interprofessionnel sur le partage de la valeur : quelles sont les principales dispositions ?
- Accord de performance collective : fermeture de site et modalités de négociation dérogatoire