Le règlement général sur la protection des données (RGPD)¹ est entré en application le 25 mai 2018. Les responsables de traitement doivent désormais mettre en oeuvre des mesures techniques et organisationnelles appropriées pour s’assurer, mais également être en mesure de démontrer, que leurs traitements sont conformes au règlement.

Le RGPD, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, marque un revirement dans la conception du rapport entre les responsables de traitement et les autorités de contrôle.

« Au contrôle a priori des traitements par l’autorité compétente via l’accomplissement de formalités préalables, est substitué un principe de responsabilité selon lequel le responsable du traitement devra justifier de sa conformité aux règles posées par le texte. »

L’un des objectifs principaux de la réforme est d’améliorer l’effectivité de la protection, en permettant une responsabilisation accrue des responsables de traitement.

La règlementation précédemment applicable subordonnait les traitements de données personnelles à l’accomplissement de certaines formalités auprès de l’autorité de contrôle (déclaration ou autorisation préalable de la CNIL²).

Cette approche a fait l’objet de critiques, l’obligation générale de notifier les traitements aux autorités de contrôle générant une charge administrative et financière, sans pour autant systématiquement contribuer à améliorer la protection des données à caractère personnel.

Le RGPD énonce le principe général de responsabilité (accountability)

Le RGPD opte ainsi pour une méthode différente : le responsable du traitement devra désormais mettre en oeuvre des mesures techniques et organisationnelles appropriées pour s’assurer que le traitement est effectué conformément au règlement.

L’accountability implique la mise en place d’une véritable gouvernance des données, qui doit se traduire par le déploiement de diverses mesures concrètes, incluant notamment le renforcement de la sécurité des systèmes d’information, l’adoption de mesures de pseudonymisation, la minimisation des données traitées, la désignation d’un délégué à la protection des données ainsi que la rédaction d’informations et de formulaires de consentement clairs à destination des personnes dont les données font l’objet d’un traitement.

En pratique, ces mesures impliquent de prendre en considération la protection des données dans les projets depuis leur origine, dès le stade de la R&D, et d’assurer la conformité des produits et services proposés aux dispositions du règlement (privacy by design). Ces mesures doivent également garantir que, par défaut, seules les données nécessaires au regard de la finalité spécifique du traitement sont collectées et utilisées (privacy by default).

Se pré-constituer la preuve de la conformité au RGPD

Il ne suffit pas aux entreprises de se conformer au RGPD. Elles doivent se préparer à en justifier auprès des personnes concernées ou de l’autorité de contrôle.

Les entreprises doivent démontrer connaître et maîtriser leurs traitements. A cette fin, il leur incombe d’identifier et de cartographier les flux de données, étape indispensable à l’établissement d’un registre des traitements imposé pour les entités de plus de 250 salariés. Elles doivent avoir sécurisé ces flux par la conclusion de contrats formels avec leurs sous-traitants et, en cas de transfert de données à destination d’Etats tiers à l’espace énonomique européen, avoir mis en oeuvre des mesures permettant de garantir un niveau adéquat de sécurité des traitements. De même, lorsque les données sont traitées sur la base du consentement, le responsable doit conserver la preuve de l’autorisation reçue. Les analyses d’impact des traitements à risque et les contrôles de proportionnalité des traitements basés sur l’intérêt légitime doivent également être documentés.

La conformité au RGPD suppose le déroulement d’un programme de conformité structuré, impliquant des changements de process et parfois même des évolutions des systèmes d’information.

¹ Règlement (UE) 2016/679 du 27 avril 2016.
² Commission nationale de l’informatique et des libertés.

Anne-Laure Villedieu, avocat associée en droit de la propriété industrielle, droit de l’informatique, des communications électroniques et protection des données personnelles.

Maïté Ollivier, avocat, droit social

Entrée en application du RGPD : quels impacts pratiques ? – Article paru dans La Lettre des Fusions-Acquisitions et du Private Equity  supplément du numéro 1467 du magazine Option Finance le 18 juin 2018