La protection des données personnelles, un nouveau cadre juridique depuis le 25 mai 2018

Le règlement européen du 27 avril 2016 relatif à la protection des données personnelles (RGPD)  rentre en application à compter du 25 mai 2018.

Ce règlement européen a pour objectif d’harmoniser le cadre juridique applicable à la protection des données dans l’Union européenne, de renforcer les droits des personnes, de responsabiliser les entreprises et de renforcer les sanctions applicables.

Les droits des personnes concernées par le traitement de données

Le nouveau cadre européen vient renforcer les droits déjà connus (droit d’accès, droit de rectification, droit d’opposition, droit à l’oubli) mais innove également en reconnaissant un droit à la limitation du traitement et un droit à la portabilité des données. Ce droit à la limitation permet de désigner certaines données dont le traitement futur sera en principe interdit. Quant au droit à la portabilité, il permet de récupérer les données fournies à un prestataire sous-traitant (par exemple un opérateur de téléphonie) afin de les transmettre à un autre.

Un changement de logique : d’un système déclaratif vers une responsabilisation des responsables de traitement et des sous-traitants

Le règlement européen met fin au régime de déclaration des traitements à la Cnil à compter du 25 mai 2018 pour le remplacer par un système d’ « autocontrôle » visant à responsabiliser non seulement les responsables de traitement mais également les sous-traitants qui sont désormais également visés par le dispositif.

Ainsi, il leur appartiendra désormais de mettre en œuvre des mesures techniques et organisationnelles appropriées pour s’assurer, et être en mesure de démontrer, que le traitement est effectué conformément à la règlementation.

Le responsable de traitement pourrait également être tenu de réaliser une étude d’impact sur la protection des données personnelles dès lors qu’en raison du type de traitement les droits et libertés des personnes seront exposés à un risque élevé.

Enfin, le règlement impose à chaque responsable de traitement la tenue d’un registre des activités effectuées sous sa responsabilité.

La désignation d’un Data Protection Officer (DPO) en substitution du CIL

La désignation d’un DPO est rendue obligatoire par le règlement pour les organismes dont les activités de base les amènent à réaliser un suivi régulier et systématique des personnes à grande échelle ou les amènent à traiter à grande échelle des données sensibles ou relatives aux condamnations pénales et aux infractions.

Dès lors, qu’adviendra-t-il des quelques 18 500 CIL déjà désignés en France ?

Le DPO étant le successeur du CIL il pourra reprendre ses attributions mais avec un rôle et des missions élargis. En effet, ce délégué à la protection des données sera principalement chargé d’informer et de conseiller le responsable du traitement ainsi que ses employés, de contrôler le respect du règlement européen et du droit national, de conseiller le responsable du traitement dans l’éventuelle réalisation d’une étude d’impact et de coopérer avec l’autorité de contrôle.

Le traitement transnational de données

Les deux principales nouveautés issues du règlement visent à faciliter le respect des règles relatives aux traitements des données lorsque celui-ci dépasse le cadre national. Dans un premier temps, les entreprises concernées devront désigner un « établissement principal » en Europe, afin de bénéficier d’un bureau unique auprès des différentes autorités. Ensuite, ces différents organismes adopteront conjointement, sous la direction de l’autorité de contrôle  de l’établissement principal, les décisions relatives au traitement transnational en cause.

Concrètement, les entreprises n’auront plus qu’un interlocuteur par traitement.

S’agissant du transfert de données personnelles vers des Etats hors Union européenne, le règlement confirme le principe selon lequel le responsable d’un traitement ne peut procéder au transfert de données personnelles vers un Etat tiers que si ce dernier assure un niveau de protection adéquat des droits et libertés des personnes concernées. Le règlement met en outre l’accent sur la « décision d’adéquation » pouvant être rendue par la Commission européenne grâce à laquelle tout transfert transnational pourra être effectué sans autorisation spécifique.

Des sanctions sensiblement renforcées

Outre la possibilité de sanctions jointes en matière de traitements transnationaux, la nouveauté issue du règlement réside dans les montants des sanctions qui pourront désormais s’élever à hauteur de 20 millions d’euros ou 4% du chiffre d’affaires mondial pour une entreprise, étant précisé que ces montants constituent un plafond.

Par ailleurs, les missions et les pouvoirs, notamment de sanction, de la Cnil seront sensiblement renforcés.

Le règlement du 27 avril 2016 se veut donc beaucoup plus contraignant et coercitif que la directive de 1995 afin de répondre aux objectifs ambitieux qu’il fixe.