Selon la Commission européenne, 250 million de personnes utilisent Internet au quotidien. De nombreuses données personnelles s’échangent en ligne, d’où la nécessité pour cette commission d’établir des règles relatives à la protection des données, également connues sous le nom de Règlement général sur la protection des données (ou RGPD). Claire Sambuc, juriste en droit des nouvelles technologies, fait le point sur la genèse de ces règles relatives à la protection de vos données personnelles dans l’Union européenne.
Qu’est-ce que le règlement général sur la protection des données (RGPD) ?
Le RGPD est le texte de référence en matière de données personnelles pour les résidents de l’Union européenne. Les règles relatives à la protection des données viennent encadrer la collecte et le traitement des données personnelles sur le territoire de l’Union. Il s’agit avant tout de comprendre la philosophie du RGPD et ce qu’est une donnée personnelle, précise la juriste Claire Sambuc.
Une donnée à caractère personnel est définie comme « toute information se rapportant à une personne physique identifiée ou identifiable ».
Concrètement, il peut s’agir de nom, prénom, adresse e-mail, numéro de téléphone, numéro de sécurité sociale, données de géolocalisation, … De manière générale tout ce qui permet d’identifier une personne physique.
À qui le règlement général sur la protection des données s’applique-t-il ?
Ce règlement s’applique à la fois aux entreprises et organisations publiques et privées, quelle que soit leur taille ou leur secteur, dès lors qu’elles sont établies sur le territoire de l’Union européenne ou que leurs activités ciblent les résidents de cette zone géographique.
Le Règlement vise à « responsabiliser » les entreprises qui doivent se montrer actives dans la protection des données et mettre en œuvre des actions, explique Claire Sambuc.
Quand le traitement des données est-il autorisé ?
Tout traitement de données doit nécessairement se faire sur une base légale. C’est l’article 6 du règlement qui pose les bases de la licéité du traitement. Pour être licite le traitement, nous explique Claire Sambuc, doit au moins répondre à une des conditions suivantes :
- Les données sont nécessaires à l’exécution d’un contrat ou à un précontrat : par exemple, traitement de votre adresse postale pour que les produits achetés en ligne puissent vous être livrés.
- Lorsque le traitement de vos données repose sur une obligation légale, par exemple la transmission par votre employeur d’informations concernant votre rémunération à l’administration fiscale.
- Lors de l’exécution d’une mission d’intérêt public relevant de l’exercice de l’autorité publique.
- Lorsque le traitement des données repose sur un intérêt vital – par exemple, le traitement de données à des fins humanitaires.
- Lorsqu’il existe un intérêt légitime- par exemple, le traitement de données à des fins de prévention contre la fraude. Le RGPD impose que soient mis en balance l’intérêt légitime poursuivi par le responsable du traitement et les droits et libertés de la personne concernée d’autre part.
- Le consentement est la dernière base légale permettant d’effectuer un traitement, ajoute la juriste Claire Sambuc, installée sur Marseille. Le RGPD définit strictement les conditions de la validité du consentement.
Le recueil du consentement
Le consentement de l’utilisateur, préalable à la collecte des données, est une démarche active nous explique Claire Sambuc
Concrètement, il peut se matérialiser par une case à cocher, non cochée par défaut dans un formulaire en ligne ou par un paramétrage technique particulier ou encore par une déclaration indiquant clairement que la personne accepte le traitement proposé.
- Le consentement doit être spécifique, c’est-à-dire porter sur une ou plusieurs finalités spécifiques, ce qui exclut une finalité exprimée de manière générale.
- Le consentement de l’utilisateur doit être clair, univoque et doit être donné librement.
- Le consentement doit être éclairé : la personne concernée doit avoir reçu un certain nombre d’informations nécessaires lui permettant de décider en connaissance de cause.
Le droit à l’information
Pour que l’utilisateur puisse donner son consentement éclairé, un certain nombre d’informations doivent être portées à sa connaissance :
- Des informations sur le responsable du traitement : leurs coordonnées et le cas échéant, les coordonnées du délégué à la protection des données (DPO).
- La finalité du traitement, c’est-à-dire, la raison pour laquelle l’entreprise/l’organisation traite ces données personnelles.
- La durée pendant laquelle seront conservées ces données personnelles.
- Les coordonnées de toute autre société ou organisation à laquelle pourront être transférées ces données personnelles.
- Des informations sur les droits de la personne concernée : accès, rectification, suppression, retrait du consentement).
Toutes ces informations doivent être présentées de manière claire et compréhensible, conclue la juriste Claire Sambuc
Claire SAMBUC 