RGPD : Finie la réflexion, place à l’action !

Les concepts induits par le RGPD

• La « Privacy by design »

ou la protection de la vie privée dès la conception des nouvelles applications technologiques et commerciales traitant de données personnelles. Ce concept est renforcé par la protection de la vie privée par défaut (« Privacy by default ») qui doit assurer le plus haut niveau possible de protection des données aux personnes concernées.

• Le « Consentement » 

Pour pouvoir traiter des données personnelles, un consentement explicite (clair et simple) est obligatoire de la part des personnes concernées. La règle du consentement implicite ne sera donc plus applicable. Ce consentement peut à tout moment être retiré par son propriétaire. Certains types de traitement peuvent faire exception s’il s’agit d’une obligation légale, d’une mission d’intérêt public ou s’il s’agit de préserver des intérêts vitaux.

• L’« Anonymisation » et « Pseudonymisation »

Le but de l’anonymisation est de rendre les données personnelles totalement anonymes et ce de manière irréversible, aucune identification de personne n’est possible avec ces deux procédés. Dans certains cas, l’anonymisation de la donnée est impossible, on peut donc remplacer certaines caractéristiques de la donnée par des pseudonymes, ce qui rend l’identification directe d’un individu impossible.

• Le Droit à l’oubli 

Toute personne identifiée a le droit de demander l’effacement de ses données personnelles et ce quelle que soit la condition :

• Elle juge que ses données ne sont plus nécessaires aux fins pour lesquelles elles ont été collectées et traitées
• Elle ne donne plus son consentement
• Elle juge que ses données ont été utilisées à des fins illicites

• La Portabilité 

La personne concernée a le droit de récupérer toutes les données à caractère personnel, sous format structuré et lisible, et de les transmettre à un autre fournisseur de service sans avoir le consentement de l’ancien. Le registre des traitements implique systématiquement la description détaillée des opérations de traitement des données.

• L’analyse d’impact

Lorsqu‘un traitement de données personnelles est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées.

• L’obligation de notification des violations de données personnelles à l’autorité de contrôle

qui impose, entre autres, la notification des failles auprès de la CNIL sous 72 heures afin renforcer la sécurité.