Data Privacy & Règlement Européen

Transcription

1 ENIGMA Services Audit Conseil Formation IS Risk, Security, Continuity & Compliance Data Privacy & Règlement Européen DOSSIER D INFORMATION Jennifer GODIN, Directrice Mars 2016

2 1 Préambule «En 2012, la Commission européenne présentait sa réforme de la protection des données dans l UE afin que l Europe s'adapte à l ère numérique.» Le 15 décembre 2015, l UE a approuvé le nouveau règlement sur la protection des données, qui renforce considérablement les pouvoirs de sanction des Cnil nationales. «À la suite de l accord politique intervenu lors du trilogue, les textes finaux seront formellement adoptés par le Parlement européen et le Conseil début Les nouvelles règles s'appliqueront deux ans plus tard.» «Au cours de la phase de transition de deux ans, la Commission informera les citoyens de leurs droits et les entreprises de leurs obligations.» Source : communiqués de presse de la commission européenne Avertissement Ce support à vocation pédagogique n a été réalisé qu à des fins d information et de sensibilisation. Les sources d informations y sont mentionnées avec des liens vers les sites d origines. Toute atteinte aux droits d'auteur n'est pas intentionnelle. Une des principales sources d information et de renseignement pédagogique de ce support est : 1. Les droits et obligations en matière de protection des données personnelles 2. Contenus issus du site de la CNIL 3. Extraits le 29 janvier et le 29 février Sous la licence : CC-BY-ND 3.0 FR pour les contenus ; Illustrations Martin Vidberg. Crédit photos : CC-BY-NC-ND 3.0 FR pour les images

3 2 Sommaire Préambule... 1 Avertissement... 1 Sommaire... 2 Données personnelles : What is a personnal Data?... 4 Traitement de données è caractère personnel... 5 Obligations des entreprises vis-à-vis de la loi Informatique & Liberté 6 La sécurité des fichiers... 6 La confidentialité des données... 6 L information des personnes... 6 La finalité des traitements... 6 La durée de conservation des informations... 6 L autorisation de la CNIL... 6 Transferts de données personnelles hors Union Européenne 7 Règlement européen sur la protection des données personnelles 8 En quelques dates... 8 Principe de la réforme... 8 Le règlement général sur la protection des données 8 La directive sur la protection des données.. 8 Périmètre et champ d application étendus... 9 Renforcement des droits des citoyens européens un accès plus simple aux propres données personnelles 10 un droit à la portabilité des données... 10

4 3 un «droit à l oubli» plus clair le droit d'être informé en cas d'accès non autorisé aux données personnelles 10 Renforcement des missions et pouvoirs de la CNIL Renforcement des obligations des entreprises Sanctions Renforcées Champ d application étendu Renforcement des droits des personnes concernées Principe de Responsabilité Gouvernance dédiée et Contrôle continu Socle documentaire Tenue d un registre détaillé Privacy by Design & Privacy by Default Sécurisation des transferts Information des personnes élargie Notification des violations Remédiation des plaintes... 13

5 4 Données personnelles : What is a personnal Data? Art. 2 de la loi "Informatique et libertés" " Constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d identification ou à un ou plusieurs éléments qui lui sont propres. Pour déterminer si une personne est identifiable, il convient de considérer l ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accès le responsable du traitement ou toute autre personne ". According to the law, personal data means any information relating to an identified or identifiable individual. " La personne concernée par un traitement de données à caractère personnel est celle à laquelle se rapportent les données qui font l objet du traitement ". Info Plus Ces dispositions ne font pas de distinction pour les données qui désignent une personne physique entre ses activités personnelles ou professionnelles. Ainsi les noms, qualités et coordonnées de professionnels constituent des données à caractère personnel au sens de la loi. Une adresse mail professionnelle est une information à caractère personnel.

6 5 Traitement de données è caractère personnel Art. 2 de la loi "Informatique et libertés" " Constitue un traitement de données à caractère personnel toute opération ou tout ensemble d'opérations portant sur de telles données, quel que soit le procédé utilisé, et notamment la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, ainsi que le verrouillage, l'effacement ou la destruction". Constitue un fichier de données à caractère personnel tout ensemble structuré et stable de données à caractère personnel accessibles selon des critères déterminés. Info Plus Selon les dispositions de la Loi Informatique et Libertés, Un fichier Excel contenant des numéros de matricules de collaborateurs est un fichier à caractère personnel.

7 6 Obligations des entreprises vis-à-vis de la loi Informatique & Liberté La sécurité des fichiers Adopter des mesures de sécurité physiques, logiques et adaptées à la nature des données et aux risques présentés par le traitement. La confidentialité des données Seules les personnes autorisées peuvent accéder aux données personnelles contenues dans un fichier. L information des personnes Leur communiquer : l identité, la finalité du traitement, le caractère obligatoire ou facultatif des réponses, les destinataires des informations, l existence de droits, les transmissions envisagées. La finalité des traitements Un fichier doit avoir un objectif précis. Les informations ne peuvent pas être réutilisées de manière incompatible avec la finalité. La durée de conservation des informations Fixer une durée de conservation raisonnable en fonction de l objectif du fichier. L autorisation de la CNIL Avant la mise en œuvre des traitements. Source : Commission Nationale Informatique et Libertés Ensure data security and confidentiality, to protect them from distortion or disclosure to unauthorized third parties. Vélos de course Exercice Compétition Intérêt VTT Loisirs Plaisir Intérêt Vélos de tourisme Relaxation Loisirs Social Vélos utilitaires Ensure that citizens are in a position to exercise their rights through information. Maniabilité Valeur Environnement Notify the file and its characteristics to the CNIL, except when exempted by law or by the CNIL. Accept on-site inspections by the CNIL, and reply to any request for information.

8 7 Transferts de données personnelles hors Union Européenne Ces transferts sont interdits sauf : Si le transfert a lieu vers un pays reconnu par la commission européenne comme "Offrant un niveau de protection des données suffisant", ou Si des Clauses Contractuelles Types, approuvées par la Commission européenne, sont signées entre deux entreprises, ou Si des Règles internes d'entreprises (BCR) sont adoptées au sein d'un groupe, ou Si l'une des exceptions prévues par l article 69 de la loi Informatique et Libertés est invoquée. Les sanctions encourues en cas de non-respect des règles en matière de transferts sont de d amende et de 5 ans d emprisonnement. (Articles , A et du Code pénal) Info Plus Le 06 octobre 2015, la Cours de Justice de l Union Européenne a invalidé les accords du Safe Harbor. Il n est depuis plus possible de réaliser un transfert vers les Etats-Unis sur la base du Safe Harbor. Vous devez mettre en place des BCR ou des faire signer des Clauses Contractuelles type de l UE.

9 8 Règlement européen sur la protection des données personnelles En quelques dates 25 janvier 2012 : Proposition de règlement de la commission européenne 12 mars 2014 : Texte du parlement adopté en plénière 15 juin 2015 : Adoption du texte du conseil par les ministres européens 24 juin 2015 : Début du trilogue commission, conseil et parlement 15 décembre 2015 : Projet validé, économie du règlement approuvée Printemps 2016 : Promulgation du règlement : Phase de préparation Début 2018 : Entrée en vigueur du règlement Principe de la réforme «Le projet de règlement, vise à remplacer la directive européenne de 1995 sur la protection des données à caractère personnel (95/46/CE) et, par une législation unique, à mettre fin à la fragmentation juridique actuelle entre les Etats membres notamment par : un allégement des formalités préalables pesant sur les entreprises, un renforcement des droits du citoyen, une harmonisation des pouvoirs et des compétences des autorités de contrôle, une coopération renforcée entre les autorités.» Source : Un continent, un droit : le règlement établira un corpus unique de règles. «La réforme est composée de deux instruments. Le règlement général sur la protection des données permettra aux personnes physiques de mieux contrôler leurs données personnelles. o Dans le même temps, la modernisation et l'uniformisation des règles permettront aux entreprises de tirer le meilleur parti des possibilités offertes par le marché unique numérique en réduisant les formalités administratives auxquelles elles sont soumises et en renforçant la confiance des consommateurs. La directive sur la protection des données dans le secteur de la police et de la justice pénale garantira que les données des victimes, des témoins et des suspects sont dûment protégées dans le cadre d'enquêtes criminelles et d'autres actions des pouvoirs publics. o Dans le même temps, une législation plus harmonisée facilitera la coopération transfrontière entre les forces de l'ordre afin de lutter contre la criminalité et le terrorisme de façon plus efficace dans toute l Europe.» Source :

10 9 Périmètre et champ d application étendus L application des règles européennes sur le sol européen : les entreprises (établissements du responsable de traitement ET de ses sous-traitants) établies hors d Europe devront se conformer à la réglementation européenne pour pouvoir offrir leurs services dans l Union. «Une réglementation pan-européenne avec un degré d harmonisation plus important.» Info Plus Les sous-traitants pourront avoir une responsabilité conjointe avec le responsable de traitement. Ils devront conserver une trace des instructions données. Ils seront soumis à de nombreuses obligations réglementaires et contractuelles. L'extension de ces nouvelles règles à toutes les sociétés qui comptent des utilisateurs dans l'union européenne, même si elles sont basées hors de l'ue.

11 10 Renforcement des droits des citoyens européens «Les nouvelles règles répondent à ces préoccupations en renforçant les droits existants et en octroyant aux individus une maîtrise accrue de leurs données personnelles. Plus particulièrement, elles contiennent : un accès plus simple aux propres données personnelles : les individus disposeront de plus d informations sur la façon dont leurs données sont traitées, et ces informations devront être formulées de manière claire et compréhensible ; un droit à la portabilité des données : il sera plus facile de transférer les données personnelles d'un prestataire de services à un autre ; un «droit à l oubli» plus clair : lorsqu'un individu ne souhaite plus que les données qui le concernent soient traitées, et dès lors qu'aucun motif légitime ne justifie leur conservation, ces données seront supprimées ; le droit d'être informé en cas d'accès non autorisé aux données personnelles : par exemple, les entreprises et organisations doivent notifier à l autorité nationale de contrôle, dans les plus brefs délais, les violations de données graves, afin que les utilisateurs puissent prendre les mesures appropriées.» Source : Renforcement des missions et pouvoirs de la CNIL Dans le cadre des nouvelles dispositions du règlement européen, la CNIL voit ses missions et pouvoirs renforcés avec notamment un renforcement de ses pouvoirs et procédures de sanctions. «En cas de violation des droits des personnes concernées, l entreprise responsable encoure une sanction pouvant s élever à 4% de son chiffre d affaires mondial.» Le renforcement des pouvoirs des autorités nationales de régulation est une des dispositions du règlement européen sur la protection des données personnelles, dont l économie a été approuvée le 15 décembre Source : Veille juridique Gendarmerie Nationale N 43, décembre

12 11 Renforcement des obligations des entreprises Les formalités préalables sont allégées pour les entreprises, mais afin de répondre au renforcement des droits des citoyens européens et des pouvoirs de la CNIL, les obligations des entreprises en matière de protection des données à caractère personnel se voient également renforcées. 1. Sanctions Renforcées En cas de violation du règlement européen, l entreprise responsable encourt une sanction pouvant s élever à 4 % de son chiffre d affaires mondial. 2. Champ d application étendu Votre société est concernée dès que vous comptez des utilisateurs dans l UE, que vous soyez responsable ou sous-traitant, et cela même si vous êtes basés hors de l UE. 3. Renforcement des droits des personnes concernées Les utilisateurs bénéficient toujours de droits d accès, de rectification et d opposition qui doivent être facilités, mais aussi de droits à l oubli, à la portabilité, 4. Principe de Responsabilité Votre entreprise doit prendre en compte les risques d atteinte à la vie privée et documenter l ensemble des mesures mises en œuvre.

13 12 5. Gouvernance dédiée et Contrôle continu Votre entreprise doit mettre en place une gouvernance déléguée à la protection des données personnelles pour rendre compte à l autorité chef de file du respect des exigences légales. 6. Socle documentaire Votre responsable du traitement et vos sous-traitant doivent conserver une trace documentaire, régulièrement mise à jour, nécessaire au respect des exigences établies dans le Règlement. 7. Tenue d un registre détaillé Votre entreprise a l obligation de tenir un registre détaillé contenant entre autres la finalité des traitements, les responsables, les catégories de personnes concernées et données traitées, les destinataires, les transferts, les durées de conservations et délais d effacement 8. Privacy by Design & Privacy by Default Votre entreprise doit garantir que la protection de la vie privée soit intégrée dans les nouvelles applications technologiques et commerciales dès leur conception et par défaut. 9. Sécurisation des transferts Votre entreprise doit mettre en place des mesures pour sécuriser les transferts de données, et les protéger juridiquement lorsqu ils sont réalisées hors UE par des BCR ou des clauses contractuelles types de l UE (ou autres solutions ad-hoc). 10. Information des personnes élargie Votre responsable du traitement doit informer les personnes concernées d une manière visible et facilement lisible et dans un langage aisément compréhensible d une série d informations requises par le Règlement.

14 Notification des violations Votre entreprise a l obligation de notifier à l autorité de contrôle toute violation de données personnelles, et doit également faire une notification immédiate à la personne concernée en cas de risque important d atteinte à ses droits et libertés. 12. Remédiation des plaintes Votre entreprise doit mettre en place une procédure de prise en compte, de remédiation et de suivi des plaintes émises, et une gouvernance adaptée.

15 14 Info Plus Support pédagogique : Illustration publiée par la CNIL et le G29 et réalisée par Martin Vidberg La CNIL et le G29 publient 6 dessins pour mieux comprendre les avancées du futur règlement européen pour les citoyens dessins réalisés par Martin Vidberg. Poster à télécharger sur version EN: Pour en savoir Plus