Préparez-vous dès aujourd hui à l entrée en vigueur du règlement européen sur la protection des données.

Transcription

1 Préparez-vous dès aujourd hui à l entrée en vigueur du règlement européen sur la protection des données. Le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après RGPD) entrera en vigueur le 25 mai Ce règlement réforme en profondeur la règlementation applicable en matière de protection de données et devient le nouveau texte de référence en la matière. 1) Qui est concerné? Le RGPD s applique d une part lorsque le traitement de données est rattaché à une activité exercée dans l Union européenne. Il s applique d autre part à toute entreprise qui traite les données personnelles des citoyens de l Union européenne, même si celle-ci n est pas établie dans un état membre de l Union européenne. Tant les multinationales que les PME ou artisans gérant un fichier client sont concernés. En définitive la grande majorité des sociétés ayant une activité en Europe sont concernées. 2) Quels sont les objectifs de la réforme? Le RGPD vise principalement à : Jeanne Ledig Avocat au Barreau de Paris Rechtsanwältin Cologne Konrad-Adenauer Ufer 71 D Köln ledig [at] avocat.de Tél.: +49 (0) Uniformiser la réglementation sur la protection des données au niveau européen. Sur ce point il y a lieu de préciser que s agissant d un règlement, les nouvelles dispositions sont applicables directement sans qu elles aient à être transposées par des lois ou décrets

2 nationaux ; - Renforcer le droit des personnes ; - Responsabiliser davantage les entreprises en développant l auto-contrôle. 3) Quelles sont les nouvelles obligations qui pèsent sur les entreprises? En application de la nouvelle règlementation, les sociétés concernées doivent : - Adopter une démarche dite de «privacy by design» (art : respect de la protection des données dès la conception) et de «privacy by default» (art : sécurité par défaut). Cela signifie que les responsables de traitement doivent mettre en œuvre toutes les mesures nécessaires au respect de la protection des données personnelles dès la conception du produit ou du service concerné mais également par défaut. En pratique, ils doivent veiller à limiter la quantité de données traitées dès le début. - Documenter les mesures prises pour être en conformité (art. 24) - Garantir la sécurité des données personnelles par la mise en œuvre de mesures appropriées telle que la pseudonymisation, des tests d intrusion ou le chiffrement des données (art. 32) - Notifier à l autorité de contrôle (en France, la CNIL) toute faille de sécurité concernant les données personnelles dans un délai de 72h voire, dans certains cas, à la personne concernée (art.31); - La nomination d un Délégué à la Protection des Données est obligatoire pour (art. 37): les administrations publiques les entreprises pour lesquelles les traitements mis en œuvre consistent à surveiller les personnes de façon régulière ou systématique à grand échelle les entreprises traitant des données sensibles. Le cabinet Epp & Kühl est votre partenaire sur le marché franco-allemand. Fort d une équipe comprenant plus de 35 professionnels (Avocats et Rechtsanwälte) bilingues, répartis dans 6 bureaux (Cologne, Lyon, Paris, Strasbourg, Baden-Baden et Sarreguemines), il est le premier cabinet d avocats spécialisé dans le droit franco-allemand. Il accompagne les entreprises allemandes, autrichiennes et suisses et leurs filiales françaises dans tous les aspects juridiques de leurs activités en France. De même, il assiste les sociétés françaises en Allemagne. - Obligation du responsable du traitement de vérifier que son sous-traitant présente des garanties suffisantes en matière de protection de données (art. 35). Les contrats de sous-traitance doivent être modifiés en ce sens. 4) Dans quelle mesure les droits des utilisateurs sont renforcés? - Portabilité des données : le droit à la portabilité per

3 met à une personne de récupérer les données la concernant ou encore de transférer ses données personnelles d une entreprise à une autre (Art. 20) - Renforcement du consentement : le responsable de traitement doit être en mesure de prouver que la personne concernée par le traitement a donné son accord pour le traitement de ses données. Il est également prévu que la personne concernée puisse retirer son consentement (Art. 7). - Droit à l oubli : les personnes concernées peuvent solliciter l effacement de leurs données personnelles (Art. 17) - Droit à l information : les personnes concernées par le traitement doivent être informées dans un langage clair et précis de l usage fait de leurs données. Le règlement précise de façon détaillée les mentions à apporter lorsque les données sont collectées auprès des personnes mais aussi lorsqu elles sont collectées de façon indirecte (Art. 12) Informations sur les prochaines manifestations : 27 novembre Wébinaire: Comment organiser votre business en Allemagne Vous trouverez de plus amples informations sur nos manifestations à l adresse - Conditions particulières pour le traitement des données des enfants : le traitement des données personnelles des mineurs (en dessous de 16 ans) est subordonné à l accord préalable des titulaires de l autorité parentale (Art. 8) - Action de groupe : les personnes concernées peuvent mandater des organismes, organisations ou associations afin d introduire une réclamation en leur nom devant l autorité de contrôle et d obtenir réparation (Art. 80) - Limitation du recours au profilage: sauf exceptions, le recours au profilage est interdit à défaut d accord de la personne concernée (Art. 22). 5) Quels sont les nouveaux outils de conformité à la disposition des entreprises? - Les entreprises bénéficient des outils suivants pour faciliter leur mise en conformité avec la nouvelle règlementation. L la tenue d un registre des traitements mis en œuvre (art. 30) - obligatoire dans certains cas - la certification de traitements (art. 42 et 43) - facultatif - l adhésion à des codes de conduites (art. 40 et 41) - facultatif - le DPO (délégué à la protection des données) (Art. 37 à 39) obligatoire dans certains cas

4 - les études d impact sur la vie privée (art. 35 et 36) obligatoire dans certains cas 6) Le délégué à la protection des données Le délégué à la protection des données qui est amené à remplacer le correspondant informatique et libertés («CIL») à compter de l entrée en vigueur du RGDP occupe un poste stratégique dans la mise en conformité en matière de protection des données. Les prérogatives et missions du délégué à la protection des données sont renforcées par rapport à celles du CIL. Quand désigner un délégué à la protection des données? Selon l article 37 du RGDP le délégué à la protection des données doit être obligatoirement désigné dans les trois cas suivants: Le traitement est effectué par une autorité publique ou un organisme public ; Les activités de base du responsable du traitement ou du sous-traitant le conduit (du fait de la nature, portée et/ou finalité de ces activités) à effectuer un suivi régulier et systématique des personnes à grande échelle ; Les activités de base du responsable du traitement ou du sous-traitant l amène à traiter à grande échelle des données sensibles ou qui ont trait à des condamnations et infractions pénales. Sont considérées comme des données sensibles, notamment, les données génétiques, biométriques, ou afférentes à la santé, à la religion, aux opinions politiques ou à l appartenance syndicale. Il existe une clause d ouverture sur ce point. Les Etats Membres ont ainsi la possibilité de prévoir d autres cas dans lesquels la nomination d un délégué à la protection des données est obligatoire. En Allemagne, par exemple, les entreprises du secteur privé doivent obligatoirement nommer un délégué à la protection des données dans les cas suivants : - si plus de 9 salariés sont chargés du traitement automatisé des données à caractère personnel ; - si plus de 20 salariés procèdent au traitement des données à caractère personnel par d autres moyens ; - lorsque les traitements font l objet d un contrôle préalable ou ; - lorsque les traitements sont réalisés aux fins de

5 transmission des données à des tiers ou dans le cadre de sondages d opinion. Dans tous les cas, il est également possible (et souvent conseillé) de désigner un délégué à la protection des données de façon volontaire. Comment désigner un délégué à la protection des données? Un formulaire de désignation en ligne auprès de la CNIL est actuellement en cours de préparation et devrait être disponible prochainement. Cette désignation prendra effet le 25 mai Un délégué à la protection des données peut être désigné pour l ensemble d un groupe la condition qu il soit facilement accessible par chacune des sociétés du groupe. Il appartient au responsable de traitement de s assurer qu un délégué à la protection des données unique sera en capacité d exécuter efficacement chaque tâche lui incombant. Il peut être utile de désigner un délégué à la protection des données par pays, notamment pour faciliter sa collaboration avec l autorité de contrôle concernée. Qui peut être désigné en qualité délégué à la protection des données? Il découle des articles 37 et 38 du RGPD que le délégué à la protection des données: - doit être désigné «sur la base de ses qualités professionnelles et, en particulier de ses connaissances spécialisées du droit et des pratiques en matière de protection des données, et de sa capacité à accomplir [ses] missions». Cela suppose qu il soit doté d une expertise en matière de législations et pratiques en matière de protection des données. - Doit exercer ses fonctions et missions en toute indépendance et ne doit pas avoir de conflit d intérêts avec ses autres missions : cela signifie qu il ne peut occuper des fonctions, au sein de l organisme, qui le conduise à déterminer les finalités et les moyens d un traitement. - Peut être interne ou externe à l entreprise concernée. Il peut ainsi s agir d un avocat ou d un cabinet d avocats. Quelles sont les tâches d un délégué à la protection des données? La mission principale du délégué à la protection des données est d assister l entreprise concernée dans sa démarche de conformité au RGPD. Ses principales tâches

6 sont : - d informer et de conseiller le responsable de traitement ou le sous-traitant, ainsi que leurs employés ; - de contrôler le respect du RGPD ; - de former le personnel concerné ; - de conseiller l organisme sur la réalisation d une analyse d impact relative à la protection des données et d en vérifier l exécution ; - de coopérer avec l autorité de contrôle - de réaliser des audits 7) Comment vous mettre en conformité avec le RGPD? La CNIL a défini 6 étapes pour se préparer à l entrée en vigueur du RGPD : Etape n 1 : Désigner un pilote (délégué à la protection des données ou personnel / consultants extérieurs chargés de la protection des données) chargé d organiser la mise en conformité avec le règlement. Etape n 2 : Recenser et détailler les traitements de données existants Etape n 3 : Identifier et prioriser les actions à mener pour vous conformer au RGPD. Etape n 4 : Maîtriser les risques en menant une analyse d impact sur la protection des données si nécessaire Etape n 5 : Mettre en place des procédures internes qui «qui garantissent la prise en compte de la protection des données à tout moment, en prenant en compte l ensemble des événements qui peuvent survenir au cours de la vie d un traitement». Etape n 6 : Documenter les mesures de mise en conformité 8) Quelles sont les sanctions du non-respect du RGPD? Droit à réparation des personnes concernées : Toute personne ayant subi un dommage matériel ou moral du fait d une violation du présent règlement a le droit d obtenir du responsable du traitement ou du soustraitant réparation du préjudice subi. Sanctions administratives : En cas de non-respect du

7 RGPD, les autorités de protection peuvent notamment: Prononcer un avertissement ; Mettre en demeure l entreprise ; Limiter temporairement ou définitivement un traitement; Suspendre les flux de données ; Ordonner de satisfaire aux demandes d exercice des droits des personnes ; Ordonner la rectification, la limitation ou l éffacement des données. Amendes administratives de deux types en fonction de la nature du manquement: Amende d un montant maximum de 10 millions d euros ou 2% du chiffre d affaires annuel mondial total de l exercice précédent, le montant le plus élevé étant retenu (en cas de violation notamment des obligations prévues par les articles 8, 11, 25, 26, 27, 28, 29, 30, 31, 32, 33, 34, 35, 36, 37, 38, 39, 42 et 43) Ou amendes d un montant maximum de 20 millions d euros ou 4 % du chiffre d affaires annuel mondial total de l exercice précédent, le montant le plus élevé étant retenu (en cas de violation notamment des obligations prévues par les articles 5, 6, 7, 9 12 à 22, 44 à 49, 58 et chapitre IX) Nous vous invitons à consulter le site internet de la CNIL pour plus de détails sur ces étapes : Köln Paris Lyon Strasbourg Baden-Baden Sarreguemines Bordeaux Cet article est publié à titre informatif et ne saurait remplacer un rendez-vous avec l un de nos conseillers. Nous déclions toute responsabilité à cet égard. Cet article ne donne pas lieu à la conclusion d un contrat de mandat. Nous déclinons toute responsabilité quant à son contenu.