Depuis quelques années, le monde d’internet change. Les entreprises s’activent et les utilisateurs s’interrogent. Les affaires mettant en jeu des données personnelles des internautes sont découvertes.

Celle dite de « Facebook et Cambridge Analytica », dévoilée par des journalistes américains est la dernière en date. En l’occurrence, des millions de données personnelles des utilisateurs du réseau social Facebook furent acquises par la société de conseil Cambridge Analytica.

Celles-ci auraient servi à la campagne de Donald Trump pour cibler les attentes des citoyens américains. Depuis lors, les utilisateurs prennent conscience que la vie privée n’existe plus sur les réseaux sociaux et sur internet. D’aucuns ont même décidé de quitter les réseaux sociaux.

Le Big Data fait peur et les internautes se questionnent sur les capacités des États, notamment européens, à limiter la propagation de leurs données personnelles. Nous sommes en effet tous concernés par la collecte des données : les informations communiquées sur les réseaux sociaux, les sites visités, les applications ouvertes, les coordonnées GPS, bancaires, les informations sociales, pénales et professionnelles entre autres. Toutes nos démarches deviennent dématérialisées et nos données collectées, stockées, utilisées.

Néanmoins, dans une volonté unanime de protection de la vie privée, les États européens et les institutions interviennent pour éviter que nos données personnelles soient communiquées et communicables.

C’est la raison pour laquelle l’Union européenne a adopté, en 2016, le Règlement Général pour la Protection des données (RGPD). Il doit être appliqué de manière uniforme, dans tous les États européens, depuis le 25 mai 2018.

Ce RGPD s’axe sur plusieurs principes : harmonisation des règles antérieurement disparates, protection maximale de la personne dont les données sont collectées, obligations accrues pour les personnes collectant les données. Ce RGPD répond simplement à l’évolution des sociétés modernes, de la multiplication de l’utilisation d’internet et des réseaux sociaux à la démocratisation des données dématérialisées.

 

Qui est concerné par le RGPD ?

Du fait de notre utilisation massive d’internet et des réseaux conjuguée à une dématérialisation de nos démarches et de nos dossiers, tout le monde est concerné par le RGPD.

Néanmoins, il convient de différencier les personnes dont les données sont traitées et les personnes qui collectent les données.

• La personne concernée

Est celle dont les données peuvent être traitées. Le traitement d’une donnée est une opération touchant une donnée ou un ensemble de données : leur collecte, l’enregistrement, l’organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction. Le règlement a voulu une application maximale et concrète de la protection des droits de la personne concernée.

Par exemple : un individu consulte un site internet quelconque. Dès lors qu’il arrive sur la page web, qu’il consulte l’heure, qu’il cherche sa position, des données personnelles sont collectées ; idem lorsqu’une personne crée et alimente son profil Facebook. Elle renseigne alors son nom, prénom, date de naissance, de mariage, partage des photos, des évènements auxquels elle participe, ses humeurs, ses amis, sa position GPS etc. Toutes ces données sont collectées, utilisées, communiquées, diffusées, conservées, et doivent à un moment donné pouvoir être détruites.

• Le responsable du traitement

Est la personne physique ou morale qui détermine les raisons pour lesquelles le traitement est effectué ainsi que les moyens mis en œuvre. Le responsable du traitement doit respecter de nombreuses obligations issues du RGPD qui accroissent la protection de la personne concernée.

Par exemple : l’entreprise gérant un site de vente en ligne détermine la raison du traitement des données (la gestion des ventes de l’entreprise) et les moyens mis en œuvre (les données seront anonymisées une fois la vente effectuée par exemple)

• Le sous-traitant

Est la personne physique ou morale désigné par le responsable pour traiter, à sa place et sous son autorité, les données personnelles des utilisateurs. Autrement dit, le responsable du traitement donne pouvoir à ce sous-traitant de gérer ses données.

Dans la grande majorité des cas, le sous-traitant est une société de prestation en informatique spécialisée dans le traitement des données. Il peut s’agit également d’une société de marketing ou de communication. Le sous-traitant doit respecter les mêmes obligations que le responsable du traitement.

Quelles sont les droits de la personne concernée ?

Droits de la personne concernée Signification Exemples

Licéité du traitement

 Le traitement des données est imposé
par une règle de droit nationale ou européenne.

Le traitement est nécessaire dans l’application d’un contrat.

Le traitement est licite lorsqu’il touche
les intérêts vitaux de la personne concernée.

Le traitement est licite lorsqu’il est justifié
par le consentement de la personne.

Informations présentes dans le casier judiciaire : infractions,
condamnations, récidives.

Les coordonnées bancaires dans le cadre de l’exécution d’un contrat de travail. L’employeur doit verser une rémunération
pour le travail effectué. Les coordonnées bancaires permettent ce versement.

 

 

Le dossier médical traité dans les hôpitaux ou par les médecins.

Le consentement

 Le consentement doit être libre,
éclairé et non équivoque.
En outre, le consentement doit se manifester
par un acte positif clair de la part de la personne concernée.

Donc il ne doit pas être déduit
du silence de la personne, ni d’une manière tacite.

Les cases pré-cochées ou le silence
de la personne concernée ne sont pas
conformes à l’exigence d’un consentement éclairé.
 

Cela signifie qu'il doit être inscrit dans une clause, ou un avenant au contrat de travail dûment approuvé par le salarié.

Le droit à la rétractation du consentement

Ce que la personne concernée donne, elle peut le reprendre.

 L’entreprise devra mettre en place
des procédures simples et gratuites pour que la personne concernée puisse jouir de ce droit facilement.

Ces procédures se trouvent, dans la grande majorité des cas,
dans les conditions générales d’utilisation.

Le droit à la portabilité des données

 Il s'agit du droit de transmettre
ses données personnelles à un autre
responsable du traitement à condition
que la personnes concernées ait donné
son consentement au traitement.
Le premier responsable du traitement
ne peut s'y opposer.

Transmettre ses musiques téléchargées légalement
d’un fournisseur à un autre.

Le droit à l'information

Le responsable du traitement doit informer la personne concernée du traitement
en des termes clairs et précis.

 Les conditions générales d’utilisation
d’un site internet informe les internautes
de tous les droits de la personne concernée,
ainsi que diverses informations relatives au responsable
du traitement (son identité, s’il existe un sous-traitant,les conditions d’anonymisation…).

Le droit d’accès aux informations personnelles collectées

 La personne concernée peut savoir
si ses données sont traitées ou non.

Lorsqu’elles sont traitées, la personne concernée peut avoir accès aux différentes informations la concernant.

 La personne concernée peut connaître
les données déjà collectées : son casier judiciaire.

On peut citer : les finalités du traitement,
la durée de conservation de ses données, les destinataires de ses données…

Le droit à la rectification
des données personnelles

La personne concernée peut demander la modification des données inexactes. Ce droit est le corollaire
au droit d’accès aux informations collectées.

Rectification de l’adresse de son domicile,
de ses coordonnées bancaires, situations matrimoniales
dans le cadre d’un contrat de travail, ou pour les organismes sociaux.

Le droit à l'effacement des données

 Il s’agit du droit pour la personne concernée
de demander l’effacement des données
au responsable du traitement.
Cette demande s’impose au responsable du traitement,
devant l’effectuer dans les meilleurs délais.
Ce droit est soumis aux hypothèses prévues par l’article17 du RGPD :

• Si les données traitées ne sont plus nécessaires
au regard des finalités;
• Lorsque la personne retire son consentement;
• Si le traitement est illicite.

Les liens vers des pages internet peuvent être supprimés d’une liste de résultats.
Suppression des listes de résultat d’une recherche relative à l’identité de la personne (profil d’un réseau social, blog, articles la concernant…).

Le droit au recours

 La personne concernée peut demander, en justice,
l’engagement de la responsabilité du responsable du traitement, si elle considère que ses droits ne sont pas respectés.		 La personne concernée peut demander
des dommages et intérêts en justice
au responsable du traitement et à l’autorité de contrôle.

 

Quelles sont les obligations du responsable du traitement/ du soustraitant ?

Obligations du responsable du traitement Signification Exemples
Le respect des droits
de la personne concernées		 Il doit garantir à la personne concernée l’effectivité de ses droits. Le responsable du traitement doit mettre en place
des procédures gratuites et rapides
pour garantir l’effectivité des droits
de la personne concernée :
un numéro de téléphone, un courriel,
des formulaires à remplir pour
les différentes demandes de la personne concernée.
Toutes ces informations se trouvent dans
les conditions générales d’utilisation,
normalement téléchargeables sur le site.
La sécurisation des données Le responsable du traitement doit mettre en place
des mesures techniques et organisationnelles appropriées.		 La pseudonymisation, l’anonymisation des données
pour les mesures techniques.
Une procédure simple, rapide et gratuite
pour les mesures organisationnelles.

La désignation d'un délégué à la protection des données

 Le délégué à la protection des données
est une personne physique ou morale indépendante
du responsable du traitement.

Il a pour mission de s’assurer que
le responsable du traitement
respecte les droits de la personne concernée ainsi que ses obligations.

Il fait des recommandations
mais ne peut agir lui-même.
Le responsable du traitement doit agir pour faire cesser la violation.

La désignation d’un délégué est facultative sauf
dans certains cas notamment : lorsque les activités de base du responsable ou du sous-traitant
consistent en des traitements qui, du fait de leur nature, de leur portée et/ou de leurs finalités,
exigent un suivi régulier et systématique des personnes concernées.

 Le délégué informe de la violation des droits de la personne concernée
ou de la violation du RGPD.

Il propose des médiations entre la personne concernée et le responsable du traitement s’il y a conflit.

Il propose des solutions pour mettre en conformité
l’entreprise au RGPD.

De manière régulière, le délégué propose des rapports à la direction.

 

La tenue d'un registre
des activités de traitement

 Il s’agit d’un registre dans lequel
le responsable du traitement
devra détailler les traitements effectués
et leurs finalités.

La tenue de ce registre interne n’est pas
obligatoire pour toutes les sociétés.
En effet, il est obligatoire dans les sociétés
ayant un nombre de salariés supérieur à 250.
En dessous d’un effectif de 250 salariés,
la tenue du registre n’est pas obligatoire.

Cependant, la tenue d’un registre
est obligatoire dans tous les cas (+ ou – de 250salariés) si le traitement
risque de porter atteinte aux
Droits et Libertés ou si le traitement n’est pas occasionnel.

  

L'analyse d'impact sur la vie privée

Avant toute opération de traitement,
et compte tenu de la portée, du contexte
et de la finalité de ce traitement,
procéder à une analyse d’impact sur la vie privée
lorsqu’un type de traitement peut engendrer
un risque élevé pour les Droits et Libertés des personnes physiques.

L’analyse d’impact est obligatoire seulement
dans les cas limitativement prévus par le règlement,
notamment la surveillance systématique
à grande échelle d'une zone accessible au public.

 Avant la mise en place du traitement,
le responsable doit faire une analyse objective
de l’atteinte aux Droits et Libertés
de la personne concernée
par rapport au traitement qu’il veut mettre en oeuvre.

Dans le cadre d’une surveillance par caméra de surveillance dans un magasin.

 

Me Pascal Peuvrel
Avocat à la Cour
[email protected]

Luiggi FARRUGIO
Juriste