Le RGPD, il s’agit d’une réglementation générale de la protection des données.
Le RGPD s’applique soit à toute entreprise qui traite de données à caractère personnel dans le cadre de son activité établie au sein de l’UE, indépendamment de l’endroit où les données sont traitées. Et s’applique également à toute entreprise établie en dehors de l’UE qui propose des services, des produits que ceux-ci soient payants ou gratuits. Et enfin à toute entité ayant l’autorité pour la surveillance du comportement de personnes établies dans l’UE.
Ce qui suit dans cet article est le fruit de notre recherche (en 2021), de formation (en 2020) et de lecture. En aucun cas, nous ne nous substituons à un quelconque cabinet de juriste ou autorité légal y faisant foi. Nous ne sommes pas des juristes. Nous communiquons et synthétisons dans le seul but de délivrer une première information à nos lecteurs.
Nous vous recommandons vivement de vous tourner vers un prestataire spécialisé et compétent en la matière pour être conforme. La loi change et évolue dans le temps, nous adapterons notre article quand cela sera nécessaire.
(Première partie de l’article qui traite sur le RGPD - lien vers la suite en fin d'article)
Ce qui dit l’Europe sur le RGPD
Le règlement général européen sur la protection des données (RGPD) impose à chaque entreprise de multiples obligations en matière de protection des données. Parmi ces obligations figurent notamment celles de prendre des mesures techniques et organisationnelles appropriées pour assurer la protection des données à caractère personnel traitées par chaque entreprise.
À titre d’exemple, la liste est non-exhaustive : le fichier du personnel, le fichier des clients, celui des fournisseurs …
Une politique de confidentialité à toute épreuve et qui rassurera toute personne se trouvant sur votre boutique en ligne ou sur votre blog.
Contrôle et risque de l’entreprise – En Europe
Il faut retenir aussi que le non-respect des obligations peut entraîner de lourdes sanctions à l’égard de l’entreprise.
- À tout moment, les fonctionnaires peuvent contrôler les sites internet et constater les infractions.
- Des mesures correctrices peuvent être constatées et demandées.
- Des sanctions pécuniaires peuvent être réclamées sous forme d’amendes administratives. Celles-ci peuvent être de l’ordre de 2 à 4% du chiffre d’affaires annuel.
- Les personnes touchées peuvent porter plainte auprès de l’APD.
- En cas de violation des droits d’une personne touchée, un recours juridictionnel peut être introduit devant les Cours et Tribunaux.
- En cas de préjudice avéré et subi, des dommages et intérêts peuvent être réclamés.
- La dénonciation de la part de concurrence.
Pour plus d’informations, je vous renvoie vers la consultation du site de l’Autorité de protection des données (APD) : Que sont les autorités de protection des données (APD)?
La création et le traitement de données personnelles
1 – Quelles sont les données à caractère personnel que l’entreprise est susceptible de collecter et de traiter à leur sujet ?
Le type et la quantité de données à caractère personnel que chaque entreprise peut traiter dépendent de la raison pour laquelle elles sont traitées (raison juridique utilisée) et du but dans lequel elles le sont.
Chaque entreprise se doit de respecter des règles essentielles sur les données à caractère personnel:
- un traitement légal et transparent au regard de la personne concernée;
- les informations collectées sont dans un but clairement défini, compréhensible et légitime. La collecte des informations ne peut en aucun cas être traitée ultérieurement;
- les informations collectées sont conformes, nécessaires et limitées au regard du but pour lequel elles sont traitées. Ce qui permet de garantir une sécurité appropriée des données à caractère personnel.
2 – Sur quel fondement juridique (doivent-elles donner leur consentement ou non ?) Pourquoi (à quelles fins ces données à caractère personnel sont-elles collectées?)
2.1 – Le fondement juridique :
Le traitement est légal dans la mesure où une des conditions suivantes est remplie: La liste donnée est non-exhaustive.
- la personne qui est concernée, à donner son consentement au traitement de ses données à caractère personnel en connaissance de cause;
- le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée en fait partie ou à l’exécution de mesures prises à la demande de celle-ci;
- répond à une obligation légale (en vertu de la législation UE ou nationale);
En tant qu’entreprise, vous devez souvent traiter des données à caractère personnel parce que vous effectuez des missions au regard de votre activité professionnelle. Dans ce cas de figure, le traitement des données à caractère personnel n’est pas nécessairement justifié par une obligation légale, ou est effectué pour la conclusion d’un contrat conclu avec une personne. Dans ces cas, le traitement de données à caractère personnel peut se justifier en invoquant un intérêt légitime.
Par exemple, votre entreprise a un intérêt légitime lorsque le traitement a lieu dans le cadre d’une relation avec un client, lorsqu’elle traite des données à caractère personnel à des fins de prospection, pour prévenir la fraude ou garantir la sécurité du réseau et des informations de vos systèmes informatiques.
2.2- À quelles fins sont-elles collectées :
Vous devez connaître dans quel but vous collectez ou traitez les données à caractère personnel et avertir les personnes dont vous traitez les données. Il en va de votre responsabilité. Vous ne pouvez tout simplement pas indiquer que les données à caractère personnel sont collectées et traitées. Car ce détail de taille est connu comme le principe de la «limitation des finalités».
La Charte des droits fondamentaux de l’UE dispose à tous les citoyens de l’Union européenne, le droit à la protection de leurs données à caractère personnel.
Les Droits Fondamentaux :
Références
RÈGLEMENT (UE) 2016/679 DU PARLEMENT EUROPÉEN ET DU CONSEIL – du 27 avril 2016
3- Conservation des données à caractère personnel
La durée de conservation des données personnelles des Utilisateurs est limitée dans le temps. Chaque entreprise désigne un Responsable du Traitement des Données. Celui-ci veille à ce que les données à caractère personnel soient limitées dans le temps, et de manière raisonnable pour permettre le traitement des finalités pour lesquelles elles sont traitées.
4- Ces données à caractère personnel sont-elles amenées à être transférées à des tiers?
Peut-on utiliser les données reçues d’un tiers à des fins de prospection?
Vous souhaitez faire l’acquisition d’une liste de contacts ou d’une base de données reprenant les coordonnées de personnes issues d’une autre entreprise. Avant de le réaliser, vous prouvez au préalable que les données obtenues sont conformes au règlement général sur la protection des données et que l’entreprise peut les utiliser à des fins publicitaires.
Ainsi, si la récolte des données repose sur le consentement, il doit faire mention de la possibilité que les données soient susceptibles d’être transmises à des tiers pour leur propre prospection.
En conclusion, chaque utilisateur doit être préalablement informé pour qu’il communique son consentement quant à l’utilisation de ces données personnelles, à des tiers et à des fins de marketing direct ou de prospection.
5- Quels sont les droits des personnes par rapport à ces traitements de données?
Que dit la loi dans le cadre des droits des utilisateurs
- À tout moment, l’utilisateur a la possibilité d’exercer son droit en envoyant un message par le formulaire de contact ou via l’adresse de l’entreprise;
- Le Droit d’accès de l’utilisateur, chaque entreprise doit garantir le droit d’accès à l’utilisateur à ses données personnelles;
- Le Droit de rectification, chaque entreprise doit garantir le droit de rectification et d’effacement des données personnelles à l’utilisateur.
- Le Droit à l’effacement, l’utilisateur a le droit d’obtenir l’effacement de ses données personnelles dans les meilleurs délais;
- Le Droit de limitation du traitement, l’utilisateur a le droit d’obtenir la limitation du traitement de ses données personnelles;
- Le Droit de portabilité des données, l’utilisateur a le droit de recevoir de l’entreprise les données à caractère personnel le concernant dans un format structuré et lisible. L’ utilisateur a le droit de transmettre ces données à un autre responsable du traitement sans que l’entreprise fasse obstacle;
- Le Droit d’opposition et prise de décision individuelle automatisée, l’utilisateur dispose à tout moment du droit de s’opposer au traitement de ses données personnelles en raison de sa situation particulière, y compris l’automatisation des données effectuée par l’entreprise. Quand celles-ci sont traitées à des fins de prospection, l’utilisateur a le droit de s’y opposer, à tout moment, à de telles fins de prospection, y compris au profilage dans la mesure où il est lié à une telle prospection. Lorsque la personne concernée s’oppose au traitement à des fins de prospection, les données à caractère personnel ne sont plus traitées à ces fins;
- Le Droit de plainte, l’utilisateur a le droit d’introduire une plainte concernant le traitement de ses données personnelles par une entreprise auprès de l’Autorité de Protection des Données, compétente pour le territoire belge.
De plus amples informations peuvent être trouvées sur le site internet : https://www.autoriteprotectiondonnees.be/citoyen/agir/contact
Ce règlement est donc une étape essentielle pour renforcer les droits fondamentaux des personnes à l’ère du numérique et stimuler l’activité économique en clarifiant la réglementation du marché unique numérique pour toute entreprise.
Le règlement est entré en vigueur le 24 mai 2016 et s’applique depuis le 25 mai 2018. Plus d’informations pour les entreprises et les particuliers. https://europa.eu/youreurope/business/dealing-with-customers/data-protection/indexamp_fr.htm
Voici la deuxième partie de l’article :
Les Cookies ? Qu’est-ce que c’est que cela ? Quelles sont les obligations légales à mentionner ? Nous tentons d’y voir plus clair dans la deuxième partie : RGPD et les cookies — obligations légales à mentionner.