Le RGPD

Le Règlement général sur la protection des données organise la protection des données à caractère personnel lorsqu’elles font l’objet d’un traitement. Il a réactualisé une grande partie des dispositions de la loi informatique et libertés de 1978, qui avait déjà été modifiées à de nombreuses reprises.

Par « données à caractère personnel », il faut comprendre toute information permettant d’identifier une personne directement (par exemple, ses nom et prénom) ou indirectement (par exemple, son numéro de téléphone).

Une personne peut être identifiée à partir d’une seule donnée, par exemple son numéro de sécurité sociale ou son matricule de licence sportive.

Les adresses IP et les éléments de géolocalisation font partie des données personnelles.

Le RGPD ne s’applique que s’il y a traitement de données personnelles.

Le traitement de données personnelles est une opération ou un ensemble d’opérations portant sur des données personnelles, quel que soit le procédé utilisé : collecte, enregistrement, restructuration, conservation, adaptation, diffusion, mise à disposition, etc. Peu importe qu’il s’agisse d’un fichier informatique ou d’un fichier papier.

Ces données doivent être :

• traitées de manière licite, loyale et transparente au regard de la personne concernée : son consentement est obligatoire, sauf si le traitement répond à une obligation légale (par exemple, les fichiers des services fiscaux sont établis sans le consentement des contribuables) ;
  
• collectées pour des finalités déterminées, explicites et légitimes, en se limitant à ces finalités sans pouvoir être utilisées pour d’autres. La CNIL a, par exemple, autorisé les employeurs à mettre en place un traitement portant sur des données biométriques strictement nécessaires au contrôle de l’accès des lieux de travail ;
  
• exactes et tenues à jour ;
  
• conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au but de la collecte (données d’un candidat détenues par un cabinet après son recrutement par une entreprise, par exemple).
  

L’organisme collecteur des données doit informer les personnes concernées que :

• leurs données sont enregistrées dans un fichier informatisé (ou non) ;
  
• elles peuvent à tout moment retirer leur consentement ;
  
• elles peuvent y avoir accès, en demander l’effacement ou la rectification.
  

La Commission nationale de l’informatique et des libertés (CNIL) est chargée de veiller au respect du RGPD et d’en contrôler la bonne application afin de protéger les droits et libertés des citoyens. La CNIL est une autorité administrative indépendante qui peut infliger des sanctions administratives. Elle a, par exemple, infligé une lourde amende administrative à une banque qui avait maintenu pendant de longues années le fichage d’un client qui avait pourtant payé sa dette.

La personne qui souhaite obtenir l’accès, la suppression ou la rectification de ses données doit d’abord s’adresser à l’organisme ou à l’entreprise concernée. En cas de refus ou de silence, elle peut saisir la CNIL, soit par lettre postale, soit via son site internet (www.cnil.fr). La CNIL interviendra auprès de l’organisme ou de l’entreprise. Si le refus persiste, elle adressera une mise en demeure puis infligera une sanction sous forme d’amende.