Protection des données personnelles : le guide ultime

La protection des données personnelles et leur traitement, notamment sur les sites Internet, interpellent de plus en plus les Français, qui attendent davantage de transparence et un meilleur contrôle de l’utilisation de leurs informations. La mise à disposition d’une charte sur le respect de la vie privée est d’ailleurs obligatoire pour l’ensemble des sites traitant des données personnelles.

L’entrée en application du Règlement général sur la protection des données (RGPD) a profondément modifié les pratiques des entreprises et renforcé leurs obligations en matière de conformité. Mettre en ligne un modèle de politique de confidentialité clair et conforme est aujourd’hui indispensable pour sécuriser son activité et instaurer une relation de confiance avec ses utilisateurs. Legalstart vous aide à y voir plus clair.

Qu’est-ce que la protection des données personnelles ?

Les données personnelles (réglement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ) regroupent toutes les informations qui permettent d’identifier directement (ex : nom et prénom) ou indirectement (ex : n° de téléphone) une personne physique.

Voici une liste non-exhaustive de données personnelles :

• l’identité et les coordonnées (nom, prénoms, date de naissance, adresse postale, adresse email, etc.) ;
• les numéros d’identification (n° de passeport, n° de sécurité sociale, etc.) ;
• les informations financières et bancaires (RIB et IBAN, n° de carte bancaire, etc.) ;
• les données de géolocalisation ;
• les habitudes de comportement (comportement d’achat, goûts, etc.) ;
• l’image et la voix.  

Ces données personnelles, dès leur collecte, ont vocation à être utilisées dans un but précis. Une entreprise ne peut collecter des données sans raison.

Le processus est appelé “traitement des données personnelles”. Par cette expression, on parle de toutes les opérations réalisées sur les données personnelles, comme la communication à un partenaire par exemple, mais également la consultation de ces données, leur enregistrement, etc. Ce traitement fait l’objet d’une politique de confidentialité.

La protection des données personnelles en France concerne toutes entreprises, des TPE aux ETI. Chaque dirigeant d’entreprise est concerné par la réforme sur la protection des données personnelles, ou RGPD (loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles).

Quelles autorités assurent la protection des données personnelles ? 

La CNIL (Commission Nationale de l’Informatique et des Libertés) est l’actrice principale de la protection des données personnelles en France. Il s’agit d’une autorité de contrôle.

Elle peut délivrer des certifications attestant de l’utilisation adéquate des données personnelles des utilisateurs, mais également des salariés de l’entreprise.

À côté de cela, les entrepreneurs peuvent compter sur l’ANSSI (l’Agence Nationale de la Sécurité des Systèmes d’Information). Cette agence propose aussi des solutions numériques fiables ou encore des informations concernant les bonnes pratiques de l’hygiène informatique.

Au sein des entreprises, plusieurs acteurs mettent également en œuvre la protection des données personnelles. Le délégué à la protection des données, présent dans certaines entreprises, est chargé d’informer et de conseiller l’entité sur les règles à mettre en place pour renforcer la protection des données.

Le responsable du traitement des données, qui peut être incarné par une entreprise ou une personne physique, doit engendrer une transition efficace vers un régime plus transparent et plus simple concernant la protection des données personnelles. C’est ce responsable qui met en place la protection des données au sein d’une entreprise et organise la sécurisation des données des clients, salariés…

En pratique, il s’agit souvent de l’entreprise elle-même.

Quelle réglementation pour la protection des données personnelles ?

La transparence concernant l’utilisation des données

La protection des données personnelles permet d’apporter plus de transparence à la gestion de ces données. Les chartes relatives à la protection des données personnelles permettent aux entreprises de détailler toute l’utilisation des données et les moyens mis en place pour les protéger.

Aujourd’hui, tout est mis en œuvre pour donner au consommateur une plus grande marge de manœuvre concernant ces données.

Par exemple, n’importe quel consommateur a un droit d’accès à ses données, il peut également s’opposer à leur traitement ou demander une rectification. Les enfants de moins de 16 ans bénéficient également d’une protection de leurs données personnelles plus accrue.

Le droit à l’information 

L’entité qui souhaite conserver des données personnelles doit informer son client :

• de l’objectif poursuivi ;
• des personnes ayant accès à ces données ;
• de la durée de conservation ;
• de toutes les informations qu’il serait utile de porter à la connaissance du client.

Cette information doit avoir lieu au moment de la collecte si celle-ci est directe. Cependant, si la collecte est indirecte, l’entité doit prévenir le consommateur dans un délai d’un mois.

Tout changement dans l’objectif poursuivi ou dans le traitement des données doit faire l’objet d’une notification au consommateur concerné.

Par exemple, cette information se traduit par exemple par l’utilisation de cookies informatiques, que le consommateur peut accepter ou non. Aujourd’hui, vous devez donner la possibilité à l’utilisateur de refuser facilement les cookies. Pour le laisser faire son propre choix, n’hésitez pas à expliquer clairement l’objectif poursuivi via l’utilisation des cookies. Par exemple, il faut expliquer que certains cookies servent à personnaliser la circulation sur le site.

La politique d’utilisation des données se retrouve dans les mentions légales obligatoires sur internet. En effet, ces dernières doivent être conformes à la nouvelle réglementation sur les données personnelles.

Les sanctions 

Pour permettre une protection efficace des données personnelles, les sanctions se sont également intensifiées. On parle alors de sanctions administratives et pénales. Parmi elles, on note la possibilité de suspendre le flux de données ou même le traitement de ces données. Il peut également s’agir d’ordres délivrés à l’entité, comme celui de rectifier ou d’effacer les données contestées. Les entreprises ayant une certification concernant le traitement des données des consommateurs peuvent se la faire retirer.

Plus directement, ces entités peuvent recevoir des amendes administratives, allant jusqu’à 20 millions d’euros ou représentant 2 à 4 % du chiffre d’affaires annuel mondial (la sanction étant délivrée pas uniquement par les autorités françaises, mais par toute l’Union Européenne).

D’un point de vue pénal, la peine est de 5 ans d’emprisonnement de 300.000 € d’amende en cas de mauvais traitement des données à caractère personnel.

Comment mettre le RGPD en place dans votre entreprise ?

Vous êtes dirigeant d’une PME ou d’une TPE ? Pas de panique, voici quelques recommandations pour que la transition vers un système plus fiable se passe pour le mieux :

• commencez par recenser tous les fichiers qui contiennent les données clients, concernés par la RGPD ou de votre personnel ;
• résumez pour chaque fichier les données conservées, l’objectif poursuivi, la durée de conservation et les personnes ayant accès à ces données ;
• faites le tri dans ces données, effacez celles qui sont à risque, ou dont la durée de conservation est dépassée ;
• sécurisez les données : cela passe par une meilleure politique de protection des mots de passe.

Par exemple, exigez de vos utilisateurs qu’ils choisissent un mot de passe avec différents caractères, des majuscules, minuscules et des chiffres.

Si vous appliquez cela, vous allez donner confiance à vos clients. Ils seront plus sereins lors de leur navigation sur votre site. Vous pourrez également témoigner d’une meilleure gestion de votre site et de ses données.

FAQ

Quels sont les 4 grands principes du RGPD ?

Le RGPD repose notamment sur la licéité, la loyauté et la transparence du traitement des données personnelles. Il impose aussi la limitation des finalités, la minimisation des données et la sécurité des informations collectées.

C'est quoi le protection des données personnelles ? 

La protection des données personnelles désigne l’ensemble des règles visant à encadrer la collecte, l’utilisation et la conservation des informations permettant d’identifier une personne. Elle garantit aux individus un meilleur contrôle sur leurs données et limite les usages abusifs ou non autorisés.

Quels sont les 3 objectifs du RGPD ?

Le RGPD a pour objectif de renforcer les droits des personnes sur leurs données personnelles. Il vise également à responsabiliser les entreprises dans leurs pratiques et à harmoniser les règles de protection des données au sein de l’Union européenne.