RGPD

I. Introduction

Le 20 juin 2018, la France a adopté la loi n° 2018-493 relative à la protection des données personnelles afin de mettre en œuvre le Règlement général sur la protection des données (RGPD). Cette loi révise et consolide la loi Informatique et Libertés de 1978.

La Commission nationale de l’informatique et des libertés (CNIL), en tant qu’autorité nationale de contrôle, est chargée de superviser, d’orienter et de faire appliquer le RGPD ainsi que ses textes d’application en France.

La France a ainsi mis en place un système de protection des données personnelles conforme aux exigences de l’Union européenne.

II. Champ d’application

La réglementation relative au RGPD en France s’applique :

à tout responsable de traitement ou sous-traitant établi sur le territoire français ;
à toute organisation située en dehors de la France qui propose des biens ou des services à des personnes situées en France ou qui surveille leur comportement sur le territoire français.

Quel que soit le lieu où le traitement est effectué, la réglementation s’applique dès lors qu’il concerne les données personnelles de personnes localisées en France.

Elle couvre les traitements automatisés ainsi que les traitements non automatisés faisant partie d’un système de fichiers.

Les activités de nature exclusivement personnelle ou domestique n’entrent pas dans son champ d’application.

III. Principes du traitement des données

Licéité, loyauté et transparence : tout traitement doit reposer sur une base juridique claire et être réalisé de manière loyale et transparente.

Limitation des finalités : les données ne peuvent être utilisées que pour des finalités déterminées, explicites et légitimes.

Minimisation des données : seules les données strictement nécessaires à la réalisation des finalités prévues doivent être collectées.

Exactitude : les données doivent être exactes et, si nécessaire, régulièrement mises à jour.

Limitation de la conservation : les données ne doivent être conservées que pendant la durée strictement nécessaire, puis supprimées ou anonymisées.

Sécurité et confidentialité : des mesures techniques et organisationnelles appropriées doivent être mises en place afin de prévenir toute violation, altération, divulgation ou perte de données.

IV. Droits des personnes concernées

Conformément au RGPD et à la législation française, les personnes concernées disposent notamment des droits suivants :

droit à l’information et droit d’accès ;
droit de rectification ;
droit à l’effacement, également appelé droit à l’oubli ;
droit à la limitation du traitement ;
droit à la portabilité des données ;
droit d’opposition.

Pour les mineurs de moins de 15 ans, le traitement de leurs données fondé sur le consentement peut nécessiter l’autorisation d’un parent ou d’un représentant légal. Les informations doivent leur être présentées dans un langage clair, simple et compréhensible.

V. Obligations des responsables de traitement et des sous-traitants

Les sous-traitants doivent :

respecter strictement les instructions écrites du responsable du traitement ;
mettre en œuvre des mesures de sécurité appropriées ;
assister le responsable du traitement dans le respect de ses obligations, notamment pour répondre aux demandes des personnes concernées ;
notifier au responsable du traitement toute violation de données personnelles dans les meilleurs délais.

Lorsqu’une violation de données présente un risque pour les droits et libertés des personnes concernées, le responsable du traitement doit la notifier à la CNIL dans un délai maximal de 72 heures après en avoir pris connaissance, dans la mesure du possible.

Les responsables de traitement doivent tenir un registre des activités de traitement lorsque la réglementation l’exige et réaliser une analyse d’impact relative à la protection des données (AIPD) lorsque le traitement est susceptible d’engendrer un risque élevé.

Certaines organisations doivent également désigner un délégué à la protection des données (DPO).

VI. Transferts internationaux de données

Lorsqu’un transfert de données vers un pays situé en dehors de l’Union européenne ou de l’Espace économique européen est envisagé, le responsable du traitement doit s’assurer que les données bénéficient d’un niveau de protection approprié.

Ce transfert peut notamment être encadré par :

une décision d’adéquation adoptée par la Commission européenne ;
les clauses contractuelles types de la Commission européenne ;
des règles d’entreprise contraignantes ;
tout autre mécanisme de transfert reconnu par la réglementation applicable.

Depuis l’invalidation du « Privacy Shield » le 16 juillet 2020, les entreprises doivent utiliser un mécanisme juridique valide, tel que les clauses contractuelles types adoptées par la Commission européenne le 4 juin 2021, accompagné, lorsque cela est nécessaire, de garanties supplémentaires.

VII. Contrôle et application

La CNIL dispose de différents pouvoirs de contrôle et de sanction. Elle peut notamment :

adresser des avertissements ou des mises en demeure ;
ordonner la mise en conformité d’un traitement ;
restreindre, suspendre ou interdire certains traitements ;
prononcer des sanctions administratives pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu.

La législation française permet également aux personnes de formuler des directives concernant la conservation, l’effacement et la communication de leurs données personnelles après leur décès.

Le cadre français relatif au RGPD vise à protéger les droits des personnes, à renforcer la conformité des organisations et à favoriser la confiance dans l’environnement numérique.