Entreprise individuelle, société, association, collectivité publique : comme vous le savez déjà certainement, depuis le 25 mai 2018, vous devez respecter le RGPD ! Cet acronyme qui fait couler beaucoup d’encre – et pour cause, quel chantier pour les petites structures ! – signifie REGLEMENT GENERAL DE PROTECTION DES DONNEES. Il s’agit d’un règlement européen qui bouleverse le droit et les pratiques françaises en matière de protection des données personnelles. Suis-je concerné ? Si oui, quelle est la logique à adopter ? Nous répondons à ces deux questions essentielles dans ce premier article de notre saga RGPD. Action !

ETES-VOUS CONCERNE PAR LE RGPD ?

Le RGPD s’applique à toute entité, publique ou privée, qui traite des données personnelles pour son compte ou pour le compte de tiers.

Concrètement, pour savoir si vous êtes soumis aux obligations RGPD, vous devez déterminer si vous effectuez un traitement de données personnelles.

Que signifie effectuer un traitement de données ?

A titre d’exemples, vous effectuez un traitement de données si vous collectez, enregistrez, organisez, conservez, modifiez, extrayiez des informations etc…

Bref, vous effectuez un traitement de données dès que vous interagissez avec des données, quel qu’en soit la manière.

Mais alors même mon tableau Excel qui me liste mes vinyles est un traitement de données ? Oui, toute liste de ce type est un traitement de données !  

Vous n’êtes pas pour autant soumis au RGPD, rassurez-vous ! Il ne suffit pas de traiter des données, il faut que celles-ci soient des données personnelles.

Qu’est-ce qu’une « donnée personnelle » ?

Le RGPD ne concerne que les « données personnelles » ! Une « donnée personnelle » est une information qui permet d’identifier un individu.

Il ne s’agit pas ici de dresser un inventaire à la Prévert des données personnelles. Citons toujours le nom, le prénom, un numéro client, un numéro de téléphone, une adresse mail, la voix, l’image etc.

En fait, il importe peu que les données traitées par vos soins identifient directement la personne !

En effet, il suffit que les données puissent permettre, en les croisant, d’identifier une personne. La CNIL propose un exemple simple : « une femme vivant à telle adresse, née tel jour, abonnée à tel magazine et militant dans telle association » sera aisément identifiable.

Attention : Un traitement de données doit être réalisé avec la poursuite d’un objectif précis et déterminé préalablement dans votre politique RGPD. En d’autres termes vous ne pouvez pas récupérer des données personnelles si vous envisagez hypothétiquement de les utiliser un jour.

ADOPTEZ LA LOGIQUE RGPD

Avant l’entrée en vigueur du RGPD, dès lors que vous traitiez des données personnelles, vous deviez procéder à des formalités préalables auprès de la CNIL (déclarations, autorisations etc…).

Avec l’entrée en vigueur du RGPD, les démarches préalables au traitement des données personnelles sont supprimées (il existe toutefois des exceptions, comme en matière de santé ou encore pour les traitements de données concernant le NIR…le numéro d’identification de votre entreprise).

Par contre, vous devez mettre en place les outils internes pour garantir, en cas de contrôle de la CNIL, que vous êtes conformes au RGPD !

Terminé l’époque du contrôle a priori qui permettait de traiter sereinement les données dès lors que les formalités préalables avaient été respectées.

Il va désormais falloir retrousser vos manches et faire un réel travail de fond ! Pas de panique tout de même, ce n’est pas insurmontable.

Nous vous expliquons les actions à mettre en œuvre dans notre prochain article. Les avocats de STRATEGIA peuvent vous accompagner dans votre conformité RGPD.