Les 10 mots clefs pour expliquer le GDPR à un Comex

Les 10 mots clefs...

RGPD : Règlement Général pour la Protection des Données. Texte européen de référence en matière de protection des données personnelles.

Il remplace la Directive de 1995 en la rendant beaucoup plus stricte (les entreprises doivent devenir pro-actives sur le sujet) et plus sévère (avec des sanctions financières importantes). En tant que règlement, il s’applique tel quel et uniformément. Il n’a pas eu (et c’était voulu) à être traduit dans le droit de chaque pays (ce qui aurait permis à des parlements d’en limiter les effets localement). GDPR (pour General Data Protection Regulation) est l’acronyme anglais de RGPD. Il est le plus usité, même en France.

G29 : groupe de travail créé en 1995 qui regroupe les « CNIL » européennes. Il se réunit tous les deux mois à Bruxelles.

Lignes Directrices : ou « Guidelines ». Documents officiels du G29 à suivre à la lettre pour les entreprises pour être conformes. Les lignes directrices traduisent le RGPD en actes concrets.

... dont les 7 chantiers

DPO : Délégué à la protection des données (ou Data Protection Officer). Le DPO est chargé de mettre en œuvre la conformité RGPD au sein de l’organisme qui l’a désigné.

Il n’est pas obligatoire (sauf pour les autorités publiques et les « organismes dont les activités de base les amènent à réaliser un suivi régulier et systématique des personnes à grande échelle »), mais il est fortement « encouragé » (sic).

Le DPO est le « successeur naturel » du CIL (Correspondant Informatique et Liberté).

Analyse d’impact (étude d’impact) : description systématique des opérations de traitements. Elle comprend une évaluation « de la nécessité et de la proportionnalité des opérations au regard des finalités » (pourquoi, au sein de l’entreprise, effectuer ce traitement sur une donnée privée et quelle est sa nécessité).

Y figurent également l’évaluation des risques pour les droits et les libertés et – « et c’est peut-être le point le plus important » pour M^e Lani - les mesures pour faire face aux risques identifiées.

Portabilité : possibilité de récupérer ses données personnelles dans un format ouvert et lisible pour les stocker ou les transmettre d’un système d’informations à un autre

Notification de violation de données personnelles : concept qui impose de notifier une violation de données personnelles dans les meilleurs délais, si possible, dans les 72 heures au plus tard après en avoir pris connaissance.

C’est le responsable du traitement (qui exactement dans un groupe ? les travaux sont en cours pour le préciser) qui doit communiquer un ensemble d’informations relatives à l’intrusion ou à l’attaque.

Consentement : volonté clairement affichée et vérifiable qu’une personne a donnée pour que l’on collecte et traite des informations personnelles la concernant. Le RGPD renforce les obligations de consentement pour les responsables de traitement (matérialisation de la preuve du consentement, retrait facilité du consentement, etc.)

Profilage : consiste à traiter des données personnelles pour analyser ou prédire des éléments concernant « le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique ».

L’automatisation du profilage – et des décisions qui en découlent - est au cœur des débats.

Autorité chef de file : autorité qui est déterminée comme responsable et compétente dans le cas de traitements transfrontières qui impliquent plusieurs établissements.

Le but est de simplifier et de rendre plus transparentes les opérations dont les responsables de traitement ou le sous-traitant sont localisés dans différents états membres.