En marche vers le marché unique numérique !

Le 14 avril 2016, le Parlement Européen a voté l’adoption finale du Règlement Général sur la protection des Données Personnelles (« Règlement » ou « RGDP »)…

Le 7 juin 2016, Simon Associés organise un événement sur le thème :
« Se préparer à l’entrée en vigueur du nouveau règlement communautaire sur les données personnelles« 

Cliquez ici pour en savoir plus et vous inscrire.

***

Ce qu’il faut retenir : Le 14 avril 2016, le Parlement Européen a voté l’adoption finale du Règlement Général sur la protection des Données Personnelles (« Règlement » ou « RGDP »). Attendu et annoncé depuis plus de 4 ans, ce texte historique pose le nouveau cadre juridique, auquel une grande majorité d’entreprises, quel que soit leur secteur ou leur lieu d’établissement, doivent se conformer, sous peine de sanctions pouvant aller jusqu’à 4 % de leur chiffre d’affaires réalisé. Retour sur les grands bouleversements qu’entraîne ce nouveau texte et les indispensables chantiers que doivent lancer dès à présent les entreprises.

Pour approfondir : 

Pourquoi une nouvelle réglementation ? Avec la loi du 6 janvier 1978 (dite « informatique et libertés »), votée à l’ère de la première génération d’ordinateurs, la France a eu le mérite, parmi les premières, de poser un cadre juridique réglementant les traitements de données personnelles. Il s’agissait, à l’époque, de garantir les droits des citoyens à l’égard des administrations qui s’informatisaient. Ce texte, qui, à l’origine, n’était pas conçu pour régir les traitements de données massifs réalisés par les entreprises à partir du début des années 2000, avait vieilli et restait trop peu appliqué : de trop faibles sanctions prévues par les textes (150 000 € d’amende maximal prononcée par la CNIL) l’expliquent sûrement en partie. Avec la révolution digitale, de nouvelles menaces sont apparues pour la vie privée des personnes. Une réponse européenne était devenue nécessaire, tant pour défendre les droits fondamentaux, que pour bâtir les fondements d’un marché unique numérique. Les récents arrêts « Google Spain » (13/05/14, C-131/12) et « Schrems » (06/10/15, C-362/14), rendus par les magistrats communautaires, en témoignent. Adopté le 14 avril 2016, après 4 ans de négociation, par les autorités communautaires, le nouveau Règlement marque une étape historique.

Tous concernés par le Règlement (« RGDP »). Toutes les entreprises étrangères devront se soumettre à ce nouveau Règlement dès lors qu’elles s’adressent à des personnes situées en Union Européenne (« UE »), même si elles ne sont pas matériellement établies dans cette zone.

L’urgence de lancer le chantier de la mise en conformité. Le RGDP entre en vigueur 20 jours après sa publication au Journal Officiel de l’Union Européenne, c’est-à-dire avant l’été 2016. Les entreprises ont ensuite jusqu’en 2018 pour se mettre en conformité avec l’ensemble des nouvelles obligations. Deux ans : ce n’est pas de trop pour mettre en œuvre toutes les obligations du nouveau règlement, dans les chantiers sont vastes et nombreux !

Les impacts du RGDP sur les entreprises. Sur le plan interne, les entreprises devront désigner un délégué à la protection des données (« Data Protection Officer » ou « DPO »), chargé de contrôler la conformité de l’entreprise à la réglementation en matière de protection des données. Cette désignation devra faire l’objet d’une définition de fiche de poste minutieuse. Les entreprises devront également mettre en place des procédures internes formalisées par la constitution et la tenue d’un registre des traitements, des procédures d’audit et de gestion des plaintes, des études d’impact, un plan de formation des membres du personnel….

Sur le plan externe, les entreprises devront :

• garantir de nouveaux droits aux personnes concernées, tel que le droit à la portabilité qui suggère en amont de prévoir des formats de données interopérables ;
• satisfaire à de nouvelles obligations d’information, ce qui implique qu’elles se lancent dans un diagnostic sur les caractéristiques de chacun de leurs traitements, puis qu’elles travaillent à réécrire l’ensemble de leurs mentions d’information ;
• établir un contrat écrit avec leurs sous-traitants (« ST »), qui devra contenir des clauses impératives ; les entreprises, en leur qualité de responsable de traitement (« RT »), devront se lancer sans tarder dans un chantier de rédaction/aménagement de leurs clauses contractuelles, et ce d’autant que le nouveau texte instaure une responsabilité solidaire « RT/ST » dont le contenu est aménageable.

Cette réforme offre l’occasion, pour toutes les entreprises, d’accélérer ou de parfaire leur transformation digitale, en adaptant leur organisation et l’usage qu’elles font de leurs données, pour sécuriser et valoriser leur actif « Data » au vu de cette nouvelle réglementation.

A rapprocher : Communiqué de Presse du Parlement européen et note d’information