RGPD : définition et grands principes à connaître
L’acronyme RGPD n’est pas forcément compris par tous, tout comme ce que cela implique. Nous souhaitions donc prendre ici le temps de vous simplifier la compréhension de la législation RGPD et de son périmètre d’action.
Qu’est-ce que le RGPD ?
Le RGPD (Règlement général de protection des données) est un nouveau règlement européen sur la protection des données personnelles. Entré en application depuis 2018 et sous surveillance de la CNIL (Commission nationale de l'informatique et des libertés) en France, cette législation a avant tout pour but de protéger le traitement des données à caractère personnel des résidents européens, notamment auprès des entreprises.
L’intention derrière le RGPD est tout simplement de responsabiliser les entreprises (et associations) sur leur contrôle et divulgation des données de leurs clients (ou adhérents), mais également de renforcer les droits de ces derniers avec le droit à l’oubli ou à l’accès par exemple. Le tout de façon harmonisée au niveau européen avec un règlement qui s’applique dans tous les pays membres.
Périmètre d’application du RGPD
L’objectif du RGPD est de renforcer l’encadrement des pratiques de collecte et de traitement des données personnelles des résidents européens. Raison pour laquelle, toutes entreprises, privée ou publique, ainsi que les organismes associatifs, qui proposent des biens ou services sur le marché européen et qui collectent et traitent des données ayant un caractère personnel sur des résidents de l’Union Européenne sont soumis à l’application du règlement RGPD.
Il est important de savoir que ce règlement RGPD s’applique également aux entreprises qui ne sont pas implantées en Europe, mais qui possèdent des données personnelles sur des résidents européens.
Pour mieux comprendre le pourquoi et le comment du RGPD, il faut également définir ce que signifie réellement « données à caractère personnel » : il s’agit de toutes les informations qui se rapportent à une personne physique identifiée ou identifiable. On peut comprendre par là les personnes physiques dont on peut faire référence directement via un identifiant, un nom, un numéro d’identification, de client ou de membre… Le RGPD couvre donc l’ensemble des éléments spécifiques propres à ces personnes et sans exclusion puisque le règlement s’applique aussi bien aux éléments identitaires, physiques, physiologiques, génétiques, économiques, sociaux… A contrario, les données informatives (TVA, SIRET, dénomination sociale etc.) ne rentrent pas dans le périmètre d’application RGPD.
Si l’on parle de personnes physiques, le RGPD ne s’applique donc pas aux organismes traitant des données relatives aux personnes morales… Sauf bien sûr si celles-ci sont elles-mêmes amenées à traiter des données sur des personnes physiques représentantes. Ce qui est le cas pour 99% d’entre elles ! Donc dans les faits, presque toutes les entreprises sont concernées.
Les grands principes du RGPD
Licéité et consentement
Cela revient tout simplement à dire que la collecte des données personnelles doit reposer sur un cadre juridique décrit dans l’article 6 du règlement RGPD et qu’elle doit reposer sur le consentement de la personne quant à la collecte de celles-ci. Vous avez sûrement pu voir son application concrète à travers les bandeaux des sites web vous demandant d’accepter les cookies. Vous devez donc quoiqu’il arrive demander si la personne accepte que vous récupériez des données qui lui sont personnelles.
Transparence
Les personnes dont vous souhaitez recueillir les informations doivent connaître la finalité de cette collecte. Un but marketing ? Commercial ? De gestion ? De revente en fichier à des partenaires ? Rien ne doit être caché sous peine d’être sanctionné par la CNIL. Le RGPD vous impose une transparence totale sur vos motivations, clairement énoncées, pour avoir un consentement éclairé.
Le droit des personnes
On vous le répète, le but du règlement RGPD est avant tout de protéger les données personnelles des personnes. C’est pourquoi, cette législation inclut des droits pour les personnes concernées :
- Droit d’accès : il doit être facilité pour les utilisateurs par la mise en place d’outils adaptés (type CRM) et en cas de demande d’accès par un utilisateur, il est prévu un délai maximum d’un mois pour y répondre
- Droit à l’oubli : les utilisateurs doivent pouvoir demander la suppression des données collectées et là aussi, un délai d’un mois maximum est appliqué par le RGPD
- Droit à la limitation du traitement des données
- Droit à la portabilité des données : une personne peut récupérer ses données pour les transmettre facilement à un tiers
Les entreprises et associations sont garantes de ces droits pour les personnes dont elles collectent les données personnelles.
Limitation de conservation des données
Le RGPD inclut le fait de ne pas pouvoir conserver les données récoltées plus longtemps que nécessaire à l’exercice de la finalité de cette collecte. Il est donc important de savoir sous quelle mesure de temps vous avez besoin de conserver ces données.
Responsabilité
A partir du moment où vous collectez des données personnelles sur des personnes physiques, vous devenez garant non seulement du droit des utilisateurs (comme vu précédemment) mais également de la confidentialité et de la sécurité autour de ces données. C’est pour cette raison que l’utilisation de logiciel de relation clients (CRM) est vivement recommandée puisque dans la majorité des cas, le stockage des données est fait sur Cloud et de manière cryptée. De même, le traitement des données n’est accessible que par des personnes habilitées (des Délégués à la Protection des Données) à l’aide d’une identification (login / Mot de passe).
Les fichiers clients stockés sur ordinateurs (Excell ou autre) sont donc désormais à proscrire pour respecter la conformité RGPD. La gestion des adhérents de DataPet Manager par exemple répond à 100% à cette obligation de responsabilité.
