Comprendre le RGPD

Qu’est-ce que le RGPD ?

Le Règlement Général sur la Protection des Données (RGPD) est le texte européen de référence en matière de protection des données personnelles, en application depuis le 25 mai 2018 (voir sa version complète).

Le RGPD prévoit un cadre juridique unique pour tous les professionnels, publics ou privés, sur le territoire européen. Dans la lignée de la loi informatique et des libertés de 1978, il renforce les droits de toutes les personnes physiques sur leurs données personnelles, ainsi que le contrôle des organismes qui utilisent ces données, en lien avec chaque autorité nationale (la Commission Nationale de l’Informatique et des Libertés, la CNIL, en France).

Le RGPD est complété au niveau européen par les lignes directrices du Comité Européen de la Protection des données (CEDP) et au niveau national par les lignes directives et recommandations de la CNIL. 

Qu’est-ce qu’un DPO ?

La fonction de Délégué à la Protection des Données (DPD ou DPO pour Data Protection Officer) a été créée par le RGPD, dans la continuité des anciens Correspondants Informatique et Libertés (CIL).
 Son rôle est de piloter la démarche de mise en conformité au RGPD de l’organisation qui l’a désigné, notamment à travers des missions de conseil, de contrôle, de communication et de documentation.

Selon la CNIL, il sera chargé entre autres :

• Informer et conseiller l’organisme qui vous a désigné, ainsi que ses employés ;
• Contrôler le respect du règlement et du droit national en matière de protection des données ;
• Conseiller l’organisme sur la réalisation d’une analyse d’impact relative à la protection des données et en vérifier l’exécution ;
• Être l’interlocuteur des personnes concernées pour les questions relatives à la protection des données personnelles ;
• Coopérer avec la CNIL et être son point de contact.

Quels organismes doivent choisir un DPO ?

La désignation d’un DPO n’est pas obligatoire pour les autres organisations, mais est tout de même vivement conseillée par la CNIL notamment si l’organisme “rencontre des problématiques relatives à la protection des données personnelles” (voir son Guide pratique sur les délégués à la protection des données).

Un DPO externe serait-il plus adapté à ma structure ?

Lorsque l’obligation de désigner un DPO est arrivée en 2018, les organismes concernés ont souvent dû nommer une personne en urgence. Dans de nombreuses structures, notamment publiques, le délégué n’exerce cette mission qu’en complément d’un métier déjà très prenant, et n’a parfois pas la formation nécessaire pour accomplir ses missions de DPO.

Attention : au-delà de sa désignation, le RGPD impose aux organismes de fournir au DPO les ressources dont il a besoin. La CNIL précise les ressources concernées dans son guide sur les DPO : “temps nécessaire, accès à des ressources financières, collaborateurs s’il en a le besoin […] et en lui permettant d’entretenir ses connaissances spécialisées”.

Si vous identifiez des manques en interne, boscop peut proposer un accompagnement sur-mesure de votre DPO, en fonction de ses besoins spécifiques (formation, veille, assistance, réalisation d’audits…).

Contrôles, sanctions, lois… On vous explique tout !

Qu’est-ce que la CNIL et à quoi sert-elle ?

«  La Commission Nationale de l’Informatique et des Libertés (CNIL) a été créée par la loi Informatique et Libertés du 6 janvier 1978. Elle est chargée de veiller à la protection des données personnelles contenues dans les fichiers et traitements informatiques ou papiers, aussi bien publics que privés. »
Source : La CNIL

Qui est concerné par les contrôles de la CNIL ?

Théoriquement, n’importe quel organisme public ou privé peut être contrôlé, et cela se vérifie d’ailleurs en pratique. Si les sanctions envers les GAFAM sont les plus médiatisées, de très nombreux acteurs de taille et d’activités diverses ont déjà été contrôlés et sanctionnés, du cabinet médical ou de la TPE aux grands groupes, en passant par les structures publiques et les ministères. Vous pouvez facilement vous rendre compte des secteurs et organismes concernés sur le site de la CNIL, où sont publiées toutes les sanctions qu’elle prononce (parfois sous forme anonymisée).

Tous les organismes n’ont toutefois pas les mêmes chances d’être contrôlés. Comme l’indique la CNIL dans son rapport d’activité 2021, les 384 contrôles réalisés pour l’année ont été orientés “en fonction des grandes problématiques identifiées, des thèmes d’actualité et des plaintes dont la CNIL est saisie”. Ainsi, un organisme aura plus de chances d’être contrôlé s’il a fait l’objet de plaintes auprès de la Commission ou si son activité rentre dans les thématiques prioritaires de contrôle déterminées chaque année par l’autorité. En 2022 par exemple, l’utilisation du Cloud, la prospection commerciale et la surveillance dans le cadre du télétravail étaient choisies par la CNIL.

Comment éviter les sanctions de la CNIL ?

Pour éviter les sanctions de la CNIL, une seule solution : se mettre en conformité vis-à-vis de la réglementation sur les données personnelles, et le rester dans la durée.

Pourquoi former mes équipes au RGPD ?

Nos derniers articles