RGPD : quelles sont les obligations de mise en conformité pour les entreprises ?

L'entrée en vigueur du nouveau Règlement Général sur la Protection des Données (RGPD) le 25 mai 2018 a modernisé la réglementation applicable en matière de protection des données personnelles.

Cette réglementation repose sur un principe de suppression des déclarations et des autorisations préalablement requises et une responsabilisation des responsables de traitement de données personnelles et de leurs sous-traitants (accountability).

Chaque détenteur de tels fichiers se doit désormais de respecter certaines obligations, au titre desquelles figure l'information des personnes concernées, tant sur les données collectées que sur la finalité de leur utilisation.

Le responsable de traitement doit en effet justifier auprès de la personne auprès de laquelle sont recueillies les données personnelles la concernant un certain nombre d'informations, parmi lesquelles (1) :

• son identité ;
• les finalités du traitement ;
• le caractère obligatoire ou facultatif des réponses à donner ;
• les conséquences éventuelles, à son égard, d'un défaut de réponse ;
• les destinataires des données collectées ;
• l'existence et des modalités d'exercice de ses droits d'accès, de rectification et d'effacement de ses données ;
• le cas échéant, des transferts de données personnelles envisagées à destination d'un État non membre de l'Union européenne ;
• la durée de conservation des données.

Important : si vous devez utiliser les données personnelles que vous détenez à des fins autres que celles pour lesquelles elles ont été initialement collectées, vous devez en avertir la ou les personnes concernées, qui peuvent en principe s'y opposer. 

Le cas de la cession ou de la mise à disposition des données personnelles que votre entreprise a traité auprès d'un tiers peut prendre différentes formes.

Responsables conjoints du traitement

D'abord, il est possible d'avoir plusieurs responsables de traitement, dits “responsables conjoints du traitement”. Cela revient à dire que plusieurs responsables de traitement vont déterminer ensemble les finalités et les moyens du traitement (2). Dans ces conditions et toujours dans le respect des principes précédemment cités, il est possible d'échanger les données collectées. 

Sous-traitant

Ensuite, il y a le cas du sous-traitant (3).

Ce dernier va effectuer un traitement pour le compte d'un responsable de traitement, sous ses instructions, et toujours avec les garanties suffisantes pour être en conformité avec le RGPD. Si le sous-traitant souhaite lui-même faire appel à un sous-traitant, il devra au préalable recueillir l'accord du responsable de traitement. 

Par exemple, il est question de sous-traitance si une entreprise fait appel à un prestataire externe pour effectuer les bulletins de paie de ses salariés. Dans une telle situation, le prestataire aura accès aux données personnelles des salariés, fournies par l'entreprise. 

Vente d'un fichier client

Enfin, il est possible d'envisager la vente d'un fichier client (notamment dans un but de prospection commerciale), dès lors que certaines règles relatives à la protection des données personnelles que ceux-ci contiennent sont respectées (4) :

• le fichier cédé ne doit contenir que les données des clients actifs, qui ne se sont pas opposés à la transmission de leurs données ou qui y ont consenti ;
• l'acheteur du fichier doit respecter les droits des personnes dont les données sont cédées, en les informant notamment de sa récupération du dossier et en vérifiant l'existence de leur consentement à la prospection électronique.

Attention : en principe, dans le cas de la prospection, l'acquéreur doit obtenir le consentement de la personne concernée (sauf si le vendeur a déjà recueilli ce consentement, comme dans le cas où l'acquéreur est un partenaire commercial de celui-ci, par exemple). En effet, cette dernière est interdite si l'utilisateur n'a pas exprimé préalablement son consentement à recevoir des prospections par voie électronique (5).