Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Juillet/Août 2016 - n°415 - 253

doctrine

Données personnelles

Ce qui va changer concrètement
pour les entreprises
Les organisations ont deux ans pour se mettre en
conformité avec le règlement européen sur la protection
des données à caractère personnel. Analyse synthétique
et concrète des impacts du Règlement.

e Règlement général sur
la protection des données
(Règlement n°2016/679) a été
publié au Journal officiel de
l'Union européenne le 4 mai 2016.
Il entrera en vigueur le 25 mai 2018 et
sera directement applicable en droit
interne. Les entreprises disposent donc
de deux ans pour se mettre en conformité à l'égard des données personnelles
qu'elles collectent et traitent.
Le Règlement comporte 99 articles, 173
considérants pour un total de 88 pages
dans sa dernière version. En résumé,
les concepts de base de la protection
des données personnelles (définition
de donnée personnelle, définitions de
responsable du traitement et de sous-traitant, etc.) ne changent pas mais le régime
applicable est intégralement modifié.
La mise en conformité avec le Règlement
constitue un enjeu majeur pour les entreprises puisqu'à partir du 25 mai 2018,
les Cnil seront dotées de pouvoirs de
sanctions renforcés. Elles pourront
prononcer des sanctions pouvant s'élever jusqu'à 4% du bénéfice mondial des
entreprises pour les manquements les
plus graves tels que les manquements
aux dispositions relatives aux droits des
personnes ainsi qu'aux principes de
base des traitements. Il est probable que
l'entrée en vigueur de ce texte modifie la
perception des entreprises, en plaçant
les sujets de « privacy » au centre de la
cartographie des risques en matière de
compliance - à l'instar de la lutte contre
les cartels ou la corruption par exemple.
L'objectif de cet article est de proposer
une vision synthétique et concrète des
impacts du Règlement.

RENFORCEMENT DE LA
MAÎTRISE DES PERSONNES
SUR LEURS DONNÉES
L'un des objectifs affiché du Règlement
est de renforcer la maîtrise des personnes
sur leurs données. De plus, le Règlement
encourage le recours à des techniques
de pseudonymisation afin de réduire
les risques pesant sur les données des
personnes. A l'heure où les entreprises
pensent leur marketing en termes
de « digital » et « big data », le Règlement
pose un cadre plus contraignant.

Critères de validité du
consentement des personnes
Les conditions d'obtention du consentement des personnes au traitement de leurs
données personnelles sont restreintes
par le Règlement. D'une part, lorsque le
consentement de la personne est requis
par le Règlement, ce consentement doit
consister en une action positive et claire
(par exemple, une case cochée) et ne peut
être déduit d'une inactivité, du silence ou
lorsqu'une case est cochée par défaut.
De plus, les dispositions du Règlement
imposent que le consentement de la
personne à ce que ses données soient
traitées doit être recueilli de manière
distincte de toute autre question.
Le Règlement contient par ailleurs de
nombreuses dispositions relatives au
consentement des enfants donné sur
internet. L'article 8 du Règlement prévoit
que seuls les enfants âgés de plus de
16 ans sont en mesure de consentir
valablement à ce que leurs données
soient traitées. Lorsque les enfants sont
âgés de moins de 16 ans, le consentement

EXPERTISES JUILLET/AOÛT 2016

doit être donné ou autorisé par les
parents. Le Règlement recommande aux
responsables de traitement de mettre
en œuvre des moyens technologiques
pour vérifier le consentement. En
pratique, ces nouvelles exigences
devraient mettre un terme à la pratique
consistant à informer les personnes qu'en
utilisant tel produit ou service, elles sont
réputées consentir au traitement de leurs
données à caractère personnel. Les
responsables de traitement fondant la
licéité des traitements exclusivement sur
le consentement des personnes devront
certainement revoir les modalités de
collecte du consentement afin de les
adapter aux nouvelles contraintes
ou trouver un nouveau fondement
permettant de garantir la licéité de leur
traitement.

Notification des violations de
données
Sous l'empire du régime actuel de
protection des données personnelles,
seuls les opérateurs de réseaux de
communication au public étaient
soumis à l'obligation de notifier à
la Cnil les violations de sécurité
des données dont ils assuraient le
traitement.
L'article 33 du Règlement généralise
cette obligation de notification aux
autorités de contrôle des violations
de données à l'ensemble des responsables de traitement. Cette notification doit intervenir sans délai et au
plus tard dans les 72 heures suivant
la découverte par le responsable de
traitement de la violation. Les sous-traitants sont également tenus de notifier

253

Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Juillet/Août 2016 - n°415