Nouvel arsenal législatif pour protéger les données personnelles

Dans quelques semaines, le Règlement Général sur la Protection des Données (RGPD) entre en application. Les entreprises traitant des données personnelles devront se mettre en conformité avec cette nouvelle réglementation européenne applicable en France à partir du 25 mai 2018. Toutes les sociétés françaises sont concernées car le RGPD porte aussi bien sur les données personnelles des salariés que sur celles des clients particuliers des entreprises travaillant en B to C et leurs sous-traitants ayant accès à ces données.

Les données personnelles des clients ou simples visiteurs d’un site e-commerce que toute entreprise s’empresse de collecter, d’étoffer et de qualifier vont être davantage régulées. L'article 5 du RGPD impose de ne collecter que les données strictement nécessaires: elles doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ». Concrètement, il conviendra de mettre en place ces grands principes notamment pour les traitements de la paie, l’embauche (via les CV), le contrôle d’accès aux locaux, la cantine, la géolocalisation des véhicules, les postes de travail pour l’ensemble des salariés mais aussi la facturation, les outils de prospection commerciale, les centrales téléphoniques, les sites de e-Commerce... Ainsi, chaque entreprise va devoir évaluer les enjeux (cartographie des traitements de données) et prendre les mesures nécessaires (plan d’action, procédures écrites).

L’obtention du consentement préalable des individus, la sécurisation des données, l’établissement d’un registre, la notification en cas de fuite ou de violation des données personnelles, sont autant de sujets auxquels toute entreprise va désormais devoir répondre. Les nouvelles obligations diffèrent selon la taille de l’entreprise.

Et les sanctions ? La non-intégration de ces changements peut avoir de lourdes conséquences, les amendes en cas d’infraction pourront aller jusqu’à 20 M€ ou 4% du chiffre d’affaires annuel consolidé. Au-delà de la sanction financière, force est de constater que cette réglementation pourrait aussi être exploitée par des parties prenantes telles que salariés ou associations de consommateurs en engageant une action contre les entreprises qui auraient sous-estimé les enjeux de la RGPD.