Étiquettes
Sur Francetvinfo.
Destiné à remplacer la loi informatique et libertés, le règlement général sur la protection des données personnelles – ou RGPD pour les intimes – encadrera la manière dont les géants du numérique gèrent les informations dont ils disposent sur leurs utilisateurs.
Après quarante ans de bons et loyaux services, la loi informatique et libertés va prendre sa retraite. A compter du vendredi 25 mai, ce texte adopté en janvier 1978 pour protéger les Français des potentielles dérives du fichage, qui s’est développé en même temps que l’informatique, va disparaître. Son remplaçant est un texte européen qui uniformise les règles en vigueur dans les 28 pays membres de l’UE. Son nom : le règlement général sur la protection des données personnelles, ou RGPD pour les intimes.
Ce règlement va entrer en vigueur dans un contexte devenu électrique, avec l’utilisation indue des données personnelles de millions d’utilisateurs de Facebook par Cambridge Analytica, une société liée à la campagne de Donald Trump. Et il a été construit autour d’un principe majeur : son contenu s’appliquera à toute entreprise qui manipule des informations concernant des résidents européens, y compris si celle-ci est basée hors de l’UE.
Le RGPD pourra-t-il pour autant mieux protéger les données du demi-milliard d’habitants que compte l’Union européenne ? Voici en tout cas ce qu’il devrait changer pour vous.
Les entreprises pourront plus facilement collecter vos données…
C’est sans doute la modification législative que les chefs d’entreprise français attendent le plus. À partir de la fin du mois, les personnes morales qui récoltent des données pourront dans la plupart des cas se passer de déclarer leurs fichiers auprès de la Commission nationale de l’informatique et des libertés (Cnil), l’autorité administrative indépendante qui veille au respect de la loi dans ce domaine.
Auparavant, les associations, administrations et entreprises devaient prévenir la Cnil à chaque fois qu’elles créaient un fichier contenant des renseignements sur leurs membres, clients, employés ou administrés. « Selon le niveau de sensibilité des informations récoltées, les entreprises devaient effectuer soit une simple déclaration, soit demander une autorisation », explique à franceinfo Guillaume Desgens-Pasanau, maître de conférences au Conservatoire national des arts et métiers, qui dirige un cours en ligne sur le RGPD.
En contrepartie, ces organisations devront constituer une documentation précise concernant leur utilisation des données personnelles. On devra y retrouver le nom et l’objet des fichiers récoltés, le registre des personnes qui y ont accès, et les mesures prises pour protéger les données d’éventuelles attaques malveillantes.
Les administrations ainsi que les entreprises dont « les activités de base (…) consistent en un traitement à grande échelle » des données devront même obligatoirement désigner un délégué à la protection de ces fichiers, qui devra présenter toute la documentation à la Cnil en cas de contrôle, indique le règlement.
Un exemple ? Une marque de chaussures vient de se créer et souhaite vendre ses produits en ligne. Elle pourra désormais se passer de déclarer à la Cnil l’existence de son fichier client avant de se lancer, ce qui lui épargne une étape qui était parfois fastidieuse. Elle devra en revanche en documenter le fonctionnement et la sécurisation de manière détaillée.
Si son activité croît au point d’obtenir plusieurs dizaines de milliers de clients, ou que ceux-ci sont moins nombreux mais très fidèles, le règlement considérera que la marque traite des fichiers à « grande échelle », selon l’interprétation donnée par le G29 (PDF), qui regroupe les différentes « Cnil européennes ». Elle devra alors désigner un délégué à la protection de ses fichiers.
… mais elles ne pourront pas vous demander tout et n’importe quoi
Rassurez-vous : ce n’est pas parce que les entreprises ne devront plus montrer préalablement patte blanche à la Cnil qu’elles pourront se permettre de faire n’importe quoi avec vos informations personnelles. Le RGPD consacre en effet le « principe de proportionnalité » déjà prévu par le droit français. « Il faut que la récolte des données soit en adéquation avec l’objectif recherché par l’entreprise », résume Jérémie Courtois, avocat au barreau de Lille, spécialiste des nouvelles technologies.
FOF Sud-Est 