Loi informatique et libertés – RGPD

Le Règlement Général sur la Protection des Données (RGPD) no 2016/679 entré en vigueur le 25 mai 2018 unifie et renforce la protection des données à caractère personnel des individus au niveau européen.

Il s’applique en France en combinaison avec la loi du 6 janvier 1978, dite « Informatique et Libertés », telle que modifiée en 2018, et concerne toutes les personnes qui collectent ou utilisent des données à caractère personnel de résidents européens.

Le RGPD s’applique non seulement aux établissements du territoire de l’Union, mais également aux entreprises établies en dehors de l’UE, dont les activités sont liées à l’offre de biens ou services ou au suivi de comportement de résidents de l’UE.

Sont considérées comme des données à caractère personnel toutes les données confidentielles ou publiques) permettant d’identifier ou de rendre identifiable une personne physique, par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, une adresse postale ou courriel, ou à un ou plusieurs éléments spécifiques propres à son identité physique (tels que la voix ou l’image), physiologique, génétique, psychique, économique, culturelle ou sociale.

Parce qu’elles concernent des personnes, celles-ci doivent en conserver la maîtrise.

Certaines données sont exclues du champ d’application du RGPD. C’est le cas des données anonymes (noms masqués, visages floutés…), qui rendent impossible toute identification de la personne concernée et également des coordonnées des entreprises (adresse postale, numéro de standard ou courriel de contact générique), qui ne sont pas en principe des données personnelles.

• Licéité : les données personnelles ne peuvent être collectées et traitées qu’une fois le consentement de cette personne recueilli de manière expresse ;
• Exactitude : toutes les mesures raisonnables doivent être prises pour que les données à caractère personnelles qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder ;
• Finalité : les données ne peuvent être collectées que pour des finalités déterminées et légitimes ;
• Conservation limitée : les données sont conservées pendant une durée n’excédant pas la durée nécessaire au regard des finalités pour lesquelles elles sont traitées ;
• Confidentialité : les données doivent être traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d’origine accidentelle, à l’aide de mesures techniques ou organisationnelles appropriées ;
• Droits garantis aux utilisateurs : toute personne dispose librement du droit à la portabilité de ses données, du droit d’accès à celles-ci, de rectification, d’opposition ou encore du droit à l’oubli ;

La réalisation d’une analyse d’impact dans les opérations de traitement de données sensibles (origine raciale ou ethnique, données de santé, données de localisation).