Comment faire du RGPD, un allié à l’ère du tout numérique ?
Le RGPD doit être pris en compte par le dirigeant. Cela l’amène à inclure ce risque dans la stratégie de développement et de pérennisation de son entreprise. Le dirigeant doit prendre en compte plus largement la protection des données traitées, en s’assurant que leur sécurité est respectée par la mise en place de mesures de protections appropriées garantissant que ces données ne sont pas accessibles à un nombre indéterminé de personnes.
Le seuil d’acceptabilité du risque doit être partagé par l’ensemble des acteurs du traitement et impliquer les directions métiers et opérationnelles. Les mesures de protection des données mises en place doivent garantir une sécurité suffisante au regard des risques inhérents aux traitements qui en sont faits. Le dirigeant a l’obligation d’intégrer, dès l’origine du traitement des règles destinées à assurer et garantir la sécurité des données traitées conformément au RGPD et à l’article 57 de la loi Informatique et Libertés de 1978.
Le responsable de traitement doit identifier les risques sur la vie privée engendrés par le traitement avant de déterminer les moyens pour les réduire en adoptant une vision globale et en étudiant les conséquences sur les personnes concernées.
Il a obligation de prendre en considération les deux piliers de la protection des données : protection dès la conception du traitement et confidentialité des données par défaut, définis à l’article 25 du RGPD.
La confidentialité dès la conception impose au dirigeant, responsable de traitement, de prendre les mesures appropriées au regard de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes, tant au moment de la détermination des moyens du traitement qu’au moment du traitement lui-même.
La confidentialité par défaut impose au responsable de traitement de mettre en œuvre des mesures appropriées pour garantir que, par défaut, seules les données personnelles nécessaires au regard de chaque finalité spécifique de traitement son traitées.
Ces mesures garantissent que, par défaut, les données à caractère personnel ne sont pas rendues accessibles à un nombre de personnes sans l’intervention de la personne concernée.
Pour répondre à ces deux obligations continues de confidentialité, il faut mettre en place les exigences relatives à l’article 32 du RGPD : la pseudonymisation ou le chiffrement, ou encore celles de l’article 5 : la minimisation.
En résumé, les principes de protection des données s’appliquent au moment de la détermination des moyens et tout au long du cycle de vie du traitement par la mise en place de règles internes.
Ces mesures n’ont pas besoin d’être sophistiquées pour être appropriées. Elles doivent être conçues de manière à être robustes et à pouvoir faire face à toute augmentation du risque. Cela implique de permettre à la personne concernée de paramétrer par défaut à minima la collecte de ses données, de ne pas rendre techniquement obligatoire le renseignement d’un champ facultatif, de ne collecter que les données nécessaires à la finalité du traitement, de gérer les habilitation et droits d’accès informatiques ou de purger automatiquement et sélectivement les données d’une base active à l’issue d’une certaine durée.
En conclusion, avant toute mise en œuvre d’un traitement, le dirigeant, responsable de traitement doit évaluer les risques et mesurer leur impact sur les personnes concernées, les sources, les menaces, les mesures qui ont été mises en œuvre ou qui sont prévues, le degré de gravité du risque ainsi que sa vraisemblance.
Nos experts en droit des données personnelles peuvent vous accompagner dans ces démarches, notamment en mettant en place une véritable politique de conformité de votre entreprise.
Nos avocats se tiennent à votre disposition pour répondre à toutes vos questions et vous conseiller. Nos entretiens peuvent se tenir en présentiel ou en visio-conférence. Vous pouvez prendre rendez-vous directement en ligne sur www.agn-avocats.fr.
AGN AVOCATS – Propriété intellectuelle
contact@agn-avocats.fr
09 72 34 24 72
