Expliquez-nous... Le règlement européen sur la protection des données personnelles

Le règlement européen sur la protection des données -RGPD- a été voté au niveau européen en 2016 et s'appliquera directement, à partir du 25 mai, à tous les responsables de traitement des données ou à leurs sous-traitants établis sur le territoire de l'Union européenne.

Chaque fois qu'un résident européen sera visé par un traitement de données, y compris par internet, c'est le droit européen qui s'appliquera.

Ce droit est en train d'être transposé en France via le projet de loi sur la protection des données personnelles discuté en ce moment même au Sénat après avoir été adopté le 13 février à l'Assemblée Nationale.

Un droit européen censé renforcer la protection des personnes concernées

Toute personne concernée par un traitement de données personnelles sera censée être informée clairement sur l'usage qui en est fait et pouvoir y donner, ou non, son accord. L'accord devra être fait par écrit et être explicite. En cas de contentieux, ce sera au responsable du traitement des données de prouver qu'il n'est pas en tort.

Introduction de nouveau droits

Le règlement introduit de nouveaux droits, comme celui de récupérer les données personnelles transmises, par exemple, à un réseau social, à un fournisseur d'accès internet, à un site de streaming et éventuellement les transférer vers une autre plateforme.

Le droit à l'effacement y est rappelé: droit à demander qu'un lien soit supprimé d'un moteur de recherche ou que des données soient effacées si elles portent atteinte à la vie privée.

Aucun traitement d'information concernant des mineurs de moins de 16 ans ne pourra être fait sans l'accord de ses parents ou titulaires de l'autorité parentale. L'âge de 16 ans pourra dans certains pays être abaissé mais pas en deça de 13 ans. En France, les députés ont préconisé 15 ans. Les sénateurs privilégient 16 ans.

Les associations qui agissent en faveur de la protection des données personnelles pourront mener des des recours collectifs, comme le font les associations de consommateurs.

Enfin toute personne qui aura subi un préjudice matériel ou moral lié à l'exploitation illégale de données personnelles devra pouvoir obtenir réparation.

Une entreprise contrevenant à la nouvelle réglementation risquera une amende administrative pouvant aller jusqu'à 4% de son chiffre d'affaires mondial.

Possible recours à la CNIL en cas de contentieux

En cas de problème, le citoyen pourra s'adresser à l'autorité de protection des données de son pays, en l'occurence la CNIL en France, qui voit ses pouvoirs de contrôle et de sanction renforcés, quel que soit le lieu d'implantation de l'entreprise qui traite les données.

Les groupes étrangers devront donc se conformer à ce réglement.

Une directive européenne précise les conditions applicables aux transferts de données à caractère personnel vers les autres États membres, vers les États tiers et vers des entités privées au sein d’États tiers.

La CNIL pourra éventuellement demander au Conseil d’État d’ordonner la suspension ou la cessation d'un transfert de données, dans l’attente de l’appréciation par la Cour de justice de l’Union européenne de sa validité.