Le Règlement général sur la protection des données (RGPD) est la nouvelle législation grâce à laquelle l’Europe entend mieux protéger la vie privée et les données de ses citoyens. Vu l’évolution du contexte et de l’économie (essor des médias sociaux, du cloud computing, de nouvelles formes de marketing…), une modernisation du cadre légal s’imposait. Le RGPD harmonise les législations et les règles politiques des États en matière de vie privée (y compris pour la cybersécurité). Les règles seront désormais les mêmes dans toute l’Europe.

Le RGPD impose certaines règles aux entreprises qui traitent les données à caractère personnel des citoyens de l’UE. Les données à caractère personnel sont celles qui permettent d’identifier une personne : nom, localité, numéro de GSM, adresse e-mail, etc.

Isabelle Ghislain, Legal Counsel chez Telenet, esquisse les grandes lignes du RGPD.

• Les entreprises doivent établir un registre de toutes leurs activités de traitement. Une fois l’emplacement et la finalité des données à caractère personnel établis, ces données doivent être protégées correctement.
• Les entreprises ne peuvent pas collecter plus de données que ce qui est strictement nécessaire dans un but précis. Lorsque les données ne sont plus nécessaires au regard de la finalité pour laquelle elles ont été collectées, elles doivent être effacées de manière sécurisée. Les données ne peuvent en outre être accessibles qu’aux personnes qui doivent en disposer dans l’exercice de leur fonction.
• Les personnes concernées ont davantage de contrôle sur leurs données à caractère personnel et se voient accorder de nouveaux droits, notamment le « droit à l’oubli » et celui de transférer les données personnelles d’une entreprise à l’autre (en toute sécurité). 
• Les conditions qui régissent l’obtention du consentement des personnes concernées sont également clarifiées. Les personnes concernées doivent en effet manifester leur accord de manière libre, éclairée et univoque. Un consentement explicite est même requis pour certaines données et certains types de traitement.
• Toute violation des données à caractère personnel doit être signalée au plus vite (si possible dans les 72 heures) à la Commission locale de protection de la vie privée et, dans certains cas, aux personnes concernées.
• Les entreprises doivent démontrer, à la lumière de documents et d’audits, qu’elles respectent le RGPD. Elles doivent également soumettre les traitements comportant un risque à une analyse d’impact (« Private Impact Assessment »), implémenter la sécurisation des données dans les processus opérationnels et, dans certains cas, nommer un Data Protection Officer.
  

L’entrée en vigueur du RGPD s’accompagnera d’un durcissement du contrôle de son application. Des commissions locales de protection de la vie privée seront habilitées à infliger des amendes aux entreprises qui ne respectent pas le RGPD. Suivant la nature de l’incident, les amendes pourront être salées : jusqu’à 4 % du chiffre d’affaires mondial ou 20 millions d’euros, en fonction du montant le plus élevé.

Les entreprises qui ne respecteront pas le RGPD au 25 mai 2018 risquent donc d’importantes amendes. « Ces amendes ne doivent toutefois pas être la seule raison d’agir », précise Isabelle Ghislain. « Il y a aussi un enjeu commercial : une entreprise qui garantit le respect de la vie privée gagne la confiance du client. Préparez-vous donc dès maintenant : localisez les données de votre entreprise et déterminez qui y a accès, élaborez des procédures en cas de cyberattaques et de fuites de données, optimisez votre sécurité informatique, etc. »